VERWERKERSOVEREENKOMST BUURTGENOOTJE Versie: 20 augustus 2026 Deze verwerkersovereenkomst is een bijlage bij de overeenkomst voor het gebruik van Buurtgenootje, hierna de "Hoofdovereenkomst". PARTIJEN 1. [VOLLEDIGE JURIDISCHE NAAM KLANT], gevestigd aan [ADRES], ingeschreven in het Handelsregister onder nummer [KVK-NUMMER], rechtsgeldig vertegenwoordigd door [NAAM EN FUNCTIE], hierna: "Verwerkingsverantwoordelijke"; en 2. K&M Online, gevestigd aan Johan Kerkmeijerstraat 34, 1624 PL Hoorn, ingeschreven in het Handelsregister onder nummer 77589165, handelend onder de productnaam Buurtgenootje, hierna: "Verwerker"; hierna gezamenlijk: "Partijen". OVERWEGEN DAT A. Verwerkingsverantwoordelijke Buurtgenootje gebruikt voor communicatie, samenwerking, activiteiten en beheer binnen haar VvE, vereniging, complex of bewonersorganisatie; B. Verwerkingsverantwoordelijke het doel van en de wezenlijke middelen voor de verwerking van bewonersgegevens bepaalt; C. Verwerker voor het leveren, hosten, onderhouden, beveiligen en ondersteunen van Buurtgenootje persoonsgegevens verwerkt namens Verwerkingsverantwoordelijke; D. Partijen overeenkomstig artikel 28 AVG hun afspraken hierover schriftelijk willen vastleggen. KOMEN HET VOLGENDE OVEREEN: 1. Begrippen ------------ 1.1 Begrippen zoals persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker, inbreuk in verband met persoonsgegevens en toezichthoudende autoriteit hebben de betekenis die de AVG daaraan geeft. 1.2 "Klantgegevens" zijn alle gegevens die Verwerker in het kader van de Hoofdovereenkomst namens Verwerkingsverantwoordelijke verwerkt, voor zover deze persoonsgegevens zijn. 1.3 "Subverwerker" is een derde die door Verwerker wordt ingeschakeld en namens Verwerkingsverantwoordelijke persoonsgegevens verwerkt. 1.4 "Documenteerde instructie" is een schriftelijke instructie in de Hoofdovereenkomst, deze verwerkersovereenkomst, de functionele inrichting van de dienst of een later aantoonbaar schriftelijk verzoek van een bevoegde vertegenwoordiger van Verwerkingsverantwoordelijke. 2. Onderwerp, duur, aard en doel ------------------------------- 2.1 Verwerker verwerkt Klantgegevens uitsluitend voor het beschikbaar stellen, hosten, beveiligen, onderhouden, back-uppen, herstellen en ondersteunen van Buurtgenootje en voor andere gedocumenteerde instructies van Verwerkingsverantwoordelijke. 2.2 De aard van de verwerking omvat onder meer verzamelen, vastleggen, ordenen, opslaan, raadplegen, tonen aan bevoegde gebruikers, verzenden van notificaties, wijzigen, beveiligen, exporteren, back-uppen en verwijderen. 2.3 De verwerking duurt zolang de Hoofdovereenkomst loopt en daarna zolang dat nodig is voor export, verwijdering en de beperkte back-upretentie zoals geregeld in artikel 12. 2.4 Het concrete onderwerp, de categorieën betrokkenen, soorten gegevens en verwerkingshandelingen staan in Bijlage 1. 3. Instructies en eigen verantwoordelijkheid -------------------------------------------- 3.1 Verwerker verwerkt Klantgegevens alleen op gedocumenteerde instructie van Verwerkingsverantwoordelijke, ook bij doorgiften aan een derde land of internationale organisatie, tenzij Unierecht of Nederlands recht Verwerker tot verwerking verplicht. In dat geval informeert Verwerker Verwerkingsverantwoordelijke vooraf, tenzij de wet dat om zwaarwegende redenen van algemeen belang verbiedt. 