Verwerkersovereenkomst (DPA)

Versie DPA-2026-v3. Laatste update: 6 september 2026.

Versie DPA-2026-v3. Uitgever: UMUMENTUM SRL (“SEIDO”). Referentietaal: Frans; deze vertaling wordt louter ter informatie verstrekt, de Franse tekst heeft voorrang.

Preambule

Deze Verwerkersovereenkomst (“DPA”) maakt integraal deel uit van de overeenkomst gesloten tussen:

• De Verwerkingsverantwoordelijke: de professionele Klant die intekent op de diensten van SEIDO (de “Verwerkingsverantwoordelijke” of “Klant”);

en

• De Verwerker: UMUMENTUM SRL, Rue de Grand-Bigard 14, 1082 Sint-Agatha-Berchem, België, KBO 0775.691.974, btw BE0775691974, uitgever van het platform SEIDO (de “Verwerker” of “SEIDO”).

Hierna samen de “Partijen”.

Deze DPA regelt de verwerking, door SEIDO als verwerker, van de persoonsgegevens waarvoor de Klant verwerkingsverantwoordelijke is, in het kader van het gebruik van het Platform. Zij vult de Gebruiksvoorwaarden, de Verkoopvoorwaarden en het Privacybeleid aan.

Hiërarchie van de contractuele documenten. Bij tegenstrijdigheid zijn de documenten van toepassing in de volgende afnemende volgorde van voorrang: (1) de ondertekende Bijzondere Voorwaarden; (2) de Verwerkersovereenkomst (DPA), voor alles wat persoonsgegevens betreft; (3) de Algemene Verkoopvoorwaarden (Verkoopvoorwaarden), voor het commerciële luik; (4) de Algemene Gebruiksvoorwaarden (Gebruiksvoorwaarden), voor het gebruiksluik; (5) de beleidsdocumenten (Privacy, Cookies). Dezelfde volgorde van voorrang wordt, woord voor woord, hernomen in de drie documenten.

Artikel 1 : Definities

De termen “persoonsgegevens”, “verwerking”, “verwerkingsverantwoordelijke”, “verwerker”, “betrokkene” en “inbreuk in verband met persoonsgegevens” hebben de betekenis die artikel 4 van de AVG eraan geeft. “AVG” verwijst naar Verordening (EU) 2016/679.

Artikel 2 : Voorwerp, duur, aard en doel van de verwerking

• Voorwerp en aard: hosting en verwerking van persoonsgegevens die nodig zijn voor de levering van de diensten van huurbeheer en organisatie van interventies van het Platform.
• Doel: de Klant in staat stellen zijn patrimonium, zijn huurders, zijn dienstverleners, zijn overeenkomsten, zijn huurgelden, zijn interventies en de bijbehorende communicatie via het Platform te beheren.
• Duur: de verwerking duurt zolang de dienstenovereenkomst loopt, en vervolgens gedurende de bewaartermijnen voorzien in artikel 9.

De details (categorieën van gegevens, categorieën van betrokkenen) staan in Bijlage 1.

Artikel 3 : Gedocumenteerde instructies

SEIDO verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Klant, ook voor doorgiften buiten de EER, tenzij een wettelijke verplichting anders bepaalt, in welk geval SEIDO de Klant vóór de verwerking informeert, tenzij de wet dat verbiedt.

Deze bepalingen, de overeenkomst en het gebruik van de functies van het Platform door de Klant vormen de initiële gedocumenteerde instructies. SEIDO informeert de Klant indien een instructie naar haar mening een inbreuk vormt op de AVG of op een andere toepasselijke bepaling inzake gegevensbescherming.

Artikel 4 : Vertrouwelijkheid

SEIDO zorgt ervoor dat de personen die gemachtigd zijn om persoonsgegevens te verwerken zich tot vertrouwelijkheid hebben verbonden of onder een passende wettelijke verplichting tot vertrouwelijkheid vallen, en de nodige opleiding inzake gegevensbescherming krijgen.

Artikel 5 : Beveiliging van de verwerking (art. 32 AVG)

SEIDO treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. Die maatregelen worden beschreven in Bijlage 3.

Artikel 6 : Subverwerkers

De Klant machtigt SEIDO om voor de uitvoering van de diensten een beroep te doen op subverwerkers. De lijst van de toegestane subverwerkers staat in Bijlage 2.

