Gegevensverwerkingsovereenkomst (DPA)
ONDERZOEKSNOTA — GEEN JURIDISCH ADVIES — LATEN NAKIJKEN DOOR EEN ADVOCAAT VOOR ONDERTEKENING
De Verwerker
Renaud Patris, eenmanszaak (natuurlijke persoon) handelend onder de handelsnaam Red Panda Studio, ingeschreven in de Kruispuntbank van Ondernemingen onder nummer 1043.832.341 (btw BE 1043.832.341 — vestigingseenheid 2.395.215.357), Rue Entre-Deux-Portes 108, 4500 Hoei, België. Contact: privacy@ordavena.app.
De Verwerkingsverantwoordelijke
[Naam van de vennootschap van de klant] — [ondernemingsnummer] — [adres] — [land]. DPA-contact: [e-mailadres van de DPO of wettelijke vertegenwoordiger].
Samen de « Partijen ».
Preambule
De Verwerker levert aan de Verwerkingsverantwoordelijke de dienst Ordavena (online beheertool: offertes, facturen, betalingen, aanmaningen, AI-assistent) op grond van de Gebruiksvoorwaarden. In dat kader verwerkt de Verwerker persoonsgegevens voor rekening van de Verwerkingsverantwoordelijke in de zin van artikel 4(8) van Verordening (EU) 2016/679 (AVG). Deze overeenkomst (« DPA ») regelt die verwerking overeenkomstig artikel 28 AVG. Bij strijdigheid met de Gebruiksvoorwaarden prevaleert deze DPA voor alles wat betrekking heeft op de verwerking van persoonsgegevens.
1. Voorwerp en duur
De Verwerker verwerkt de hieronder beschreven persoonsgegevens voor rekening en op instructie van de Verwerkingsverantwoordelijke, met het oog op de levering van de dienst Ordavena. Deze DPA treedt in werking op de datum van inschrijving op de Gebruiksvoorwaarden en blijft van kracht zolang de Verwerker persoonsgegevens verwerkt voor rekening van de Verwerkingsverantwoordelijke. Ze eindigt automatisch bij het aflopen of de beëindiging van de dienstovereenkomst.
2. Aard, doel en type verwerking
Aard: verzameling, opslag, structurering, raadpleging, wijziging, export en verwijdering van gegevens in het kader van de levering van de dienst Ordavena. Doeleinden: (a) aanmaken en beheren van offertes, facturen en creditnota's voor rekening van de klant; (b) opvolgen van betalingen en versturen van aanmaningen aan contacten van de klant; (c) redactie- en analysebijstand via AI; (d) bijhouden van het activiteitenlogboek en leveren van boekhoudkundige exports. De Verwerker verwerkt de gegevens niet voor andere doeleinden zonder voorafgaande instructie van de Verwerkingsverantwoordelijke.
3. Categorieën van gegevens en betrokkenen
Verwerkte gegevenscategorieën: identificatiegegevens (naam, handelsnaam, btw-nummer), contactgegevens (postadres, e-mail, telefoon), financiële gegevens (bedragen, betalingsvoorwaarden, betalingsstatus), documentgegevens (offertes, facturen, creditnota's in pdf), communicatiegegevens (inhoud van aanmanings-e-mails), fragmenten van gegevens die worden doorgestuurd naar de AI-leverancier voor redactie en analyse. Er worden geen bijzondere categorieën gegevens (art. 9 AVG) verwerkt. Betrokkenen: klanten, prospects en zakelijke contacten van de Verwerkingsverantwoordelijke, alsook hun wettelijke vertegenwoordigers.
4. Uitsluitend op instructie handelen (Art. 28(3)(a))
De Verwerker verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Verwerkingsverantwoordelijke. De Gebruiksvoorwaarden en deze DPA vormen de initiële instructies; aanvullende instructies worden schriftelijk doorgegeven (e-mail of configuratie-interface). Indien een wettelijke verplichting van de Unie of het Belgisch recht de Verwerker verplicht tot een verwerking die niet door die instructies wordt gedekt, stelt hij de Verwerkingsverantwoordelijke daarvan vooraf in kennis, tenzij de wet die kennisgeving verbiedt.
5. Vertrouwelijkheid van het personeel (Art. 28(3)(b))
De Verwerker zorgt ervoor dat de personen die gemachtigd zijn om persoonsgegevens te verwerken (medewerkers, dienstverleners) gebonden zijn aan een passende vertrouwelijkheidsplicht, contractueel of van rechtswege, die blijft gelden na het einde van hun functie.
