Verwerkersovereenkomst

Partijen

Verwerkingsverantwoordelijke: het makelaarskantoor dat een account bij Domove heeft, met de naam, het e-maildomein en de vestigingsgegevens zoals die in het account staan.

Verwerker: Domove, met de gegevens hieronder.

Handelsnaam

INVULLEN: handelsnaam zoals ingeschreven bij de KvK

Vestigingsadres

INVULLEN: straat en huisnummer

Postcode

INVULLEN: postcode

Plaats van vestiging

INVULLEN: plaats

Land

Nederland

Handelsregister

Handelsregister van de Kamer van Koophandel

KvK-nummer

INVULLEN: KvK-nummer

Btw-identificatienummer

INVULLEN: btw-identificatienummer

Contactadres voor deze overeenkomst

INVULLEN: e-mailadres

Tekenbevoegde

INVULLEN: naam en functie van de tekenbevoegde

De regels hierboven die met INVULLEN: beginnen, wachten nog op de echte waarde. Zolang daar iets tussen staat, is dit een concept en geen ondertekenbare overeenkomst.

Artikel 1. Onderwerp en duur

Domove verwerkt persoonsgegevens namens het kantoor, uitsluitend om van het aangeleverde beeldmateriaal een woningvideo te maken en die aan het kantoor te leveren. Dat is het onderwerp van deze overeenkomst.

De overeenkomst gaat in zodra het kantoor de eerste woning aanlevert, dus zodra er in een project beeldmateriaal of projectgegevens staan, en loopt zolang Domove persoonsgegevens namens het kantoor verwerkt. Er is geen looptijd en geen opzegtermijn: hij eindigt als het kantoor vraagt zijn account te sluiten, of als de laatste gegevens zijn gewist volgens artikel 13. De bepalingen die naar hun aard doorlopen, waaronder de geheimhouding in artikel 6 en het wissen in artikel 13, blijven daarna gelden.

Artikel 2. Aard en doel van de verwerking

De aard van de verwerking is: ontvangen van foto’s en plattegronden die het kantoor uploadt, of kopiëren van de openbare Funda-pagina waarvan het kantoor de link plakt, opslaan, ordenen per ruimte, uitlezen om te herkennen welke ruimte op een foto staat, omzetten in losse opnames, samenvoegen tot een doorlopende video, beschikbaar stellen in het portaal en via een deellink, en wissen.

Het doel is uitsluitend het leveren van die video. Domove gebruikt het materiaal niet voor eigen doeleinden, traint er zelf geen modellen mee, en gebruikt geen video of foto van een woning voor eigen promotie zonder de aparte toestemming per woning die artikel 8 van de algemene voorwaarden regelt.

Artikel 3. Soorten persoonsgegevens en categorieën betrokkenen

Onder deze overeenkomst verwerkt Domove:

• Wat op de aangeleverde foto’s en plattegronden te zien is en tot een persoon te herleiden kan zijn, bijvoorbeeld een gezicht, een huisnummer in beeld, een kenteken, post op de mat of een persoonlijk voorwerp.
• Het adres van de woning en de projectgegevens die het kantoor eraan koppelt.
• De beschrijvende tekst die bij een Funda-import wordt meegekopieerd.
• De afgeleide bestanden: de losse opnames, de eindvideo en de exports per formaat, voor zover daar bovenstaande gegevens in zichtbaar zijn.

De categorieën betrokkenen zijn:

• Bewoners en eigenaren van de woning die in beeld is gebracht.
• Andere personen die op het aangeleverde beeldmateriaal te zien zijn of in de meegeleverde beschrijving genoemd worden.

Wie een deellink opent hoort daar niet bij: van die bezoeker legt Domove geen persoonsgegevens vast, geen IP-adres, geen browsergegevens en geen cookie, alleen hoe vaak de link geopend is en wanneer dat voor het laatst gebeurde.

De dienst is niet ingericht op bijzondere persoonsgegevens (artikel 9 AVG) of strafrechtelijke gegevens (artikel 10 AVG). Het kantoor levert die niet aan, tenzij partijen daar schriftelijk iets anders over afspreken.