SEIDO legt elke subverwerker contractueel verplichtingen inzake gegevensbescherming op die gelijkwaardig zijn aan die van deze DPA, en blijft ten aanzien van de Klant volledig aansprakelijk voor de nakoming door die subverwerkers van hun verplichtingen.

SEIDO informeert de Klant ten minste dertig (30) dagen vooraf over elke voorgenomen wijziging inzake de toevoeging of vervanging van subverwerkers, zodat de Klant gemotiveerde bezwaren kan indienen. Bij een gemotiveerd bezwaar zoeken de Partijen te goeder trouw een redelijke alternatieve oplossing; bij gebrek daaraan kan de Klant de betrokken dienst zonder boete beëindigen, voor het door de wijziging getroffen deel.

Elke versie van deze DPA is gedateerd en genummerd; de versiegeschiedenis, met de aard van elke wijziging, staat aan het einde van het document en wordt online gepubliceerd op het referentieadres van de DPA. De versie die bij de ondertekende overeenkomst is gevoegd, blijft de versie die de Partijen bindt voor de lopende periode.

Artikel 7 : Bijstand aan de Verwerkingsverantwoordelijke

Rekening houdend met de aard van de verwerking, helpt SEIDO de Klant, met passende technische en organisatorische maatregelen en voor zover mogelijk, om:

• te antwoorden op verzoeken tot uitoefening van de rechten van betrokkenen (art. 12 tot 23 AVG), met name via de export- en verwijderingsfuncties van het Platform;
• de naleving te verzekeren van de verplichtingen inzake beveiliging (art. 32), melding van inbreuken (art. 33-34), gegevensbeschermingseffectbeoordeling / DPIA (art. 35) en voorafgaande raadpleging (art. 36).

Artikel 8 : Melding van inbreuken in verband met persoonsgegevens

SEIDO meldt elke inbreuk in verband met persoonsgegevens aan de Klant zonder onredelijke vertraging nadat zij er kennis van heeft genomen, en uiterlijk achtenveertig (48) uur na de kennisname, met de redelijkerwijs beschikbare informatie (art. 33.3 AVG: aard van de inbreuk, categorieën en bij benadering het aantal betrokkenen en records, waarschijnlijke gevolgen, getroffen maatregelen), zodat de Klant zijn eigen meldingsplichten kan nakomen (art. 33-34 AVG).

Artikel 9 : Lot van de gegevens na afloop van de verwerking

Naar keuze van de Klant en bij het verstrijken of de beëindiging van de overeenkomst wist SEIDO alle persoonsgegevens of geeft zij ze terug en vernietigt zij de bestaande kopieën, behoudens wettelijke bewaarplicht. De teruggave gebeurt in een gestructureerd, gangbaar en machineleesbaar formaat, binnen dertig (30) dagen na het einde van de overeenkomst; de verwijdering van de gegevens uit de actieve systemen gebeurt na die termijn, en het wissen van de versleutelde back-ups binnen maximaal negentig (90) dagen (rotatiecyclus van de back-ups).

Artikel 10 : Audits

SEIDO stelt de Klant alle informatie ter beschikking die nodig is om de naleving van de verplichtingen van artikel 28 AVG aan te tonen en maakt audits mogelijk, met inbegrip van inspecties, door de Klant of een door hem gemachtigde auditor, onder de volgende voorwaarden: mits een redelijke opzegtermijn (ten minste 30 dagen), hoogstens één keer per jaar (behoudens een bewezen beveiligingsincident of een verzoek van een overheid), tijdens de kantooruren, zonder de werking van SEIDO te verstoren en met inachtneming van de vertrouwelijkheid. SEIDO kan aan die verplichting voldoen door een recent onafhankelijk certificerings- of auditrapport (bijv. ISO 27001 / SOC 2) te verstrekken in plaats van een audit ter plaatse. De kosten van een door de Klant gevraagde audit ter plaatse zijn voor zijn rekening, behoudens bewezen tekortkoming van SEIDO.

Artikel 11 : Doorgiften buiten de Europese Unie

Elke doorgifte van persoonsgegevens naar een derde land gebeurt met inachtneming van hoofdstuk V van de AVG, op basis van een adequaatheidsbesluit of van passende waarborgen (met name de standaardcontractbepalingen van de Europese Commissie), in voorkomend geval aangevuld met bijkomende maatregelen.

