Verwerkersovereenkomst

Verwerkersovereenkomst in de zin van artikel 28 van Verordening (EU) 2016/679, bijlage bij de algemene verkoopvoorwaarden van het platform Onelia (DCNG SRL), versie 4 van 8 oktober 2026

Deze verwerkersovereenkomst (hierna de “Overeenkomst” genoemd) maakt integraal deel uit van de algemene verkoopvoorwaarden (hierna de “AVV” genoemd) die tussen DCNG SRL en de Klant worden gesloten voor het gebruik van het platform Onelia. Zij omkadert de verwerking van de persoonsgegevens die DCNG SRL voor rekening van de Klant verricht in het kader van de levering van de Dienst. Zij wordt door de Klant aanvaard bij het aanmaken van zijn account, samen met de AVV, en is van toepassing gedurende de volledige duur van de contractuele relatie.

Artikel 1. Partijen en rollen

1.1. DCNG SRL, een besloten vennootschap naar Belgisch recht met maatschappelijke zetel te Avenue de l’Abbaye d’Aywiers 25, 1410 Waterloo (België), ingeschreven in de Kruispuntbank van Ondernemingen onder het nummer 0780.406.273 (RPR Waals-Brabant), uitgever van het platform dat onder de naam Onelia wordt gecommercialiseerd (hierna “Onelia” of de “Verwerker” genoemd), treedt op als verwerker.

1.2. De Klant, natuurlijke persoon of rechtspersoon die uitsluitend voor beroepsdoeleinden handelt en die bij het aanmaken van zijn account wordt geïdentificeerd (hierna de “Klant” of de “Verwerkingsverantwoordelijke” genoemd), treedt op als verwerkingsverantwoordelijke ten aanzien van de persoonsgegevens die hij in de Dienst invoert, importeert of laat genereren.

1.3. Wanneer de Klant de Dienst gebruikt in de hoedanigheid van verwerker voor rekening van een derde, waarborgt hij over de nodige toestemmingen te beschikken om de verwerking aan Onelia als subverwerker toe te vertrouwen, en is deze Overeenkomst mutatis mutandis van toepassing.

Artikel 2. Definities

2.1. De begrippen “persoonsgegevens”, “verwerking”, “verwerkingsverantwoordelijke”, “verwerker”, “ontvanger”, “betrokkene”, “inbreuk in verband met persoonsgegevens”, “toezichthoudende autoriteit” en “subverwerker” hebben de betekenis die daaraan wordt gegeven door Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (hierna de “AVG” genoemd).

2.2. De “Dienst” is het platform Onelia, dat bestaat uit een mobiele applicatie voor iOS- en Android-systemen, met werking zonder verbinding, en uit een webportaal voor beheer, dat onder meer het beheer van de klanten, de interventies, de werven, de offertes, de facturen, met inbegrip van de elektronische facturatie via het Peppol-netwerk, de voorraad, de agenda en de ploegen mogelijk maakt.

2.3. De “Klantgegevens” zijn alle persoonsgegevens die Onelia voor rekening van de Klant in het kader van de Dienst verwerkt, zoals beschreven in Bijlage 1.

2.4. De “Gebruikers” zijn de natuurlijke personen aan wie de Klant toegang tot de Dienst verleent.

2.5. De “Toepasselijke wetgeving” is de AVG, de Belgische wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, alsook, in voorkomend geval, de nationale bepalingen inzake gegevensbescherming die in Frankrijk of in Luxemburg op de Klant van toepassing zijn.

Artikel 3. Voorwerp en verhouding tot de andere contractuele documenten

3.1. Deze Overeenkomst heeft tot voorwerp de voorwaarden te bepalen waaronder Onelia de Klantgegevens voor rekening van de Klant verwerkt, overeenkomstig artikel 28 van de AVG. Zij bestaat uit deze tekst, uit Bijlage 1 (beschrijving van de verwerking) en uit Bijlage 2 (technische en organisatorische beveiligingsmaatregelen).

3.2. Bijlage 3 (lijst van de subverwerkers) is een afzonderlijk document waarnaar deze Overeenkomst verwijst en dat Onelia buiten de tekst ervan bijhoudt. Zij wordt permanent gepubliceerd op het adres onelia.be/sous-traitants en de bijwerkingen ervan volgen de procedure bepaald in artikel 9. De versie die van kracht is op de datum van aanvaarding van deze Overeenkomst wordt geacht door de Klant gekend en aanvaard te zijn. De versie van Bijlage 3 die van kracht is op de datum van deze Overeenkomst wordt ter documentatie aan het einde van het document weergegeven.

3.3. In geval van tegenstrijdigheid tussen deze Overeenkomst en de AVV of enig ander contractueel document inzake de bescherming van persoonsgegevens, heeft deze Overeenkomst voorrang. Voor het overige blijven de AVV onverkort van toepassing, in het bijzonder hun bepalingen inzake de duur, de opzegging en de aansprakelijkheid. De privacyverklaring van Onelia vormt gepubliceerde informatie en geen contractueel document; de bijwerking ervan brengt geen enkele wijziging van deze Overeenkomst met zich mee.

