Verwerkersovereenkomst

Hoe deze overeenkomst werkt

Een adviseur die in de app Capendo projecten maakt en meetdata van een bedrijf laat aanleveren, bepaalt waarvoor die gegevens gebruikt worden. De adviseur (of zijn organisatie) is dan verwerkingsverantwoordelijke en Capendo verwerker. De privacywet (artikel 28 AVG) vraagt daarvoor afspraken: dat zijn deze. Daarnaast gebruikt Capendo metingen anoniem en samengevoegd om schattingen voor iedereen te verbeteren; dat eigen doel staat in artikel 3.

Deze overeenkomst hoort bij de gebruiksvoorwaarden en geldt zodra een gebruiker persoonsgegevens in de app verwerkt. Een ondertekende versie maken we op verzoek: mail naar [email protected]. De opbouw volgt de gangbare Nederlandse modellen: de afspraken, en drie bijlagen met de gegevens, de beveiliging en de subverwerkers.

Partijen

1. De organisatie die de app gebruikt volgens de gebruiksvoorwaarden: de verwerkingsverantwoordelijke.
2. Capendo (capendo.nl), bereikbaar via [email protected]: de verwerker.

1. Begrippen

Begrippen als persoonsgegevens, verwerken, betrokkene, verwerkingsverantwoordelijke, verwerker, subverwerker en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG). "De app" is de app Capendo zoals omschreven in artikel 1.1 van de gebruiksvoorwaarden.

2. Onderwerp

2.1 De verwerker verwerkt persoonsgegevens voor de verwerkingsverantwoordelijke om de app te leveren: projecten, meetdata, aanleverlinks, rekenen, rapporten en exports. Welke gegevens, van wie en hoe lang staat in bijlage A.

2.2 De verwerker verwerkt de persoonsgegevens alleen op schriftelijke instructie van de verwerkingsverantwoordelijke. De gebruiksvoorwaarden, deze overeenkomst en het gebruik van de functies in de app (bijvoorbeeld een upload of het verwijderen van een project) gelden als die instructie.

2.3 De verwerker verwerkt geen persoonsgegevens voor eigen doelen, met als enige uitzondering het anonieme, samengevoegde gebruik in artikel 3. Vindt de verwerker dat een instructie in strijd is met de AVG, dan meldt hij dat direct.

2.4 Wettelijke verplichtingen gaan voor. Moet de verwerker gegevens afgeven op grond van de wet, dan meldt hij dat vooraf aan de verwerkingsverantwoordelijke, tenzij de wet dat verbiedt.

3. Eigen doel van Capendo: anoniem samengevoegd gebruik

3.1 Naast de verwerking in opdracht gebruikt Capendo metingen anoniem en samengevoegd om de schattingen van de app voor iedereen te verbeteren, bijvoorbeeld kentallen per soort gebouw, dagprofielen en gelijktijdigheid. Dit is een eigen doel van Capendo. Voor dit doel is Capendo zelf verwerkingsverantwoordelijke, beperkt tot het maken van anonieme, samengevoegde uitkomsten. Het is een uitzondering op artikel 2.2: hiervoor is geen instructie van de verwerkingsverantwoordelijke nodig.

3.2 Capendo haalt eerst alles weg wat naar een gebouw, bedrijf of persoon wijst (adres, BAG-nummer, EAN, namen) en gebruikt alleen samengevoegde uitkomsten van groepen van minstens 10 gebouwen. Nooit per gebouw, nooit terug te leiden, geen verkoop, geen publicatie en geen levering per gebouw aan anderen. Het anonieme gebruik heeft geen invloed op de projecten en rapporten van de verwerkingsverantwoordelijke.

3.3 Zakelijke aansluitingen (groter dan 3x80 ampere, of met een gecontracteerd vermogen): anoniem meetellen staat standaard aan, op grond van gerechtvaardigd belang van Capendo. Bij elke upload staat de schakelaar "Anoniem meetellen om schattingen voor iedereen te verbeteren". De verwerkingsverantwoordelijke kan een standaard instellen voor de eigen uploads en per project, en de keuze per meting altijd wijzigen.

3.4 Kleine aansluitingen (tot en met 3x80 ampere, slimme meter of P1-lezer) en metingen waarbij een natuurlijk persoon herkenbaar kan zijn: alleen met uitdrukkelijke toestemming van wie de aansluiting heeft. De app vraagt die een keer, apart, zonder vooraf ingevulde keuze. Is de grootte onbekend, dan geldt deze regel. De verwerkingsverantwoordelijke zet deze toestemming niet aan namens een ander zonder dat die ander daarmee heeft ingestemd.

3.5 Uitzetten, bezwaar of intrekken werkt vanaf dat moment: de meting telt bij geen volgende samenvoeging meer mee. Eerder samengevoegde uitkomsten zijn niet terug te leiden en blijven bestaan. Een verzoek hierover van een betrokkene of een bedrijf handelt Capendo zelf af; de verwerkingsverantwoordelijke kan het ook doorsturen.

