Verwerkersovereenkomst Arrivo
Versie 2026-10 · 14 oktober 2026
Concept — laten nakijken voor gebruik
De gegevens van de verkoper zijn nog niet volledig ingesteld.
Partijen
De organisatie die Arrivo gebruikt (de Klant, verwerkingsverantwoordelijke) en Black Oak Agency, gevestigd aan [adres], KvK [KvK-nummer], [e-mailadres] (de Verwerker). Deze overeenkomst hoort bij de algemene voorwaarden en gaat daar voor waar het om persoonsgegevens gaat.
1. Begrippen
Begrippen als persoonsgegevens, verwerking, betrokkene, subverwerker en inbreuk in verband met persoonsgegevens (een datalek) hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG).
2. Onderwerp, doel en duur
- De Verwerker verwerkt persoonsgegevens namens de Klant, alleen om Arrivo te leveren: bezoekers registreren, de aanwezigheidslijst voor de BHV bijhouden, medewerkers berichten over hun bezoek en hen laten inloggen.
- Het doel is de veiligheid in het pand (wie is er binnen bij een ontruiming), het ontvangen van bezoek en het beheer van de dienst.
- Deze overeenkomst loopt zolang de Verwerker persoonsgegevens voor de Klant verwerkt, tot en met het verwijderen in artikel 11.
3. Welke gegevens, van wie
- Bezoekers: naam, bedrijf, reden van het bezoek of de contactpersoon, de tijden van aan- en afmelden en de bevestiging van de veiligheidsinstructie; bij een vooraanmelding optioneel een e-mailadres.
- Medewerkers van de Klant: naam, e-mailadres, mobiel nummer (optioneel), rollen in Arrivo, inlogmomenten en de pushabonnementen van hun apparaten. Het mobiele nummer gebruikt Arrivo ook om de medewerker met een code per sms te laten inloggen; die sms gaat via SMTP2GO.
- Arrivo verwerkt geen bijzondere persoonsgegevens en geen strafrechtelijke gegevens. De Klant zet die er ook niet in, bijvoorbeeld niet in de vrije tekstvelden.
4. Verplichtingen van de Verwerker
- De Verwerker verwerkt alleen op instructie van de Klant. Het gebruik en de instellingen van Arrivo door de Klant gelden als instructie.
- Iedereen die bij de Verwerker toegang heeft tot de gegevens, heeft een geheimhoudingsplicht.
- De Verwerker gebruikt de gegevens niet voor eigen doeleinden.
- De Verwerker helpt de Klant waar redelijk bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij vragen van de Autoriteit Persoonsgegevens.
5. Beveiliging
De Verwerker neemt passende technische en organisatorische maatregelen, waaronder:
- Klantscheiding met twee sloten: elke vraag aan de database wordt in de applicatie gefilterd op de klant, en de database zelf (Row-Level Security) laat een verbinding alleen de rijen van één klant zien en schrijven.
- Versleuteling: al het verkeer gaat via https (TLS). Geheime sleutels, zoals de sms-sleutel van een klant, staan versleuteld opgeslagen met een sleutelring die zelf ook versleuteld is. Inloglinks, codes en sessies staan alleen als hash in de database.
- Inloggen zonder wachtwoord, met eenmalige links of codes en limieten tegen raden.
- Hosting in Duitsland (EU), met dagelijkse back-ups en een momentopname vóór elke nieuwe versie.
- Automatisch opruimen volgens de bewaartermijnen in artikel 10.
- Toegang tot het beheer van het platform alleen voor aangewezen personen, met een eigen login.
