Verwerkersovereenkomst — Nederland
De afspraken van artikel 28 waaronder Cerrax de persoonsgegevens van uw klanten in uw opdracht verwerkt.
Deze overeenkomst maakt deel uit van de Algemene voorwaarden en is van toepassing telkens wanneer Cerrax namens u persoonsgegevens verwerkt. Begrippen hebben de betekenis die de Algemene verordening gegevensbescherming (Verordening (EU) 2016/679, de ‘AVG’) en de Uitvoeringswet AVG eraan geven. Zijn deze overeenkomst en de Voorwaarden over gegevensbescherming met elkaar in strijd, dan gaat deze overeenkomst voor.
1. Wie wie is
U bent de verwerkingsverantwoordelijke voor de persoonsgegevens die u in Cerrax invoert of die u ons laat verzamelen — over uw klanten, de mensen die een aanvraag bij u doen, uw andere contacten, en uw medewerkers en ploeg in hun werkrol. Wij zijn daarvan uw verwerker. Wij handelen in uw opdracht, en gebruiken die gegevens alleen voor eigen doeleinden op de manieren die deze overeenkomst noemt: niet-herleidbare vastleggingen maken (artikel 9); beschrijvingen van de spullen en kamers van een opdracht, zonder e-mailadressen, telefoonnummers of postcodes, 30 dagen bewaren om de herkenning van spullen te verbeteren (andere tekst die naar onze AI-subverwerker gaat, bewaren wij niet); de dienst beveiligen en misbruik voorkomen; en aan onze eigen wettelijke verplichtingen voldoen. Voor die doeleinden, en alleen die, zijn wij zelf verwerkingsverantwoordelijke. Voor de gegevens van uw eigen account — de inloggegevens van uw team, de instellingen en facturatie van uw onderneming — zijn wij zelf verwerkingsverantwoordelijke, en daarvoor geldt onze Privacyverklaring.
Uw verantwoordelijkheden. U bent verantwoordelijk voor een rechtsgrond voor de persoonsgegevens die u ons geeft of laat verzamelen, voor het informeren van de betrokkenen (onze Privacyverklaring beschrijft wat wij doen, en u mag ernaar verwijzen), en voor elke toestemming die uw berichten vereisen. U hebt de rechten die deze overeenkomst u geeft.
Geen uitzondering voor training. Cerrax vraagt klanten in Nederland niet om toestemming hun video of foto's te bewaren om software te trainen; deze overeenkomst geldt daarvoor dus net als voor de rest van de gegevens van uw klanten.
2. Wat wij verwerken, en hoe lang
- Onderwerp en doel: het runnen van uw verhuisbedrijf op Cerrax — uw aanvragen ontvangen en ordenen, uw klantgegevens (contacten) bijhouden, offertes prijzen, opstellen en opvolgen, opdrachten boeken en uitvoeren, en de berichten versturen die u instelt — steeds in uw opdracht.
- Aard van de verwerking: verzamelen, bewaren, ordenen, lezen (ook met AI, om gegevens voor te stellen die iemand van uw bedrijf bevestigt), prijzen, berichten namens u versturen, niet-herleidbaar maken (artikel 9), exporteren en verwijderen.
- Duur: zolang uw account open is, en daarna alleen voor zover artikel 8 dat toestaat.
- Soort persoonsgegevens: namen, adressen, contactgegevens, verhuisdata, en gegevens over de woning en de inboedel die u of uw klant invoert; wanneer uw ploeg Cerrax op de verhuisdag gebruikt, foto's van de woning, de toegang en eventueel aangetroffen schade, met de naam en de gezette handtekening van degene die de inventarislijst aftekent; en, wanneer u daartoe uitnodigt en uw klant ervoor kiest er een te sturen, een video van zijn woning of foto's ervan. Als u ze gebruikt: uw contacten (namen, e-mailadressen, telefoonnummers, onderneming, voorkeurstaal, gebruikte adressen, hun keuzes over uw berichten en wanneer, herkomst, en uw aantekeningen); aanvragen, inclusief de tekst van aanvraag-e-mails op uw Cerrax-adres; de berichten die u via Cerrax verstuurt en of ze zijn bezorgd; opvolgtaken en hun aantekeningen; of een betaling is gedaan (nooit kaartgegevens); en beoordelingen die uw klanten u geven.