3.2 Als Verwerker van mening is dat een instructie in strijd is met de AVG of andere toepasselijke privacywetgeving, informeert Verwerker Verwerkingsverantwoordelijke zonder onredelijke vertraging. Verwerker mag de betreffende uitvoering opschorten totdat de instructie is bevestigd, aangepast of ingetrokken. 3.3 Verwerkingsverantwoordelijke blijft verantwoordelijk voor: - de rechtmatigheid, behoorlijkheid en transparantie van de verwerking; - een geldige grondslag en, waar nodig, geldige toestemming; - de juistheid, noodzakelijkheid en minimale omvang van ingevoerde gegevens; - het tijdig informeren van bewoners, inclusief uitgenodigde personen die nog niet zijn ingelogd; - de inrichting van rollen, toegang en gebruikersbeheer; - het beantwoorden van rechtenverzoeken en bepalen van bewaartermijnen; - de rechtmatigheid van documenten, afbeeldingen en andere klantinhoud; - het uitvoeren van belangenafwegingen en een DPIA wanneer dat vereist is. 3.4 Verwerkingsverantwoordelijke gebruikt de woongeluk-monitor alleen op basis van een vooraf gedocumenteerde grondslag en passende informatie aan bewoners. Deelname moet vrijwillig zijn wanneer toestemming de grondslag is. Het bestuur probeert de technische koppeling tussen score en gebruiker niet te achterhalen en vraagt Verwerker niet om die koppeling bekend te maken, behalve wanneer dit strikt noodzakelijk en wettelijk toegestaan is, bijvoorbeeld ter voorkoming van een onmiddellijk en ernstig gevaar. 3.5 Verwerkingsverantwoordelijke instrueert bewoners geen bijzondere persoonsgegevens in vrije tekstvelden te plaatsen, tenzij hiervoor vooraf een specifieke rechtsgrond, noodzaak en passende waarborg zijn vastgesteld. 4. Verplichtingen van Verwerker ------------------------------- 4.1 Verwerker: a. verwerkt Klantgegevens behoorlijk, zorgvuldig en in overeenstemming met deze overeenkomst; b. beperkt toegang tot personen die deze voor hun taak nodig hebben; c. legt aan bevoegde personen een contractuele of wettelijke geheimhoudingsplicht op; d. houdt rekening met de beginselen van privacy by design en privacy by default; e. ondersteunt Verwerkingsverantwoordelijke overeenkomstig artikelen 8 tot en met 10 bij beveiliging, rechten van betrokkenen, DPIA's en overleg met een toezichthouder; f. verstrekt op redelijk verzoek informatie die nodig is om naleving van artikel 28 AVG aan te tonen; g. houdt een register bij van de verwerkingen die Verwerker op grond van artikel 30 lid 2 AVG moet registreren; h. verkoopt Klantgegevens niet en gebruikt ze niet voor advertenties of het maken van commerciële bewonersprofielen; i. zorgt dat gegevens van verschillende klanten logisch en op databaseniveau van elkaar zijn gescheiden; j. geeft geen Klantgegevens aan derden, behalve overeenkomstig deze verwerkersovereenkomst of een wettelijke verplichting. 4.2 Verwerker mag geaggregeerde of onomkeerbaar geanonimiseerde gegevens gebruiken voor statistiek, beveiliging en verbetering van de dienst, mits deze gegevens redelijkerwijs niet meer naar een persoon of Verwerkingsverantwoordelijke zijn te herleiden. 5. Verwerkingen waarvoor K&M Online zelf verantwoordelijk is ------------------------------------------------------------- 5.1 Deze verwerkersovereenkomst geldt niet voor verwerkingen waarbij K&M Online zelfstandig het doel en de wezenlijke middelen bepaalt. Dit kan onder meer gelden voor: - zakelijke contact-, contract-, support- en factuuradministratie; - beperkte gebruiks- en activiteitsmetingen die nodig zijn om de contractueel overeengekomen abonnementsstaffel vast te stellen; - centrale beveiligings-, sessie- en fraudepreventiegegevens voor zover K&M Online die voor de veilige exploitatie van het platform gebruikt; - onderzoek van e-mailbezorgfouten; - een technische feedbackmelding die het bestuur bewust naar K&M Online doorstuurt voor productondersteuning en structurele foutanalyse; - geanonimiseerde platformstatistiek; - naleving van een wettelijke verplichting of verdediging van een eigen rechtsvordering. 