Verwerkersovereenkomst

Deze Verwerkersovereenkomst (hierna: "VOO" of "DPA") wordt gesloten conform artikel 28 van de Verordening (EU) 2016/679 (AVG/GDPR).

Deze VOO is van toepassing op alle verwerkingen van persoonsgegevens die Dergonomics BV uitvoert in het kader van de levering van de dienst Protectus.pro.

Door gebruik te maken van Protectus.pro en akkoord te gaan met de Algemene Voorwaarden van Dergonomics BV, aanvaardt u automatisch de bepalingen van deze VOO. De VOO maakt integraal deel uit van de contractuele relatie tussen partijen.

DE VERWERKER — Dergonomics BV, BTW BE 0780.597.897, dienst Protectus.pro, contactpersoon privacy: jan@dergonomics.com (hierna: "Verwerker").

DE VERWERKINGSVERANTWOORDELIJKE — De rechtspersoon of natuurlijke persoon die een account aanmaakt op Protectus.pro en instemt met de Algemene Voorwaarden. Dit betreft doorgaans een preventieadviseur, HR-verantwoordelijke of andere bevoegde persoon die handelt namens een onderneming of organisatie (hierna: "Verwerkingsverantwoordelijke").

DOEL: De Verwerker verwerkt persoonsgegevens voor: (1) ergonomische risicoanalyses per werkpost (KIM-methoden conform BAuA 2019, VerV-methode Staand Werken 2020); (2) genereren van risicobeoordelingsrapporten conform KB 19 maart 2024; (3) opstellen en opvolgen van TOP-actieplannen; (4) genereren van AI-ondersteunde opleidingsdocumenten; (5) bijhouden van risicotrends per werkpost.

PERSOONSGEGEVENS: identificatiegegevens medewerkers (naam/functietitel, optioneel), professionele gegevens (werkpost, afdeling, vestiging), ergonomische meetdata (KIM-scores, risicoclassificaties), fotobeeldmateriaal van werkposten, en gebruikersgegevens van het platform (naam, e-mailadres van de preventieadviseur).

BETROKKENEN: werknemers en medewerkers wiens werkposten worden geanalyseerd; preventieadviseurs en HR-medewerkers die gebruik maken van het platform.

BEWAARTERMIJNEN: analyses en risicogegevens 10 jaar (conform KB 19/03/2024); gebruikersaccountgegevens zolang account actief + 12 maanden; logbestanden maximaal 90 dagen.

AI-VERWERKING: bij het genereren van opleidingsdocumenten worden bedrijfsnaam, werkpostnaam, risicodomeinen, KIM-niveaus en geanonimiseerde werknemersopmerkingen meegestuurd naar Anthropic PBC (VS, gedekt door SCC). Geen namen van individuele werknemers. Anthropic gebruikt deze data niet voor modeltraining (Commercial Terms).

INSTRUCTIEGEBONDENHEID: De Verwerker verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Verwerkingsverantwoordelijke. De aanvaarding van de Algemene Voorwaarden en het gebruik van het platform gelden als gedocumenteerde instructie.

VERTROUWELIJKHEID: Personen die geautoriseerd zijn de persoonsgegevens te verwerken, hebben een vertrouwelijkheidsplicht aanvaard of zijn gebonden aan wettelijke vertrouwelijkheid.

BEVEILIGING: Versleuteling in transit (TLS 1.2+) en in rust (AES-256); Row-Level Security op databaseniveau; toegangscontrole op basis van rollen; veilige authenticatie via Supabase Auth; regelmatige backups; monitoring via Sentry; cascade delete bij accountsluiting.

GEEN COMMERCIEEL HERGEBRUIK: Dergonomics BV verkoopt geen persoonsgegevens aan derden, gebruikt de gegevens niet voor eigen commerciële doeleinden en niet voor het trainen van AI-modellen zonder uitdrukkelijke toestemming.

BIJSTAND: De Verwerker biedt bijstand bij het behandelen van verzoeken van betrokkenen (toegang, correctie, wissing, overdraagbaarheid, bezwaar) en bij meldingsplichten bij datalekken.

