Verwerkersovereenkomst

1. Partijen

Verwerkingsverantwoordelijke: de organisatie die TrustMail gebruikt voor haar mailboxen (hierna: de klant).

Verwerker: TrustMail, een handelsnaam van Pelgröm Vastgoed, Lease & Advies (eenmanszaak), Holterweg 150, 7437 TG Bathmen, KvK-nummer 08073247 (hierna: TrustMail). Contact: info@pelgromvastgoed.nl.

2. Onderwerp en duur

TrustMail verwerkt persoonsgegevens alleen om de dienst TrustMail te leveren, zoals beschreven in de algemene voorwaarden. Deze overeenkomst loopt zolang de klant TrustMail gebruikt, en eindigt met het abonnement.

3. Welke gegevens, van wie en waarvoor

Doel: het controleren van de gekoppelde mailboxen, het verplaatsen van nieuwe mail naar de map Quarantaine, en het beheren van vertrouwde afzenders en aanvragen, ook op basis van mail die de gebruiker zelf tussen inbox en Quarantaine verplaatst.

• Betrokkenen: medewerkers van de klant van wie de mailbox is gekoppeld, en de afzenders en ontvangers van hun mail.
• Gegevens: e-mailadressen en namen, de afzender, datum en echtheidskenmerken (zoals DKIM) van berichten, de lijst met vertrouwde afzenders, aanvragen van bedrijven, het kenmerk (Message-ID) van berichten die TrustMail naar Quarantaine verplaatste, en de toegangssleutels of inloggegevens van de mailboxen.
• Voor de echtheidscontrole kan TrustMail een bericht kort volledig inlezen. De inhoud van berichten wordt niet opgeslagen.

4. Alleen in opdracht van de klant

TrustMail verwerkt de gegevens alleen volgens deze overeenkomst en de instellingen die de klant in TrustMail kiest. Die gelden samen als de schriftelijke instructie van de klant. Vindt TrustMail dat een instructie in strijd is met de wet, dan meldt TrustMail dat direct aan de klant.

TrustMail gebruikt de gegevens niet voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet voor reclame of om AI-modellen te trainen.

5. Geheimhouding

TrustMail houdt de gegevens geheim. Alleen wie ze nodig heeft om de dienst te leveren of te onderhouden kan erbij, en is tot geheimhouding verplicht.

6. Beveiliging

TrustMail neemt passende technische en organisatorische maatregelen om de gegevens te beveiligen, waaronder:

• alle verbindingen zijn versleuteld;
• wachtwoorden van IMAP-mailboxen en toegangssleutels van Google en Microsoft worden versleuteld bewaard;
• toegangssleutels staan alleen op de server, en alleen de server kan bij de database;
• de gegevens staan op servers in de Europese Unie (Frankfurt en Ierland);
• technische logbestanden worden hooguit enkele dagen bewaard;
• TrustMail verwerkt niet meer gegevens dan nodig is voor de dienst.

7. Subverwerkers

De klant geeft TrustMail toestemming om deze subverwerkers in te schakelen:

• Vercel: hosting van de app, op servers in Frankfurt.
• Supabase: de database, op servers in Ierland.
• Resend: het versturen van mail namens TrustMail, op servers in Ierland.

TrustMail legt met elke subverwerker minstens dezelfde verplichtingen vast als in deze overeenkomst. Wil TrustMail een subverwerker toevoegen of vervangen, dan meldt TrustMail dat minstens 30 dagen vooraf. Heeft de klant daar een gegronde reden tegen, dan kan de klant het abonnement opzeggen voordat de wijziging ingaat.

Google en Microsoft zijn geen subverwerkers van TrustMail: de klant heeft daar zelf een account, en TrustMail gebruikt hun koppeling alleen om bij de mailbox van de klant te komen.

8. Gegevens buiten de Europese Unie

Een deel van de subverwerkers is Amerikaans. Komen gegevens buiten de Europese Economische Ruimte, dan gebeurt dat alleen met de waarborgen die de AVG vraagt, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.

9. Rechten van betrokkenen

Vraagt een betrokkene om inzage, verbetering, verwijdering of een andere recht uit de AVG, dan helpt TrustMail de klant om daarop te reageren. Komt zo'n verzoek bij TrustMail binnen, dan sturen we het door naar de klant.

10. Datalekken

Ontdekt TrustMail een inbreuk op de beveiliging die gevolgen heeft voor de gegevens van de klant, dan meldt TrustMail dat zonder onnodige vertraging en uiterlijk binnen 48 uur aan de klant. TrustMail geeft daarbij alle informatie die de klant nodig heeft om het lek zelf te melden, zoals wat er is gebeurd, welke gegevens het betreft, de gevolgen en de genomen maatregelen.

11. Hulp, informatie en audits

TrustMail helpt de klant waar redelijk bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij vragen van de Autoriteit Persoonsgegevens.

TrustMail geeft de klant op verzoek de informatie die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd. De klant mag ook een audit laten uitvoeren, hooguit één keer per jaar, met een aankondiging van minstens 30 dagen en op kosten van de klant.

12. Einde van de overeenkomst

Eindigt het abonnement, dan verwijdert TrustMail binnen 30 dagen de gegevens van de klant, zoals de toegangssleutels, de vertrouwde afzenders en de aanvragen, behalve wat TrustMail wettelijk moet bewaren. De mail zelf blijft in de mailboxen van de klant staan. Wil de klant vooraf een overzicht van zijn vertrouwde afzenders, dan kan hij dat opvragen.

13. Aansprakelijkheid en overige bepalingen

Voor de aansprakelijkheid geldt wat in de algemene voorwaarden staat. Op deze overeenkomst is Nederlands recht van toepassing en geschillen gaan naar de rechtbank Overijssel. Staat er in de algemene voorwaarden iets anders over de verwerking van persoonsgegevens, dan gaat deze verwerkersovereenkomst voor.