6. Subverwerkers
De Klant geeft toestemming voor deze subverwerkers:
| Subverwerker | Wat | Waar |
|---|---|---|
| Hetzner Online GmbH, via DeployLane | Hosting van de applicatie en de database | Duitsland |
| SMTP2GO | Versturen van mail en sms: inloglinks en -codes, berichten aan medewerkers, welkomstmails aan bezoekers | Nieuw-Zeeland (passend beschermingsniveau volgens de Europese Commissie) |
| Stripe | Betalingen en facturen. Alleen gegevens van de Klant als afnemer; geen gegevens van bezoekers of medewerkers | EU (Ierland), met doorgifte op basis van standaardcontractbepalingen |
- De Verwerker meldt een nieuwe of andere subverwerker vooraf per e-mail aan de beheerders. De Klant kan binnen 14 dagen bezwaar maken; komen partijen er niet uit, dan kan de Klant kosteloos opzeggen.
- De Verwerker legt subverwerkers dezelfde verplichtingen op als in deze overeenkomst.
- Persoonsgegevens gaan alleen naar een land buiten de Europese Economische Ruimte met een passend beschermingsniveau of met de standaardcontractbepalingen van de Europese Commissie.
7. Rechten van betrokkenen
De Klant kan in Arrivo zelf gegevens inzien, wijzigen, exporteren en verwijderen. De Verwerker helpt bij een verzoek dat de Klant niet zelf kan afhandelen, en stuurt een verzoek dat bij hem binnenkomt door naar de Klant.
8. Datalekken (meldplicht)
- De Verwerker meldt een datalek zonder onredelijke vertraging, uiterlijk binnen 48 uur na ontdekking, aan de beheerders van de Klant.
- De melding zegt wat er is gebeurd, welke gegevens en hoeveel betrokkenen het raakt, wat de gevolgen waarschijnlijk zijn, en welke maatregelen zijn genomen of worden voorgesteld.
- De Klant beslist over een melding aan de Autoriteit Persoonsgegevens en aan betrokkenen; de Verwerker helpt daarbij.
9. Audit
De Verwerker geeft op verzoek de informatie die nodig is om te laten zien dat hij zich aan deze overeenkomst houdt. Een audit door een onafhankelijke deskundige kan eens per jaar, op kosten van de Klant en met een redelijke aankondiging.
10. Bewaartermijnen
- Bezoeken: automatisch verwijderd na de bewaartermijn die de Klant instelt (standaard 30 dagen, tussen 1 en 3650 dagen).
- Vooraanmeldingen, met namen en e-mailadressen van gasten: de dag na het bezoek.
- Logboekregels met persoonsgegevens (aanmelden, afmelden, vooraanmeldingen, aanbellen): dezelfde bewaartermijn als bezoeken. Overige logboekregels: 90 dagen.
- Verzonden meldingen (mail, sms, push): 30 dagen; de inhoud van inloglinks en codes direct na het versturen.
- Medewerkers: tot de Klant ze verwijdert, of tot het einde van de overeenkomst.
- Inlogverzoeken (e-mailadres of mobiel nummer): tot een dag na het verlopen van het verzoek.
- Sessies: 30 dagen na het verlopen of intrekken van de sessie.
- Ontruimingen: aantallen, tijden en wie de ontruiming startte en beëindigde, zolang het account bestaat.
11. Einde en verwijderen
- Na het einde van het abonnement, of na de proef zonder abonnement, staat Arrivo 14 dagen op alleen-lezen en wordt het account daarna geblokkeerd. 60 dagen na het blokkeren verwijdert de Verwerker alle persoonsgegevens van de Klant definitief. Alleen een registratie dat het account bestond (naam van de organisatie en datum) blijft.
- Op verzoek van de Klant verwijdert de Verwerker de gegevens eerder.
- Back-ups waarin de gegevens nog voorkomen, verlopen volgens het back-upschema en worden niet meer teruggezet.
- Tot het verwijderen kan de Klant zijn bezoekershistorie exporteren.
12. Aansprakelijkheid en slotbepalingen
Voor de aansprakelijkheid geldt artikel 11 van de algemene voorwaarden, voor zover de wet dat toelaat. Op deze overeenkomst is Nederlands recht van toepassing.
Vragen of een melding: [e-mailadres].