Versie 1.0, augustus 2026 · hoort bij de gebruiksovereenkomst van Klimaatlog
Deze overeenkomst regelt hoe Klimaatlog omgaat met persoonsgegevens die jij als installatiebedrijf in het portaal zet. Dat zijn niet jouw gegevens alleen: het zijn de namen, adressen en telefoonnummers van jouw klanten, en de gegevens van je monteurs. Daarvoor ben jij verantwoordelijk en zijn wij uitvoerder. Artikel 28 van de AVG eist dat dat op papier staat.
Onderwerp en aard: het leveren, hosten en onderhouden van administratiesoftware voor F-gassenregistratie en BRL 100, inclusief opslag, back-up en het beschikbaar stellen van een digitaal logboek aan jouw klanten.
Doel: uitsluitend het laten werken van die administratie voor jou. Wij gebruiken de gegevens nergens anders voor: niet voor eigen analyses, niet voor marketing, niet voor het trainen van modellen, en wij verstrekken ze niet aan derden anders dan de subverwerkers hieronder.
Duur: zolang je de omgeving afneemt, plus de opzeg- en verwijderingstermijn uit artikel 9.
Categorieën betrokkenen: klanten van jouw bedrijf (particulier en zakelijk), en je eigen medewerkers en ingehuurde monteurs.
Soorten persoonsgegevens:
Er worden geen bijzondere categorieën persoonsgegevens verwerkt (zoals gezondheid, geloof of politieke voorkeur). Zet die er ook niet in: het portaal is er niet voor bedoeld en niet op ingericht.
Wij verwerken de gegevens uitsluitend volgens jouw schriftelijke instructies. Deze overeenkomst en het normale gebruik van het portaal gelden als die instructie. Moeten wij op grond van de wet iets anders doen, dan melden wij dat vooraf aan je, tenzij die wet dat verbiedt.
Vinden wij dat een instructie in strijd is met de AVG, dan zeggen wij dat en voeren wij hem niet uit.
Iedereen bij ons die bij de gegevens kan, is tot geheimhouding verplicht. Toegang krijgt alleen wie het voor het werk nodig heeft, en niet langer dan nodig.
Wij hebben in ieder geval de volgende maatregelen getroffen. Dit is geen intentie maar de feitelijke inrichting:
Wat het niet doet, en dat hoort er ook te staan: de administratie op de server zelf is niet versleuteld, omdat de software ermee moet werken. Wie de server zou overnemen, komt bij de gegevens. Daartegen beschermen de maatregelen hierboven niet.
Je geeft hierbij algemene toestemming voor het inschakelen van subverwerkers. Op dit moment zijn dat:
De administratie zelf staat binnen de Europese Unie: server en back-up in Duitsland, mailverzending in Nederland. Eén subverwerker is gevestigd buiten de EU en kan daar gegevens verwerken: Cloudflare, voor het verkeer naar en de beveiliging van de omgeving. Betalingen lopen via Mollie in Nederland. Die doorgifte vindt plaats op basis van de standaardcontractbepalingen van de Europese Commissie (2021/914) en, waar van toepassing, het EU-VS-privacyraamwerk (DPF). Wij leggen elke subverwerker dezelfde verplichtingen op als in deze overeenkomst staan.
Onze eigen website staat hier los van. Op klimaatlog.nl gebruiken wij bezoekstatistiek (Google Analytics), maar alleen na toestemming van de bezoeker. Dat raakt deze overeenkomst niet: in het portaal waarin jij en je monteurs werken zit geen enkele meting, en de persoonsgegevens die onder deze overeenkomst vallen komen daar nooit in terecht.
Willen wij een subverwerker vervangen of toevoegen, dan melden wij dat minimaal 30 dagen vooraf per e-mail. Maak je binnen die termijn gemotiveerd bezwaar en komen we er samen niet uit, dan mag je de overeenkomst per direct opzeggen zonder kosten voor de resterende periode.
Krijg jij een verzoek van een klant of monteur om inzage, correctie, verwijdering, beperking of overdracht, dan helpen wij je dat uit te voeren. Het portaal heeft daarvoor een exportfunctie; lukt het daarmee niet, dan doen wij het op verzoek. Wij beantwoorden zo'n verzoek nooit zelf: wij sturen het door naar jou.
Ontdekken wij een inbreuk op de beveiliging die persoonsgegevens raakt, dan melden wij dat aan jou zonder onnodige vertraging en uiterlijk binnen 48 uur na ontdekking, met wat wij op dat moment weten: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het raakt, de waarschijnlijke gevolgen en welke maatregelen wij nemen. De melding bij de Autoriteit Persoonsgegevens en aan betrokkenen doe jij; wij leveren de informatie die je daarvoor nodig hebt.
Moet je een gegevensbeschermingseffectbeoordeling (DPIA) uitvoeren of de toezichthouder raadplegen, dan werken wij daaraan mee met de informatie waarover wij beschikken.
Bij beëindiging kun je al je gegevens exporteren. Je hebt daarvoor 30 dagen na de einddatum. Daarna verwijderen wij de omgeving en de gegevens, uiterlijk binnen 60 dagen na de einddatum, tenzij de wet ons verplicht ze langer te bewaren.
Back-ups die op dat moment nog draaien, verdwijnen vanzelf binnen de bewaartermijn van maximaal 90 dagen. Zolang zij bestaan, blijven zij versleuteld en onder deze overeenkomst vallen.
Wij stellen op verzoek de informatie beschikbaar die nodig is om te laten zien dat wij ons aan deze overeenkomst houden. Je mag een audit laten uitvoeren, ten hoogste eenmaal per jaar en bij een concreet vermoeden vaker, met een aankondiging van minimaal twee weken en door iemand die zelf tot geheimhouding is gehouden. De redelijke kosten aan onze kant komen voor jouw rekening, tenzij uit de audit blijkt dat wij tekortschieten.
Op deze overeenkomst zijn de aansprakelijkheidsbepalingen uit de gebruiksovereenkomst van toepassing. Waar deze verwerkersovereenkomst afwijkt van de gebruiksovereenkomst, gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.
Nederlands recht is van toepassing.
Deze overeenkomst komt tot stand op het moment dat je bij het aanmaken van je account aangeeft ermee akkoord te gaan. Dat moment leggen wij vast met datum en tijd. Je kunt deze pagina op elk moment teruglezen en opslaan; wij bewaren de versie die gold toen je akkoord gaf.
Bij wijzigingen melden wij dat minimaal 30 dagen vooraf per e-mail, met dezelfde bezwaarmogelijkheid als bij subverwerkers.