Verwerkersovereenkomst

Deze verwerkersovereenkomst (DPA) onder artikel 28 AVG regelt de persoonsgegevens die Wexlo, een handelsnaam van Rybier Consulting (KvK 66637694), President Allendelaan 263, 1068 VM Amsterdam, namens u verwerkt bij het scannen van de websites die u aanwijst. Ze geldt automatisch als onderdeel van onze algemene voorwaarden voor elke klant: een handtekening is niet nodig. Heeft u voor uw administratie een ondertekend exemplaar nodig, mail dan hello@wexlo.eu en we sturen u er een. Spreken deze DPA en de voorwaarden elkaar tegen op het punt van gegevensbescherming, dan prevaleert deze DPA.

Voor de scanverwerking die hier wordt beschreven bent u de verwerkingsverantwoordelijke (of een verwerker voor uw eigen klanten; dan treden wij op als uw subverwerker) en zijn wij uw verwerker: u bepaalt welke domeinen we scannen en wij verwerken wat op die pagina’s staat uitsluitend om uw rapporten te maken. Voor uw account, bestellingen en facturen zijn we zelfstandig verwerkingsverantwoordelijke; die verwerking staat in het privacybeleid en valt buiten deze DPA.

Onderwerp: geautomatiseerd toegankelijkheidsscannen van de websites die u registreert, en het genereren en leveren van de bijbehorende rapporten. Duur: de looptijd van uw abonnement, plus de verwijdertermijn in artikel 10. Aard: geautomatiseerd verzamelen en analyseren van publiek bereikbare webpagina’s. Doel: uitsluitend het leveren van de rapporten en bijbehorende functies van uw abonnement, nooit voor eigen doeleinden.

Categorieën gegevens: de persoonsgegevens die toevallig zichtbaar zijn op de publiek bereikbare pagina’s van de websites die u aanwijst (bijvoorbeeld namen op een teampagina). Categorieën betrokkenen: bezoekers van en personen die voorkomen op die websites. By design minimaliseren we dit radicaal: we slaan alleen gestructureerde bevindingen op (de regel, het WCAG-criterium, de ernst en een CSS-selector), en nooit screenshots of HTML van uw pagina’s. Het realistische residu aan persoonsgegevens in onze systemen is daarmee beperkt tot wat in een URL of CSS-selector kan voorkomen.

We verwerken uitsluitend op uw gedocumenteerde instructies. Het registreren van een domein en het configureren van uw abonnement zijn die instructies; aanvullende instructies kunnen per e-mail worden afgesproken. We melden het u als een instructie naar ons oordeel de AVG schendt. Buiten uw instructies verwerken we alleen waar EU- of lidstaatrecht dat vereist, en we informeren u daarover vooraf tenzij dat recht dat verbiedt.

Toegang tot persoonsgegevens is beperkt tot personen die haar nodig hebben om de dienst te leveren en die aan vertrouwelijkheid zijn gebonden. Rekening houdend met de stand van de techniek en de aard van de gegevens passen we de maatregelen van artikel 32 AVG toe, waaronder: TLS-versleuteling onderweg (afgedwongen met HSTS), versleuteling in rust bij onze database- en opslagleveranciers, EU-gehoste infrastructuur, dataminimalisatie by design (geen screenshots of HTML opgeslagen), eenmalige inloglinks in plaats van wachtwoorden, least-privilege-toegang, rate limiting en logging van beveiligingsrelevante gebeurtenissen.

U geeft algemene toestemming voor de onderstaande subverwerkers. Toevoegingen of vervangingen kondigen we minimaal 30 dagen vooraf per e-mail aan; maakt u op redelijke gegevensbeschermingsgronden bezwaar en kunnen wij geen oplossing bieden, dan mag u uw abonnement beëindigen per de datum waarop de wijziging ingaat.