3.6 De verwerkingsverantwoordelijke informeert de bedrijven en personen van wie hij metingen uploadt of laat aanleveren over dit anonieme gebruik en de mogelijkheid om het uit te zetten, met een verwijzing naar de privacyverklaring. Een zin die daarvoor gebruikt kan worden: "Capendo gebruikt metingen ook anoniem en samengevoegd, in groepen van minstens 10 gebouwen, om schattingen voor iedereen te verbeteren. Dat staat bij een zakelijke aansluiting standaard aan en is altijd uit te zetten; zie capendo.nl/privacy." Wie aanlevert via een aanleverlink, ziet dezelfde uitleg en de schakelaar zelf.

3.7 De stap die metingen samenvoegt, draait nog niet. Tot die tijd legt Capendo de keuze per meting vast en respecteert die; er wordt niets samengevoegd.

4. Geheimhouding

Iedereen die bij de verwerker toegang heeft tot de persoonsgegevens, is tot geheimhouding verplicht. Toegang is beperkt tot wie die nodig heeft voor beheer en ondersteuning.

5. Beveiliging

5.1 De verwerker neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen. De maatregelen staan in bijlage B.

5.2 De verwerker mag maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.

6. Subverwerkers

6.1 De verwerkingsverantwoordelijke geeft toestemming voor de subverwerkers in bijlage C.

6.2 Een nieuwe of andere subverwerker meldt de verwerker minstens 30 dagen vooraf. De verwerkingsverantwoordelijke kan binnen die termijn met redenen bezwaar maken. Komen partijen er niet uit, dan kan de verwerkingsverantwoordelijke het gebruik beëindigen.

6.3 De verwerker legt subverwerkers ten minste dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover de verwerkingsverantwoordelijke verantwoordelijk voor hun werk.

7. Waar de gegevens staan

7.1 De verwerker slaat de persoonsgegevens op in de Europese Economische Ruimte (EER), bij Hetzner in Duitsland.

7.2 Doorgifte buiten de EER gebeurt alleen met een passende waarborg uit de AVG, zoals een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework) of de modelcontractbepalingen van de Europese Commissie. Zie bijlage C.

8. Rechten van betrokkenen

8.1 De app heeft functies om gegevens in te zien, te exporteren en te verwijderen. Waar die niet volstaan, helpt de verwerker de verwerkingsverantwoordelijke bij een verzoek van een betrokkene.

8.2 Krijgt de verwerker een verzoek rechtstreeks, dan stuurt hij het zo snel mogelijk, uiterlijk binnen 5 werkdagen, door aan de verwerkingsverantwoordelijke, voor zover die te herkennen is, en handelt het niet zelf af zonder instructie.

9. Datalekken

9.1 De verwerker meldt een datalek dat de persoonsgegevens van de verwerkingsverantwoordelijke raakt zo snel mogelijk, uiterlijk binnen 72 uur na ontdekking. Zo kan de verwerkingsverantwoordelijke zelf op tijd beslissen over een melding.

9.2 De melding bevat wat op dat moment bekend is: wat er gebeurde, welke gegevens en hoeveel betrokkenen het raakt, de waarschijnlijke gevolgen en de genomen en voorgestelde maatregelen. De verwerker vult de melding aan zodra er meer bekend is.

9.3 De verwerkingsverantwoordelijke beslist of het lek gemeld wordt bij de Autoriteit Persoonsgegevens en aan betrokkenen. De verwerker helpt daarbij.

10. Hulp bij een DPIA en controle

10.1 De verwerker helpt de verwerkingsverantwoordelijke met informatie bij een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens.

10.2 De verwerker geeft de informatie die nodig is om naleving van deze overeenkomst aan te tonen. De verwerkingsverantwoordelijke kan ten hoogste eens per jaar, of na een datalek, een audit laten doen door een onafhankelijke deskundige met geheimhoudingsplicht, met een aankondiging van minstens 30 dagen. De kosten zijn voor de verwerkingsverantwoordelijke, tenzij de audit een tekortkoming van betekenis aantoont.

11. Einde

11.1 Deze overeenkomst loopt zolang de verwerker persoonsgegevens voor de verwerkingsverantwoordelijke verwerkt.

11.2 Na het einde van het gebruik kan de verwerkingsverantwoordelijke zijn gegevens exporteren (projecten als CSV of Excel, rapporten als PDF). Uiterlijk 30 dagen na het einde verwijdert de verwerker alle persoonsgegevens, tenzij de wet bewaren verplicht. Op verzoek bevestigt de verwerker de verwijdering schriftelijk.

11.3 Artikelen die naar hun aard doorlopen, zoals geheimhouding, blijven gelden na het einde.

12. Aansprakelijkheid en rangorde

12.1 Voor aansprakelijkheid geldt artikel 9 van de gebruiksvoorwaarden: Capendo is niet aansprakelijk voor schade door het gebruik van de app, voor zover de Nederlandse wet dat toestaat, en dat geldt niet bij opzet of bewuste roekeloosheid van Capendo of haar leidinggevenden. Rechten die betrokkenen zelf hebben op grond van de AVG blijven gelden.

