Wat wij met jouw papieren doen

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van bewys en geldt zodra je bewys gebruikt. Je hoeft er niets voor te ondertekenen; wil je hem ondertekend hebben voor je eigen dossier, mail dan hallo@bewys.nl.

Verwerkingsverantwoordelijke ("Klant"): de partij die een account op bewys gebruikt, betaald of gratis.

Verwerker ("bewys"): L.P.L. Lenkens h.o.d.n. DRYVE, KvK 52411052, gevestigd te Veenendaal.

Artikel 1: Definities

Begrippen in deze overeenkomst hebben dezelfde betekenis als in de Algemene Verordening Gegevensbescherming (AVG) en in de algemene voorwaarden van bewys. Met document wordt bedoeld: een bestand of registratie met een datum die jij in bewys zet.

Artikel 2: Onderwerp en duur

1. Deze overeenkomst regelt de verwerking van persoonsgegevens door bewys ten behoeve van de Klant in het kader van de dienst bewys.
2. Zij geldt voor de duur van het account en eindigt automatisch bij beëindiging daarvan. De verplichtingen over verwijdering en geheimhouding blijven daarna gelden.
3. Zij geldt ook voor het gratis pakket. Dat er niet betaald wordt verandert niets aan de rol die wij hebben.

Artikel 3: Categorieën van persoonsgegevens

De Klant kan de volgende categorieën in bewys zetten:

• Naam en e-mailadres van de gebruikers van het account.
• Naam van de persoon of de aanduiding van het materieel waar een document bij hoort.
• De documenten zelf en wat erin staat: certificaten, diploma's, keuringsrapporten, verklaringen omtrent het gedrag, rijbewijzen, verzekeringspolissen en uittreksels. Daarin kunnen geboortedatum, certificaatnummers, een pasfoto en een handtekening staan.
• De naam van de ontvanger die de Klant bij een deellink noteert.

bewys vraagt deze gegevens niet uit en kent geen verplichte velden voor persoonsgegevens buiten een naam. Wat erin komt, bepaalt de Klant.

Artikel 4: Categorieën van betrokkenen

• Medewerkers van de Klant, en zzp'ers of onderaannemers die voor de Klant werken.
• De gebruikers van het account zelf.
• Contactpersonen bij opdrachtgevers van de Klant, voor zover de Klant hun naam bij een deellink noteert.

Artikel 5: Doel van de verwerking

bewys verwerkt persoonsgegevens uitsluitend voor:

1. Het leveren van de dienst: de datums bijhouden, de Klant waarschuwen voordat er iets verloopt, en de door de Klant aangewezen documenten tonen via een deellink.
2. Technisch beheer, onderhoud en back-ups.
3. Ondersteuning aan de Klant, op diens verzoek.

Niet voor eigen doeleinden, niet om het product te verbeteren, niet om modellen te trainen, en niet om aan derden te verstrekken. Verplicht de wet ons tot verstrekking, dan melden we dat aan de Klant, tenzij dat verboden is.

Artikel 6: Verplichtingen van bewys

1. bewys verwerkt persoonsgegevens alleen op basis van instructies van de Klant, tenzij een wettelijke verplichting anders vereist.
2. Iedereen die bij ons toegang heeft tot persoonsgegevens is gebonden aan geheimhouding.
3. bewys treft passende technische en organisatorische maatregelen, waaronder:
   • Versleuteling onderweg (HTTPS/TLS), afgedwongen voor de hele applicatie.
   • Versleuteling van elk geüpload document op schijf (AES-256-GCM), met de sleutel buiten de database. Wie alleen een databasedump heeft, heeft niets.
   • Bestanden buiten de webmap, alleen uit te leveren door de applicatie na een toets op het account of op de inhoud van een deellink.
   • Inloggen zonder wachtwoord, via een link naar een e-mailadres dat al op het account staat. De link is vijftien minuten geldig en werkt één keer.
   • Scheiding tussen klanten die in de gegevenslaag zelf is afgedwongen en niet per scherm, met een geautomatiseerde toets die nagaat dat klant A niets van klant B kan lezen, wijzigen of verwijderen.
   • Dagelijkse back-ups naar een aparte locatie, waar de server zelf alleen aan kan toevoegen en niets kan wissen of wijzigen.
   • Een eigen server voor bewys, niet gedeeld met andere diensten van DRYVE.
4. bewys kent geen rollen of rechten binnen een account: iedere gebruiker die de Klant toevoegt kan alles wat de Klant kan. De Klant bepaalt dus wie hij toevoegt.
5. bewys meldt een inbreuk in verband met persoonsgegevens aan de Klant binnen 24 uur nadat wij ervan op de hoogte zijn, met wat op dat moment bekend is: wat er gebeurd is, welke gegevens het raakt, en wat wij eraan doen. Melden bij de Autoriteit Persoonsgegevens is aan de Klant; wij leveren wat daarvoor nodig is.
6. bewys assisteert de Klant kosteloos bij het nakomen van zijn verplichtingen uit de AVG, waaronder het beantwoorden van verzoeken van betrokkenen en het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) indien van toepassing.

