Verwerkersovereenkomst
Versie 1.0 van 7 september 2026. Deze overeenkomst in de zin van artikel 28 van de Algemene Verordening Gegevensbescherming (AVG) maakt deel uit van de algemene voorwaarden van Zekura en wordt samen daarmee aanvaard.
1. Partijen en rollen
1.1. Verwerker: GoTrust BV, Morelgem 24B, 9520 Vlierzele, België, KBO 1037.576.138, handelend onder de naam Zekura (hierna "Zekura").
1.2. Verwerkingsverantwoordelijke: de Klant die de Dienst gebruikt (hierna "de Klant"). Levert een IT-partner de Dienst aan zijn eigen klanten, dan is de IT-partner tegenover Zekura de Klant en treedt Zekura op als subverwerker van de klanten van de IT-partner. De IT-partner staat er dan voor in dat hij met zijn klanten de nodige verwerkersovereenkomst heeft gesloten.
2. Voorwerp, aard en doel van de verwerking
2.1. Zekura verwerkt persoonsgegevens uitsluitend om de Dienst te leveren: het ontvangen, versleuteld bewaren, verifiëren en op instructie terugzetten van backups van de systemen die de Klant aanwijst, en het bijhouden van de bewijsketen daarover.
2.2. De verwerking bestaat uit opslag en overdracht van versleutelde gegevens, het uitvoeren van verificaties op afgeschermde systemen van Zekura, en het verwerken van metadata die nodig is om de Dienst te leveren: hostnamen, paden en bestandsnamen in steekproeven en rapporten, tellingen, tijdstippen, groottes en resultaten.
2.3. Zekura heeft geen kennis van de inhoud van de Klantdata. In het model "sovereign" heeft Zekura geen sleutel en kan zij de gegevens nooit lezen. In het model "managed" bewaart Zekura een vergrendelde kopie van de sleutel, die uitsluitend wordt gebruikt om de overeengekomen verificaties uit te voeren en om op verzoek van de Klant te herstellen. Elk gebruik van de sleutel wordt als record in de bewijsketen van de Klant vastgelegd.
3. Categorieën betrokkenen en gegevens
De Klant bepaalt welke systemen beschermd worden. De persoonsgegevens en de betrokkenen zijn dus die welke de Klant in die systemen bewaart: doorgaans gegevens van zijn medewerkers, klanten, leveranciers en contactpersonen, en mogelijk bijzondere categorieën van persoonsgegevens als de Klant die in de aangewezen systemen verwerkt. De Klant is als enige verantwoordelijk voor die keuze en voor de rechtmatigheid van de verwerking.
4. Duur
Deze overeenkomst geldt zolang de Dienst wordt geleverd, verlengd met de bewaartermijn onder object lock die nog loopt op het moment dat de Dienst eindigt, en tot de gegevens overeenkomstig artikel 11 zijn verwijderd.
5. Instructies van de Klant
5.1. Zekura verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Klant. De instructies zijn de instellingen die de Klant in het portaal maakt (opdrachten, beleid, verificatieniveaus, bewaartermijnen, restore-aanvragen), de algemene voorwaarden en deze overeenkomst. Elke instructie en elke uitvoering ervan staat in de bewijsketen van de Klant.
5.2. Is Zekura op grond van Unierecht of Belgisch recht verplicht anders te verwerken, dan verwittigt zij de Klant vooraf, tenzij die wetgeving dat verbiedt om gewichtige redenen van algemeen belang.
5.3. Zekura verwittigt de Klant als een instructie naar haar mening inbreuk maakt op de AVG of op andere wetgeving over gegevensbescherming.
6. Vertrouwelijkheid
Zekura zorgt dat de personen die onder haar gezag persoonsgegevens verwerken, zich tot vertrouwelijkheid hebben verbonden en enkel toegang hebben tot wat zij voor hun taak nodig hebben. Toegang tot productiesystemen wordt gelogd.
7. Beveiliging
Zekura treft de technische en organisatorische maatregelen bedoeld in artikel 32 AVG. Ze omvatten ten minste:
- versleuteling van de Klantdata op de systemen van de Klant vóór verzending (AES-256), met een sleutel per organisatie;
- transport uitsluitend over TLS; de agent authenticeert zich met een clientcertificaat;
- opslag met onveranderlijke bewaartermijn (object lock in compliance-modus), zodat gegevens tijdens die termijn door niemand kunnen worden gewist;
- een eigen opslagbucket en eigen opslagsleutels per organisatie, met rechten die het wissen door de agent onmogelijk maken;
- verificatie van elke backup op een afgeschermd systeem, met vastlegging in een ondertekende, alleen-toevoegen bewijsketen waarvan de wortels publiek worden gepubliceerd;
- tweefactorauthenticatie voor gebruikers, rolgebaseerde toegang, en een wachttijd voor wijzigingen die de bescherming verzwakken;
- logging van beheerhandelingen, gescheiden productie- en testomgevingen, en gedocumenteerde herstelprocedures voor het platform zelf.
De actuele beschrijving van de maatregelen staat in de Documentatie op zekura.eu/docs, onder "Hoe het beveiligd is".
8. Subverwerkers
8.1. De Klant geeft Zekura een algemene toestemming om subverwerkers in te schakelen. Zekura legt aan elke subverwerker dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover de Klant verantwoordelijk voor de nakoming ervan.
