Verwerkersovereenkomst (DPA)
De verwerkersovereenkomst van Elv8. Ze geldt wanneer Elv8 persoonsgegevens verwerkt namens een klant die verwerkingsverantwoordelijke is.
Bijgewerkt op
Juridisch document · Laatst bijgewerkt: 1 oktober 2026 · Ingangsdatum: 1 oktober 2026
Deze DPA maakt deel uit van de dienstverleningsovereenkomst tussen elv8 en de klant. Ze geldt wanneer elv8 persoonsgegevens verwerkt namens een tenant-verwerkingsverantwoordelijke volgens AVG artikel 28.
1. Rollen en scope
De klant is verwerkingsverantwoordelijke voor data van eindgebruikers die via boeking, planning, communicatie en betaalflows wordt verwerkt.
elv8 treedt op als verwerker en verwerkt persoonsgegevens enkel op gedocumenteerde instructies van de verantwoordelijke.
Onderwerp en duur: de verwerking die nodig is om het platform te leveren, voor de duur van de dienstverleningsovereenkomst plus de exportperiode. Aard en doel: hosten, opslaan, tonen, verzenden en verwijderen van gegevens voor boekingen, planning, betalingen, facturatie, communicatie en videocursussen. Soorten gegevens: identificatie- en contactgegevens, boekings- en betaalgegevens, communicatie, technische gegevens en, wanneer de verantwoordelijke dat inschakelt, gezondheidsgegevens (art. 9 AVG). Betrokkenen: klanten, prospecten en medewerkers van de verantwoordelijke.
2. Gedocumenteerde instructies
Aanvaarde productconfiguratie, API-oproepen en supportrichtlijnen vormen de basis van gedocumenteerde instructies.
Als een instructie strijdig is met toepasselijk recht, kan elv8 die weigeren of opschorten en informeert elv8 de verantwoordelijke waar wettelijk toegelaten.
3. Verplichtingen van de verwerker
elv8 houdt verwerkingen voldoende auditeerbaar voor de kernprocessen onder deze DPA.
- Geheimhoudingsplicht voor bevoegde medewerkers.
- Technische en organisatorische maatregelen afgestemd op het risico.
- Assistentie bij rechten van betrokkenen en complianceverplichtingen van de verantwoordelijke.
- Ondersteuning bij onderzoek en melding van datalekken.
- Bijstand bij gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging (art. 35-36 AVG).
- Subverwerkers: elv8 legt elke subverwerker schriftelijk dezelfde verplichtingen op als in deze DPA en blijft volledig aansprakelijk tegenover de verantwoordelijke.
- Teruggave of verwijdering van persoonsgegevens op einde dienstverlening, behoudens wettelijke bewaarplicht.
Voor de export van gegevens na het einde van de dienstverlening gelden de termijnen uit de algemene voorwaarden: 60 kalenderdagen na een normale beëindiging, 30 kalenderdagen bij beëindiging wegens schending van de voorwaarden, en één (1) maand overgangsperiode bij een definitieve stopzetting van het platform of de onderneming. Na afloop van de exportperiode verwijdert elv8 alle controllerdata, inclusief kopieën en back-ups binnen de back-uprotatie, tenzij Unie- of lidstatelijk recht bewaring vereist, en bevestigt elv8 dit op verzoek schriftelijk.
4. Verplichtingen van de verantwoordelijke
De verantwoordelijke blijft exclusief verantwoordelijk voor naleving tegenover eigen eindgebruikers:
- Bepalen van rechtsgrond per verwerkingsdoel.
- Voorzien van privacy-informatie en verkrijgen van vereiste toestemmingen.
- Controleren van datakwaliteit en rechtmatigheid van geüploade data.
- Behandelen van eerstelijnsverzoeken van betrokkenen.
5. Beveiligingscontroles
Controles evolueren met technische standaarden en risicoprofiel; absolute veiligheid wordt niet gegarandeerd.
- Encryptie tijdens transport en in rust waar van toepassing.
- Toegangsbeheer volgens least-privilege.
- Tenantisolatie en hardening van omgevingen.
- Logging, monitoring en incidentresponsprocedures.
