Verwerkersovereenkomst.

• Verwerker - monytr BV, België.
• Verwerkingsverantwoordelijke - de klant die de gebruiksvoorwaarden met monytr heeft aanvaard.

Voor zover monytr persoonsgegevens verwerkt namens de klant om de monytr-dienst te leveren, treedt monytr op als verwerker en de klant als verwerkingsverantwoordelijke.

monytr zal:

• Persoonsgegevens enkel verwerken op gedocumenteerde instructies van de klant, met inbegrip van wat vastgelegd is in de gebruiksvoorwaarden en de platformconfiguratie.
• Ervoor zorgen dat personen die gemachtigd zijn om persoonsgegevens te verwerken, gebonden zijn door een vertrouwelijkheidsverplichting.
• Passende technische en organisatorische maatregelen implementeren (zie afdeling 5).
• De klant bijstaan bij verzoeken van betrokkenen, DPIA's en overleg met toezichthoudende autoriteiten, voor zover redelijkerwijs mogelijk.
• De klant zonder onnodige vertraging, en in elk geval binnen 72 uur, op de hoogte brengen van elk datalek.
• Naar keuze van de klant alle persoonsgegevens verwijderen of teruggeven bij het einde van de dienst, tenzij bewaring wettelijk vereist is.
• Alle informatie beschikbaar stellen die nodig is om de naleving aan te tonen en audits mogelijk te maken en eraan mee te werken.

De klant machtigt monytr om subverwerkers in te schakelen voor de dienst, onder voorbehoud van voorafgaande algemene schriftelijke toestemming. monytr informeert de klant minstens 30 dagen op voorhand over voorgenomen toevoegingen of vervangingen en geeft de klant de mogelijkheid om op redelijke gronden bezwaar te maken.

De actuele lijst van subverwerkers:

Deze lijst is representatief voor de subverwerkers die monytr kan gebruiken. De definitieve, actuele lijst voor een specifieke samenwerking wordt opgenomen in de ondertekende bijlage bij de verwerkersovereenkomst met de klant.

monytr hanteert de volgende technische en organisatorische maatregelen (TOM's):

• Versleuteling van persoonsgegevens tijdens doorgifte (TLS 1.2+) en in rust (AES-256).
• Rolgebaseerde toegangscontrole en verplichte meervoudige authenticatie voor medewerkers.
• Least-privilege-toegang - productietoegang beperkt tot een aangewezen wachtdienstrooster en gelogd.
• Gescheiden omgevingen voor ontwikkeling, staging en productie.
• Regelmatige kwetsbaarheidsscans en minstens jaarlijkse onafhankelijke penetratietesten.
• Versleutelde, geografisch gespreide back-ups met geteste herstelprocedures.
• Gedocumenteerd incidentresponsplan met vastgelegde rollen en communicatielijnen.
• Bewustmakingstraining rond beveiliging en vertrouwelijkheidsverplichtingen voor medewerkers.

Persoonsgegevens worden voornamelijk opgeslagen in de Europese Unie. Wanneer een subverwerker gegevens buiten de EU/EER verwerkt, wordt de doorgifte beschermd door de modelcontractbepalingen van de Europese Commissie of een gelijkwaardig adequaatheidsmechanisme, samen met eventuele bijkomende maatregelen die vereist zijn door toepasselijke rechtspraak (bijvoorbeeld Schrems II).

monytr brengt de klant zonder onnodige vertraging, en in elk geval binnen 72 uur, op de hoogte zodra monytr kennis krijgt van een datalek. Meldingen bevatten, voor zover bekend: de aard van het lek, categorieën en het bij benadering aantal betrokken personen en records, de waarschijnlijke gevolgen, en de genomen of voorgestelde maatregelen.

Bij beëindiging van de gebruiksvoorwaarden zal monytr, naar keuze van de klant:

• Een gegevensexport aanbieden in een gestructureerd, gangbaar en machineleesbaar formaat, beschikbaar gedurende 30 dagen; en
• Alle persoonsgegevens verwijderen uit productiesystemen binnen 30 dagen na het einde van het exportvenster, en uit back-ups binnen de standaard back-uprotatie (maximaal 90 dagen), tenzij bewaring wettelijk vereist is.

monytr stelt de klant, op schriftelijk verzoek en maximaal eenmaal per jaar, de informatie ter beschikking die nodig is om de naleving van deze verwerkersovereenkomst aan te tonen. Dit kan de vorm aannemen van een schriftelijke vragenlijst, een samenvatting van het meest recente onafhankelijke auditrapport, of een audit ter plaatse op kosten van de klant met redelijke voorafgaande kennisgeving.

Vragen over gegevensbescherming: monytr.io/contact. Veiligheidsincidenten: monytr.io/contact.

Een ondertekende, wederzijds getekende versie van deze verwerkersovereenkomst is op verzoek beschikbaar voor klanten die deze nodig hebben voor hun eigen nalevingsdossier.