8.2. Huidige subverwerkers:
| Subverwerker | Rol | Locatie |
|---|---|---|
| Impossible Cloud GmbH, Hamburg, Duitsland | objectopslag, regio eu-central-2 | datacenters in de Europese Unie |
| GoTrust BV (eigen infrastructuur) | portaal, verificatie, e-mail | België |
Kiest de Klant voor opslag op twee locaties, dan wordt de tweede opslagleverancier bij activering aan de Klant meegedeeld en aan deze lijst toegevoegd. Gebruikt de Klant eigen opslag, dan is de leverancier daarvan geen subverwerker van Zekura maar een verwerker van de Klant zelf.
8.3. Zekura meldt een geplande toevoeging of vervanging van een subverwerker ten minste 30 dagen vooraf per e-mail aan de eigenaars van het account. De Klant kan binnen die termijn gemotiveerd bezwaar maken. Vinden partijen geen oplossing, dan kan de Klant de Dienst beëindigen zonder opzegvergoeding.
9. Doorgifte buiten de EER
Zekura verwerkt en bewaart persoonsgegevens uitsluitend binnen de Europese Economische Ruimte. Een doorgifte naar een derde land gebeurt enkel op schriftelijke instructie van de Klant en met de waarborgen van hoofdstuk V van de AVG.
10. Bijstand aan de Klant
10.1. Zekura helpt de Klant, rekening houdend met de aard van de verwerking, bij het beantwoorden van verzoeken van betrokkenen. Omdat Zekura de inhoud van de Klantdata niet kan lezen, gebeurt dat door de Klant in staat te stellen zelf gegevens terug te zetten en te doorzoeken.
10.2. Zekura helpt de Klant bij het nakomen van de artikelen 32 tot 36 AVG door de informatie in de Documentatie, de bewijsketen, de rapporten en de statuspagina ter beschikking te stellen, en door redelijke vragen binnen een redelijke termijn te beantwoorden. Bijstand die verder gaat dan wat de Dienst standaard biedt, kan tegen het geldende uurtarief worden aangerekend.
11. Inbreuken in verband met persoonsgegevens
11.1. Zekura meldt een inbreuk in verband met persoonsgegevens die de Klantdata of de accountgegevens van de Klant treft, zonder onredelijke vertraging en uiterlijk 24 uur na kennisname, per e-mail aan de eigenaars van het account. De melding bevat, voor zover bekend, de aard van de inbreuk, de betrokken organisaties en gegevens, de waarschijnlijke gevolgen, de getroffen maatregelen en de betrokken ketenrecords. Informatie die nog niet beschikbaar is, wordt nagestuurd.
11.2. De Klant beslist zelf over de melding aan de toezichthoudende autoriteit en aan de betrokkenen. Zekura meldt een inbreuk niet in naam van de Klant.
12. Einde van de verwerking
12.1. Bij het einde van de Dienst kan de Klant tot de einddatum al zijn gegevens zelf terugzetten en zijn bewijsketen en rapporten exporteren.
12.2. Binnen 30 dagen na de einddatum vernietigt Zekura de toegangssleutels tot de opslag van de Klant en, in het model managed, de vergrendelde kopie van de sleutel, tenzij de Klant schriftelijk om uitstel vraagt. Gegevens onder een lopende onveranderlijke bewaartermijn blijven, versleuteld en zonder sleutel bij Zekura, bewaard tot die termijn verstrijkt en worden daarna verwijderd. Zekura bevestigt de vernietiging op verzoek schriftelijk.
12.3. Zekura mag de ketenrecords en metadata bewaren die nodig zijn om aan te tonen dat zij haar verplichtingen is nagekomen, voor de duur van de wettelijke verjaringstermijnen.
13. Audit
13.1. Zekura stelt de Klant alle informatie ter beschikking die nodig is om de nakoming van artikel 28 AVG aan te tonen. De bewijsketen kan de Klant of zijn auditor op elk moment zelf narekenen, zonder tussenkomst van Zekura, met de publieke ketenwortels en het verificatieprogramma uit de Documentatie.
13.2. Volstaat dat niet, dan kan de Klant of een door hem aangewezen, aan geheimhouding gebonden auditor hoogstens één keer per jaar, na een aankondiging van 30 dagen en tijdens de kantooruren, een audit uitvoeren die de vertrouwelijkheid van andere klanten en de veiligheid van de Dienst respecteert. De kosten van de audit draagt de Klant, tenzij de audit een wezenlijke tekortkoming van Zekura aantoont.
14. Aansprakelijkheid
De aansprakelijkheid van partijen onder deze overeenkomst wordt beheerst door artikel 12 van de algemene voorwaarden, onverminderd artikel 82 AVG. Elke partij draagt de administratieve boetes die haar door een toezichthoudende autoriteit voor haar eigen tekortkoming worden opgelegd.
15. Slotbepalingen
Bij tegenstrijdigheid tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor wat de verwerking van persoonsgegevens betreft. Op deze overeenkomst is Belgisch recht van toepassing; de rechtbanken van het gerechtelijk arrondissement Oost-Vlaanderen, afdeling Dendermonde, zijn bevoegd.
Deze tekst als bestand: verwerkersovereenkomst.md.