1. Rolverdeling
De klantorganisatie bepaalt waarom en hoe persoonsgegevens van haar klanten en contactpersonen in de werkruimte worden gebruikt en is daarvoor verwerkingsverantwoordelijke. Amolex verwerkt deze gegevens uitsluitend om het platform te leveren en handelt daarbij als verwerker.
Voor eigen account-, abonnements-, betalings- en beveiligingsgegevens is Amolex zelfstandig verwerkingsverantwoordelijke. Die verwerking staat beschreven in de privacyverklaring.
2. Aard en doel van de verwerking
De verwerking bestaat uit opslaan, raadplegen, structureren, tonen, wijzigen, exporteren, verzenden en verwijderen van gegevens voor klantenbeheer, opdrachten, planning, urenregistratie, facturatie, klanttoegang, ondersteuning en beveiliging.
Categorieën gegevens en betrokkenen
- identificatie-, contact-, bedrijfs- en factuurgegevens;
- opdracht-, planning-, uren-, communicatie- en documentgegevens;
- account-, toegangs-, sessie- en auditgegevens;
- ZZP’ers, beheerders, medewerkers, opdrachtgevers, contactpersonen en andere personen die de klantorganisatie invoert.
Bijzondere persoonsgegevens horen niet standaard in het platform. De organisatie voorkomt dat zulke gegevens zonder aantoonbare noodzaak en passende waarborgen worden ingevoerd.
3. Technische en organisatorische maatregelen
- rol- en organisatiegebonden toegangscontrole;
- tweestapsverificatie en beleid om MFA verplicht te stellen;
- beveiligde sessies, brute-forcebeperking en beveiligingsmeldingen;
- auditregistratie van relevante beheer- en gegevenshandelingen;
- versleutelde verbindingen en veilige verwerking van wachtwoorden;
- integriteitscontrole en versiearchivering voor definitieve overeenkomsten;
- back-up-, herstel-, patch- en toegangsprocedures die periodiek worden beoordeeld.
Maatregelen worden aangepast aan actuele risico’s, de stand van de techniek, uitvoeringskosten en de aard van de verwerking.
4. Subverwerkers en locaties
Amolex kan gespecialiseerde partijen inzetten voor hosting, e-mailbezorging, betalingen en operationele ondersteuning. Zij krijgen alleen toegang voor zover dat nodig is en zijn contractueel aan passende privacy- en beveiligingsverplichtingen gebonden.
Categorieën subverwerkers
Hosting en back-up, zakelijke e-mailbezorging, technische monitoring en ondersteuning. Mollie wordt gebruikt voor abonnementsbetalingen. Een actuele lijst met namen, rollen en locaties is op aanvraag verkrijgbaar.
Doorgifte buiten de EER vindt alleen plaats met een geldige AVG-grondslag en passende waarborgen.
5. Incidenten, verzoeken en audits
Amolex informeert de klantorganisatie zonder onredelijke vertraging en waar mogelijk binnen 48 uur na vaststelling over een incident met haar persoonsgegevens. Amolex verstrekt beschikbare informatie die nodig is voor beoordeling, beperking en eventuele melding.
Amolex helpt redelijkerwijs bij verzoeken van betrokkenen, gegevensbeschermingseffectbeoordelingen en aantoonbaarheid van naleving. Auditafspraken worden zo ingericht dat vertrouwelijkheid, veiligheid en continuïteit voor alle klanten behouden blijven.
6. Export, teruggeven en verwijderen
De organisatie kan gegevens tijdens de dienstverlening exporteren via beschikbare functies. Na beëindiging blijven gegevens 30 dagen beschikbaar voor export en worden ze uiterlijk binnen 60 dagen verwijderd of geanonimiseerd, tenzij wetgeving langere opslag verplicht. Gegevens in beveiligde back-ups verdwijnen uiterlijk binnen 90 dagen volgens de back-upcyclus.
7. Contact
Vragen over verwerking of een verzoek om de verwerkersovereenkomst kunnen naar info@amolex.nl.