Verwerkersovereenkomst
Laatst bijgewerkt: 14 oktober 2026
Deze verwerkersovereenkomst hoort bij de algemene voorwaarden en geldt tussen de klant die een account heeft bij Tuinmeter ("verwerkingsverantwoordelijke", "jij") en Lucas Huls Media, handelend onder de naam Tuinmeter, gevestigd aan Rechterlaan 13, 7535 CH Enschede, KvK 87628783 ("verwerker", "wij"). Je gaat ermee akkoord bij het aanmaken van je account. Begrippen hebben de betekenis die de Algemene verordening gegevensbescherming (AVG) eraan geeft.
1. Onderwerp en duur
Wij verwerken persoonsgegevens voor jou om de dienst Tuinmeter te leveren: het ontvangen, berekenen, opslaan, tonen en doorsturen van aanvragen die bezoekers via jouw pagina of calculator doen. Wat we verwerken, van wie en waarvoor, staat in bijlage 1. Deze overeenkomst loopt zolang wij persoonsgegevens voor jou verwerken.
2. Instructies
We verwerken de gegevens alleen op jouw schriftelijke instructies. De instellingen die je in het dashboard kiest en deze overeenkomst gelden als instructies. We gebruiken de gegevens niet voor eigen doeleinden. Moet een wettelijke verplichting ons tot een andere verwerking dwingen, dan laten we je dat vooraf weten, tenzij de wet dat verbiedt. Vinden we een instructie in strijd met de AVG, dan melden we dat direct.
3. Geheimhouding
Iedereen die bij ons toegang heeft tot de gegevens, is tot geheimhouding verplicht en krijgt alleen toegang voor zover dat nodig is voor zijn werk.
4. Beveiliging
We nemen passende technische en organisatorische maatregelen om de gegevens te beveiligen, zoals beschreven in bijlage 3. We mogen die maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.
5. Subverwerkers
Je geeft ons algemene toestemming om de subverwerkers uit bijlage 2 in te schakelen. Een nieuwe of andere subverwerker melden we minimaal 30 dagen vooraf per e-mail. Je kunt binnen die termijn met redenen bezwaar maken; komen we er samen niet uit, dan kun je de overeenkomst kosteloos opzeggen. Aan subverwerkers leggen we dezelfde verplichtingen op als in deze overeenkomst, en we blijven verantwoordelijk voor hun werk.
6. Doorgifte buiten de EU
We slaan de gegevens op in de EU. Sommige subverwerkers zijn Amerikaanse bedrijven en kunnen gegevens buiten de EU verwerken. Dat gebeurt alleen met een passende grondslag: het EU-VS Data Privacy Framework en/of de standaardcontractbepalingen van de Europese Commissie.
7. Rechten van betrokkenen
In het dashboard kun je aanvragen inzien, aanpassen, exporteren en verwijderen, zodat je verzoeken van betrokkenen zelf kunt afhandelen. Krijgen wij zo'n verzoek rechtstreeks, dan sturen we het door naar jou. Waar nodig helpen we je redelijkerwijs bij het beantwoorden.
8. Datalekken
Ontdekken we een inbreuk in verband met persoonsgegevens, dan melden we dat zonder onredelijke vertraging en uiterlijk binnen 48 uur bij jou. We geven je de informatie die je nodig hebt om te beoordelen of je de inbreuk moet melden bij de Autoriteit Persoonsgegevens of bij betrokkenen: wat er is gebeurd, welke gegevens en hoeveel mensen het betreft, de gevolgen en de maatregelen die we nemen. Melden bij de toezichthouder en betrokkenen doe jij; wij helpen daarbij.
9. Overige bijstand
We helpen je, voor zover redelijk en met de informatie die wij hebben, bij een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de toezichthouder.
10. Controle
We geven je alle informatie die nodig is om aan te tonen dat we deze overeenkomst naleven. Je mag eens per jaar, of na een datalek, een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht. Je kondigt dat minimaal 30 dagen vooraf aan en draagt de kosten, tenzij de audit laat zien dat wij deze overeenkomst wezenlijk niet naleven.
11. Einde: teruggave en verwijdering
Na het einde van de overeenkomst kun je de aanvragen nog 30 dagen exporteren. Daarna verwijderen we alle persoonsgegevens die we voor jou verwerken, tenzij de wet ons verplicht ze te bewaren. Back-ups worden na maximaal 30 dagen overschreven. Op verzoek bevestigen we de verwijdering.
12. Aansprakelijkheid en rangorde
Voor aansprakelijkheid geldt de regeling in de algemene voorwaarden, voor zover de AVG dat toelaat. Bij strijd tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor als het om de verwerking van persoonsgegevens gaat. Op deze overeenkomst is Nederlands recht van toepassing.
Bijlage 1: de verwerking
- Doel: bezoekers een prijsindicatie geven, hun aanvraag aan jou doorgeven en beheren, afspraken plannen en bevestigingen versturen.
- Betrokkenen: bezoekers die via jouw pagina of calculator een aanvraag doen of een afspraak maken.
- Gegevens: naam, e-mailadres, telefoonnummer, adres en locatie van de klus, de op de kaart getekende vorm en afmetingen, antwoorden op vragen, eventueel budget, gewenste startdatum, bericht, foto's (zonder locatie- en cameragegevens), de berekende prijsindicatie, de gekozen afspraak, de herkomst van de aanvraag en jouw notities en status.
- Bijzondere gegevens: worden niet gevraagd. Vraag ze ook niet uit via eigen vragen.
- Bewaartermijn: zoals jij instelt in het dashboard (standaard 2 jaar). Daarna verwijdert de dienst de aanvraag en de foto's automatisch.
Bijlage 2: subverwerkers
- Railway Corporation (VS): hosting van applicatie en database, datacenter in de EU (Amsterdam).
- Cloudflare, Inc. (VS): netwerk en beveiliging, opslag van foto's en bestanden (R2, West-Europa), spamcontrole (Turnstile).
- Resend, Inc. (VS): verzenden van e-mail, zoals meldingen van nieuwe aanvragen en bevestigingen aan de aanvrager.
- Functional Software, Inc. (Sentry) (VS): foutmeldingen, met zo min mogelijk persoonsgegevens.
Bij het zoeken van een adres en het tonen van de luchtfoto vraagt de browser van de bezoeker gegevens rechtstreeks op bij PDOK (Kadaster). Dat is een openbare overheidsdienst; er gaan alleen de zoekterm en technische gegevens heen.
Bijlage 3: beveiligingsmaatregelen
- Versleutelde verbindingen (HTTPS/TLS) voor alle verkeer.
- De gegevens van elke klant zijn technisch gescheiden (databasebeveiliging per klant), en de applicatie maakt geen verbinding als beheerder die deze scheiding kan omzeilen.
- Wachtwoorden worden alleen gehasht opgeslagen; tweestapsverificatie is beschikbaar; inlogpogingen en registratie worden beperkt en tegen bots beschermd.
- Rollen in je team (eigenaar, beheerder, medewerker) bepalen wie wat mag zien en doen.
- Wijzigingen in een account worden gelogd.
- Locatie- en cameragegevens worden uit foto's verwijderd; foto's zijn alleen bereikbaar via tijdelijke, ondertekende links.
- Dagelijkse back-ups, die na maximaal 30 dagen worden overschreven.
- Automatische verwijdering van aanvragen na de ingestelde bewaartermijn.
- Toegang tot productiesystemen alleen voor wie dat voor zijn werk nodig heeft, met tweestapsverificatie.