3.4. De elektronische aanvaarding van deze Overeenkomst bij het aanmaken van het account, door de persoon die verklaart bevoegd te zijn om de Klant te verbinden, geldt als schriftelijke aanvaarding in de zin van artikel 28, lid 9, van de AVG. Onelia bewaart het bewijs van die aanvaarding, met inbegrip van de aanvaarde versie van de Overeenkomst en van de datum en het uur van de aanvaarding, en stelt het op verzoek ter beschikking van de Klant.

Artikel 4. Beschrijving van de verwerking

4.1. Het voorwerp, de aard, het doeleinde en de duur van de verwerking, de categorieën van betrokkenen en de categorieën van verwerkte persoonsgegevens worden beschreven in Bijlage 1. De Klant bepaalt als enige de doeleinden en de middelen van de verwerking van de Klantgegevens en blijft verantwoordelijk voor de rechtmatigheid van de inzameling van de gegevens die hij aan Onelia toevertrouwt, voor de informatieverstrekking aan de betrokkenen en voor de naleving van zijn eigen wettelijke verplichtingen, met name op boekhoudkundig en fiscaal vlak en inzake elektronische facturatie.

4.2. De Klant verbindt zich ertoe in de Dienst geen bijzondere categorieën van persoonsgegevens in de zin van artikel 9 van de AVG in te voeren, noch gegevens betreffende strafrechtelijke veroordelingen of strafbare feiten in de zin van artikel 10 ervan, aangezien de Dienst daartoe niet is ontworpen. De Klant ziet er in het bijzonder op toe dat de foto’s, schetsen en werfnota’s beperkt blijven tot wat noodzakelijk is voor de documentatie van de prestatie.

Artikel 5. Gedocumenteerde instructies van de Verwerkingsverantwoordelijke

5.1. Onelia verwerkt de Klantgegevens uitsluitend op gedocumenteerde instructie van de Klant, ook wat betreft de doorgifte van persoonsgegevens naar een derde land of aan een internationale organisatie, tenzij zij daartoe gehouden is krachtens het recht van de Europese Unie of het recht van een lidstaat waaraan zij is onderworpen. In dat geval stelt Onelia de Klant vóór de verwerking in kennis van die wettelijke verplichting, tenzij het betrokken recht die kennisgeving verbiedt om gewichtige redenen van algemeen belang.

5.2. Gelden als gedocumenteerde instructies van de Klant: de AVV, deze Overeenkomst, de configuratie van de Dienst door de Klant en zijn Gebruikers, alsook elk gebruik van de functies van de Dienst overeenkomstig de documentatie ervan. Elke aanvullende instructie wordt schriftelijk gericht aan het adres privacy@dcng.be. Onelia kan een instructie weigeren die de functies van de Dienst te buiten gaat of die bijkomende kosten met zich zou brengen, bij gebrek aan akkoord over de nadere regels en de vergoeding van de uitvoering ervan.

5.3. Onelia stelt de Klant onmiddellijk in kennis indien een instructie naar haar oordeel een inbreuk vormt op de AVG of op andere bepalingen van het recht van de Europese Unie of van het nationale recht inzake gegevensbescherming. Onelia kan de uitvoering van de betrokken instructie dan opschorten totdat de Klant die bevestigt of wijzigt.

5.4. Onelia gebruikt de Klantgegevens niet voor haar eigen doeleinden. Zij verkoopt ze niet, verhuurt ze niet, analyseert ze niet voor commerciële doeleinden en gebruikt ze niet om modellen van artificiële intelligentie te trainen of te verbeteren, noch haar eigen modellen, noch die van derden. De gebruiksstatistieken en de technische telemetrie van de Dienst zijn zo opgevat dat zij geen persoonsgegevens bevatten.

Artikel 6. Exportfuncties en door de Klant gekozen ontvangers

6.1. De Dienst stelt de Klant en zijn Gebruikers functies ter beschikking waarmee Klantgegevens kunnen worden bezorgd aan ontvangers die de Klant zelf kiest, in het bijzonder de verzending van documenten per e-mail, de export van gegevens en het abonneren van een externe agenda op de planning die in de Dienst wordt bijgehouden.

6.2. Wat het agenda-abonnement betreft, stelt de Dienst een agendabestand ter beschikking achter een adres dat een geheim bevat, dat de Gebruiker meedeelt aan de agendasoftware van zijn keuze. Het is die software die het bestand komt lezen; Onelia stuurt uit eigen beweging geen enkel gegeven naar de betrokken leverancier en onderhoudt met hem geen enkele contractuele relatie. De activering van deze functie door de Klant of door een van zijn Gebruikers vormt een gedocumenteerde instructie van de Klant in de zin van artikel 5.

6.3. De aldus aangesproken agendaleveranciers, evenals elke andere ontvanger aan wie de Klant met behulp van de Dienst Klantgegevens kiest te bezorgen, treden ten aanzien van de Klant op als ontvangers en, naargelang het geval, als autonome verwerkingsverantwoordelijken dan wel als verwerkers van de Klant. Zij zijn geen subverwerkers van Onelia en komen niet voor in Bijlage 3. Het komt de Klant toe over een rechtsgrond voor die mededeling te beschikken, de betrokkenen daarover te informeren overeenkomstig de artikelen 13 en 14 van de AVG, de voorwaarden van de gekozen leverancier na te gaan, met inbegrip van de plaats waar de gegevens zich bevinden en de eventuele doorgiften buiten de Europese Unie, en die mededeling te omkaderen wanneer dat vereist is.

