Verwerkersovereenkomst

1. Partijen en rollen

Kilomo B.V., gevestigd aan Ben van Meerendonkstraat 15, 1087 LB Amsterdam. Bereikbaar via info@kilomo.nl.

De rijschool die Kilomo gebruikt is verwerkingsverantwoordelijke. Kilomo is verwerker in de zin van artikel 28 van de Algemene verordening gegevensbescherming (AVG). Woorden als persoonsgegevens, verwerking en datalek hebben de betekenis die de AVG eraan geeft.

2. Onderwerp en duur

Kilomo verwerkt persoonsgegevens om de dienst te leveren die in de algemene voorwaarden staat: planning, leerlingadministratie, lesverslagen, examens, lestegoed, facturen, e-mails en de apps voor instructeurs en leerlingen. Deze overeenkomst duurt zo lang als de rijschool Kilomo gebruikt, en daarna zolang Kilomo nog gegevens van de rijschool bewaart.

3. Welke gegevens, van wie

Betrokkenen

• Leerlingen en hun contactpersonen, zoals ouders of de werkgever die betaalt
• Instructeurs en andere medewerkers van de rijschool
• Contactpersonen van zakelijke klanten van de rijschool

Soorten gegevens

• Naam, voorletters, geslacht, geboortedatum en geboorteplaats
• Adres, e-mailadres en telefoonnummer, en factuurgegevens
• CBR-kandidaatnummer en de status van de gezondheidsverklaring (alleen de status, geen medische inhoud)
• Planning, lesverslagen, beoordelingen, notities, examenuitslagen en lestegoed
• Facturen, betalingen en de status van een machtiging
• Een profielfoto, als de rijschool of de persoon die toevoegt
• Inloggegevens en een logboek van belangrijke handelingen

Kilomo vraagt niet om een burgerservicenummer (BSN). De rijschool legt geen BSN vast in Kilomo.

4. Wat Kilomo belooft

1. Kilomo verwerkt de gegevens alleen op schriftelijke instructie van de rijschool. Het gebruik van Kilomo zoals bedoeld geldt als die instructie. Vindt Kilomo een instructie in strijd met de AVG, dan meldt zij dat direct.
2. Kilomo gebruikt de gegevens nooit voor eigen doeleinden en verkoopt ze niet.
3. Iedereen die bij Kilomo toegang heeft tot de gegevens heeft een geheimhoudingsplicht.
4. Kilomo helpt de rijschool bij verzoeken van betrokkenen (inzage, correctie, verwijdering, overdracht), bij een gegevensbeschermingseffectbeoordeling en bij vragen van de Autoriteit Persoonsgegevens.

5. Beveiliging

Kilomo neemt passende technische en organisatorische maatregelen, waaronder:

• Versleutelde verbindingen (TLS) voor de website, het portaal, de apps en de API
• Wachtwoorden alleen gehasht opgeslagen (PBKDF2 met SHA-256)
• Elke rijschool strikt gescheiden van andere rijscholen, en rollen binnen de rijschool
• Een logboek van wijzigingen dat de rijschool zelf kan inzien
• Toegang tot productiesystemen alleen voor wie het voor zijn werk nodig heeft

6. Subverwerkers

De rijschool geeft toestemming voor deze subverwerkers:

• Cloudflare, Inc.: Hosting, database en bestandsopslag. Locatie: EU en VS.
• Resend, Inc.: Versturen van e-mails. Locatie: EU (Ierland), bedrijf in de VS.
• Google LLC (Maps Platform): Adressen aanvullen en routes berekenen. Locatie: EU en VS.

Kilomo legt subverwerkers minstens dezelfde verplichtingen op als in deze overeenkomst. Komt er een subverwerker bij, dan meldt Kilomo dat minstens een maand vooraf. De rijschool kan dan bezwaar maken en, als we er samen niet uitkomen, de overeenkomst opzeggen.

Gegevens gaan alleen buiten de Europese Economische Ruimte met een passende waarborg, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.

Koppelt de rijschool zelf Mollie voor betalingen, dan is Mollie geen subverwerker van Kilomo: de rijschool heeft daarvoor een eigen overeenkomst met Mollie.

7. Datalekken

Ontdekt Kilomo een datalek dat de gegevens van de rijschool raakt, dan meldt zij dat zonder onredelijke vertraging en uiterlijk binnen 48 uur aan de rijschool. Kilomo geeft daarbij alle informatie die de rijschool nodig heeft om binnen 72 uur bij de Autoriteit Persoonsgegevens te kunnen melden. Melden bij de toezichthouder en de betrokkenen blijft de taak van de rijschool.

8. Controle

De rijschool mag controleren of Kilomo zich aan deze overeenkomst houdt. Kilomo geeft daarvoor de nodige informatie. Een audit door een onafhankelijke deskundige kondigt de rijschool minstens twee weken vooraf aan; de rijschool draagt de kosten, tenzij blijkt dat Kilomo zich niet aan de afspraken houdt.

9. Einde van de overeenkomst

Vraagt de rijschool daar binnen een maand na het einde om, dan levert Kilomo de gegevens aan in een gangbaar bestandsformaat. Uiterlijk drie maanden na het einde heeft Kilomo alle gegevens van de rijschool verwijderd, tenzij de wet langer bewaren verplicht. Op verzoek bevestigt Kilomo de verwijdering schriftelijk.

10. Aansprakelijkheid en recht

Voor aansprakelijkheid gelden de algemene voorwaarden. Op deze overeenkomst is Nederlands recht van toepassing. Vragen hierover? Mail info@kilomo.nl.