Verwerkersovereenkomst

Deze verwerkersovereenkomst ("DPA") regelt de verwerking van persoonsgegevens door Clear Solutions BV (de "Verwerker"), met maatschappelijke zetel te Bosdreef 8, 2910 Essen, ingeschreven in het rechtspersonenregister onder nummer 0668.982.670, ten behoeve van de klant (de "Verwerkingsverantwoordelijke") in het kader van het gebruik van de XyloSnap-applicatie (de "App").

Deze DPA maakt integraal deel uit van de Algemene Voorwaarden tussen de partijen en is opgesteld in overeenstemming met de standaardcontractbepalingen vastgesteld door de Europese Commissie in Uitvoeringsbesluit (EU) 2021/915 van 4 juni 2021, krachtens artikel 28, leden 3 en 7, van Verordening (EU) 2016/679 ("AVG").

01Doel en toepassingsgebied

(a) Deze standaardcontractbepalingen (de "Bepalingen") hebben tot doel de naleving te waarborgen van artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 (AVG) en/of artikel 29, leden 3 en 4, van Verordening (EU) 2018/1725.

(b) De Verwerkingsverantwoordelijken en de Verwerkers staan vermeld in Bijlage I.

(c) Deze Bepalingen laten de verplichtingen waaraan de Verwerkingsverantwoordelijke onderworpen is op grond van de AVG, onverlet.

(d) Deze Bepalingen garanderen op zichzelf niet de naleving van de verplichtingen inzake internationale doorgiften overeenkomstig hoofdstuk V van de AVG.

02Onveranderlijkheid van de bepalingen

(a) De partijen verbinden zich ertoe de Bepalingen niet te wijzigen, behalve om informatie toe te voegen aan of bij te werken in de Bijlagen.

(b) Dit laat onverlet de mogelijkheid voor partijen om de standaardcontractbepalingen op te nemen in een ruimere overeenkomst, of om aanvullende clausules of waarborgen toe te voegen, op voorwaarde dat zij niet direct of indirect afbreuk doen aan deze Bepalingen of de grondrechten of fundamentele vrijheden van betrokkenen schenden.

03Uitlegging

(a) Wanneer in deze Bepalingen termen worden gebruikt die in de AVG zijn gedefinieerd, hebben deze termen dezelfde betekenis als in die verordening.

(b) Deze Bepalingen worden uitgelegd in het licht van de bepalingen van de AVG.

(c) Deze Bepalingen worden niet zo uitgelegd dat ze in strijd zijn met de rechten en verplichtingen waarin de AVG voorziet of dat ze de fundamentele rechten of vrijheden van de betrokkenen schenden.

04Voorrang

In geval van tegenstrijdigheid tussen deze Bepalingen en de bepalingen van enige andere overeenkomst tussen de partijen die bestaat op het moment dat deze Bepalingen worden aanvaard of nadien wordt aangegaan, hebben deze Bepalingen voorrang.

05Beschrijving van de verwerking

De specifieke aspecten van de verwerking — waaronder de categorieën van persoonsgegevens, de categorieën van betrokkenen, de doeleinden, de aard en de duur van de verwerking — worden uiteengezet in Bijlage I.B.

06Verplichtingen van de partijen

6.1 Instructies

(a) De Verwerker verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Verwerkingsverantwoordelijke, tenzij hij hiertoe verplicht is op grond van het Unierecht of het recht van een lidstaat waaraan de Verwerker is onderworpen. In dat geval stelt de Verwerker de Verwerkingsverantwoordelijke voorafgaand aan de verwerking in kennis van dat wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. De Verwerkingsverantwoordelijke kan tijdens de gehele duur van de verwerking aanvullende instructies geven. Deze instructies worden steeds gedocumenteerd.

(b) De Verwerker stelt de Verwerkingsverantwoordelijke onmiddellijk in kennis indien hij van mening is dat de instructies van de Verwerkingsverantwoordelijke een inbreuk vormen op de AVG of de toepasselijke gegevensbeschermingsregels van de Unie of de lidstaten.

