Verwerkersovereenkomst

Deze Verwerkersovereenkomst (DVO) is van toepassing op alle verwerkingen van persoonsgegevens die Mr. Safety uitvoert in opdracht van de Klant. Mr. Safety is Verwerker. De Klant is Verwerkingsverantwoordelijke.

Artikel 1. Definities

• AVG: Verordening (EU) 2016/679
• Verwerker: HBO Safe Consultancy B.V. (Mr. Safety)
• Verwerkingsverantwoordelijke: de Klant
• Betrokkene: de medewerker van wie gegevens worden verwerkt
• Subverwerker: een derde partij ingeschakeld door Mr. Safety

Artikel 2. Categorieën betrokkenen en gegevens

Betrokkenen

• Medewerkers van de Klant
• BHV-functionarissen
• Beheerders en gebruikers

Persoonsgegevens

• Naam, functie en contactgegevens
• BHV-certificaten en verloopdatums
• Incidentregistraties
• Inloggegevens en gebruiksdata
• Aanwezigheidsregistraties

Artikel 3. Verplichtingen van Mr. Safety

Mr. Safety verwerkt persoonsgegevens uitsluitend op basis van instructies van de Klant, zorgt voor geheimhoudingsverplichting voor alle medewerkers, neemt passende beveiligingsmaatregelen en staat audits toe.

Artikel 4. Subverwerkers

• Vercel Inc., hosting
• Supabase Inc., database
• Brevo SAS, e-mail

Mr. Safety legt aan subverwerkers dezelfde verplichtingen op en blijft volledig aansprakelijk. Klant wordt vooraf geïnformeerd over wijzigingen.

Artikel 5. Datalekken

Mr. Safety meldt een datalek uiterlijk binnen 48 uur na ontdekking aan de Klant, zodat de Klant zijn meldplicht bij de AP kan nakomen (72 uur).

Artikel 6. Dataportabiliteit en verwijdering

• Na beëindiging: data max. 90 dagen beschikbaar voor export
• Export mogelijk in CSV/JSON-formaat
• Na 90 dagen: definitieve en onherstelbare verwijdering
• Verwijdering schriftelijk bevestigd op verzoek

Conform de Data Act (van toepassing vanaf 12 september 2026).

Artikel 7. Toepasselijk recht

Op deze DVO is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter te Den Haag.

Bijlage 1, Beveiligingsmaatregelen

• HTTPS/TLS 1.2+ op alle verbindingen
• Data at rest versleuteld (AES-256)
• Wachtwoorden: bcrypt
• Twee-factor authenticatie beschikbaar
• Rolgebaseerde toegangscontrole (RBAC)
• Dagelijkse versleutelde back-ups (30 dagen retentie)
• Logging van alle toegang tot persoonsgegevens
• Geheimhoudingsplicht voor alle medewerkers