Deze verwerkersovereenkomst hoort bij de gebruiksvoorwaarden en geldt zodra u een account aanmaakt. Zij regelt hoe wij omgaan met de persoonsgegevens die u ons laat verwerken.
1. Partijen en rollen
U bent de verwerkingsverantwoordelijke voor de DMARC-rapporten van uw domeinen. Wij zijn daarvoor de verwerker: wij verwerken die gegevens uitsluitend in uw opdracht.
Voor uw eigen accountgegevens ligt dat anders. Naam, e-mailadres, wachtwoord, facturatiegegevens en onze beveiligingslogboeken verwerken wij als verwerkingsverantwoordelijke; daarvoor geldt onze privacyverklaring en niet deze overeenkomst.
2. Voorwerp en duur
Wij ontvangen DMARC-aggregaatrapporten voor de domeinen die u aanmeldt, ontleden ze, beoordelen uw e-mailauthenticatie en sturen u een analyse. De overeenkomst loopt zolang u een account heeft en eindigt zodra dat account verdwijnt.
3. Aard en doel van de verwerking
Wij verwerken de gegevens om de dienst te leveren die u afneemt: rapporten ontleden en bewaren, verzendende bronnen herkennen, uw DNS-records controleren, een score en actiepunten berekenen, en u daarover per e-mail, in het dashboard, via de API of via uw webhook informeren.
Wij gebruiken uw gegevens niet voor eigen doeleinden, maken er geen profielen mee, verkopen ze niet en gebruiken ze niet om onze analyses aan derden te verkopen.
4. Soorten gegevens en betrokkenen
| Soort gegeven | Betrokkenen |
|---|---|
| IP-adressen van servers die namens uw domein mail verstuurden | beheerders en gebruikers van die servers |
| Domeinnamen, aantallen berichten, uitkomsten van SPF- en DKIM-controles | — |
| E-mailadressen van wie rapporten naar ons doorstuurt | uw medewerkers of uw dienstverlener |
| E-mailadressen die u opgeeft als ontvanger van analyses | uw medewerkers |
Wij vragen u geen bijzondere categorieën van persoonsgegevens aan ons toe te sturen. DMARC-rapporten bevatten die normaal niet.
5. Uw instructies
Wij verwerken uitsluitend op uw instructie. Uw instructies zijn: deze overeenkomst, de instellingen die u in het dashboard maakt, en wat u ons schriftelijk vraagt. Zijn wij op grond van het recht van de Unie of van een lidstaat tot iets anders verplicht, dan melden wij dat vooraf, tenzij dat recht die melding verbiedt.
Menen wij dat een instructie in strijd is met de AVG, dan laten wij u dat weten.
6. Vertrouwelijkheid
Iedereen bij ons die toegang heeft tot uw gegevens is tot geheimhouding gehouden. Toegang krijgt alleen wie die nodig heeft om de dienst te leveren of te herstellen.
7. Beveiliging
Wij nemen passende technische en organisatorische maatregelen, waaronder:
- versleuteld verkeer (https met HSTS) en een strikt beveiligingsbeleid in de browser;
- wachtwoorden en API-tokens gehasht, TOTP-geheimen versleuteld opgeslagen;
- verplichte tweede factor bij het aanmelden, ook voor onze eigen beheerders;
- begrenzing van pogingen bij aanmelden, registreren en herstellen;
- gegevens strikt gescheiden per klant, met controle op elk verzoek;
- een logboek van handelingen, zodat achteraf na te gaan is wie wat deed;
- automatische verwijdering volgens vaste bewaartermijnen;
- dagelijkse back-ups op serverniveau bij onze hostingpartij.
8. Subverwerkers
U geeft ons algemene toestemming om subverwerkers in te schakelen. Dit zijn ze:
| Partij | Waarvoor | Waar |
|---|---|---|
| Hetzner, via Enhance | hosting, database en back-ups | Duitsland |
| Amazon Web Services (SES) | uitgaande e-mail | Frankfurt (eu-central-1) |
| Mollie | betalingen en machtigingen | Nederland |
| Europese Commissie (VIES) | controle van btw-nummers | Europese Unie |
| cron-job.org | het periodiek aanroepen van onze taken | Duitsland |
| Cloudflare | onderscheid tussen mens en bot bij registratie | alleen indien ingeschakeld |
Wij leggen elke subverwerker dezelfde verplichtingen op als in deze overeenkomst staan. Willen wij een subverwerker toevoegen of vervangen, dan melden wij dat vooraf; maakt u binnen dertig dagen gemotiveerd bezwaar, dan kunt u de overeenkomst kosteloos beëindigen.
9. Doorgifte buiten de Europese Economische Ruimte
Wij geven uw gegevens niet door buiten de EER. Alle hierboven genoemde partijen verwerken binnen de Unie, met uitzondering van Cloudflare, dat alleen wordt ingeschakeld als de bescherming tegen misbruik aanstaat en dan uitsluitend gegevens van het registratieformulier ziet.
10. Bijstand bij rechten van betrokkenen
Krijgt u een verzoek van een betrokkene, dan helpen wij u dat te beantwoorden. Het meeste kunt u zelf: rapporten zijn in te zien in het dashboard, te exporteren naar CSV en op te halen via de API, en u kunt uw account met alle gegevens zelf verwijderen. Richt een betrokkene zich rechtstreeks tot ons, dan verwijzen wij hem naar u en verwerken wij het verzoek niet zelf.
11. Bijstand bij verplichtingen en meldingen
Wij helpen u, voor zover redelijkerwijs mogelijk, bij een gegevensbeschermingseffectbeoordeling en bij overleg met de toezichthouder, en stellen u de informatie ter beschikking die u nodig heeft om aan te tonen dat u aan de AVG voldoet.
12. Inbreuken in verband met persoonsgegevens
Stellen wij een inbreuk vast die uw gegevens raakt, dan melden wij u dat zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat wij ervan kennis kregen. Wij vertellen wat er gebeurd is, welke gegevens het betreft, wat de gevolgen kunnen zijn en wat wij eraan doen. Melden bij de toezichthouder en, waar nodig, bij de betrokkenen blijft uw taak.
13. Bewaren en verwijderen
Wij ruimen dagelijks automatisch op volgens vaste bewaartermijnen, die in onze privacyverklaring staan en per pakket korter kunnen zijn. Verwijdert u uw account, dan verdwijnen alle bijbehorende gegevens onmiddellijk en onherroepelijk. Back-ups worden overschreven volgens het gewone schema van onze hostingpartij.
Ontvangen wij zestig dagen lang geen rapporten meer, dan waarschuwen wij u twee keer voordat wij het account opruimen. Dat traject stopt zodra er weer een rapport binnenkomt of u zich aanmeldt.
14. Controle
Op uw verzoek geven wij de informatie die nodig is om aan te tonen dat wij deze overeenkomst nakomen. Wenst u een audit ter plaatse, dan kondigt u die minstens dertig dagen vooraf aan, gebeurt dat hoogstens één keer per jaar en tijdens kantooruren, en draagt u de kosten, tenzij uit de audit een wezenlijke tekortkoming blijkt.
15. Aansprakelijkheid
Voor de aansprakelijkheid geldt wat in de gebruiksvoorwaarden staat. Deze overeenkomst beperkt niet wat de AVG rechtstreeks aan een betrokkene toekent.
16. Toepasselijk recht
Op deze overeenkomst is het Belgische recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechtbank van de plaats waar wij gevestigd zijn.