Verwerkersovereenkomst (DPA)

Laatst bijgewerkt: 4 oktober 2026 · Versie: 1.1

Tussen de klant ("verwerkingsverantwoordelijke") en Trajenda v.o.f., Gasthuisstraat 27, 5931 NT Tegelen, KvK 42185785, vestigingsnummer 000066918065, btw-id NL870091487B01 ("verwerker"). Deze overeenkomst hoort bij de algemene voorwaarden en gaat daar bij tegenstrijdigheid over persoonsgegevens vóór.

1. Onderwerp

De verwerker verwerkt persoonsgegevens uitsluitend in opdracht van de verwerkingsverantwoordelijke, ten behoeve van ritplanning en communicatie tussen planners en chauffeurs.

2. Instructies

De verwerker verwerkt alleen op gedocumenteerde instructie. Het gebruik van de software geldt als zodanige instructie. Meent de verwerker dat een instructie in strijd is met de AVG, dan meldt hij dat onmiddellijk.

3. Geheimhouding

Personen die toegang hebben tot de gegevens zijn tot geheimhouding verplicht. Toegang tot klantgegevens door medewerkers van de verwerker vindt alleen plaats voor zover nodig voor beheer of ondersteuning.

4. Beveiliging

Zie bijlage B. Kort samengevat: scheiding tussen klanten op databaseniveau (row level security), TLS in transport, afgeschermde documentopslag met kortlevende ondertekende links, en een geautomatiseerde testsuite die bij elke wijziging actief probeert de scheiding tussen klanten te doorbreken.

5. Subverwerkers

De verwerkingsverantwoordelijke geeft algemene toestemming voor de subverwerkers in bijlage C. Bij een nieuwe subverwerker informeert de verwerker ten minste 30 dagen vooraf. De verwerkingsverantwoordelijke kan binnen die termijn bezwaar maken; komen partijen er niet uit, dan kan de verwerkingsverantwoordelijke opzeggen zonder kosten voor de resterende looptijd.

6. Doorgifte buiten de EER

Eén subverwerker (OpenAI, voor het uitschrijven van spraakberichten) zou bij gebruik in de Verenigde Staten verwerken, op basis van de standaardcontractbepalingen van de Europese Commissie. Die functie staat vandaag uit: spraakberichten werken, maar worden niet automatisch uitgeschreven, en er gaat dus niets naar de Verenigde Staten. Wil de verwerkingsverantwoordelijke dat blijvend uitsluiten, dan kan de functie op een EU-alternatief worden gezet; dit is een instelling, geen herbouw.

Alle overige verwerking vindt plaats binnen de EU.

7. Rechten van betrokkenen

De verwerker helpt de verwerkingsverantwoordelijke bij verzoeken om inzage, correctie, verwijdering en dataportabiliteit. Chauffeurs kunnen hun toestemming voor locatieregistratie zelf, direct in de app, intrekken; daarvoor is geen tussenkomst nodig.

Ontvangt de verwerker rechtstreeks een verzoek van een betrokkene, dan verwijst hij door naar de verwerkingsverantwoordelijke en informeert deze binnen 3 werkdagen.

8. Datalekken

De verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 24 uur na ontdekking, met de aard van de inbreuk, de betrokken categorieën gegevens, de waarschijnlijke gevolgen en de genomen maatregelen.

9. Bewaren en verwijderen

Zie bijlage A. Bij beëindiging verwijdert de verwerker de gegevens binnen 30 dagen na het sluiten van het account, behalve waar een wettelijke bewaarplicht geldt (documenten: 7 jaar). Dertig dagen omdat dat dezelfde termijn is waarbinnen de verwerkingsverantwoordelijke na opzeggen nog kan inloggen om te exporteren (zie de algemene voorwaarden); de verwijdering volgt dus direct op het sluiten van het export-venster, niet erbovenop.