5.2 K&M Online informeert betrokkenen over deze eigen verwerkingen in de privacyverklaring op buurtgenootje.nl/privacy. Deze bepaling geeft K&M Online geen vrij recht om bewonersinhoud voor andere commerciële doeleinden te gebruiken. 6. Geheimhouding en toegang --------------------------- 6.1 Alle Klantgegevens zijn vertrouwelijk. Verwerker waarborgt dat werknemers, ingeschakelde zelfstandigen en andere bevoegde personen Klantgegevens alleen verwerken voor hun taak en gebonden zijn aan geheimhouding. 6.2 Inhoudelijke toegang door K&M Online vindt alleen plaats wanneer dit noodzakelijk is voor support, beveiliging, herstel, onderhoud, onderzoek naar misbruik of uitvoering van een gedocumenteerde instructie. De toegang wordt beperkt tot de noodzakelijke omgeving, gegevens en duur. 6.3 Verwerker verstrekt op redelijk verzoek informatie over een concrete inhoudelijke supporttoegang, voor zover dit beveiliging, privacy van derden of een wettelijk onderzoek niet schaadt. 7. Beveiliging ------------- 7.1 Verwerker neemt, rekening houdend met de stand van de techniek, uitvoeringskosten, aard, omvang, context, doelen en risico's van de verwerking, passende technische en organisatorische maatregelen overeenkomstig artikel 32 AVG. 7.2 De maatregelen staan in Bijlage 2. Verwerker mag maatregelen aanpassen wanneer techniek of risico's veranderen, mits het totale beschermingsniveau niet wezenlijk afneemt. 7.3 Verwerkingsverantwoordelijke is verantwoordelijk voor veilig beheer van gebruikers, rollen, apparaten en eigen kopieën of exports. Zij trekt toegang tijdig in wanneer iemand deze niet langer nodig heeft en meldt vermoed misbruik zonder onredelijke vertraging. 8. Inbreuken in verband met persoonsgegevens -------------------------------------------- 8.1 Verwerker meldt een bevestigde of redelijkerwijs vermoede inbreuk die Klantgegevens raakt zonder onredelijke vertraging aan het door Verwerkingsverantwoordelijke opgegeven privacy- of beveiligingscontact. Waar mogelijk streeft Verwerker naar een eerste melding binnen 24 uur na bevestiging. 8.2 De melding bevat, voor zover op dat moment bekend: - aard en vermoedelijke oorzaak van de inbreuk; - categorieën en geschatte aantallen betrokkenen en gegevensrecords; - waarschijnlijke gevolgen; - getroffen en voorgenomen maatregelen; - contactpunt voor opvolging. 8.3 Ontbrekende informatie mag gefaseerd worden verstrekt. Verwerker neemt redelijke maatregelen om de inbreuk te stoppen, gevolgen te beperken, bewijs te behouden en herhaling te voorkomen. 8.4 Verwerkingsverantwoordelijke beslist of melding aan de Autoriteit Persoonsgegevens of betrokkenen nodig is. Verwerker ondersteunt daarbij met beschikbare relevante informatie. Verwerker doet geen openbare mededeling over de inbreuk die Verwerkingsverantwoordelijke noemt zonder voorafgaand overleg, tenzij dit wettelijk verplicht is. 8.5 Partijen houden ieder hun wettelijk vereiste datalekregister bij. 9. Rechten van betrokkenen -------------------------- 9.1 Ontvangt Verwerker rechtstreeks een verzoek van een bewoner dat duidelijk over Klantgegevens gaat, dan stuurt Verwerker dit zonder onredelijke vertraging door naar Verwerkingsverantwoordelijke en beantwoordt Verwerker het verzoek niet inhoudelijk, behalve op instructie of wanneer de wet dit vereist. 