6. Goedgekeurde subverwerkers
De verantwoordelijke geeft algemene toestemming voor onderstaande subverwerkers en gelijkwaardige vervangers met vergelijkbare waarborgen. De verantwoordelijke kan binnen de kennisgevingstermijn bezwaar maken tegen een nieuwe subverwerker; vinden partijen geen oplossing, dan kan de verantwoordelijke de overeenkomst kosteloos beëindigen vóór de wijziging ingaat.
Wijzigingen in de lijst van subverwerkers worden ten minste 14 kalenderdagen vooraf gecommuniceerd via contractuele of in-product meldingen.
| Subverwerker | Doel | Primaire regio |
|---|---|---|
| Supabase | Database, auth, storage | EU |
| Mollie | Betalingsverwerking | EU |
| Hetzner | VPS-hosting en infrastructuur | EU (Duitsland) |
| Resend | Transactionele e-mail | EU / EER-gerichte deployment |
| GatewayAPI (ONLINECITY.IO ApS) | Sms-berichten, alleen indien sms-notificaties geactiveerd zijn | EU (Denemarken) |
| Google / Microsoft | Kalendersynchronisatie, alleen bij een door de gebruiker geactiveerde koppeling | EU/VS — adequaatheidsbesluit of SCC's |
| Mollie (Mollie Invoicing) | Aflevering van e-facturen via het Peppol-netwerk — Mollie treedt op als Peppol-toegangspunt (alleen indien e-facturatie geactiveerd is) | EU |
| Bunny.net (BunnyWay d.o.o.) | Hosting en afspelen van videocursussen (alleen met de add-on Videocursussen) | EU (Slovenië) |
| Cloudflare | DNS, beveiliging en doorgifte van het webverkeer (proxy), bescherming tegen misbruik | Wereldwijd netwerk — EU-VS Data Privacy Framework / SCC's |
| Sentry (Functional Software) | Foutopsporing en stabiliteitsmonitoring | EU/VS — EU-VS Data Privacy Framework / SCC's |
| Google (Firebase Cloud Messaging) / Expo | Pushmeldingen naar de mobiele app (alleen wanneer de gebruiker meldingen toestaat) | VS — EU-VS Data Privacy Framework / SCC's |
Deze tabel is de canonieke subverwerkerslijst waarnaar de algemene voorwaarden verwijzen.
7. Ondersteuning bij rechten van betrokkenen
Waar technisch haalbaar biedt elv8 tools voor export, correctie, beperking en verwijdering.
Ontvangt elv8 rechtstreeks een verzoek over controllerdata, dan kan elv8 de verzoeker doorverwijzen naar de relevante verantwoordelijke.
8. Ondersteuning bij datalekken
elv8 informeert de verantwoordelijke over een datalek dat controllerdata raakt zonder onnodige vertraging en uiterlijk binnen 48 uur nadat elv8 er kennis van kreeg, ook als nog niet alle informatie beschikbaar is; aanvullende informatie volgt in fasen.
De melding bevat bekende feiten, de getroffen categorie gegevens, de geschatte omvang, genomen beheersmaatregelen en aanbevelingen voor de verantwoordelijke.
De verantwoordelijke is zelf verantwoordelijk voor tijdige melding aan de toezichthoudende autoriteit en betrokkenen conform AVG artikel 33 en 34.
9. Audit en bewijs van naleving
elv8 verleent medewerking aan redelijke auditverzoeken van de verantwoordelijke, zoals schriftelijke bevestigingen, ingevulde vragenlijsten of toegang tot samenvattende auditdocumentatie.
Uitgebreide audits ter plaatse vereisen voorafgaand overleg, zijn onderworpen aan wederzijds overeengekomen vertrouwelijkheidsvereisten, en mogen de dienstverlening aan andere klanten niet verstoren.
10. Doorgifte buiten de EER
Wanneer verwerking buiten de EER plaatsvindt, gebruikt elv8 erkende doorgiftemechanismen zoals Standard Contractual Clauses en aanvullende technische maatregelen waar passend.
11. Toepasselijk recht
Deze DPA is onderworpen aan het Belgisch recht. Geschillen worden voorgelegd aan de rechtbanken van het arrondissement Hasselt.
12. Contact
Voor vragen over deze verwerkersovereenkomst: privacy@elv8.be.