Verwerkersovereenkomst

Versie 2026-10-24.

Deze verwerkersovereenkomst (DPA) is opgesteld conform artikel 28 van de AVG/GDPR. Versea verwerkt de persoonsgegevens van de klanten van de Studio in naam van en in opdracht van de Studio. De Studio is de verwerkingsverantwoordelijke, Versea de verwerker.

Aanvaarding in de app. Wanneer een beheerder van de Studio deze overeenkomst in de app aanvaardt, registreren we de versie en de datum van aanvaarding. Die digitale aanvaarding vervangt de fysieke handtekening en geldt als sluiting van de overeenkomst.

1. Partijen

• Verwerkingsverantwoordelijke: de studio (hierna "de Studio"), met de bedrijfsgegevens zoals ingevuld in de app.
• Verwerker: Versea, Kelbergenstraat 91, 3290 Diest, ondernemingsnummer BTW BE0666567667 (hierna "Versea").

Deze overeenkomst maakt integraal deel uit van de gebruiksovereenkomst tussen de Studio en Versea en treedt in werking bij het aanmaken van het account.

2. Voorwerp en duur

Versea levert software voor fotografen (klantenbeheer, communicatie met klanten, nieuwsbrieven, reviews, een publieke website van de Studio en een klantenportaal). Bij die dienstverlening verwerkt Versea persoonsgegevens namens de Studio. De verwerking duurt zolang de gebruiksovereenkomst loopt. Na beëindiging geldt artikel 9.

3. Aard, doel en betrokkenen

• Doel: de Studio in staat stellen zijn klantenbeheer en de communicatie met zijn klanten te voeren via Versea.
• Aard van de verwerking: verzamelen, opslaan, raadplegen, wijzigen, doorsturen (e-mail/SMS/WhatsApp), anonimiseren en wissen.
• Categorieën betrokkenen: klanten van de Studio, personen die zich via de website van de Studio inschrijven voor de nieuwsbrief, personen die de Studio vanaf een onbekend adres een bericht sturen, personen die een review schrijven, en teamleden van de Studio.
• Categorieën gegevens: identificatie- en contactgegevens (naam, bedrijfsnaam en btw-nummer, e-mailadressen, telefoon), geboortedatum (optioneel), kanaalvoorkeur, toestemming voor marketing en de nieuwsbrief, vrije notities en labels die teamleden typen, de volledige berichtenhistoriek (e-mail, sms, WhatsApp, tweerichtingsgesprekken, inclusief bijlagen), interne notities bij gesprekken, reviews (eigen reviews en Google-reviews), verzonden nieuwsbrieven, blokkeringen na een bounce of spamklacht, het toegangstoken van het klantenportaal, en foto's die de Studio op zijn eigen website plaatst.
• Bijzondere categorieën: geen. Shootplanner biedt geen velden aan voor gegevens in de zin van artikel 9 AVG. De Studio verbindt zich ertoe zulke gegevens ook niet in een vrije notitie vast te leggen.

Afbakening: gebruiksstatistieken. Deze overeenkomst dekt de verwerking van de gegevens die de Studio over zijn klanten invoert. Los daarvan houdt Versea, als verwerkingsverantwoordelijke, beperkte diagnostische gebruiksstatistieken bij over het gebruik van de beheeromgeving door de beheerder(s) van de Studio (welke beheerpagina's bezocht worden en hoelang) voor beveiliging en productverbetering (gerechtvaardigd belang). Dit is geen subverwerking van de klantgegevens van de Studio en wordt beschreven in het privacybeleid.

4. Instructies

Versea verwerkt de gegevens uitsluitend op gedocumenteerde instructie van de Studio (deze overeenkomst, de applicatie-instellingen en het gebruik van de functionaliteit). Versea stelt de Studio in kennis als een instructie volgens Versea de AVG of andere wetgeving schendt.

