Juridische versie: 2026-07-3
Deze verwerkersovereenkomst hoort bij het gebruik van mijnschadezaak.nl. Het aangesloten kantoor zoals vastgelegd bij de onboarding is verwerkingsverantwoordelijke. Blue Tree Consultancy, aanbieder van mijnschadezaak.nl en ingeschreven onder KVK 85987786, is verwerker.
De verwerking betreft het hosten en beschikbaar stellen van een cliëntportaal voor letselschadedossiers: accounts beheren, documenten opvragen en opslaan, voortgang delen, berichten uitwisselen, schade en voorschotten registreren, digitale machtigingen vastleggen, meldingen verzenden en exports maken. De verwerking duurt zolang de hoofdovereenkomst loopt en gedurende de afgesproken export- en verwijdertermijnen.
Betrokkenen zijn onder meer cliënten en voormalige cliënten van het kantoor, kantoormedewerkers, contactpersonen, wederpartijen, getuigen, familieleden, zorgverleners, deskundigen en andere personen die in een dossier voorkomen.
Gegevens kunnen bestaan uit identificatie- en contactgegevens, account- en toegangsgegevens, ongevals- en zaakgegevens, correspondentie, documenten, financiële en arbeidsgegevens, schadeposten, handtekeningen, auditgegevens en bijzondere persoonsgegevens zoals gezondheidsgegevens.
De verwerker verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van het kantoor en niet voor eigen doeleinden. Gebruik van de normale platformfuncties geldt als instructie. De verwerker informeert het kantoor als een instructie naar zijn oordeel in strijd is met privacywetgeving. Is verwerking wettelijk verplicht, dan informeert de verwerker het kantoor vooraf, tenzij de wet dat verbiedt. Het kantoor is verantwoordelijk voor de grondslagen, transparantie, juistheid, noodzakelijkheid en bewaartermijnen van de dossierverwerking.
De verwerker zorgt dat iedere persoon met toegang tot persoonsgegevens alleen handelt binnen zijn bevoegdheid en contractueel of wettelijk aan geheimhouding is gebonden. Toegang wordt beperkt tot wat noodzakelijk is voor beheer, ondersteuning, beveiliging en incidentafhandeling.
De verwerker treft passende technische en organisatorische maatregelen op basis van risico, stand van de techniek en aard van de gegevens. De huidige maatregelen staan in bijlage 1. De verwerker mag maatregelen aanpassen zolang het beschermingsniveau niet wezenlijk afneemt en informeert het kantoor over materiële wijzigingen.
De verwerker informeert het kantoor zonder onnodige vertraging en uiterlijk binnen 24 uur nadat een waarschijnlijk datalek met gegevens van het kantoor is vastgesteld. De eerste melding bevat voor zover bekend de aard van het incident, betrokken gegevens en personen, waarschijnlijke gevolgen, getroffen of voorgestelde maatregelen en een contactpunt. Informatie mag gefaseerd worden aangevuld. De verwerker registreert incidenten, beperkt schade en ondersteunt het kantoor bij eventuele meldingen. Een melding is geen erkenning van aansprakelijkheid.
De verwerker beantwoordt verzoeken over dossiergegevens niet zelfstandig, maar stuurt ze door naar het kantoor. Rekening houdend met de aard van de verwerking ondersteunt de verwerker het kantoor met passende technische en organisatorische middelen bij inzage, correctie, verwijdering, beperking, bezwaar en overdraagbaarheid.
De verwerker ondersteunt het kantoor redelijkerwijs bij beveiligingsverplichtingen, datalekken, informatie aan betrokkenen, gegevensbeschermingseffectbeoordelingen en voorafgaand overleg met een toezichthouder. Partijen delen tijdig de informatie die daarvoor noodzakelijk is. Buitengewone ondersteuning kan na voorafgaand overleg tegen redelijke kosten worden geleverd, behalve wanneer de noodzaak door een tekortkoming van de verwerker is veroorzaakt.
