Verwerkersovereenkomst

Deze verwerkersovereenkomst (de “Overeenkomst”) regelt, op grond van artikel 28 van de AVG, hoe Nubbo de persoonsgegevens verwerkt die je met de dienst beheert wanneer je die als bedrijf of professional gebruikt. Ze maakt deel uit van de Algemene voorwaarden, die ernaar verwijzen en die je bij de registratie aanvaardt. Je aanvaardt haar door Nubbo te gebruiken.

1. Partijen en rollen

• Verwerkingsverantwoordelijke: jij, als houder van het Nubbo-account, hierna “de gebruiker”.
• Verwerker: Gonzalo Vasco López, fiscaal nummer ES34884272B, gevestigd te Rúa Farillon 10, 1ºE, 27890 San Ciprián, Lugo, Spanje, eigenaar van Nubbo, hierna “Nubbo”.

Deze Overeenkomst geldt niet voor de gegevens waarvoor Nubbo verwerkingsverantwoordelijke is: die van je eigen account, die het verwerkt voor zijn eigen beveiliging en het voorkomen van misbruik, die van zijn geaggregeerde meting zonder cookies, de afleveringslogboeken en de onderdrukkingslijst van de e-mails die het namens jou verstuurt en de identificatie van de Nubbo-gebruikers die je resources bezoeken terwijl ze zijn ingelogd, beschreven in het Privacybeleid.

2. Onderwerp en duur

Het onderwerp van de Overeenkomst is de verwerking van persoonsgegevens die nodig is om je de dienst Nubbo te leveren die in de Algemene voorwaarden wordt beschreven. Ze duurt zolang je je account aanhoudt en daarna totdat de gegevens zijn verwijderd zoals aangegeven in sectie 11.

3. Aard en doel van de verwerking

Nubbo verwerkt de gegevens alleen om je de dienst te leveren. De verwerking bestaat uit: de index van je bestanden (namen, paden, groottes en typen) opslaan; de vooraf ondertekende URL's genereren waarmee de bestanden rechtstreeks tussen de browser en je opslag worden overgedragen; je gedeelde links, galerijen, inboxen en embeds publiceren en aanbieden; de bezoeken, downloads, likes, opmerkingen en uploads van hun bezoekers vastleggen en je hun statistieken tonen; namens jou uitnodigingen, leveringen, herinneringen en wachtwoorden per e-mail versturen; de inhoud van de bestanden kortstondig lezen om miniaturen, galerijformaten en watermerken te genereren en je automatiseringen uit te voeren; en, alleen als je toestemming geeft, de inhoud naar Nubbo AI sturen die nodig is voor wat je vraagt.

4. Betrokkenen en categorieën van gegevens

Betrokkenen: de bezoekers van je links, galerijen, inboxen en embeds; de personen die je uitnodigt of naar wie je iets stuurt; de personen van wie gegevens voorkomen in je bestanden, in de namen ervan of in je gesprekken met Nubbo AI; en iedere andere persoon van wie je gegevens met Nubbo besluit te verwerken.

Categorieën van gegevens: identificatie- en contactgegevens (naam en e-mailadres); gegevens over het gebruik van je resources (bezoeken, downloads, likes, opmerkingen, zoekopdrachten en uploads); een bezoekers-ID die elke dag verandert, afgeleid van het IP-adres en de browser, het land en het type apparaat; metadata van bestanden (namen, paden, groottes en typen); de inhoud van de bestanden, kortstondig verwerkt; en de gegevens die je in je bestanden en teksten opneemt.

Bijzondere categorieën: Nubbo is niet bedoeld om bijzondere categorieën van gegevens (artikel 9 van de AVG) te verwerken. Als je ze in Nubbo opslaat, moet je ervoor zorgen dat er een rechtsgrondslag is die dat toestaat. Om ze te beschermen, raden we je de zero-knowledge-versleuteling aan, waarmee Nubbo de inhoud en de namen van je bestanden niet kan lezen. Houd er rekening mee dat, als je een van die bestanden naar Nubbo AI stuurt, de inhoud ervan wel wordt verwerkt om je te antwoorden (sectie 9 van het Privacybeleid).

