VERWERKERS- OVEREENKOMST

LUCRASOFT DIGITAL B.V.

Bestaande uit:

Deel 1. Data Pro Statement

Deel 2. Standaardclausules voor verwerkingen

Versie 4-2021

DEEL 1: DATA PRO STATEMENT

Dit Data Pro Statement vormt samen met de Standaardclausules voor verwerkingen de verwerkersovereenkomst voor webhosting en e-mail campagnes door Lucrasoft Digital B.V..

ALGEMENE INFORMATIE

1. Dit Data Pro Statement is opgesteld door:

Lucrasoft Digital B.V.

Gevestigd te: Xx Xxxxxxx 0, 0000XX Xxxxxxx Xxx Xxxxxxx Handelsnamen/merken: Dutch Grit, Picario, Movin en Synda

Voor vragen over dit Data Pro Statement of dataprotectie kan contact opgenomen worden met:

Xxxxxx Xxxxx xxxxxx@xxxxxxxxx.xx 078-6811501

2. Dit Data Pro Statement geldt vanaf: 01-04-2021

De in dit Data Pro Statement omschreven beveiligingsmaatregelen passen wij regelmatig aan om ten aanzien van data protectie steeds voorbereid en actueel te blijven. Wij houden u op de hoogte van nieuwe versies via onze normale kanalen.

3. Dit Data Pro Statement is van toepassing op de volgende producten en diensten van data processor

a) Webhosting van live- en testomgeving en development in ontwikkelomgeving

b) Xxxx xxxxxxx campagnes

c) Picario XPO

d) Movin App

e) Synda

4. A. Omschrijving Webhosting van live- en testomgeving en development in ontwikkelomgeving

Lucrasoft Digital ontwikkelt en host online diensten voor het MKB en klein corporate. Denk hierbij aan mobiele apps, webapplicaties en data-integraties.

De hosting bestaat uit hosting van de weboplossing op onze webservers en opslag van data op onze SQL en RavenDB databaseservers.

Tijdens ontwikkeling hosten wij voor testdoeleinden een kopie van de productdatabases op onze interne SQL en RavenDB testservers. Tijdens ontwikkeling hosten wij voor ontwikkeldoeleinden een kopie van de database op lokale ontwikkelmachines.

B. Omschrijving Xxxx mailing campagnes

Xxxx is een mailingapplicatie waarmee opdrachtgevers mail campagnes kunnen ontwerpen en versturen naar contactpersonen die zich voor de mailing hebben ingeschreven.

C. Omschrijving Picario XPO

Picario biedt visualisatiesoftware waarin een foto en design worden geïntegreerd om deze gecombineerd te visualiseren. Onze XPO engine stelt de afnemer in staat om levensechte visualisaties van kleur en/of design weer te geven op een gefotografeerd of gemodelleerd object.

D. Movin App

De Movin app is een Asset Tracking app. Deze biedt functionaliteiten voor werknemers op de werkvloer en verbindt met de backend van RTLS leveranciers voor de locatiebepaling.

E. Synda

Synda is een dataintegratieplatform (VAN) voor de tankcontainerbranche. Het koppelt systemen in de branche aan elkaar.

5. Beoogd gebruik

A. Webhosting en -development is ontworpen en ingericht om er de volgende soort gegevens mee te verwerken:

De gehoste data is afhankelijk van de gerealiseerde oplossing. Doorgaans betreft dit accountgegevens. Wij ontvangen en hosten geen betaalgegevens en/of creditcardgegevens, deze wisselt de bezoeker altijd direct uit met de specifieke paymentprovider. Verstuurt de webapplicatie e-mails, dan doen we dit via dataprocessor Postmark.

Bij deze dienst is geen rekening gehouden met de verwerking van bijzondere persoonsgegevens. Wij zullen adviseren of de webapplicatie hiervoor in aanmerking komt, besluit is ter eigen beoordeling van de opdrachtgever.

Bijzondere persoonsgegevens zijn gegevens betreffende iemands ras, etnische afkomst, politiek opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische gegevens, biometrische gegevens, gegevens over gezondheid, gegevens met betrekking tot seksueel gedrag of seksuele gerichtheid en strafrechtelijk relevante gegevens. Voor verwerking van bijzondere gegevens gelden strengere normen onder een andere verwerkersovereenkomst.

