Gegevensverwerkingsovereenkomst

1. Partijen

Deze Gegevensverwerkingsovereenkomst ("DPA") wordt gesloten tussen de Klant ("Verwerkingsverantwoordelijke") en YARDtwin Ltd, geregistreerd in Ierland ("Verwerker"), gezamenlijk de "Partijen". Deze DPA maakt deel uit van, en is onderworpen aan, de YARDtwin Gebruiksvoorwaarden.

2. Toepassingsgebied & Doel

De Verwerker verwerkt persoonsgegevens namens de Verwerkingsverantwoordelijke uitsluitend ten behoeve van het leveren van het YARDtwin yardmanagementsysteem: dockplanning, poortwerkzaamheden, digitale tweeling yardvisualisatie, beheer van vervoerders en chauffeurs, GMP-conform auditspoor, analyses en integraties. De verwerking vindt plaats gedurende de looptijd van het abonnement van de Verwerkingsverantwoordelijke en eventuele bewaartermijnen zoals vereist door Artikel 11.

3. Categorieën van Betrokkenen

• Medewerkers en beheerders van de Verwerkingsverantwoordelijke (benoemde gebruikers van het platform)
• Chauffeurs en logistiek personeel dat is ingecheckt bij de poorten van de Verwerkingsverantwoordelijke
• Vertegenwoordigers van vervoerders en contactpersonen voor dispatching
• Poortwacht- en magazijnoperatorpersoneel

4. Soorten Persoonsgegevens

• Identiteitsgegevens: namen, e-mailadressen, telefoonnummers, functie/jobtitel, bedrijfsnaam en -adres
• Authenticatiegegevens: bcrypt-gehashte wachtwoorden (12 rondes), JWT-toegangs- en vernieuwingstokens, sessietijdstempels, IP-adressen, SSO-identificatoren (Google, Microsoft)
• Operationele gegevens: afspraken, docktoewijzingen, trailerbewegingen, inspectierapportages, documenten, taakopdrachten, voertuigregistraties
• Chauffeurgegevens: rijbewijsnummers, rijbewijsafbeeldingen, optionele gezichtsafbeeldingen voor biometrische poortverificatie (bijzondere categorieën persoonsgegevens, Art. 9 GDPR — uitsluitend verwerkt indien de Verwerkingsverantwoordelijke biometrische verificatie bij de poort heeft ingeschakeld en expliciete toestemming heeft verkregen op het moment van vastlegging)
• Auditgegevens: gebruikersacties, tijdstempels, IP-adressen, user-agent-strings, oud/nieuw-waarde-verschillen, GMP-gemarkeerde records

5. Verplichtingen van de Verwerker

• Persoonsgegevens uitsluitend verwerken op gedocumenteerde instructies van de Verwerkingsverantwoordelijke (de platform-UI en API gelden als gedocumenteerde instructies)
• Ervoor zorgen dat personen die gemachtigd zijn gegevens te verwerken gebonden zijn door vertrouwelijkheidsovereenkomsten
• Passende technische en organisatorische beveiligingsmaatregelen implementeren (Art. 32) — zie Sectie 7 hieronder
• Geen sub-verwerkers inschakelen zonder voorafgaande schriftelijke toestemming; minimaal 30 dagen van tevoren mededeling doen van elke nieuwe sub-verwerker (recht van bezwaar)
• De Verwerkingsverantwoordelijke ondersteunen bij verzoeken van betrokkenen (Art. 15–22) via de DSAR-endpoints beschreven in Sectie 9
• De Verwerkingsverantwoordelijke onverwijld en binnen 72 uur informeren over inbreuken op persoonsgegevens (Sectie 8)
• Alle persoonsgegevens verwijderen of retourneren bij beëindiging van de dienstverlening (Sectie 11)
• Alle informatie beschikbaar stellen die noodzakelijk is om naleving aan te tonen en audits te ondersteunen (Sectie 12)

6. Sub-verwerkers

De Verwerker maakt momenteel gebruik van de volgende sub-verwerkers, die elk opereren onder een Verwerkersovereenkomst en (waar van toepassing) Standaard Contractuele Clausules 2021:

Klanten worden minimaal 30 dagen van tevoren geïnformeerd over de toevoeging van een nieuwe sub-verwerker, met het recht van bezwaar en beëindiging zonder boete.

7. Beveiligingsmaatregelen (Art. 32)

• Versleuteling tijdens transport: TLS 1.2+ op elk endpoint; certificaten beheerd door Microsoft Azure (DigiCert)
• Versleuteling in rust: Azure Postgres Flexible Server transparante gegevensversleuteling; Azure Blob Storage-versleuteling
• Versleuteling op veldniveau: AES-256-GCM voor biometrische gegevens (rijbewijsafbeeldingen, handtekeningafbeeldingen), sleutels opgeslagen in Azure Key Vault
• Wachtwoordhashing: bcrypt, 12 rondes
• Authenticatie: JWT-toegangstokens (1 uur geldigheid) + vernieuwingstokens (7 dagen geldigheid, rotatie bij gebruik); SSO via Google en Microsoft als MFA-equivalent
• Tenantscheiding: afgedwongen op elke API-route, regressiegetest via een 25-vector cross-tenant-audit bij elke release
• Rolgebaseerde toegangscontrole: zes rollen (admin, ops_manager, gate_guard, warehouse_operator, carrier, super_admin), least-privilege middleware
• Webapplicatiefirewall: Azure Front Door + beheerde WAF (OWASP Core Rule Set, botbeveiliging, L7 DDoS)
• Snelheidsbeperking: limieten per route, strenger op auth-endpoints; in-memory en persistente pogingregistratie
• Auditlogboek: alleen toevoegen op applicatieniveau, 6 jaar bewaring, GMP-relevante vermeldingen apart gemarkeerd, gepseudonimiseerd (niet verwijderd) bij verzoek tot wissing op grond van Art. 17 onder Art. 17(3)(b)
• Continue monitoring: Azure Application Insights, schema-afwijkingsmelding (venster van 15 minuten), end-to-end /health/db-write-probe, anomaliewerker voor breukmonitoring (pieken in mislukte aanmeldingen, multi-IP-aanvallen, aanmeldingen vanuit ander land, 5xx-percentage)
• Softwaretoeleveringsketen: npm audit, Trivy, Semgrep, gitleaks, OWASP ZAP bij elke PR. Geheimen: Azure Key Vault benaderd via beheerde identiteit van App Service; geen geheimen in code, omgevingsbestanden of containerimages

