Verwerkersovereenkomst

1. Partijen

• Verwerkingsverantwoordelijke: de klantorganisatie die in Sourevo is geregistreerd (importeur, marktdeelnemer, handelaar of expediteur / gemachtigde vertegenwoordiger). Zij beslist welke gegevens zij laadt en waarvoor.
• Verwerker: Juan Cantón Rodríguez (NIF 45492167F), Carrer de Pau Casals 19, 4º 2ª, 08213 Polinyà (Barcelona), España, handelend onder het merk «Francodesystems».

Deze overeenkomst heeft betrekking op de gegevens die uw organisatie in de tool invoert, importeert of ontvangt voor haar zorgvuldigheidseisen, met inbegrip van de gegevens van de marktdeelnemer voor TRACES NT en de inhoud van de verklaringen. De gegevens van de gebruikersaccounts en de gegevens die leveranciers in hun eigen portaal beheren, verwerken wij als verwerkingsverantwoordelijke, volgens het privacybeleid. Wanneer een leverancier een perceel met u deelt, valt het gebruik dat u daarvan maakt in het kader van uw zorgvuldigheidseisen onder deze overeenkomst.

Als uw organisatie die gegevens op haar beurt verwerkt namens een andere onderneming (bijvoorbeeld een expediteur of gemachtigde vertegenwoordiger die voor een marktdeelnemer werkt), geldt deze overeenkomst als subverwerkersovereenkomst: u staat ervoor in dat die verwerkingsverantwoordelijke u toestaat ons in te schakelen en u verstrekt hem de informatie uit dit document die hij nodig heeft.

2. Onderwerp, gegevens en duur

• Categorieën van betrokkenen: leveranciers en producenten die natuurlijke personen zijn (met inbegrip van kleine producenten), contactpersonen van leveranciers en marktdeelnemers, en personen die voorkomen in de bewijsstukken die u laadt.
• Categorieën van gegevens: naam, e-mailadres, telefoon, land, fiscaal identificatienummer, geolocatie en oppervlakte van de percelen (punt of polygoon), bewijsdocumenten, gegevens van de marktdeelnemer en van zijn contactpersoon, en de inhoud van de verklaringen (DDS). De webservice-inloggegevens voor TRACES NT worden voor niets anders gebruikt dan voor de handelingen waartoe u opdracht geeft en worden versleuteld bewaard.
• Aard van de verwerking: hosting, vastlegging, ordening, raadpleging, validatie, doorgifte aan TRACES NT in uw opdracht, raadpleging van fiscale identificatienummers in openbare registers, bewaring en verwijdering.
• Doel: u de in de voorwaarden beschreven dienst verlenen, zodat u uw zorgvuldigheidseisen overeenkomstig Verordening (EU) 2023/1115 kunt voorbereiden, uitvoeren en documenteren.
• Duur: zolang uw account bestaat, plus de bewaartermijn van punt 8.

Er worden geen bijzondere categorieën van persoonsgegevens in de zin van artikel 9 van de AVG verwerkt. Als u gegevens laadt die niet nodig zijn voor de zorgvuldigheidseisen, zijn de beslissing en de verantwoordelijkheid daarvoor de uwe.

3. Instructies

Wij verwerken de gegevens uitsluitend volgens uw gedocumenteerde instructies, namelijk deze voorwaarden en de handelingen die u in de applicatie of via de integratie verricht: zo is opdracht geven tot het indienen van een DDS in TRACES NT een instructie om die gegevens aan de Europese Commissie door te geven. Als een instructie naar onze mening in strijd is met de AVG of andere regelgeving, laten wij u dat onmiddellijk weten.

Wij zouden de gegevens alleen op een andere manier verwerken als het recht van de Unie of van Spanje ons daartoe verplicht. In dat geval informeren wij u vooraf, tenzij diezelfde regelgeving dat verbiedt.

Wij gebruiken de gegevens niet voor eigen doeleinden: niet voor profilering, niet voor het trainen van modellen, niet om ze te verkopen en niet om ze aan andere klanten aan te bieden.