9.2 Verwerker helpt, rekening houdend met de aard van de verwerking en voor zover technisch mogelijk, bij verzoeken om inzage, correctie, verwijdering, beperking, overdraagbaarheid, bezwaar en intrekking van toestemming. 9.3 Reguliere, proportionele ondersteuning via bestaande productfuncties of een redelijk aantal handelingen valt binnen het abonnement. Omvangrijke handmatige zoek-, herstel- of exportwerkzaamheden door een onjuiste inrichting of een bijzonder verzoek kunnen na voorafgaande aankondiging als meerwerk worden berekend, tenzij dit wettelijk niet is toegestaan of aan Verwerker te wijten is. 10. DPIA, voorafgaande raadpleging en toezicht --------------------------------------------- 10.1 Verwerker verstrekt op redelijk verzoek beschikbare informatie die Verwerkingsverantwoordelijke nodig heeft voor een DPIA of voorafgaande raadpleging, voor zover deze betrekking heeft op de diensten van Verwerker. 10.2 Verwerkingsverantwoordelijke blijft verantwoordelijk voor de beslissing of een DPIA of voorafgaande raadpleging verplicht is. Partijen erkennen dat de woongeluk-monitor vanwege structurele meting van welzijn binnen een afgebakende groep minimaal een gedocumenteerde DPIA-toets verdient. 10.3 Verwerker werkt binnen redelijke grenzen mee aan een onderzoek van een bevoegde toezichthouder. Partijen informeren elkaar, voor zover wettelijk toegestaan, over bevelen of verzoeken die de verwerking onder deze overeenkomst raken. 11. Subverwerkers ----------------- 11.1 Verwerkingsverantwoordelijke geeft algemene schriftelijke toestemming voor de subverwerkers in Bijlage 3 en voor toekomstige wijzigingen volgens dit artikel. 11.2 Verwerker informeert Verwerkingsverantwoordelijke ten minste 30 dagen vooraf over de toevoeging of vervanging van een subverwerker, bijvoorbeeld per e-mail of via een aan de klant bekendgemaakte actuele subverwerkerslijst. 11.3 Op deze termijn geldt één uitzondering, en die volgt uit de keten. Wanneer een subverwerker op zijn beurt zijn eigen subverwerkers wijzigt en daarvoor een kortere aankondigingstermijn hanteert dan 30 dagen, kan Verwerker niet meer tijd bieden dan hij zelf krijgt. In dat geval informeert Verwerker Verwerkingsverantwoordelijke zo spoedig mogelijk na ontvangst van dat bericht, en in elk geval ten minste 14 dagen vóór de ingangsdatum van de wijziging. Verwerker vermeldt daarbij dat het om zo'n doorgegeven wijziging gaat. 11.4 Verwerkingsverantwoordelijke kan binnen 14 dagen na de kennisgeving gemotiveerd bezwaar maken op redelijke privacy- of beveiligingsgronden, en binnen 7 dagen bij een kennisgeving op grond van artikel 11.3. Partijen zoeken eerst naar een redelijk alternatief. Als geen redelijk alternatief bestaat en het bezwaar gegrond blijft, kan Verwerkingsverantwoordelijke het wezenlijk geraakte deel van de dienst beëindigen tegen de ingangsdatum van de wijziging. Reeds verschuldigde vergoedingen blijven verschuldigd. 11.5 Verwerker legt iedere subverwerker schriftelijk in wezen dezelfde privacyverplichtingen op als in deze overeenkomst, voor zover relevant voor de uitbestede verwerking. Verwerker blijft tegenover Verwerkingsverantwoordelijke verantwoordelijk voor de nakoming door de subverwerker zoals artikel 28 AVG voorschrijft. 