6.2 Doelbinding

De Verwerker verwerkt de persoonsgegevens uitsluitend voor het specifieke doel of de specifieke doelen van de verwerking zoals uiteengezet in Bijlage I.B, tenzij de Verwerker aanvullende instructies van de Verwerkingsverantwoordelijke ontvangt.

6.3 Duur van de verwerking

De Verwerker verwerkt de persoonsgegevens uitsluitend voor de duur die in Bijlage I.B is gespecificeerd.

6.4 Beveiliging van de verwerking

(a) De Verwerker neemt ten minste de in Bijlage II opgenomen technische en organisatorische maatregelen om de beveiliging van de persoonsgegevens te waarborgen. Dit omvat de bescherming van de gegevens tegen een inbreuk in verband met de beveiliging die leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot die gegevens, hetzij per ongeluk, hetzij onrechtmatig (een "inbreuk in verband met persoonsgegevens"). Bij de beoordeling van het passende beveiligingsniveau wordt door de partijen naar behoren rekening gehouden met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking, alsook met de risico's die de verwerking voor de betrokkenen meebrengt.

(b) De Verwerker verleent zijn personeel uitsluitend toegang tot de persoonsgegevens die het voorwerp van de verwerking zijn, voor zover dit strikt noodzakelijk is voor de uitvoering, het beheer en de monitoring van de overeenkomst. De Verwerker zorgt ervoor dat personen die gemachtigd zijn om de ontvangen persoonsgegevens te verwerken, zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting tot vertrouwelijkheid gebonden zijn.

6.5 Bijzondere categorieën persoonsgegevens

Indien de verwerking persoonsgegevens omvat waaruit ras of etnische afkomst, politieke opvattingen, godsdienstige of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijkt, genetische gegevens of biometrische gegevens met het oog op de unieke identificatie van een persoon, gegevens over gezondheid of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid, of gegevens betreffende strafrechtelijke veroordelingen en strafbare feiten (de "gevoelige gegevens"), past de Verwerker specifieke beperkingen en/of aanvullende waarborgen toe.

De Verwerker verwerkt in beginsel geen gevoelige gegevens. Verificatie via de App bestaat uit twee stappen: (i) de aflevering van een SMS met een verificatielink via AWS SNS (via AWS Pinpoint) als primaire route, met Twilio als geo-failover, en (ii) de eigenlijke identiteitscontrole (selfie + paspoort + biometrische vergelijking) door een gespecialiseerde sub-verwerker, uitgevoerd onder diens eigen verwerkersverantwoordelijkheid. De Verwerker ontvangt uitsluitend het beperkte resultaat (geslaagd/niet-geslaagd) en geen biometrische gegevens.

6.6 Documentatie en naleving

(a) De partijen moeten in staat zijn om de naleving van deze Bepalingen aan te tonen.

(b) De Verwerker behandelt verzoeken van de Verwerkingsverantwoordelijke met betrekking tot de verwerking van gegevens in overeenstemming met deze Bepalingen onverwijld en op passende wijze.

(c) De Verwerker stelt aan de Verwerkingsverantwoordelijke alle informatie ter beschikking die noodzakelijk is om de nakoming aan te tonen van de in deze Bepalingen vermelde verplichtingen die rechtstreeks voortvloeien uit de AVG. Op verzoek van de Verwerkingsverantwoordelijke staat de Verwerker tevens toe dat audits van de verwerkingsactiviteiten worden uitgevoerd waarop deze Bepalingen betrekking hebben, en draagt hij bij aan deze audits, met redelijke tussenpozen of indien er aanwijzingen zijn van niet-naleving. Bij de beslissing over een audit of inspectie kan de Verwerkingsverantwoordelijke rekening houden met relevante certificeringen waarover de Verwerker beschikt.

(d) De Verwerkingsverantwoordelijke kan ervoor kiezen de audit zelf uit te voeren of een onafhankelijke auditor te mandateren. Audits kunnen ook inspecties omvatten in de gebouwen of fysieke faciliteiten van de Verwerker en worden, in voorkomend geval, met redelijke vooraankondiging uitgevoerd.

(e) De partijen stellen de in dit punt bedoelde informatie, met inbegrip van de resultaten van audits, op verzoek ter beschikking van de bevoegde toezichthoudende autoriteit.

