Verwerkersovereenkomst

Partijen en rollen

Deze overeenkomst is tussen jou als installateur (het bedrijf dat HeatPump Advisor gebruikt) en NoudeX (KVK: 42016543, BTW: NL005434487B97), gevestigd in Nederland, dat HeatPump Advisor levert.

Voor de gegevens van je klanten ben jij verwerkingsverantwoordelijke: jij bepaalt waarvoor je ze vastlegt. NoudeX is verwerker en verwerkt ze alleen om jou de dienst te leveren.

Voor je eigen account (inloggen, abonnement, support en facturen) is NoudeX zelf verantwoordelijk. Dat staat in het privacybeleid, niet in deze overeenkomst.

Onderwerp, duur en doel

Onderwerp: de persoonsgegevens die jij in de app of het webportaal van HeatPump Advisor vastlegt.

Duur: vanaf het moment dat je akkoord geeft, zolang je account bestaat of je licentie loopt en NoudeX gegevens voor je verwerkt. De afspraken over geheimhouding en verwijdering blijven gelden tot alle gegevens zijn verwijderd of aan jou teruggegeven.

Aard en doel: NoudeX bewaart de gegevens op de server, synchroniseert ze tussen je toestellen en het webportaal, toont ze aan jou en je teamleden, verstuurt offertes per e-mail naar je klant, verwerkt de reactie van je klant, maakt back-ups en beveiligt de gegevens. Het doel is één ding: jou HeatPump Advisor leveren, van woningopname en advies tot offerte en opvolging.

Welke gegevens en van wie

De betrokkenen zijn je klanten (bewoners of eigenaren van een woning), jijzelf en je teamleden. HeatPump Advisor is niet bedoeld voor bijzondere persoonsgegevens, zoals gegevens over gezondheid, of voor het burgerservicenummer: leg die niet vast. Het gaat om deze gegevens:

• Van je klanten: naam en adres (straat, huisnummer, postcode en plaats), en als je die invult ook e-mailadres en telefoonnummer.
• Over de woning: bouwjaar, oppervlakte, isolatie, energielabel en installatie, plus de opname en de berekeningen.
• Offertes: de inhoud en bedragen, de status en de reactie van je klant: akkoord of afwijzing, de naam van wie reageert, het tijdstip, eventueel een handtekening en een vingerafdruk (hash) van het IP-adres. Een handtekening is geen gekwalificeerde elektronische handtekening (QES) en wordt aan één adviesrapport of offerterevisie gebonden.
• Van jou en je team: je contactgegevens zoals die op offertes aan je klanten staan (bedrijfsnaam, naam, e-mailadres, telefoonnummer) en, bij Business, naam, e-mailadres en rol van je teamleden.

Jouw instructies

NoudeX verwerkt de gegevens alleen volgens jouw instructies. Die instructies zijn: deze overeenkomst, wat je in de app en het webportaal doet (bijvoorbeeld een offerte versturen of een dossier verwijderen) en wat je ons schriftelijk of per e-mail vraagt. Dat geldt ook voor het doorgeven van gegevens naar een land buiten de EU.

Moet NoudeX volgens de wet iets anders met de gegevens doen, dan laten we je dat vooraf weten, tenzij de wet dat verbiedt. Vinden we dat een instructie van jou in strijd is met de AVG of andere privacyregels, dan melden we dat meteen.

Geheimhouding

Iedereen die namens NoudeX toegang heeft tot de gegevens, moet ze geheimhouden. Op dit moment is dat alleen de eigenaar van NoudeX. Krijgt iemand anders toegang, dan tekent die eerst een geheimhoudingsverklaring.

Beveiliging

NoudeX neemt passende technische en organisatorische maatregelen om de gegevens te beschermen (artikel 32 AVG). Een uitgebreide beschrijving komt als bijlage vóór de verkoopstart. Nu zijn dat onder meer:

• Al het verkeer tussen app, webportaal en servers is versleuteld (TLS/HTTPS).
• Opgeslagen gegevens zijn bij Google Cloud standaard versleuteld.
• Alleen ingelogde gebruikers komen bij de gegevens, en alleen bij die van henzelf of van hun werkruimte. Toegangsregels op de database en controles op de server dwingen dat af. De uitzondering is een offerte die je naar je klant stuurt: die opent je klant via een persoonlijke link met een vervaldatum.
• De server controleert of verzoeken van de echte app en website komen (App Check).
• Alleen NoudeX heeft beheertoegang tot de productieomgeving, en wijzigingen gaan via een vaste route met controle vooraf.
• Er wordt elke dag een back-up gemaakt binnen de EU; oude back-ups worden automatisch opgeruimd.
• Kritieke processen op de server worden gelogd en bewaakt.

Subverwerkers

NoudeX schakelt voor de dienst twee subverwerkers in: Google (Firebase en Google Cloud) voor de database, de bestandsopslag, de serverfuncties en de back-ups, en Strato (Duitsland) voor het versturen van e-mail, zoals offertes aan je klanten. Met je akkoord op deze overeenkomst geef je daar toestemming voor.

NoudeX legt deze subverwerkers dezelfde privacyplichten op als in deze overeenkomst: Google via de verwerkingsvoorwaarden van Firebase en Google Cloud, Strato via een verwerkersovereenkomst.

Wil NoudeX een subverwerker toevoegen of vervangen, dan laten we je dat minstens 30 dagen vooraf weten. Je kunt daartegen bezwaar maken; komen we er samen niet uit, dan kun je stoppen en je gegevens laten verwijderen.

