Verwerkersovereenkomst

1. Definities

Begrippen zoals persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene, bijzondere categorieën van persoonsgegevens en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG). Daarnaast:

• Gebruiker: de verwerkingsverantwoordelijke, het bedrijf of de beroepsbeoefenaar met een account bij TransferGuard. Bij een bedrijfsaccount is dat het bedrijf.
• Dienst, ontvanger, transfer, identiteitscontrole, rapport, bedrijfsaccount: zoals gedefinieerd in de algemene voorwaarden.
• Subverwerker: een derde die TransferGuard inschakelt voor de verwerking van persoonsgegevens voor de gebruiker.

Deze overeenkomst gaat over de persoonsgegevens die TransferGuard als verwerker voor de gebruiker verwerkt. Voor de herbruikbare identiteit, de toegangssleutel en de badge Geverifieerd van ontvangers, die een ontvanger bij meerdere afzenders kan gebruiken, en voor de badge Geverifieerde afzender is TransferGuard zelf verwerkingsverantwoordelijke, met toestemming van de betrokkene. De privacyverklaring beschrijft die verwerkingen. TransferGuard is er alleen voor bedrijven en beroepsbeoefenaars.

2. Onderwerp en duur

TransferGuard verwerkt persoonsgegevens voor de gebruiker om de dienst te leveren. De overeenkomst loopt zolang de gebruiker de dienst gebruikt en daarna tot alle persoonsgegevens volgens artikel 14 zijn gewist.

3. Aard en doel van de verwerking

4. Betrokkenen en soorten persoonsgegevens

Betrokkenen: ontvangers van bestanden, personen bij wie de gebruiker bestanden opvraagt, en personen over wie gegevens in de bestanden staan.

Persoonsgegevens:

• contactgegevens: e-mailadres, bij E-mail en sms het mobiele nummer, en bij een identiteitscontrole naam en eventueel geboortedatum zoals de gebruiker die invoert;
• een korte toelichting van de gebruiker voor de ontvanger (ten hoogste 300 tekens), die niet in de browser wordt versleuteld;
• identiteitsgegevens na een geslaagde controle: naam, geboortedatum, soort identiteitsbewijs, documentnummer en land van afgifte;
• beelden van het identiteitsbewijs en het gezicht, alleen bij de verificatiepartner;
• biometrische gegevens voor unieke identificatie (gezichtsvergelijking), een bijzondere categorie van persoonsgegevens (art. 9 AVG), alleen bij de verificatiepartner;
• technische gegevens: IP-adres en browser en soort apparaat bij ontvangst, tijdstippen, logboekgebeurtenissen, HMAC-waarden van e-mailadressen en of de badge zichtbaar is;
• versleutelde bestanden met grootte en SHA-256-vingerafdruk. De bestanden kunnen persoonsgegevens van elke soort bevatten, ook bijzondere. TransferGuard kan die inhoud niet lezen.

BSN. TransferGuard leest en bewaart het burgerservicenummer niet uit de uitslag van de controle. Ook nationaliteit en de foto's van document en gezicht bewaart TransferGuard niet.

5. Instructies

• TransferGuard verwerkt de persoonsgegevens alleen op schriftelijke instructie van de gebruiker. De keuzes die de gebruiker per transfer maakt (ontvanger, manier van toegang, manier van bezorgen, vervaldatum, identiteitscontrole) en het gebruik van de dienst gelden als zulke instructies.
• TransferGuard verwerkt de gegevens niet voor eigen doelen, behalve om de dienst te beveiligen, misbruik te voorkomen en een wettelijke plicht na te komen. De herbruikbare identiteit en de badge van ontvangers vallen niet onder deze overeenkomst (artikel 1).
• Moet TransferGuard op grond van een wet gegevens verwerken of verstrekken, dan meldt zij dat vooraf aan de gebruiker, tenzij de wet dat verbiedt.
• Is een instructie naar het oordeel van TransferGuard in strijd met de AVG, dan meldt zij dat direct aan de gebruiker.

6. Verplichtingen van de gebruiker

• De gebruiker zorgt voor een geldige grondslag voor de verwerking. Voor biometrische gegevens bij een identiteitscontrole is dat de uitdrukkelijke toestemming van de ontvanger (art. 9 lid 2 onder a AVG). TransferGuard vraagt die toestemming namens de gebruiker in een toestemmingsstap vóór de controle; zonder toestemming start de controle niet.
• De gebruiker informeert de ontvangers over de verwerking.
• De gebruiker voert waar nodig een DPIA uit. De verwerking van biometrische gegevens staat op de lijst van de Autoriteit Persoonsgegevens van verwerkingen waarvoor een DPIA verplicht is.
• De gebruiker is verantwoordelijk voor de inhoud van de bestanden en blijft verantwoordelijk voor zijn eigen wettelijke plichten, zoals een wettelijke plicht om iemand te identificeren. TransferGuard neemt die niet over.