6.7 Gebruik van sub-verwerkers

(a) ALGEMENE SCHRIFTELIJKE TOESTEMMING: De Verwerker heeft de algemene toestemming van de Verwerkingsverantwoordelijke om de in een overeengekomen lijst opgenomen sub-verwerkers in te schakelen. De Verwerker stelt de Verwerkingsverantwoordelijke specifiek schriftelijk in kennis van elke beoogde wijziging van die lijst door toevoeging of vervanging van sub-verwerkers, en wel ten minste 30 dagen van tevoren, zodat de Verwerkingsverantwoordelijke voldoende tijd heeft om bezwaar te maken tegen dergelijke wijzigingen alvorens de sub-verwerker(s) wordt/worden ingeschakeld. De Verwerker verstrekt de Verwerkingsverantwoordelijke de informatie die nodig is om de Verwerkingsverantwoordelijke in staat te stellen zijn recht van bezwaar uit te oefenen. De huidige lijst van sub-verwerkers is opgenomen in Bijlage III.

(b) Indien de Verwerker een sub-verwerker inschakelt voor het verrichten van specifieke verwerkingsactiviteiten (namens de Verwerkingsverantwoordelijke), doet de Verwerker dat door middel van een overeenkomst die de sub-verwerker in wezen dezelfde gegevensbeschermingsverplichtingen oplegt als die welke krachtens deze Bepalingen op de Verwerker rusten. De Verwerker zorgt ervoor dat de sub-verwerker de verplichtingen nakomt waaraan de Verwerker op grond van deze Bepalingen en op grond van de AVG onderworpen is.

(c) Op verzoek van de Verwerkingsverantwoordelijke verstrekt de Verwerker aan de Verwerkingsverantwoordelijke een kopie van een dergelijke sub-verwerkersovereenkomst en eventuele latere wijzigingen daarvan. Voor zover dat noodzakelijk is om bedrijfsgeheimen of andere vertrouwelijke informatie, met inbegrip van persoonsgegevens, te beschermen, mag de Verwerker de tekst van de overeenkomst onleesbaar maken alvorens hij een kopie deelt.

(d) De Verwerker blijft volledig aansprakelijk jegens de Verwerkingsverantwoordelijke voor de nakoming van de verplichtingen van de sub-verwerker op grond van de overeenkomst met de Verwerker. De Verwerker stelt de Verwerkingsverantwoordelijke in kennis van elke niet-nakoming door de sub-verwerker van zijn contractuele verplichtingen.

(e) De Verwerker neemt een derdenbedingbepaling op ten gunste van de Verwerkingsverantwoordelijke in de overeenkomst met de sub-verwerker, zodat de Verwerkingsverantwoordelijke — in het geval de Verwerker feitelijk is verdwenen, opgehouden te bestaan in rechte of insolvent is geworden — de overeenkomst met de sub-verwerker kan beëindigen en de sub-verwerker kan opdragen de persoonsgegevens te verwijderen of terug te geven.

6.8 Internationale doorgiften

(a) Elke doorgifte van gegevens door de Verwerker naar een derde land of een internationale organisatie wordt uitsluitend uitgevoerd op gedocumenteerde instructie van de Verwerkingsverantwoordelijke of om aan een specifiek voorschrift krachtens het Unierecht of het recht van een lidstaat te voldoen waaraan de Verwerker is onderworpen, en wordt verricht in overeenstemming met hoofdstuk V van de AVG.

(b) De Verwerkingsverantwoordelijke stemt ermee in dat indien de Verwerker een sub-verwerker inschakelt in overeenstemming met clausule 6.7 voor het verrichten van specifieke verwerkingsactiviteiten (namens de Verwerkingsverantwoordelijke) en deze verwerkingsactiviteiten een doorgifte van persoonsgegevens in de zin van hoofdstuk V van de AVG omvatten, de Verwerker en de sub-verwerker de naleving van hoofdstuk V van de AVG kunnen garanderen door gebruik te maken van de door de Commissie op grond van artikel 46, lid 2, van de AVG vastgestelde standaardcontractbepalingen.

