Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van Blokscout. Ze geldt automatisch tussen OBDT Group VOF, gevestigd in Amsterdam (verwerker, "wij") en elke klant met een account (verwerkingsverantwoordelijke, "jij"), vanaf het aanmaken van het account. Wil je een getekende versie voor je eigen administratie, mail hallo@blokscout.nl; de inhoud is dezelfde.

1. Begrippen

Begrippen als persoonsgegevens, verwerking, betrokkene, verwerker, subverwerker en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG). "Dienst" is Blokscout zoals beschreven in de voorwaarden.

2. Onderwerp en duur

We verwerken persoonsgegevens alleen om de dienst aan jou te leveren. Welke gegevens, van wie en waarvoor, staat in Bijlage 1. Deze overeenkomst loopt zolang wij persoonsgegevens voor jou verwerken, dus ook in de periode na opzegging totdat alles is verwijderd.

3. Instructies

We verwerken de gegevens alleen op jouw schriftelijke instructies. Het gebruik van de dienst en de instellingen die je kiest, gelden als instructie, net als wat je ons per e-mail vraagt. We verwerken de gegevens niet voor eigen doeleinden, verkopen ze niet en gebruiken ze niet voor andere klanten. Moeten we bij wet iets anders doen, dan melden we dat vooraf, tenzij de wet dat verbiedt. Vinden we dat een instructie in strijd is met de AVG, dan zeggen we dat direct.

4. Geheimhouding

Alleen mensen die het voor de dienst echt nodig hebben, krijgen toegang tot de gegevens: op dit moment uitsluitend de oprichters van Blokscout. Zij zijn tot geheimhouding verplicht. Ze kijken alleen in de gegevens van een klant als dat nodig is voor support die de klant vraagt, om een storing of beveiligingsprobleem op te lossen, of bij Done-for-you met jouw toestemming (zie artikel 8 van de privacyverklaring).

5. Beveiliging

We nemen passende technische en organisatorische maatregelen om de gegevens te beveiligen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten en de risico's. De maatregelen staan in Bijlage 3. We mogen ze aanpassen, maar het niveau gaat nooit omlaag.

6. Subverwerkers

Je geeft ons algemene toestemming om de subverwerkers uit Bijlage 2 in te schakelen. Een nieuwe of andere subverwerker melden we minstens 30 dagen vooraf per e-mail en op deze pagina. Heb je een gegronde reden om bezwaar te maken, dan zoeken we samen een oplossing; lukt dat niet, dan mag je het abonnement direct opzeggen en betalen we de resterende betaalde periode terug. We leggen elke subverwerker minstens dezelfde verplichtingen op als in deze overeenkomst en blijven tegenover jou verantwoordelijk voor hun werk.

7. Doorgifte buiten de EER

We slaan de gegevens op in de Europese Economische Ruimte (de server staat in Nederland). Komen gegevens via een subverwerker buiten de EER, dan alleen met een passende waarborg uit de AVG, zoals een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework) of de modelcontractbepalingen van de Europese Commissie. Bijlage 2 laat per subverwerker zien waar de gegevens staan.

8. Rechten van betrokkenen

Veel verzoeken handel je zelf af in de dienst: gegevens inzien, aanpassen, exporteren of verwijderen, en iemand in het register "niet benaderen" zetten. Krijgen wij een verzoek van iemand van wie jij gegevens in Blokscout hebt, dan sturen we het binnen 5 werkdagen naar jou door en antwoorden we de betrokkene zelf niet inhoudelijk, tenzij jij dat vraagt. Lukt iets niet in de dienst, dan helpen we je binnen een redelijke termijn.

9. Datalekken

Ontdekken we een datalek dat jouw gegevens raakt, dan melden we dat zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan de eigenaar van je account, per e-mail. We geven zoveel mogelijk: wat er is gebeurd, welke soorten gegevens en hoeveel betrokkenen het ongeveer zijn, de waarschijnlijke gevolgen, wat we hebben gedaan en nog doen, en een contactpersoon. Weten we nog niet alles, dan vullen we de melding aan zodra we meer weten. Zo kun jij binnen 72 uur bij de Autoriteit Persoonsgegevens melden als dat nodig is. Het melden aan de Autoriteit Persoonsgegevens en aan betrokkenen doe jij; wij helpen daarbij. We houden een register bij van alle datalekken.

