Verwerkersovereenkomst

Partijen

De klant (verwerkingsverantwoordelijke) en Leadflits (verwerker), die namens en in opdracht van de verantwoordelijke persoonsgegevens verwerkt.

Onderwerp en duur

Deze overeenkomst regelt de verwerking van persoonsgegevens door Leadflits in het kader van het leveren van het platform (leadbeheer, offerte- en betaalafhandeling, communicatie). De overeenkomst geldt zolang Leadflits diensten levert aan de verantwoordelijke.

Aard en doel van de verwerking

Leadflits verwerkt gegevens uitsluitend om de overeengekomen diensten te leveren: het ontvangen en opvolgen van leads, het opstellen en versturen van offertes, het verwerken van (aan)betalingen en het bijhouden van de bijbehorende communicatie.

Soort gegevens en betrokkenen

• contactgegevens van eindklanten (naam, e-mailadres, telefoonnummer) en hun adresgegevens (postcode, huisnummer, straat, plaats) plus het type woning;
• foto's die de eindklant bij de aanvraag meestuurt, als de foto-upload-add-on aanstaat, en antwoorden op door de verantwoordelijke toegevoegde formuliervelden;
• notities van de verantwoordelijke bij de lead en een door het systeem berekende indicatie van volledigheid/urgentie (planningshulp, geen besluitvorming);
• de inhoud van aanvragen, berichten en offertes;
• betaalstatus van aanbetalingen;
• technische gegevens voor integraties (API-sleutels, webhook-URL's, push-abonnementen).

Betrokkenen zijn de (potentiële) klanten van de verantwoordelijke.

Verplichtingen van Leadflits

• verwerkt gegevens uitsluitend volgens de instructies van de verantwoordelijke;
• verplicht personen met toegang tot geheimhouding;
• treft passende technische en organisatorische beveiligingsmaatregelen (art. 32 AVG);
• schakelt subverwerkers alleen in onder gelijkwaardige verplichtingen (zie hieronder);
• helpt bij verzoeken van betrokkenen en bij meldingen van datalekken;
• wist of retourneert de gegevens na afloop van de dienst, tenzij bewaring wettelijk verplicht is;
• toont op verzoek aan dat aan deze verplichtingen is voldaan, en werkt mee aan een audit door of namens de verantwoordelijke: maximaal één keer per jaar (en daarnaast na een datalek dat de verantwoordelijke raakt), aangekondigd met een redelijke termijn, tijdens kantooruren, zonder toegang tot gegevens van andere klanten, en op kosten van de verantwoordelijke. Waar beschikbaar mag dit worden ingevuld met bestaande rapportages, certificeringen of documentatie.

Integraties en programmatische toegang

Op verzoek van de verantwoordelijke kan Leadflits leads ontvangen via beveiligde API-sleutels, gebeurtenissen doorsturen naar een door de verantwoordelijke opgegeven webhook-URL, en optionele pushmeldingen aan geautoriseerde console-gebruikers versturen. De verantwoordelijke beheert deze koppelingen en draagt zorg voor een geldige rechtsgrond en instructies. Bij gebruik van een webhook kunnen persoonsgegevens van leads worden verzonden naar de opgegeven URL; die endpoint en de beveiliging daarvan vallen onder de verantwoordelijkheid van de verantwoordelijke.

Subverwerkers

Leadflits maakt gebruik van de volgende subverwerkers: DigitalOcean (hosting van de applicatie en database, in een EU-datacenter), Cloudflare (CDN, TLS-terminatie en botbescherming vóór de applicatie), Resend voor e-mailverkeer en Mollie voor betalingen. De verwerking vindt plaats binnen de Europese Economische Ruimte (EER); subverwerkers werken onder AVG-conforme voorwaarden. De verantwoordelijke geeft hiervoor toestemming; wijzigingen in de subverwerkers worden vooraf gemeld.

Datalekken

Leadflits informeert de verantwoordelijke zonder onredelijke vertraging na kennisname van een inbreuk in verband met persoonsgegevens, zodat deze tijdig kan voldoen aan de meldplicht.