_Laatst bijgewerkt: 13 september 2026_
Deze Verwerkersovereenkomst ("DPA") is een overeenkomst op grond van art. 28 AVG (GDPR) tussen de detailingstudio die DetailingManager gebruikt ("Bedrijf", "Verwerkingsverantwoordelijke") en Radoslav Moshev, Sofia, ul. Pirin, Bulgarije, admin@detailingmanager.com ("Verwerker").
Zij is van toepassing wanneer het Bedrijf persoonsgegevens van zijn eigen klanten, medewerkers of andere natuurlijke personen in het platform opslaat. Zij vervangt niet het Privacybeleid of de Voorwaarden. Deze tekst is een werkontwerp, geen door een jurist gecertificeerd document.
1. Onderwerp en doel
De Verwerker levert de DetailingManager-SaaS (klant- en voertuigrecords, klussen, documenten, herinneringen, e-mailcampagnes, statistieken, VIN-opzoeking) zodat het Bedrijf zijn studio kan runnen. De verwerking dient uitsluitend dat doel, op gedocumenteerde instructies van het Bedrijf (gebruik van het product en schriftelijke verzoeken aan admin@detailingmanager.com).
2. Duur
De DPA geldt zolang het Bedrijf een actief account heeft. Na bevestigde sluiting worden live gegevens en opslagbestanden onmiddellijk verwijderd. Back-upkopieën op dezelfde Hetzner-server in Neurenberg worden maximaal 7 dagen bewaard en daarna overschreven. Als een back-up binnen dat venster wordt teruggezet, wordt de verwijdering opnieuw toegepast.
3. Categorieën van gegevens en betrokkenen
Betrokkenen: de klanten van het Bedrijf en hun contactpersonen; studiomedewerkers met een account; ontvangers van e-mails die het Bedrijf verstuurt.
Typische gegevens: namen, telefoonnummer, e-mailadres, adres, geboortedatum, marketingtoestemming, voertuigen (inclusief VIN en kenteken), klusnotities en -foto's, PDF-documenten, momentopnamen van campagneontvangers.
Het Bedrijf bepaalt wat het invoert. De Verwerker verzamelt geen gegevens van studioklanten uit andere bronnen.
Als het Bedrijf de AI-assistent inschakelt, worden de vragen die zijn medewerkers typen en de records die de assistent leest om ze te beantwoorden, eveneens verwerkt zoals beschreven in de secties 5 en 6.
4. Verplichtingen van de verwerker
De Verwerker zal:
- persoonsgegevens uitsluitend verwerken op instructie van het Bedrijf, tenzij EU- of Bulgaars recht anders vereist
- ervoor zorgen dat personen die gemachtigd zijn de gegevens te verwerken, gebonden zijn aan geheimhouding
- de beveiligingsmaatregelen van sectie 7 implementeren
- verdere verwerkers uitsluitend inschakelen zoals beschreven in sectie 5
- het Bedrijf helpen te reageren op verzoeken van betrokkenen (inzage, rectificatie, wissing, overdraagbaarheid), inclusief de CSV-export van klanten in het product
- het Bedrijf helpen bij verplichtingen inzake beveiliging, datalekken en DPIA's, rekening houdend met de aard van de verwerking
- persoonsgegevens verwijderen of teruggeven aan het einde van de dienstverlening, zoals in sectie 2
- informatie beschikbaar stellen die redelijkerwijs nodig is om naleving aan te tonen, en audits toestaan zoals in sectie 9
5. Subverwerkers
Het Bedrijf machtigt de volgende subverwerkers. Materiële wijzigingen worden weerspiegeld in deze DPA en het Privacybeleid.
| Aanbieder | Rol | Locatie |
|---|---|---|
| Supabase | Database, authenticatie, bestandsopslag | Ierland (AWS eu-west-1) |
| Hetzner / Coolify | Applicatiehosting en back-upkopieën (maximaal 7 dagen) | Neurenberg, Duitsland |
| Resend | Transactie- en campagne-e-mail | Ierland (eu-west-1) |
| Upstash Redis | Rate limiting (IP- / verzoektellers) | België (GCP europe-west1) |
| OpenAI Ireland Limited | AI-assistent (alleen wanneer het Bedrijf hem inschakelt) | Ierland; modelverwerking mogelijk buiten de EU |
| db.vin | Primaire VIN-decodering | Alleen VIN |
| NHTSA vPIC | Reserve-VIN-decodering | Verenigde Staten (alleen VIN) |
De AI-assistent staat standaard uit. Een bedrijfsbeheerder moet hem inschakelen en een melding bevestigen waarin de aanbieder wordt genoemd; tot dan bereikt niets OpenAI. De chatgeschiedenis wordt opgeslagen in het platform en na maximaal 14 dagen automatisch verwijderd.
