Concept: deze tekst is nog niet door een jurist gecontroleerd en niet alle gegevens zijn ingevuld.
Versie 2026-11-01
Afspraken over gegevens (verwerkersovereenkomst) BouwBord
**In gewoon Nederlands:** jij blijft de baas over de gegevens van je klanten. Wij gebruiken ze alleen om BouwBord voor je te laten werken, volgens jouw opdracht, en we houden ze veilig. Hieronder staan die afspraken precies uitgewerkt. Juridisch heet dit een verwerkersovereenkomst.
Deze overeenkomst is van toepassing op de verwerking van persoonsgegevens door (nog in te vullen) (KvK-nummer (nog in te vullen), (nog in te vullen)), hierna de verwerker, voor het bedrijf dat een account heeft, hierna de verantwoordelijke. Contact over privacy: (nog in te vullen).
1. Onderwerp en duur
De verwerker verwerkt persoonsgegevens voor de verantwoordelijke om de dienst BouwBord te leveren. De overeenkomst loopt zolang het account bestaat en eindigt daarmee.
2. Aard en doel
Opslaan, ordenen, tonen en doorsturen van gegevens van klanten van de verantwoordelijke, om klussen, afspraken, offertes, facturen en bonnen te beheren en aanvragen te ontvangen. De verwerker verwerkt de gegevens alleen voor dit doel en niet voor eigen doeleinden: geen analyses over de inhoud, geen marketing aan deze personen, geen training van AI-modellen en geen doorverkoop.
3. Soort gegevens en betrokkenen
- Betrokkenen: klanten, leads en contactpersonen van de verantwoordelijke, en medewerkers van de verantwoordelijke.
- Gegevens: naam, adres, e-mailadres, telefoonnummer, omschrijving en notities van klussen, foto's, afspraken, offertes, facturen, bonnen, en voor medewerkers naam, e-mailadres en rol.
- De verantwoordelijke legt geen bijzondere persoonsgegevens (zoals gezondheidsgegevens), BSN of bankgegevens van klanten vast.
4. Plichten van de verantwoordelijke
De verantwoordelijke is verantwoordelijk voor de rechtmatigheid van de verwerking, informeert zijn klanten en geeft instructies aan de verwerker.
5. Plichten van de verwerker
- Verwerkt alleen op schriftelijke instructie van de verantwoordelijke, ook bij doorgifte buiten de EU. Deze overeenkomst en het gebruik van de dienst zijn de instructie.
- Zorgt dat iedereen met toegang tot de gegevens tot geheimhouding is gehouden.
- Treft passende beveiligingsmaatregelen (bijlage 2).
- Schakelt alleen subverwerkers in met toestemming van de verantwoordelijke. Daarvoor geldt de openbare lijst; wijzigingen worden vooraf aangekondigd en de verantwoordelijke kan bezwaar maken. De verwerker blijft aansprakelijk voor zijn subverwerkers.
- Helpt bij verzoeken van betrokkenen (inzage, verwijdering). Een verzoek dat rechtstreeks bij de verwerker binnenkomt, wordt doorgestuurd naar de verantwoordelijke.
- Helpt bij beveiliging, datalekken en privacy-effectbeoordelingen.
- Meldt een datalek zonder onredelijke vertraging aan de verantwoordelijke, uiterlijk binnen 48 uur na ontdekking.
- Verwijdert of retourneert de gegevens aan het einde van de overeenkomst, naar keuze van de verantwoordelijke.
- Levert de informatie die nodig is om naleving aan te tonen en laat audits toe, met redelijke begrenzing van omvang en kosten.
- Meldt het direct als een instructie volgens hem in strijd is met de privacywetgeving.
Bijlage 1: beschrijving van de verwerking
Zie artikelen 2 en 3.
Bijlage 2: beveiligingsmaatregelen
Alleen maatregelen die daadwerkelijk zijn gebouwd:
- Alle verbindingen via HTTPS met HSTS.
- Gegevens van verschillende bedrijven zijn in de database van elkaar gescheiden (Row Level Security), met geautomatiseerde tests die proberen data van een ander bedrijf op te halen.
- Foto's en bestanden staan in privé opslag; toegang loopt via tijdelijke, ondertekende links.
- Rechten per rol (eigenaar, administratie, medewerker), afgedwongen in de database.
- Wachtwoorden worden door de inlogdienst als hash opgeslagen. Geheime links (zoals afspraak- en uitnodigingslinks) zijn eenmalig, tijdelijk en alleen als hash opgeslagen.
- Dagelijkse limieten op mail, aanvragen en het uitlezen van bonnen tegen misbruik.
- Beveiligingsheaders en een Content Security Policy.
- Back-ups door de databaseleverancier.
- In voorbereiding: tweestapsverificatie, een logboek van acties per bedrijf, export en verwijderen van gegevens met één klik.
Bijlage 3: diensten die wij gebruiken (subverwerkers)
De actuele lijst staat op de pagina Diensten die we gebruiken.