Verwerkersovereenkomst

Samenvatting - laatst bijgewerkt: 4 november 2026

Klanten leggen in CrowdLogic persoonsgegevens vast over hun medewerkers, deelnemers, opdrachtgevers en de personen die in meldingen voorkomen. Truxion Media verwerkt die gegevens in opdracht van de klant. Deze pagina vat de afspraken samen die daarvoor gelden op grond van artikel 28 AVG.

1. Rollen

• Klant = verwerkingsverantwoordelijke voor de operationele gegevens die de klant en zijn gebruikers in CrowdLogic vastleggen. De klant bepaalt doel en middelen en zorgt voor een geldige grondslag.
• Truxion Media = verwerker voor die operationele gegevens. Wij verwerken ze alleen volgens de schriftelijke instructies van de klant, zoals vastgelegd in de overeenkomst en door het gebruik van de functies van het platform.
• Truxion Media = verwerkingsverantwoordelijke voor account- en inloggegevens, contact- en factuurgegevens, supporttickets, beveiligingslogboeken en offerte-aanvragen. Daarvoor geldt onze privacyverklaring.

2. Onderwerp en aard van de verwerking

Het leveren van het dispatch-platform CrowdLogic: opslaan, tonen, delen binnen de organisatie van de klant, realtime doorgeven, exporteren en verwijderen van gegevens over evenementen en meldingen. De verwerking duurt zolang de overeenkomst loopt, plus de termijn voor teruggave en verwijdering (zie artikel 8).

3. Betrokkenen

• medewerkers en gebruikers van de klant (operators, coördinatoren, beheerders);
• deelnemers aan evenementen, teamleden en actiehouders;
• opdrachtgevers van de klant en hun contactpersonen;
• personen die in meldingen, opvolgingen en bijlagen worden genoemd of zichtbaar zijn, zoals bezoekers en betrokkenen bij een incident.

4. Soorten persoonsgegevens

• naam-, contact- en functiegegevens (naam, telefoonnummer, e-mailadres, adres, functie, rol);
• inhoud van meldingen en opvolgingen, met tijdstip, locatie, prioriteit, status en wie wat heeft vastgelegd of gewijzigd;
• bijlagen zoals foto's en documenten, en plattegronden met locatiepunten;
• afhankelijk van wat de klant vastlegt: bijzondere persoonsgegevens, zoals gegevens over gezondheid bij een EHBO-melding, of strafrechtelijke gegevens bij een incident. De klant beoordeelt zelf of hij die mag verwerken en beperkt de vastlegging tot wat nodig is.

5. Verplichtingen van Truxion Media

• Wij verwerken de gegevens alleen voor het leveren van de dienst en niet voor eigen doeleinden.
• Medewerkers die toegang hebben, zijn tot geheimhouding verplicht. Toegang tot de omgeving van een klant voor support is tijdelijk, krijgt een reden en een einddatum en wordt gelogd.
• Wij helpen de klant bij verzoeken van betrokkenen (inzage, correctie, verwijdering, export) en bij een gegevensbeschermingseffectbeoordeling (DPIA) waar dat redelijkerwijs van ons kan worden verwacht.
• Wij melden een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging aan de klant, met de informatie die de klant nodig heeft om zelf aan zijn meldplicht te voldoen.
• Wij stellen de informatie beschikbaar die nodig is om naleving aan te tonen en werken mee aan een redelijke audit, op kosten van de klant en na tijdige afspraak.

6. Beveiligingsmaatregelen

• alle verbindingen via HTTPS; wachtwoorden alleen als bcrypt-hash opgeslagen;
• inlogtoken in een HttpOnly- en Secure-cookie; accounts kunnen centraal worden uitgelogd;
• toegang afgeschermd per organisatie, per evenement en per rol, met rechten die de klant zelf beheert en periodiek kan controleren;
• beperking van inlogpogingen en formulierverzoeken tegen misbruik;
• bijlagen alleen na een toegangscontrole en in een afgeschermde omgeving getoond; automatische verwijdering van niet-veiliggestelde bijlagen na 90 dagen;
• auditlog van beheeracties, 2 jaar bewaard;
• gescheiden databases voor ontwikkeling en productie, met eigen sleutels per omgeving.

7. Subverwerkers

Voor de operationele gegevens van klanten gebruiken wij de volgende derde partijen:

• Bunny CDN (BunnyWay d.o.o., Slovenië): levering van statische bestanden en door de klant geüploade bedrijfslogo's.
• PDOK Locatieserver (Kadaster) en Photon (komoot, Duitsland): ontvangen alleen de zoektekst als een gebruiker een locatie zoekt, zonder gegevens over de gebruiker.

Wij informeren klanten vooraf over het toevoegen of vervangen van een subverwerker, zodat de klant daartegen bezwaar kan maken. Met subverwerkers maken wij afspraken die ten minste hetzelfde beschermingsniveau bieden.

8. Bewaren, teruggeven en verwijderen

De klant bepaalt hoe lang operationele gegevens worden bewaard en kan ze zelf verwijderen of exporteren. Niet-veiliggestelde bijlagen worden 90 dagen na afloop van het evenement automatisch verwijderd. Na het einde van de overeenkomst kan de klant gedurende 30 dagen een export opvragen; daarna verwijderen wij de gegevens binnen 90 dagen, tenzij een wettelijke bewaarplicht geldt.

9. Aansprakelijkheid en looptijd

Voor de aansprakelijkheid gelden de afspraken in de algemene voorwaarden. De verwerkersovereenkomst loopt zolang wij persoonsgegevens voor de klant verwerken.