Verwerkersovereenkomst (DPA)
Deze DPA maakt deel uit van de dienstverleningsovereenkomst tussen elv8 en de klant en geldt wanneer elv8 persoonsgegevens verwerkt namens een tenant-verwerkingsverantwoordelijke.
Bijgewerkt op
Juridisch document · Laatst bijgewerkt: 4 maart 2026 · Ingangsdatum: 4 maart 2026
Deze DPA maakt deel uit van de dienstverleningsovereenkomst tussen elv8 en de klant. Ze geldt wanneer elv8 persoonsgegevens verwerkt namens een tenant-verwerkingsverantwoordelijke volgens AVG artikel 28.
1. Rollen en scope
De klant is verwerkingsverantwoordelijke voor data van eindgebruikers die via boeking, planning, communicatie en betaalflows wordt verwerkt.
elv8 treedt op als verwerker en verwerkt persoonsgegevens enkel op gedocumenteerde instructies van de verantwoordelijke.
2. Gedocumenteerde instructies
Aanvaarde productconfiguratie, API-oproepen en supportrichtlijnen vormen de basis van gedocumenteerde instructies.
Als een instructie strijdig is met toepasselijk recht, kan elv8 die weigeren of opschorten en informeert elv8 de verantwoordelijke waar wettelijk toegelaten.
3. Verplichtingen van de verwerker
elv8 houdt verwerkingen voldoende auditeerbaar voor de kernprocessen onder deze DPA.
- Geheimhoudingsplicht voor bevoegde medewerkers.
- Technische en organisatorische maatregelen afgestemd op het risico.
- Assistentie bij rechten van betrokkenen en complianceverplichtingen van de verantwoordelijke.
- Ondersteuning bij onderzoek en melding van datalekken.
- Teruggave of verwijdering van persoonsgegevens op einde dienstverlening, behoudens wettelijke bewaarplicht.
4. Verplichtingen van de verantwoordelijke
De verantwoordelijke blijft exclusief verantwoordelijk voor naleving tegenover eigen eindgebruikers:
- Bepalen van rechtsgrond per verwerkingsdoel.
- Voorzien van privacy-informatie en verkrijgen van vereiste toestemmingen.
- Controleren van datakwaliteit en rechtmatigheid van geüploade data.
- Behandelen van eerstelijnsverzoeken van betrokkenen.
5. Beveiligingscontroles
Controles evolueren met technische standaarden en risicoprofiel; absolute veiligheid wordt niet gegarandeerd.
- Encryptie tijdens transport en in rust waar van toepassing.
- Toegangsbeheer volgens least-privilege.
- Tenantisolatie en hardening van omgevingen.
- Logging, monitoring en incidentresponsprocedures.
6. Goedgekeurde subverwerkers
De verantwoordelijke geeft algemene toestemming voor onderstaande subverwerkers en gelijkwaardige vervangers met vergelijkbare waarborgen.
Materiële wijzigingen in subverwerkers worden gecommuniceerd via contractuele of in-product meldingen.
| Subverwerker | Doel | Primaire regio |
|---|---|---|
| Supabase | Database, auth, storage | EU |
| Mollie | Betalingsverwerking | EU |
| Hetzner | VPS-hosting en infrastructuur | EU (Duitsland) |
| Resend | Transactionele e-mail | EU / EER-gerichte deployment |
7. Ondersteuning bij rechten van betrokkenen
Waar technisch haalbaar biedt elv8 tools voor export, correctie, beperking en verwijdering.
Ontvangt elv8 rechtstreeks een verzoek over controllerdata, dan kan elv8 de verzoeker doorverwijzen naar de relevante verantwoordelijke.
8. Ondersteuning bij datalekken
elv8 informeert de verantwoordelijke zonder onnodige vertraging na bevestiging van een datalek dat controllerdata raakt.
De melding bevat bekende feiten, de getroffen categorie gegevens, de geschatte omvang, genomen beheersmaatregelen en aanbevelingen voor de verantwoordelijke.
De verantwoordelijke is zelf verantwoordelijk voor tijdige melding aan de toezichthoudende autoriteit en betrokkenen conform AVG artikel 33 en 34.
9. Audit en bewijs van naleving
elv8 verleent medewerking aan redelijke auditverzoeken van de verantwoordelijke, zoals schriftelijke bevestigingen, ingevulde vragenlijsten of toegang tot samenvattende auditdocumentatie.
Uitgebreide audits ter plaatse vereisen voorafgaand overleg, zijn onderworpen aan wederzijds overeengekomen vertrouwelijkheidsvereisten, en mogen de dienstverlening aan andere klanten niet verstoren.
10. Doorgifte buiten de EER
Wanneer verwerking buiten de EER plaatsvindt, gebruikt elv8 erkende doorgiftemechanismen zoals Standard Contractual Clauses en aanvullende technische maatregelen waar passend.
11. Toepasselijk recht
Deze DPA is onderworpen aan het Belgisch recht. Geschillen worden voorgelegd aan de rechtbanken van het arrondissement Hasselt.
12. Contact
Voor vragen over deze verwerkersovereenkomst: [email protected].