Verwerkersovereenkomst
Versie 1.0 van 23 oktober 2026
Hoe Carmantic de persoonsgegevens in de dossiers van de garage verwerkt: enkel in opdracht van de garage, beveiligd, met vaste leveranciers en met hulp bij elke vraag of elk incident.
1. Partijen en rollen
Deze verwerkersovereenkomst geldt tussen de klant die Carmantic gebruikt ("de verwerkingsverantwoordelijke") en Hebel & Margo BV, Kapellekensweg 32, 3391 Meensel-Kiezegem, ondernemingsnummer BE 0794.199.079 ("de verwerker"). Ze maakt deel uit van de gebruiksvoorwaarden en geldt zolang de verwerker persoonsgegevens voor de klant verwerkt.
Begrippen zoals persoonsgegevens, verwerking, inbreuk in verband met persoonsgegevens en subverwerker hebben de betekenis van de Algemene Verordening Gegevensbescherming (EU) 2016/679 ("AVG").
2. Onderwerp en aard van de verwerking
| Doel | Documenten opmaken voor de aankoop, bemiddeling of consignatie van voertuigen, ze laten ondertekenen, bewaren en versturen naar de klant, zijn klant en zijn boekhouding |
|---|---|
| Aard | Verzamelen, vastleggen, bewaren, raadplegen, omzetten naar PDF, verzenden en wissen |
| Betrokkenen | Verkopers, consignanten, opdrachtgevers en andere personen in de dossiers van de klant, en de medewerkers van de klant voor zover ze in een dossier voorkomen |
| Gegevens | Identiteit en contactgegevens, kopie van het identiteitsdocument (met foto en eventueel rijksregisternummer), rekeningnummer, voertuiggegevens en boorddocumenten, prijs en betaalwijze, handtekening, bewijsgegevens van de ondertekening (tijdstip, toestel, browser, gepseudonimiseerd IP-adres) en het logboek |
| Duur | Zolang de overeenkomst loopt, en daarna tot de gegevens volgens punt 9 gewist zijn |
3. Instructies
De verwerker verwerkt de persoonsgegevens enkel op schriftelijke instructie van de verwerkingsverantwoordelijke. De gebruiksvoorwaarden, deze overeenkomst en het gebruik dat de klant van de functies van Carmantic maakt (zoals een document laten ondertekenen of naar zijn boekhouder sturen) gelden als die instructies.
De verwerker gebruikt de gegevens nooit voor eigen doeleinden. Is hij wettelijk verplicht om gegevens anders te verwerken, dan meldt hij dat vooraf, tenzij de wet die melding verbiedt. Vindt de verwerker dat een instructie de AVG schendt, dan meldt hij dat meteen.
De verwerkingsverantwoordelijke staat in voor de rechtmatigheid van de verwerking: een rechtsgrond, de informatie aan de betrokkenen en de keuze welke gegevens hij laat verwerken.
4. Vertrouwelijkheid
Enkel personen die de gegevens nodig hebben om de dienst te leveren of te ondersteunen, krijgen toegang. Ze zijn gebonden aan geheimhouding. De verwerker bekijkt de inhoud van dossiers enkel als dat nodig is om een probleem op te lossen waarvoor de klant hulp vraagt, of als de wet het vereist.
5. Beveiliging
De verwerker neemt passende technische en organisatorische maatregelen, waaronder:
- versleutelde verbindingen (TLS) en versleutelde opslag bij de leveranciers;
- strikte scheiding per klant: elke vraag aan de databank is beperkt tot de organisatie van de gebruiker;
- wachtwoorden en persoonlijke ondertekeningslinks enkel als hash, IP-adressen in de bewijsgegevens enkel gepseudonimiseerd; tweestapsverificatie voor elke gebruiker beschikbaar en verplicht voor beheerders van de verwerker;
- documenten en foto's enkel bereikbaar na aanmelding of via tijdelijke, ondertekende links;
- een logboek van de handelingen in elk dossier en een vingerafdruk (hash) van elk ondertekend document;
- foutmeldingen gefilterd zodat namen, rekeningnummers en foto's niet worden doorgestuurd;
- beperking van het aantal pogingen bij aanmelden en bij persoonlijke links;
- regelmatige back-ups en de mogelijkheid om een databank te herstellen.