10. Hulp bij DPIA en vragen van de toezichthouder

Moet je een gegevensbeschermingseffectbeoordeling (DPIA) doen of vraagt de Autoriteit Persoonsgegevens je iets over de dienst, dan geven we je de informatie die je daarvoor nodig hebt. Gaat het om meer dan een paar uur werk, dan mogen we die tijd tegen ons gangbare uurtarief rekenen, behalve als het nodig is door een fout van ons.

11. Informatie en audit

We geven je alle informatie die nodig is om te laten zien dat we ons aan deze overeenkomst houden. Begin bij de pagina Beveiliging en deze overeenkomst; aanvullende vragen of een beveiligingsvragenlijst beantwoorden we schriftelijk. Is dat aantoonbaar niet genoeg, dan mag je eens per jaar een audit laten doen door een onafhankelijke, tot geheimhouding verplichte deskundige, na minstens 30 dagen aankondiging, zonder de dienst voor andere klanten te verstoren. De kosten van een audit zijn voor jou, tenzij de audit laat zien dat wij deze overeenkomst op een wezenlijk punt niet nakomen.

12. Einde: teruggeven en verwijderen

Na het einde van het abonnement kun je je gegevens 30 dagen exporteren (eigenaren als Excel, panden als CSV; een volledige export van je account sturen we op verzoek binnen 30 dagen). Daarna verwijderen we alle persoonsgegevens van je account binnen 30 dagen. Back-ups worden na 14 dagen automatisch overschreven. Gegevens die we wettelijk moeten bewaren, zoals facturen, bewaren we alleen daarvoor. Op verzoek bevestigen we de verwijdering schriftelijk.

13. Aansprakelijkheid

Voor de aansprakelijkheid onder deze overeenkomst gelden de afspraken uit de algemene voorwaarden. Elke partij is verantwoordelijk voor het eigen deel van de verplichtingen uit de AVG. Jij staat ervoor in dat je een grondslag hebt voor de gegevens die je in Blokscout zet en voor de manier waarop je betrokkenen benadert.

14. Overige

Bij strijd tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor als het om persoonsgegevens gaat. Wijzigingen melden we minstens 30 dagen vooraf. Nederlands recht is van toepassing; geschillen gaan naar de bevoegde rechter in Amsterdam.

Bijlage 1. Welke gegevens, van wie, waarvoor

Onderdeel	Betrokkenen	Persoonsgegevens	Doel
CRM en bellijst	Eigenaren, contactpersonen, bestuurders	Naam, soort eigenaar, adres, telefoon, e-mail, KvK-nummer, rol, status, notities, gesprekken, taken, documenten, toestemming om te bellen, niet-benaderen	Acquisitie: eigenaren vinden, benaderen en opvolgen
Eigendom en Kadaster	Eigenaren	Eigendom per pand of appartementsrecht, bron, resultaten van opvragingen	Weten wie wat bezit
Brieven en Done-for-you	Eigenaren	Naam en adres in samenvoegbrieven, verzenddatum, reacties	Eigenaren per brief benaderen
Concernstructuren	Bestuurders, aandeelhouders, betrokken partijen	Naam, rol, relaties tussen bedrijven en personen, bron en zekerheid	Structuren en betrokkenen bij objecten begrijpen
Kopers en mandaten	Beleggers en hun contactpersonen	Naam, bedrijf, contactgegevens, zoekprofiel, opdrachten	Kopers bij objecten zoeken, pijplijn bijhouden
CRM-mail	Eigenaren en andere afzenders of ontvangers	E-mailadressen, onderwerp, eerste 1.500 tekens	Contactgeschiedenis vastleggen
Huurders en contracten	Huurders	Naam, contactgegevens, contract, huur, betalingen, achterstanden, meldingen en foto's, handtekening met bewijsregel (tijdstip, IP-adres, browser, documenthash)	Verhuur en beheer
AI-inbox	Huurders	Berichten en mail van huurders, met AI-indeling en voorstel	Meldingen afhandelen
Onderhoud en inspecties	Vakmensen, huurders	Naam, bedrijf, contactgegevens, planning, foto's, facturen, meterstanden, handtekeningen	Onderhoud en oplevering
Team	Medewerkers van de klant	Naam, e-mailadres, rol, wie wat deed in het CRM	Samenwerken in het team