7. Geheimhouding en toegang

• TransferGuard houdt de persoonsgegevens geheim. Wie bij TransferGuard toegang kan krijgen tot persoonsgegevens, is tot geheimhouding verplicht.
• Het beheerscherm van TransferGuard toont geen gegevens van ontvangers; een technische controle weigert antwoorden met zulke gegevens. Toegang tot transfers van een bedrijfsaccount vereist een lidmaatschap van dat bedrijfsaccount.
• Beheerders met toegang tot de server kunnen technisch bij de database en de sleutels voor de versleuteling op de server, en daarmee bij automatisch versturen ook bij de bewaarde sleutel van een transfer. Alleen door TransferGuard aangewezen beheerders, die tot geheimhouding verplicht zijn, hebben deze toegang, en alleen voor beheer en het oplossen van storingen. Elke inlog op de server wordt automatisch vastgelegd, met tijdstip en herkomst, en 12 maanden bewaard.

8. Beveiligingsmaatregelen

TransferGuard neemt passende technische en organisatorische maatregelen (art. 32 AVG), waaronder:

• versleutelde verbindingen (TLS) voor de website, de accounts en de pagina's voor ontvangers;
• versleuteling in de browser voor bestanden en bestandsnamen, end-to-end wanneer de gebruiker de link zelf deelt;
• bij automatisch versturen: de sleutel van de transfer versleuteld opgeslagen (AES-256-GCM), gebonden aan die ene transfer, en pas vrijgegeven na de e-mailcode of de identiteitscontrole;
• versleuteling op de server met AES-256-GCM voor de gegevens van de identiteitscontrole en voor IP-adres en apparaat bij ontvangst;
• verplichte tweestapsverificatie (authenticator-app of toegangssleutel) voor alle medewerkers van bedrijfsaccounts en beheerders van TransferGuard;
• wachtwoorden als bcrypt-hash, tijdelijke vergrendeling na herhaald foutief inloggen en begrenzing van het aantal verzoeken;
• scheiding van bedrijfsaccounts in de applicatie;
• een logboek als hashketen dat de database alleen laat aanvullen, met onafhankelijke tijdstempels volgens RFC 3161;
• geen opslag van BSN, nationaliteit of foto's uit de identiteitscontrole;
• automatisch wissen van bestanden na de vervaldatum en van rapporten na hun einddatum;
• elk uur een versleutelde back-up van de database in de EU-jurisdictie van Cloudflare R2, 90 dagen bewaard en de eerste 30 dagen onveranderbaar;
• opslag van server, database, bestanden en back-ups in de EU.

Op verzoek geeft TransferGuard de gebruiker een actuele beschrijving van deze maatregelen.

9. Subverwerkers

De gebruiker geeft TransferGuard algemene toestemming om subverwerkers in te schakelen. TransferGuard legt hun dezelfde verplichtingen op als in deze overeenkomst en blijft verantwoordelijk voor hun naleving. Op dit moment zijn dat:

Geen subverwerker. Mollie B.V. verwerkt de betalingen voor het abonnement als zelfstandige verwerkingsverantwoordelijke. Mollie verwerkt alleen gegevens van de gebruiker zelf, niet van ontvangers.

Didit treedt voor een aantal eigen doelen op als zelfstandige verwerkingsverantwoordelijke: beveiliging, misbruikpreventie, de werking van de eigen dienst, auditlogboeken, wettelijke verplichtingen, het trainen van fraudemodellen en rechtsvorderingen. TransferGuard heeft het gebruik van haar verificatiegegevens voor training uitgezet, laat de sessie bij Didit verwijderen na de definitieve uitslag en heeft bij Didit een maximale bewaartermijn ingesteld. De verwerkersovereenkomst met Didit is bijlage 2 bij de zakelijke voorwaarden van Didit. Didit verstrekt de lijst van eigen subverwerkers alleen op verzoek en onder geheimhouding.

TransferGuard meldt een nieuwe of vervangende subverwerker ten minste 30 dagen vooraf per e-mail aan de gebruiker, bij een bedrijfsaccount aan de eigenaren. Maakt de gebruiker bezwaar, dan kan hij de overeenkomst vóór de ingangsdatum kosteloos beëindigen.

10. Doorgifte buiten de EER

TransferGuard geeft persoonsgegevens alleen door naar een land buiten de Europese Economische Ruimte als daarvoor een geldig mechanisme bestaat, zoals een adequaatheidsbesluit of standaardcontractbepalingen. Dat geldt nu voor Cloudflare en voor subverwerkers van Brevo in de Verenigde Staten (EU-VS Data Privacy Framework en standaardcontractbepalingen), en voor subverwerkers van Didit buiten de EER (standaardcontractbepalingen van 2021, waar van toepassing).

11. Rechten van betrokkenen

• TransferGuard stuurt een verzoek van een betrokkene dat bij haar binnenkomt zonder onnodige vertraging door naar de gebruiker en beantwoordt het niet zelf, tenzij de gebruiker daartoe opdracht geeft. Een ontvanger kan de badge Geverifieerd zelf verbergen.
• TransferGuard helpt de gebruiker bij het beantwoorden van verzoeken. In de dienst kan de gebruiker per transfer het rapport downloaden, een transfer intrekken en daarna het rapport wissen.

