Verwerkersovereenkomst Versie: 2026-10-16 (nl) Deze verwerkersovereenkomst maakt deel uit van de gebruiksvoorwaarden en geldt wanneer QRinio persoonsgegevens namens jou verwerkt. Aanvaarding bij registratie Bij registratie aanvaard je de gebruiksvoorwaarden, deze overeenkomst en de bijlage met subverwerkers. Een aparte handtekening of e-mail is niet nodig. Je aanvaarde kopie en de datum staan in je accountinstellingen. Bestaande accounts zonder vastgelegde aanvaarding aanvaarden de overeenkomst daar eenmalig. Verwerker BundS GmbH, Marburger Str. 17, 57223 Kreuztal, Duitsland. info@qrinio.com Verwerkingsverantwoordelijke De persoon of organisatie die bij aanvaarding met naam of bedrijfsnaam en account-e-mailadres is aangeduid. De aanvaarding is gekoppeld aan het account; het e-mailadres dient voor instructies en privacyzaken. Wie namens een organisatie handelt, verklaart daartoe bevoegd te zijn. 1. Onderwerp en duur BundS GmbH verwerkt klantgegevens om de overeengekomen QRinio-functies te leveren gedurende het gebruik en de daaropvolgende teruggave of verwijdering. De klant bepaalt doeleinden, inhoud en toegangsrechten en is verantwoordelijk voor rechtsgronden en informatie aan betrokkenen. Eigen verwerkingen van QRinio, zoals accountbeheer, staan in de privacyverklaring. 2. Verwerking en gegevens De verwerking omvat opslaan, bewerken, beschikbaar stellen, publiceren, doorgeven, analyseren en verwijderen van door de klant gekozen inhoud: QR-codes, korte links, contact- en linkpagina’s, bestanden en bijbehorende bezoekstatistieken. Afhankelijk van het gebruik betreft dit namen, zakelijke contactgegevens, afbeeldingen, inhouds- en verbindingsgegevens van medewerkers, klanten, zakelijke contacten en bezoekers. De precieze omvang volgt uit de gebruikte functies en instructies van de klant. Gegevens onder artikel 9 of 10 AVG vallen alleen onder een afzonderlijke overeenkomst. 3. Instructies en vertrouwelijkheid Wij verwerken gegevens uitsluitend op gedocumenteerde instructies van de klant, ook bij doorgifte aan derde landen. Instructies volgen uit deze overeenkomst, gekozen instellingen en berichten van de aangewezen contactpersoon aan info@qrinio.com. Als Unierecht of nationaal recht verwerking verplicht, informeren wij vooraf voor zover toegestaan. Wij melden instructies die wij onrechtmatig achten onverwijld en schorten uitvoering op totdat duidelijkheid bestaat. Personen met toegang zijn tot geheimhouding verplicht. 4. Technische en organisatorische maatregelen Wij waarborgen passende maatregelen volgens artikel 32 AVG. De volgende maatregelen maken deel uit van de overeenkomst; verdere ontwikkeling mag het beschermingsniveau niet verlagen: - Versleutelde overdracht en beheerstoegang beperkt tot bevoegde personen. - Beschermde wachtwoorden, gescheiden accounts en rolgebonden toegangsrechten. - Regelmatige back-ups op gescheiden opslag met versleutelde overdracht, beperkte toegang en hersteltests. - Beperkte logregistratie en bewaartermijnen, beoordeling van beveiligingswijzigingen en updates en regelmatige toetsing van de doeltreffendheid van maatregelen. - Gedocumenteerde afhandeling van instructies, verzoeken van betrokkenen en beveiligingsincidenten; fysieke toegangscontrole van datacenters door hostingaanbieders. 