De lopende doorgiften worden geïdentificeerd in Bijlage 2 (kolommen “Land” en “Doorgiftegrond”). De certificeringen onder het Data Privacy Framework worden daar geverifieerd in het openbare register van het Amerikaanse ministerie van Handel (dataprivacyframework.gov) op de datum van de versie; SEIDO controleert ze opnieuw bij elke nieuwe versie van de DPA en bij elke toevoeging van een subverwerker.

Artikel 12 : Aansprakelijkheid en toepasselijk recht

De aansprakelijkheid van de Partijen onder deze DPA wordt geregeld door de Gebruiksvoorwaarden / Verkoopvoorwaarden en de overeenkomst. Deze DPA is onderworpen aan het Belgische recht; elk geschil valt onder de bevoegdheid van de rechtbanken van het gerechtelijk arrondissement Brussel.

Bijlage 1 : Beschrijving van de verwerking

Categorieën van betrokkenen:

• Huurders en bewoners van de door de Klant beheerde goederen;
• Eigenaars (verhuurders);
• Dienstverleners / aannemers;
• Medewerkers en gebruikers van de account van de Klant (beheerders).

Categorieën van persoonsgegevens:

• Identificatiegegevens (naam, voornaam, adres, telefoon, e-mail);
• Communicatiegegevens (berichten, foto’s, uitgewisselde documenten);
• Interventiegegevens (verslagen, beoordelingen, historiek van de acties);
• Geolocatiegegevens (wanneer nodig voor de interventies);
• Contractuele en huurgegevens (huurovereenkomsten, huurprijzen, plaatsbeschrijvingen);
• Financiële en transactiegegevens (bedragen, betalingsreferenties, bankgegevens in verband met de afstemming van de huurgelden).

Bijzondere categorieën van gegevens (art. 9 AVG): de dienst is niet bestemd voor de verwerking van bijzondere categorieën van gegevens. De Klant (Verwerkingsverantwoordelijke) verbindt zich ertoe via het Platform geen gegevens te uploaden of in te voeren die onder artikel 9 AVG vallen (met name gezondheidsgegevens) buiten wat strikt noodzakelijk is, en blijft als enige verantwoordelijk voor het bepalen van de passende rechtsgrond (art. 9.2 AVG) in voorkomend geval. SEIDO verwerkt die gegevens, indien ze voorkomen (bijv. in een interventieaanvraag), uitsluitend op gedocumenteerde instructie van de Klant en in het kader van de hosting.

Verwerkingsactiviteiten: verzamelen, vastleggen, ordenen, structureren, opslaan, raadplegen, gebruiken, verstrekken, hosten, wissen.

Bijlage 2 : Lijst van subverwerkers

Bijlage 3 : Technische en organisatorische beveiligingsmaatregelen (art. 32 AVG)

Vertrouwelijkheid en toegangscontrole:

• Versleuteling van de communicatie tijdens de overdracht (TLS/SSL);
• Toegangscontrole op basis van rollen (RBAC) en afscherming van de gegevens per organisatie/team (beveiligingsbeleid op rijniveau in de databank);
• Authenticatie van de gebruikers (beheerd door de authenticatieprovider, Supabase Auth); meervoudige authenticatie (MFA) gepland, niet beschikbaar op de datum van deze versie; in afwachting van de uitrol ervan, versterkt wachtwoordbeleid (minimaal twaalf (12) tekens, letters en cijfers) en logging van de toegangen en gevoelige verrichtingen; de Klant wordt geïnformeerd zodra de MFA beschikbaar is;
• Vertrouwelijkheidsverbintenissen van het personeel.

Integriteit en beschikbaarheid:

• Dagelijkse versleutelde back-ups op externe infrastructuur;
• Firewall en bescherming tegen bots/misbruik;
• Logging en traceerbaarheid van de toegangen en gevoelige verrichtingen;

Versleuteling in rust:

• Versleuteling van de gegevens in rust voor de databank (beheerde PostgreSQL) en de objectopslag (bestanden, versleutelde back-ups), verzekerd door de hostinginfrastructuren (Supabase / Cloudflare R2).

Incidentenbeheer:

• Procedure voor de detectie, kwalificatie en melding van inbreuken in verband met persoonsgegevens (artikel 8).

Organisatorische maatregelen:

• Bewustmaking en opleiding van het personeel inzake gegevensbescherming;
• Contractuele omkadering van de subverwerkers;
• Periodieke herziening van de beveiligingsmaatregelen.

Versiegeschiedenis