De Verwerkingsverantwoordelijke geeft algemene toestemming voor de volgende subverwerkers:

Supabase Inc. (VS/EU) — Database hosting en authenticatie. EU-servers (Ireland, eu-west-1). DPA + SCC.

Anthropic PBC (VS) — AI-taalmodel voor opleidingsdocumenten. Geen modeltraining op klantdata. DPA in Commercial Terms. SCC.

Stripe Inc. (VS/EU) — Betalingsverwerking. PCI-DSS compliant. DPA in servicevoorwaarden.

Resend Inc. (VS) — Transactionele e-mail. DPA beschikbaar. SCC.

Railway Corp. (VS) — Backend API hosting. DPA beschikbaar. SCC.

Vercel Inc. (VS/EU) — Frontend hosting. DPA beschikbaar. SCC.

Amazon Web Services (VS/EU) — Onderliggende infrastructuur van Supabase. EU (Ireland). DPA + SCC.

De Verwerker informeert de Verwerkingsverantwoordelijke over wijzigingen in subverwerkers via een update van deze VOO op protectus.pro/verwerkersovereenkomst (minstens 30 dagen vooraf).

De Verwerker stelt de Verwerkingsverantwoordelijke zonder onredelijke vertraging — en indien mogelijk binnen 48 uur na ontdekking — in kennis van een inbreuk in verband met persoonsgegevens.

De kennisgeving bevat minimaal: de aard van de inbreuk, categorieën en geschat aantal betrokkenen, contactgegevens, waarschijnlijke gevolgen en genomen maatregelen.

Meldingen worden gericht aan: jan@dergonomics.com

Wanneer een betrokkene een verzoek indient bij de Verwerker, stuurt de Verwerker dit onmiddellijk door naar de Verwerkingsverantwoordelijke.

De Verwerkingsverantwoordelijke is primair verantwoordelijk voor het beantwoorden van verzoeken van betrokkenen.

De Verwerker biedt in de applicatie een zelfbediening-verwijderingsfunctie waarmee alle eigen gegevens permanent kunnen worden verwijderd.

Persoonsgegevens worden primair verwerkt binnen de EER (Ierland, AWS eu-west-1).

Voor subverwerkers buiten de EER (Anthropic, Stripe, Resend, Railway, Vercel) zijn gegevensoverdrachten gedekt door Standard Contractual Clauses (SCC) conform EU-besluit 2021/914.

Na beëindiging van de overeenkomst: tijdens de opzegtermijn (30 dagen) blijven alle gegevens beschikbaar voor export via CSV.

Na 30 dagen inactiviteit: automatische anonimisering van persoonsgegevens. Ergonomische analyseresultaten zonder persoonsidentificerende gegevens worden bewaard conform de 10-jaarstermijn.

Op uitdrukkelijk verzoek: volledige en definitieve verwijdering van alle gegevens, inclusief backups, binnen 30 werkdagen. Verzoek richten aan jan@dergonomics.com.

De aansprakelijkheid van de Verwerker is beperkt tot de vergoeding die de Verwerkingsverantwoordelijke in de voorbije 12 maanden heeft betaald, tenzij de schade het gevolg is van opzet of grove nalatigheid.

De Verwerkingsverantwoordelijke is als verwerkingsverantwoordelijke primair aansprakelijk tegenover betrokkenen voor de rechtmatigheid van de verwerking.

Deze VOO is onderworpen aan het Belgisch recht. Bij geschillen zijn de rechtbanken van het arrondissement van de maatschappelijke zetel van Dergonomics BV bevoegd.

De Verwerkingsverantwoordelijke heeft het recht een klacht in te dienen bij de Gegevensbeschermingsautoriteit (GBA): Drukpersstraat 35, 1000 Brussel — www.gegevensbeschermingsautoriteit.be — contact@apd-gba.be.

Deze VOO treedt in werking bij aanvaarding van de Algemene Voorwaarden en blijft van kracht zolang de Verwerkingsverantwoordelijke gebruik maakt van Protectus.pro.

Wijzigingen worden minstens 30 dagen vooraf gecommuniceerd via de applicatie en/of per e-mail.

De actuele versie is steeds beschikbaar op: protectus.pro/verwerkersovereenkomst