Verwerkersovereenkomst

Opdracht en rollen

De klant uit de offerte of bestelbevestiging is verwerkingsverantwoordelijke voor zijn bedrijfsdossiers; Drivaro is verwerker. Als de klant zelf voor een vervoerder verwerkt, moet zijn opdracht het inschakelen van Drivaro als verdere verwerker toestaan. Iedere partij houdt haar eigen wettelijke verantwoordelijkheden.

De opdracht omvat het ontvangen, ordenen, opslaan, tonen, wijzigen, verzenden, teruggeven en verwijderen van gegevens voor de overeengekomen Drivaxo-functies. Ze loopt tijdens de dienstverlening en de afgesproken afronding, totdat de betrokken gegevens zijn verwijderd of teruggegeven.

Welke gegevens en personen?

• Personen: gebruikers, managers, chauffeurs, contactpersonen van klanten en vervoerders, ontvangers van pakketten en personen die in een noodzakelijk dossier worden genoemd.
• Gegevens: namen, contactgegevens, rollen, arbeids- en herinneringsdatums, verlof en afwezigheid, vervoerderscodes, voertuiggegevens en toewijzingen, kilometerstanden, pakket- en stopaantallen, tankbeurten, klachten, bezorgadressen, correspondentie, noodzakelijke operationele bijlagen en handelingenhistoriek.
• De opdracht omvat geen kopieën of nummers van identiteitsdocumenten of rijbewijzen, rijksregisternummers, of kopieën of inhoud van arbeidsovereenkomsten; herinneringsdatums vallen wel onder de hierboven beschreven opdracht. Ook biometrische identificatie, medische dossiers, strafrechtelijke gegevens en continue GPS-controle zijn uitgesloten. Een noodzakelijke uitbreiding vraagt vooraf een afzonderlijke beoordeling en schriftelijke afspraak.

Alleen voor uw opdracht

We verwerken uitsluitend op gedocumenteerde instructies: de overeenkomst, toegestane instellingen en schriftelijke verzoeken van bevoegde contactpersonen. Is een instructie volgens ons in strijd met de AVG of andere gegevensbeschermingsregels, dan melden we dat onmiddellijk en voeren we het betwiste onderdeel niet uit zolang het probleem niet is opgelost.

Als een wet ons tot verwerking verplicht, informeren we de klant vooraf, behalve wanneer de wet dit om zwaarwegende redenen verbiedt. We gebruiken de dossiers niet voor eigen reclame, verkoop van persoonsgegevens of een ander zelfstandig doel.

Vertrouwelijkheid en beveiliging

Alleen bevoegde personen met een vertrouwelijkheidsplicht krijgen de noodzakelijke toegang. We passen risicogerichte technische en organisatorische maatregelen toe en verminderen het overeengekomen beschermingsniveau niet door een wijziging.

De maatregelen omvatten gescheiden bedrijfsrechten, controles op de server en in de database, versleutelde verbindingen, gehashte wachtwoorden, beschermde sessies, beperkte beheertoegang, registraties van belangrijke handelingen, back-ups en beveiligingstests. De beveiligingspagina beschrijft de reikwijdte; dit is geen certificering of garantie dat een incident onmogelijk is.

Andere verwerkers en internationale doorgifte

Bij aanvaarding machtigt de klant de noodzakelijke verwerkers uit de dan verstrekte leverancierslijst voor de daarin beschreven diensten. De lijst en versie worden bij de overeenkomst bewaard. We kondigen toevoeging of vervanging vooraf schriftelijk aan en geven voldoende gelegenheid om wegens gegevensbescherming bezwaar te maken, voordat de nieuwe partij de gegevens verwerkt.

We leggen gelijkwaardige gegevensbeschermingsverplichtingen op en blijven verantwoordelijk voor de uitvoering van hun verwerkersverplichtingen. Bij een gegrond bezwaar zoeken we een oplossing voordat de betrokken verwerking wordt voortgezet.

Verwerking buiten de EER gebeurt alleen op gedocumenteerde instructie en met een geldige grondslag onder hoofdstuk V AVG. Afhankelijk van de partij is dat een toepasselijk adequaatheidsbesluit of een andere geldige waarborg, zoals standaardcontractbepalingen met de benodigde beoordeling en aanvullende maatregelen. Hosting in België sluit buitenlandse ondersteuning of doorgifte via andere diensten niet uit.

Verzoeken, incidenten en controles

We helpen de klant bij inzage, correctie, verwijdering, beperking en overdracht, rekening houdend met de verwerking. Een verzoek dat ons rechtstreeks bereikt, sturen we zonder onnodige vertraging naar de verantwoordelijke klant. We antwoorden niet namens hem zonder bevoegdheid, tenzij de wet anders vereist.

Een inbreuk op persoonsgegevens melden we zonder onredelijke vertraging nadat we ervan kennis krijgen. We geven de beschikbare informatie over aard, betrokken personen en gegevens, gevolgen, contactpunt en maatregelen, en vullen die aan zodra meer bekend is. De wettelijke meldingstermijn van de verantwoordelijke is geen wachttijd voor ons.

We ondersteunen de klant bij beveiliging, meldingen, een gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging van de toezichthouder. We verstrekken noodzakelijke informatie om naleving aan te tonen en staan passende audits en inspecties toe, ook door een gemachtigde auditor. Afstemming over veiligheid en vertrouwelijkheid mag deze rechten niet uithollen.

Teruggave en verwijdering

Na afloop kiest de klant voor teruggave of verwijdering. We verwijderen bestaande kopieën, behalve voor zover Europees of Belgisch recht bewaring verplicht. Een wettelijke uitzondering wordt beperkt tot de betrokken gegevens en het vereiste doel.

Back-ups zijn niet bestemd voor dagelijks gebruik. Lokale databaseback-ups worden na ongeveer twee weken opgeruimd. In Google Cloud geldt een verwijderregel na 90 dagen, gevolgd door zeven dagen waarin verwijderde objecten nog herstelbaar zijn. Waar onmiddellijke selectieve verwijdering niet mogelijk is, volgt verwijdering uit back-ups deze cyclus. Bij herstel moeten eerdere verwijderingen opnieuw worden toegepast. Overdrachtsrechten en afgesproken ophaaltermijnen blijven gelden.