5. Gedocumenteerde instructies

Nubbo verwerkt de gegevens alleen volgens je gedocumenteerde instructies. Je gebruik van de dienst en de configuratie ervan (wat je uploadt, deelt, publiceert, verstuurt, automatiseert of aan Nubbo AI vraagt) vormen die instructies. Nubbo verwerkt de gegevens niet voor eigen doeleinden. Als een regel van de Europese Unie of van een lidstaat het zou verplichten ze anders te verwerken, laat het je dat vooraf weten, tenzij die regel dat verbiedt. Als Nubbo van mening is dat een instructie in strijd is met de regels inzake gegevensbescherming, laat het je dat onmiddellijk weten.

6. Vertrouwelijkheid

De personen die Nubbo machtigt om de gegevens te verwerken, zijn verplicht tot vertrouwelijkheid, door een uitdrukkelijke verbintenis of door een wettelijke verplichting.

7. Beveiliging

Nubbo past de technische en organisatorische maatregelen van artikel 32 van de AVG toe die in Bijlage I worden beschreven, en kan ze verbeteren mits ze het beschermingsniveau niet verlagen.

8. Subverwerkers

• Je geeft Nubbo een algemene toestemming om de subverwerkers van de lijst van subverwerkers in te schakelen. Die lijst bevat ook providers die alleen gegevens verwerken waarvoor Nubbo verwerkingsverantwoordelijke is, zoals Creem.
• Nubbo sluit met elke subverwerker een overeenkomst die hem dezelfde verplichtingen inzake gegevensbescherming oplegt als deze Overeenkomst, met voldoende garanties, in overeenstemming met artikel 28, lid 4, van de AVG, en blijft tegenover jou aansprakelijk voor de naleving ervan.
• Voordat Nubbo een subverwerker toevoegt of vervangt, werkt het de lijst bij en meldt het dat zonder vertraging en ten minste 10 dagen van tevoren per e-mail of in de applicatie.
• Je kunt om redelijke redenen van gegevensbescherming bezwaar maken tegen de wijziging door te schrijven naar [email protected]. Als we geen oplossing vinden, kun je de dienst beëindigen door je account te verwijderen voordat de wijziging ingaat, en betalen we je het evenredige deel terug van wat je vooraf hebt betaald en niet hebt gebruikt.

9. Bijstand

• Rechten van betrokkenen: Nubbo helpt je ze te behandelen met de functies van de dienst (je resources bekijken, exporteren, deactiveren en verwijderen; bij het verwijderen van een resource worden de gegevens van de bezoekers ervan verwijderd) en, als die niet volstaan, door je verzoeken per e-mail te beantwoorden. Als een betrokkene zich tot Nubbo wendt, stuurt Nubbo het verzoek zonder vertraging aan je door.
• Beveiliging, inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen: Nubbo helpt je de artikelen 32 tot en met 36 van de AVG na te leven, rekening houdend met de aard van de verwerking en de informatie waarover het beschikt: met de maatregelen van Bijlage I, met de melding van inbreuken van sectie 10 en door je de informatie te verstrekken die je nodig hebt voor een gegevensbeschermingseffectbeoordeling of een voorafgaande raadpleging van de toezichthoudende autoriteit.

10. Inbreuken in verband met persoonsgegevens

Als Nubbo te maken krijgt met een beveiligingsinbreuk die de gegevens treft die het namens jou verwerkt, meldt het je die zonder onredelijke vertraging en in elk geval binnen ten hoogste 48 uur nadat het ervan kennis heeft gekregen, per e-mail naar het adres van je account. De melding bevat de informatie van artikel 33, lid 3, van de AVG waarover het op dat moment beschikt, en Nubbo vult de rest aan zodra het die heeft.

11. Einde van de verwerking

Voordat je je account verwijdert, kun je je gegevens downloaden via Instellingen › Profiel. Wanneer je het account verwijdert, worden de gegevens bewaard tijdens de respijtperiode van 30 dagen, tenzij je voor onmiddellijke verwijdering kiest, en daarna verwijderd. Ze kunnen tot 14 dagen in de back-ups blijven voordat ze worden gewist. De bestanden in je opslag zijn van jou en Nubbo verwijdert ze niet, behalve de miniaturen en versies die het daar heeft gegenereerd. Dit alles tenzij een regel verplicht bepaalde gegevens te bewaren.

