Verwerkersovereenkomst

CONCEPT v0.1 (2026-10-23). Geen juridisch advies. Gebaseerd op AVG art. 28. Laten reviewen door een jurist; overweeg aansluiting bij het format "Model Data Pro". Placeholders tussen [HAKEN].

Partijen

1. De klant die de Algemene Voorwaarden van TimeTracking heeft aanvaard ("Verwerkingsverantwoordelijke" of "Klant"); en
2. TimeTracking, 31, 6165 BH Geleen, KvK 84956526 ("Verwerker" of "TimeTracking").

Deze verwerkersovereenkomst maakt deel uit van de Algemene Voorwaarden en wordt daarmee samen aanvaard (bij aanmelding). Bij strijdigheid over persoonsgegevens gaat deze overeenkomst voor.

1. Definities

Begrippen als persoonsgegevens, verwerking, betrokkene, inbreuk in verband met persoonsgegevens en toezichthoudende autoriteit hebben de betekenis uit de AVG (Verordening (EU) 2016/679). "Dienst" is de TimeTracking-webapp, mobiele apps, kiosk, desktopapp, browserextensie, API en e-mailverwerking.

2. Onderwerp en instructies

2.1 Verwerker verwerkt persoonsgegevens uitsluitend namens Verwerkingsverantwoordelijke en alleen op diens schriftelijke instructies, zoals beschreven in Bijlage 1. De instellingen die Verwerkingsverantwoordelijke in de Dienst kiest (modules, GPS aan/uit, GPS-bewaartermijn, accorderingsmodus, exportmappings, AI-functies aan/uit) gelden als schriftelijke instructie. 2.2 Verwerker meldt direct als een instructie naar zijn oordeel in strijd is met de AVG. 2.3 Verwerker gebruikt persoonsgegevens van Klanten niet voor eigen doeleinden, waaronder het trainen van AI-modellen, reclame of verkoop. Verwerker mag geaggregeerde, geanonimiseerde statistieken (bijv. aantal registraties, AI-kosten per document) gebruiken om de Dienst te exploiteren en te verbeteren. 2.4 Verplicht Unie- of lidstatelijk recht Verwerker tot een andere verwerking, dan meldt Verwerker dat vooraf, tenzij dat recht dit verbiedt.

3. Verantwoordelijkheden van Verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke is verantwoordelijk voor: een rechtmatige grondslag (ook voor GPS/geofencing, waarvoor toestemming van werknemers doorgaans geen geldige grondslag is); het informeren van betrokkenen; een DPIA waar vereist (template: dpia-gps-template.nl.md); instemming van de ondernemingsraad waar vereist (art. 27 WOR — kit: works-council-kit.nl.md); en bewaartermijnen die passen bij de eigen wettelijke plichten.

4. Geheimhouding

Verwerker zorgt dat personen die toegang hebben tot de persoonsgegevens tot geheimhouding verplicht zijn. Toegang van medewerkers tot productiedata is beperkt tot benoemde personen, alleen voor support (op verzoek van Klant) of incidentafhandeling, en wordt gelogd.

5. Beveiliging

Verwerker treft de technische en organisatorische maatregelen uit Bijlage 2. Verwerker mag deze maatregelen aanpassen zolang het totale beveiligingsniveau niet daalt.

6. Datalekken

6.1 Verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging, met als streefwaarde 48 uur na ontdekking, zodat Verwerkingsverantwoordelijke binnen 72 uur kan melden bij de Autoriteit Persoonsgegevens (art. 33 AVG). 6.2 De melding bevat, voor zover bekend: aard van het lek, categorieën en geschat aantal betrokkenen en records, waarschijnlijke gevolgen, genomen of voorgestelde maatregelen en een contactpersoon. Informatie mag gefaseerd worden aangeleverd. 6.3 Verwerker registreert alle lekken, ook niet-meldplichtige. Verwerker meldt niet namens Verwerkingsverantwoordelijke aan toezichthouders of betrokkenen, tenzij schriftelijk opgedragen.

7. Sub-verwerkers

7.1 Verwerkingsverantwoordelijke geeft algemene toestemming voor de sub-verwerkers in Bijlage 3. 7.2 Verwerker meldt minimaal 30 dagen vooraf het toevoegen of vervangen van een sub-verwerker. Verwerkingsverantwoordelijke kan binnen die termijn op redelijke privacygronden bezwaar maken. Komen partijen er niet uit, dan mag Verwerkingsverantwoordelijke de betreffende Dienst zonder boete opzeggen en ontvangt een evenredige terugbetaling van vooruitbetaalde bedragen. 7.3 Verwerker legt iedere sub-verwerker dezelfde verplichtingen op en blijft jegens Verwerkingsverantwoordelijke aansprakelijk voor diens nakoming.

