Verwerkersovereenkomst

Partijen

• Verwerkingsverantwoordelijke: de Vereniging van Eigenaren die zich voor het Stipt-platform heeft geregistreerd (de VvE), vertegenwoordigd door degene die namens de VvE akkoord ging.
• Verwerker: Stipt VvE (stiptvve.nl, gevestigd in Rotterdam), hierna: Stipt.

1. Onderwerp en doel van de verwerking

Stipt verwerkt in opdracht van de VvE de persoonsgegevens die nodig zijn voor het voeren van de VvE-administratie via het platform: ledenadministratie, communicatie, meldingen, documentbeheer, vergaderingen en besluitvorming (ALV), en financieel beheer (bijdragen, facturen, jaarstukken).

2. Duur

Deze overeenkomst geldt zolang de VvE het platform gebruikt en eindigt automatisch bij het einde van de dienstverlening. Daarna geldt artikel 10 (teruggave en verwijdering).

3. Om wie het gaat

• Eigenaars en leden van de VvE, hun huurders of gemachtigden
• Bestuurders en commissieleden van de VvE
• Contactpersonen van leveranciers van de VvE

4. Welke gegevens

• Naam, e-mailadres, telefoonnummer en appartementsgegevens (adres, eenheid, breukdeel)
• Financiële gegevens die bij de VvE-administratie horen, zoals bijdragen, betalingen en achterstanden
• De inhoud van meldingen, documenten en vergaderstukken, voor zover die persoonsgegevens bevatten
• Inloggegevens en gebruiksgegevens (e-mailadres, tijdstippen van inloggen)

5. Wat Stipt belooft

• Stipt verwerkt de gegevens alleen op instructie van de VvE. Het gebruik van het platform geldt als die instructie. Alleen een wettelijke plicht kan Stipt tot iets anders verplichten.
• Iedereen die bij Stipt toegang heeft tot de gegevens is aan geheimhouding gebonden.
• Stipt neemt passende technische en organisatorische maatregelen (artikel 32 AVG): versleuteling bij verzending en opslag, strikte scheiding per VvE (row level security), toegang per rol, en opslag van de primaire gegevens binnen de EU (Ierland).
• Stipt helpt de VvE bij verzoeken van leden (inzage, correctie, verwijdering) en bij de verplichtingen uit artikel 32 tot en met 36 AVG.
• Een datalek meldt Stipt direct aan de VvE, met de informatie die de VvE nodig heeft voor een eventuele melding aan de Autoriteit Persoonsgegevens. Richtsnoer: binnen 24 uur na ontdekking. Stipt houdt een register bij van beveiligingsincidenten en deelt dit op verzoek met de VvE.
• Stipt laat op verzoek zien hoe het aan deze afspraken voldoet en werkt mee aan een audit: maximaal één keer per jaar, op redelijke termijn aangekondigd, op kosten van de VvE.

6. Wat de VvE belooft

• De VvE zorgt dat zij de persoonsgegevens die zij in het platform zet rechtmatig mag verwerken, en dat haar leden weten dat hun gegevens in het platform staan en waarvoor.
• De VvE geeft alleen instructies die passen bij het doel van het platform en die volgens de wet zijn toegestaan.
• De VvE houdt de gegevens die zij invoert juist en actueel, en beheert zelf wie er namens de VvE toegang heeft.

7. Subverwerkers

De VvE geeft algemene toestemming voor het inschakelen van subverwerkers. Stipt legt aan elke subverwerker dezelfde verplichtingen op als in deze overeenkomst en blijft zelf verantwoordelijk voor wat subverwerkers doen. Wijzigt er iets in de lijst, dan laat Stipt dat minstens 30 dagen van tevoren weten; de VvE kan op redelijke gronden bezwaar maken. De huidige subverwerkers:

• Supabase (op AWS): database, inloggen en documentopslag. EU (Ierland), met een verwerkersovereenkomst op basis van de EU-standaardbepalingen.
• Vercel: hosting van de website en app. Verenigde Staten; kortstondige technische logs; afgedekt met de EU-standaardbepalingen.
• Resend: bezorging van e-mails zoals inlogcodes en uitnodigingen. Verenigde Staten, gecertificeerd onder het EU-US Data Privacy Framework; bezorglogs worden na 30 dagen gewist.
• Anthropic: alleen als jouw VvE de AI-functies heeft aangezet. De tekst die de AI leest (bijvoorbeeld een document of een vraag) wordt dan verwerkt door Anthropic in de Verenigde Staten, afgedekt met de EU-standaardbepalingen. Anthropic gebruikt deze gegevens niet om AI-modellen te trainen. Staan de AI-functies uit, dan gaat er niets naar Anthropic.

8. Doorgifte buiten de EER

De primaire opslag staat binnen de EER (Ierland). Voor zover subverwerkers gegevens buiten de EER verwerken (Vercel, Resend en, als de AI-functies aan staan, Anthropic), gebeurt dat op basis van de EU-standaardbepalingen en/of het EU-US Data Privacy Framework.

9. Aansprakelijkheid

Voor aansprakelijkheid onder deze overeenkomst geldt de regeling uit artikel 10 van de algemene voorwaarden.

10. Einde van de overeenkomst

Na het einde van de dienstverlening verwijdert Stipt alle persoonsgegevens van de VvE binnen 30 dagen. Op verzoek draagt Stipt de gegevens eerst over aan de VvE in een gangbaar formaat (export). Een wettelijke bewaarplicht kan hierop een uitzondering vormen.

11. Vastlegging van het akkoord

Het akkoord wordt digitaal gesloten bij de registratie. Stipt legt daarbij vast wie er namens de VvE akkoord ging, op welk moment en met welke versie van dit document. De VvE kan die vastlegging altijd bij Stipt opvragen.