HomeVerwerkersovereenkomst

Verwerkersovereenkomst

Bij elke overeenkomst met een opdrachtgever sluiten wij standaard een verwerkersovereenkomst conform AVG art. 28. Onderstaand de actuele standaardversie — desgewenst aanpasbaar in overleg.

1. Partijen & aard van de verwerking

Verwerkings­verantwoordelijke is Opdrachtgever (de directe werkgever, flexorganisatie, verzekeraar, advocaat of belangenbehartiger). Verwerker is ADO-RE B.V. (Zeist, KvK 42093183), die in opdracht en namens Verwerkings­verantwoordelijke persoonsgegevens verwerkt voor een arbeidsmigrant uit Midden- of Oost-Europa of een Pools letselschadeslachtoffer, onafhankelijk van diens arbeidsstatus.

De aard van de verwerking betreft het verzamelen, vastleggen, structureren, opslaan, raadplegen, gebruiken en delen van persoonsgegevens, uitsluitend ten behoeve van de uitvoering van het overeengekomen traject.

2. Categorieën persoonsgegevens

Wij verwerken de volgende categorieën gegevens:

  • NAW-gegevens (werknemer of letselschadeslachtoffer, opdrachtgever, contactpersoon)
  • BSN (versleuteld opgeslagen — niet zichtbaar in rapport)
  • Geboortedatum en nationaliteit
  • Functie-, contract- en salarisgegevens
  • Belastbaarheids­gegevens (niet-medische, functionele beperkingen)
  • Communicatie- en gespreks­verslagen
  • Audit-/inlog­gegevens

3. Categorieën betrokkenen

  • Werknemers en Poolse letselschadeslachtoffers in een AD- of re-integratie­traject
  • Contactpersonen bij Opdrachtgever (HR, casemanager, verzekeraar, advocaat of belangenbehartiger)
  • Behandelaars zoals bedrijfsarts of huisarts (waar contactgegevens worden gedeeld)

4. Sub-verwerkers

ADO-RE maakt gebruik van de volgende sub-verwerkers, allemaal binnen de EER gevestigd of onder adequaatheids­besluit van de Europese Commissie:

  • TransIP B.V. (NL) — hosting portal-database (PostgreSQL)
  • Hetzner Online GmbH (DE) — versleutelde document-opslag
  • Mailbox.org GmbH (DE) — zakelijke e-mail
  • Proton AG (CH) — versleutelde communicatie met advocaten en cliënten
  • DeepL SE (DE) — concept-vertalingen met DPA voor zakelijke abonnees
  • SendGrid (IE-vestiging) — transactionele e-mails (EER-routing)

Wijziging van sub-verwerker melden wij minimaal 30 dagen vooraf. Verwerkings­verantwoordelijke heeft het recht tegen een nieuwe sub-verwerker bezwaar te maken op redelijke gronden.

5. Beveiligingsmaatregelen

ADO-RE neemt passende technische en organisatorische maatregelen:

  • TLS 1.3 voor alle data-in-transit
  • AES-256 voor data-at-rest (database + document­opslag)
  • BSN-versleuteling op veldniveau (column-level encryption)
  • Verplichte 2FA voor alle portal-gebruikers
  • Toegang volgens least-privilege-principe
  • Volledig audit-log van alle dossier­handelingen
  • Jaarlijkse penetratietest door externe partij
  • Off-site backup (versleuteld) met retentie 90 dagen
  • Incident-response procedure met SLA van 24 uur voor melding

6. Datalek-protocol

Bij een (vermoeden van) datalek informeert ADO-RE de Verwerkings­verantwoordelijke binnen 24 uur, met informatie over de aard van het lek, geraakte categorieën gegevens, geraakte personen, maatregelen die zijn genomen en aanbevelingen voor Verwerkings­verantwoordelijke. ADO-RE ondersteunt Verwerkings­verantwoordelijke desgewenst bij melding aan de Autoriteit Persoonsgegevens.

7. Rechten van betrokkenen

Verzoeken van betrokkenen (inzage, rectificatie, wissing, dataportabiliteit) worden in principe door Verwerkings­verantwoordelijke afgehandeld. ADO-RE levert binnen 14 werkdagen alle benodigde informatie en bescheiden aan om Verwerkings­verantwoordelijke in staat te stellen aan het verzoek te voldoen.

8. Audit-rechten

Verwerkings­verantwoordelijke heeft het recht éénmaal per kalenderjaar, op eigen kosten, een audit te laten uitvoeren door een onafhankelijke partij op de naleving van deze overeenkomst. ADO-RE verleent medewerking en stelt relevante documentatie beschikbaar.

9. Bewaartermijnen

Persoonsgegevens worden bewaard zolang noodzakelijk voor uitvoering van de overeenkomst, plus de wettelijke bewaartermijn (zie privacyverklaring sectie 4). Na verloop daarvan worden de gegevens automatisch en aantoonbaar vernietigd via de retentie-job in de portal.

10. Einde overeenkomst

Bij beëindiging van de hoofdovereenkomst worden alle persoonsgegevens van Verwerkings­verantwoordelijke ofwel teruggegeven (machinaal leesbaar export) ofwel veilig vernietigd, naar keuze van Verwerkings­verantwoordelijke. ADO-RE bewaart uitsluitend wat wettelijk verplicht is (bv. fiscale bewaarplicht facturen 7 jaar).

11. Download & standaardisering

Deze tekst geldt als ons standaard verwerkersovereenkomst. Wij stellen op verzoek een ondertekenings­klaar PDF ter beschikking. Indien u afwijkingen wenst (eigen sub-verwerker, andere audit-rechten, etc.), bespreken wij dat per geval — binnen redelijke marges zijn aanpassingen mogelijk.