Verwerkersovereenkomst

Versie 2026-09-29 (geldende versie)

1. Partijen en toepassing

Deze verwerkersovereenkomst (versie 2026-09-29) is gesloten tussen:

• de organisatie die PowerShift afneemt (de “klant”), als verwerkingsverantwoordelijke; en
• [TODO: naam eigenaar/eenmanszaak zoals in het KVK-register] (eenmanszaak), handelend onder de naam PowerShift, KvK-nummer [TODO: KvK-nummer], adres: [TODO: zakelijk adres of postadres (straat, postcode, plaats)] (“PowerShift”), als verwerker.

De eigenaar van de organisatie gaat tijdens de onboarding namens de klant akkoord met deze overeenkomst en de algemene voorwaarden, en verklaart daarbij bevoegd te zijn de klant te vertegenwoordigen; wij leggen vast wanneer en met welke versie. PowerShift wordt vertegenwoordigd door haar eigenaar, [TODO: naam eigenaar/eenmanszaak zoals in het KVK-register]. Deze overeenkomst maakt deel uit van de Algemene voorwaarden. Bij strijdigheid gaat deze verwerkersovereenkomst voor op het gebied van de bescherming van persoonsgegevens. Begrippen hebben de betekenis uit de Algemene Verordening Gegevensbescherming (AVG).

2. Onderwerp, duur, aard en doel

• Onderwerp: het leveren van de roosterapplicatie PowerShift aan de klant.
• Aard: opslaan, ordenen, raadplegen, weergeven, doorzenden (notificaties) en verwijderen van gegevens binnen de applicatie, en het berekenen van planningsignalen.
• Doel: personeelsplanning door de klant: medewerkers uitnodigen, beschikbaarheid ophalen, roosters maken en publiceren, diensten ruilen en claimen, en de klant signalen geven op basis van de CAO en de Arbeidstijdenwet.
• Duur: zolang PowerShift persoonsgegevens voor de klant verwerkt, dus tijdens de looptijd van de overeenkomst en de afwikkeling daarna (zie artikel 11).

PowerShift verwerkt de persoonsgegevens niet voor eigen doeleinden, met uitzondering van het volgende, waarvoor PowerShift zelf verwerkingsverantwoordelijke is (zie de Privacyverklaring):

• accountgegevens, beveiligingslogs en facturatie;
• het tellen van het aantal medewerkers dat per factuurperiode is ingeroosterd, voor de berekening van de vergoeding;
• per lidmaatschap het tijdstip van het laatste gebruik van de app (hooguit één keer per uur bijgewerkt) en de daaruit afgeleide gebruiksstatistieken per organisatie, voor het beheer en de verbetering van de dienst.

PowerShift gebruikt deze gegevens niet voor andere doeleinden en deelt ze niet met derden.

3. Betrokkenen en categorieën persoonsgegevens

Betrokkenen: medewerkers en andere gebruikers die de klant in PowerShift uitnodigt of vastlegt (waaronder planners en beheerders), inclusief jeugdige medewerkers vanaf 13 jaar.

Persoonsgegevens:

• naam en e-mailadres zoals zichtbaar binnen de organisatie;
• geboortedatum en de daaruit afgeleide leeftijdscategorie;
• lidmaatschap en contract: rol, contractvorm, contracturen, begin- en einddatum, vestigingen, teams en kwalificaties;
• planning: beschikbaarheid, voorkeursdiensten, toegewezen en open diensten, ruil-, claim- en overnameverzoeken met vrije toelichting, en notities bij evenementen;
• de inhoud van notificaties over deze gegevens (e-mail en, als de gebruiker dat aanzet, pushmeldingen).

Bijzondere persoonsgegevens (zoals gezondheidsgegevens) zijn voor de dienst niet nodig. De klant zorgt ervoor dat die niet in vrije tekstvelden worden vastgelegd.