12. Datalekken

• TransferGuard meldt een datalek dat gegevens van de gebruiker raakt zonder onnodige vertraging en uiterlijk binnen 48 uur na ontdekking aan de gebruiker, bij een bedrijfsaccount aan de eigenaren.
• De melding bevat, voor zover bekend: de aard van het lek, de soorten en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen en een contactpersoon. Informatie die later bekend wordt, volgt zo snel mogelijk.
• De gebruiker beslist of het lek wordt gemeld aan de Autoriteit Persoonsgegevens en aan betrokkenen. TransferGuard helpt daarbij.

13. Bijstand en audits

• TransferGuard helpt de gebruiker bij een DPIA en een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens, met de informatie waarover zij beschikt.
• TransferGuard toont naleving van deze overeenkomst in de eerste plaats met documentatie: op verzoek krijgt de gebruiker een beschrijving van de technische en organisatorische maatregelen en de andere informatie die nodig is om naleving aan te tonen.
• Een inspectie ter plaatse is alleen mogelijk voor zover de AVG dat vereist, ten hoogste eenmaal per jaar en na een aankondiging van ten minste 30 dagen, door een onafhankelijke auditor die tot geheimhouding verplicht is. De kosten zijn voor de gebruiker.

14. Bewaren en wissen

• Bestanden zijn beschikbaar tot de vervaldatum van de transfer (5, 14 of 30 dagen) of tot de gebruiker de transfer intrekt. Daarna heeft niemand meer toegang en wist TransferGuard de bestanden. Een concept dat niet is verstuurd, wist TransferGuard na 24 uur.
• De gegevens van de ontvanger en de downloadstatus bij een gratis transfer blijven 5 dagen bewaard, samen met de bestanden. Gratis transfers bevatten geen PDF-rapport. Bij Certified Delivery blijven ze 1 jaar na het versturen bewaard, of 1 jaar na de eerste volledige ontvangst als dat later is; bij een verzoek om bestanden 1 jaar na het aanmaken. Na intrekken of verlopen kan de gebruiker het rapport eerder wissen. Het logboek blijft, zonder namen of e-mailadressen. Het volledige mobiele nummer bij een code per sms wist TransferGuard zodra de transfer verloopt of wordt ingetrokken; het rapport houdt alleen een gemaskeerd nummer. Bij Brevo worden verzendgegevens van e-mail en sms na 3 maanden automatisch gewist.
• De sessie bij de verificatiepartner laat TransferGuard verwijderen zodra de definitieve uitslag binnen is. Een geboortedatum die de gebruiker invoert, wist TransferGuard na de uitslag, of als de transfer wordt ingetrokken of verloopt.
• De herbruikbare identiteit van een ontvanger, met toegangssleutels en badge, wist TransferGuard 1 jaar na de laatste identiteitscontrole.
• Teruggeven. De gebruiker krijgt de persoonsgegevens terug door per transfer de bestanden te downloaden zolang ze beschikbaar zijn, en het rapport als PDF. Een aparte volledige export biedt TransferGuard niet.
• Eindigt Certified Delivery, dan kan de gebruiker de rapporten nog 30 dagen downloaden. Daarna wist TransferGuard de rapporten en de gegevens van ontvangers die erbij horen.
• Verwijdert de gebruiker het account, of eindigt de overeenkomst op een andere manier, dan wist TransferGuard de overige persoonsgegevens van ontvangers binnen 30 dagen, tenzij een wettelijke plicht bewaren vereist.
• In de versleutelde back-ups blijven gewiste gegevens ten hoogste 90 dagen staan.
• Op verzoek bevestigt TransferGuard schriftelijk dat de gegevens zijn gewist.

15. Aansprakelijkheid

Voor de aansprakelijkheid van partijen onderling, ook voor claims op grond van de AVG, gelden de beperkingen en de vervaltermijn uit artikel 13 van de algemene voorwaarden, voor zover de wet dat toelaat. Een boete die een toezichthouder aan een partij oplegt, blijft voor rekening van die partij. De beperkingen gelden niet bij opzet of bewuste roekeloosheid (grove schuld) van de bedrijfsleiding. Aanspraken van betrokkenen zelf (art. 82 AVG) worden door deze afspraken niet beperkt.

16. Slotbepalingen

• Bij strijd tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor wat betreft de verwerking van persoonsgegevens.
• TransferGuard kan deze overeenkomst aanpassen als de dienst of de wet verandert. Wezenlijke wijzigingen kondigt zij ten minste 30 dagen vooraf per e-mail aan. Gaat de gebruiker niet akkoord, dan kan hij de overeenkomst vóór de ingangsdatum kosteloos beëindigen.
• Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de rechtbank Midden-Nederland, locatie Utrecht. Bij verschil tussen de Nederlandse en Engelse tekst geldt de Nederlandse tekst.