Buiten deze overeenkomst vallen de accountgegevens van het kantoor en zijn medewerkers, de gegevens uit het demoformulier en de betaal- en factuurgegevens. Daarvoor is Domove zelf verwerkingsverantwoordelijke, en de privacyverklaring beschrijft wat daarmee gebeurt.

Artikel 4. Verplichtingen en rechten van de verwerkingsverantwoordelijke

Het kantoor bepaalt het doel en de middelen van de verwerking, binnen wat de dienst biedt, en staat ervoor in dat het daarvoor een grondslag heeft en de betrokkenen informeert zoals de AVG voorschrijft.

Het kantoor bevestigt per project dat het rechthebbende is op de aangeleverde foto’s of toestemming heeft van de rechthebbende, zoals artikel 1 van de algemene voorwaarden vraagt. Die bevestiging legt Domove vast met naam, tijdstip, IP-adres en browser.

Het kantoor bepaalt zelf wie toegang krijgt: het nodigt collega’s uit, trekt een uitnodiging in als dat nodig is, en kiest per deellink hoe lang die geldig is en wanneer hij wordt ingetrokken. Een deellink werkt zonder inloggen, dus wie hem heeft kan de video zien.

Het kantoor heeft recht op de informatie en de medewerking die in artikel 14 staan, en kan Domove aanspreken op de nakoming van deze overeenkomst.

Artikel 5. Verwerking uitsluitend op schriftelijke instructie

Domove verwerkt de persoonsgegevens uitsluitend op gedocumenteerde instructie van het kantoor. Deze overeenkomst, de algemene voorwaarden en de handelingen die het kantoor in het portaal verricht gelden samen als die instructie. Tot die handelingen horen: een project aanmaken, foto’s uploaden, een Funda-link plakken, ruimtes indelen, een rondgang laten maken, een deellink aanmaken of intrekken, en om verwijdering vragen.

Een aanvullende of afwijkende instructie geldt zodra die schriftelijk of per e-mail is gegeven aan het contactadres dat in het partijenblok hierboven staat. Domove verwerkt niet buiten de instructie om en niet voor eigen doeleinden.

Verplicht Unierecht of Nederlands recht Domove tot een verwerking, dan mag Domove die uitvoeren en stelt hij het kantoor daarvan vooraf op de hoogte, tenzij dat recht die mededeling verbiedt om gewichtige redenen van algemeen belang.

Meent Domove dat een instructie in strijd is met de AVG of met andere regels over gegevensbescherming, dan meldt hij dat onmiddellijk aan het kantoor en mag hij de uitvoering opschorten tot het kantoor de instructie bevestigt of aanpast.

Artikel 6. Geheimhouding

Iedereen bij Domove die toegang heeft tot de persoonsgegevens is tot geheimhouding verplicht, op grond van een arbeidsovereenkomst, een opdrachtovereenkomst of een aparte geheimhoudingsverklaring. Toegang krijgt alleen wie hem nodig heeft om de dienst te leveren of om een storing op te lossen.

De geheimhouding blijft gelden nadat deze overeenkomst is geëindigd en nadat de betrokken persoon niet meer voor Domove werkt.

Artikel 7. Beveiliging

Domove treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. Dit zijn de maatregelen die er vandaag daadwerkelijk zijn:

• Al het verkeer naar de website, het portaal en de subverwerkers loopt over een versleutelde verbinding.
• Het portaal is alleen bereikbaar na inloggen. De authenticatie loopt via Supabase, en zonder geldige sessie is er geen toegang.
• De database schermt de gegevens per kantoor af, zodat een ingelogde gebruiker alleen bij de projecten van zijn eigen kantoor kan.
• Foto’s en video’s staan in de opslag bij de subverwerkers uit artikel 8 en zijn niet vrij opvraagbaar. De deellink is de enige weg naar buiten, en het kantoor bepaalt zelf hoe lang die werkt en kan hem op elk moment intrekken.
• Domove houdt een logboek bij van de handelingen in het systeem, zodat achteraf te zien is wie wat heeft gedaan. Dat logboek wordt twaalf maanden bewaard.
• Er draait geen statistieken-, analyse- of foutmonitoringdienst mee, niet op de website en niet in het portaal, dus er lekt langs die weg niets naar een derde partij.

