Verwerkersovereenkomst (DPA)
Effective date:
Deze verwerkersovereenkomst (DPA) wordt gesloten op grond van Artikel 28 van Verordening (EU) 2016/679 (GDPR) als gegevensbeschermingsaddendum bij uw overeenkomst met PDFLean: u bepaalt als verwerkingsverantwoordelijke de doeleinden en middelen van de verwerking; PDFLean voert als verwerker cloudverwerking alleen uit op uw gedocumenteerde instructies en gebruikt klantgegevens nooit voor eigen marketing, profilering of modeltraining. Bij gebruik van browserlokale WASM-tools verlaten bestanden uw apparaat niet en ontstaat geen verwerkingsdelegatie onder deze DPA.
1. Reikwijdte & Voorrang van de Overeenkomst
Deze DPA is van toepassing op de verwerking van persoonsgegevens die door of namens de klant zijn ingediend of gegenereerd via PDFLean cloud computing-services. Browser-lokale tools die aan de clientzijde werken in WebAssembly zonder bestanden naar de PDFLean-infrastructuur te verzenden, creëren geen verwerkersrelatie en deze DPA is niet op hen van toepassing. Indien er een conflict ontstaat tussen deze DPA en de algemene Servicevoorwaarden, prevaleert deze DPA met betrekking tot privacy en gegevensbescherming.
2. Rollen van Verwerkingsverantwoordelijke & Verwerker
Voor de doeleinden van de toepasselijke wetgeving inzake gegevensbescherming treedt de klant op als de Verwerkingsverantwoordelijke, en PDFLean treedt op als de Verwerker. PDFLean verwerkt klantdocumenten uitsluitend op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke (geïnitieerd via interactieve webopdrachten zoals samenvoegen, splitsen, OCR of conversie) en verwerkt nooit persoonsgegevens voor eigen marketing, profilering of trainingsdoeleinden voor machine learning.
3. Wettelijke Verplichtingen van de Verwerker
PDFLean verplicht zich ertoe de volgende wettelijke verplichtingen onder GDPR Art. 28 na te leven:
- Gedocumenteerde Instructies & Gegevensminimalisering: Gegevens uitsluitend verwerken volgens de aanwijzingen van de klant, tijdelijke documenten alleen bewaren gedurende de technische levenscyclus die nodig is om de verwerking te voltooien (automatisch gewist na voltooiing of verloop), en de klant informeren indien een instructie schijnbaar in strijd is met de toepasselijke regelgeving inzake gegevensbescherming.
- Vertrouwelijkheid van Personeel: Ervoor zorgen dat al het personeel dat geautoriseerd is om infrastructuur of klantondersteuningstickets te behandelen, gebonden is aan strikte contractuele vertrouwelijkheid.
- Melding van Incidenten: In het geval van een bevestigd beveiligingsincident met betrekking tot persoonsgegevens, getroffen verwerkingsverantwoordelijken binnen 72 uur op de hoogte stellen met uitgebreide technische risicobeoordelingen.
- Ondersteuning & Rechten van Betrokkenen: Verwerkingsverantwoordelijken bijstaan bij het nakomen van hun verplichtingen om te reageren op betrokkenen die wettelijke rechten uitoefenen (inzage, wissing, rectificatie).
4. Geautoriseerde Infrastructuur-subverwerkers
Subverwerkerscertificeringen zijn degene die openbaar worden gemaakt door elke provider (bijv. Cloudflare, Stripe). PDFLean zelf claimt geen SOC 2 / ISO 27001-certificering:
| Subverwerker | Dienstfunctie | Locatie | Nalevingsnorm |
|---|---|---|---|
| Cloudflare, Inc. | Edge computing, DDoS-verdediging & R2 versleutelde opslag | EU & VS Edge Nodes | SOC 2 Type II, ISO 27001 |
| Stripe, Inc. | Betalingsgateway & conforme VAT-facturering | Wereldwijde Tier 1 Hubs | PCI-DSS Level 1 |
| Resend, Inc. | Transactionele systeem-e-mailbezorging | VS / EU Kanalen | SOC 2 Type II |
| DeepSeek | Optionele AI-samenvatting / vertaling (alleen server-side proxy) | China (vasteland) — grensoverschrijdende overdracht | Modelgewichten MIT; wordt alleen aangeroepen wanneer AI-functies worden aangevraagd; overdracht onder SCCs / uw instructies |
5. Technische & Organisatorische Maatregelen (TOMs)
We passen gelaagde verdediging (defense-in-depth) toe: TLS 1.3-versleuteling tijdens transport; AES-256-versleuteling in rust; geen permanente opslag van klantdocumenten (automatisch gewist na verloop); en toegangsbeheer volgens het least-privilege-principe.
6. DPA Uitvoering & Juridisch Contact
Ondernemingen en juridische teams die een formele medeondertekende DPA met Standaardcontractbepalingen (SCCs) nodig hebben, kunnen het uitvoeringspakket aanvragen via onze juridische compliance-desk: support@pdflean.com; ons juridische team levert het uitvoeringspakket binnen één werkdag.