- Categorieën betrokkenen: mensen die een aanvraag bij u doen (of zij nu klant worden of niet); uw klanten; de mensen op de adressen waartussen u verhuist; andere mensen die u als contact bijhoudt, zoals verhuurders en makelaars; mensen die in aantekeningen, berichten, foto's of video's worden genoemd; en uw medewerkers en ploeg in hun werkrol (indelingen, werkbriefjes, uren).
Wij vragen niet om bijzondere categorieën van persoonsgegevens en willen die ook niet ontvangen. Voer in vrije tekstvelden geen gezondheidsgegevens, biometrische gegevens of andere bijzondere persoonsgegevens in, en evenmin een burgerservicenummer (BSN): voor het gebruik daarvan bij het prijzen van een verhuizing bestaat geen wettelijke grondslag. Komen ze toch binnen — in een aanvraag of een aantekening — dan bewaren wij ze alleen als deel van die vastlegging, gebruiken wij ze nooit voor prijzen of leren, en houden wij ze buiten artikel 9.
Een handtekening onder een inventarislijst wordt bewaard als bewijs dat uw klant heeft ingestemd met wat er is verhuisd en in welke staat. Niets meet, vergelijkt of koppelt die handtekening, en ze wordt nooit gebruikt om iemand te identificeren — daarom behandelen wij haar niet als biometrisch gegeven. Het vastleggen van handtekeningen is optioneel: wilt u liever niet dat uw ploeg dat doet, gebruik de functie dan gewoon niet.
3. Wij handelen in uw opdracht
Wij verwerken de persoonsgegevens van uw klanten alleen op basis van uw gedocumenteerde instructies — waaronder uw gebruik van het product en deze overeenkomst — tenzij een op ons toepasselijke bepaling van Unierecht of lidstatelijk recht ons tot verwerking verplicht; in dat geval stellen wij u daar vooraf van in kennis, tenzij de wet dat verbiedt. Uw instructies omvatten instructies over doorgifte buiten de Unie (artikel 13). Vinden wij dat een instructie in strijd is met het gegevensbeschermingsrecht, dan zeggen wij dat snel, en kunnen wij de uitvoering ervan opschorten tot u haar bevestigt of wijzigt.
Uw instructies omvatten, wanneer u de betreffende functies gebruikt: e-mails op uw Cerrax-aanvraagadres ontvangen en lezen — met onze AI-subverwerker waar een e-mail geen benoemde regels heeft — om gegevens voor te stellen die u bevestigt; contactkaarten en de keuzes van uw klanten over uw berichten bijhouden; en de herinneringen, bedankjes en verzoeken om aanbevelingen die u inschakelt in uw naam versturen, waarbij elk verzoek om te stoppen direct wordt gerespecteerd voor al die berichten van u aan die persoon. Wij bewaren een vastlegging van elke keuze en elk stopverzoek, en een versleutelde vastlegging van een stopverzoek zolang het moet worden gerespecteerd.
Ook in uw opdracht, als u de betreffende functies gebruikt: het sturen van de door u ingestelde berichten over een klus aan uw klanten (via WhatsApp als u dat hebt gekoppeld, anders per e-mail), inclusief een beoordelingsverzoek en het privécijfer en de opmerking die een klant u kan geven; het maken van links die u kiest te delen — een werkbon voor uw ploeg, of bewijsmateriaal (naam van de klant, foto's, video en handtekeningen, nooit contactgegevens) voor uw verzekeraar, tussenpersoon of schadebehandelaar; het publiceren van uw klussen naar agenda-abonnementen die u aanmaakt; en het bijhouden van opvolgtaken en hun notities.