B. Xxxx xxxxxxx campagnes is ontworpen en ingericht om er de volgende soort gegevens mee te verwerken:

Standaard registreren wij: Naam, e-mailadres IP-adres en geo-locatie: stad/provincie/land.

Optioneel, als opdrachtgever daarvoor kiest, kunnen additionele filtervelden worden toegevoegd. Deze velden worden dan door opdrachtgever gebruikt om een mailing naar een specifieke doelgroep te richten. Denk hierbij aan: interessegebied, functie, adresgegevens, labels.

Bij het versturen van een mailing tracken wij statistieken om het succes van de mailing te meten. Dit zijn:

a) Geopend door met datum, tijd en aantal keer openen.

b) Doorklik op link ja/nee en datum/tijd.

c) IP-adres van mailclient en daaruit geo-locatie: stad/provincie/land.

d) Type mailclient.

e) Type device en versie OS.

Bij deze dienst is geen rekening gehouden met de verwerking van bijzondere persoonsgegevens. Wij zullen adviseren wanneer XPO hiervoor in aanmerking komt, besluit is ter eigen beoordeling van de opdrachtgever.

C. Picario XPO is ontworpen en ingericht om er de volgende soort gegevens mee te verwerken:

Ten behoeve van het maken van de visualisatie zal er gebruik gemaakt kunnen worden van NAW gegevens ter duiding van een object/locatie

D. Xxxxx app ontworpen en ingericht om er de volgende soort gegevens mee te verwerken:

De Movin app gebruikt locatiedata uit API’s van de gebruikte RTLS techniek. De Movin app bevat een login voor de gebruiker en toont de locatie van objecten en personen die door de RTLS techniek getraceerd worden.

Bij deze dienst is geen rekening gehouden met de verwerking van bijzondere persoonsgegevens. Wij zullen adviseren wanneer de app hiervoor in aanmerking komt, besluit is ter eigen beoordeling van de opdrachtgever.

E. Synda is ontworpen en ingericht om er de volgende soort gegevens mee te verwerken:

Synda ontvangt data uit systemen, vertaalt deze data en stuurt deze data door naar de andere systemen.

6. Lucrasoft Digital heeft bij het ontwerpen van het product/de dienst privacy by design op de volgende wijze toegepast:

A. / B.

a) De formulieren in onze applicaties bevatten alleen velden die op verzoek van opdrachtgever zijn ingebouwd. Wij controleren of de velden noodzakelijk zijn voor het beoogede doel en sturen aan op eliminatie van overbodige velden.

b) Onze weboplossingen bevatten uitsluitend gehashte wachtwoorden en geen wachtwoorden in leesbaar of decodeerbaar format.

c) Wij ontvangen geen betaal- of creditcardgegevens. Deze wisselt de bezoeker direct uit met de door opdrachtgever gekozen paymentprovider.

d) Gebruikerstracking wordt alleen op verzoek van opdrachtgever geïmplementeerd en alleen geactiveerd als bezoeker daar expliciet toestemming voor heeft gegeven.

e) Gebruiker wordt alleen voor een nieuwsbrief ingeschreven als deze de opt-in actief heeft aangevinkt.

f) Al onze weboplossingen worden standaard met SSL-certificaat uitgerust.

g) Wij gebruiken de verzamelde gegevens en bezoekerstracking niet en zullen de gegevens alleen inzien op verzoek van klant, bijvoorbeeld als dat nodig is om een supportvraag of storing op te lossen.

h) Op verzoek van opdrachtgever kunnen klantrecords uit de databases worden verwijderd.

C. a) Wij verzamelen geen informatie die kan worden gebruikt om personen te identificeren. Ook bewaart Picario geen data die persoonsgegevens bevatten.

D. a) Wij verzamelen geen informatie en geven de beschikbare data alleen door naar de interface.

•

X. x) Wij verzamelen geen informatie en sturen de vertaalde berichten door naar het andere systeem. Na succesvolle overdracht worden berichten na 7 dagen verwijdert. Bij mislukte overdracht worden berichten na 30 dagen verwijdert.