Uit dataminimalisatie levert de export de gegevens van bezoekers en ontvangers gepseudonimiseerd (gemaskeerde e-mailadressen, namen ingekort tot de beginletter en aliassen in plaats van sessie-ID's). Als verwerkingsverantwoordelijke voor die gegevens kun je ze in de applicatie bekijken of ons om de volledige versie vragen via [email protected], en we leveren die binnen ten hoogste een maand.

12. Audit

Nubbo stelt je de informatie ter beschikking die nodig is om de naleving van deze Overeenkomst aan te tonen: dit document, het Privacybeleid, de lijst van subverwerkers en de antwoorden op je redelijke schriftelijke vragen. Als een toezichthoudende autoriteit dat eist of die informatie niet volstaat om de naleving aan te tonen, spreken we met je een redelijke audit af, uit te voeren door jou of door een auditor die je aanwijst, op jouw kosten, met voldoende voorafgaande kennisgeving, met geheimhoudingsplicht en zonder toegang tot gegevens van andere gebruikers.

13. Internationale doorgiften

Nubbo geeft gegevens alleen buiten de Europese Economische Ruimte door aan de subverwerkers van de lijst en met de daarin vermelde garanties van hoofdstuk V van de AVG: door de Europese Commissie goedgekeurde standaardcontractbepalingen en, in voorkomend geval, het EU-U.S. Data Privacy Framework.

14. Aansprakelijkheid

De aansprakelijkheid van elke partij wordt beheerst door de sectie over beperking van aansprakelijkheid van de Algemene voorwaarden, onverminderd de aansprakelijkheid jegens betrokkenen die artikel 82 van de AVG vastlegt.

15. Voorrang en toepasselijk recht

Op het gebied van gegevensbescherming heeft deze Overeenkomst voorrang op de Algemene voorwaarden. Voor al het overige gelden de Algemene voorwaarden, met inbegrip van het toepasselijke recht en de bevoegde rechter daarvan.

Bijlage I. Beveiligingsmaatregelen

• AES-256-GCM-versleuteling van de inloggegevens van je buckets, de geheimen voor tweestapsverificatie en de gesprekken met Nubbo AI, met de sleutel buiten de database bewaard.
• Optionele zero-knowledge-versleuteling in je browser, waarmee Nubbo de inhoud en de namen van de versleutelde bestanden niet kan lezen, tenzij je zelf een specifiek bestand naar Nubbo AI stuurt (sectie 9 van het Privacybeleid).
• Wachtwoorden opgeslagen met bcrypt-hash.
• Optionele tweestapsverificatie (TOTP), met herstelcodes.
• De bestanden gaan rechtstreeks tussen de browser en je opslag via vooraf ondertekende URL's; de server leest inhoud alleen kortstondig, zonder die te bewaren.
• Communicatie versleuteld met HTTPS (TLS 1.2 of hoger) en webservers die alleen bereikbaar zijn via het beschermingsnetwerk van Cloudflare.
• Sessies met automatische vervaldatum, beheer van actieve sessies en melding bij inloggen vanaf een nieuw apparaat.
• Logboek van de accountactiviteit en van de toegang tot wat met personen is gedeeld.
• Beperking van verzoeken per IP-adres en captcha in de formulieren.
• Back-ups van de database (doorlopend, dagelijks en 's nachts), versleuteld voordat ze de server verlaten en 14 dagen bewaard in de Europese Unie. Het herstel wordt elke week getest.
• Servers en database in de Europese Unie, alleen bereikbaar via een privénetwerk; toegang tot de productie beperkt tot de eigenaar en de gemachtigde personen, met de minimaal noodzakelijke rechten.

Bijlage II. Subverwerkers

De actuele lijst van subverwerkers, met hun doel, de gegevens die ze verwerken, hun locatie en hun garanties, staat op de pagina met subverwerkers.

Contact

Voor vragen over deze Overeenkomst kun je schrijven naar [email protected].