Verwerkersovereenkomst (art. 28 AVG)

1. Partijen en voorwerp

1.1 Verwerkingsverantwoordelijke is de gebruiker (hierna ‘opdrachtgever’), verwerker is iBeekeeper UG (haftungsbeschränkt), Lessingstraße 4, 15345 Altlandsberg, Duitsland (hierna ‘iBeekeeper’).

1.2 iBeekeeper verwerkt persoonsgegevens in opdracht van de opdrachtgever, voor zover deze ze in het kader van de gebruiksovereenkomst (algemene voorwaarden) in de dienst opslaat. Duur: looptijd van de gebruiksovereenkomst, vermeerderd met de termijnen volgens punt 9.

2. Aard, doel en omvang

3. Instructies

iBeekeeper verwerkt de gegevens uitsluitend op basis van schriftelijk vastgelegde instructies van de opdrachtgever. De instructies zijn uitputtend vastgelegd in de gebruiksovereenkomst en in de instellingen en functies van de dienst die de opdrachtgever gebruikt. Verdere instructies geeft hij in tekstvorm aan service@ibeekeeper.de. Acht iBeekeeper een instructie onrechtmatig, dan wijst iBeekeeper de opdrachtgever daar onverwijld op (art. 28 lid 3, derde zin, AVG).

4. Vertrouwelijkheid

iBeekeeper zet alleen personen in die tot vertrouwelijkheid zijn verplicht of aan een wettelijke geheimhoudingsplicht zijn onderworpen.

5. Technische en organisatorische maatregelen

iBeekeeper treft de maatregelen op grond van art. 32 AVG die in bijlage 1 zijn beschreven, en past ze aan de stand van de techniek aan zonder het beschermingsniveau te verlagen.

6. Subverwerkers

6.1 De opdrachtgever keurt de in bijlage 2 genoemde subverwerkers goed.

6.2 iBeekeeper informeert de opdrachtgever ten minste 30 dagen van tevoren in tekstvorm over elke voorgenomen toevoeging of vervanging. De opdrachtgever kan binnen deze termijn om een gewichtige reden op het gebied van gegevensbescherming bezwaar maken. Kunnen de partijen het niet eens worden, dan kan de opdrachtgever de gebruiksovereenkomst opzeggen tegen het tijdstip van de wijziging.

6.3 iBeekeeper legt elke subverwerker contractueel dezelfde verplichtingen inzake gegevensbescherming op.

7. Ondersteuning van de opdrachtgever

iBeekeeper ondersteunt de opdrachtgever met passende maatregelen bij het beantwoorden van verzoeken van betrokkenen (art. 12 tot en met 22 AVG), in het bijzonder door de export-, wijzigings- en verwijderingsfuncties van de dienst, en bij de verplichtingen op grond van art. 32 tot en met 36 AVG. Wendt een betrokkene zich rechtstreeks tot iBeekeeper, dan stuurt iBeekeeper het verzoek door naar de opdrachtgever.

8. Inbreuken in verband met persoonsgegevens

iBeekeeper meldt de opdrachtgever een inbreuk op de beveiliging van de opdrachtgegevens onverwijld, zo mogelijk binnen 48 uur na kennisname, met de gegevens volgens art. 33 lid 3 AVG, voor zover bekend.

9. Verwijdering en teruggave

De opdrachtgever kan de gegevens op elk moment zelf exporteren en verwijderen. Na het einde van de gebruiksovereenkomst respectievelijk na verwijdering van het account verwijdert iBeekeeper de opdrachtgegevens volgens de termijnen van de algemene voorwaarden (artikel 9.7), voor zover geen wettelijke verplichting tot opslag bestaat. Dagelijkse back-ups worden na 30 dagen verwijderd, per kalendermaand één stand na 12 maanden. Back-ups zijn versleuteld en worden alleen gebruikt voor herstel; na een herstel worden tussentijds verwijderde gegevens opnieuw verwijderd.

10. Bewijs en controles

iBeekeeper stelt de opdrachtgever op verzoek de informatie ter beschikking die nodig is om de naleving van deze verplichtingen aan te tonen, en maakt controles mogelijk door de opdrachtgever of een door hem aangestelde, tot geheimhouding verplichte controleur, na aanmelding met een redelijke termijn en tijdens de kantooruren. Het bewijs wordt bij voorrang geleverd door middel van documenten en inlichtingen.

11. Aansprakelijkheid en slotbepalingen

Voor de aansprakelijkheid geldt art. 82 AVG; voor het overige gelden de algemene voorwaarden. Bij tegenstrijdigheden gaat deze overeenkomst voor op de algemene voorwaarden, voor zover het gaat om de bescherming van persoonsgegevens.

Bijlage 1: Technische en organisatorische maatregelen

• Toegang tot gebouwen en fysieke beveiliging: servers uitsluitend in datacenters van OVHcloud, contractpartij OVH GmbH, Keulen; toegangscontrole door OVHcloud volgens haar verwerkersovereenkomst (versie van 17 oktober 2025).
• Toegang tot systemen: aanmelding met wachtwoord, wachtwoorden alleen als hash opgeslagen; beheerderstoegang tot de servers alleen met SSH-sleutel.
• Toegang tot gegevens: rechten in de dienst per account, delen alleen door de gebruiker; beheertoegang wordt gelogd (beheer-app, logboek van klantacties).
• Doorgifte: transportversleuteling TLS voor alle verbindingen; foto's zonder metadata.
• Invoercontrole: wijzigingsjournaal voor kasboek en uitgaande facturen, onveranderbare opslag met controlesom.
• Beschikbaarheid: dagelijkse back-up van de database en media op gescheiden opslag (objectopslag van OVHcloud in Duitsland); dagelijkse back-ups worden na 30 dagen verwijderd, per kalendermaand één stand na 12 maanden; de back-ups zijn versleuteld en worden alleen gebruikt voor herstel; het herstel wordt ten minste eenmaal per jaar beproefd en het resultaat gedocumenteerd.
• Scheiding: multi-tenant gegevensopslag, query's per account.
• Controle: beveiligingsupdates van de servers en afhankelijkheden, jaarlijkse controle van de maatregelen.

Bijlage 2: Subverwerkers

OVH GmbH zet op haar beurt ondernemingen van de OVHcloud-groep in, voor ondersteuning en onderhoud ook OVH Hébergement Inc. (Canada) en OVH Limited (Verenigd Koninkrijk); de actuele lijst staat op https://contract.eu.ovhapis.com/1.0/pdf/OVH_Sub_processors-de.pdf.

Geen subverwerkers: Mollie, Apple en Google (betaling respectievelijk aflevering in een eigen verhouding tot de gebruiker, geen opdrachtgegevens).