Verwerkersovereenkomst Dossierwacht

Versie 1.0 · geldig vanaf 26 september 2026

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van Dossierwacht en geldt vanaf het moment dat u daarmee akkoord gaat. Ze regelt hoe wij omgaan met de persoonsgegevens die u in Dossierwacht zet. Waar "u" staat, bedoelen we het bureau dat klant is (de verwerkingsverantwoordelijke). Waar "wij" staat, bedoelen we Dossierwacht, KvK 86250531, Sintludgerusstraat 2, 3553 CR Utrecht (de verwerker).

1. Waar het over gaat

Onderwerp. Wij bewaren, tonen en verwerken de gegevens en documenten die u in de online omgeving van Dossierwacht zet, zodat u uw Wtta-dossier kunt bijhouden.

Doel. Het leveren van de dienst zoals in de algemene voorwaarden beschreven: het opslaan van documenten, het bijhouden van status en vervaldata, het tonen van openstaande taken en het versturen van berichten daarover aan de gebruikers van uw bureau.

Duur. Zolang de overeenkomst tussen u en ons loopt, plus de periode daarna die nodig is om de gegevens te verwijderen (artikel 9).

Betrokkenen. Uitzendkrachten en andere arbeidskrachten die u ter beschikking stelt; contactpersonen bij uw inleners; uw eigen medewerkers en gebruikers van de omgeving.

Soorten gegevens. Naam, adres, geboortedatum, contactgegevens, burgerservicenummer, nationaliteit en verblijfsstatus, gegevens uit identiteitsdocumenten, arbeidsovereenkomsten, loon- en urengegevens, gegevens over huisvesting en verzekeringen, en de documenten waarin die gegevens staan. U bepaalt zelf welke gegevens u invoert; wij vragen u om niet meer in te voeren dan het normenkader van u vraagt.

2. Wat wij wel en niet doen

Wij verwerken de gegevens alleen in uw opdracht en alleen voor het doel hierboven. Wij gebruiken ze nooit voor eigen doelen, verkopen ze niet en delen ze niet met anderen dan de subverwerkers in artikel 6. Krijgen wij een instructie van u die volgens ons in strijd is met de wet, dan laten wij u dat weten voordat wij hem uitvoeren.

Verplicht de wet ons om gegevens aan een overheidsinstantie te geven, dan informeren wij u daarover vooraf, tenzij de wet dat verbiedt.

Wij verwerken de gegevens binnen de Europese Economische Ruimte. Verwerking daarbuiten vindt alleen plaats via een subverwerker uit artikel 6 en op basis van een geldig doorgiftemechanisme, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.

3. Geheimhouding

Iedereen die bij ons toegang heeft tot uw gegevens, is gebonden aan geheimhouding. Toegang is beperkt tot de oprichters van Dossierwacht en wordt alleen gebruikt om u te helpen of om een storing op te lossen. Elke handeling in de omgeving wordt vastgelegd, ook die van ons.

4. Beveiliging

Wij nemen de technische en organisatorische maatregelen die passen bij de aard van de gegevens. In elk geval:

De database, de bestandsopslag en de inloggegevens staan bij een hostingpartij in de Europese Unie, met versleuteling van de verbinding en van de opgeslagen gegevens.
De gegevens van elk bureau zijn op databaseniveau gescheiden van die van andere bureaus, zodat een gebruiker alleen het dossier van het eigen bureau kan zien.
Inloggen gaat via een eenmalige link naar het e-mailadres van de gebruiker; er zijn geen wachtwoorden die gelekt kunnen worden.
Nieuwe gebruikers krijgen alleen toegang op uitnodiging van uw bureau.
Uploads zijn beperkt tot documenttypen en bestandsgroottes die nodig zijn voor het dossier.
Van de database worden back-ups gemaakt volgens het schema van de hostingpartij.
Wij houden onze software en afhankelijkheden actueel en beoordelen de beveiliging bij elke wijziging.

Wij passen deze maatregelen aan als de techniek of de risico's daarom vragen, zonder dat het beschermingsniveau daardoor lager wordt.

5. Datalekken

Ontdekken wij een inbreuk op de beveiliging waarbij uw gegevens betrokken zijn, dan melden wij dat binnen 48 uur na ontdekking aan het e-mailadres van de beheerder van uw bureau. Wij vertellen daarbij wat er is gebeurd, welke gegevens en betrokkenen het raakt, wat de mogelijke gevolgen zijn en wat wij doen om de schade te beperken. Weten we nog niet alles, dan melden we wat we weten en vullen we dat aan.

U beoordeelt zelf of u de inbreuk meldt bij de Autoriteit Persoonsgegevens en bij de betrokkenen. Wij helpen u daarbij met de informatie die u nodig heeft.

6. Subverwerkers

Wij schakelen de volgende partijen in:

Supabase (database, bestandsopslag, authenticatie), servers in de Europese Unie.
Vercel (hosting van de applicatie).
Resend (versturen van e-mail, zoals inloglinks en berichten over uw dossier).

Met elk van hen hebben wij afspraken die minstens dezelfde bescherming bieden als deze overeenkomst. Willen wij een subverwerker toevoegen of vervangen, dan laten wij u dat minstens dertig dagen vooraf per e-mail weten. Heeft u daar gegronde bezwaren tegen, dan kunt u de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat.

7. Hulp bij rechten van betrokkenen en bij uw verplichtingen

Krijgt u een verzoek van een betrokkene om inzage, correctie, verwijdering of een ander recht, dan kunt u dat in de meeste gevallen zelf afhandelen in de omgeving. Lukt dat niet, dan helpen wij binnen tien werkdagen. Ontvangen wij zelf zo'n verzoek, dan sturen wij het naar u door en handelen wij het niet zelf af.

Wij helpen u ook bij een gegevensbeschermingseffectbeoordeling of een vraag van de toezichthouder, voor zover dat onze verwerking betreft.

8. Controle

U mag eenmaal per jaar laten controleren of wij ons aan deze overeenkomst houden. U kondigt dat minstens dertig dagen vooraf aan, en de controle wordt zo uitgevoerd dat onze dienstverlening aan andere klanten er niet onder lijdt. Eerst beantwoorden wij uw vragen schriftelijk; alleen als dat niet voldoende is, volgt een controle op locatie of bij onze hostingpartij, voor zover die dat toestaat. De kosten van een controle zijn voor u, tenzij blijkt dat wij tekortschoten.

9. Einde van de overeenkomst

Na het einde van uw abonnement kunt u dertig dagen lang uw documenten en gegevens downloaden. Daarna verwijderen wij alle gegevens van uw bureau uit onze systemen, inclusief de back-ups zodra die volgens het schema van de hostingpartij worden overschreven. Wij bevestigen de verwijdering op verzoek per e-mail. Gegevens die wij wettelijk moeten bewaren, zoals facturen, bewaren wij zolang die plicht duurt en gebruiken wij nergens anders voor.

10. Aansprakelijkheid en overige bepalingen

Voor aansprakelijkheid gelden de bepalingen van de algemene voorwaarden. Ieder van ons is aansprakelijk voor boetes die het gevolg zijn van het eigen tekortschieten onder de privacywetgeving.

Bij strijd tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor wat betreft de verwerking van persoonsgegevens. Op deze overeenkomst is Nederlands recht van toepassing. Wijzigingen van deze overeenkomst kondigen wij minstens dertig dagen vooraf aan; is een wijziging in uw nadeel, dan kunt u opzeggen tegen de ingangsdatum.