Verwerkersovereenkomst

1. Rollen

Voor de persoonsgegevens in de logboeken van je sites ben jij de verwerkingsverantwoordelijke en is WP Logbook je verwerker. Beheer je een site voor een klant, dan is je klant meestal de verwerkingsverantwoordelijke en ben jij diens verwerker; wij zijn dan je subverwerker, en je mag deze overeenkomst aan je klant laten zien als bewijs van hoe we werken.

Voor de accountgegevens van je eigen team (naam, zakelijk e-mailadres, inlogs bij WPLogbook) zijn wij de verwerkingsverantwoordelijke. Dat staat in onze privacyverklaring, niet in deze overeenkomst.

2. Wat we verwerken, en waarom

We verwerken persoonsgegevens alleen om WPLogbook aan je te leveren: vastleggen wat er op je sites gebeurt, het tonen, je waarschuwen, de acties uitvoeren die je kiest, rapporten maken en Tally laten werken. Dat doen we zolang je account loopt, plus de verwijdertermijnen in artikel 10.

Per site kun je het vastleggen van IP-adressen of querystrings uitzetten, en WordPress-gebruikers-ID’s vastleggen in plaats van namen. Die instellingen horen bij je instructies uit artikel 3. Een wijziging geldt vanaf dat moment; om eerdere vermeldingen van iemand te verwijderen, gebruik je de wisfunctie uit artikel 9.

We verwerken geen bijzondere persoonsgegevens (zoals gezondheidsgegevens), en je stelt WPLogbook zo in dat die ons niet bereiken.

3. Alleen op jouw instructie

We verwerken de gegevens alleen op jouw vastgelegde instructies. Je instellingen in WPLogbook en de acties die je erin uitvoert, gelden als die instructies. Denken we dat een instructie de privacywet schendt, dan laten we het je weten. We verkopen de gegevens nooit en gebruiken ze niet voor eigen doeleinden, met één uitzondering: je geeft ons de opdracht er anonieme, samengevoegde statistieken van te maken voor Update Weather en benchmarks, zoals beschreven in artikel 8 van de algemene voorwaarden. Persoonsgegevens halen we eruit voordat er iets wordt samengevoegd, en je kunt dit uitzetten in je accountinstellingen.

4. Geheimhouding

Iedereen bij WPLogbook die bij de gegevens kan, heeft een geheimhoudingsplicht en krijgt alleen de toegang die het werk vraagt. Elke toegang van onze medewerkers tot het logboek van een klant wordt zelf ook vastgelegd.

5. Beveiliging

We nemen passende technische en organisatorische maatregelen om de gegevens te beschermen, beschreven op onze beveiligingspagina. Daaronder vallen versleuteling onderweg en in opslag, hosting alleen in de EU, tweestapsverificatie voor medewerkers, minimale toegangsrechten en versleutelde back-ups. We kunnen deze maatregelen verbeteren, nooit afzwakken.

6. Subverwerkers

Je geeft ons algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat op onze beveiligingspagina. Elke subverwerker zit in de EU en heeft dezelfde verplichtingen als wij. We laten het je minstens 30 dagen vooraf weten als we er een toevoegen of vervangen; heb je een gegronde reden om bezwaar te maken en lossen we het niet op, dan kun je je account kosteloos beëindigen.

7. Geen doorgifte buiten de EU

We slaan de gegevens alleen op en verwerken ze alleen binnen de Europese Economische Ruimte. We werken niet met aanbieders die onder wetten vallen die hen kunnen dwingen gegevens af te geven aan autoriteiten buiten de EU zonder Europese rechtsgang.

8. Tally en AI-verwerking

• Tally leest alleen het logboek van je eigen sites, en alleen voor het werk uit de algemene voorwaarden.
• Tally draait op AI-modellen die in de EU worden gehost, via subverwerkers op onze lijst. Zij gebruiken de gegevens alleen om een antwoord te geven, bewaren ze maximaal 30 dagen om misbruik op te sporen en gebruiken ze niet om modellen te trainen. Wij ook niet.
• Wat Tally schrijft, wordt opgeslagen in je logboek, gemarkeerd als geschreven door Tally, en samen daarmee verwijderd.
• Je kunt Tally per site of voor je hele account uitzetten.

9. Datalekken en jouw verplichtingen

Ontdekken we een datalek dat jouw gegevens raakt, dan laten we het je zonder onnodige vertraging weten, en uiterlijk binnen 24 uur, zodat jij je eigen termijn van 72 uur haalt. We vertellen wat er gebeurde, welke gegevens en mensen geraakt zijn, wat we hebben gedaan en wat jij mogelijk moet doen.

We helpen je met verzoeken van mensen die hun gegevens willen inzien, corrigeren of laten verwijderen. In WPLogbook vind je elke regel over een persoon en kun je die zelf wissen of exporteren. Waar redelijk helpen we ook bij een gegevensbeschermingseffectbeoordeling (DPIA).

10. Bewaren en verwijderen

• Regels bewaren we zo lang als de geschiedenis van je abonnement, daarna verwijderen we ze, tenzij je ze eerst exporteert.
• Eindigt je account, dan verwijderen we de gegevens binnen 30 dagen nadat de exporttermijn is gesloten. Versleutelde back-ups worden binnen nog eens 90 dagen overschreven.
• Ons logboek is fraudebestendig: regels zijn aan elkaar gekoppeld, zodat een gat of wijziging opvalt. Persoonsgegevens staan los van die keten, zodat we de gegevens van een persoon op verzoek kunnen wissen zonder het bewijs te breken dat de rest van het logboek klopt.

11. Controle en audits

We geven je de informatie die je nodig hebt om aan te tonen dat we ons aan deze overeenkomst houden. Eén keer per jaar, of na een datalek, mag je een onafhankelijke auditor dat laten controleren, met minstens 30 dagen vooraankondiging, tijdens werktijden en onder geheimhouding. De audit is voor jouw rekening, tenzij blijkt dat we ernstig tekortschieten.

12. Aansprakelijkheid en looptijd

Aansprakelijkheid onder deze overeenkomst volgt de algemene voorwaarden. Deze overeenkomst loopt zolang we persoonsgegevens voor je verwerken. Spreekt ze de algemene voorwaarden tegen, dan gaat deze overeenkomst voor bij alles wat met persoonsgegevens te maken heeft.

WPLogbook is een dienst van WP Logbook, Pastoor Jansstraat 5, 6658 AZ Beneden-Leeuwen, ingeschreven bij de Kamer van Koophandel (KvK) onder nummer 84342145. Vragen over deze overeenkomst: privacy@wplogbook.com.