Aard van de verwerking: opslaan, ordenen, doorzoeken, tonen, samenvoegen in brieven en documenten, versturen van berichten op instructie, en tekst laten lezen of voorstellen laten maken door AI. Bijzondere persoonsgegevens: niet de bedoeling; zie artikel 4 van de privacyverklaring. Bewaartermijn: zolang jij de gegevens in je account bewaart, en daarna zoals in artikel 12.

Bijlage 2. Subverwerkers

Partij	Waarvoor	Welke gegevens	Waar	Status
Google Cloud (Google Cloud EMEA Ltd., Ierland)	Hosting van de applicatie en database, back-ups, AI via Vertex AI (Gemini)	Alle gegevens in Blokscout; voor AI alleen de tekst die voor die ene taak nodig is	Nederland (regio europe-west4, Eemshaven); back-ups in de EU	Actief
Stripe (Stripe Payments Europe Ltd., Ierland)	Abonnementen, facturen, opwaarderen van tegoed (iDEAL, kaart)	Bedrijfsnaam, naam en e-mailadres van de betaler, factuur- en betaalgegevens. Geen gegevens van eigenaren of huurders	EU; Stripe kan gegevens doorgeven aan de VS (EU-VS Data Privacy Framework en modelcontractbepalingen)	Actief
Resend (Resend, Inc., VS)	Versturen van e-mail: meldingen, uitnodigingen, wachtwoordherstel, berichten aan huurders en vakmensen die jij verstuurt	E-mailadres van de ontvanger en de inhoud van die e-mail	EU-regio (Ierland); Resend is een Amerikaans bedrijf (modelcontractbepalingen)	Nog niet actief
Forward Email (Forward Email LLC, VS)	Ontvangen van mail op je eigen adressen bij in.blokscout.nl (nieuwsbrieven, CRM-mail, huurdersmail) en die doorgeven aan Blokscout	De doorgestuurde e-mail, alleen tijdens het doorgeven	VS (modelcontractbepalingen)	Nog niet actief
Push-diensten van Apple, Google en Mozilla	Meldingen op je telefoon of computer, als je die zelf aanzet	Een versleuteld bericht; de push-dienst kan de inhoud niet lezen	Afhankelijk van je apparaat en browser	Actief

Niet in deze lijst, omdat ze geen persoonsgegevens van jou of je relaties krijgen: PDOK, CBS, de gemeente Amsterdam, EP-Online, het Rijksmonumentenregister en officielebekendmakingen.nl (wij halen daar openbare gegevens op en sturen alleen adressen of pand-id's mee) en Google Fonts (laadt lettertypes; ziet je IP-adres).

Nog niet ingeschakeld en daarom ook geen subverwerker: de API van de KvK (zou alleen KvK-nummers en bedrijfsnamen krijgen waar jij op zoekt), een live bankkoppeling (PSD2, aanbieder nog niet gekozen) en WhatsApp voor de AI-inbox. Voordat we een van deze aanzetten, passen we deze lijst aan en laten we het je minstens 30 dagen vooraf weten.

Bijlage 3. Beveiligingsmaatregelen

De volledige en actuele lijst staat op blokscout.nl/beveiliging en maakt deel uit van deze overeenkomst. Kort: hosting in Nederland bij Google Cloud met versleutelde opslag, dagelijkse back-ups (14 dagen) in de EU, alleen HTTPS, wachtwoorden gehasht met scrypt, sessies als versleutelde vingerafdruk, strikte scheiding tussen accounts met geautomatiseerde tests, beperkte en gelogde toegang door de oprichters, en een vaste procedure voor datalekken.