Verwerkersovereenkomst

1. Partijen

Verwerker: Koldwerk. Verwerkingsverantwoordelijke: het installatiebedrijf met een actieve werkruimte.

2. Onderwerp

Verwerker verwerkt persoonsgegevens van eindklanten ten behoeve van de uitvoering van de SaaS-overeenkomst. Verwerker handelt uitsluitend op gedocumenteerde instructie van de Verwerkingsverantwoordelijke.

3. Duur en bewaartermijn

Deze overeenkomst loopt parallel aan het Koldwerk-abonnement. Bij beëindiging:

• 30 dagen grace-period voor data-export door Verwerkingsverantwoordelijke
• Daarna anonimisering van PII; audit-records (zonder identificeerbare informatie) blijven 7 jaar bewaard conform BRL-100 / Wet milieubeheer
• Verwerkingsverantwoordelijke kan vóór anonimisering schriftelijk om volledige verwijdering verzoeken; we informeren dan welke wettelijke bewaarverplichtingen prevaleren

4. Sub-processors

Verwerker mag sub-processors inschakelen volgens de lijst in deprivacyverklaring. Database is een managed Postgres provider in EU-regio (actuele provider opvraagbaar via privacy@koldwerk.nl). Wijzigingen worden 30 dagen vooraf aangekondigd; Verwerkingsverantwoordelijke kan bezwaar maken.

5. Beveiligingsmaatregelen

• AES-256-GCM encryptie at-rest voor PII
• TLS 1.3 in transit
• Argon2id wachtwoord-hashing
• Append-only audit-log
• Multi-tenant rij-niveau isolatie
• HSTS, CSP, security headers
• Periodieke security-reviews; voor Enterprise-klanten is een externe pentest opvraagbaar bij contract

6. Datalek-procedure

Verwerker meldt elk datalek binnen 24 uur na ontdekking aan de Verwerkingsverantwoordelijke met alle relevante details voor melding bij de AP (binnen 72 uur).

7. Audit-recht

Verwerkingsverantwoordelijke heeft het recht om jaarlijks een audit uit te voeren of een derde-partij audit-rapport (bv. ISO 27001) op te vragen.

8. Categorieën persoonsgegevens

• NAW-gegevens van eindklanten (bedrijf, KvK, adres, contactpersoon)
• Contactgegevens (naam, e-mail, telefoon)
• Installatie-specifieke data (locatie, serienummers, koudemiddel)
• Werkbon-historie inclusief handtekeningen
• Audit-log met alle wijzigingen (BRL-eis)
• Account-gegevens van gebruikers (login, rol, sessie-metadata)

9. Categorieën betrokkenen

• Medewerkers van Verwerkingsverantwoordelijke (monteurs, administratie)
• Eindklanten van Verwerkingsverantwoordelijke (consument of zakelijk)
• Contactpersonen bij eindklanten (gebouwbeheerder, technische dienst)

10. Doorgifte buiten EER

Alle persoonsgegevens worden verwerkt binnen de EER. Indien een sub-processor in de toekomst gegevens buiten de EER zou verwerken, zal Verwerker passende waarborgen treffen conform AVG hoofdstuk V (Standard Contractual Clauses of adequaatheidsbesluit). Verwerkings- verantwoordelijke wordt 30 dagen vooraf geïnformeerd en kan bezwaar maken.

11. Technische en organisatorische maatregelen (TOM)

• Toegangscontrole: Multi-factor authentication voor administratieve toegang; rol-gebaseerde permissies; auto-logout bij inactiviteit
• Logische toegang: Multi-tenant rij-niveau isolatie op database-niveau; geen cross-tenant data-toegang mogelijk
• Encryptie: AES-256-GCM at-rest, TLS 1.3 in-transit, Argon2id voor wachtwoord-hashing
• Audit-trail: Append-only audit-log met tamper-evident chaining voor alle data-wijzigingen
• Back-up: Dagelijkse versleutelde back-ups, point-in-time-recovery op database-niveau
• Incident-response: Sentry voor real-time error-monitoring; 24u-meldplicht aan Verwerkingsverantwoordelijke bij datalek
• Pseudonimisering: Bij anonimisering na opzegging worden directe identifiers verwijderd of vervangen door pseudo-identifiers

12. Lijst van sub-processors

Verwerker maakt gebruik van de volgende sub-processors voor het leveren van de Koldwerk-dienst. Alle sub-processors zijn EU-gebonden voor data-opslag en hebben een eigen verwerkersovereenkomst (DPA) met Verwerker. Wijzigingen in deze lijst worden 30 dagen vooraf schriftelijk gemeld; Verwerkingsverantwoordelijke kan bezwaar maken.

Laatste wijziging sub-processor-lijst: 10-7-2026. Volledige DPA-documenten per sub-processor opvraagbaar via privacy@koldwerk.nl.