6.4. Onelia informeert de Gebruiker binnen de interface over de aard van de gegevens die door de abonnementslink worden blootgesteld, over het strikt persoonlijke karakter van die link en over de mogelijkheid om die op elk ogenblik in te trekken. Onelia is niet aansprakelijk voor de verwerkingen die door de gekozen ontvanger worden verricht, noch voor de gevolgen van een verspreiding van de link door de Gebruiker.

Artikel 7. Vertrouwelijkheid van de gemachtigde personen

7.1. Onelia ziet erop toe dat de personen die gemachtigd zijn om de Klantgegevens te verwerken, met inbegrip van haar zaakvoerder, haar eventuele medewerkers en de dienstverleners die onder haar verantwoordelijkheid optreden, zich ertoe verbinden de vertrouwelijkheid van die gegevens in acht te nemen of onderworpen zijn aan een passende wettelijke geheimhoudingsplicht, en die gegevens slechts verwerken voor zover dat noodzakelijk is voor de uitvoering van de Dienst.

7.2. De toegang van Onelia tot de Klantgegevens is beperkt tot de verrichtingen van onderhoud, ondersteuning en beveiliging. De beheerdersaccounts van Onelia bij haar hostingproviders en haar dienstverleners zijn beveiligd met tweefactorauthenticatie, rechtstreeks toegepast of via een account dat zelf op die wijze is beveiligd. Die toegangen worden getraceerd door de logbestanden die door de betrokken hostingproviders en dienstverleners worden bijgehouden.

Artikel 8. Beveiliging van de verwerking

8.1. Rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, de omvang, de context en de doeleinden van de verwerking, alsook met de risico’s voor de rechten en vrijheden van de betrokkenen, treft Onelia de passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, overeenkomstig artikel 32 van de AVG. Die maatregelen worden beschreven in Bijlage 2. Zij omvatten onder meer de strikte isolatie van de gegevens van elke Klant op het niveau van de databankmotor, de versleuteling van de gegevens tijdens de doorzending en in rust, de terbeschikkingstelling van een tweefactorauthenticatie die elke Gebruiker kan activeren, het beheer van de toegangen per rol en per bevoegdheid, dagelijkse back-ups die worden versleuteld voordat zij de hostinginfrastructuur verlaten, en een geautomatiseerd toezicht met waarschuwingen.

8.2. Onelia kan die maatregelen laten evolueren om rekening te houden met de evolutie van de technieken en van de risico’s, op voorwaarde dat het algemene beveiligingsniveau daardoor niet wordt verlaagd. De Klant blijft verantwoordelijk voor de beveiliging van zijn eigen omgeving, met name voor het beheer van de toegangen van zijn Gebruikers, voor het karakter op naam van de accounts, voor de sterkte van de wachtwoorden, voor de activering van de tweefactorauthenticatie door zijn Gebruikers, voor de beveiliging van de mobiele toestellen waarop de applicatie is geïnstalleerd, voor de beheersing van de agenda-abonnementslinks en voor de intrekking van de toegangen van de Gebruikers die zijn organisatie verlaten.

Artikel 9. Subverwerkers

9.1 Algemene toestemming

De Klant verleent Onelia een algemene toestemming om voor de uitvoering van specifieke verwerkingsactiviteiten in het kader van de Dienst een beroep te doen op subverwerkers, overeenkomstig artikel 28, lid 2, van de AVG. De subverwerkers die zijn toegestaan op de datum van aanvaarding van deze Overeenkomst zijn diegene die voorkomen in de versie van Bijlage 3 die op die datum van kracht is.

9.2 Geversioneerde lijst en publicatie

Bijlage 3 vermeldt voor elke subverwerker zijn identiteit, zijn rol, de betrokken categorieën van gegevens, de plaats van verwerking en, in voorkomend geval, het toepasselijke doorgiftemechanisme. Zij wordt permanent gepubliceerd, met de datum van haar versie, op het adres onelia.be/sous-traitants. Overeenkomstig artikel 3.2 is die lijst niet in de tekst van deze Overeenkomst opgenomen: de bijwerkingen ervan, doorgevoerd volgens de procedure van artikel 9.3, brengen geen enkele wijziging van de Overeenkomst met zich mee, waarvan de tekst ongewijzigd blijft, en vergen geen nieuwe aanvaarding vanwege de Klant.

9.3 Voorafgaande informatie en recht van bezwaar

Onelia stelt de Klant in kennis van elk voornemen tot toevoeging of vervanging van een subverwerker ten minste vijftien kalenderdagen voordat die subverwerker Klantgegevens begint te verwerken. Die informatie wordt via twee cumulatieve kanalen verstrekt: de verzending van een e-mail aan de beheerder van het account van de Klant, vergezeld van de bijgewerkte versie van Bijlage 3, en de gedateerde publicatie van die versie op het adres onelia.be/sous-traitants. De Klant verbindt zich ertoe het e-mailadres van zijn beheerder bij te houden.

