Partijen

Deze verwerkersovereenkomst is gesloten tussen [naam klant], gevestigd te [plaats], KvK [nummer] (de "Verwerkingsverantwoordelijke") en Lake Project, handelend onder de naam SkillBank, KvK 29816688, Rotterdam (de "Verwerker").

1. Onderwerp en duur

Deze overeenkomst is van toepassing op alle verwerkingen van persoonsgegevens die de Verwerker uitvoert bij het leveren van het SkillBank-platform (competentie- en examenbeheer). Zij geldt zolang de hoofdovereenkomst loopt en eindigt zodra de Verwerker geen persoonsgegevens van de Verwerkingsverantwoordelijke meer onder zich heeft.

2. Aard en doel van de verwerking

Het hosten en verwerken van gegevens die nodig zijn voor competentiebeheer, examens, certificering en trainingsdossiers van medewerkers van de Verwerkingsverantwoordelijke, uitsluitend in diens opdracht en volgens diens instructies.

3. Categorieën betrokkenen en persoonsgegevens

Betrokkenen	Medewerkers en ingehuurde krachten van de Verwerkingsverantwoordelijke met een SkillBank-account.
Gegevens	Naam, zakelijk e-mailadres, personeelsnummer, functie/afdeling, taalvoorkeur, examenresultaten en -antwoorden, beoordelingen en beoordelaars, certificaten, leesbevestigingen van werkinstructies, handtekening (indien geüpload), inloggegevens (wachtwoord-hash, passkey-identifier, PIN-hash), audittrail van handelingen.
Bijzondere gegevens	Geen. Het platform is er niet voor bedoeld en de Verwerkingsverantwoordelijke zal deze niet invoeren.

4. Verplichtingen van de Verwerker

• Verwerkt uitsluitend op schriftelijke instructie van de Verwerkingsverantwoordelijke (waaronder deze overeenkomst en het normale gebruik van het platform), tenzij een wettelijke verplichting anders vereist.
• Waarborgt dat personen die toegang hebben tot de gegevens aan vertrouwelijkheid zijn gebonden.
• Gebruikt de gegevens nooit voor eigen doeleinden, verkoopt ze niet en verstrekt ze niet aan derden anders dan de subverwerkers in artikel 6.
• Ondersteunt de Verwerkingsverantwoordelijke bij verzoeken van betrokkenen (inzage, correctie, verwijdering) en bij gegevensbeschermingseffectbeoordelingen, voor zover redelijkerwijs mogelijk.

5. Beveiliging

• Alle gegevens (database en bestanden) worden opgeslagen onder EU-jurisdictie op infrastructuur van Cloudflare.
• Versleuteling in transit (TLS) en at rest; wachtwoorden en PIN's uitsluitend als gezouten hash; sessies en eenmalige inloglinks met beperkte geldigheid.
• Rolgebaseerde toegang binnen het platform; organisatorische scheiding per werkruimte (tenant); volledige audittrail; inlogbeveiliging met vertragings-/blokkeringsmechanisme.
• Certificaat- en dossiergegevens blijven bij uitdiensttreding bewaard conform de instructie van de Verwerkingsverantwoordelijke (archiveringsfunctie); volledige verwijdering gebeurt op uitdrukkelijk verzoek.

6. Subverwerkers

De Verwerkingsverantwoordelijke geeft algemene toestemming voor de volgende subverwerkers. De Verwerker informeert de Verwerkingsverantwoordelijke vooraf over voorgenomen wijzigingen, waarbij bezwaar mogelijk is.

Subverwerker	Rol	Locatie / waarborg
Cloudflare, Inc.	Hosting, database (D1) en bestandsopslag (R2)	Opslag onder EU-jurisdictie; EU SCC's via het Cloudflare Customer DPA
Resend (Plus Five Five, Inc.)	Verzending van transactionele e-mail	EU SCC's via het Resend DPA

7. Datalekken

De Verwerker informeert de Verwerkingsverantwoordelijke zonder onredelijke vertraging, uiterlijk binnen 48 uur na ontdekking, over een inbreuk in verband met persoonsgegevens, met de informatie die nodig is voor een eventuele melding aan de toezichthouder en betrokkenen.

8. Audit

De Verwerker stelt op verzoek de informatie beschikbaar die redelijkerwijs nodig is om naleving van deze overeenkomst aan te tonen en werkt mee aan audits, maximaal eenmaal per jaar, op kosten van de Verwerkingsverantwoordelijke en na redelijke aankondiging.

9. Einde van de overeenkomst

Bij beëindiging van de hoofdovereenkomst exporteert de Verwerkingsverantwoordelijke zelf de gegevens (CSV/PDF-export in het platform) of verzoekt om een volledige export. Daarna verwijdert de Verwerker alle persoonsgegevens binnen 30 dagen, tenzij een wettelijke bewaarplicht anders vereist.

10. Slotbepalingen

Op deze overeenkomst is Nederlands recht van toepassing. Aansprakelijkheid volgt de regeling in de hoofdovereenkomst. Bij strijdigheid tussen deze verwerkersovereenkomst en de hoofdovereenkomst prevaleert deze verwerkersovereenkomst voor zover het de verwerking van persoonsgegevens betreft.