12. Export, einde en verwijdering -------------------------------- 12.1 Tijdens de overeenkomst kan Verwerkingsverantwoordelijke via beschikbare functies en op redelijk verzoek een export van Klantgegevens verkrijgen. 12.2 Na het einde van de Hoofdovereenkomst kan Verwerkingsverantwoordelijke gedurende 30 dagen een laatste export opvragen. Na deze termijn mag Verwerker de actieve omgeving onomkeerbaar verwijderen en doet dit uiterlijk 90 dagen na de einddatum, tenzij Partijen schriftelijk anders afspreken of wettelijke bewaring nodig is. 12.3 Verwijderde gegevens kunnen nog maximaal 14 dagen voorkomen in de roterende, afgeschermde back-ups die Verwerker zelf maakt. De hostingprovider uit Bijlage 3 kan daarnaast back-ups van de serveromgeving bewaren, met een maximale bewaartermijn van 90 dagen; ook daarin verdwijnt een verwijderd gegeven bij normale rotatie. Back-ups worden alleen gebruikt voor herstel en niet om verwijderde gegevens opnieuw actief te verwerken, behalve wanneer herstel van de volledige omgeving noodzakelijk is. In dat geval worden eerder geldende verwijderingen zo snel mogelijk opnieuw uitgevoerd. 12.4 Op schriftelijk verzoek bevestigt Verwerker de verwijdering. Verwerker mag gegevens langer bewaren wanneer Unierecht of Nederlands recht dat verplicht, maar isoleert deze dan van regulier gebruik en verwerkt ze alleen voor dat wettelijke doel. 12.5 Voor proefomgevingen geldt de in de Hoofdovereenkomst vastgelegde levenscyclus: de omgeving wordt na afloop vergrendeld en uiterlijk 90 dagen later verwijderd, met vooraf een waarschuwing en exportmogelijkheid. 13. Internationale doorgiften ------------------------------ 13.1 Verwerker verwerkt of laat Klantgegevens buiten de EER verwerken wanneer dit nodig is voor de dienst en een geldige grondslag uit hoofdstuk V AVG aanwezig is. 13.2 Waar geen adequaatheidsbesluit geldt, gebruikt Verwerker passende waarborgen, waaronder waar toepasselijk de door de Europese Commissie vastgestelde Standard Contractual Clauses, en beoordeelt Verwerker of aanvullende technische, contractuele of organisatorische maatregelen nodig zijn. 13.3 Resend verwerkt e-mailgegevens in de Verenigde Staten. Volgens de actuele documentatie gebruikt Resend het EU-VS Data Privacy Framework en Standard Contractual Clauses. Verwerker controleert periodiek of de gebruikte doorgiftewaarborg nog geldig is. 14. Audit en verantwoording --------------------------- 14.1 Verwerker stelt op verzoek passende informatie beschikbaar om naleving van deze overeenkomst aan te tonen, zoals relevante beleidsinformatie, subverwerkersgegevens, beveiligingsbeschrijvingen en beschikbare onafhankelijke rapportages. 14.2 Als deze informatie redelijkerwijs onvoldoende is, mag Verwerkingsverantwoordelijke maximaal eenmaal per kalenderjaar een audit laten uitvoeren door een onafhankelijke, deskundige auditor die aan geheimhouding is gebonden. Een audit wordt minimaal 30 dagen vooraf aangekondigd, vindt tijdens normale kantooruren plaats, verstoort de dienstverlening zo min mogelijk en geeft geen toegang tot gegevens van andere klanten of bedrijfsgeheimen die niet nodig zijn voor de audit. 14.3 Verwerkingsverantwoordelijke draagt de redelijke kosten van een audit, tenzij de audit een wezenlijke, aan Verwerker toerekenbare tekortkoming aantoont. In dat geval draagt Verwerker zijn eigen redelijke medewerkingskosten en neemt Verwerker een passend herstelplan aan. 14.4 Bij een concreet beveiligingsincident, gemotiveerd vermoeden van ernstige niet-naleving of bindend verzoek van een toezichthouder geldt de beperking van eenmaal per jaar niet. 15. Aansprakelijkheid --------------------- 15.1 De aansprakelijkheidsregeling uit de Hoofdovereenkomst en algemene voorwaarden geldt ook voor deze verwerkersovereenkomst, voor zover de wet dit toelaat. 