De Klant kan zich binnen die termijn van vijftien dagen tegen de overwogen wijziging verzetten om redelijke en gedocumenteerde redenen die verband houden met de bescherming van persoonsgegevens, door zijn bezwaar schriftelijk te richten aan het adres privacy@dcng.be. Bij gebrek aan bezwaar binnen die termijn wordt de wijziging geacht te zijn aanvaard. In geval van bezwaar plegen de partijen te goeder trouw overleg om een oplossing te vinden. Indien binnen een termijn van dertig dagen te rekenen vanaf het bezwaar geen redelijke oplossing kan worden gevonden, kan de Klant het gedeelte van de Dienst opzeggen waarvoor een beroep op de betwiste subverwerker vereist is, of de volledige Dienst indien die niet zonder die subverwerker kan worden geleverd, mits een schriftelijke opzeggingstermijn en zonder verbrekingsvergoeding, waarbij de bedragen die vooraf zijn betaald voor de periode na de opzegging pro rata worden terugbetaald.

De vervanging van een subverwerker die door een beveiligingsincident of door het in gebreke blijven van een leverancier dringend noodzakelijk wordt, kan plaatsvinden zonder inachtneming van de termijn van vijftien dagen; Onelia stelt de Klant daarvan dan onverwijld in kennis en het recht van bezwaar wordt uitgeoefend binnen vijftien dagen na die kennisgeving.

9.4 Verplichtingen opgelegd aan de subverwerkers

Onelia legt aan elke subverwerker, bij overeenkomst of bij een andere rechtshandeling krachtens het recht van de Europese Unie of het recht van een lidstaat, dezelfde verplichtingen inzake gegevensbescherming op als die welke in deze Overeenkomst zijn vastgelegd, in het bijzonder de verplichting om afdoende garanties te bieden met betrekking tot het treffen van passende technische en organisatorische maatregelen. Wanneer een subverwerker zijn verplichtingen niet nakomt, blijft Onelia jegens de Klant ten volle aansprakelijk voor de nakoming door die subverwerker van zijn verplichtingen.

Bepaalde subverwerkers doen zelf een beroep op dienstverleners. Onelia ziet erop toe dat haar subverwerkers de lijst van die dienstverleners publiceren of aan haar meedelen en haar in kennis stellen van de wijzigingen die daarin worden aangebracht. De verwijzingen naar die lijsten staan in Bijlage 3.

Artikel 10. Plaats van de gegevens en doorgiften buiten de Europese Unie

10.1. De Klantgegevens worden standaard binnen de Europese Unie gehost en verwerkt. Onelia geeft geen Klantgegevens door naar een derde land of aan een internationale organisatie en staat een dergelijke doorgifte door een subverwerker niet toe, behoudens in de gevallen die in Bijlage 3 zijn geïdentificeerd en met inachtneming van hoofdstuk V van de AVG.

10.2. Wanneer een doorgifte noodzakelijk is naar een derde land waarvoor geen adequaatheidsbesluit van de Europese Commissie geldt, vergewist Onelia zich ervan dat die berust op passende waarborgen in de zin van artikel 46 van de AVG, met name de standaardcontractbepalingen die de Europese Commissie bij uitvoeringsbesluit (EU) 2021/914 heeft vastgesteld, aangevuld met bijkomende maatregelen wanneer de beoordeling van het beschermingsniveau in het land van bestemming dat vereist. De doorgiften naar organisaties die in de Verenigde Staten van Amerika zijn gevestigd en gecertificeerd zijn in het kader van het EU-VS-kader voor gegevensbescherming (Data Privacy Framework) berusten op het adequaatheidsbesluit van de Europese Commissie van 10 juli 2023, onverminderd de standaardcontractbepalingen die subsidiair zijn gesloten. Onelia houdt op verzoek een kopie van de toepasselijke waarborgen en van de door haar verrichte doorgifte-effectbeoordelingen ter beschikking van de Klant.

10.3. De Klant geeft Onelia de instructie om de in Bijlage 3 geïdentificeerde doorgiften te verrichten onder de voorwaarden die daarin worden beschreven. Indien een doorgiftewaarborg ophoudt geldig te zijn, stelt Onelia de Klant daarvan in kennis en voert zij binnen een redelijke termijn een alternatieve waarborg of een verwerkingsoplossing binnen de Europese Unie door.

10.4. De mededelingen die de Klant zelf verricht aan ontvangers van zijn keuze, onder de voorwaarden van artikel 6, vallen niet onder dit artikel; het komt de Klant toe de gevolgen daarvan te beoordelen in het licht van hoofdstuk V van de AVG.

Artikel 11. Bijstand bij de naleving van de rechten van de betrokkenen

11.1. Rekening houdend met de aard van de verwerking verleent Onelia de Klant bijstand, door middel van passende technische en organisatorische maatregelen, bij het vervullen van zijn plicht om gevolg te geven aan de verzoeken die betrokkenen tot hem richten met het oog op de uitoefening van hun rechten uit hoofdstuk III van de AVG.