Wat er niet is, noemt Domove ook niet: er is geen ISO 27001-certificering, geen SOC 2-rapport en geen door een derde uitgevoerde penetratietest. Domove houdt de maatregelen tegen het licht wanneer de dienst verandert, en past deze pagina daarop aan.

Artikel 8. Subverwerkers

Het kantoor geeft Domove algemene toestemming om subverwerkers in te schakelen, en geeft bij het aangaan van deze overeenkomst toestemming voor deze partijen: Supabase, Railway, Cloudflare (R2), Brevo, Mollie, Anthropic en Higgsfield. Het land waar elke partij zit en het doel waarvoor zij wordt ingezet, staan in de tabel in de privacyverklaring. Die tabel is de enige lijst; deze overeenkomst verwijst ernaar in plaats van hem over te schrijven, zodat de twee elkaar niet kunnen tegenspreken.

Van die partijen ontvangen vandaag daadwerkelijk gegevens: Supabase, Railway, Cloudflare (R2), Brevo en Mollie. De verwerkingsdienst is nog in aanbouw, dus Anthropic en Higgsfield staan wel klaar maar krijgen nu nog niets.

Domove legt elke subverwerker bij overeenkomst dezelfde verplichtingen op als in deze overeenkomst staan, en blijft tegenover het kantoor volledig aansprakelijk voor het nakomen daarvan.

Wil Domove een subverwerker toevoegen of vervangen, dan kondigt hij dat vooraf aan met een redelijke termijn. Maakt het kantoor binnen die termijn gemotiveerd bezwaar, dan zoeken partijen samen naar een oplossing. Komt die er niet, dan kan het kantoor stoppen met het starten van nieuwe rondgangen en zijn account laten sluiten. Er is geen abonnement en geen minimumafname, dus daar zijn geen kosten aan verbonden voor rondgangen die nog niet zijn gestart.

Artikel 9. Bijstand bij verzoeken van betrokkenen

Een betrokkene die zijn rechten uitoefent, richt zich tot het kantoor: inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar. Het kantoor beantwoordt het verzoek, Domove helpt daarbij met passende technische en organisatorische maatregelen, rekening houdend met de aard van de verwerking.

Komt een verzoek per ongeluk bij Domove binnen, dan beantwoordt Domove het niet zelf, maar stuurt hij het zonder onnodig uitstel door naar het kantoor.

Het kantoor kan een deellink en een uitnodiging zelf intrekken in het portaal. Voor het verwijderen van beeldmateriaal en projectgegevens geldt de werkwijze uit de privacyverklaring: het automatisch opruimen wordt met de verwerkingsdienst meegebouwd en draait nog niet, dus tot die tijd verwijdert Domove op verzoek met de hand. Zo’n verzoek gaat via de contactpagina.

Artikel 10. Bijstand bij de artikelen 32 tot en met 36

Domove helpt het kantoor bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG, rekening houdend met de aard van de verwerking en met de informatie waarover Domove beschikt. Concreet gaat het om:

• het treffen en aantoonbaar houden van de beveiligingsmaatregelen uit artikel 7 van deze overeenkomst;
• het melden van een inbreuk aan de Autoriteit Persoonsgegevens en, waar dat moet, aan de betrokkene, door de informatie te leveren die in artikel 11 staat;
• een gegevensbeschermingseffectbeoordeling en de eventuele voorafgaande raadpleging van de toezichthouder, door de informatie te leveren die Domove over zijn eigen verwerking en over zijn subverwerkers heeft.

Artikel 11. Melding van een datalek

Ontdekt Domove een inbreuk in verband met persoonsgegevens, dan meldt hij die zonder onredelijke vertraging en in elk geval binnen 48 uur nadat hij er kennis van heeft genomen, aan het contactadres dat het kantoor daarvoor heeft opgegeven. Domove meldt ook een inbreuk bij een subverwerker.