7. Data processor gebruikt de Data Pro Standaardclausules voor verwerkingen, welke verderop in dit document zijn bijgevoegd.

8. Data processor verwerkt de persoonsgegevens van zijn opdrachtgevers:

A. Webhosting en Webdevelopment dataopslag: binnen de EU/EER.

Versturen E-mails bij webhosting: buiten de EU/EER in de VS.

Lucrasoft Digital heeft voor het versturen van e-mails op de volgende manier geborgd dat een passend beschermingsniveau van toepassing is:

a) Voor de VS heeft de processor aangegeven dat zij een passend beschermingsniveau bieden;

De leverende processor (Postmark) heeft zich aangesloten bij het EU-US Privacy Shield: xxxxx://xxxxxxxxxxx.xxx/xx-xxxxxxx

B. Xxxx mailing campagnes dataopslag: buiten de EU/EER in de VS.

Lucrasoft Digital heeft voor Xxxx xxxxxxx campagnes op de volgende manier geborgd dat een passend beschermingsniveau van toepassing is:

b) Voor de VS heeft de processor aangegeven dat zij een passend beschermingsniveau bieden;

c) De leverende processor (Active Campaign) heeft zich aangesloten bij het EU- US Privacy Shield: xxxxx://xxx.xxxxxxxxxxxxxx.xxx/xxxxxxx-xxxxxx/

C. Picario XPO verwerkt de persoonsgegevens binnen de EU/EER.

D. Movin APP verwerkt de persoonsgegevens binnen de EU/EER.

E. Synda verwerkt de persoonsgegevens binnen de EU/EER.

9. Webapplicaties van Lucrasoft Digital maken standaard gebruik van de volgende sub-processors:

	Sub-procesor	Binnen de EU/EER	Privacy statement
A. / B.	Google Analytics	dataopslag in de VS, EU-US Privacy Shield compliant	xxxxx://xxxxxxxx.xxxxxx.xxx/xxxxxxx
A. / B.	Postmark	dataopslag in de VS, EU-US Privacy Shield compliant	xxxxx://xxxxxxxxxxx.xxx/xx-xxxxxxx
A. / B.	Active Campaign	dataopslag in de VS, EU-US Privacy Shield compliant	xxxxx://xxx.xxxxxxxxxxxxxx.xxx/xxxxxxx-xxxxxx/
A. / D.	Microsoft Azure	Binnen de EU	xxxxx://xxxxxxx.xxxxxxxxx.xxx/xx- nl/privacystatement
C.	Leaseweb	Buiten de EU	xxxxx://xxx.xxxxxxxx.xxx/xx/xxxxx/xxxxxxx- statement
A. / D.	Lucrasoft ICT Group	Binnen de EU	xxxxx://xxx.xxxxxxxxxxxxxxxxx.xx/xx/xxxxxxx- statement/

Op verzoek van opdrachtgever kunnen ook andere sub-processors aangesloten worden. In dat geval sluit de opdrachtgever zelf een directe overeenkomst met processor af. Onderdeel van deze overeenkomst is dan een vewerkersovereenkomst direct tussen opdrachtgever en processor. Lucrasoft Digital realiseert dan louter de technische integratie. Voorbeelden van dergelijke processors zijn paymentproviders, social media integraties, Hotjar, Piwik en andere SAAS oplossingen.

10. Lucrasoft Digital ondersteunt opdrachtgever op de volgende manier bij verzoeken van betrokkenen:

In geval van een inzage, correctie- of verwijderverzoek kan dit gestuurd worden naar xxxxxxx@xxxxxxxxx.xx. Na ontvangst van het verzoek zullen wij deze binnen 5 werkdagen verwerken en bevestigen/opleveren.

11. Beëindiging van de overeenkomst:

Na beëindiging van de overeenkomst met een opdrachtgever verwijdert Lucrasoft Digital de applicatie specifieke databases, inclusief persoonsgegevens, op moment van eindigen van de overeenkomst.