11.2. Daartoe stelt de Dienst aan de gemachtigde Gebruikers van de Klant selfservicefuncties ter beschikking waarmee onder meer de gegevens van een eindklant kunnen worden geraadpleegd en gerectificeerd, het volledige dossier van een eindklant kan worden geëxporteerd in een gestructureerd en gangbaar formaat, en de gegevens van een eindklant kunnen worden gewist door anonimisering, waarbij die laatste verrichting de identiteit van de persoon in de volledige Dienst wist en tegelijk, in bevroren vorm, de documenten bewaart waarvan de bewaring de Klant door een wettelijke verplichting wordt opgelegd, overeenkomstig artikel 17, lid 3, b), van de AVG. De gegevenswissing is voorbehouden aan de Gebruikers die over de rol van beheerder van de Klant beschikken.

11.3. Indien een betrokkene rechtstreeks aan Onelia een verzoek richt met betrekking tot Klantgegevens, antwoordt Onelia niet ten gronde, behoudens andersluidende instructie van de Klant, en bezorgt zij het verzoek binnen een termijn van vijf werkdagen aan de Klant, met de uitnodiging aan de betrokkene om zich tot de Klant te wenden. Onelia verleent de Klant op verzoek en voor zover mogelijk de bijkomende bijstand die nodig is voor de uitvoering van diens verplichtingen; die bijstand kan aanleiding geven tot een redelijke vergoeding wanneer zij het gebruik van de functies van de Dienst te buiten gaat.

Artikel 12. Bijstand inzake beveiliging, effectbeoordeling en voorafgaande raadpleging

12.1. Onelia verleent de Klant bijstand om de naleving van de verplichtingen bepaald in de artikelen 32 tot 36 van de AVG te waarborgen, rekening houdend met de aard van de verwerking en met de informatie waarover zij beschikt. Zij verstrekt de Klant op verzoek met name de informatie over de getroffen beveiligingsmaatregelen, over de subverwerkers en over de doorgiften, die nodig is voor het uitvoeren van een gegevensbeschermingseffectbeoordeling of voor de voorafgaande raadpleging van de toezichthoudende autoriteit.

12.2. Onelia houdt een register bij van de categorieën van verwerkingsactiviteiten die voor rekening van de Klant worden verricht, overeenkomstig artikel 30, lid 2, van de AVG, en werkt op verzoek met de bevoegde toezichthoudende autoriteit samen bij het vervullen van haar taken.

Artikel 13. Inbreuken in verband met persoonsgegevens

13.1. Onelia stelt de Klant in kennis van elke inbreuk in verband met persoonsgegevens die de Klantgegevens treft, zo spoedig mogelijk en uiterlijk achtenveertig uur nadat zij daarvan kennis heeft gekregen. De kennisgeving wordt per e-mail gericht aan de beheerder van het account van de Klant en bevat, voor zover die informatie beschikbaar is, de beschrijving van de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en betrokken registraties, de waarschijnlijke gevolgen van de inbreuk, de genomen of voorgestelde maatregelen om de inbreuk te verhelpen en de gevolgen ervan te beperken, alsook het contactpunt waar bijkomende informatie kan worden verkregen. Wanneer die informatie niet gelijktijdig kan worden verstrekt, wordt zij zonder onnodige vertraging in stappen meegedeeld.

13.2. Die kennisgeving stelt de Klant in staat om de inbreuk in voorkomend geval te melden aan de bevoegde toezichthoudende autoriteit binnen de termijn van tweeënzeventig uur bepaald in artikel 33 van de AVG en om de betrokkenen daarvan in kennis te stellen overeenkomstig artikel 34 van de AVG. Onelia documenteert elke inbreuk, de gevolgen ervan en de genomen herstelmaatregelen in een intern register van de inbreuken, en werkt met de Klant samen in het kader van het onderzoek en het herstel. De kennisgeving van een inbreuk door Onelia houdt geen erkenning van aansprakelijkheid in.

Artikel 14. Duur van de verwerking, teruggave en wissing van de gegevens

14.1. Onelia verwerkt de Klantgegevens tijdens de proefperiode en gedurende de volledige duur van de met de Klant gesloten overeenkomst. Gedurende die duur beschikt de Klant op elk ogenblik, in selfservice en zonder tussenkomst van Onelia, over een functie voor de volledige export van zijn gegevens, die alle tabellen en bestanden omvat, vergezeld van een volledigheidsmanifest, in een gestructureerd, gangbaar en machineleesbaar formaat.

14.2. Bij het verstrijken of bij de beëindiging van de overeenkomst, om welke reden ook, of bij het einde van een proefperiode die niet door een abonnement wordt gevolgd, beschikt de Klant over een termijn van negentig kalenderdagen waarin de toegang tot de Dienst alleen-lezen behouden blijft met het oog op de export van zijn gegevens (hierna de “Teruggavetermijn” genoemd). De Klant is als enige verantwoordelijk voor het ophalen van zijn gegevens tijdens die termijn en voor de archivering, gedurende de wettelijke termijn die in België, Frankrijk of Luxemburg op hem van toepassing is, van zijn boeken, facturen en verantwoordingsstukken, met inbegrip van de gestructureerde elektronische facturen die via de Dienst zijn uitgereikt. Onelia neemt geen enkele verplichting tot wettelijke archivering voor rekening van de Klant op zich, noch tijdens, noch na de Teruggavetermijn.