De melding bevat, voor zover dat op dat moment bekend is: wat er is gebeurd en wanneer, welke soorten gegevens en hoeveel betrokkenen het raakt, wat de vermoedelijke gevolgen zijn, en welke maatregelen zijn genomen om de inbreuk aan te pakken en de gevolgen te beperken. Ontbreekt informatie, dan levert Domove die na zodra hij er is.

Het kantoor beslist over de melding aan de Autoriteit Persoonsgegevens en aan de betrokkenen. Domove doet die meldingen niet zelf. Domove houdt een overzicht bij van elke inbreuk, met de feiten, de gevolgen en de genomen maatregelen.

Artikel 12. Doorgifte buiten de EER

Domove geeft persoonsgegevens alleen door buiten de Europese Economische Ruimte aan de subverwerkers uit artikel 8, en alleen voor het doel dat in de tabel op de privacypagina bij die partij staat. Waar Domove kan kiezen, kiest hij een EU-regio, zoals bij Supabase en bij de opslag op Cloudflare R2.

De videoprovider en het visiemodel staan buiten de EU. Voor die doorgifte legt Domove vooraf een grondslag vast in de zin van hoofdstuk V van de AVG, bijvoorbeeld de modelcontractbepalingen van de Europese Commissie, en houdt hij die vastlegging beschikbaar voor het kantoor.

Artikel 13. Wissen of teruggeven na afloop

Als deze overeenkomst eindigt, wist Domove de persoonsgegevens of geeft hij ze terug, ter keuze van het kantoor. Het kantoor kan zijn eindvideo’s en exports downloaden zolang het account bestaat, en Domove geeft daar gelegenheid voor voordat een account op verzoek wordt gesloten.

Daarna verwijdert Domove het materiaal volgens de bewaartermijnen die in de privacyverklaring staan. Die termijnen maken onderdeel uit van deze overeenkomst. Het automatisch opruimen wordt met de verwerkingsdienst meegebouwd en draait nog niet; tot die tijd verwijdert Domove met de hand.

Uitzondering is wat Domove wettelijk moet bewaren of nodig heeft als bewijs bij een geschil: de financiële gegevens en de facturen zeven jaar op grond van de wettelijke bewaarplicht, en de bevestiging van beeldrechten zeven jaar. Het logboek van handelingen blijft twaalf maanden staan en wordt bij een verwijderverzoek geanonimiseerd.

Artikel 14. Audit en informatieplicht

Domove stelt het kantoor op verzoek alle informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit artikel 28 AVG worden nagekomen, en maakt audits mogelijk, waaronder een inspectie door het kantoor of door een auditor die het kantoor daarvoor machtigt.

Daarbij gelden deze afspraken: de audit wordt ten minste veertien dagen van tevoren aangekondigd, vindt plaats tijdens kantooruren, verstoort de dienstverlening niet onnodig, en gebeurt hoogstens eens per jaar, tenzij er een concrete aanleiding is, zoals een datalek of een aanwijzing van de toezichthouder. De auditor is aan geheimhouding gebonden en krijgt geen inzage in gegevens van andere klanten van Domove.

De kosten van de audit draagt het kantoor, tenzij uit de audit blijkt dat Domove zijn verplichtingen niet nakomt. In dat geval draagt Domove de kosten en herstelt hij het gebrek op zijn kosten. Domove heeft geen certificering en geen auditrapport van een derde die hij in plaats van een eigen audit kan overleggen.

Artikel 15. Rangorde en toepasselijk recht

Deze overeenkomst maakt onderdeel uit van de algemene voorwaarden. Spreken de twee elkaar tegen op een punt dat de verwerking van persoonsgegevens raakt, dan gaat deze overeenkomst voor. Op alle andere punten gelden de algemene voorwaarden.

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen leggen partijen voor aan de bevoegde rechter in de vestigingsplaats van Domove, zoals die in het partijenblok bovenaan deze pagina staat.