Verwerkersovereenkomst (DPA)

1. Onderwerp en duur

De verwerker verwerkt persoonsgegevens uitsluitend in opdracht van de verwerkingsverantwoordelijke, met als doel het beheer van mede-eigendommen via het Beheerly-platform. De overeenkomst loopt gelijk met de hoofdovereenkomst.

2. Aard en doel

• Bewaren en raadplegen van bewonersgegevens, kavels en gebouwen.
• Verwerken van klachten en tickets, inclusief bijlagen.
• Verzenden van transactionele e-mails en notificaties.
• AI-triagering van klachten via Anthropic Claude (geen training op klantdata).

3. Categorieën betrokkenen en gegevens

• Bewoners: naam, e-mail, telefoon, kavelnummer, klachtinhoud, foto's.
• Medewerkers van het kantoor: naam, e-mail, rol.
• Aannemers: naam, e-mail, telefoon (zonder account in fase 1).

4. Verplichtingen verwerker

• Verwerken enkel op gedocumenteerde instructie.
• Vertrouwelijkheid waarborgen bij alle medewerkers en sub-verwerkers.
• Passende technische en organisatorische maatregelen: versleuteling at rest en in transit, Row-Level Security per organisatie, MFA voor productie-toegang, audit logging.
• Bijstand verlenen bij verzoeken van betrokkenen, datalekken en DPIA's.
• Datalek melden binnen 48u na vaststelling.

5. Sub-verwerkers

De verwerker werkt met volgende sub-verwerkers:

• Supabase Inc. — database en bestandsopslag, EU (Frankfurt).
• Vercel Inc. — hosting, EU (Frankfurt).
• Resend Inc. — transactionele e-mails, EU/US (Standaard contractbepalingen).
• Anthropic PBC — AI-verwerking, geen training op klantdata, EU/US (SCC's).

Wijzigingen in deze lijst worden minstens 30 dagen vooraf aangekondigd.

6. Internationale doorgifte

Persoonsgegevens worden binnen de EU verwerkt. Doorgifte naar derde landen gebeurt enkel onder de Standaard Contractbepalingen (SCC's) zoals goedgekeurd door de Europese Commissie.

7. Bij beëindiging

Bij beëindiging van de hoofdovereenkomst krijgt de verwerkingsverantwoordelijke een volledige export van zijn data en worden alle persoonsgegevens binnen 30 dagen verwijderd.

8. Aansprakelijkheid

De aansprakelijkheid is geregeld zoals in de hoofdovereenkomst, onverminderd de bepalingen van artikel 82 GDPR.