5. Vertrouwelijkheid

Personen die namens Versea toegang hebben tot de gegevens zijn gehouden tot vertrouwelijkheid (contractueel of wettelijk).

6. Beveiliging (art. 32)

Versea neemt passende technische en organisatorische maatregelen, waaronder:

• Strikte tenant-isolatie: elke tabel met gegevens van een studio draagt een studio-id; alle bevragingen lopen door een per studio afgeschermde laag, getest met isolatie-tests.
• Versleutelde verbindingen (TLS) en versleutelde opslag bij de infrastructuurleverancier.
• Dataresidentie: de productiedatabase en de bestandsopslag met alle klant- en studiogegevens, back-ups inbegrepen, zijn bij de infrastructuurleverancier (Cloudflare D1 en R2) vergrendeld op de EU-jurisdictie, waardoor de opslag van die gegevens uitsluitend binnen de EU plaatsvindt, zonder replicatie naar regio's buiten de EU. Edge-computing kan wereldwijd dicht bij de gebruiker draaien zonder daarbij persoonsgegevens persistent te bewaren. De bezorging van e-mail- en sms-/WhatsApp-berichten en de AI-functies verlopen via subverwerkers die de betrokken persoonsgegevens buiten de EU kunnen verwerken, in welk geval de toepasselijke doorgiftewaarborgen (waaronder de standaardcontractbepalingen) gelden.
• Bij elke geüploade foto worden de locatie-, tijd- en cameragegevens verwijderd vóór de opslag.
• Toegangscontrole op rolbasis (eigenaar/manager/teamlid) en aparte platformbeheer-toegang.
• Audit-logboek van gevoelige platformacties.
• Wachtwoorden gehasht; geen opslag van betaalkaartgegevens (betalingen lopen via de betaalprovider).
• Logging en foutmonitoring zonder onnodige persoonsgegevens.

7. Subverwerkers

De Studio geeft algemene toestemming voor het inschakelen van subverwerkers. Versea legt hen dezelfde verplichtingen op en blijft aansprakelijk. Huidige subverwerkers:

• Cloudflare, Inc.: hosting, database (D1), bestandsopslag (R2), edge-netwerk en het ontvangen van e-mail. EU-jurisdictie voor database en opslag; edge-compute wereldwijd zonder persistente opslag.
• Resend: e-mailbezorging (EU/VS).
• Hetzner Online GmbH: de server van de eigen mailontvanger van Versea, enkel actief wanneer de Studio antwoorden op zijn eigen e-maildomein in het platform laat binnenkomen. Een bericht van een klant aan dat domein (afzender, onderwerp, inhoud en bijlagen) passeert die server op weg naar het platform en wordt er niet bewaard (EU, DE).
• Twilio: SMS/WhatsApp-bezorging, enkel wanneer de Studio dat kanaal aanzet (EU/VS).
• Mollie: betalingen abonnement (EU).
• Recommand: Peppol e-facturatie (EU, BE).
• Sentry (Functional Software, Inc.): foutmonitoring/diagnostiek; capability-tokens worden uit de foutgegevens verwijderd vóór verzending.
• Google: het ophalen van de reviews van het Google-bedrijfsprofiel, enkel wanneer de Studio dat profiel koppelt (EU/VS).
• Anthropic, PBC: AI-taalmodel voor de Shootplanner-assistent, de automatische beantwoording van klantberichten, een voorstel voor een antwoord op een bericht of op een review van een klant en, indien de Studio de AI zijn foto's laat bekijken (standaard uit), de automatische analyse van foto's die de Studio naar zijn website uploadt (om het focuspunt en een omschrijving/alt-tekst voor te stellen) (VS; SCC's). Enkel actief wanneer de Studio die functies aanzet en de doorgifte naar de VS uitdrukkelijk aanvaardt, respectievelijk wanneer het de AI zijn foto's laat bekijken en daarna een foto uploadt: de vraag van de beheerder of de klant en de daarvoor opgevraagde gegevens van de Studio, respectievelijk de geüploade foto, worden ter verwerking aangeboden. Die gegevens omvatten de pakketten, prijzen en openbare gegevens van de Studio, en persoonsgegevens van klanten van de Studio: de naam, ingekort tot voornaam en initiaal, en door de klant zelf ingevoerde tekst (bv. een bericht of review), waaruit telefoonnummers en e-mailadressen eerst verwijderd worden. Telefoonnummers, e-mailadressen, postadressen en vrije klantnotities gaan NOOIT mee: het model krijgt daarvoor enkel een verwijzing naar de klant in de app. Niet gebruikt voor modeltraining; gesprekken en foto's worden na 3 maanden inactiviteit gewist.