5. Subverwerkers De klant geeft algemene toestemming voor de lijst met dienstverleners in de contractbijlage. Wij melden toevoegingen of vervangingen minimaal 30 dagen vooraf per e-mail en bieden vóór inschakeling ruimte voor gemotiveerde bezwaren inzake gegevensbescherming. Kan een bezwaar niet worden opgelost, dan kan de klant de betrokken dienst vóór de wijziging beëindigen. Wij leggen gelijkwaardige verplichtingen op en blijven verantwoordelijk voor de nakoming ervan. Doorgifte buiten de EER vindt alleen plaats op gedocumenteerde instructies en volgens hoofdstuk V AVG; de grondslag staat bij iedere dienstverlener. 6. Ondersteuning en datalekken Rekening houdend met de verwerking en beschikbare informatie ondersteunen wij de klant bij de rechten van betrokkenen en verplichtingen uit artikelen 32 tot en met 36 AVG, waaronder effectbeoordelingen en raadpleging van toezichthouders. Wij sturen verzoeken van betrokkenen onverwijld door en antwoorden alleen op instructie of wettelijke verplichting. Inbreuken op klantgegevens melden wij zonder onredelijke vertraging nadat wij ervan kennisnemen, met beschikbare informatie over aard, gevolgen, maatregelen en contact; ontbrekende informatie volgt later. 7. Bewijs en controles Wij verstrekken alle informatie die nodig is om naleving van artikel 28 AVG aan te tonen en staan audits, inclusief inspecties, door de klant of diens aangewezen auditor toe en ondersteunen deze. De uitvoering wordt afgestemd met bescherming van de vertrouwelijkheid van andere klanten, zonder dringende of wettelijk vereiste controles te verhinderen. 8. Teruggave en verwijdering Na afloop van de dienst geven wij klantgegevens terug of verwijderen wij deze en bestaande kopieën, naar keuze van de klant, tenzij bewaring wettelijk verplicht is. Teruggave wordt vóór verwijdering afgesproken. Back-upkopieën blijven beperkt toegankelijk tot de in de bijlage overeengekomen bewaartermijn afloopt en worden daarna verwijderd; eerdere verwijderinstructies worden na herstel opnieuw toegepast. Wettelijk bewaarde gegevens blijven tot dat doel beperkt. Wij bevestigen verwijdering op verzoek. Bijlage: dienstverleners en bewaartermijnen De lijst die bij het sluiten van de overeenkomst is bijgevoegd, maakt er deel van uit. Genoemde dienstverleners zijn subverwerkers voor zover zij gegevens namens de klant verwerken. - Verbindingslogboeken: Geen algemene toegangslogboeken. - Back-ups: De laatste 30 back-ups blijven bewaard; nieuwe back-ups vervangen de oudste. Hosting · Oracle Cloud Infrastructure Servers in Frankfurt, Duitsland. Voor ondersteuning en beheer kan ook verwerking buiten de EER plaatsvinden. Doorgiften gebruiken de gekoppelde contractuele waarborgen. Vraag ons om een kopie en informatie over aanvullende bescherming. Privacy: https://www.oracle.com/legal/privacy/services-privacy-policy/ Doorgiftewaarborgen: https://www.oracle.com/contracts/cloud-services/ Transactionele e-mail · Resend (Plus Five Five, Inc.) E-mails worden vanuit Ierland verzonden; opslag en verdere verwerking vinden plaats in de Verenigde Staten. Doorgiften gebruiken de gekoppelde contractuele waarborgen. Vraag ons om een kopie en informatie over aanvullende bescherming. Privacy: https://resend.com/legal/privacy-policy Doorgiftewaarborgen: https://resend.com/legal/dpa Back-ups · Cloudflare R2 (Cloudflare, Inc.) Gekozen opslagregio: West-Europa. Verwerking buiten de EER, met name in de Verenigde Staten, is mogelijk. Doorgiften gebruiken de gekoppelde contractuele waarborgen. Vraag ons om een kopie en informatie over aanvullende bescherming. Privacy: https://www.cloudflare.com/privacypolicy/ Doorgiftewaarborgen: https://www.cloudflare.com/cloudflare-customer-dpa/