Verwerkersovereenkomst

Deze verwerkersovereenkomst maakt deel uit van de algemene voorwaarden van MISE tussen:

• de klant die de voorwaarden aanvaardde, als verwerkingsverantwoordelijke ("je" of "jij"); en
• ZESTOLOGY BV, handelend onder de naam MODUS, ondernemingsnummer BE 1013.413.339, Veeartsenstraat 45, bus 116, 1070 Anderlecht (Brussel), België, als verwerker ("we" of "wij").

Ze geldt voor alle persoonsgegevens die we voor jou verwerken wanneer we MISE leveren. Ze volgt artikel 28, lid 3, AVG en de opbouw van de standaardcontractbepalingen van de Europese Commissie tussen verwerkingsverantwoordelijken en verwerkers (Besluit (EU) 2021/915). Zijn deze overeenkomst en de algemene voorwaarden het over gegevensbescherming oneens, dan primeert deze overeenkomst.

1. Voorwerp en duur

1. We verwerken persoonsgegevens alleen om MISE aan jou te leveren zoals beschreven in de algemene voorwaarden en in bijlage 1.
2. Deze overeenkomst loopt zolang we persoonsgegevens voor jou verwerken, met inbegrip van de periode voor export en wissen na het einde van de overeenkomst.

2. Jouw instructies

1. We verwerken persoonsgegevens alleen op jouw gedocumenteerde instructies. De algemene voorwaarden, deze overeenkomst, je instellingen in MISE en de handelingen die je erin stelt (bijvoorbeeld een post goedkeuren en publiceren, of een account koppelen) zijn jouw instructies.
2. Denken we dat een instructie de wetgeving inzake gegevensbescherming schendt, dan laten we het je meteen weten en kunnen we die instructie opschorten tot je ze bevestigt of wijzigt.
3. Verplicht het Europese of Belgische recht ons om gegevens anders te verwerken, dan laten we het je eerst weten, tenzij die wet dat verbiedt.

3. Jouw verantwoordelijkheden

1. Jij zorgt voor een rechtsgrond voor de persoonsgegevens die je in MISE zet en voor de informatie aan de betrokkenen. Dat geldt ook voor mensen op foto's en video's, mensen die in teksten genoemd worden, je reviewers en de mensen van wie we op jouw vraag openbare posts onderzoeken.
2. Je zet geen bijzondere categorieën van persoonsgegevens (artikel 9 AVG) of gegevens over strafrechtelijke veroordelingen in MISE, tenzij we dat schriftelijk afspraken.
3. Je laadt geen persoonsgegevens van kinderen op voor marketinggebruik zonder de toestemming die de wet vraagt.

4. Vertrouwelijkheid

Iedereen aan onze kant die toegang heeft tot persoonsgegevens is door een overeenkomst of door de wet tot geheimhouding verplicht, en krijgt alleen de toegang die nodig is voor zijn of haar werk.

5. Beveiliging

1. We nemen de technische en organisatorische maatregelen uit bijlage 2 om persoonsgegevens te beschermen, rekening houdend met de stand van de techniek, de kosten en de aard en risico's van de verwerking.
2. We mogen die maatregelen aanpassen, zolang het algemene beschermingsniveau niet daalt.

6. Subverwerkers

1. Je geeft ons een algemene schriftelijke toestemming om subverwerkers in te schakelen. De actuele lijst staat in bijlage 3 en in de app voor ingelogde klanten. De lijst is vertrouwelijke informatie in de zin van artikel 16 van de algemene voorwaarden: je mag ze delen met je adviseurs, auditors en overheden, maar niet publiceren.
2. We laten je minstens 30 dagen vooraf per e-mail en in de app weten als we een subverwerker toevoegen of vervangen die jouw persoonsgegevens zal verwerken.
3. Je kunt binnen die 30 dagen bezwaar maken op redelijke gronden van gegevensbescherming. We zoeken dan samen naar een oplossing. Lukt dat niet, dan kun je het betrokken deel van de overeenkomst beëindigen voor de wijziging ingaat, en betalen we het vooruitbetaalde bedrag voor de periode na het einde terug.
4. In een noodgeval, bijvoorbeeld als een leverancier zonder verwittiging stopt, kunnen we een subverwerker sneller vervangen en laten we het je zo snel mogelijk weten. Je recht op bezwaar blijft gelden.
5. We leggen elke subverwerker via een schriftelijke overeenkomst dezelfde verplichtingen inzake gegevensbescherming op als in deze overeenkomst. We blijven tegenover jou verantwoordelijk voor onze subverwerkers.

7. Doorgifte buiten de EER

1. We geven persoonsgegevens alleen door buiten de Europese Economische Ruimte als een van de waarborgen van hoofdstuk V AVG geldt, zoals een adequaatheidsbesluit (bijvoorbeeld voor het Verenigd Koninkrijk, of voor Amerikaanse leveranciers die gecertificeerd zijn onder het EU-VS-gegevensprivacykader) of standaardcontractbepalingen (Besluit (EU) 2021/914, module 3 tussen ons en de subverwerker), met extra maatregelen waar een beoordeling van de doorgifte aantoont dat die nodig zijn.
2. Je geeft toestemming voor de doorgiftes in bijlage 3.