• Scalingo: applicatiehosting (Parijs, Frankrijk)
• Fly.io: scanworker die uw pagina’s bezoekt (regio Frankfurt, Duitsland; Amerikaans bedrijf)
• Neon: database voor scanbevindingen (regio Frankfurt, Duitsland; Amerikaans bedrijf)
• Cloudflare: rapportopslag (R2, EU-jurisdictie), DNS en firewall (Amerikaans bedrijf)
• Upstash: jobwachtrij en rate limiting (EU-regio; Amerikaans bedrijf)
• Mailjet: rapportbezorging per e-mail (Parijs, Frankrijk; Sinch-groep)
• Google (Workspace): het postvak van onze klantenservice, dus elke mail die u ons stuurt gaat daar doorheen en blijft daar staan (EU-regio; Amerikaans bedrijf)
• Anthropic: AI-gegenereerde rapporttekst uit gestructureerde bevindingen, en de AI-beoordeling van de tekstuele WCAG-criteria op begrensde paginafragmenten (Verenigde Staten; in onze API-overeenkomst is vastgelegd dat er niet op uw gegevens wordt getraind)
• Sentry: foutmonitoring (EU-dataresidentieregio)

Elke subverwerker is gebonden aan een verwerkersovereenkomst met verplichtingen die materieel gelijkwaardig zijn aan deze, en wij blijven jegens u volledig aansprakelijk voor hun nakoming.

De verwerking vindt plaats in de EU, met één uitzondering die we eerlijk benoemen: de AI-stappen lopen via de API van Anthropic in de Verenigde Staten, afgedekt met de EU Standard Contractual Clauses. Het gaat om twee stappen, en ze sturen niet hetzelfde mee. Voor de rapporttekst gaan uitsluitend de gestructureerde bevindingen mee. Voor de AI-beoordeling van de tekstuele WCAG-criteria op betaalde scans gaan daarnaast begrensde fragmenten van de pagina zelf mee: de paginatitel, de koppen, de alt-teksten van afbeeldingen, de linkteksten, per element een kort stukje omringende tekst, en de zinnen die een aanwijzing voor een zintuiglijke instructie bevatten. Daar kunnen persoonsgegevens in staan die op die pagina zichtbaar zijn. De verstuurde fragmenten worden niet als zodanig opgeslagen: ze bestaan alleen tijdens de aanroep. Wat we wél bewaren zijn de gestructureerde bevindingen die eruit volgen (die kunnen een kort citaat van het beoordeelde element bevatten, zoals elke scanbevinding), plus een niet-herleidbare technische hash om ongewijzigde pagina’s niet opnieuw te hoeven beoordelen. Een kopie van de toegepaste Standard Contractual Clauses is opvraagbaar via hello@wexlo.eu. Sommige EU-regio-subverwerkers (Neon, Fly.io, Cloudflare, Upstash, Google) zijn Amerikaanse bedrijven; hun verwerking voor ons blijft in EU-regio’s, en elke doorgifte die toch plaatsvindt steunt op het EU-VS Data Privacy Framework voor daaronder gecertificeerde entiteiten, en anders op de EU Standard Contractual Clauses.

Rekening houdend met de aard van de verwerking helpen we u bij verzoeken van betrokkenen (inzage, verwijdering en de andere rechten uit hoofdstuk III AVG) en, waar relevant, bij uw verplichtingen onder artikel 32–36 AVG, inclusief gegevensbeschermingseffectbeoordelingen. We melden u zonder onredelijke vertraging nadat we kennis hebben genomen van een datalek dat uw gegevens raakt, met de informatie die artikel 33 lid 3 AVG vereist, zodat u aan uw eigen meldplichten kunt voldoen.

Eindigt uw abonnement, dan kunt u uw rapporten exporteren vanuit de portal. Op verzoek verwijderen we de scanbevindingen en rapporten die we voor u bewaren; in elk geval verwijderen of anonimiseren we ze conform de bewaartermijnen in het privacybeleid, behalve waar EU- of Nederlands recht ons verplicht specifieke gegevens te bewaren (zoals facturen).

We stellen de informatie beschikbaar die redelijkerwijs nodig is om naleving van artikel 28 AVG aan te tonen: deze pagina, onze beveiligingssamenvatting en de relevante toezeggingen uit onze subverwerkersovereenkomsten. U mag één keer per contractjaar auditen, met een aankondigingstermijn van minimaal 30 dagen, tijdens kantooruren, zonder toegang tot gegevens van andere klanten en op eigen kosten; waar mogelijk vullen we audits eerst met documentatie in.

De aansprakelijkheidsregeling uit de algemene voorwaarden geldt ook voor deze DPA. Nederlands recht is van toepassing. Deze DPA bestaat in het Engels (https://wexlo.eu/dpa), in het Nederlands en in het Frans (https://wexlo.eu/fr/dpa); wijken de versies af, dan prevaleert de Engelse versie.