Het kantoor geeft algemene schriftelijke toestemming voor de subverwerkers in bijlage 2. De verwerker legt hun ten minste gelijkwaardige privacyverplichtingen op en blijft verantwoordelijk voor hun verwerking. Een voorgenomen toevoeging of vervanging wordt minimaal dertig dagen vooraf gemeld. Het kantoor kan binnen veertien dagen gemotiveerd bezwaar maken op redelijke privacygronden. Partijen zoeken dan een oplossing; lukt dat niet, dan kan het kantoor het getroffen onderdeel of de overeenkomst beëindigen.
Verwerking vindt primair plaats binnen de Europese Economische Ruimte. Doorgifte daarbuiten vindt alleen plaats op gedocumenteerde instructie of met een geldige wettelijke doorgiftegrond, passende waarborgen en waar nodig aanvullende maatregelen. Op verzoek verstrekt de verwerker informatie over de gebruikte waarborgen.
De verwerker stelt informatie beschikbaar die redelijkerwijs nodig is om naleving van artikel 28 AVG aan te tonen. Het kantoor mag eenmaal per jaar en daarnaast na een ernstig incident een audit laten uitvoeren door een onafhankelijke deskundige die geheimhouding waarborgt. Een audit wordt minimaal dertig dagen vooraf aangekondigd, beperkt verstoring en hergebruikt waar mogelijk bestaande rapportages. Redelijke kosten zijn voor het kantoor, behalve bij een wezenlijke tekortkoming van de verwerker.
Het kantoor kan tijdens de overeenkomst dossiers exporteren. Na beëindiging krijgt het kantoor negentig dagen voor inzage en export. Op schriftelijk verzoek levert de verwerker beschikbare gegevens in een gangbaar formaat terug. Daarna verwijdert de verwerker actieve gegevens binnen dertig dagen en resterende back-upkopieën uiterlijk binnen negentig dagen, tenzij een wettelijke verplichting of concreet geschil langer bewaren vereist. Verwijdering wordt op verzoek schriftelijk bevestigd.
Bij strijd over persoonsgegevens gaat deze verwerkersovereenkomst vóór de algemene voorwaarden. De aansprakelijkheidsregeling uit de algemene voorwaarden geldt ook voor deze overeenkomst, voor zover de AVG of ander dwingend recht niet anders bepaalt.
Transport en opslag: versleutelde HTTPS-verbindingen en versleuteling door de gebruikte Azure-diensten.
Toegang: persoonlijke accounts, gehashte wachtwoorden, beveiligde httpOnly-sessiecookies, rollen en dossierkoppelingen.
Scheiding: controles in applicatie en database om gegevens per kantoor en dossier te scheiden.
Bestanden: opslag in een niet-openbare Azure Blob-container met alleen gecontroleerde toegang via de applicatie.
Controle: auditregistratie van belangrijke producthandelingen en een interne datalekprocedure.
Herstel en continuïteit: gebruik van beheerde Azure-diensten en gedocumenteerde exportmogelijkheden; configuratie en herstelprocedures worden periodiek beoordeeld.
Ontwikkeling: geheimen worden niet in broncode opgeslagen, wijzigingen worden vóór publicatie gebouwd en toegang tot productiebeheer wordt beperkt.
Microsoft Azure — hosting van applicatie, PostgreSQL-database en privébestandsopslag — primaire regio West-Europa.
Azure Communication Services — verzending van account- en productmails — Europese gegevenslocatie.
De actuele contracterende Microsoft-entiteit en eventuele onderliggende Microsoft-subverwerkers volgen uit de toepasselijke Microsoft Product Terms en Data Protection Addendum. De leverancier controleert vóór definitieve ingebruikname de gekozen gegevenslocaties en houdt wijzigingen in deze lijst bij.
Versie 2026-07, vastgesteld 14 juli 2026.