Lucrasoft Digital retourneert op verzoek van opdrachtgever de database met alle persoonsgegevens die hij voor opdrachtgever verwerkt heeft via eenmalige download. Het bewaren en/of vernietigen van deze gegevens is vervolgens een verantwoordelijkheid van de opdrachtgever.

Retentie in backups zorgt ervoor dat na 3 maanden de data daadwerkelijk verwijderd is. Omdat het hier een geautomatiseerd proces betreft is handmatig of eerder niet mogelijk.

BEVEILIGINGSBELEID

12. Data processor heeft de volgende beveiligingsmaatregelen genomen ter beveiliging van zijn product of dienst:

a) De datacenters (Databarn Rivium & Databarn Amsterdam), waar servers van Lucrasoft ICT Groep geplaatst zijn, zijn voorzien van een camera beveiligingssysteem en bezoekers registratie en zijn ISO:27001:2013 gecertificeerd.

b) Toegang tot de (database)servers is alleen mogelijk vanuit Lucrasoft vertrouwde netwerklocaties

c) Er zijn procedures opgesteld waardoor alleen geautoriseerd personeel heeft toegang tot de persoonsgegevens. Met een geheimhoudingsverklaring wordt dit ook na uitdiensttreding geborgd.

d) Onze web- en databaseservers worden beveiligd door firewall met het least priviliged principe. Applicaties hebben een eigen database per applicatie. Iedere applicatie heeft uitsluitend toegang tot zijn database.

e) Alle data binnen diensten van Lucrasoft zal zo veilig mogelijk worden opgeslagen.

Waar, in rust, encryptie mogelijk is zal dit worden toegepast.

f) Alle data zal met de hoogst mogelijke encryptie vorm die ondersteund wordt verstuurd worden.

g) Onze webservers worden maandelijks gepatched naar de laatste Windows updates.

Alle mobiele data dragers (denk aan oa laptops, USB-sticks en portable HD’s) van Lucrasoft Systems B.V. worden versleuteld.

DATALEKPROTOCOL

13. In geval er toch iets misgaat, hanteert Lucrasoft Digital het volgende datalekprotocol om ervoor te zorgen dat opdrachtgever op de hoogte is van incidenten:

De Functionaris gegevens bescherming (of DPO) zal ingelicht worden m.b.t. het mogelijke datalek. Hiervoor is een interne procedure. Hij zal een team samenstellen om de oorzaak, impact en getroffen klanten te analyseren. Al naar gelang de uitkomst hiervan zullen klanten, binnen 24 uur, op de hoogte gesteld worden door een email naar de technisch contactpersoon.

Lucrasoft Digital levert zo veel mogelijk relevante gegevens aan over:

a. Aard van de inbreuk: waaronder omschrijving van het incident, aard persoonsgegevens c.q. categorieën van betrokken data subjects, schatting van aantal betrokken data subjects en mogelijk betrokken databases, indicatie wanneer incident heeft plaatsgevonden;

b. Reeds genomen maatregelen door Lucrasoft Digital om de inbreuk te stoppen;

c. Te nemen maatregelen door de controller dan wel betrokken data subjects (wat kunnen betrokken data subjects zelf doen, bijvoorbeeld “houd mail in de gaten, wijzig passwords”

d. Te nemen maatregelen door Lucrasoft Digital om de inbreuk voortaan te voorkomen

Meldingen worden indien mogelijk binnen 24 uur gedaan aan opdrachtgevers. Lucrasoft Digital B.V. is zelf geen eigenaar van de data en kan zelf geen meldingen doen aan AP of Data subjects. De data processor zal de opdrachtgever of de controller desgewenst ondersteunen bij het meldproces.

DEEL 2: STANDAARDCLAUSULES VOOR VERWERKINGEN

Versie: april 2021

De Standaardclausules voor verwerkingen zijn opgenomen in hoofdstuk 2 van de NLdigital Voorwaarden 2020 en vormt samen met het Data Pro Statement de verwerkersovereenkomst. Het Data Pro Statement en de NLdigital Voorwaarden 2020 behoren standaard tot de bijlagen van een Overeenkomst.

Document Metadata

Table of Contents

VERWERKERS- OVEREENKOMST

Document Metadata