15.2 Iedere partij blijft verantwoordelijk voor boetes, schade en kosten voor zover deze het gevolg zijn van haar eigen handelen, nalaten of instructies en overeenkomstig de verdeling van verantwoordelijkheid onder de AVG. 15.3 Geen bepaling beperkt de rechten van betrokkenen of bevoegdheden van een toezichthouder. 16. Rangorde, wijziging en duur ------------------------------ 16.1 Bij strijdigheid over de bescherming van persoonsgegevens geldt de volgende rangorde: dwingend privacyrecht, toepasselijke Standard Contractual Clauses, deze verwerkersovereenkomst, de Hoofdovereenkomst en daarna de algemene voorwaarden. 16.2 Wijzigingen van deze verwerkersovereenkomst zijn alleen geldig wanneer zij schriftelijk of aantoonbaar elektronisch door beide Partijen zijn aanvaard, behalve een wijziging van Bijlage 3 volgens artikel 11. 16.3 Deze overeenkomst begint op [INGANGSDATUM] en eindigt nadat alle Klantgegevens overeenkomstig artikel 12 zijn teruggegeven of verwijderd en de laatste wettelijke verplichtingen van Verwerker zijn vervallen. 17. Toepasselijk recht en geschillen ------------------------------------ 17.1 Op deze overeenkomst is Nederlands recht van toepassing. 17.2 Partijen proberen een geschil eerst in goed overleg op te lossen. Als dat niet lukt, wordt het geschil voorgelegd aan de bevoegde rechter van de rechtbank Noord-Holland, tenzij dwingend recht een andere rechter aanwijst. ONDERTEKENING Voor Verwerkingsverantwoordelijke: Naam organisatie: [NAAM] Naam: [NAAM ONDERTEKENAAR] Functie: [FUNCTIE] Plaats: [PLAATS] Datum: [DATUM] Handtekening: ______________________________ Voor Verwerker: K&M Online / Buurtgenootje Naam: [NAAM BEVOEGDE ONDERTEKENAAR] Functie: [FUNCTIE] Plaats: Hoorn Datum: [DATUM] Handtekening: ______________________________ BIJLAGE 1 — BESCHRIJVING VAN DE VERWERKING =========================================== 1. Doelen - besloten bewonerscommunicatie en samenwerking; - account-, uitnodigings- en toegangsbeheer; - tonen van bewonersprofielen binnen de eigen vereniging; - berichten, reacties, likes, vermeldingen en peilingen; - agenda, reserveringen, RSVP en aanwezigheid; - groepen, teams, documenten, FAQ en huisregels; - notificaties via applicatie, e-mail en optionele browser-push; - vrijwillige woongelukmeting en rapportage, indien geactiveerd; - feedback, support, moderatie en behandeling van rapportages; - beveiliging, back-up, herstel, foutopsporing en beperkte gebruiksanalyse; - export en verwijdering bij account- of contractbeëindiging. 2. Categorieën betrokkenen - bewoners, leden, huurders, eigenaren en andere uitgenodigde gebruikers; - bestuursleden, beheerders en commissie- of teamleden; - contactpersonen bij Verwerkingsverantwoordelijke; - personen die in door gebruikers geplaatste inhoud worden genoemd of afgebeeld; - bezoekers van een door Verwerkingsverantwoordelijke gebruikte proefomgeving. 