Verwerkersovereenkomst

1. Partijen

• Verwerkingsverantwoordelijke: de klant die een Oibase-account heeft aangemaakt (hierna: de Klant).
• Verwerker: Oibase B.V., Goordelaan 19, 9591 CB Onstwedde, KvK 42117378, info@oibase.nl (hierna: Oibase).

Deze overeenkomst geldt zolang de Klant Oibase gebruikt. De Klant gaat ermee akkoord bij het aanmaken van een account.

2. Onderwerp

1. Oibase verwerkt persoonsgegevens voor de Klant om de dienst Oibase te leveren: personeelsplanning, roosters, verlof, urenregistratie, loonstroken en facturatie.
2. Welke gegevens dat zijn, van wie en waarvoor, staat in de bijlage onderaan.
3. De Klant bepaalt welke gegevens hij invoert en blijft daarvoor verantwoordelijk. De Klant zorgt voor een geldige grondslag en informeert zijn medewerkers.

3. Instructies

1. Oibase verwerkt de gegevens alleen in opdracht van de Klant en volgens deze overeenkomst. Het gebruik van de app door de Klant geldt als instructie.
2. Oibase gebruikt de gegevens niet voor eigen doeleinden, verkoopt ze niet en deelt ze niet met anderen, behalve met de subverwerkers uit artikel 6 of als de wet dat verplicht.
3. Vindt Oibase dat een instructie in strijd is met de AVG, dan meldt Oibase dat direct aan de Klant.

4. Beveiliging

Oibase neemt passende technische en organisatorische maatregelen, waaronder:

• versleutelde verbindingen (TLS) voor al het verkeer;
• wachtwoorden die versleuteld (gehasht) worden opgeslagen;
• scheiding per klant, afgedwongen in de database zelf, zodat iedere Klant alleen zijn eigen gegevens ziet;
• toegang tot klantgegevens alleen voor de beheerder van Oibase, en alleen voor support en facturatie;
• opslag binnen de EU en dagelijkse back-ups.

Oibase mag deze maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.

5. Geheimhouding

Iedereen die namens Oibase toegang heeft tot de gegevens, is tot geheimhouding verplicht.

6. Subverwerkers

De Klant geeft toestemming voor de inzet van deze subverwerkers:

1. Oibase legt subverwerkers dezelfde verplichtingen op als in deze overeenkomst staan.
2. Wil Oibase een nieuwe subverwerker inzetten, dan meldt Oibase dat minstens 30 dagen vooraf per e-mail. De Klant kan binnen die termijn bezwaar maken en, als dat niet wordt opgelost, het abonnement kosteloos beëindigen.
3. Doorgifte buiten de EU gebeurt alleen met een geldige grondslag, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.

7. Datalekken

1. Oibase meldt een datalek dat gegevens van de Klant raakt zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat Oibase het ontdekt.
2. De melding bevat wat er is gebeurd, welke gegevens en hoeveel personen het betreft, de waarschijnlijke gevolgen en de genomen maatregelen.
3. De Klant beslist of het lek wordt gemeld aan de toezichthouder en de betrokkenen. Oibase helpt daarbij.

8. Rechten van betrokkenen

Krijgt Oibase een verzoek van een medewerker van de Klant, bijvoorbeeld om inzage of verwijdering, dan stuurt Oibase dat door naar de Klant. Oibase helpt de Klant om het verzoek uit te voeren. De meeste gegevens kan de Klant zelf in de app inzien, aanpassen en verwijderen.

8a. Hulp bij risicoanalyse en voorafgaand overleg

Oibase helpt de Klant, voor zover redelijk, bij het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) en bij een eventueel voorafgaand overleg met de toezichthouder, door de informatie te geven waarover Oibase beschikt.

9. Controle

Oibase geeft de Klant op verzoek de informatie die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd. Een audit door een onafhankelijke deskundige is mogelijk na overleg, maximaal eens per jaar en op kosten van de Klant.

10. Einde van de overeenkomst

1. Na het einde van het abonnement kan de Klant binnen 30 dagen een export van zijn gegevens opvragen.
2. Daarna verwijdert of anonimiseert Oibase de accountgegevens binnen 30 dagen.
3. Roostergegevens worden 2 jaar na afloop bewaard, en loon- en factuurgegevens 7 jaar, zodat de Klant aan zijn wettelijke bewaarplicht kan voldoen. Deze gegevens worden afgeschermd bewaard en daarna verwijderd. Op schriftelijk verzoek van de Klant verwijdert Oibase ze eerder.

11. Aansprakelijkheid

Voor aansprakelijkheid geldt artikel 11 van de algemene voorwaarden van Oibase. Een boete van de toezichthouder blijft voor rekening van de partij die de overtreding heeft veroorzaakt.

12. Toepasselijk recht

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de Rechtbank Noord-Nederland.

Bijlage: verwerkingen

Bijzondere persoonsgegevens, zoals medische informatie, zorgrapportages, volledige namen van cliënten of medische details bij incidenten in het badlogboek, horen niet in Oibase. De Klant voert die niet in en gebruikt voor cliënten alleen een cliëntcode of initialen.