4. Waartoe wij ons verplichten

• Geheimhouding in acht nemen en die opleggen aan iedereen die toegang heeft tot de gegevens, ook na het einde van de overeenkomst.
• De beveiligingsmaatregelen van artikel 32 van de AVG toepassen (zie punt 6).
• U helpen bij het behandelen van verzoeken van betrokkenen die hun rechten uitoefenen. Als wij een verzoek van een van uw betrokkenen ontvangen, sturen wij het aan u door zonder het zelf te beantwoorden.
• U op de hoogte stellen van een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en in elk geval binnen 24 uur nadat wij er kennis van hebben gekregen, met wat wij op dat moment weten (wat er is gebeurd, welke gegevens en betrokkenen getroffen kunnen zijn, de waarschijnlijke gevolgen en de genomen maatregelen), en de informatie daarna aanvullen, zodat u de autoriteit binnen uw 72 uur kunt informeren (art. 33 AVG).
• U helpen, voor zover dat van ons afhangt, bij gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen.
• Een register van verwerkingsactiviteiten als verwerker bijhouden (art. 30, lid 2, AVG).
• U de informatie ter beschikking stellen die nodig is om de naleving aan te tonen en redelijke audits toestaan, na voorafgaande kennisgeving en zonder de beveiliging of de gegevens van andere klanten in gevaar te brengen.
• Geen gegevens doorgeven buiten de Europese Economische Ruimte, behalve aan de subverwerkers van punt 5 en met de daar vermelde waarborgen.

5. Subverwerkers

U geeft ons algemene toestemming om de volgende subverwerkers in te schakelen, met wie wij een overeenkomst hebben die verplichtingen oplegt die gelijkwaardig zijn aan die van deze overeenkomst:

Geen subverwerkers, maar ontvangers in uw opdracht, zijn: de Europese Commissie (TRACES NT), die de verklaringen ontvangt die u indient en ze als verwerkingsverantwoordelijke verwerkt, en de openbare fiscale registers (VIES van de Europese Commissie, CNPJ-register van Brazilië) die wij raadplegen om fiscale identificatienummers te valideren.

Als wij een subverwerker toevoegen of vervangen, stellen wij u daarvan ten minste 30 dagen vooraf op de hoogte. U kunt daar om redelijke redenen bezwaar tegen maken; als wij geen alternatief vinden, kunt u de overeenkomst zonder boete ontbinden.

Wij staan er tegenover u voor in dat onze subverwerkers hun verplichtingen inzake gegevensbescherming nakomen (art. 28, lid 4, AVG).

6. Beveiligingsmaatregelen

• Versleuteling tijdens de overdracht (HTTPS) en inloggegevens voor TRACES NT versleuteld in rust met AES-256-GCM.
• Wachtwoorden met argon2id-hash en ondertekende sessies in cookies met HttpOnly en Secure.
• Afscherming per organisatie bij elke databasequery en door de leverancier beheerde zichtbaarheid van elk perceel.
• Auditlog en historiek van verklaringen waaraan alleen kan worden toegevoegd.
• Beperking van inlogpogingen en toegang van personeel beperkt tot het strikt noodzakelijke.
• Back-ups van de database, bewaard binnen de Europese Unie.

Wij herzien deze maatregelen wanneer de dienst of het risico verandert. Als een maatregel wijzigt, behouden wij ten minste hetzelfde beschermingsniveau.

7. Wat op uw organisatie rust

• Een rechtsgrondslag hebben voor de gegevens die u laadt en de betrokkenen informeren (art. 14 AVG), in het bijzonder de producenten van wie u de geolocatie opneemt in een DDS die bij de Europese Commissie wordt ingediend.
• Toezien op de juistheid van de gegevens en elke verklaring controleren voordat u haar indient.
• Beheren wie binnen uw organisatie toegang heeft en met welke rol.
• Ons als verwerker opnemen in uw register van verwerkingsactiviteiten.

8. Bij het einde van de overeenkomst

Bij het einde van de relatie hebt u ten minste 30 dagen om ons te verzoeken de gegevens terug te geven in een gestructureerd formaat (GeoJSON, CSV of JSON, en de bestanden met bewijsstukken). Daarna verwijderen wij ze, met twee uitzonderingen:

• Het archief van ingediende verklaringen en de bijbehorende documentatie. Tenzij u ons anders laat weten, geeft u ons door het aanvaarden van deze overeenkomst de instructie het geblokkeerd te bewaren tot 5 jaar na elke indiening, zodat u het kunt overleggen als een autoriteit daarom vraagt binnen de bewaartermijn die de EUDR u oplegt (art. 4, lid 3, en art. 12, lid 5). U kunt ons schriftelijk laten weten dat wij het eerder moeten verwijderen, zodra u uw eigen kopie hebt.
• Wat wij op grond van het recht van de Unie of van Spanje moeten bewaren, eveneens geblokkeerd.

Tijdens de blokkering worden de gegevens nergens voor gebruikt, behalve om uw verzoek of een vordering van een autoriteit of een rechtbank te beantwoorden.

9. Aansprakelijkheid en contact

Elke partij is aansprakelijk voor haar verplichtingen overeenkomstig artikel 82 van de AVG, met de beperkingen van de gebruiks- en contractvoorwaarden voor zover de wet dat toestaat.

Voor elke vraag over deze overeenkomst, een audit of de ondertekening van een specifieke overeenkomst als uw juridische afdeling dat verkiest: juan.canton@sourevo.com.