3. Categorieën persoonsgegevens - identificatie: naam, e-mailadres, huisnummer, interne user- en tenant-ID; - profiel: profielfoto, biografie, rol, status, voorkeuren; - authenticatie: gehashte tokens, uitnodigings- en agenda-feedgegevens, social-loginreferenties, sessiegegevens; - gebruik: login- en activiteitsmomenten, bezochte onderdelen en aantallen; - community-inhoud: berichten, foto's, reacties, likes, vermeldingen; - peilingen: gekozen opties en koppeling met gebruikersaccount; - agenda: evenement, reservering, RSVP, aanwezigheid en notities; - organisatie: groepen, teams, rollen en lidmaatschappen; - documenten en bestanden; - moderatie: rapportage, reden, melder, status en afhandeling; - woongeluk: scores, thema, maand en vrije toelichting; - feedback: bericht, URL, user-agent, browser, platform en schermresolutie; - push: endpoint en encryptiesleutels; - techniek en beveiliging: IP-adres, user-agent, logs, foutmelding, sessiepayload en back-upkopieën; - e-mailbezorging: ontvanger, onderwerp, bericht-ID, bounce- of klachtreden. 4. Mogelijke bijzondere persoonsgegevens De dienst is niet ontworpen om bijzondere persoonsgegevens te verzamelen. Gebruikers kunnen deze ongevraagd opnemen in berichten, documenten, rapportages, feedback of een vrije woongeluktoelichting. Partijen beperken dit door instructies, toegangsbeheer, moderatie, korte bewaartermijnen en verwijdering. Verwerkingsverantwoordelijke voert zo nodig vooraf een DPIA uit en stelt een geldige uitzondering op het verwerkingsverbod vast. 5. Frequentie en duur Doorlopend gedurende de Hoofdovereenkomst, afhankelijk van het gebruik door Verwerkingsverantwoordelijke en haar gebruikers, gevolgd door de export- en verwijdertermijnen uit artikel 12. BIJLAGE 2 — TECHNISCHE EN ORGANISATORISCHE MAATREGELEN ===================================================== Verwerker past, voor zover relevant en technisch beschikbaar, onder meer de volgende maatregelen toe: 1. Scheiding en toegangsbeveiliging - afzonderlijke database per klantomgeving, zonder gedeelde inhoudstabellen; - tenantgebonden sessies en serverzijdige autorisatiecontroles; - rollen en beperkte beheerrechten; - platformbeheer op een afgescheiden beheerdomein; - tweefactorauthenticatie en kortere inactiviteitstime-out voor superadmins; - toegang voor medewerkers en opdrachtnemers volgens need-to-know; - geheimhoudingsverplichtingen. 2. Authenticatie en tokens - passwordless login met eenmalige codes; - gehashte opslag van login-, uitnodigings- en andere verificatietokens waar de functie dit toelaat; - beperkte geldigheidsduur en eenmalig gebruik van gevoelige tokens; - rate-limiting en neutrale reacties tegen accountenumeratie; - mogelijkheid om een persoonlijke agenda-feedtoken te vernieuwen. 3. Transport en applicatiebeveiliging - versleutelde HTTPS-verbindingen in productie; - beveiligde, HttpOnly en SameSite-sessiecookie-instellingen in productie; - bescherming tegen CSRF voor webformulieren; - validatie en toegangscontrole voor uploads en media; - ondertekeningscontrole voor Resend-webhooks; - onderhoud van afhankelijkheden en beveiligingsupdates volgens een redelijke patchprocedure. 4. Monitoring en foutafhandeling - logging van relevante fouten en beveiligingsgebeurtenissen; - foutlogging die op de eigen server blijft, zonder externe foutdienst; - beperkte technische toegang voor onderzoek en herstel; - periodieke controle van mislukte e-mailbezorging en jobs. 5. Beschikbaarheid, back-up en herstel - nachtelijke back-up van klantdatabases, centrale database en klantbestandsopslag; - opslag buiten de publieke webroot; - roterende retentie van 14 dagen bij Verwerker zelf; de hostingprovider kan daarnaast tot 90 dagen bewaren (zie artikel 12.3 en Bijlage 3); - een mislukte nieuwe back-up verwijdert niet automatisch de laatste goede back-up; - gedocumenteerde export- en herstelprocedure; - volledige verwijderprocedure voor database, storage en centrale indexen. 