8. Hulp bij de rechten van betrokkenen

1. In MISE kun je content zelf terugvinden, verbeteren, exporteren en wissen.
2. Ontvangen we een verzoek van een persoon over jouw gegevens, dan sturen we het meteen naar je door en beantwoorden we het zelf niet, tenzij je ons dat vraagt.
3. We helpen je met redelijke maatregelen om verzoeken onder artikels 15 tot 22 AVG te beantwoorden, voor zover je dat niet zelf in MISE kunt.

9. Hulp bij beveiliging, effectbeoordelingen en toezichthouders

We helpen je, rekening houdend met de aard van de verwerking en de informatie waarover we beschikken, om te voldoen aan artikels 32 tot 36 AVG, met inbegrip van gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthouder. Hulp die verder gaat dan het normale gebruik van MISE en de informatie in deze overeenkomst, kunnen we aanrekenen aan ons gewone tarief, vooraf afgesproken.

10. Inbreuken in verband met persoonsgegevens

1. Krijgen we kennis van een inbreuk in verband met jouw persoonsgegevens, dan laten we het je zonder onredelijke vertraging weten en in elk geval binnen 72 uur nadat we er kennis van kregen.
2. We geven je de informatie die je nodig hebt, voor zover we ze hebben: wat er gebeurde, de categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, en wat we deden of voorstellen om de schade te beperken. Hebben we niet meteen alle informatie, dan geven we ze in stappen.
3. We nemen de redelijke maatregelen om de inbreuk te stoppen en de gevolgen te beperken.
4. Jij beslist of je de toezichthouder en de betrokkenen verwittigt. Wij doen dat niet in jouw plaats, tenzij je het ons vraagt of de wet het oplegt.

11. Einde van de verwerking

1. Na het einde van de overeenkomst kun je je content 30 dagen exporteren zoals bepaald in de algemene voorwaarden.
2. Na die periode wissen we de persoonsgegevens die we voor jou verwerken, ook in de actieve systemen van onze subverwerkers. Back-ups worden binnen 35 extra dagen overschreven. We bewaren alleen gegevens waar het Europese of Belgische recht dat vraagt, en dan alleen voor dat doel.
3. Op vraag bevestigen we het wissen schriftelijk.

12. Informatie en audits

1. We stellen de informatie ter beschikking die je redelijkerwijs nodig hebt om aan te tonen dat artikel 28 AVG wordt nageleefd, zoals deze overeenkomst, bijlage 2, onze lijst van subverwerkers en relevante certificaten of rapporten van onze belangrijkste subverwerkers.
2. Volstaat die informatie niet, dan kun je op eigen kosten een audit laten uitvoeren, zelf of door een onafhankelijke auditor die tot geheimhouding verplicht is, hoogstens eens per 12 maanden, met minstens 30 dagen verwittiging, tijdens de kantooruren en zonder onze werking of de gegevens van andere klanten te verstoren. Audits die een toezichthouder oplegt of die na een inbreuk volgen, vallen niet onder de beperking tot één keer per jaar.
3. Audits van onze subverwerkers verlopen waar mogelijk via hun eigen certificaten en auditrapporten.

13. Aansprakelijkheid

De aansprakelijkheid van elke partij onder deze overeenkomst valt onder de grenzen van de algemene voorwaarden, behalve waar de AVG zo'n grens niet toelaat.

14. Toepasselijk recht

Op deze overeenkomst is het Belgisch recht van toepassing. De rechtbanken die in de algemene voorwaarden genoemd worden, zijn bevoegd.

Bijlage 1. Beschrijving van de verwerking

Bijlage 2. Technische en organisatorische maatregelen

Toegang en scheiding

• Beveiliging op rijniveau in de database: elke workspace kan alleen zijn eigen rijen lezen. Servicesleutels blijven op de server en gaan nooit naar de browser.
• Private bestandsopslag; bestanden worden getoond via kortlevende ondertekende links.
• Toegang van medewerkers tot workspaces van klanten is beperkt tot benoemde medewerkersaccounts, voor support en kwaliteitscontrole.
• Tweestapsverificatie op alle beheerdersaccounts (hosting, database, code, e-mail).

Versleuteling

• TLS voor al het verkeer.
• Versleuteling in rust bij onze database- en hostingpartners.
• Toegangstokens van gekoppelde sociale en shopaccounts versleuteld met AES-256-GCM; de sleutel staat alleen in de serveromgeving.
• Goedkeuringslinks alleen bewaard als hash van de linktoken; IP-adressen alleen als gezouten, verkorte hash voor misbruiklimieten.

Integriteit en beschikbaarheid

• Regelmatige back-ups van de database door onze databasepartner.
• Hosting in Londen bij partners met SOC 2-rapporten.
• Limieten op verzoeken, dagelijkse uitgavenplafonds en een noodstop voor AI-gebruik.
• Menselijke goedkeuring verplicht voor elke publicatie.

Organisatie

• Minimale toegangsrechten, periodiek nagekeken.
• Geheimen bewaard in de geheimenopslag van de hostingpartners, niet in de code.
• Zakelijke API-voorwaarden met AI-leveranciers, met training op klantgegevens uitgeschakeld.
• Een incidentprocedure met melding van inbreuken zoals in punt 10.
• Geheimhoudingsplicht voor iedereen met toegang.

Bijlage 3. Goedgekeurde subverwerkers

De subverwerkers in delen A en B van de lijst van subverwerkers van 4 november 2026 (te zien in de app na login), met de doelen, locaties en waarborgen die daar vermeld staan. Diensten in deel C kies en koppel je zelf; dat zijn geen subverwerkers van ons.