Verwerkersovereenkomst

• We verwerken klantdata alleen voor het leveren van de dienst.
• We gebruiken klantdata niet voor advertenties of dataverkoop.
• We sturen klantdata niet naar AI-providers voor training of analyse, tenzij daarvoor later een aparte functie, grondslag en duidelijke afspraak bestaat.
• We nemen passende beveiligingsmaatregelen op hoofdlijnen zoals beschreven op de beveiligingspagina.
• We schakelen subverwerkers in die nodig zijn voor de dienst.
• Persoonlijke begeleiding en supportcommunicatie verwerkt OMW2Budget in beginsel als eigen verantwoordelijke, tenzij schriftelijk anders afgesproken.
• Bij bankkoppeling gebruiken we finAPI als gespecialiseerde subverwerker voor PSD2 Web Form, bankconsent en synchronisatie van rekening- en transactiedata.
• We ondersteunen export en verwijdering binnen de grenzen van de app en wettelijke bewaarplichten.

• De zakelijke klant bepaalt het doel, de inhoud, de juistheid, de grondslag en de bewaartermijnen van klantdata.
• OMW2Budget verwerkt klantdata volgens de overeenkomst, deze verwerkersafspraken, de instellingen in de app en redelijke schriftelijke instructies.
• Als een instructie volgens OMW2Budget in strijd is met privacyrecht, melden we dat aan de klant voor zover wettelijk toegestaan.
• De klant beheert eigen gebruikers, MFA, toegangsrechten en het vermijden van onnodige of bijzondere persoonsgegevens.

OMW2Budget neemt passende technische en organisatorische maatregelen, waaronder HTTPS/TLS, Supabase Auth, RLS, ownership-controles, MFA-step-up voor gevoelige acties, payloadlimieten, rate limiting, botbescherming, webhookverificatie, redaction van logs, audit logging, gescheiden secrets en incidentprocedures.

Personen die namens OMW2Budget toegang krijgen tot klantdata moeten klantdata vertrouwelijk behandelen en mogen alleen toegang krijgen wanneer dat nodig is voor support, beveiliging, beheer of wettelijke verplichtingen.

De belangrijkste subverwerkers staan op subverwerkers. Zakelijke klanten moeten er rekening mee houden dat betalings-, store- en OAuth-platformen soms ook eigen verantwoordelijke rollen hebben.

OMW2Budget mag subverwerkers inschakelen die nodig zijn voor hosting, database, authenticatie, beveiliging, betaling, bankkoppeling, e-mail/servicecommunicatie, support, performance en media. Bij een wezenlijke nieuwe subverwerker werken we de informatie bij. De klant kan bezwaar maken als daar een redelijk privacy- of securitybezwaar voor bestaat.

We proberen klantdata binnen de Europese Economische Ruimte te verwerken waar dat praktisch en contractueel kan. Als verwerking buiten de EER plaatsvindt, gebruiken we passende doorgiftemechanismen zoals een adequaatheidsbesluit, Standard Contractual Clauses of een ander wettelijk toegestaan mechanisme.

Bij een datalek met klantdata informeren we de zakelijke klant zonder onredelijke vertraging nadat we daarvan kennis hebben gekregen. We delen, voor zover beschikbaar, de aard van het incident, categorieen gegevens en betrokkenen, waarschijnlijke gevolgen en genomen of voorgestelde maatregelen.

Als een betrokkene rechtstreeks contact opneemt over klantdata waarvoor de zakelijke klant verantwoordelijke is, verwijzen we de betrokkene naar de klant of sturen we het verzoek door, tenzij de wet anders vereist. We ondersteunen de klant redelijkerwijs bij inzage, correctie, verwijdering, beperking, dataportabiliteit en bezwaar voor zover de app en beschikbare data dat toelaten.

• OMW2Budget ondersteunt export en accountverwijdering binnen de grenzen van de app.
• Klantdata wordt na einde van de dienst verwijderd of teruggegeven, tenzij bewaring nodig is op grond van wet, beveiliging, geschilafhandeling of backupcycli.
• Backups worden niet gebruikt voor gewone verwerking en verdwijnen via de backupcyclus of worden na herstel opnieuw opgeschoond waar nodig.
• OMW2Budget stelt redelijke informatie beschikbaar om naleving aan te tonen, zoals securitydocumentatie, subverwerkersinformatie en toelichting op maatregelen.

Deze pagina is de publieke samenvatting en bevat de kernpunten die voor zakelijke klanten relevant zijn. Voor enterprise- of maatwerkafspraken kan een aparte ondertekende DPA nodig zijn met aanvullende afspraken over aansprakelijkheid, audit, subverwerkers, regio's, supporttoegang en specifieke bewaartermijnen.