6. Privacy by design en dataminimalisatie - centrale indexen bevatten alleen wat nodig is voor login, uitnodiging of agenda-feedrouting; - geen advertenties of commerciële bewonerstracking; - optionele push en externe login op initiatief van de gebruiker; - zelfbediening of ondersteuning voor correctie, export en verwijdering; - bewaartermijnen en periodieke opschoning volgens de afspraken van Partijen. 7. Incidentmanagement - intern contactpunt en procedure voor onderzoek van beveiligingsincidenten; - beperking van verdere schade en behoud van relevant bewijs; - melding aan Verwerkingsverantwoordelijke volgens artikel 8; - registratie van incident, gevolgen, maatregelen en opvolging. BIJLAGE 3 — SUBVERWERKERS EN EXTERNE DIENSTEN ============================================ A. Subverwerkers 1. mijn.host B.V. Juridische naam: mijn.host B.V. Vestigingsland: Nederland (Pietersbergweg 291, 1105 BM Amsterdam, KvK-nummer 89592514). Datacenter/regio: Nederland. mijn.host zet voor server- en back-upinfrastructuur zelf onderaannemers in die binnen Nederland en de Europese Economische Ruimte zijn gevestigd. Doel: hosting van applicatie, databases, bestanden en back-ups. Gegevens: alle categorieën die voor hosting technisch worden opgeslagen. Doorgiftewaarborg: niet van toepassing; de verwerking vindt plaats binnen de Europese Economische Ruimte. 2. Plus Five Five, Inc. (Resend) Vestigingsland: Verenigde Staten. Doel: verzenden van uitnodigingen, inlogcodes, notificaties en zakelijke e-mail; verwerken van bezorgstatussen en webhooks. Gegevens: e-mailadres, naam waar in e-mail gebruikt, onderwerp, inhoud van de verzonden e-mail, technische aflevergegevens en bounce-/klachtinformatie. Doorgiftewaarborg: EU-VS Data Privacy Framework en, waar nodig, Standard Contractual Clauses volgens de actuele Resend-DPA. Let op — dubbele rol: voor de verzending in onze opdracht is Resend subverwerker. Daarnaast verwerkt Resend account- en gebruiksgegevens als zelfstandig verwerkingsverantwoordelijke onder zijn eigen privacybeleid (artikel 9.1 van de Resend-DPA). Onder die gebruiksgegevens vallen volgens artikel 1.7 van die DPA uitdrukkelijk ook gegevens waarmee de afzender en ontvanger van een bericht kunnen worden vastgesteld. Voor dát deel is Resend dus geen subverwerker van ons en zijn wij er niet verantwoordelijk voor. Informatie: https://resend.com/legal/dpa en https://resend.com/legal/subprocessors. Verwerker gebruikt geen externe dienst voor foutregistratie of prestatiemonitoring. Fouten worden gelogd op de eigen server en verlaten die omgeving niet. B. Optionele externe aanbieders Afhankelijk van de keuze van de gebruiker kunnen Google of Microsoft worden gebruikt voor externe login en Google, Mozilla of Apple voor browser-push. Deze aanbieders ontvangen alleen gegevens wanneer de betreffende gebruiker de functie activeert. Hun precieze rol kan per functie bestaan uit subverwerker of zelfstandige verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke informeert gebruikers hierover in haar bewonersprivacyverklaring. C. Geen subverwerkers binnen deze overeenkomst Plausible Analytics wordt alleen op de openbare marketingsite gebruikt en verwerkt geen Klantgegevens uit de besloten bewonersomgeving. Zakelijke adviseurs en bevoegde autoriteiten zijn alleen ontvanger wanneer dit voor een eigen wettelijke of contractuele taak noodzakelijk is.