(c) Op het moment van opstelling van deze DPA vinden er geen routinematige doorgiften plaats naar derde landen buiten de Europese Economische Ruimte (EER). Alle huidige sub-verwerkers (zie Bijlage III) verwerken persoonsgegevens uitsluitend binnen de EER. Voor sub-verwerkers met hoofdkantoor buiten de EER (Twilio, Stripe, Sentry en Freshworks) wordt uitsluitend gebruikgemaakt van hun EU-gehoste infrastructuur en gelden de standaardcontractbepalingen van de Europese Commissie (Besluit 2021/914) en/of het EU-VS Data Privacy Framework als aanvullende waarborg.

07Bijstand aan de verwerkingsverantwoordelijke

(a) De Verwerker stelt de Verwerkingsverantwoordelijke onverwijld in kennis van elk verzoek dat hij van een betrokkene heeft ontvangen. Hij geeft hier zelf geen gevolg aan, tenzij hij hiertoe gemachtigd is door de Verwerkingsverantwoordelijke.

(b) De Verwerker biedt de Verwerkingsverantwoordelijke door passende technische en organisatorische maatregelen bijstand, voor zover mogelijk, bij het vervullen van diens verplichtingen om verzoeken van betrokkenen voor de uitoefening van hun rechten te beantwoorden, rekening houdend met de aard van de verwerking. Bij de vervulling van de verplichtingen onder de punten (a) en (b) volgt de Verwerker de instructies van de Verwerkingsverantwoordelijke op.

(c) Naast de in deze clausule bedoelde verplichting om bijstand te verlenen, helpt de Verwerker de Verwerkingsverantwoordelijke ook bij het waarborgen van de naleving van de volgende verplichtingen, rekening houdend met de aard van de gegevensverwerking en de informatie waarover de Verwerker beschikt:

1. De verplichting om een gegevensbeschermingseffectbeoordeling ("DPIA") uit te voeren wanneer een soort verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen.
2. De verplichting om de bevoegde toezichthoudende autoriteit te raadplegen voorafgaand aan de verwerking wanneer uit een DPIA blijkt dat de verwerking een hoog risico zou opleveren bij gebreke van door de Verwerkingsverantwoordelijke te treffen maatregelen om het risico te beperken.
3. De verplichting ervoor te zorgen dat persoonsgegevens correct en geactualiseerd zijn, door de Verwerkingsverantwoordelijke onverwijld in kennis te stellen wanneer hij merkt dat de persoonsgegevens die hij verwerkt onnauwkeurig of verouderd zijn.
4. De verplichtingen krachtens artikel 32 AVG.

08Melding van inbreuken

In geval van een inbreuk in verband met persoonsgegevens werkt de Verwerker samen met en helpt hij de Verwerkingsverantwoordelijke om aan zijn verplichtingen krachtens de artikelen 33 en 34 AVG te voldoen, rekening houdend met de aard van de verwerking en de informatie waarover de Verwerker beschikt.

8.1 Inbreuk inzake gegevens verwerkt door de Verwerker

In geval van een inbreuk in verband met persoonsgegevens die door de Verwerker worden verwerkt, stelt de Verwerker de Verwerkingsverantwoordelijke zonder onnodige vertraging in kennis van de inbreuk in verband met persoonsgegevens, en in ieder geval binnen 48 uur nadat hij ervan kennis heeft genomen. Deze kennisgeving bevat ten minste:

1. een beschrijving van de aard van de inbreuk (waar mogelijk met inbegrip van de categorieën van betrokkenen en gegevensregisters, het bij benadering geschatte aantal betrokkenen en het bij benadering geschatte aantal gegevensregisters);
2. de contactgegevens van een contactpunt waar meer informatie over de inbreuk in verband met persoonsgegevens kan worden verkregen;
3. de waarschijnlijke gevolgen van de inbreuk en de maatregelen die zijn of worden genomen om de inbreuk aan te pakken, met inbegrip van, in voorkomend geval, maatregelen om de eventuele nadelige gevolgen ervan te beperken.

Indien en voor zover het niet mogelijk is om alle informatie tegelijk te verstrekken, kan de eerste kennisgeving de informatie bevatten die op dat moment beschikbaar is, en wordt nadere informatie verstrekt zodra die beschikbaar komt en zonder onnodige vertraging.

