Verwerkersovereenkomst

Deze overeenkomst maakt deel uit van de gebruiksvoorwaarden tussen Blok Consulting BV, Boomlaarstraat 75B, 2500 Lier, België, ondernemings- en btw-nummer BE 0767.642.063 (“we”, de verwerker) en de organisatie die BlokCms gebruikt (“u”, de verwerkingsverantwoordelijke). Ze is van toepassing telkens wanneer we persoonsgegevens in uw opdracht verwerken, en treedt in werking wanneer u de voorwaarden aanvaardt. Hebt u een ondertekend exemplaar nodig? Schrijf dan naar privacy@blokcms.app.

1. Definities

Begrippen zoals persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene en inbreuk in verband met persoonsgegevens hebben de betekenis die ze hebben in de Algemene Verordening Gegevensbescherming (EU) 2016/679 (“AVG”). “Uw gegevens” zijn de persoonsgegevens in wat uw organisatie in BlokCms opslaat, met inbegrip van de inzendingen van uw formulieren.

2. Rollen en instructies

• U bent de verwerkingsverantwoordelijke voor uw gegevens en wij verwerken ze als uw verwerker, uitsluitend op basis van uw gedocumenteerde instructies. Die instructies zijn de voorwaarden, deze overeenkomst en de manier waarop u BlokCms instelt en gebruikt: de formulieren die u maakt en hun bewaartermijnen, de mensen die u uitnodigt, de integraties en AI-functies die u inschakelt.
• We laten u weten als we van mening zijn dat een instructie in strijd is met de wetgeving inzake gegevensbescherming.
• U zorgt ervoor dat u uw gegevens mag verzamelen en gebruiken, bijvoorbeeld door de bezoekers van uw website in uw eigen privacyverklaring over uw formulieren te informeren. BlokCms is niet ontworpen voor bijzondere categorieën van gegevens (zoals gezondheidsgegevens); als uw formulieren die verzamelen, moet u zelf voor de rechtsgrond daarvan zorgen.

3. Wat we verwerken

Het onderwerp, het doel, de soorten gegevens en de betrokkenen worden beschreven in bijlage 1.

4. Vertrouwelijkheid

Iedereen die we uw gegevens laten verwerken, is tot geheimhouding verplicht.

5. Beveiliging

We beschermen uw gegevens met de technische en organisatorische maatregelen in bijlage 2, en houden die afgestemd op het risico naarmate BlokCms verandert.

6. Subverwerkers

• U geeft toestemming voor de subverwerkers in bijlage 3.
• We brengen de beheerders van uw organisatie minstens 30 dagen voordat we een subverwerker toevoegen of vervangen per e-mail op de hoogte. Als u om redelijke redenen van gegevensbescherming bezwaar maakt en we dat niet kunnen oplossen, kunt u de voorwaarden vóór de wijziging beëindigen.
• Elke subverwerker is gebonden aan verplichtingen inzake gegevensbescherming die vergelijkbaar zijn met die in deze overeenkomst, en wij blijven tegenover u verantwoordelijk voor het werk van die subverwerker.

7. Waar uw gegevens zich bevinden

Uw gegevens worden opgeslagen in de EU-jurisdictie van Cloudflare. Content die u voor het publiek publiceert, wordt ook wereldwijd gecachet op het netwerk van Cloudflare, zodat websites snel laden. AI-functies, die u per space inschakelt, kunnen content buiten de EU verwerken. Waar uw gegevens de Europese Economische Ruimte verlaten, worden ze beschermd door de standaardcontractbepalingen van de EU of het EU-VS-kader voor gegevensbescherming (Data Privacy Framework).

8. Verzoeken van betrokkenen

Met BlokCms kunt u die zelf beantwoorden: u kunt alles wat één e-mailadres via uw formulieren heeft verstuurd terugvinden en wissen, de content van een space exporteren en content verwijderen. Als een betrokkene over uw gegevens contact met ons opneemt, sturen we het verzoek naar u door en beantwoorden we het niet zelf. We helpen u verder waar u dat redelijkerwijs nodig hebt.

9. Inbreuken in verband met persoonsgegevens

We brengen u zonder onredelijke vertraging op de hoogte, en uiterlijk binnen 48 uur nadat we kennis hebben gekregen van een inbreuk die uw gegevens treft. We vermelden wat u nodig hebt om de autoriteiten en de betrokken personen in te lichten (wat er is gebeurd, welke gegevens en hoeveel personen, de waarschijnlijke gevolgen en wat we eraan doen), en we sturen wat we nog niet weten zodra we het weten.

10. Andere bijstand

We helpen u, voor zover redelijkerwijs nodig, bij gegevensbeschermingseffectbeoordelingen en bij raadplegingen van een toezichthoudende autoriteit die BlokCms betreffen.

11. Verwijdering en teruggave

• U kunt uw content op elk moment exporteren.
• Als u een space of uw organisatie verwijdert, gaat die meteen offline en worden de content, bestanden en back-ups ervan binnen een dag gewist. Herstelkopieën die onze hostingprovider bewaart, vervallen binnen 30 dagen daarna.
• Wanneer de voorwaarden eindigen, exporteert u wat u wilt bewaren en verwijdert u uw organisatie. Wat er dan nog overblijft, wissen we op dezelfde manier, tenzij de wet ons verplicht het te bewaren.

