Verwerkersovereenkomst

Verwerkersovereenkomst „Server-Assist" (click-through) — art. 28 AVG

Versie 1.0 — d.d. 1 september 2026. Eerdere, niet-genummerde versies zijn uitsluitend via de versiegeschiedenis van de repository te reconstrueren.

Deze overeenkomst komt elektronisch tot stand (art. 28 lid 9 AVG) doordat de uploadende organisatie („Verantwoordelijke") de server-assist-optie activeert en de upload start. Verwerker: Rostyslav Myronenko, handelend onder de namen „Rost CAMP" en „Aufsight" (eenmanszaak), Daguerrestraat 23, 1087 BR Amsterdam, Nederland (KvK-nummer 95487530).

1. Onderwerp en duur. Server-side analyse van de door Verantwoordelijke geüploade netwerk-/proxylogbestanden voor het genereren van een geaggregeerd, PII-vrij rapport. De overeenkomst geldt per upload en eindigt met de geautomatiseerde verwijdering van de ruwe data (art. 8).

2. Aard en doel. Parsen van de logbestanden met dezelfde analyse-engine als in de client-side modus; de uitvoer is uitsluitend het geaggregeerde rapportobject. Verdere benutting, analyse of profilering vindt niet plaats.

3. Categorieën. Persoonsgegevens die in de logbestanden van Verantwoordelijke kunnen voorkomen (bijv. IP-adressen, gebruikers-ID's, hostnamen). Betrokkenen: medewerkers en gebruikers van Verantwoordelijke. Verantwoordelijke uploadt geen bijzondere categorieën (art. 9 AVG).

4. Instructies. De gedocumenteerde instructie bestaat uit de upload zelf en het genereren van het geaggregeerde rapport. Andere verwerkingen vinden niet plaats. Meldplicht bij onrechtmatige instructies (art. 28 lid 3, tweede alinea, AVG).

5. Vertrouwelijkheid. Personen met toegang zijn tot geheimhouding verplicht (art. 28 lid 3 sub b, art. 29 AVG).

6. Technische en organisatorische maatregelen (art. 32). Versleutelde opslag (AES-256-GCM), TLS-transportversleuteling, EU-hosting, toegangsbeheer, logging, geautomatiseerde verwijderingsrun met verwijderingsbewijs.

7. Subverwerkers. Algemene toestemming voor: Hetzner Online GmbH (hosting, DE/FI) en/of Scaleway SAS (hosting, FR/NL/PL). Wijzigingen worden vooraf gemeld (recht van bezwaar). Verzending van het rapport per e-mail (PII-vrij aggregaat) verloopt via Brevo/Sendinblue SAS (EU).

8. Verwijdering. De geüploade ruwe data worden na afronding van de verwerking, doch uiterlijk geautomatiseerd 24 uur na de upload, verwijderd; de verwijdering wordt gelogd. Teruggave vindt niet plaats; Verantwoordelijke behoudt de originele bestanden.

9. Bijstand en meldingen. Aufsight ondersteunt Verantwoordelijke in redelijkheid bij betrokkenenrechten en de verplichtingen uit art. 32–36 AVG, waaronder een eventuele gegevensbeschermingseffectbeoordeling (DPIA) van Verantwoordelijke (art. 28 lid 3 sub f). Inbreuken in verband met persoonsgegevens worden onverwijld na kennisname, doch uiterlijk binnen 24 uur, aan Verantwoordelijke gemeld. De melding kan in fasen plaatsvinden; nog niet beschikbare informatie (art. 33 lid 3 AVG) wordt onverwijld nagezonden. Deze termijn laat de eigen meldplicht van Verantwoordelijke (art. 33 lid 1 AVG) onverlet. Bij een inbreuk stelt Aufsight de dan nog beschikbare technische logs (toegangs- en verwijderingslogs) veilig ten behoeve van het onderzoek van Verantwoordelijke; de geautomatiseerde verwijdering van de ruwe data (art. 8) blijft onverkort gelden.

10. Bewijs en controles (art. 28 lid 3 sub h). Aufsight stelt de benodigde informatie beschikbaar en maakt controles in redelijke omvang mogelijk.

11. Verhouding. Voor de inhoud van de logbestanden en de rechtmatigheid van de verwerking is Verantwoordelijke verantwoordelijk; op Verantwoordelijke rusten eventuele informatieplichten jegens betrokkenen en de beoordeling of een DPIA vereist is.

12. Taalversies. Deze overeenkomst bestaat in een Nederlandse en een Duitse taalversie; bij verschillen in inhoud of uitleg is de Nederlandse versie leidend.