Verwerkersovereenkomst eQuip Profiles

Versie 1, 10 oktober 2026 (concept, nog te toetsen door een privacyjurist). Standaard voor alle coaches, praktijken en bedrijven die eQuip Profiles gebruiken; akkoord wordt in de app vastgelegd.

Partijen

1. [Naam coach, praktijk of organisatie], gevestigd te [plaats], KvK [nummer], hierna "Verantwoordelijke".
2. Klei Eqon BV, handelend onder de naam eQuip Profiles, gevestigd aan de Stavangerweg 1, 9723 JC Groningen, KvK 84753072, hierna "Verwerker".

1. Onderwerp

Verwerker levert de online analyse eQuip Profiles (gedrag, drijfveren en denkstijlen). Verantwoordelijke nodigt deelnemers uit; Verwerker verwerkt hun gegevens alleen om de vragenlijst af te nemen, de uitslag te berekenen en het rapport te tonen, zoals beschreven in bijlage 1.

2. Instructies

Verwerker verwerkt persoonsgegevens alleen op schriftelijke instructie van Verantwoordelijke. Het gebruik van de app (uitnodigen, delen, verwijderen) geldt als instructie. Verwerker gebruikt de gegevens niet voor eigen doelen, met één uitzondering: antwoorden zonder naam, samengevoegd, om de vragenlijst en teksten te verbeteren. Daarvoor geeft de deelnemer bij het invullen zelf toestemming.

3. Geheimhouding

Iedereen die bij Verwerker toegang heeft tot persoonsgegevens, is tot geheimhouding verplicht.

4. Beveiliging

Verwerker neemt passende technische en organisatorische maatregelen. De maatregelen op dit moment staan in bijlage 2.

5. Subverwerkers

Verwerker schakelt de subverwerkers uit bijlage 3 in. Een nieuwe subverwerker meldt Verwerker minstens 4 weken vooraf; Verantwoordelijke kan bezwaar maken. Verwerker legt aan subverwerkers dezelfde verplichtingen op.

6. Doorgifte buiten de EU

Persoonsgegevens van deelnemers worden niet buiten de Europese Economische Ruimte verwerkt.

7. Rechten van deelnemers

Verwerker helpt Verantwoordelijke bij verzoeken van deelnemers. De deelnemer kan zijn gegevens ook zelf verwijderen via zijn persoonlijke link; Verantwoordelijke krijgt daar een melding van, zonder naam.

8. Datalekken

Verwerker meldt een datalek zonder onnodige vertraging, en uiterlijk binnen 24 uur na ontdekking, aan Verantwoordelijke, met de informatie die nodig is voor een melding aan de Autoriteit Persoonsgegevens. Zie ook de datalekprocedure van eQuip Profiles.

9. Bewaren en verwijderen

Rapporten en gegevens van deelnemers worden een maand na het invullen automatisch verwijderd, of eerder op verzoek van Verantwoordelijke of de deelnemer. Verantwoordelijke krijgt vooraf twee keer een herinnering om het rapport te downloaden. Bij deelnemers die daar toestemming voor gaven, bewaart Verwerker daarna alleen antwoorden en scores zonder naam, e-mail, link of datum, om de vragenlijst te verbeteren; bij eerder verwijderen (door Verantwoordelijke of de deelnemer) wordt ook dat niet bewaard. Uitnodigingen die nooit zijn ingevuld, worden na 12 maanden verwijderd. Bij het einde van de overeenkomst verwijdert Verwerker binnen 30 dagen alle gegevens van Verantwoordelijke, tenzij die vooraf om een export vraagt. Back-ups verlopen na 14 dagen.

10. Controle

Verantwoordelijke mag de naleving controleren. Verwerker geeft daarvoor de nodige informatie. Een audit op locatie gebeurt in overleg en op kosten van Verantwoordelijke.

11. Aansprakelijkheid en duur

[OPEN: aansprakelijkheid in lijn met de algemene voorwaarden van eQuip Profiles.] Deze overeenkomst loopt zolang Verantwoordelijke eQuip Profiles gebruikt.

Bijlage 1: gegevens en doelen

• Betrokkenen: deelnemers die Verantwoordelijke uitnodigt (cliënten, medewerkers, sollicitanten [OPEN: wil je gebruik bij sollicitaties toestaan? Zie DPIA]), en de coaches van Verantwoordelijke.
• Gegevens: naam, e-mailadres (optioneel), antwoorden, reactietijden, uitslag, consistentiescore, rapport, momenten van toestemming, invullen en delen, inzagelog. Alleen bij klanten van het eQuip Profiles-team: de scores van een andere analyse (Discover), voor onderzoek naar de kwaliteit van eQuip Profiles.
• Doel: het afnemen van de analyse en het tonen van het rapport aan de coach en de deelnemer.

Bijlage 2: beveiligingsmaatregelen (stand 5 oktober 2026)

• Naam, e-mailadres, antwoorden, scores en kwaliteitssignalen staan versleuteld in de database (AES-256, Laravel-versleuteling). De sleutel staat apart van de database.
• Alleen HTTPS. Elke pagina heeft strenge beveiligingsheaders (geen indexering, geen caching, geen externe scripts).
• Rapporten zijn alleen te zien met een inlog of een persoonlijke link; een gedeelde link verloopt na 30 dagen.
• Coaches zien alleen deelnemers van hun eigen praktijk. Elke inzage wordt vastgelegd.
• Automatisch wissen een maand na het invullen (niet ingevulde uitnodigingen na 12 maanden).
• Dagelijkse versleutelde back-up (AES-256), 14 dagen bewaard.
• Webapplicatie-firewall (ModSecurity) en automatische blokkering van inlogpogingen (fail2ban).
• Dagelijkse automatische controle op beveiliging, rechten en lekken; bij een probleem krijgt de beheerder een mail.
• Maandelijkse controle van alle softwarepakketten op bekende lekken.
• Automatische tests die bij elke wijziging controleren wie wat mag zien.
• Tweestapsverificatie (code uit een authenticator-app): verplicht voor iedereen die inlogt (coaches, beheerders en het eQuip Profiles-team). Een browser kan 30 dagen worden onthouden; dat vervalt bij een nieuw wachtwoord.
• [OPEN] Firewall op de server; externe back-up; externe beveiligingstest; een eigen server voor eQuip Profiles.

Bijlage 3: subverwerkers

Mail wordt verstuurd via de eigen mailserver op dezelfde server. Er zijn geen andere diensten die persoonsgegevens van deelnemers ontvangen.