8.2 Bijstand bij meldingsplicht

De Verwerker biedt de Verwerkingsverantwoordelijke bijstand bij het nakomen van zijn verplichting om de bevoegde toezichthoudende autoriteit en de betrokkenen in kennis te stellen, rekening houdend met de aard van de verwerking en de informatie waarover de Verwerker beschikt.

09Niet-naleving en beëindiging

(a) Zonder afbreuk te doen aan andere bepalingen van de AVG heeft de Verwerkingsverantwoordelijke het recht de Verwerker te instrueren de verwerking van gegevens op te schorten indien de Verwerker deze Bepalingen niet naleeft. De Verwerker stelt de Verwerkingsverantwoordelijke onverwijld in kennis indien hij om welke reden dan ook niet in staat is deze Bepalingen na te leven.

(b) De Verwerkingsverantwoordelijke heeft het recht het contract met de Verwerker te beëindigen voor zover het de verwerking van persoonsgegevens overeenkomstig deze Bepalingen betreft, indien:

1. de verwerking van persoonsgegevens door de Verwerker krachtens punt (a) is opgeschort en de naleving van deze Bepalingen niet binnen een redelijke termijn en in ieder geval binnen één maand na de opschorting is hersteld;
2. de Verwerker een wezenlijke of voortdurende inbreuk maakt op deze Bepalingen of op zijn verplichtingen krachtens de AVG;
3. de Verwerker geen gevolg geeft aan een bindend besluit van een bevoegde rechterlijke instantie of een bevoegde toezichthoudende autoriteit met betrekking tot zijn verplichtingen krachtens deze Bepalingen of de AVG.

(c) De Verwerker heeft het recht het contract te beëindigen voor zover het de verwerking van persoonsgegevens krachtens deze Bepalingen betreft, indien de Verwerkingsverantwoordelijke vasthoudt aan zijn instructies, na door de Verwerker ervan op de hoogte te zijn gebracht dat zijn instructies inbreuk maken op toepasselijke wettelijke vereisten in overeenstemming met clausule 6.1, punt (b).

(d) Na beëindiging van het contract verwijdert de Verwerker, naar keuze van de Verwerkingsverantwoordelijke, alle persoonsgegevens die namens de Verwerkingsverantwoordelijke zijn verwerkt en bevestigt hij aan de Verwerkingsverantwoordelijke dat hij dit heeft gedaan, of geeft hij alle persoonsgegevens terug aan de Verwerkingsverantwoordelijke en verwijdert hij bestaande kopieën, tenzij in het Unierecht of het lidstatelijke recht opslag van de persoonsgegevens vereist is. Totdat de gegevens zijn verwijderd of teruggegeven, blijft de Verwerker zorgen voor de naleving van deze Bepalingen.

I.A — Partijen

Verwerkingsverantwoordelijke: de natuurlijke persoon of rechtspersoon die de XyloSnap-applicatie installeert, activeert of gebruikt via zijn Freshdesk- of Freshworks-omgeving. De Verwerkingsverantwoordelijke wordt geïdentificeerd door het Freshdesk-account waarmee de App wordt gebruikt en de bedrijfsgegevens die bij de activering werden opgegeven.

Verwerker: Clear Solutions BV, Bosdreef 8, 2910 Essen, België. KBO 0668.982.670. Contact voor gegevensbeschermingsaangelegenheden: privacy@xylosnap.com.

I.B — Beschrijving van de verwerking

Categorieën van betrokkenen wier persoonsgegevens worden verwerkt:

• Eindgebruikers/klanten van de Verwerkingsverantwoordelijke die een verzoek indienen bij de helpdesk van de Verwerkingsverantwoordelijke en aan wie een identiteitsverificatie wordt gevraagd.
• Helpdesk-medewerkers (agents) van de Verwerkingsverantwoordelijke die de App gebruiken om verificaties op te starten en de resultaten in te zien.
• Eventuele andere personen wier gegevens onderdeel uitmaken van een Freshdesk-ticket waarvoor verificatie wordt aangevraagd.