6. Beveiligingsmaatregelen (Art. 28(3)(c) en Art. 32 AVG)
De Verwerker treft passende technische en organisatorische maatregelen voor een beveiligingsniveau dat aangepast is aan het risico: isolatie van de gegevens van elk bedrijf op databaseniveau (beveiliging op rijniveau); versleuteling van uitwisselingen in transit (TLS); rolgebaseerde toegangscontrole en beschikbare multifactorauthenticatie; logging van elke toegang, inclusief supportinterventies, zichtbaar in het activiteitenlogboek van de Verwerkingsverantwoordelijke; versleutelde back-ups om de zes uur op een volume dat gescheiden is van de database, 35 dagen bewaard, met dagelijkse geautomatiseerde hersteltest; gedocumenteerde procedure voor het beheer van beveiligingsincidenten. Op verzoek bezorgt de Verwerker een geactualiseerde beschrijving van zijn beveiligingsmaatregelen.
7. Subverwerkers (Art. 28(2), (3)(d) en (4))
Algemene toestemming: de Verwerkingsverantwoordelijke verleent de Verwerker een algemene toestemming om een beroep te doen op de in Bijlage A vermelde subverwerkers. De Verwerker legt hen gelijkwaardige verplichtingen op als die van deze DPA en blijft volledig aansprakelijk voor hun tekortkomingen. Wijzigingen: de Verwerker stelt de Verwerkingsverantwoordelijke ten minste 30 dagen van tevoren in kennis van elke toevoeging of vervanging van een subverwerker, per e-mail naar het e-mailadres van het Ordavena-account. De Verwerkingsverantwoordelijke kan daartegen schriftelijk en gemotiveerd bezwaar maken binnen die termijn; bij gebrek aan akkoord kan hij de overeenkomst zonder boete beëindigen.
8. Bijstand bij rechten van betrokkenen (Art. 28(3)(e))
De Verwerker verleent de Verwerkingsverantwoordelijke bijstand, voor zover mogelijk, bij de uitoefening van de rechten van betrokkenen (toegang, rectificatie, wissing, overdraagbaarheid, beperking, bezwaar — art. 15–22 AVG). De exportfunctie van de interface (CSV, volledig archief) stelt de Verwerkingsverantwoordelijke in staat rechtstreeks te antwoorden op de meeste verzoeken. Voor specifieke bijstandsverzoeken: privacy@ordavena.app, behandeld binnen een termijn die de Verwerkingsverantwoordelijke in staat stelt zijn wettelijke termijnen na te leven.
9. Bijstand bij AVG-verplichtingen Art. 32–36 (Art. 28(3)(f))
De Verwerker verleent de Verwerkingsverantwoordelijke bijstand bij de naleving van de verplichtingen inzake: beveiliging van de verwerking (art. 32); melding van inbreuken in verband met persoonsgegevens (art. 33–34); gegevensbeschermingseffectbeoordeling (art. 35); voorafgaande raadpleging van de toezichthoudende autoriteit (art. 36) — rekening houdend met de aard van de verwerking en de beschikbare informatie.
10. Teruggave en verwijdering van gegevens (Art. 28(3)(g))
Export op elk moment: de Verwerkingsverantwoordelijke kan al zijn gegevens exporteren (CSV en volledig archief) via de Ordavena-interface gedurende de volledige looptijd van het contract. Verwijdering: bij het einde van het contract, of op elk moment op verzoek van de Verwerkingsverantwoordelijke via de interface of per e-mail, verwijdert de Verwerker de persoonsgegevens na een respijtperiode van 30 dagen (waarin het verzoek kan worden ingetrokken en de export beschikbaar blijft); de gegevens verdwijnen uiterlijk 35 dagen later uit de back-ups. De wettelijke bewaring van de boekhoudkundige documenten van de Verwerkingsverantwoordelijke is diens verantwoordelijkheid en wordt vervuld via de export; de Verwerker bewaart zijn gegevens niet op die grond. Op verzoek wordt binnen 15 dagen na de verwijdering een schriftelijk verwijderingsattest bezorgd.
11. Audit en informatieverstrekking (Art. 28(3)(h))
De Verwerker stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de naleving van deze DPA aan te tonen. Auditverzoeken worden gericht aan privacy@ordavena.app met een vooropzegtermijn van minimaal 30 dagen. In eerste instantie beantwoordt de Verwerker het audit via schriftelijke documentatie. Eventuele fysieke audits zijn onderworpen aan vertrouwelijkheidsvoorwaarden ter bescherming van de gegevens van andere klanten.
