Verwerkersovereenkomst (artikel 28 AVG)

Onderwerp, aard en duur

• Onderwerp en doel: de QR-codes ontvangen die de app heeft gelezen, elk bestand samenvoegen en ontsleutelen, het controleren en beschikbaar stellen aan het account, uitsluitend om de dienst te leveren.
• Aard: ontvangst, ontsleuteling, integriteitscontrole, tijdelijke opslag, beschikbaarstelling, verwijdering.
• Duur: die van het abonnement; elk bestand wordt maximaal 7 dagen bewaard, of met de daarvoor bedoelde optie verwijderd zodra het is gedownload.
• Gegevens: de inhoud van de bestanden die u kiest om over te dragen, hun namen, en accountgegevens (gebruikersnaam, e-mailadres, aanmeldlogs).
• Betrokkenen: de gebruikers van uw accounts, en iedereen van wie gegevens in de overgedragen bestanden voorkomen.

Instructies en vertrouwelijkheid

• Wij verwerken de gegevens uitsluitend op basis van uw schriftelijke instructies: het gebruik van de dienst en de instellingen van uw account of instantie. Als een instructie naar ons oordeel inbreuk maakt op de AVG, laten wij u dat weten.
• Wij openen een bestand nooit voor een ander doel, verkopen het nooit en gebruiken het nooit om een model te trainen.
• De personen die bevoegd zijn om de server te benaderen, zijn tot geheimhouding verplicht.

Beveiligingsmaatregelen (artikel 32)

Ze worden, inclusief de beperkingen, beschreven op de beveiligingspagina; in het kort:

• overdrachten versleuteld met een eigen sleutel per account (XSalsa20-Poly1305), transport uitsluitend via HTTPS;
• accounts op naam, wachtwoordhashes met scrypt, beperkt aantal pogingen, tweede factor via TOTP;
• auditlogboek van elke overdracht waarin elke wijziging aantoonbaar is, 365 dagen bewaard, exporteerbaar;
• korte bewaartermijnen, optionele verwijdering na download, quota;
• opties voor organisaties: goedkeuring volgens het vier-ogenprincipe, toegestane bestandstypen, vastgelegde autorisatie, richtingen afzonderlijk toegestaan.

De server ontsleutelt de bestanden om ze samen te voegen; de applicatie claimt geen versleuteling van opgeslagen gegevens (at rest). Vereist uw analyse dat, dan is een eigen instantie of een installatie op uw eigen servers mogelijk.

Subverwerkers

U geeft ons een algemene toestemming om de hieronder vermelde subverwerkers in te schakelen, elk voor zijn eigen deel:

• Hetzner Online GmbH: server, database en overgedragen bestanden, datacenter in Helsinki (Finland, EU). Overgedragen bestanden worden alleen daar verwerkt.
• Stripe Payments Europe, Ltd. (Ierland): betaling; geen overgedragen bestanden.
• Cloudflare, Inc. (Verenigde Staten): domeinnamen en ontvangst van e-mails aan contact@getbouraq.com; het verkeer van de applicatie loopt niet via de servers van deze partij.
• Google Ireland Limited: onze mailbox, voor de e-mails die u ons stuurt.

Wij informeren u per e-mail over elke toevoeging of vervanging, ten minste 30 dagen van tevoren; u kunt bezwaar maken en, als er geen overeenstemming wordt bereikt, kosteloos opzeggen. Elke subverwerker is contractueel gebonden aan verplichtingen die gelijkwaardig zijn aan die van deze overeenkomst. Doorgiften buiten de Europese Unie die sommige van hen met zich meebrengen, zijn gebaseerd op het EU-U.S. Data Privacy Framework of op de standaardcontractbepalingen van de Europese Commissie.

Bijstand en inbreuken in verband met persoonsgegevens

• Wij helpen u bij het beantwoorden van verzoeken van betrokkenen die hun rechten uitoefenen, en bij het uitvoeren van uw gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen, voor zover wij de verwerking kennen.
• Als een inbreuk in verband met persoonsgegevens uw gegevens treft, informeren wij u zonder onredelijke vertraging en uiterlijk 48 uur nadat wij er kennis van hebben genomen, met vermelding van de aard ervan, de categorieën en het geschatte aantal betrokken personen en registraties, de waarschijnlijke gevolgen en de genomen maatregelen.

Einde van de verwerking

Aan het einde van het contract, of op uw verzoek, verwijderen wij de bestanden en de accountgegevens; u kunt ze vooraf ophalen, als één ZIP-bestand uit uw ruimte. Alleen de vermeldingen in het auditlogboek (account, bestandsnaam, grootte, vingerafdruk en tijdstip, nooit de inhoud) blijven bewaard gedurende de bewaartermijn van het auditlogboek (365 dagen), als bewijs en voor de beveiliging, en worden daarna verwijderd.

Informatie en audits

Wij stellen de informatie beschikbaar die nodig is om de naleving van deze overeenkomst aan te tonen: de beveiligingspagina, het goedkeuringsdossier, exports van het auditlogboek en ondertekende ontvangstbewijzen. U kunt een audit zelf uitvoeren of laten uitvoeren door een onafhankelijke auditor die tot geheimhouding is verplicht: eenmaal per jaar, op uw kosten en met een aankondiging van 30 dagen vooraf, of op elk moment na een inbreuk die u treft.