Partijen en toepassing
Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van de Redddie-projecttool en regelt de verwerking van persoonsgegevens die daaruit voortvloeit. Door je te registreren en de algemene voorwaarden te accepteren, ga je ook akkoord met deze verwerkersovereenkomst; een apart ondertekend exemplaar is niet nodig, tenzij je dat zelf wenst — mail dan naar info@redddie.com.
In deze overeenkomst is de Klant de verwerkingsverantwoordelijke: jij bepaalt welke gegevens van welke personen je in de Dienst invoert en met welk doel. Redddie is de verwerker: wij verwerken die gegevens uitsluitend namens jou en volgens jouw instructies, zoals die blijken uit je gebruik van de Dienst.
Onderwerp, aard en doel van de verwerking
Wij verwerken persoonsgegevens uitsluitend om de Dienst te kunnen leveren: het opslaan en tonen van de gegevens die je zelf invoert (projecten, taken, uren en de bijbehorende contactpersonen), het versturen van functionele e-mail (zoals e-mailverificatie en wachtwoordherstel) en het afhandelen van de betaling van je abonnement.
Wij gebruiken deze gegevens niet voor eigen doeleinden, verkopen ze niet door en gebruiken ze niet voor profilering of reclame.
De verwerking duurt zolang je een werkruimte bij ons hebt, en eindigt zoals beschreven bij "Bewaring en verwijdering" hieronder.
Categorieën van betrokkenen en gegevens
Gebruikers van de Dienst (jijzelf en eventuele teamleden die je uitnodigt): naam, e-mailadres, rol en wachtwoord — dat laatste altijd gehasht opgeslagen, nooit leesbaar.
Personen die je aan projecten of taken koppelt (bijvoorbeeld je eigen collega's of opdrachtgevers): naam, e-mailadres en optioneel een functie of rol. Dit zijn doorgaans geen bijzondere persoonsgegevens; zet je zelf toch gevoelige informatie in een vrij tekstveld (zoals een taakomschrijving of opmerking), dan is dat jouw keuze en jouw verantwoordelijkheid als verwerkingsverantwoordelijke.
Facturatiegegevens van de Klant zelf (bedrijfsnaam, e-mailadres, betaalgegevens) worden rechtstreeks door onze betaaldienstverlener Stripe verwerkt namens ons.
Verplichtingen van Redddie als verwerker
Wij verwerken persoonsgegevens uitsluitend op basis van jouw instructies, zoals die blijken uit je gebruik van de Dienst, en niet voor eigen doeleinden — tenzij we daartoe wettelijk verplicht zijn; in dat geval laten we je dit vooraf weten, tenzij de wet dat verbiedt.
Iedereen bij Redddie die toegang heeft tot persoonsgegevens is tot geheimhouding verplicht.
Wij nemen passende technische en organisatorische maatregelen, waaronder: wachtwoorden worden met bcrypt gehasht en nooit in leesbare vorm opgeslagen, alle verkeer verloopt via HTTPS/TLS, toegang tot gegevens is per werkruimte streng gescheiden (elke bevraging is aan jouw organisatie gebonden), er geldt rate-limiting tegen geautomatiseerde aanvalspogingen op het inlogproces, en beveiligingsheaders beperken de impact van eventuele kwetsbaarheden in de browser.
Wij melden een beveiligingsincident met (mogelijke) gevolgen voor persoonsgegevens zonder onredelijke vertraging aan jou, zodat jij zelf kunt beoordelen of een melding aan de Autoriteit Persoonsgegevens of aan betrokkenen nodig is.
Subverwerkers
Voor het leveren van de Dienst schakelen wij de volgende subverwerkers in: Vercel (hosting van de applicatie, EU-regio Frankfurt), Neon (databasehosting, EU-regio Frankfurt), Resend (verzenden van functionele e-mail) en Stripe (betalingsverwerking). Resend en Stripe hebben elk een eigen verwerkersovereenkomst met modelcontractbepalingen (Standard Contractual Clauses), die automatisch van toepassing is via hun eigen dienstenvoorwaarden; Resend is bovendien aangesloten bij het EU-VS Data Privacy Framework.
Wij informeren je als we een nieuwe subverwerker inschakelen of van subverwerker wisselen, zodat je daartegen bezwaar kunt maken op redelijke gronden.
Onze subverwerkers zijn contractueel verplicht tot een vergelijkbaar beschermingsniveau als in deze overeenkomst.
Doorgifte buiten de EU
Onze eigen hostingpartners (Vercel, Neon) verwerken de gegevens van jouw werkruimte binnen de EU (Frankfurt). Sommige subverwerkers, zoals Resend en Stripe, kunnen gegevens ook buiten de EU verwerken; in dat geval zorgen zij zelf voor een geldige doorgiftegrondslag: beide hanteren de EU-modelcontractbepalingen (Standard Contractual Clauses) via hun eigen verwerkersovereenkomst, en Resend is daarnaast aangesloten bij het EU-VS Data Privacy Framework.
Bijstand bij rechten van betrokkenen en audits
Krijgen wij zelf een verzoek van een betrokkene (bijvoorbeeld iemand die inzage vraagt in gegevens die jij over hem of haar hebt vastgelegd), dan sturen we dat verzoek naar jou door; de Dienst geeft je bovendien de mogelijkheid om gegevens van een Persoon zelf in te zien, aan te passen of te verwijderen.
Op redelijk verzoek geven we je de informatie die nodig is om aan te tonen dat wij aan deze overeenkomst voldoen, en werken we mee aan een redelijke audit, mits je dit van tevoren aankondigt en de bedrijfsvoering van Redddie en andere klanten niet onevenredig belast.
Bewaring en verwijdering
Zolang je werkruimte bestaat, blijven de gegevens beschikbaar zoals je ze hebt ingevoerd. Na opzegging van je abonnement geldt de bewaartermijn uit de algemene voorwaarden; daarna verwijderen wij de gegevens van je werkruimte, tenzij we ze wettelijk langer moeten bewaren (bijvoorbeeld facturatiegegevens voor de fiscale bewaarplicht).
Vraag je eerder om verwijdering van je hele werkruimte, dan doen we dat binnen een redelijke termijn, met dezelfde wettelijke uitzondering voor facturatiegegevens.
Looptijd en aansprakelijkheid
Deze verwerkersovereenkomst geldt zolang de onderliggende overeenkomst (de algemene voorwaarden) van kracht is, en eindigt automatisch daarmee.
Aansprakelijkheid onder deze verwerkersovereenkomst is onderworpen aan dezelfde beperking als in de algemene voorwaarden.