Verwerkersovereenkomst
Deze verwerkersovereenkomst is van toepassing tussen de klant (“verwerkingsverantwoordelijke”) en DMback (“verwerker”), en wordt aangegaan door het accepteren van de algemene voorwaarden bij het aanmaken van een workspace. Zij voldoet aan artikel 28 van de Algemene verordening gegevensbescherming (AVG).
1. Onderwerp, duur en doel
De verwerker verwerkt persoonsgegevens uitsluitend om de dienst te leveren: het ontvangen van comments op de gekoppelde Instagram-accounts van de klant, het herkennen van ingestelde keywords, het versturen van automatische privéberichten en openbare reacties, en het tonen van statistieken. De overeenkomst duurt zolang de klant de dienst gebruikt, plus de periode die nodig is om gegevens te wissen.
2. Soorten gegevens en betrokkenen
| Betrokkenen | Instagram-gebruikers die reageren op posts van de klant (“volgers”). |
|---|---|
| Gegevens | Instagram-gebruikers-id (een nummer), comment-id, media-id, de tekst van de comment (alleen om het keyword te herkennen), tijdstip, het gematchte keyword en de status van het verstuurde bericht. Gebruikersnamen worden niet opgeslagen. |
| Bijzondere gegevens | Worden niet bewust verwerkt. De klant stelt geen keywords of berichten in die op bijzondere persoonsgegevens zijn gericht. |
3. Instructies
De verwerker verwerkt alleen op schriftelijke instructie van de klant. De instellingen die de klant in het dashboard maakt (keywords, berichten, bewaartermijn) gelden als instructie. De verwerker meldt het als een instructie naar zijn oordeel in strijd is met de AVG.
4. Geheimhouding en beveiliging
Personen die namens de verwerker toegang hebben, zijn tot geheimhouding verplicht. De verwerker neemt passende maatregelen, waaronder:
- opslag en verwerking binnen de EU (Frankfurt);
- versleutelde verbindingen (TLS) en versleutelde opslag van toegangstokens (AES-256-GCM);
- scheiding van klantdata per workspace, ook afgedwongen in de database (row level security);
- controle van de herkomst van elk bericht van Meta (cryptografische handtekening);
- toegang tot productiesystemen alleen voor bevoegde personen, met logging van supporttoegang;
- automatisch wissen van gegevens na de ingestelde bewaartermijn.
5. Subverwerkers
De klant geeft algemene toestemming voor het inschakelen van de subverwerkers hieronder. Nieuwe subverwerkers kondigen we minstens 30 dagen vooraf aan op de subverwerkerspagina; de klant kan bezwaar maken en in dat geval kosteloos opzeggen.
| Partij | Waarvoor | Locatie | Grondslag doorgifte |
|---|---|---|---|
| Vercel Inc. | Hosting van de applicatie (serverfuncties in Frankfurt, fra1) | EU (Frankfurt); bedrijf in de VS | EU-US Data Privacy Framework + SCC |
| Supabase Inc. | Database (PostgreSQL) | EU (Frankfurt, eu-central-1) | SCC; data blijft in de EU |
| Meta Platforms Ireland Ltd. | Instagram API: ontvangen van comments, versturen van DM's | EU / VS | Noodzakelijk voor de dienst; Meta Platform Terms |
| Stripe Payments Europe Ltd. | Betalingen en facturen (alleen klantgegevens, geen Instagram-data) | EU (Ierland) / VS | EU-US Data Privacy Framework + SCC |
| Resend (Plus Five Five Inc.) | Versturen van e-mails aan klanten (geen Instagram-data) | VS / EU | EU-US Data Privacy Framework + SCC |
6. Rechten van betrokkenen
De verwerker helpt de klant bij verzoeken van betrokkenen (inzage, verwijdering). Verwijderverzoeken die via Meta binnenkomen, worden automatisch over alle workspaces heen uitgevoerd.
7. Datalekken
De verwerker informeert de klant zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking van een inbreuk op de beveiliging die persoonsgegevens van de klant betreft, met de informatie die de klant nodig heeft voor een eventuele melding aan de Autoriteit Persoonsgegevens.
8. Bewaartermijn en einde
Gegevens worden bewaard gedurende de door de klant ingestelde termijn (standaard 30 dagen, minimaal 8, maximaal 400). Na beëindiging of verwijdering van de workspace wist de verwerker alle persoonsgegevens binnen 30 dagen, tenzij een wettelijke plicht anders vereist. De klant kan vooraf een export downloaden.
9. Audit
De verwerker stelt de klant op verzoek de informatie ter beschikking die nodig is om naleving aan te tonen. Een audit op locatie is mogelijk na redelijke aankondiging en voor rekening van de klant.
10. Aansprakelijkheid
Voor aansprakelijkheid geldt wat in de algemene voorwaarden is afgesproken.
Vragen: het contactadres op onze website.