Verwerkersovereenkomst (DPA)

1. Definities

Begrippen als "persoonsgegevens", "verwerking", "betrokkene", "verwerkingsverantwoordelijke", "verwerker" en "datalek" hebben de betekenis zoals gedefinieerd in de Algemene Verordening Gegevensbescherming (Verordening 2016/679; hierna: AVG).

2. Voorwerp en duur

Jobora verwerkt persoonsgegevens uitsluitend in opdracht en ten behoeve van de Klant, ter uitvoering van het Jobora-platform (CRM, offertes, facturatie, agenda, monteurs, F-gassen, ambassadeursprogramma). De DPA geldt zolang de hoofdovereenkomst loopt, aangevuld met een retentieperiode voor wettelijke bewaarplichten.

3. Categorieën betrokkenen en gegevens

• Betrokkenen: medewerkers van de Klant, klanten/leads van de Klant, monteurs, ambassadeurs.
• Gegevens: NAW, e-mail, telefoon, functie, IP-adres, agenda-items, offerte- en factuurgegevens, betaalstatus (via Mollie), F-gassen registratiegegevens, bankrekening (uitsluitend voor ambassadeurs t.b.v. uitbetaling).

4. Verplichtingen van Jobora (verwerker)

• Verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Klant.
• Zorgt dat personen die toegang hebben tot de gegevens gebonden zijn aan geheimhouding.
• Neemt passende technische en organisatorische maatregelen (zie art. 6).
• Ondersteunt de Klant bij verzoeken van betrokkenen (art. 12–22 AVG) en bij DPIA's (art. 35).
• Meldt datalekken zonder onredelijke vertraging, uiterlijk binnen 48 uur na ontdekking.
• Verwijdert of retourneert alle persoonsgegevens na afloop van de dienstverlening, tenzij bewaring wettelijk verplicht is.

5. Sub-verwerkers

Jobora maakt gebruik van de volgende sub-verwerkers, gevestigd in de EU/EER of onder passende waarborgen (SCC's):

• Supabase / Lovable Cloud — databasehosting en authenticatie (EU-regio).
• Cloudflare — CDN, DDoS-bescherming en edge-runtime.
• Mollie — betalingsverwerker (Nederland).
• Resend — transactionele e-mails.
• PDOK — adres- en postcodeverificatie (Nederland).

Jobora informeert de Klant vooraf over voorgenomen wijzigingen; de Klant kan gemotiveerd bezwaar maken.

6. Beveiligingsmaatregelen

• Transportversleuteling (TLS 1.2+) en rustversleuteling (AES-256).
• Row-Level Security (RLS) op alle databronnen; scheiding per tenant/bedrijf.
• Toegang op basis van rollen (least privilege), audit-logs voor privileged acties.
• Backups met 30-daagse rollende retentie in EU-datacenters.
• Periodieke security-scans en afhankelijkheidsaudits.

7. Doorgifte buiten de EER

Persoonsgegevens worden verwerkt binnen de EU/EER. Doorgifte naar derde landen vindt alleen plaats wanneer passende waarborgen zijn getroffen (Standard Contractual Clauses of adequaatheidsbesluit).

8. Rechten van betrokkenen

Verzoeken tot inzage, correctie, verwijdering of overdraagbaarheid kunnen betrokkenen zelf uitvoeren in het Jobora-account (Instellingen → Privacy). Jobora ondersteunt de Klant kosteloos bij aanvullende verzoeken.

9. Aansprakelijkheid en boetes

Aansprakelijkheid onder deze DPA sluit aan bij de aansprakelijkheidsregeling in de hoofdovereenkomst, behoudens wettelijk niet-uitsluitbare aansprakelijkheid onder de AVG.

10. Audit

De Klant heeft het recht — maximaal eenmaal per jaar en met redelijke aankondiging — de naleving van deze DPA te (laten) auditen door een onafhankelijke, tot geheimhouding verplichte auditor.

11. Beëindiging

Bij beëindiging verwijdert Jobora alle persoonsgegevens binnen 30 dagen, tenzij wettelijke bewaarplichten (o.a. fiscaal 7 jaar) anders vereisen. Op verzoek wordt een verwijderingsverklaring afgegeven.

12. Toepasselijk recht

Nederlands recht. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Gelderland.