De verwerker mag de maatregelen aanpassen aan de stand van de techniek, zolang het beveiligingsniveau niet daalt.
6. Subverwerkers
De verwerkingsverantwoordelijke geeft een algemene toestemming om deze subverwerkers in te schakelen:
| Subverwerker | Taak | Plaats van verwerking |
|---|---|---|
| Vercel Inc. | Hosting van de applicatie | Frankfurt (Duitsland) |
| Neon Inc. (Databricks) | Database | Frankfurt (Duitsland) |
| DigitalOcean LLC | Opslag van documenten en foto's | Amsterdam (Nederland) |
| Resend Inc. | Versturen van e-mails met documenten en links | VS |
| Functional Software Inc. (Sentry) | Foutmeldingen, gefilterd | VS |
De verwerker legt elke subverwerker minstens dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover de klant aansprakelijk voor hen. Een nieuwe of vervangende subverwerker meldt hij minstens 30 dagen vooraf per e-mail. De klant kan binnen die termijn gemotiveerd bezwaar maken; vinden partijen geen oplossing, dan kan de klant de overeenkomst kosteloos beëindigen.
Ontvangers die de klant zelf kiest, zoals zijn boekhouder, zijn boekhoudpakket of zijn eigen klant, zijn geen subverwerkers van de verwerker.
7. Doorgifte buiten de Europese Economische Ruimte
Gegevens worden enkel buiten de EER verwerkt als er passende waarborgen zijn, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie, aangevuld met maatregelen zoals versleuteling.
8. Bijstand en incidenten
De verwerker helpt de verwerkingsverantwoordelijke om verzoeken van betrokkenen te beantwoorden, onder meer met de functies om dossiers in te zien en te downloaden; een ondertekend dossier wist hij op verzoek van de klant. Krijgt de verwerker zelf zo'n verzoek, dan bezorgt hij het onverwijld aan de klant en antwoordt hij niet zelf inhoudelijk.
Stelt de verwerker een inbreuk in verband met persoonsgegevens vast, dan meldt hij dat de klant zonder onredelijke vertraging en uiterlijk binnen 48 uur, met wat op dat ogenblik bekend is: de aard van de inbreuk, de betrokken gegevens en personen, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. De klant beslist over een melding aan de Gegevensbeschermingsautoriteit en aan de betrokkenen.
De verwerker helpt ook bij een gegevensbeschermingseffectbeoordeling of een voorafgaande raadpleging, voor zover die over Carmantic gaat.
9. Einde: teruggave en wissing
Tijdens de overeenkomst kan de klant zijn dossiers op elk ogenblik downloaden. Ontwerpen wist hij zelf; een ondertekend dossier wist de verwerker op zijn verzoek, zodat de nummering van de klant geen onverklaarde gaten krijgt. Na het einde blijft het account 30 dagen op alleen-lezen zodat de klant alles kan downloaden. Daarna wist de verwerker de persoonsgegevens binnen 90 dagen, tenzij de wet hem verplicht ze te bewaren. Back-ups worden automatisch overschreven.
De klant bepaalt hoe lang hij dossiers en kopieën van identiteitsdocumenten bewaart en blijft verantwoordelijk voor de wettelijke bewaartermijnen die voor hem gelden.
10. Controle
De verwerker stelt de informatie ter beschikking die nodig is om aan te tonen dat hij deze overeenkomst naleeft. De klant mag een audit laten uitvoeren door een onafhankelijke auditor die tot geheimhouding verplicht is, maximaal eenmaal per jaar en na een aankondiging van 30 dagen, tenzij er een concrete aanwijzing van een inbreuk is. De kosten zijn voor de klant. Een audit mag de beveiliging en de gegevens van andere klanten niet in gevaar brengen.
11. Aansprakelijkheid en voorrang
Voor de aansprakelijkheid gelden de gebruiksvoorwaarden, onverminderd artikel 82 AVG. Bij tegenstrijdigheid tussen deze overeenkomst en de gebruiksvoorwaarden gaat deze overeenkomst voor wat de verwerking van persoonsgegevens betreft.
Deze overeenkomst bestaat in het Nederlands, het Frans en het Engels; bij verschil geldt de Nederlandse tekst. Het Belgisch recht is van toepassing.