Gegevensverwerkingsovereenkomst

Deze DPA maakt deel uit van de overeenkomst tussen u (verwerkingsverantwoordelijke) en ons (verwerker) en is van toepassing telkens wanneer wij namens u persoonsgegevens verwerken. Het wordt geaccepteerd bij aanmelding; over standaardvoorwaarden is geen onderhandeling vereist.

Onderwerp en duur

Wij verwerken persoonlijke gegevens alleen om de managed runner-service te leveren, voor de duur van de overeenkomst plus de bewaartermijnen vermeld in het Privacybeleid.

Aard van de verwerking

Onze verplichtingen

• Verwerk alleen volgens uw gedocumenteerde instructies
• Bind personeel met toegang tot vertrouwelijkheidsverplichtingen
• Implementeer onderstaande technische en organisatorische maatregelen
• Schakel subverwerkers alleen in onder gelijkwaardige voorwaarden, met een opzegtermijn van 30 dagen en het recht om bezwaar te maken
• Assisteren bij verzoeken van betrokkenen, DPIA's en betrokkenheid van toezichthouders
• U zonder onnodige vertraging op de hoogte stellen van een inbreuk op uw persoonsgegevens
• Aan het einde van de overeenkomst persoonlijke gegevens verwijderen of retourneren
• Stel de informatie beschikbaar die nodig is om naleving aan te tonen en audits mogelijk te maken

Technische en organisatorische maatregelen

• Eén taak, één microVM met een eigen kernel; vernietigd en cryptografisch gewist aan het einde van de taak
• Versleuteling tijdens verzending en in rust; cacheobjecten per repository
• SSO met SCIM, interne toegang met de minste bevoegdheden, auditlogboekregistratie met alleen toevoegingen
• SOC 2 Type 2 jaarlijks gecontroleerd; jaarlijkse penetratietest door derden
• Regionale vastlegging voor rekenkracht, cache, logboeken, statistieken en ondersteuningstoegang

Internationale overschrijvingen

Bij inzet in de EU is er geen sprake van overdracht naar derde landen. Anders zijn overdrachten afhankelijk van standaardcontractbepalingen met een gedocumenteerde overdrachtseffectbeoordeling.