Verwerkersovereenkomst
ConceptVersie 30 oktober 2026 · tussen de klant (verwerkingsverantwoordelijke) en SkillData (een handelsnaam van Eagle Data Services) (verwerker)
Deze overeenkomst (artikel 28 AVG) hoort bij het gebruik van SkillData en geldt zodra de klant een account aanmaakt. Een getekende versie is op verzoek beschikbaar via arend@eagledata.nl.
1. Onderwerp en duur
De verwerker verwerkt persoonsgegevens alleen om de dienst SkillData te leveren, op schriftelijke instructie van de klant (het gebruik van de app geldt als instructie). De overeenkomst loopt zolang de klant SkillData gebruikt, plus de periode van verwijderen (artikel 9).
2. Welke gegevens, van wie
- Betrokkenen: medewerkers van de klant (ook oud-medewerkers) en gebruikers van de klant.
- Gegevens: naam, personeelsnummer, afdeling, functie en trede, leidinggevende, datum in en uit dienst, kwalificaties met niveau, behaal- en vervaldatum, notities, ontwikkeldoelen en inplanning; van gebruikers ook e-mailadres, rol, inloggegevens (IP-adres, apparaat) en het auditlog.
- Geen bijzondere persoonsgegevens: de klant voert geen gegevens over gezondheid, BSN of andere bijzondere categorieën in, ook niet in vrije tekstvelden.
3. Plichten van de verwerker
- Verwerkt alleen volgens de instructies van de klant en meldt het als een instructie in strijd lijkt met de AVG.
- Zorgt dat iedereen die toegang heeft tot de gegevens tot geheimhouding verplicht is.
- Helpt de klant bij verzoeken van betrokkenen (inzage, correctie, verwijdering, export), bij een DPIA en bij vragen van de toezichthouder.
- Verwerkt en bewaart de gegevens alleen in de Europese Economische Ruimte.
4. Beveiliging
- Verplichte tweestapsverificatie (MFA) voor alle gebruikers; wachtwoorden van minimaal 12 tekens, alleen gehasht opgeslagen.
- Alle verbindingen versleuteld (HTTPS met HSTS); strikte beveiligingsheaders.
- Strikte scheiding tussen klanten in de software, met automatische tests; rollen per gebruiker (beheerder, bewerker, lezer).
- Auditlog van alle wijzigingen en inlogpogingen; beperking van het aantal pogingen.
- Servers alleen bereikbaar voor beheer via een sleutel vanaf vaste adressen; de database is niet van buitenaf bereikbaar; automatische beveiligingsupdates.
- Dagelijkse back-ups, 14 dagen bewaard, in Duitsland.
5. Subverwerkers
De klant geeft toestemming voor de volgende subverwerkers. Een nieuwe subverwerker melden we minstens een maand vooraf; de klant mag dan bezwaar maken en zo nodig opzeggen.
| Partij | Waarvoor | Waar |
|---|---|---|
| Hetzner Online GmbH | Servers, opslag en back-ups | Neurenberg, Duitsland |
| Sendinblue SAS (Brevo) | Verzenden van e-mail (uitnodigingen, inlog- en herinneringsmails) | Frankrijk (EU) |
| Microsoft Ireland Operations Ltd. | Mailbox voor support en meldingen (verbeteringen, abonnementen) | EU |
| Cloudflare, Inc. | Alleen DNS (domeinnaam); geen persoonsgegevens, geen verkeer via Cloudflare | Wereldwijd |
6. Datalekken
Bij een (vermoedelijk) datalek informeert de verwerker de klant zonder onredelijke vertraging, uiterlijk binnen 48 uur na ontdekking, met wat er bekend is over aard, omvang, gevolgen en genomen maatregelen. De klant beslist over melding aan de Autoriteit Persoonsgegevens en betrokkenen.
7. Controle
De verwerker geeft de klant op verzoek de informatie die nodig is om naleving aan te tonen. Een audit door een onafhankelijke deskundige is mogelijk, op kosten van de klant en na overleg.
8. Aansprakelijkheid
Voor aansprakelijkheid gelden de algemene voorwaarden.
9. Einde en verwijderen
Na het einde kan de klant alle gegevens downloaden (in de app: Bedrijf → Alle gegevens downloaden). Na 30 dagen bedenktijd verwijdert de verwerker alle gegevens; kopieën in back-ups verlopen daarna binnen 14 dagen.