Bij een adresopzoeking stuurt de app het adres (postcode en huisnummer) rechtstreeks naar de BAG van het Kadaster en naar EP-Online van RVO. Dat zijn openbare registers: ze verwerken niets in opdracht van NoudeX en zijn daarom geen subverwerker.

Waar de gegevens staan

De gegevens van je klanten worden opgeslagen in de EU: de database en de bestandsopslag in de regio europe-west4 (Nederland), de back-ups in de EU. De serverfuncties die ze verwerken draaien in europe-west1 (België), en e-mail gaat via Strato in Duitsland.

Met Standaard staan projectgegevens alleen lokaal op het toestel. Met Pro synchroniseren ze naar de persoonlijke cloudruimte van de installateur, met Business naar de gedeelde werkruimte (workspace) van de zakelijke klant. Foto’s en handtekeningen blijven voorlopig op het toestel; synchroniseren ze later mee, dan hoor je dat vooraf. PDF-cloudsync is nog niet beschikbaar.

Na intrekking van een Business-plaats sluit servertoegang direct; een versleutelde offline cache kan uiterlijk 8 uur blijven bestaan.

Google is een wereldwijde dienstverlener en kan gegevens in uitzonderlijke gevallen ook buiten de EU verwerken, bijvoorbeeld voor beveiliging of ondersteuning. Daarvoor gelden het EU-VS Data Privacy Framework en de standaardcontractbepalingen van de Europese Commissie.

Hulp bij verzoeken van je klanten

Je klanten hebben rechten onder de AVG, zoals inzage, correctie en verwijdering. Veel daarvan kun je zelf in de app of het webportaal doen, zoals gegevens aanpassen of een dossier verwijderen. Lukt iets niet zelf, zoals een volledige export of nagaan of een kopie op de server weg is, dan helpt NoudeX je zo snel mogelijk en uiterlijk binnen tien werkdagen. Zo kun jij binnen de wettelijke termijn van een maand antwoorden.

Krijgt NoudeX zo’n verzoek rechtstreeks van een klant van jou, dan sturen we het naar jou door en beantwoorden we het niet zelf.

Incidentmelding

Ontdekt NoudeX een datalek dat de gegevens van je klanten raakt, dan meldt NoudeX dat zonder onredelijke vertraging aan jou, en uiterlijk binnen 48 uur na ontdekking. Jij beslist of je het meldt bij de Autoriteit Persoonsgegevens (binnen 72 uur nadat je ervan weet) en aan je klanten.

In de melding staat, voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel klanten het raakt, wat de gevolgen kunnen zijn, wat NoudeX heeft gedaan of nog doet, en bij wie je terechtkunt. Wat nog niet bekend is, volgt zo snel mogelijk.

Einde van de overeenkomst

De overeenkomst eindigt als je stopt met HeatPump Advisor: als je je account laat verwijderen, als je na de beta en het keuzevenster van 30 dagen niet kiest voor een licentie, of als je Business-contract afloopt.

Jij kiest wat er dan met de gegevens van je klanten gebeurt: je krijgt eerst een kopie (export), of NoudeX verwijdert ze meteen. Binnen één maand na het einde verwijdert NoudeX ze van de servers en bevestigt dat per e-mail. Kopieën in back-ups zijn uiterlijk 40 dagen na de verwijdering ook weg. Wat op je eigen toestel staat, beheer je zelf.

Moet NoudeX iets wettelijk bewaren, dan blijft alleen dat bewaard, en niet langer dan de wet vraagt.

Informatie en controle

NoudeX geeft je alle informatie die je nodig hebt om te laten zien dat deze afspraken worden nagekomen, zoals deze overeenkomst, de lijst met subverwerkers en een beschrijving van de beveiliging. Dat geldt ook voor wat je nodig hebt voor een gegevensbeschermingseffectbeoordeling (DPIA) of een voorafgaande raadpleging van de Autoriteit Persoonsgegevens.

Je mag laten controleren of NoudeX zich aan deze overeenkomst houdt, zelf of via een onafhankelijke controleur met geheimhoudingsplicht. Een controle kondig je minstens 30 dagen vooraf aan; de kosten zijn voor jou, tenzij de controle een tekortkoming van NoudeX laat zien.

Jouw verantwoordelijkheid

Jij zorgt ervoor dat je de gegevens van je klanten mag vastleggen en gebruiken, en dat je klanten weten wat je met hun gegevens doet. Leg niet meer vast dan nodig. Tijdens de beta vragen we je daarnaast: gebruik waar het kan een fictieve klantnaam; het adres is nodig voor de BAG-opzoeking.

Overige afspraken

• Totstandkoming: je gaat akkoord met deze overeenkomst met het vinkje bij het aanmaken van je account of bij het accepteren van een zakelijke uitnodiging. Wie namens een bedrijf akkoord geeft, verklaart daartoe bevoegd te zijn. NoudeX legt vast wie akkoord gaf, voor welk bedrijf, wanneer en met welke versie. Die versie blijft te lezen op heatpumpadvisor.nl/juridisch/verwerkersovereenkomst-2.1. Heb je je aangemeld voor de beta, dan geldt de versie die toen op deze pagina stond.
• Wijzigingen: een nieuwe versie krijgt een nieuw versienummer en een datum. Een wezenlijke wijziging laten we je minstens 30 dagen vooraf weten.
• Aansprakelijkheid: daarvoor gelden de algemene voorwaarden.
• Toepasselijk recht: op deze overeenkomst is Nederlands recht van toepassing.