Verwerkersovereenkomst
Versie 2026-10, bijgewerkt op 19 oktober 2026.
Jouw garage bepaalt waarom en hoe de gegevens van je klanten worden gebruikt (verwerkingsverantwoordelijke). Brugwacht verwerkt ze alleen in jouw opdracht (verwerker). Deze overeenkomst legt dat vast, zoals de AVG in artikel 28 vraagt. Je gaat ermee akkoord bij het aanmaken van je account.
1. Partijen
Verwerkingsverantwoordelijke: de organisatie die het account heeft aangemaakt. Verwerker: Spinbox, handelend onder de naam Brugwacht Software, Vleumingen 37, 6691 CW Gendt (KvK 51241245).
2. Onderwerp en duur
We verwerken persoonsgegevens om Brugwacht te leveren: plannen, werkorders, berichten aan je klanten, facturen, betaallinks, online boeken, de statuspagina en de koppelingen die jij aanzet. De overeenkomst loopt zolang je account bestaat, en daarna tot alle gegevens zijn verwijderd of teruggegeven.
3. Welke gegevens en van wie
| Betrokkenen | Gegevens |
|---|---|
| Klanten van de garage (particulier en zakelijk), contactpersonen, bestuurders van leaseauto's | Naam, telefoon, e-mail, adres, aanspreekvorm en taal, voorkeurskanaal, toestemmingen |
| Auto's van klanten | Kenteken, VIN, RDW-gegevens, kilometerstand, onderhouds- en APK-historie, inspecties en foto's |
| Klanten en de garage | Afspraken, werkorders, akkoorden en handtekeningen, berichten, facturen, kassabonnen en betalingen |
| Medewerkers van de garage | Naam, e-mail, telefoon, rol, gewerkte tijd, inloggegevens en audit-log |
We verwerken geen bijzondere persoonsgegevens. Het BSN hoort niet in Brugwacht. De PIN van een keurmeester slaan we nooit op.
4. Onze verplichtingen
- We verwerken de gegevens alleen op jouw schriftelijke instructie: deze overeenkomst, je instellingen en wat je in de software doet.
- Iedereen bij ons die bij de gegevens kan, heeft een geheimhoudingsplicht. Supporttoegang tot jouw omgeving vindt alleen plaats met jouw toestemming, is tijdelijk en wordt gelogd.
- We nemen passende beveiligingsmaatregelen (zie hieronder en op de beveiligingspagina).
- We helpen je bij verzoeken van klanten (inzage, correctie, verwijdering, export). De meeste kun je zelf afhandelen vanuit de klantkaart.
- We helpen je bij een DPIA of een vraag van de Autoriteit Persoonsgegevens, voor zover dat redelijk is.
5. Beveiliging
- Opslag en back-ups in datacenters in de EU, versleuteld (at rest en in transit, TLS 1.2+).
- Strikte scheiding tussen garages op databaseniveau (row-level security), getest bij elke wijziging.
- Inloggen met een eenmalige link, passkey of tweestapsverificatie; rechten per rol en vestiging.
- Audit-log van wie wat heeft ingezien of veranderd; dagelijkse back-ups met een hersteltest.
- Koppelingsgegevens (zoals API-sleutels) apart versleuteld met een sleutel per garage.
6. Datalekken
Ontdekken we een beveiligingsincident met persoonsgegevens, dan melden we dat zonder onredelijke vertraging en uiterlijk binnen 24 uur aan de eigenaar en beheerders van je account, met wat we weten: wat er is gebeurd, welke gegevens, hoeveel betrokkenen en welke maatregelen we nemen. Zo kun jij binnen 72 uur melden bij de Autoriteit Persoonsgegevens als dat nodig is.
7. Subverwerkers
Je geeft ons toestemming om de onderstaande subverwerkers in te zetten. Met elk van hen hebben we een verwerkersovereenkomst met minstens dezelfde verplichtingen. Een nieuwe subverwerker kondigen we 30 dagen vooraf aan; je kunt dan bezwaar maken en, als we er samen niet uitkomen, kosteloos opzeggen.
| Subverwerker | Waarvoor | Waar |
|---|---|---|
| Hetzner Online GmbH | Hosting: server, database, bestanden en versleutelde back-ups | Duitsland; back-ups in Finland (EU) |
| Mailgun Technologies, Inc. (Sinch) | Verzenden en ontvangen van e-mail, met afleverstatus | EU-regio (gegevens in de EU) · standaardcontractbepalingen |
| Postmark (ActiveCampaign, LLC) | Verzenden van e-mail aan je klanten en aan jou, met afleverstatus | Verenigde Staten · standaardcontractbepalingen (en het EU-VS Data Privacy Framework) |
| Spryng B.V. | Verzenden van sms-berichten | Nederland (EU) |
| Functional Software, Inc. (Sentry) | Foutmeldingen van de software, zonder inhoud van klantdossiers | Foutgegevens in de EU-regio (Duitsland); account en metadata in de Verenigde Staten · Data Privacy Framework en standaardcontractbepalingen |
| Cloudflare, Inc. (Turnstile) | Spambescherming op de boekingspagina en het aanmelden | Wereldwijd netwerk · Data Privacy Framework en standaardcontractbepalingen |
| Meta Platforms Ireland Ltd. | WhatsApp Business-berichten (alleen als je WhatsApp koppelt) | Ierland (EU); doorgifte naar de VS onder het Data Privacy Framework |
| Storecove | Verzenden en ontvangen van e-facturen via Peppol (alleen als je Peppol gebruikt) | EU |
Daarnaast wisselen we gegevens uit met partijen die jij zelf kiest of koppelt, zoals de RDW, je betaalprovider (Mollie), je boekhoudpakket, ROB-Net of een reviewplatform. Die partijen werken op basis van jouw eigen overeenkomst met hen.
8. Doorgifte buiten de EU
Gegevens worden opgeslagen in de EU. Waar een subverwerker gegevens buiten de EU kan verwerken, staat dat in de tabel, met de waarborg (EU-VS Data Privacy Framework of standaardcontractbepalingen).
9. Einde van de overeenkomst
Na het opzeggen kun je 90 dagen al je gegevens exporteren. Daarna verwijderen we ze, inclusief back-ups binnen 35 dagen, tenzij een wettelijke plicht ons dwingt iets langer te bewaren.
10. Audit
Je mag eens per jaar (op je eigen kosten) laten controleren of we ons aan deze overeenkomst houden. We beginnen dan graag met onze eigen rapportages en certificaten van de hostingpartij. Vragen over privacy: privacy@brugwacht.nl.