14.3. Na afloop van de Teruggavetermijn verwijdert Onelia alle Klantgegevens uit haar productiesystemen binnen een termijn van dertig kalenderdagen, en vervolgens uit haar back-ups na afloop van de rotatiecyclus ervan, die niet langer is dan negentig dagen. De teruggave-exports die op de daartoe bestemde downloadruimte zijn geplaatst, worden zeven dagen na de aanmaak ervan automatisch verwijderd. Onelia levert de Klant, op schriftelijk verzoek geformuleerd binnen de drie maanden na het einde van de overeenkomst, een verwijderingsattest af.

14.4. Bij wijze van uitzondering kan Onelia de Klantgegevens langer dan die termijnen bewaren, doch uitsluitend voor zover het recht van de Europese Unie of het recht van een lidstaat dat vereist, gedurende de duur en voor de doeleinden waarin dat recht voorziet, alsook de gegevens die strikt noodzakelijk zijn voor het bewijs van de uitvoering van de overeenkomst en voor de verdediging van haar rechten, waarbij die laatste onder de eigen verantwoordelijkheid van Onelia vallen zoals beschreven in haar privacyverklaring.

Artikel 15. Informatie en audit

15.1. Onelia stelt de Klant alle informatie ter beschikking die nodig is om de nakoming van de in artikel 28 van de AVG bepaalde verplichtingen aan te tonen. Zij verstrekt daartoe, op schriftelijk verzoek, de documentatie van haar beveiligingsmaatregelen, de beschikbare rapporten of certificeringen van haar subverwerkers en de antwoorden op een redelijke vragenlijst inzake beveiliging en conformiteit, ten hoogste eenmaal per jaar, behoudens verzoek van een toezichthoudende autoriteit of het zich voordoen van een inbreuk in verband met persoonsgegevens die de Klant treft.

15.2. Indien die informatie niet volstaat om de nakoming van de verplichtingen van Onelia aan te tonen, kan de Klant, of een onafhankelijke auditor die hij heeft aangesteld en die tot geheimhouding gehouden is, een audit uitvoeren, met inbegrip van een inspectie, mits een schriftelijke kennisgeving van dertig dagen, tijdens de kantooruren, ten hoogste eenmaal per jaar en onder voorwaarden die de beveiliging van de Dienst, de vertrouwelijkheid van de gegevens van de andere klanten van Onelia en de continuïteit van haar activiteiten vrijwaren. De audit mag geen betrekking hebben op de infrastructuur van de subverwerkers, waarvoor de certificeringen en rapporten van derden als verificatie gelden. De redelijke kosten die Onelia naar aanleiding van een audit maakt, zijn ten laste van de Klant, tenzij de audit een wezenlijke tekortkoming van Onelia aan deze Overeenkomst aan het licht brengt. De vaststellingen van de audit worden aan Onelia meegedeeld, die de vastgestelde tekortkomingen zonder onnodige vertraging verhelpt.

Artikel 16. Aansprakelijkheid

16.1. Elke partij is aansprakelijk voor de schade veroorzaakt door een verwerking die de AVG niet naleeft, onder de voorwaarden bepaald in artikel 82 van de AVG. Onelia wordt slechts aansprakelijk gehouden voor de door de verwerking veroorzaakte schade indien zij de bij de AVG vastgestelde verplichtingen die specifiek op verwerkers rusten niet is nagekomen, of indien zij buiten of in strijd met de rechtmatige instructies van de Klant heeft gehandeld. De beperkingen en uitsluitingen van aansprakelijkheid waarin de AVV voorzien, zijn op deze Overeenkomst van toepassing voor zover het toepasselijke recht dat toelaat, onverminderd het recht van de betrokkenen op schadevergoeding.

16.2. De Klant vrijwaart Onelia tegen elke aanspraak, sanctie of veroordeling die voortvloeit uit de niet-nakoming door de Klant van zijn verplichtingen als verwerkingsverantwoordelijke, met name wat betreft de rechtmatigheid van de inzameling van de Klantgegevens, de informatieverstrekking aan de betrokkenen, het invoeren van niet-toegelaten gegevens in de zin van artikel 4 en de mededelingen die hij verricht aan ontvangers van zijn keuze in de zin van artikel 6.

Artikel 17. Wijziging van de Overeenkomst

17.1. Onelia kan deze Overeenkomst wijzigen wanneer de evolutie van de Toepasselijke wetgeving, van de richtsnoeren van het Europees Comité voor gegevensbescherming of van de Gegevensbeschermingsautoriteit, dan wel van de kenmerken van de Dienst dat vereist. Elke wijziging wordt ten minste dertig dagen vóór de inwerkingtreding ervan per e-mail aan de Klant meegedeeld. Indien de wijziging het beschermingsniveau van de Klantgegevens verlaagt, kan de Klant de overeenkomst zonder vergoeding opzeggen vóór de datum van inwerkingtreding.