4. Vertrouwelijkheid
Iedereen die wij toegang geven tot de persoonsgegevens van uw klanten, is schriftelijk tot vertrouwelijkheid verplicht, ook na zijn vertrek, en ziet alleen wat zijn rol vereist. Binnen het product wordt de toegang geregeld door rollen en individuele rechten, die bij elk verzoek op de server worden gecontroleerd.
5. Beveiliging
Wij nemen de technische en organisatorische maatregelen die artikel 32 AVG vereist, beschreven in ons beveiligingsoverzicht (in het Engels) — versleuteling tijdens verzending en bij opslag, toegangsbeheer op basis van rollen, een controlespoor van ingrijpende handelingen, herstel naar een willekeurig tijdstip en afzonderlijke dagelijkse back-ups. Die pagina zegt ook eerlijk wat wij nog niet hebben. Zolang deze overeenkomst loopt, verlagen wij het daar beschreven beveiligingsniveau niet wezenlijk.
6. Subverwerkers
U geeft ons een algemene schriftelijke toestemming om subverwerkers in te schakelen. De actuele lijst staat in artikel 8 van onze Privacyverklaring en wordt daar actueel gehouden. Wij leggen ieder van hen verplichtingen op het gebied van gegevensbescherming op die niet minder beschermend zijn dan deze, en wij blijven tegenover u volledig verantwoordelijk voor hun nakoming. Wij mailen de eigenaar van uw account ten minste 30 dagen voordat een nieuwe subverwerker de gegevens van uw klanten gaat verwerken (eerder alleen in een noodgeval, zoals het uitvallen van een leverancier, en dan laten wij het u zo snel mogelijk weten). U kunt binnen die termijn op redelijke gronden van gegevensbescherming bezwaar maken; kunnen wij uw bezwaar niet wegnemen, dan kunt u de betreffende dienst of uw abonnement beëindigen en betalen wij de vooruitbetaalde vergoedingen voor de ongebruikte periode terug. Diensten die u zelf koppelt onder uw eigen account — uw eigen Stripe-, WhatsApp Business- of Xero-account — handelen op uw instructie onder uw overeenkomst met hen en zijn niet onze subverwerkers.
Abonneert u uw eigen agenda op uw Cerrax-agendalink, dan haalt uw agendaleverancier uw klussen op onder uw eigen overeenkomst met die leverancier; die is geen subverwerker van ons.
7. U helpen aan uw eigen verplichtingen te voldoen
Rekening houdend met de aard van de verwerking helpen wij u bij verzoeken van betrokkenen — inzage, rectificatie, wissing, overdraagbaarheid, bezwaar — en bij uw verplichtingen uit de artikelen 32 tot en met 36 AVG op het gebied van beveiliging, het melden van inbreuken en gegevensbeschermingseffectbeoordelingen. Neemt een betrokkene rechtstreeks contact met ons op over gegevens die wij voor u bewaren, dan verwijzen wij hem naar u in plaats van namens u te antwoorden. U kunt een contact of opdracht zelf in het product opzoeken, exporteren, corrigeren en verwijderen; voor alles wat het product niet kan, handelen wij binnen tien werkdagen na uw schriftelijke instructie. Wij geven ook elke klacht over gegevens die wij voor u verwerken aan u door, en helpen u die af te handelen.
Datalekken. Worden wij ons bewust van een inbreuk in verband met persoonsgegevens (een datalek) die uw gegevens raakt, dan melden wij u dat zonder onredelijke vertraging en in elk geval binnen 48 uur — met wat wij dan weten, en de rest zodra wij het weten: wat er is gebeurd, welke gegevens en personen het raakt, de waarschijnlijke gevolgen, en wat wij eraan doen — zodat u de Autoriteit Persoonsgegevens binnen de termijn van 72 uur die voor u geldt kunt inlichten.