Categorieën van persoonsgegevens die worden verwerkt:

• Identifiers: voornaam, achternaam, e-mailadres.
• Contactgegevens: mobiel telefoonnummer (gebruikt voor SMS-verzending).
• Verificatie-output: resultaat (geslaagd / niet-geslaagd), timestamp van de verificatie, identificatiemethode.
• Locatie-indicatoren: land (afgeleid uit telefoonnummer-landcode), gemaskeerd IP-adres (laatste octet/segment vervangen) op alle customer-facing oppervlakken — d.w.z. in Freshdesk-privénotities, klant-portaal en rapportages. Volledige IP-adressen blijven enkel toegankelijk in interne security-logs voor incident-response.
• Ticket-metadata: Freshdesk-ticket-ID, agent-ID, organisatie-ID — uitsluitend om de verificatie te koppelen aan het juiste ticket.

Gevoelige gegevens: Geen. Biometrische gegevens (selfie, paspoortscan) worden niet door de Verwerker ontvangen of opgeslagen — deze worden uitsluitend verwerkt door een gespecialiseerde sub-verwerker (zie Bijlage III) onder zijn eigen verantwoordelijkheid.

Aard van de verwerking: opslag, transmissie, geautomatiseerde verificatie-orchestratie, en weergave van resultaten binnen de Freshdesk-interface van de Verwerkingsverantwoordelijke.

Doeleinde(n) waarvoor de persoonsgegevens namens de Verwerkingsverantwoordelijke worden verwerkt:

• het verifiëren van de identiteit van helpdesk-aanvragers vóór gevoelige handelingen (wachtwoord-resets, toegang tot vertrouwelijke gegevens, contactwijzigingen);
• het voorkomen van social-engineering aanvallen op de helpdesk van de Verwerkingsverantwoordelijke;
• het ondersteunen van de Verwerkingsverantwoordelijke bij de naleving van zijn verplichtingen onder NIS2 en de AVG inzake sterke authenticatie.

Frequentie van de verwerking: doorlopend, on-demand op initiatief van een helpdesk-agent van de Verwerkingsverantwoordelijke. Geen automatische of bulk-verwerking buiten ticket-context.

Duur van de verwerking: voor de duur van de overeenkomst tussen partijen (zie Algemene Voorwaarden). Verificatieresultaten worden in de databank van de Verwerker bewaard zolang de overeenkomst loopt, behoudens wettelijke bewaarplichten. Na beëindiging van de overeenkomst worden alle persoonsgegevens binnen 30 dagen verwijderd of teruggegeven aan de Verwerkingsverantwoordelijke, naar diens keuze, conform clausule 9(d).

Sub-verwerkers: zie Bijlage III.

I.C — Bevoegde toezichthoudende autoriteit

De bevoegde toezichthoudende autoriteit is de Gegevensbeschermingsautoriteit (GBA) van België, gezien de hoofdvestiging van de Verwerker zich in België bevindt. Indien de Verwerkingsverantwoordelijke in een andere lidstaat is gevestigd, kan ook de in die lidstaat bevoegde autoriteit als hoofdtoezichthouder optreden voor de Verwerkingsverantwoordelijke.

Beschrijving van de technische en organisatorische maatregelen

1. Maatregelen voor pseudonimisering en versleuteling van persoonsgegevens

• Versleuteling van persoonsgegevens tijdens transport (TLS 1.2 of hoger) tussen alle systeemcomponenten en met externe partijen.
• Versleuteling van persoonsgegevens in rust (encryption at rest) op DynamoDB met AWS-managed AES-256.
• IP-adressen worden gepseudonimiseerd door het laatste octet/segment te maskeren vóór ze worden getoond in customer-facing oppervlakken (Freshdesk-privénotities, klant-portaal, rapportages). Volledige IP-adressen blijven enkel toegankelijk in interne security-logs voor incident-response.

2. Maatregelen om de blijvende vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van verwerkingssystemen en -diensten te waarborgen

• Hosting in AWS eu-central-1 (Frankfurt) met geografische redundantie binnen de EER.
• Toegangscontrole op basis van het principe van minimale rechten (least privilege): AWS IAM-rollen met multi-factor authenticatie (MFA) verplicht voor alle administratieve toegang.
• De productie-databank (DynamoDB) is toegankelijk uitsluitend via IAM-geauthenticeerde requests met per-Lambda least-privilege rollen; geen publiek endpoint.
• Centrale logging via AWS CloudWatch met retentie van 1 maand voor operationele en incident-response doeleinden.
• Foutmonitoring en alerting via Sentry voor real-time detectie van afwijkend gedrag.