17.2. De bijwerkingen van Bijlage 3 volgen de procedure van artikel 9 en vormen geen wijziging van deze Overeenkomst.

Artikel 18. Slotbepalingen, toepasselijk recht en bevoegde rechtbanken

18.1. Deze Overeenkomst treedt in werking op de datum van aanvaarding ervan door de Klant en blijft van kracht zolang Onelia Klantgegevens verwerkt, met inbegrip van de Teruggavetermijn en tot de volledige verwijdering van de gegevens. De verplichtingen inzake vertrouwelijkheid en verwijdering blijven na het einde van de overeenkomst bestaan. Indien een van de bepalingen van deze Overeenkomst nietig of niet-toepasselijk wordt verklaard, behouden de overige bepalingen hun volle uitwerking en vervangen de partijen de betrokken bepaling door een geldige bepaling met gelijkwaardige uitwerking.

18.2. Deze Overeenkomst wordt beheerst door het Belgische recht, onverminderd de dwingende bepalingen van de Toepasselijke wetgeving op de Klant. Elk geschil over de geldigheid, de uitlegging of de uitvoering ervan behoort tot de uitsluitende bevoegdheid van de hoven en rechtbanken van het gerechtelijk arrondissement Waals-Brabant, onverminderd de bevoegdheid van de toezichthoudende autoriteiten en het recht van de betrokkenen om een klacht in te dienen of een beroep in rechte in te stellen overeenkomstig de artikelen 77 tot 79 van de AVG.

18.3. Deze Overeenkomst is opgesteld in het Frans. In geval van vertaling heeft de Franse versie voorrang.

Bijlage 1: beschrijving van de verwerking

1. Voorwerp en aard van de verwerking

Hosting, opslag, synchronisatie, ook zonder verbinding, ordening, raadpleging, wijziging, opvraging, doorzending per e-mail, per notificatie en via het Peppol-netwerk, terbeschikkingstelling van een agendabestand onder de voorwaarden van artikel 6, back-up, teruggave en wissing van de Klantgegevens, door middel van de mobiele applicatie en het webportaal Onelia, alsook de daarmee verbonden verrichtingen van onderhoud, ondersteuning en beveiliging.

2. Doeleinde van de verwerking

De Klant in staat stellen zijn beroepsactiviteit te beheren: beheer van zijn klantenbestand en van zijn contacten, planning van de interventies en van de werven, opmaak en opvolging van de offertes, werkbonnen, facturen en creditnota’s, elektronische facturatie, opvolging van de betalingen en van de aanmaningen, beheer van de voorraad, van de agenda en van zijn ploegen.

3. Duur van de verwerking

Duur van de tussen de Klant en Onelia gesloten overeenkomst, verlengd met de Teruggavetermijn en met de verwijderingstermijnen bepaald in artikel 14 van de Overeenkomst.

4. Categorieën van betrokkenen

De Gebruikers van de Klant, te weten de zaakvoerder, de bureaumedewerkers en de ploegleden op het terrein; de eindklanten van de Klant, ongeacht of het gaat om natuurlijke personen dan wel om contactpersonen binnen rechtspersonen; de leveranciers, dienstverleners en andere derden van wie de contactgegevens door de Klant worden ingevoerd; de personen van wie het beeld of de goederen incidenteel voorkomen op de werffoto’s en werfschetsen.

5. Categorieën van persoonsgegevens

De Dienst is niet bestemd voor de verwerking van bijzondere categorieën van persoonsgegevens in de zin van artikel 9 van de AVG, noch van gegevens betreffende strafrechtelijke veroordelingen en strafbare feiten. De Klant onthoudt zich ervan dergelijke gegevens in te voeren, overeenkomstig artikel 4 van de Overeenkomst.

De identificatiegegevens van de wettelijke vertegenwoordiger van de Klant die bij de activering van de elektronische facturatie worden meegedeeld, worden niet door Onelia verwerkt: zij worden rechtstreeks door de wettelijke vertegenwoordiger verstrekt aan het toegangspunt tot het Peppol-netwerk, dat die verificatie voor zijn eigen verplichtingen verricht. Onelia ontvangt enkel het resultaat van de verificatie.

Bijlage 2: technische en organisatorische beveiligingsmaatregelen

De onderstaande maatregelen beschrijven het beveiligingsdispositief dat Onelia op de datum van deze versie heeft getroffen. Zij kunnen evolueren overeenkomstig artikel 8 van de Overeenkomst.

1. Isolatie van de gegevens tussen klanten

Elke bevraging van de databank wordt beperkt tot de gegevens van de betrokken Klant door beveiligingsregels die op het niveau van de databankmotor worden toegepast, en niet door een eenvoudige afspraak op applicatieniveau. Die isolatie wordt regelmatig getest. Op de mobiele applicatie is de lokale databank aan één enkele Gebruiker gekoppeld en wordt zij automatisch gewist bij een accountwissel op het toestel.