8. Verwijderen en teruggeven
Uw instructie over hoe lang wij ze bewaren. Tenzij u ons anders opdraagt, geeft u ons de instructie elke opdrachtvastlegging — de offerte, de boeking en de uitkomst ervan, de werkbriefjes van de ploeg en de foto's die daarbij horen — te bewaren tot zes jaar na de verhuizing (of na de offerte, als de opdracht niet is doorgegaan), of langer zolang er over die opdracht een claim of geschil loopt, en haar daarna te verwijderen. Een video, en eventuele foto's die uw klant daarbij meestuurt, worden 90 dagen na de laatste datum van de opdracht verwijderd, tenzij uw klant afzonderlijk heeft ingestemd met langer gebruik. U kunt deze instructie wijzigen door het ons te laten weten.
Tenzij u ons anders opdraagt, geeft u ons ook de instructie te verwijderen: een aanvraag die nooit is geprijsd of verstuurd, 12 maanden na de laatste activiteit; een offerte die is verstuurd maar nooit aanvaard, 24 maanden na verzending; en een contactkaart 12 maanden nadat de laatste daaraan gekoppelde opdrachtvastlegging is verwijderd (of 12 maanden na aanmaak als ze nooit aan een opdracht gekoppeld is geweest). De vastlegging van iemands toestemming wordt bewaard zolang zijn contactkaart bestaat en zes jaar daarna; een versleutelde vastlegging van een verzoek om te stoppen met berichten wordt bewaard zolang het moet worden gerespecteerd.
Eindigt uw abonnement, dan kunt u uw gegevens nog 30 dagen exporteren. Daarna verwijderen wij de persoonsgegevens van uw klanten binnen 90 dagen, en verdwijnen ze uit onze back-ups naarmate die verlopen (binnen 98 dagen), behalve waar Unierecht of lidstatelijk recht ons verplicht ze te bewaren of u ons vraagt bepaalde vastleggingen te bewaren, bijvoorbeeld als bewijs in een lopende claim. Vastgelegde prijsberekeningen worden nooit stilzwijgend gewijzigd — de persoonsgegevens erin worden verwijderd. Zo wordt een verzoek tot wissing gehonoreerd zonder de vastlegging van wat er is geoffreerd te vervalsen. Vastleggingen uit artikel 9 zijn geen persoonsgegevens van uw klanten en worden hierdoor niet geraakt.
Twee vastleggingen hebben een eigen termijn: het verzendlogboek (ontvanger, onderwerp en of de e-mail is afgeleverd), 90 dagen; en het auditlogboek van handelingen in uw account, tot zes jaar nadat uw account is opgeheven, waarbij de gegevens van een klant worden verwijderd wanneer die klant wordt gewist.
9. Niet tot personen herleidbare opdrachtgegevens
(a) U geeft ons de instructie om van de opdrachten die wij voor u bewaren niet-herleidbare vastleggingen te maken. (b) Zo'n vastlegging bevat alleen de vorm en de economie van een opdracht — volume, afstandsklasse, toegangskenmerken, ploeg, voertuigen, uren, prijs en kosten, of de offerte is gewonnen en zo niet waarom, de maand van de verhuizing, en een gebied dat nooit fijner is dan de eerste twee cijfers van de postcode — en nooit een naam, contactgegevens, een volledige postcode, een adres, een positie op een kaart, vrije tekst, een foto, een video, een handtekening, de identiteit van uw bedrijf, of een verwijzing die naar de opdracht terugleidt. (c) Wij behandelen een vastlegging pas als anoniem wanneer noch wij noch iemand die haar waarschijnlijk ontvangt er met redelijkerwijs te gebruiken middelen een levend persoon mee kan identificeren, rekening houdend met andere informatie die wij of u hebben. Gegevens die kunnen worden teruggekoppeld — bijvoorbeeld via een opdrachtverwijzing, of zolang wij de oorspronkelijke opdracht nog bewaren — zijn niet anoniem en blijven onder deze overeenkomst vallen tot het origineel is verwijderd of de klant is gewist. (d) Wij proberen nooit iemand uit deze vastleggingen opnieuw te identificeren, en verbieden dat iedereen met wie wij ze delen. (e) Voldoet een vastlegging aan deze maatstaf, dan is zij geen persoonsgegeven van uw klanten; zij is van ons, en wij mogen haar bewaren en gebruiken om Cerrax te verbeteren en te leveren, ook na verwijdering van de onderliggende gegevens en na het einde van deze overeenkomst. (f) Wij laten nooit aan een ander bedrijf, of aan wie dan ook, uw individuele prijzen zien, of iets dat uw bedrijf identificeert.
