Verwerkersovereenkomst

Partijen

Deze verwerkersovereenkomst (hierna: “DPA”) wordt gesloten tussen:

• Verwerkingsverantwoordelijke:de gebruiker die een account aanmaakt bij shootflow.nl en daarmee persoonsgegevens van zijn of haar klanten verwerkt (hierna: “Verwerkingsverantwoordelijke”).
• Verwerker:shootflow.nl, gevestigd te Douwes Dekkerstraat 5, 3362TC Sliedrecht, ingeschreven bij de Kamer van Koophandel onder nummer 65656962 (hierna: “Verwerker”).

Door een account aan te maken bij shootflow.nl gaat de Verwerkingsverantwoordelijke akkoord met deze verwerkersovereenkomst.

1. Doeleinden van de verwerking

De Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de dienstverlening van shootflow.nl, te weten: het bieden van een platform voor bedrijfsbeheer aan fotografen en videografen. De verwerking omvat het opslaan, beheren en weergeven van klantgegevens, boekingen, facturen, offertes en formulieren.

De Verwerker verwerkt de gegevens niet voor eigen commerciële doeleinden, zoals profilering of reclame.

2. Aard van de verwerkte gegevens

De Verwerkingsverantwoordelijke bepaalt welke persoonsgegevens van zijn klanten worden ingevoerd. Dit betreft doorgaans:

• Naam en contactgegevens van klanten (e-mail, telefoonnummer, adres)
• Gegevens over boekingen en opdrachten
• Financiële gegevens (factuurbedragen, betalingsstatus)
• Antwoorden op uitvraagformulieren
• Digitale handtekeningen op offertes

3. Verplichtingen van de Verwerker

De Verwerker verplicht zich tot het volgende:

• Persoonsgegevens uitsluitend te verwerken op basis van de gedocumenteerde instructies van de Verwerkingsverantwoordelijke.
• Passende technische en organisatorische maatregelen te treffen ter beveiliging van persoonsgegevens, conform Annex II (paragraaf 4).
• Persoonsgegevens op te slaan op servers binnen de Europese Economische Ruimte (TransIP B.V., Nederland) voor de productie-database, en versleutelde backups bij Backblaze in de EU-region (Amsterdam).
• Medewerkers en onderaannemers die toegang hebben tot persoonsgegevens te binden aan een geheimhoudingsplicht.
• De Verwerkingsverantwoordelijke zonder onredelijke vertraging, doch uiterlijk binnen 48 uur na ontdekking, te informeren over een inbreuk op de beveiliging (datalek) die persoonsgegevens betreft.
• De Verwerkingsverantwoordelijke binnen vijf werkdagen te ondersteunen bij het behandelen van verzoeken van betrokkenen (inzage, rectificatie, wissing, overdraagbaarheid).

4. Beveiligingsmaatregelen (Annex II)

De Verwerker treft de volgende concrete technische en organisatorische maatregelen ter bescherming van de verwerkte persoonsgegevens:

• Versleutelde opslag van wachtwoorden met bcrypt.
• Versleuteling van gevoelige database-velden (AES-256-GCM), waaronder betaalsleutels, IBAN-nummers en API-secrets.
• TLS (HTTPS) voor alle communicatie tussen browser, applicatie en database.
• HTTP-beveiligingsheaders: Content Security Policy, Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options, Referrer-Policy.
• Optionele tweefactorauthenticatie (TOTP) voor gebruikersaccounts.
• Rate limiting op inlogpogingen en gevoelige acties ter voorkoming van brute-force aanvallen.
• Beperkte database-rechten: de applicatie heeft geen SUPER-privileges; admin- toegang via aparte authenticatie.
• Dagelijkse versleutelde off-site backup (Backblaze EU-region) met 30 dagen retentie, plus 14 dagen lokaal.
• Continue uptime-monitoring (BetterStack) met automatische alerts bij onbeschikbaarheid.
• Centrale error-tracking (Sentry) met automatische redactie van geconfigureerde PII-velden.
• Tenant-scheiding op database-niveau: alle queries worden afgedwongen gescoped op gebruiker-ID via een Prisma-extensie.

5. Subverwerkers

De Verwerker maakt gebruik van de volgende subverwerkers:

De Verwerker zal de Verwerkingsverantwoordelijke ten minste 30 dagen voorafgaand aan het toevoegen of vervangen van een subverwerker informeren. Binnen deze termijn kan de Verwerkingsverantwoordelijke gemotiveerd bezwaar maken. Bij gegrond bezwaar treden partijen in overleg; komen zij er niet uit, dan heeft de Verwerkingsverantwoordelijke het recht het abonnement kosteloos te beëindigen per de beoogde ingangsdatum van de wijziging.

6. Audit-recht

De Verwerkingsverantwoordelijke heeft conform artikel 28 lid 3 sub h AVG het recht audits uit te (laten) voeren op de naleving van deze DPA. Audits vinden in onderling overleg plaats, niet vaker dan eens per kalenderjaar (tenzij naar aanleiding van een gegrond vermoeden van een datalek), op kosten van de Verwerkingsverantwoordelijke, en met inachtneming van vertrouwelijkheids- verplichtingen jegens andere klanten. Op verzoek levert de Verwerker aanvullende documentatie aan, zoals overzichten van beveiligingsmaatregelen, recente certificeringen en logs van toegangsbeheer.

7. Rechten van de Verwerkingsverantwoordelijke

De Verwerkingsverantwoordelijke heeft het recht om:

• Op ieder moment alle verwerkte gegevens te exporteren via de applicatie.
• Verwijdering of teruggave van alle gegevens te verzoeken bij beëindiging van het abonnement, naar eigen keuze.
• Inzage te verzoeken in de beveiligingsmaatregelen van de Verwerker (zie ook paragraaf 6).

8. Bewaartermijn

De Verwerker bewaart persoonsgegevens zolang het abonnement actief is. Na beëindiging van het abonnement worden gegevens op verzoek verwijderd, uiterlijk binnen 30 dagen. Gegevens die wettelijk bewaard moeten worden (zoals factuurgegevens op grond van fiscale bewaarplicht van 7 jaar) zijn hiervan uitgezonderd.

9. Aansprakelijkheid

De Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid van de verwerking van persoonsgegevens van zijn klanten. De Verwerker is aansprakelijk voor schade die direct het gevolg is van aantoonbaar tekortschieten in de nakoming van deze DPA, tot het bedrag dat in de drie maanden voorafgaand aan de schadeveroorzakende gebeurtenis aan abonnementsgelden is voldaan. Deze beperking loopt synchroon met de aansprakelijkheidsbeperking in de algemene voorwaarden.

10. Wijzigingen

De Verwerker behoudt het recht deze DPA te wijzigen. Wijzigingen worden minimaal 30 dagen van tevoren aangekondigd via e-mail. Bij bezwaar heeft de Verwerkingsverantwoordelijke het recht het abonnement per de ingangsdatum te beëindigen.

11. Toepasselijk recht

Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Rotterdam.

Contact

Voor vragen over deze verwerkersovereenkomst of gegevensbescherming kun je contact opnemen via hello@shootflow.nl.