10. Audit

De verwerker verstrekt op verzoek de informatie die nodig is om naleving aan te tonen. Een audit ter plaatse is mogelijk, maximaal eens per jaar, met 30 dagen aankondiging en op kosten van de verwerkingsverantwoordelijke, tenzij uit de audit een tekortkoming blijkt.

Bijlage A — Verwerkingen, gegevens en bewaartermijnen

Bijzondere categorieën: geen. Trajenda verwerkt geen gegevens over gezondheid, biometrie of vergelijkbare categorieën. Een handtekening onder een afleverbewijs is geen biometrisch gegeven in de zin van de AVG, omdat er geen kenmerken uit worden afgeleid ter identificatie.

Locatie is bewust beperkt: alleen tijdens een lopende rit, alleen met toestemming, en de status van een rit wordt nooit uit locatie afgeleid.

Bijlage B — Technische en organisatorische maatregelen

Scheiding tussen klanten. Elke tabel met klantgegevens is beveiligd met row level security in de database zelf, niet alleen in de applicatie. Een fout in de applicatiecode kan daardoor geen gegevens van een ander bedrijf tonen.

Getest, niet aangenomen. Een geautomatiseerde testsuite zet bij elke wijziging een tweede bedrijf op en probeert daarvandaan actief bij de gegevens van het eerste te komen: lezen, schrijven, verwijderen, bestanden downloaden en rechten verhogen. Deze suite heeft in de ontwikkelfase daadwerkelijk kwetsbaarheden gevonden en tegengehouden.

Toegangsrechten. Twee ingelogde rollen bij het transportbedrijf zelf: planner en chauffeur; binnen de planners kan een deel ook de managementschermen zien (geld en personeel). Een chauffeur ziet alleen ritten die aan hem zijn toegewezen. Rol en bedrijf kunnen door een gebruiker niet zelf worden gewijzigd; dat is op kolomniveau afgedwongen.

Daarnaast bestaan er twee aparte, afgeschermde portalen zonder dat de gebruiker een rol bij het transportbedrijf krijgt: een klantportaal (de opdrachtgever ziet zijn eigen zendingen, documenten en facturen) en een charterportaal (een uitbestede vervoerder ziet de aan hem toegewezen ritten en levert zijn vrachtbrief aan). Beide staan buiten het rollenmodel van het transportbedrijf: zo'n gebruiker krijgt geen toegang tot andere klanten, andere charters of de gegevens van het transportbedrijf zelf.

Documenten. Opgeslagen in afgeschermde opslag, alleen bereikbaar via ondertekende links met een korte geldigheidsduur.

Transport. TLS voor al het verkeer.

Authenticatie. Wachtwoord voor planners, e-maillink voor chauffeurs. Sessies worden server-side gevalideerd.

Openbare volglinks. Per rit, standaard uit, intrekbaar met directe werking. Een volglink geeft een vooraf vastgestelde, beperkte set velden terug — geen kopie van de rit — zodat later toegevoegde velden niet automatisch openbaar worden. Locatie van de chauffeur staat er uitdrukkelijk niet in.

Bekende beperkingen, eerlijk vermeld:

• Alle termijnen in bijlage A worden sinds 16 augustus 2026 automatisch afgedwongen: elke nacht verwijdert de database wat ouder is dan de ingestelde termijn. De klant stelt die termijnen zelf in binnen de aangegeven grenzen.
• Verwijdering van het HELE dossier bij beëindiging van de overeenkomst gebeurt op verzoek en niet automatisch. Dat is een bewuste keuze: een administratieve fout in de abonnementsstatus mag niet vanzelf tot dataverlies leiden.
• Documenten die bij een verwijderde rit hoorden, blijven in de opslag staan. Ze zijn voor niemand meer bereikbaar, maar worden nog niet automatisch opgeruimd.
• Er is een audit log (audit_log) dat per bedrijf vastlegt wie welke rij aanmaakte, wijzigde of verwijderde, en wanneer; hij bewaakt niet elke instelling in de applicatie, alleen de gegevens zelf.

Bijlage C — Subverwerkers