10. Leren van alle bedrijven
Wij gebruiken de niet-herleidbare vastleggingen uit artikel 9, en statistieken die daaruit zijn gemaakt, van alle verhuisbedrijven die Cerrax gebruiken, in elk land, om de prijsmotor voor iedereen te verbeteren, ook voor u. Dat staat hier uitdrukkelijk in plaats van dat het stilzwijgend wordt aangenomen, omdat het product zo beter wordt en wij liever hebben dat u het weet dan dat u het ontdekt.
11. Uw cijfers blijven van u
Uw tarieven, uw marges, uw klanten en uw prijzen zijn nooit zichtbaar voor een ander bedrijf, en worden nooit getoond aan de mensen aan wie u een offerte uitbrengt. Het leren uit artikel 10 werkt met samengevoegde, niet tot personen herleidbare signalen — niet met toegang van wie dan ook tot de gegevens van één bepaald bedrijf.
12. Audit
Wij stellen de informatie beschikbaar die u redelijkerwijs nodig hebt om aan te tonen dat wij deze verplichtingen nakomen — eerst via schriftelijke antwoorden en onze beveiligingsdocumentatie — en maken een inspectie door u of een door u aangewezen auditor mogelijk en werken daaraan mee waar dat niet volstaat of een toezichthoudende autoriteit het vereist: op uw kosten, met een aankondiging van 30 dagen, onder geheimhouding, zonder toegang tot de gegevens van andere bedrijven, en niet vaker dan eenmaal per jaar, tenzij een toezichthoudende autoriteit of een inbreuk anders vereist.
13. Doorgifte buiten de Europese Unie
Wij bewaren de persoonsgegevens van uw klanten in het Verenigd Koninkrijk, in Londen. Dat is een doorgifte buiten de Europese Unie, en die is rechtmatig omdat de Europese Commissie heeft besloten dat het Verenigd Koninkrijk een passend beschermingsniveau biedt (Besluit (EU) 2021/1772, verlengd bij Uitvoeringsbesluit (EU) 2025/2574 van 19 december 2025 tot en met 27 december 2031). U staat die doorgifte op die grondslag toe. Waar een subverwerker gegevens buiten de Unie en het Verenigd Koninkrijk verwerkt, steunen wij op het EU-VS-kader voor gegevensbescherming voor dienstverleners die daaronder zijn gecertificeerd, en anders op de standaardcontractbepalingen van de Unie (Besluit (EU) 2021/914), aangevuld met de aanvullende maatregelen die de doorgifte vereist; onze Privacyverklaring noemt de betrokken dienstverleners. U kunt ons op elk moment vragen waar uw gegevens worden bewaard, en wij antwoorden voor de dag waarop u het vraagt.
Aansprakelijkheid. Artikel 11 van de Algemene voorwaarden (beperking van aansprakelijkheid) is van toepassing op deze overeenkomst.
14. Contact
Vragen over gegevensbescherming, verzoeken van betrokkenen en meldingen van datalekken: hello@cerrax.io.