Wijzigingen worden vooraf gemeld; de Studio kan gemotiveerd bezwaar maken. Voor doorgiften buiten de EER gelden de standaardcontractbepalingen (SCC's).

8. Bijstand aan de Studio

Versea helpt de Studio, rekening houdend met de aard van de verwerking, bij:

• Rechten van betrokkenen: de applicatie biedt per klant een gegevensexport (recht op inzage/overdraagbaarheid) en anonimisering (recht op vergetelheid: de persoonsgegevens, vrije tekst en berichtenhistoriek worden gewist, op één zaak na). Die ene zaak: bouncede een e-mailadres of werd een bericht als spam gemeld, dan blijft dat adres op de blokkeerlijst van de Studio staan, zodat er geen e-mail meer naartoe vertrekt als dezelfde persoon later terugkomt; enkel een antwoord op een bericht dat die persoon zelf stuurt, gaat nog door. Dat adres staat ook in de gegevensexport van die klant. Commerciële e-mails bevatten een één-klik-afmeldlink (opt-out).
• Beveiligingsmaatregelen, datalekmeldingen en gegevensbeschermingseffectbeoordelingen (DPIA).

9. Teruggave en wissing

Bij beëindiging wist of anonimiseert Versea de persoonsgegevens binnen 30 dagen, tenzij wetgeving bewaring vereist. De teruggave gebeurt door de Studio zelf: “Alles exporteren” onder Instellingen → Import/Export levert alle gegevens van de Studio als één bestand en blijft ook na stopzetting bereikbaar. Lukt dat niet, dan levert Versea de export op verzoek.

Ook tijdens de looptijd gelden bewaartermijnen (opslagbeperking): de inhoud van klantberichten en gesprekken wordt na 24 maanden gewist (het feit dát er een bericht verstuurd werd, met type, status en datum, blijft voor de historiek), bijlagen die klanten sturen na 12 maanden, product-analytics wordt na 13 maanden geanonimiseerd, het beheer-audit-logboek wordt na 5 jaar geanonimiseerd (de actie blijft, de uitvoerder en details niet), en het platform-postvak en de campagne-verzendlog worden na 24 maanden verwijderd. Factuurgegevens vallen hier niet onder wegens de wettelijke bewaarplicht.

10. Datalekken

Versea meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 48 uur na kennisname aan de Studio, met de beschikbare informatie zodat de Studio zijn meldplicht (72 u aan de Gegevensbeschermingsautoriteit) kan nakomen.

11. Audits

Versea stelt op redelijk verzoek de informatie ter beschikking die nodig is om de naleving van art. 28 aan te tonen, en werkt mee aan audits (max. één per jaar, redelijke kennisgeving, tijdens kantooruren).

12. Toepasselijk recht

Belgisch recht; bevoegde rechtbanken van het arrondissement van de zetel van Versea.

13. Aansprakelijkheid

Elke partij is aansprakelijk voor de schade die voortvloeit uit een inbreuk op haar verplichtingen onder deze overeenkomst en de AVG, binnen de grenzen van artikel 82 AVG en de aansprakelijkheidsbeperkingen in de gebruiksovereenkomst tussen de Studio en Versea.