Verwerkersovereenkomst

1. Inleiding

Dit Addendum voor gegevensverwerking ("DPA") maakt deel uit van de overeenkomst tussen u ("Klant") en Getia AS ("Verwerker") voor het gebruik van Portifer-diensten.

2. Definities

Personal Data: Persoonsgegevens: Alle informatie met betrekking tot een geïdentificeerde of identificeerbare natuurlijke persoon
Processing: Verwerking: Elke bewerking die wordt uitgevoerd met persoonsgegevens
Controller: Verwerkingsverantwoordelijke: De entiteit die het doel en de middelen van de verwerking bepaalt
Processor: Verwerker: De entiteit die namens de verwerkingsverantwoordelijke persoonsgegevens verwerkt

3. Omvang van de verwerking

De Verwerker zal:

Verwerk persoonsgegevens alleen op gedocumenteerde instructies van de Klant
Zorg ervoor dat personen die gegevens verwerken onderworpen zijn aan vertrouwelijkheidsverplichtingen
Implementeer passende technische en organisatorische beveiligingsmaatregelen
De Klant helpen bij het reageren op verzoeken van betrokkenen
Verwijder of retourneer alle persoonlijke gegevens bij beëindiging van de diensten

4. Subverwerkers

Klant machtigt Verwerker om subverwerkers in te schakelen zoals vermeld in de Lijst met subverwerkers.

5. Beveiligingsmaatregelen

Versleuteling tijdens verzending: de dienst wordt uitsluitend via HTTPS aangeboden, met HTTP Strict Transport Security.
Versleuteling van opgeslagen inloggegevens: API-inloggegevens van vervoerders, CRM-tokens en sleutels van de printdienst worden op applicatieniveau versleuteld met AES-256-GCM. Overige opgeslagen gegevens worden beschermd door de beveiligingsmaatregelen van de subverwerkers voor hosting en opslag.
Hashing: API-sleutels van klanten worden uitsluitend als hashes opgeslagen en wachtwoorden van gebruikers worden gehasht met bcrypt.
Toegangscontrole: op rollen gebaseerde toegang per klantorganisatie, optionele tweestapsverificatie (TOTP), verloop van sessies met centrale intrekking, en snelheidsbeperking met tijdelijke blokkering na herhaalde mislukte inlogpogingen.
Logging: beveiligingsrelevante beheerhandelingen, aanmeldingen en toegang van medewerkers tot klantaccounts worden vastgelegd in auditlogs.
Integraties: uitgaande webhooks worden ondertekend met HMAC-SHA256 en verzoeken naar interne netwerkadressen worden geblokkeerd.
Inbreuken in verband met persoonsgegevens worden afgehandeld en gemeld zoals beschreven in sectie 6.

6. Melding van een datalek

Bij een inbreuk in verband met persoonsgegevens stelt Verwerker de Klant binnen 72 uur op de hoogte.

7. Contactpersoon

Voor vragen over gegevensverwerking kunt u contact met ons opnemen via [email protected]

Bedrijf: Getia AS (Org. nr: 926 610 198)
Adres: Bij Mesh, Møllergata 6, 0179 Oslo, Noorwegen

2. Definities

Personal Data: Persoonsgegevens: Alle informatie met betrekking tot een geïdentificeerde of identificeerbare natuurlijke persoon

Processing: Verwerking: Elke bewerking die wordt uitgevoerd met persoonsgegevens

Controller: Verwerkingsverantwoordelijke: De entiteit die het doel en de middelen van de verwerking bepaalt

Processor: Verwerker: De entiteit die namens de verwerkingsverantwoordelijke persoonsgegevens verwerkt

3. Omvang van de verwerking

De Verwerker zal:

Verwerk persoonsgegevens alleen op gedocumenteerde instructies van de Klant

Zorg ervoor dat personen die gegevens verwerken onderworpen zijn aan vertrouwelijkheidsverplichtingen

Implementeer passende technische en organisatorische beveiligingsmaatregelen

De Klant helpen bij het reageren op verzoeken van betrokkenen

Verwijder of retourneer alle persoonlijke gegevens bij beëindiging van de diensten

5. Beveiligingsmaatregelen

Versleuteling tijdens verzending: de dienst wordt uitsluitend via HTTPS aangeboden, met HTTP Strict Transport Security.

Versleuteling van opgeslagen inloggegevens: API-inloggegevens van vervoerders, CRM-tokens en sleutels van de printdienst worden op applicatieniveau versleuteld met AES-256-GCM. Overige opgeslagen gegevens worden beschermd door de beveiligingsmaatregelen van de subverwerkers voor hosting en opslag.

Hashing: API-sleutels van klanten worden uitsluitend als hashes opgeslagen en wachtwoorden van gebruikers worden gehasht met bcrypt.

Toegangscontrole: op rollen gebaseerde toegang per klantorganisatie, optionele tweestapsverificatie (TOTP), verloop van sessies met centrale intrekking, en snelheidsbeperking met tijdelijke blokkering na herhaalde mislukte inlogpogingen.

Logging: beveiligingsrelevante beheerhandelingen, aanmeldingen en toegang van medewerkers tot klantaccounts worden vastgelegd in auditlogs.

Integraties: uitgaande webhooks worden ondertekend met HMAC-SHA256 en verzoeken naar interne netwerkadressen worden geblokkeerd.

Inbreuken in verband met persoonsgegevens worden afgehandeld en gemeld zoals beschreven in sectie 6.