8. Doorgifte buiten de EER

Verwerker slaat Klantdata op in de EU/EER. Doorgifte buiten de EER (ook toegang op afstand door een niet-EER-entiteit van een sub-verwerker) vindt alleen plaats met een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework) of EU-standaardcontractbepalingen plus een doorgiftetoets (TIA). Bijlage 3 vermeldt de grondslag per sub-verwerker.

9. Bijstand

9.1 Verzoeken van betrokkenen: in de Dienst kan Verwerkingsverantwoordelijke gegevens van een persoon exporteren, corrigeren en anonimiseren (per persoon in het beheer). Verwerker stuurt ontvangen verzoeken binnen 5 werkdagen door en beantwoordt ze niet zelf. 9.2 Verwerker verleent bijstand, rekening houdend met de aard van de verwerking, bij DPIA's en voorafgaande raadpleging door deze overeenkomst, Bijlage 2 en informatie over de Dienst te verstrekken. Bijstand buiten standaarddocumentatie kan worden gefactureerd tegen [€ TARIEF]/uur.

10. Audits

10.1 Verwerker stelt alle informatie beschikbaar die nodig is om naleving aan te tonen: deze overeenkomst, Bijlage 2, certificeringen van sub-verwerkers (bijv. SOC 2 / ISO 27001-rapporten van Supabase, AWS, Vercel) en antwoorden op een redelijke securityvragenlijst, eenmaal per jaar. 10.2 Is dat onvoldoende, of eist een toezichthouder dit, dan mag Verwerkingsverantwoordelijke een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte auditor, op eigen kosten, met 30 dagen aankondiging, maximaal eenmaal per jaar, zonder toegang tot data van andere klanten.

11. Duur, teruggave en verwijdering

11.1 Deze overeenkomst loopt zolang Verwerker persoonsgegevens verwerkt voor Verwerkingsverantwoordelijke. 11.2 Tijdens de looptijd kan Verwerkingsverantwoordelijke de data altijd exporteren (CSV/XLSX, API). 11.3 Na beëindiging heeft Verwerkingsverantwoordelijke 30 dagen om te exporteren. Daarna verwijdert Verwerker de Klantdata binnen 30 dagen uit productie en uit back-ups zodra de back-upbewaartermijn verloopt (Bijlage 2), tenzij Unie- of lidstatelijk recht opslag vereist. 11.4 Uitzondering: het append-only auditlog [OPEN: technisch verwijderpad voor auditlog van beëindigde tenants moet nog worden gebouwd; zie README].

12. Aansprakelijkheid

Aansprakelijkheid onder deze overeenkomst valt onder de beperking in de Algemene Voorwaarden, tenzij dwingend recht anders bepaalt. [Jurist: overweeg een aparte, hogere limiet voor privacyclaims.]

13. Toepasselijk recht

Nederlands recht. Geschillen: bevoegde rechter te [Amsterdam / Limburg (Maastricht)] — BESLISSING OPEN.

---

Bijlage 1 — Beschrijving van de verwerking

Onderdeel	Beschrijving
Aard en doel	Registreren, matchen, accorderen en exporteren van gewerkte uren voor salaris en facturatie; planning en plaatsingen; optionele locatiecontrole bij klokmomenten; optionele onkostenregistratie; AI-ondersteund lezen van gemailde urenbriefjes en afwijkingsdetectie; communicatie (magic links, herinneringen, nudges); support op verzoek van Verwerkingsverantwoordelijke.
Betrokkenen	(a) Medewerkers en uitzendkrachten van Verwerkingsverantwoordelijke; (b) contactpersonen van opdrachtgevers (accordeerders); (c) eigen gebruikers van Verwerkingsverantwoordelijke (kantoor, planners, accountants); (d) afzenders van inkomende mails.
Categorieën persoonsgegevens	Naam, e-mail, telefoon, personeelsnummer, taal; plaatsingen (opdrachtgever, locatie, functie, data, referentie), vaste componenten (bedragen); uren (datum, begin/eind, minuten, pauzes, opmerkingen, bron, toesteltijd, statushistorie); accorderingen (naam ondertekenaar, functie, getypte handtekening, besluit, reden, tijdstip, IP-adres, user-agent); magic-link-metadata (alleen tokenhash, vervaldatum, intrekking); optioneel GPS-coördinaten bij in-/uitklokken en geofence-events, en binnen/buiten-status; optioneel bonnen/foto's en onkostendata; inkomende mails (afzender, onderwerp, bijlagen) en AI-extracties met betrouwbaarheidsscore; auditlog (actor, actie, oude/nieuwe waarden, metadata); kiosk-selfies [als anti-buddy-punching-module aanstaat — BESLISSING OPEN; bij gezichtsherkenning zijn dit biometrische gegevens: nu NIET gepland].
Bijzondere persoonsgegevens	Niet beoogd. Verwerkingsverantwoordelijke slaat geen gezondheidsgegevens op in opmerkingen of verlofredenen. [Verlofmodule: reden "ziek" is in NL een gezondheidsgegeven — jurist: alleen "afwezig" zonder reden opslaan?]
Frequentie	Doorlopend tijdens de looptijd.
Bewaartermijn	Zoals ingesteld door Verwerkingsverantwoordelijke; standaarden in retention-schedule.nl.md. GPS-coördinaten standaard 30 dagen (instelbaar 0–90), daarna alleen binnen/buiten.
Locatie	EU (Ierland primair; Frankfurt voor AI). Zie Bijlage 3.