Google Analytics 4 en Meta Pixel draaien alleen als de bezoeker marketingtoestemming geeft. Zij worden niet gebruikt om de klantendatabase van het Bedrijf te verwerken.
6. Internationale doorgiften
De kernhosting, database, bestanden, applicatie, Redis en e-mailverzending bevinden zich in de EU (Ierland, Duitsland, België).
De VIN kan naar NHTSA vPIC in de Verenigde Staten worden verzonden wanneer de EU-decoder geen resultaat oplevert. Bij dat verzoek worden geen naam, telefoonnummer of e-mailadres meegestuurd.
Als de AI-assistent is ingeschakeld, gaan de vragen en de records die nodig zijn om ze te beantwoorden naar OpenAI Ireland Limited, dat EER-gegevens verwerkt onder OpenAI's Data Processing Addendum en deze alleen buiten de EER doorgeeft op basis van Standard Contractual Clauses. API-invoer en -uitvoer wordt niet gebruikt om de modellen van OpenAI te trainen. Logboeken voor misbruikmonitoring kunnen deze gegevens bevatten en worden maximaal 30 dagen bewaard, tenzij een langere bewaring wettelijk vereist is.
Marketingpixels (indien toegestaan) kunnen gegevens buiten de EU doorgeven volgens de voorwaarden van die aanbieders.
7. Beveiliging
- Versleuteling onderweg (TLS 1.3) en in rust (AES-256)
- Row-Level Security zodat elke tenant alleen zijn eigen rijen ziet
- Optionele tweefactorauthenticatie
- Sessietime-out configureerbaar door het Bedrijf
- Minimaal-benodigde rollen (beheerder / manager / medewerker)
8. Datalek inzake persoonsgegevens
Als de Verwerker kennis krijgt van een datalek dat gegevens van het Bedrijf treft, stelt hij het Bedrijf onverwijld in kennis, met een streeftermijn van 72 uur, op het bekende e-mailadres van de bedrijfsbeheerder, inclusief bekende feiten, waarschijnlijke gevolgen en genomen maatregelen. Het Bedrijf blijft verantwoordelijk voor het melden aan zijn toezichthoudende autoriteit en aan de betrokken personen waar de AVG dit vereist.
9. Audits
Het Bedrijf kan, maximaal één keer per jaar behalve na een datalek, schriftelijke informatie of een samenvatting van relevante beveiligingsmaatregelen aanvragen. Audits ter plaatse of ingrijpende audits vereisen een redelijke vooraankondiging en mogen andere tenants niet in gevaar brengen. De Verwerker kan aan het verzoek voldoen met actuele certificeringen of rapporten van subverwerkers (bijvoorbeeld Supabase SOC 2).
10. Wissing en export
Het Bedrijf kan individuele klanten in het product verwijderen. Daarmee worden naam, telefoonnummer, e-mailadres en vergelijkbare contactgegevens gewist; het voertuig en afgeronde klussen blijven zonder die contactgegevens bestaan (VIN en kenteken blijven als servicehistorie). Niet-afgeronde klussen worden verwijderd.
Een machineleesbare CSV-export van de klantenlijst (en van firma's) is beschikbaar voor bedrijfsbeheerders.
Om het volledige bedrijfsaccount te verwijderen, schrijft u naar admin@detailingmanager.com. Live gegevens worden verwijderd nadat wij het verzoek hebben bevestigd; back-upkopieën op dezelfde Hetzner-server in Neurenberg worden maximaal 7 dagen bewaard en daarna overschreven.
11. Toepasselijk recht
Op deze DPA is het recht van de Republiek Bulgarije van toepassing. Geschillen worden beslecht door de bevoegde Bulgaarse rechter.
12. Contact
- E-mail: admin@detailingmanager.com
- Onderwerp: DPA / Gegevensverwerking