8. Melding van Inbreuk op Persoonsgegevens

De Verwerker stelt de Verwerkingsverantwoordelijke zonder onredelijke vertraging en uiterlijk binnen 72 uur na kennisneming in kennis van een inbreuk op persoonsgegevens die betrekking heeft op de gegevens van de Verwerkingsverantwoordelijke (Art. 33). De melding omvat de aard van de inbreuk, de categorieën en het geschatte aantal betroffen betrokkenen, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en de referentie in het inbreukregister. Gedetecteerde anomalieën worden doorgestuurd naar Azure Monitor Action Group yardtwin-breach-actions; bevestigde incidenten worden bijgehouden in de tabel van het inbreukregister met een afteltimer van 72 uur voor de DPC.

9. Rechten van Betrokkenen

De Verwerker stelt de Verwerkingsverantwoordelijke de volgende eindpunten ter beschikking om te voldoen aan de rechten van betrokkenen binnen de termijn van 30 dagen op grond van Art. 12(3):

• POST /api/v1/dsar/export/by-email — machineleesbare export voor Art. 15 (inzage) en Art. 20 (overdraagbaarheid)
• POST /api/v1/dsar/erase/by-email — pseudonimisering in alle PII-tabellen, met behoud van auditlogbewaring conform Art. 17(3)(b)
• Selfserviceportaal voor verzoeken op /data-request

10. Internationale Doorgiften

Operationele gegevens worden opgeslagen binnen de Europese Economische Ruimte (Microsoft Azure, Sweden Central + Norway East). Verdere doorgiften aan sub-verwerkers buiten de EER (Resend, Anthropic) worden beheerst door Standaard Contractuele Clausules 2021 met gedocumenteerde Transfer Impact Assessments. Stripe contracteert via Stripe Ireland (EER-primair).

11. Looptijd, Beëindiging & Teruggave van Gegevens

Deze DPA blijft van kracht gedurende de looptijd van de serviceovereenkomst. Bij beëindiging:

• De Verwerkingsverantwoordelijke kan al zijn gegevens binnen 30 dagen exporteren via de exportfuncties in het product of op verzoek
• Na 30 dagen verwijdert de Verwerker alle operationele persoonsgegevens van de Verwerkingsverantwoordelijke
• Auditlogboeken worden 6 jaar na de gebeurtenis bewaard in gepseudonimiseerde vorm, zoals vereist door 21 CFR Part 11 / EU GMP Annex 11 (wettelijke-verplichting uitzondering op grond van Art. 17(3)(b))
• Back-ups worden binnen 7 dagen na operationele verwijdering gewist, in lijn met het herstelvenster voor point-in-time recovery

12. Auditrechten

De Verwerker stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om naleving van Art. 28 GDPR aan te tonen. Klanten kunnen opvragen: kopieën van relevante beveiligingscertificeringen en auditrapporten (indien beschikbaar), het actuele sub-verwerkerregister, het meest recente regressietestrappport voor tenant-isolatie, de meest recente samenvatting van externe penetratietests (indien uitgebracht, zie GDPR-beleid 11.1), en antwoorden op een leveranciersbeveiligingsvragenlijst. Redelijke audits op locatie of op afstand kunnen worden afgesproken met een opzegtermijn van minimaal 30 dagen, uitgevoerd door de Verwerkingsverantwoordelijke of een onafhankelijke derde partij gebonden aan vertrouwelijkheid. De Verwerker geeft voorrang aan ISO 27001 / SOC 2 Type II-rapporten als vervangende bewijsmiddelen zodra die certificeringen zijn verkregen.

13. Aansprakelijkheid & Toepasselijk Recht

De aansprakelijkheid uit hoofde van deze DPA is onderworpen aan de beperkingen zoals uiteengezet in de YARDtwin Gebruiksvoorwaarden. Deze DPA wordt beheerst door het recht van Ierland en de EU Algemene Verordening Gegevensbescherming (GDPR). Eventuele geschillen zijn onderworpen aan de exclusieve bevoegdheid van de rechtbanken van Ierland.

14. Contact

Voor vragen over deze DPA, het aanvragen van een mede-ondertekend exemplaar of het uitoefenen van de hierboven genoemde rechten, neem contact op met admin@yardtwin.com of de Functionaris voor Gegevensbescherming op dpo@yardtwin.com. Er wordt een externe fractional DPO gecontracteerd (GDPR-beleid 11.2); tot de aanstelling wordt e-mail naar dpo@yardtwin.com doorgestuurd naar admin@yardtwin.com.