Bijlage 2 — Technische en organisatorische maatregelen

Versleuteling

• Transport: TLS 1.2+ voor alle verbindingen (web, API, mobiel, database); HSTS op timetracking.tech.
• Opslag: AES-256-versleuteling van database, bestandsopslag en back-ups (sleutels beheerd door aanbieder).
• Magic-link-tokens: 256 bit willekeurig; alleen de SHA-256-hash wordt opgeslagen; 14 dagen geldig; intrekbaar; eenmalig bruikbaar voor accordering.

Tenantscheiding en toegangsbeheer

• Elke tenanttabel heeft org_id en wordt beschermd door PostgreSQL row-level security; policies worden per rol (owner, admin, office, planner, employee, accountant) automatisch getest.
• Medewerkers zien alleen hun eigen plaatsingen en uren; contactpersonen van opdrachtgevers alleen de plaatsingen binnen hun link.
• Rolgebaseerde toegang; minimale rechten; service-role-sleutel alleen server-side, nooit in clients.
• Tweestapsverificatie (TOTP of passkey) verplicht voor medewerkers van TimeTracking en voor owner/admin-rollen [verplicht of optioneel voor beheerders van Klanten — BESLISSING OPEN].
• Productietoegang medewerkers: alleen benoemde personen, gelogd, ieder kwartaal herzien.

Integriteit en controleerbaarheid

• Append-only auditlog: databasetriggers leggen elke wijziging vast aan urenstaten, claims, plaatsingen, periodes, accorderingen, exports en conflicten (wie, wanneer, bron, oude/nieuwe waarde). UPDATE en DELETE op het auditlog worden door een trigger geblokkeerd; API-rollen hebben geen schrijfrechten.
• Ruwe urenregistraties (time_claims) zijn append-only; vergrendelde periodes zijn niet te wijzigen, alleen te corrigeren met een nieuwe regel met verwijzing.
• Exports krijgen een SHA-256-hash en zijn reproduceerbaar.
• Klokmanipulatie: toesteltijd vs. servertijd, vlag bij > 5 min.

AI-waarborgen

• Inkomende mail is data: het model vult alleen een vast extractieschema en kan geen acties uitvoeren. SPF/DKIM-controle en allowlist van afzenderdomeinen per opdrachtgever; onbekende afzenders gaan naar quarantaine.
• Extracties met betrouwbaarheid < 0,85 gaan naar menselijke controle.
• Model gehost in de EU (AWS Bedrock Frankfurt) [gepland]; geen training op Klantdata.

Beschikbaarheid en back-ups

• Gescheiden dev / staging / productie; productiedata wordt niet gebruikt in dev/staging.
• Point-in-time recovery aan: RPO ≤ 5 minuten, RTO ≤ 4 uur; back-upbewaartermijn [7] dagen [Supabase-abonnement verifiëren].
• Alleen voorwaartse, gereviewde databasemigraties; automatische rollback bij foutpieken.

Dataminimalisatie

• Geen screenshots, toetsaanslagregistratie of app-/websitemonitoring.
• GPS alleen bij klokmomenten en geofence-overgangen, alleen als Verwerkingsverantwoordelijke dit aanzet; achtergrondlocatie op iOS/Android alleen bij geofencing; medewerker ziet wanneer locatie wordt vastgelegd.
• Pushberichten bevatten geen uren of namen.
• Foutmonitoring met PII-scrubbing.

Incidentrespons

• Gedocumenteerde procedure: detecteren → indammen → beoordelen → Verwerkingsverantwoordelijke informeren (streefwaarde 48 uur) → herstellen → evaluatie.
• Register van datalekken.

Organisatorisch

• Geheimhouding voor alle medewerkers en opdrachtnemers; security-awareness bij onboarding.
• Leveranciersbeoordeling vóór inschakelen sub-verwerker (verwerkersovereenkomst, regio, certificeringen).
• Secrets in een secret store, nooit in de repository.
• Deze bijlage wordt minimaal jaarlijks herzien.

Bijlage 3 — Sub-verwerkers

Zie subprocessors.nl.md (sectie A), dat deel uitmaakt van deze overeenkomst.