12.2 Bij strijd tussen deze overeenkomst en de gebruiksvoorwaarden gaat deze overeenkomst voor als het om persoonsgegevens gaat.

12.3 Op deze overeenkomst is Nederlands recht van toepassing; artikel 14 van de gebruiksvoorwaarden geldt.

Bijlage A. Gegevens, betrokkenen en bewaren

Onderdeel	Inhoud
Doel	De app leveren (in opdracht): projecten van de verwerkingsverantwoordelijke beheren, meetdata van bedrijfsgebouwen verwerken (ook in Mijn adressen), profielen, scenario's en rapporten berekenen, aanleveren via een link mogelijk maken
Eigen doel van Capendo	Anoniem, samengevoegd gebruik van metingen om schattingen te verbeteren, volgens de keuze per meting (artikel 3). Hiervoor is Capendo zelf verwerkingsverantwoordelijke
Betrokkenen	Medewerkers van de verwerkingsverantwoordelijke; contactpersonen, eigenaren en gebruikers van gebouwen en aansluitingen, voor zover dat natuurlijke personen zijn (bijvoorbeeld een eenmanszaak of een praktijk aan huis)
Gegevens	Projectnaam, naam van bureau en bedrijf, adressen en BAG-nummers van bedrijfsgebouwen, feiten over het gebouw (contractvermogen, zonnepanelen, plannen), meetdata (jaarverbruik, kwartier- of uurwaarden van afname en teruglevering), bron van de meting, EAN-code, de keuze voor anoniem meetellen (aan of uit, grondslag, datum van de laatste wijziging)
Beoogd gebruik	Gegevens over bedrijfsgebouwen en hun aansluitingen. Projecten, meetdata en aanleverlinks zijn niet bedoeld voor woningen, voor gegevens over de bewoners of gebruikers zelf, of voor bijzondere persoonsgegevens. Niet onder deze overeenkomst vallen, omdat Capendo daarvoor zelf verwerkingsverantwoordelijke is (zie de privacyverklaring): de openbare feiten en het geschatte verbruik die de app per woonadres toont, Mijn adressen van een bewoner of eigenaar voor de eigen woning, contactverzoeken aan uitvoerders en de gegevens over uitvoerders
Bijzondere of strafrechtelijke gegevens	Geen. Woningen kunnen niet in een project; meetdata voor een woning kan alleen de bewoner of eigenaar zelf invoeren, buiten deze overeenkomst
Bewaren	Tot de verwerkingsverantwoordelijke de gegevens verwijdert in de app; uiterlijk binnen 30 dagen na het einde van het gebruik. Een upload die niet bevestigd wordt, verdwijnt na een uur. Er zijn geen back-ups van meetdata en projecten
Contact	Verwerker: [email protected]. Verwerkingsverantwoordelijke: het e-mailadres van het account

Bijlage B. Beveiligingsmaatregelen

• Versleuteling. Meetdata en projecten worden versleuteld opgeslagen (Fernet: AES-128-CBC met HMAC-SHA256), apart van de open data. Map- en bestandsnamen zijn HMAC-codes: op schijf staan geen namen, adressen of gegevens van bedrijven. Alle verkeer gaat over TLS.
• Toegang. Per gebruiker een eigen login; een gebruiker ziet alleen de eigen projecten en metingen. Een aanleverlink werkt met een geheim token van 24 willekeurige bytes in het deel van de URL dat niet naar de server gaat, geeft alleen toegang tot de gebouwen van die link, verloopt na 7, 30 of 90 dagen en is in te trekken.
• Server. Een server bij Hetzner in Neurenberg zonder open poorten naar internet: verkeer loopt via een versleutelde Cloudflare-tunnel. Beheer alleen met een persoonlijke SSH-sleutel vanaf vaste adressen; inloggen met een wachtwoord en als root staat uit.
• Logs. Geen toegangslog en geen IP-adressen. De applicatie logt alleen een korte code van het account, aantallen en foutcodes; nooit meetwaarden, adressen of bestandsnamen (getest).
• Verwijderen. Verwijderen wist de bestanden direct, zonder prullenbak of back-up.
• Dataminimalisatie. Het originele uploadbestand, de bestandsnaam en kolommen die niet nodig zijn, worden niet opgeslagen. Woningen zijn uitgesloten van projecten, meetdata en aanleverlinks.
• Sleutels. De sleutel voor de versleuteling staat buiten de code en buiten de opslag, en is te wisselen.

Bijlage C. Subverwerkers

Subverwerker	Wat	Waar	Waarborg bij doorgifte
Hetzner Online GmbH, Gunzenhausen, Duitsland	Server en opslag	Neurenberg, Duitsland	Niet nodig (EER)
Cloudflare, Inc., San Francisco, VS	Versleutelde verbinding en tunnel, bescherming tegen aanvallen, DNS. Gegevens gaan versleuteld door het netwerk en worden niet opgeslagen	Wereldwijd netwerk, ook in de EU	EU-VS Data Privacy Framework en modelcontractbepalingen

Mail aan Capendo loopt via Cloudflare Email Routing en Google (Gmail). Dat is alleen voor contact, niet voor de gegevens in de app.