Verwerkersovereenkomst (DPA)

1. Onderwerp en duur

De verwerker verwerkt persoonsgegevens uitsluitend in opdracht van de verwerkingsverantwoordelijke, met als doel het beheer van mede-eigendommen of verhuurde woningen via het Beheerly-platform. De overeenkomst loopt gelijk met de hoofdovereenkomst.

2. Aard en doel

• Bewaren en raadplegen van bewonersgegevens, kavels en gebouwen.
• Verwerken van klachten en tickets, inclusief bijlagen.
• Verzenden van transactionele e-mails en notificaties.
• AI-triagering van klachten en AI-concepten (bv. notulen, bewonersmails, aanmaningsbrieven) via Anthropic Claude (geen training op klantdata). Een concept vertrekt pas na goedkeuring door de klant.
• Transcriptie van opnames van algemene vergaderingen.
• Opmaken van brieven, zoals aanmaningen en indexatiebrieven, en de verzending van aanmaningen per post.
• Opvolgen van huurcontracten, huurbetalingen, indexeringen en huurwaarborgen.

3. Categorieën betrokkenen en gegevens

• Bewoners: naam, e-mail, telefoon, kavelnummer, klachtinhoud, foto's.
• Debiteuren bij achterstallen: naam, adres, openstaande bedragen.
• Deelnemers aan een algemene vergadering: stem en uitspraken in opnames en transcripties.
• Huurders: naam, e-mail, telefoon, huurcontract, huurbedragen en betalingen, huurwaarborg.
• Medewerkers van het kantoor: naam, e-mail, rol.
• Aannemers: naam, e-mail, telefoon (zonder account in fase 1).

4. Verplichtingen verwerker

• Verwerken enkel op gedocumenteerde instructie.
• Vertrouwelijkheid waarborgen bij alle medewerkers en sub-verwerkers.
• Passende technische en organisatorische maatregelen: versleuteling at rest en in transit, Row-Level Security per organisatie, MFA voor productie-toegang, audit logging.
• Medewerkers van de verwerker openen gegevens van de klant enkel voor support of op vraag van de klant, met een opgegeven reden en voor een beperkte duur. Elke sessie wordt gelogd.
• Bijstand verlenen bij verzoeken van betrokkenen, datalekken en DPIA's.
• Datalek melden binnen 48u na vaststelling.

5. Sub-verwerkers

De verwerker werkt met volgende sub-verwerkers:

• Supabase Inc. — database en bestandsopslag, EU (Frankfurt).
• Netlify Inc. — hosting, VS (Standaard contractbepalingen).
• Resend Inc. — transactionele e-mails, EU/US (Standaard contractbepalingen).
• Postmark — inkomende e-mail omzetten naar tickets, VS (SCC's).
• Anthropic PBC — AI-verwerking, geen training op klantdata, EU/US (SCC's).
• AssemblyAI — transcriptie van vergaderaudio, VS (SCC's).
• Voyage AI — embeddings voor document-Q&A, VS (SCC's).
• EasyPost — fysieke verzending van aanmaningsbrieven (naam en adres), VS (SCC's).
• Sentry — foutregistratie (kan incidenteel persoonsgegevens bevatten), VS (SCC's).
• Upstash — rate-limiting (IP-adressen, kortstondig), EU.
• Push-diensten van Google, Apple en Mozilla — afleveren van end-to-end versleutelde pushmeldingen, VS (SCC's).

Wijzigingen in deze lijst worden minstens 30 dagen vooraf aangekondigd.

6. Internationale doorgifte

De database en de bestandsopslag staan in de EU (Frankfurt). Een deel van de sub-verwerkers hierboven verwerkt gegevens buiten de EER. Doorgifte naar derde landen gebeurt enkel onder de Standaard Contractbepalingen (SCC's) zoals goedgekeurd door de Europese Commissie.

7. Bij beëindiging

Bij beëindiging van de hoofdovereenkomst krijgt de verwerkingsverantwoordelijke een volledige export van zijn data en worden alle persoonsgegevens binnen 30 dagen verwijderd.

8. Aansprakelijkheid

De aansprakelijkheid is geregeld zoals in de hoofdovereenkomst, onverminderd de bepalingen van artikel 82 GDPR.