2. Versleuteling

De communicatie tussen de applicaties, het webportaal en de infrastructuur wordt tijdens de doorzending versleuteld. De gegevens worden bij de voornaamste hostingprovider in rust versleuteld. De back-ups van de databank en van de bestanden worden door Onelia versleuteld voordat zij de hostinginfrastructuur verlaten, met inbegrip van de bestandsnamen, zodat de dienstverlener voor de opslag van de back-ups enkel toegang heeft tot versleutelde inhoud.

3. Toegangscontrole en authenticatie

De authenticatie van de Gebruikers berust op een e-mailadres en een wachtwoord. Een tweefactorauthenticatie op basis van een tijdelijke code wordt aan alle Gebruikers aangeboden; de activering ervan is de keuze van elke Gebruiker en is aan geen enkele bijzondere verrichting gekoppeld. Wanneer een Gebruiker die heeft geactiveerd, wordt zij hem bij elke aanmelding gevraagd. De rechten worden toegekend per rol, te weten beheerder, gebruiker en alleen-lezen, en per gedelegeerde bevoegdheid. De geaggregeerde financiële gegevens, de inningen en de aanmaningen zijn voorbehouden aan de Gebruikers die over de overeenkomstige bevoegdheid beschikken, waarbij die beperking tot in de synchronisatielaag wordt toegepast, zodat die gegevens niet naar de toestellen van de niet-gemachtigde Gebruikers worden doorgezonden. De bestanden worden in private ruimten opgeslagen en zijn uitsluitend toegankelijk via ondertekende links met beperkte geldigheidsduur. De beheerdersaccounts van Onelia bij haar hostingproviders en dienstverleners zijn beveiligd met tweefactorauthenticatie en beperkt tot het strikt noodzakelijke.

4. Back-ups en continuïteit

Van de databank wordt dagelijks een versleutelde back-up gemaakt, die volgens een voortschrijdende cyclus van negentig dagen wordt bewaard. De verwijderde bestanden worden negentig dagen bewaard in een versleutelde en gedateerde prullenbak en vervolgens automatisch gewist. De verwijdering op applicatieniveau van de voornaamste entiteiten door de Gebruikers verloopt via een herstelbare prullenbak; bepaalde gegevens, in het bijzonder de afspraken en de foto’s, worden definitief verwijderd zodra de verwijdering op applicatieniveau plaatsvindt, onder het enige voorbehoud van de kopie die tijdens hun rotatiecyclus in de back-ups voorkomt. De teruggave-exports worden in een daartoe bestemde ruimte geplaatst, zijn toegankelijk via een link met beperkte geldigheidsduur en worden na zeven dagen automatisch gewist.

5. Toezicht, logging en beheer van incidenten

De toestand van de componenten en de actualiteit van de back-ups worden dagelijks automatisch bewaakt met waarschuwingen per e-mail, aangevuld met een wekelijks signaal van goede werking dat stille storingen moet opsporen. De beschikbaarheid van het platform wordt gemeten door een externe beschikbaarheidsmonitor die enkel een werkingsstatus ontvangt. De technische foutrapporten zijn zo geconfigureerd dat zij geen enkel persoonsgegeven bevatten. De foutmeldingen die aan de Gebruikers worden getoond, maken geen enkel technisch detail bekend. Onelia past een interne procedure voor het beheer van de inbreuken in verband met persoonsgegevens toe die de kennisgeving aan de Klant binnen de in artikel 13 van de Overeenkomst bepaalde termijn mogelijk maakt, en houdt een register van de inbreuken bij.

6. Hosting en plaats van verwerking

De gegevens worden standaard binnen de Europese Unie gehost: regio Ierland voor de databank, de authenticatie en de opslag van de bestanden, rechtsgebied Europese Unie voor de back-ups en de exports, en Frankrijk voor het webportaal en de website. De uitzonderingen en de omkadering ervan staan in Bijlage 3.

7. Organisatorische maatregelen

De geheimen van de infrastructuur worden in een daartoe bestemde kluis bewaard en per platform geïsoleerd; zij komen nooit in de code voor. De personen die voor Onelia optreden, zijn tot geheimhouding gehouden. De subverwerkers worden geselecteerd op grond van hun contractuele waarborgen en van hun certificeringen en zijn door een verwerkersovereenkomst gebonden. Onelia houdt een register bij van de verwerkingen die voor rekening van haar klanten worden verricht en documenteert haar doorgifte-effectbeoordelingen.

8. Geïntegreerde functies inzake gegevensbescherming

De Dienst bevat functies waarmee de Klant zijn verantwoordelijkheden kan opnemen: export van het volledige dossier van een eindklant, wissing door anonimisering met behoud van de stukken met wettelijke waarde, volledige export van het account in selfservice met volledigheidsmanifest, beheer van de toegangen van de Gebruikers, en informatie aan de Gebruiker over de reikwijdte van de agenda-abonnementslink met de mogelijkheid tot onmiddellijke intrekking.

Bijlage 3: lijst van de subverwerkers

Zij wordt permanent gepubliceerd, met de datum van haar versie, op het adres onelia.be/sous-traitants.