4. Instructies

PowerShift verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van de klant. De overeenkomst, deze verwerkersovereenkomst en de instellingen en handelingen van de klant in de applicatie gelden als die instructies. PowerShift verwerkt anders alleen als een wettelijke verplichting dat vereist, en informeert de klant daar vooraf over, tenzij de wet dat verbiedt. Als een instructie naar het oordeel van PowerShift in strijd is met de AVG of andere gegevensbeschermingsregels, meldt PowerShift dat direct aan de klant. PowerShift kan de uitvoering van die instructie dan opschorten totdat de klant haar bevestigt of wijzigt, en voert een instructie die duidelijk onrechtmatig is niet uit.

5. Vertrouwelijkheid

PowerShift zorgt ervoor dat iedereen die onder haar gezag toegang heeft tot de persoonsgegevens tot geheimhouding is verplicht, en dat toegang beperkt blijft tot wat nodig is voor het leveren, beveiligen en ondersteunen van de dienst.

6. Beveiliging (art. 32 AVG)

PowerShift neemt passende technische en organisatorische maatregelen, waaronder:

• versleutelde verbindingen (TLS) tussen browser en dienst;
• wachtwoorden die alleen als argon2-hash worden opgeslagen;
• sessiecookies die httpOnly, Secure en SameSite=Strict zijn, met kortlevende toegangstokens en roterende vernieuwingstokens met detectie van hergebruik;
• bescherming tegen cross-site request forgery (CSRF);
• scheiding van gegevens per organisatie in de applicatie én in de database (row-level security), en rolgebaseerde toegang binnen een organisatie;
• optionele tweestapsverificatie voor gebruikers; verplichte tweestapsverificatie voor PowerShift-beheerders;
• versleutelde opslag van gevoelige kenmerken, zoals agenda-links en betaal-id’s;
• beperking van het aantal verzoeken (rate limiting) tegen misbruik;
• hosting, database en back-ups bij Scaleway SAS in datacenters in de EU (regio fr-par (Parijs, Frankrijk)).

PowerShift kan maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.

7. Sub-verwerkers

De klant geeft PowerShift algemene toestemming om sub-verwerkers in te schakelen. Op dit moment zijn dat:

PowerShift legt elke sub-verwerker dezelfde gegevensbeschermingsverplichtingen op als in deze overeenkomst en blijft tegenover de klant verantwoordelijk voor de nakoming daarvan. Voordat PowerShift een sub-verwerker toevoegt of vervangt, informeert zij de klant ten minste 30 dagen vooraf per e-mail. De klant kan binnen die termijn met redenen bezwaar maken; komen partijen er niet uit, dan kan de klant de overeenkomst kosteloos beëindigen voordat de wijziging ingaat.

8. Doorgifte buiten de EER

PowerShift verwerkt en bewaart de persoonsgegevens binnen de EU en geeft ze niet door buiten de EU/EER. De uitzondering zijn pushmeldingen, die een gebruiker zelf aanzet: de pushdiensten van browsermakers kunnen buiten de EER verwerken, op basis van de waarborgen uit hoofdstuk V AVG (zoals het EU-VS Data Privacy Framework of standaardcontractbepalingen). De inhoud van pushmeldingen is end-to-end versleuteld volgens de Web Push-standaard.

9. Bijstand aan de klant

PowerShift helpt de klant, rekening houdend met de aard van de verwerking:

• bij het afhandelen van verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar). Verzoeken die PowerShift rechtstreeks ontvangt over gegevens van de klant, stuurt zij zonder onnodige vertraging door. Kan de klant een verzoek niet zelf in de applicatie afhandelen, dan voert PowerShift het op verzoek handmatig uit, zodat de klant binnen de wettelijke termijn van één maand kan antwoorden;
• bij het nakomen van de verplichtingen uit artikelen 32 tot en met 36 AVG, waaronder beveiliging, het melden van datalekken, een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens, door de informatie te verstrekken die daarvoor redelijkerwijs nodig is.