Artikel 7: Subverwerkers

1. De Klant geeft bewys algemene toestemming voor het inschakelen van subverwerkers.
2. bewys informeert de Klant minimaal een maand vooraf over een wijziging. De Klant kan binnen die maand bezwaar maken en in dat geval opzeggen zonder kosten.
3. De subverwerkers zijn:
   • Hetzner Online GmbH (Duitsland): de server waarop bewys draait. Hetzner (Finland): de opslag waar de back-ups staan.
   • Microsoft Ireland Operations Ltd (Europese Unie): de mail waarmee inlogberichten en waarschuwingen verstuurd worden, en het postvak waar documenten binnenkomen die de Klant doorstuurt.
   • Cloudflare (Europese Unie): afscherming en verkeersfiltering van de website bewys.nl. Komt niet bij documenten.
   • Mollie en PayPro (Nederland): betalingen. Zien geen documenten en geen namen van betrokkenen.
4. Alle opslag vindt plaats binnen de Europese Economische Ruimte. Er is geen doorgifte naar landen daarbuiten.
5. Met elke subverwerker gelden afspraken die minimaal dezelfde bescherming bieden als deze overeenkomst.

Artikel 8: Rechten van betrokkenen

1. De Klant is verantwoordelijk voor het afhandelen van verzoeken van betrokkenen.
2. bewys biedt daarvoor:
   • Inzage: de Klant ziet in zijn eigen scherm alles wat er van een persoon is opgeslagen, gegroepeerd per persoon.
   • Rectificatie: de Klant past gegevens zelf aan.
   • Verwijdering: de Klant verwijdert een document zelf. Het is dan direct niet meer zichtbaar en niet meer te delen, en wordt na dertig dagen werkelijk gewist, inclusief het bestand. Een hele persoon of hele machine verwijderen kan op verzoek; zie artikel 9.
   • Dataportabiliteit: op verzoek leveren wij binnen tien werkdagen en kosteloos een uitdraai van alle gegevens van het account, met de bestanden zoals ze zijn aangeleverd. Een knop daarvoor in het product is in voorbereiding.

Artikel 9: Verwijdering van gegevens

1. Bij beëindiging van het account heeft de Klant dertig dagen om zijn gegevens op te vragen. Wij melden het einde van die termijn vooraf.
2. Na die termijn worden alle gegevens van de Klant verwijderd uit de actieve omgeving: documenten, bestanden, personen, materieel, deellinks en de logboeken daarvan. Dat gebeurt in één handeling, zodat er niets kan achterblijven.
3. Back-ups die de gegevens nog bevatten verlopen daarna vanzelf, uiterlijk drie maanden na de verwijdering uit de actieve omgeving. Zolang zij bestaan worden zij niet gebruikt, behalve om een storing te herstellen.
4. Een account waarop twaalf maanden niet is ingelogd krijgt een aanzegging en wordt dertig dagen later op dezelfde manier verwijderd.

Artikel 10: Audits

1. bewys stelt op verzoek de informatie beschikbaar die nodig is om naleving van deze overeenkomst aan te tonen, en beantwoordt vragen schriftelijk.
2. De Klant of een door hem aangewezen onafhankelijke auditor kan eenmaal per jaar een audit uitvoeren, na minimaal dertig dagen aankondiging en tijdens kantooruren.
3. De kosten zijn voor rekening van de Klant, tenzij de audit een materiële tekortkoming aan het licht brengt.

Artikel 11: Aansprakelijkheid

De aansprakelijkheid van bewys als verwerker is beperkt conform het artikel Aansprakelijkheid in de algemene voorwaarden van bewys.

Artikel 12: Toepasselijk recht

Op deze overeenkomst is uitsluitend Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Midden-Nederland.

Versie van 26 september 2026. Deze overeenkomst treedt in werking zodra je bewys gaat gebruiken en eindigt bij beëindiging van je account. Wijzigingen melden we minimaal een maand van tevoren.