12. Melding van datalekken (Art. 33(2) AVG)
De Verwerker stelt de Verwerkingsverantwoordelijke zonder onredelijke vertraging en uiterlijk binnen 48 uur na kennisneming in kennis van een inbreuk in verband met persoonsgegevens die hem betreft. De kennisgeving wordt gericht aan het e-mailadres van het Ordavena-account en bevat, voor zover mogelijk: de aard van de inbreuk en de benaderende categorieën en aantallen betrokkenen en gegevens; de contactgegevens van het aanspreekpunt van de Verwerker; de waarschijnlijke gevolgen; de genomen of geplande maatregelen. De Verwerker verleent de Verwerkingsverantwoordelijke bijstand bij zijn eigen meldingsverplichtingen aan de toezichthoudende autoriteit en de betrokkenen.
13. Internationale doorgiften (Art. 28(3) en Hoofdstuk V AVG)
Alle gegevens worden binnen de Europese Unie gehost en verwerkt. De hosting, back-ups inbegrepen, wordt verzorgd door OVHcloud SAS (Frankrijk). De AI-ondersteuning wordt geleverd door Mistral AI SAS (Parijs, Frankrijk) via zijn Europees toegangspunt (api.eu.mistral.ai). De Verwerker verricht geen doorgifte buiten de EER. Eventuele toegang vanuit een derde land door de eigen subverwerkers van Mistral AI (beveiliging, distributienetwerk) wordt omkaderd door de DPA van Mistral AI overeenkomstig hoofdstuk V AVG. Elke andere toekomstige doorgifte zou worden gemeld overeenkomstig artikel 7.
14. Aansprakelijkheid (Art. 82 AVG)
Elke Partij is aansprakelijk voor schade veroorzaakt door een verwerking die niet in overeenstemming is met de AVG en haar kan worden toegerekend. De Verwerker is slechts aansprakelijk indien hij de AVG-verplichtingen die specifiek van toepassing zijn op verwerkers niet is nagekomen, of indien hij heeft gehandeld buiten of in strijd met de rechtmatige instructies van de Verwerkingsverantwoordelijke. De financiële aansprakelijkheid van de Verwerker in het kader van deze DPA is begrensd overeenkomstig de Gebruiksvoorwaarden.
15. Slotbepalingen
Vorm: deze DPA is schriftelijk opgesteld, ook in elektronische vorm (art. 28(9) AVG). Wijzigingen: elke wijziging vereist een schriftelijk akkoord. De Verwerker kan de DPA wijzigen om aan nieuwe wettelijke verplichtingen te voldoen, met een opzegtermijn van 30 dagen. Toepasselijk recht: Belgisch recht. Bevoegde rechtbanken: rechtbanken van het gerechtelijk arrondissement Luik (België), onverminderd het recht van elke Partij om de bevoegde toezichthoudende autoriteit te adiëren. Toezichthoudende autoriteit van de Verwerker: Gegevensbeschermingsautoriteit (GBA) — gegevensbeschermingsautoriteit.be — Drukpersstraat 35, 1000 Brussel, België.
Bijlage A — Toegelaten subverwerkers
Lijst van toegelaten subverwerkers krachtens artikel 7 van deze DPA. Elke wijziging geeft aanleiding tot een voorafgaande kennisgeving van 30 dagen overeenkomstig artikel 7.
| Sous-traitant / Sub-processor | Rôle / Role | Localisation / Location | Garantie / Safeguard |
|---|---|---|---|
| OVHcloud SAS (RCS Lille Métropole 424 761 419)DPA van de subverwerker ↗ | Hosting (dedicated server), versleutelde back-ups inbegrepen | Frankrijk (Europese Unie) | Gegevens in de EU — geen doorgifte buiten EER |
| Mistral AI SAS (RCS Paris 952 418 325)DPA van de subverwerker ↗ | AI-ondersteuning (redactie, analyse op gegevensfragmenten) en uitlezen van bewijsstukken | Europese Unie (toegangspunt api.eu.mistral.ai) | Verwerking in de EU; eventuele toegang buiten de EER door eigen subverwerkers (beveiliging, netwerk) omkaderd door de DPA van Mistral (hoofdstuk V AVG) |
Actuele lijst beschikbaar op verzoek via privacy@ordavena.app.
Handtekeningen
Voor de Verwerker — Renaud Patris (Red Panda Studio)
Hoedanigheid: eenmanszaak, zaakvoerder
Datum: _______________
Handtekening: _______________
Voor de Verwerkingsverantwoordelijke — [Naam vennootschap]
Vertegenwoordigd door: _______________
Hoedanigheid: _______________
Datum: _______________
Handtekening: _______________
Versie van 22 oktober 2026. Deze DPA wordt samen met de gebruiksvoorwaarden aanvaard bij de inschrijving. Om ze ondertekend te ontvangen: privacy@ordavena.app.