Verwerkersovereenkomst

1. Partijen

• Verwerkingsverantwoordelijke: de organisatie die nokap gebruikt (de klant).
• Verwerker: Nokap B.V., KvK 42145358, Boylestraat 25c, 6718 XM Ede (nokap).

Deze overeenkomst hoort bij de algemene voorwaarden en geldt vanaf het moment dat de klant die accepteert, zolang nokap gegevens voor de klant verwerkt.

2. Onderwerp en doel

Nokap verwerkt persoonsgegevens alleen om de dienst te leveren: rondes organiseren waarin het team anoniem input geeft, daaruit één probleem kiezen, de reactie van de manager tonen en de scorecard bijhouden. Voor andere doelen verwerkt nokap de gegevens niet.

3. Gegevens en betrokkenen

Betrokkenen

Eigenaar, beheerders, managers en teamleden van de klant, en mensen die de klant uitnodigt.

Soorten gegevens

• E-mailadres, rol, team en lidmaatschap.
• Of iemand aan een ronde meedeed of een reactie beoordeelde, met het moment daarvan.
• Uitnodigingen en de auditlog van beheeracties.
• Inzendingen en cijfers. Deze worden opgeslagen zonder koppeling aan een persoon. Ze kunnen toch persoonsgegevens bevatten als iemand zichzelf of een ander in de tekst noemt.

Nokap is niet bedoeld voor bijzondere persoonsgegevens, zoals gegevens over gezondheid. De klant vraagt daar niet naar.

4. Instructies

Nokap verwerkt de gegevens alleen op instructie van de klant. Het gebruik van de dienst zoals die is ingericht, en de instellingen die de klant kiest, gelden als die instructie. Vindt nokap dat een instructie in strijd is met de wet, dan meldt nokap dat direct.

5. Geheimhouding en beveiliging

Iedereen die bij nokap toegang heeft tot de gegevens, heeft een geheimhoudingsplicht. Nokap neemt passende technische en organisatorische maatregelen, waaronder:

• Opslag in de EU (Frankfurt) en versleutelde verbindingen.
• Scheiding per organisatie, afgedwongen per rij in de database.
• Inzendingen en cijfers zonder koppeling aan een persoon of tijdstip, en voor geen enkele gebruiker los leesbaar.
• Resultaten pas vanaf een minimumaantal inzendingen, afgedwongen in de database.
• Inloggen zonder wachtwoord, met optionele tweestapsverificatie.
• Een auditlog van beheeracties.
• Toegang tot productiegegevens alleen voor wie dat voor zijn werk nodig heeft.

6. Subverwerkers

De klant geeft nokap algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat op de pagina subverwerkers. Een nieuwe subverwerker meldt nokap minstens 30 dagen vooraf aan de beheerders. De klant kan binnen die termijn met redenen bezwaar maken. Komen we er samen niet uit, dan mag de klant de overeenkomst opzeggen. Nokap legt subverwerkers dezelfde verplichtingen op als in deze overeenkomst.

7. Doorgifte buiten de EER

Waar een subverwerker gegevens buiten de Europese Economische Ruimte verwerkt, gebeurt dat op basis van de standaardcontractbepalingen van de Europese Commissie of een ander geldig doorgiftemechanisme.

8. Rechten van betrokkenen

Nokap helpt de klant om verzoeken van betrokkenen te beantwoorden. Beheerders kunnen gegevens zelf downloaden en accounts verwijderen in de app. Krijgt nokap rechtstreeks een verzoek, dan stuurt nokap dat door naar de klant. Inzendingen en cijfers zijn niet aan een persoon te koppelen. Een verzoek daarover kan dus niet worden uitgevoerd.

9. Datalekken

Ontdekt nokap een inbreuk op de beveiliging die persoonsgegevens van de klant raakt, dan meldt nokap dat zonder onredelijke vertraging en uiterlijk binnen 48 uur aan de klant. Nokap geeft daarbij wat de klant nodig heeft om de inbreuk zelf te melden, en neemt maatregelen om de gevolgen te beperken.

10. Controle

Nokap geeft de klant op verzoek de informatie die nodig is om te laten zien dat deze overeenkomst wordt nageleefd. Een audit door een onafhankelijke deskundige is mogelijk na overleg, op kosten van de klant, en niet vaker dan eens per jaar tenzij er een concrete aanleiding is.

11. Einde

Eindigt de overeenkomst, dan kan de eigenaar de organisatie met alle gegevens verwijderen in de app. Doet de klant dat niet, dan verwijdert nokap de gegevens 3 maanden nadat de toegang eindigde: na het laatste abonnement, of na de proefperiode als er nooit een abonnement was. De eigenaar en de beheerders krijgen daar 14 dagen vooraf een mail over. Gegevens die de wet ons verplicht te bewaren, zoals facturen, blijven bewaard.

12. Aansprakelijkheid

Voor aansprakelijkheid geldt wat in de algemene voorwaarden staat.