3. Maatregelen om de beschikbaarheid en toegang tot persoonsgegevens tijdig te kunnen herstellen in geval van een fysiek of technisch incident

• DynamoDB point-in-time recovery (PITR) met een herstelvenster van 35 dagen op alle tabellen met persoonsgegevens.
• Cross-AZ-redundantie binnen de eu-central-1 regio (AWS-managed): persoonsgegevens worden synchroon gerepliceerd over meerdere availability zones binnen Frankfurt.
• Herstelprocedures gedocumenteerd binnen het interne incident-response beleid. Concrete RTO/RPO-doelstellingen worden vastgesteld in het kader van een dedicated disaster-recovery test (gepland).

4. Processen voor het regelmatig testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen

• Periodieke review van toegangsrechten en auditlogs door de verantwoordelijke voor gegevensbescherming.
• Geautomatiseerde dependency-scans op kwetsbaarheden in third-party software bij elke release.
• Wijzigingen aan PII-rakende code worden volledig gedocumenteerd in de Git commit history en zijn op verzoek auditeerbaar voor de Verwerkingsverantwoordelijke.

5. Maatregelen voor gebruikersidentificatie en -authenticatie

• Multi-factor authenticatie verplicht voor alle medewerkers van de Verwerker met toegang tot productiesystemen.
• Single Sign-On met sessie-timeout van maximaal 8 uur.
• Geen gedeelde accounts; elke administratieve handeling is herleidbaar tot een individuele gebruiker.

6. Maatregelen voor de bescherming van gegevens tijdens opslag en transmissie

• SMS-verzending verloopt primair via AWS SNS (AWS Pinpoint) in de eu-central-1 regio; bij tijdelijke onbeschikbaarheid van die route wordt automatisch overgeschakeld naar Twilio (EU-infrastructuur) als geo-failover. Beide kanalen zijn opgenomen in Bijlage III.
• Geen opslag van wachtwoorden in platte tekst; gebruik van industry-standard hash (Argon2id of bcrypt) waar wachtwoorden van toepassing zijn.

7. Maatregelen voor de bescherming van gegevens tijdens de transmissie

• Alle communicatie tussen client, Verwerker en sub-verwerkers verloopt via versleutelde HTTPS-verbindingen (TLS 1.2+).
• API-eindpunten beveiligd via per-installatie geheime sleutels (gegenereerd bij installatie van de App, opgeslagen in DynamoDB, gerotateerd bij her-installatie) in combinatie met een gedeelde API Gateway-key voor request-authenticatie.

8. Maatregelen voor de bescherming van gegevens tijdens de opslag

• Productie-databank (DynamoDB) versleuteld at rest met AWS-managed AES-256.
• Logs en back-ups (PITR-snapshots) versleuteld in rust binnen dezelfde AWS-faciliteit.

9. Maatregelen voor het waarborgen van de fysieke beveiliging van locaties waar persoonsgegevens worden verwerkt

• De Verwerker beschikt over geen eigen datacenters; alle productieverwerking vindt plaats binnen AWS-faciliteiten in Frankfurt, Duitsland, met ISO 27001, SOC 1, SOC 2 en SOC 3 certificering.
• Kantoorlocaties van de Verwerker zijn beveiligd met toegangscontrole en alarmsystemen.

10. Maatregelen voor de borging van de gebeurtenissenregistratie

• Alle toegang tot persoonsgegevens wordt gelogd met gebruikers-ID, gemaskeerd IP-adres (in customer-facing weergaven), tijdstempel en uitgevoerde actie.
• Logs worden gecentraliseerd in AWS CloudWatch met retentie van 1 maand voor incident-response en audit-doeleinden.

11. Maatregelen voor de waarborging van de systeemconfiguratie, met inbegrip van standaardconfiguratie

• Infrastructure as Code (IaC) via AWS CDK — alle infrastructuurwijzigingen verlopen via versioned code in Git en zijn auditeerbaar via commit history.
• Geautomatiseerde tests voor configuratie-drift; afwijkingen genereren automatische alerts.

