Verwerkersovereenkomst

De klant is het bedrijf dat TimeRecap gebruikt voor zijn team, en is de verwerkingsverantwoordelijke voor de persoonsgegevens. Wij zijn de verwerker: eMindBrowser BV, Schoolstraat 24 8530 Harelbeke, Belgium, ondernemingsnummer 1006742907.

Voor de gegevens die we nodig hebben om ons eigen bedrijf te runnen, zoals de contact- en facturatiegegevens van de persoon die bestelt, zijn we zelf verwerkingsverantwoordelijke. Het Privacybeleid gaat over die gegevens.

Onderwerp: we hosten de TimeRecap-app en -clouddienst voor de klant. Aard: we ontvangen tijdsregistraties van de toestellen en de app van de klant, bewaren en tonen ze, en sturen ze door naar de integraties die de klant inschakelt. Doel: de klant en zijn team hun tijd laten registreren per activiteit, klant en project. Duur: zolang de klant TimeRecap gebruikt.

Persoonsgegevens: namen, e-mailadressen en login-ID's van teamleden; ID's en instellingen van toestellen; tijdsregistraties met begin- en eindtijden, activiteit, klant, project en notities; en toegangstokens voor de integraties die de klant koppelt.

Betrokkenen: de werknemers en andere teamleden van de klant die TimeRecap gebruiken. Klantnamen en notities kunnen ook verwijzen naar de eigen klanten van de klant.

TimeRecap is niet ontworpen voor bijzondere categorieën van persoonsgegevens, zoals gezondheidsgegevens. De klant mag ze niet invoeren in notities of namen.

We verwerken de persoonsgegevens alleen volgens de gedocumenteerde instructies van de klant. Deze overeenkomst, de Softwarevoorwaarden en de instellingen die de klant in de app kiest, vormen die instructies. De klant kan schriftelijk bijkomende instructies geven.

Als we denken dat een instructie in strijd is met de wetgeving over gegevensbescherming, laten we dat de klant meteen weten. Als het EU-recht of het Belgisch recht ons verplicht de gegevens op een andere manier te verwerken, laten we dat de klant eerst weten, tenzij die wet dat verbiedt.

Iedereen die toegang heeft tot de persoonsgegevens, bij ons bedrijf of bij onze subverwerkers, is contractueel of wettelijk tot geheimhouding verplicht. Alleen wie toegang nodig heeft om de dienst te leveren en te ondersteunen, krijgt die.

We beschermen de persoonsgegevens met technische en organisatorische maatregelen die passen bij het risico, waaronder: • versleuteling tijdens het transport (TLS) en in rust • een database in een privénetwerk dat niet bereikbaar is vanaf het internet • toegang alleen voor bevoegde personen, met tweestapsverificatie voor beheerderstoegang • toestellen die geregistreerd moeten zijn voordat de cloud hun gegevens aanvaardt, met flashversleuteling en secure boot op het toestel • monitoring en logging van onze servers

We evalueren deze maatregelen regelmatig en werken ze bij wanneer dat nodig is.

We gebruiken deze subverwerkers: • Amazon Web Services EMEA SARL (Luxemburg): hosting, database en back-ups, in de AWS-regio Parijs (Frankrijk) • Auth0, onderdeel van Okta Inc.: aanmelding en authenticatie, in de EU-regio van Auth0

De klant geeft algemene toestemming voor deze subverwerkers. Elk van hen is gebonden aan dezelfde verplichtingen inzake gegevensbescherming als in deze overeenkomst, en wij blijven verantwoordelijk voor hen.

Nieuwe of vervangende subverwerkers kondigen we minstens 30 dagen vooraf aan per e-mail. De klant kan binnen die termijn op redelijke gronden bezwaar maken. Kunnen we het bezwaar niet oplossen, dan kan de klant stoppen met de dienst, en betalen we vooruitbetaalde bedragen voor de resterende periode terug.

Integraties die de klant inschakelt, zoals Clockify, Toggl of Zapier, zijn niet onze subverwerkers. De klant kiest ze zelf, en we sturen gegevens naar hen op instructie van de klant.

We bewaren de persoonsgegevens in de Europese Unie. AWS en Auth0 behoren tot Amerikaanse bedrijven, die in beperkte gevallen toegang kunnen hebben tot gegevens, bijvoorbeeld voor ondersteuning of beveiliging. Die doorgiften vallen onder het EU-VS-kader voor gegevensbescherming (Data Privacy Framework) en de modelcontractbepalingen van de Europese Commissie.

Integraties die de klant inschakelt, kunnen gegevens buiten de EU bewaren. Hun eigen voorwaarden zijn van toepassing.

In TimeRecap kan de klant de gegevens van zijn teamleden bekijken, corrigeren, exporteren en verwijderen. Heeft de klant meer hulp nodig om een verzoek van een betrokkene te beantwoorden, dan helpen we.

We helpen de klant ook bij gegevensbeschermingseffectbeoordelingen, voorafgaande raadplegingen en vragen van gegevensbeschermingsautoriteiten, voor zover ze over onze verwerking gaan. Neemt een teamlid of een autoriteit rechtstreeks contact met ons op, dan sturen we het verzoek door naar de klant in plaats van het zelf te beantwoorden, tenzij de wet iets anders vereist.

Als we op de hoogte raken van een inbreuk in verband met persoonsgegevens die de gegevens van de klant treft, melden we dat de klant zonder onredelijke vertraging, en uiterlijk binnen 48 uur.

We delen wat we weten: wat er gebeurd is, welke gegevens en hoeveel mensen getroffen zijn, de waarschijnlijke gevolgen, en de maatregelen die we genomen hebben of voorstellen. We vullen de informatie aan naarmate we meer te weten komen, en helpen de klant waar nodig om de autoriteit en de getroffen personen te informeren.

Wanneer de klant zijn account verwijdert, worden alle persoonsgegevens die we voor de klant verwerken meteen verwijderd. De klant exporteert zijn gegevens dus best eerst. Kopieën in onze back-ups worden binnen 7 dagen automatisch verwijderd, tenzij de wet ons verplicht ze te bewaren.

Op verzoek bevestigen we de verwijdering schriftelijk.