12. Informatie en audits

We geven u de informatie die u nodig hebt om aan te tonen dat deze overeenkomst wordt nageleefd. U mag de naleving eenmaal per jaar laten controleren, mits u dat 30 dagen vooraf aankondigt, op eigen kosten, door een onafhankelijke auditor die tot geheimhouding verplicht is, en op een manier die geen toegang geeft tot gegevens van andere klanten. Waar mogelijk steunt een audit op de rapporten van onze hostingprovider, Cloudflare, die over ISO/IEC 27001 en SOC 2 Type II beschikt.

13. Duur, aansprakelijkheid en voorrang

Deze overeenkomst geldt zolang we uw gegevens verwerken. De aansprakelijkheid is beperkt zoals in de voorwaarden. Waar deze overeenkomst en de voorwaarden elkaar tegenspreken wat gegevensbescherming betreft, heeft deze overeenkomst voorrang. Op deze overeenkomst is het Belgische recht van toepassing, en geschillen worden voorgelegd aan de rechtbanken van Antwerpen, afdeling Mechelen. Deze overeenkomst bestaat ook in het Engels, Frans, Duits en Spaans; deze Nederlandse versie is een vertaling, en als ze afwijkt van de Engelse versie, geldt de Engelse versie.

Bijlage 1: Details van de verwerking

• Onderwerp en doel: het hosten, bewerken, publiceren en leveren van de content van uw websites; het ontvangen en opslaan van de inzendingen van uw formulieren en u daarvan op de hoogte brengen; de AI-functies die u inschakelt.
• Duur: zolang de voorwaarden gelden, daarna tot de gegevens zijn gewist zoals in artikel 11.
• Aard: opslaan, ordenen, opvragen, leveren via onze API's, e-mailmeldingen, webhooks en integraties die u instelt, en wissen.
• Betrokkenen: bezoekers die uw formulieren versturen; personen die in uw content worden vermeld of getoond; uw teamleden als auteurs van content en opmerkingen.
• Soorten gegevens: wat uw formulieren vragen (bijvoorbeeld namen, e-mailadressen, telefoonnummers, berichten en geüploade bestanden), samen met de pagina en de taal van waaruit een formulier werd verstuurd, de user-agent van de browser en de toestemmingstekst waarmee een bezoeker akkoord ging; IP-adressen worden niet opgeslagen. Content over personen, zoals namen, foto's en biografieën. Opmerkingen en vermeldingen.
• Bewaartermijn: formulierinzendingen zo lang als u per formulier instelt (één jaar, tenzij u iets anders kiest), spam 30 dagen; content tot u die verwijdert; back-ups tot 30 dagen.

Bijlage 2: Technische en organisatorische maatregelen

• Locatie en scheiding: databases en bestanden in de EU-jurisdictie van Cloudflare; elke space in een eigen database.
• Versleuteling: TLS voor al het verkeer, versleuteling van alle opgeslagen gegevens.
• Toegangsbeheer: rollen per organisatie en space (beheerder, redacteur, auteur, lezer en eigen rollen, beperkt tot mappen of contenttypes); formulierinzendingen alleen voor mensen die ze mogen lezen; toegangstokens alleen als hash opgeslagen; voorbeeldtokens gescheiden van publieke tokens.
• Authenticatie: aanmelden via een gespecialiseerde provider (Clerk); sessietokens gecontroleerd bij elk verzoek.
• Traceerbaarheid: een geschiedenis van wijzigingen en activiteit per space; operationele logs zonder e-mailadressen of content, tot 30 dagen bewaard.
• Beschikbaarheid: nachtelijke back-ups (de laatste 14 worden bewaard) en herstel naar elk tijdstip van de afgelopen 30 dagen; gepubliceerde content geleverd vanuit caches wereldwijd.
• Bescherming tegen misbruik: limieten op verzoeken per persoon, token en formulierbezoeker; spambeveiliging op formulieren (Cloudflare Turnstile, een verborgen lokveld en limieten tegen massale inzendingen).
• Wissen: bewaartermijnen per formulier, wissen per e-mailadres, en wissen van verwijderde spaces en organisaties zoals in artikel 11.
• Ontwikkeling en beheer: wijzigingen worden nagekeken en getest voordat ze worden uitgerold; toegang tot de productieomgeving is beperkt tot onze beheerders.

Bijlage 3: Subverwerkers

• Cloudflare, Inc. (Verenigde Staten): hosting, databases, bestandsopslag, contentlevering, het verzenden van e-mail (formuliermeldingen) en logs; Workers AI voor de AI-functies die u inschakelt. Opgeslagen gegevens bevinden zich in de EU-jurisdictie.
• Microsoft Ireland Operations Ltd (Microsoft 365): e-mail voor ondersteuning, alleen voor persoonsgegevens die u ons in een verzoek om ondersteuning stuurt.

Clerk, Inc. beheert de accounts en het aanmelden van BlokCms. Voor die accountgegevens zijn wij de verwerkingsverantwoordelijke (zie ons privacybeleid); Clerk ontvangt uw gegevens niet.