12. Maatregelen voor intern IT- en IT-veiligheidsbeheer en -bestuur (met inbegrip van ISO 27001)

• Beleid inzake gegevensbescherming, beveiliging en incidentrespons gedocumenteerd en toegankelijk voor alle medewerkers.
• Bij uitbreiding van het team wordt een verplicht security-awareness training programma ingericht voor alle nieuwe medewerkers.
• Aangewezen interne verantwoordelijke voor gegevensbescherming: privacy@xylosnap.com.

13. Maatregelen voor de certificering/borging van processen en producten

• De primaire infrastructuur-sub-verwerker (AWS) beschikt over ISO 27001, ISO 27017, ISO 27018, SOC 1/2/3 en C5-certificering.
• De identiteitsverificatie-sub-verwerker beschikt over ISO/IEC 27001-certificering en eIDAS-conformiteit.

14. Maatregelen voor het waarborgen van gegevensminimalisatie

• De Verwerker ontvangt uitsluitend de minimale dataset die nodig is voor de verificatie: naam, telefoonnummer, en het resultaat (geslaagd/niet-geslaagd).
• Biometrische gegevens (selfie, paspoortscan) worden nooit aan de Verwerker doorgegeven en blijven bij de identificatie-sub-verwerker.

15. Maatregelen voor het waarborgen van de gegevenskwaliteit

• Verificatieresultaten worden onmiddellijk na ontvangst aan het ticket gekoppeld; geen latere wijziging van resultaten mogelijk.
• De Verwerkingsverantwoordelijke kan via support onnauwkeurige gegevens melden voor correctie.

16. Maatregelen voor het waarborgen van beperkte gegevensbewaring

• Verificatieresultaten worden bewaard voor de duur van de overeenkomst, behoudens wettelijke bewaarplichten.
• Na beëindiging van de overeenkomst worden alle persoonsgegevens binnen 30 dagen verwijderd (geautomatiseerde TTL-purge in DynamoDB), conform clausule 9(d).

17. Maatregelen voor het waarborgen van de verantwoordingsplicht

• Het verwerkingsregister (art. 30 AVG) wordt actueel gehouden en is op verzoek beschikbaar voor de Verwerkingsverantwoordelijke en de toezichthouder.
• Audit-trail van alle beleidswijzigingen en configuratiewijzigingen via versioned IaC.

18. Maatregelen voor het mogelijk maken van gegevensportabiliteit en het waarborgen van het verwijderen van gegevens

• Op verzoek van de Verwerkingsverantwoordelijke kan een export van alle verificatieresultaten in een gestructureerd, machineleesbaar formaat (CSV of JSON) worden geleverd.
• Volledige verwijdering binnen 30 dagen na beëindiging van de overeenkomst, met schriftelijke bevestiging.

De Verwerkingsverantwoordelijke heeft de Verwerker overeenkomstig clausule 6.7 algemene schriftelijke toestemming gegeven om beroep te doen op de volgende sub-verwerkers:

Alle bovenstaande sub-verwerkers verwerken persoonsgegevens uitsluitend binnen de Europese Economische Ruimte. Voor sub-verwerkers met hoofdkantoor buiten de EER (Twilio, Stripe, Sentry, Freshworks) wordt enkel gebruikgemaakt van hun EU-regio-infrastructuur; de EU-Modelcontractbepalingen (Besluit 2021/914) en/of het EU-VS Data Privacy Framework gelden als aanvullende waarborg. De Verwerker heeft met elke sub-verwerker schriftelijke overeenkomsten gesloten die hen ten minste dezelfde gegevensbeschermingsverplichtingen opleggen als die welke krachtens deze DPA op de Verwerker rusten.

13Contact

Voor vragen, audits, verzoeken om bijstand of meldingen in verband met deze DPA kunt u contact opnemen via:

Verantwoordelijke voor gegevensbescherming

privacy@xylosnap.com

Juridische zaken

legal@xylosnap.com

Maatschappelijke zetel

Clear Solutions BV
Bosdreef 8, 2910 Essen
België

Ondernemingsnummer (KBO)

0668.982.670