PowerShift verleent deze bijstand kosteloos, voor zover die redelijk is en past bij normaal gebruik van de dienst. Voor bijstand die daarbuiten valt, kan PowerShift een redelijke vergoeding vragen tegen een vooraf bekendgemaakt uurtarief. Bijstand die nodig is door een tekortkoming van PowerShift is altijd kosteloos.

10. Datalekken

PowerShift informeert de klant zonder onnodige vertraging nadat zij redelijke zekerheid heeft dat een inbreuk in verband met persoonsgegevens de gegevens van de klant betreft: waar mogelijk binnen 24 uur, en uiterlijk binnen 48 uur. Dit geldt ook voor een inbreuk bij een sub-verwerker. De melding bevat, voor zover bekend: de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen en een contactpersoon. Informatie die later bekend wordt, volgt zo snel mogelijk. De klant beslist over melding aan de Autoriteit Persoonsgegevens en aan betrokkenen; PowerShift helpt daarbij. PowerShift houdt een intern register bij van alle inbreuken.

11. Einde van de verwerking: teruggave en verwijdering

De eigenaar van het bedrijf kan tijdens de looptijd op elk moment zelf in de applicatie een volledige export van de gegevens van de klant downloaden, in een gangbaar, machineleesbaar formaat (CSV-bestanden in een ZIP-bestand). Na het einde van de overeenkomst blijft die export nog 30 dagen beschikbaar (de ophaalperiode). De werkruimte is dan gesloten: alleen de eigenaar kan nog de export en de facturen downloaden. Lukt dat de klant niet, dan stelt PowerShift de export binnen de ophaalperiode op verzoek beschikbaar. Vóór het einde van de ophaalperiode exporteert de klant de gegevens die hij als werkgever zelf moet bewaren, zoals de rooster- en arbeidstijdenregistratie (52 weken op grond van de Arbeidstijdenwet): na de verwijdering bewaart PowerShift die niet voor de klant. Na afloop van de ophaalperiode verwijdert PowerShift de persoonsgegevens van de klant automatisch, uiterlijk binnen 30 dagen, tenzij een wettelijke verplichting tot bewaren geldt. Back-ups roteren en worden binnen 30 dagen overschreven. PowerShift bevestigt de verwijdering per e-mail aan de eigenaar.

12. Informatie en audits

PowerShift stelt de klant alle informatie ter beschikking die nodig is om de nakoming van artikel 28 AVG aan te tonen. De klant kan een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte deskundige, ten hoogste eenmaal per jaar (en daarnaast na een datalek), met een aankondiging van ten minste 30 dagen, zonder de bedrijfsvoering onnodig te verstoren. De kosten van een audit zijn voor de klant, tenzij de audit een wezenlijke tekortkoming van PowerShift aantoont.

13. Aansprakelijkheid

Voor de aansprakelijkheid van partijen onder deze verwerkersovereenkomst geldt de regeling uit de Algemene voorwaarden, onverminderd de rechten van betrokkenen op grond van artikel 82 AVG.

14. Duur, wijzigingen en toepasselijk recht

Deze overeenkomst loopt zolang PowerShift persoonsgegevens voor de klant verwerkt. PowerShift kan deze overeenkomst wijzigen, bijvoorbeeld bij een nieuwe sub-verwerker (artikel 7) of een wetswijziging. Wezenlijke wijzigingen kondigt zij ten minste 30 dagen vooraf per e-mail aan de eigenaar aan. De klant kan binnen die termijn met redenen bezwaar maken; komen partijen er niet uit, dan kan de klant de overeenkomst kosteloos beëindigen voordat de wijziging ingaat. Op deze overeenkomst is Nederlands recht van toepassing; geschillen worden voorgelegd aan de bevoegde rechter: [TODO: rechtbank van het arrondissement van vestiging, bijv. Rechtbank Midden-Nederland].