Verwerkersovereenkomst

• **Verwerkingsverantwoordelijke (Data Controller):** De klant/organisatie die een abonnement op Bumpd Up afneemt (hierna: "Klant")
• **Verwerker (Data Processor):** Be Bold IT B.V., eigenaar van Bumpd Up (hierna: "Verwerker")
• **Onderwerp:** Verwerking van persoonsgegevens in het kader van de Bumpd Up SaaS workforce management dienstverlening

De Klant treedt op als verwerkingsverantwoordelijke (data controller) onder artikel 4 lid 7 AVG. De Verwerker verwerkt persoonsgegevens uitsluitend in opdracht van de Klant.

Beide partijen zijn onderworpen aan de verplichtingen gesteld in de Verordening (EU) 2016/679 (Algemene Verordening Gegevensbescherming / AVG) en nationale implementatiewetgeving.

In deze overeenkomst wordt verstaan onder:

• **AVG:** Verordening (EU) 2016/679 (Algemene Verordening Gegevensbescherming)
• **Persoonsgegevens:** Alle gegevens met betrekking tot een geïdentificeerde of identificeerbare natuurlijke persoon
• **Verwerking:** Elke bewerking van persoonsgegevens, zoals het verzamelen, registreren, organiseren, opslaan, bijwerken, ophalen, raadplegen, gebruiken, versturen of wissen
• **Betrokken persoon:** Natuurlijke persoon op wiens gegevens de verwerking betrekking heeft
• **Gegevensinbreuk:** Beveiligingsincident waarbij persoonsgegevens onbedoeld zijn blootgesteld, verloren of gewijzigd
• **Sub-verwerker:** Derden die werkzaamheden namens de Verwerker uitvoeren en toegang hebben tot persoonsgegevens

Deze overeenkomst is van toepassing op de verwerking van persoonsgegevens door de Verwerker in het kader van de levering van de Bumpd Up diensten.

Duur

Deze overeenkomst loopt zolang de Klant de Dienst afneemt, en vervalt automatisch bij beëindiging van het abonnement, behoudens nabestaande verplichtingen.

Doel

Verlening van workforce management diensten, inclusief:

• Urenregistratie en timesheet management
• Contractmanagement en digitale ondertekening
• Staffing- en plaatsingsbeheer
• Payroll- en loonadministratie
• Analytics, rapportage en business intelligence
• Naleving van wettelijke verplichtingen (belastingaangiften, sociale zekerheid)
• Voorkoming van fraude en beveiliging van de dienstverlening

Om de prijs van het abonnement te bepalen, telt de Verwerker per kalendermaand het aantal unieke actieve krachten op basis van plaatsingen, diensten en opdrachten in het Platform. Daarvoor worden geen andere persoonsgegevens gebruikt dan die al in het Platform staan, en de telling wordt alleen voor de facturatie van het abonnement gebruikt.

Rechtmatigheid

De verwerking is rechtmatig op grond van artikel 6 lid 1b AVG (uitvoering van de dienstenovereenkomst) en artikel 6 lid 1c AVG (naleving van wettelijke verplichtingen).

De Verwerker verwerkt de volgende categorieën persoonsgegevens:

• **Identificatie:** Voornaam, achternaam, geslacht, geboortedatum
• **Contactgegevens:** E-mail, telefoonnummer, adres
• **Werkgegevens:** Functie, afdeling, locatie, werktijden, contracttype
• **Identiteitsdocumenten:** Burgerservicenummer (BSN), paspoortnummer (waar van toepassing)
• **Urenregistratie:** Gewerkte uren, overuren, verlofuren, ziektedagen
• **Contractgegevens:** Contractvoorwaarden, startdatum, salarisschaal, ratekaart
• **Financiële gegevens:** Bankrekening, loongegevens, inkomstenbelasting info
• **Communicatie:** E-mails, notities en opmerkingen
• **Authenticatie:** Wachtwoord-hashes, twee-factor authenticatie tokens

De Klant is verantwoordelijk voor het leveren van accurate, volledige en rechtmatige gegevens.

De volgende categorieën personen kunnen worden verwerkt:

• Werknemers van de Klant
• Flexwerkers / gelegenheidsmedewerkers
• Zelfstandigen zonder personeel (zzp'ers)
• Contactpersonen van de Klant (HR-medewerkers, managers)
• Personeelsleden van samenwerkende bureaus of organisaties
• Kandidaten (potentiële werknemers)

7.1 Verwerking in opdracht

De Verwerker verwerkt persoonsgegevens uitsluitend op schriftelijke instructie van de Klant. Verwerking zonder toestemming is verboden.

7.2 Geheimhouding

Het personeel van de Verwerker is onderworpen aan geheimhouding. Toegang tot persoonsgegevens is beperkt tot personen die deze nodig hebben voor hun werkzaamheden.

7.3 Beveiligingsmaatregelen

De Verwerker implementeert technische en organisatorische maatregelen conform artikel 32 AVG:

• End-to-end encryptie (TLS 1.3) voor data in transit
• Versleuteling (AES-256) voor data at rest
• Toegangscontrole met sterke authenticatie (SSO/MFA)
• Regelmatige beveiligingstests (penetration testing, vulnerability scanning)
• Beveiligde back-ups met redundantie
• Firewall en intrusion detection systemen
• Logging en monitoring van alle datatoegangen
• Incident response procedures
• Jaarlijkse beveiligingsaudits

7.4 Naleving van verzoeken betrokken personen

De Verwerker zal de Klant bijstaan bij het vervullen van rechten van betrokken personen (inzagerecht, correctierecht, verwijderingsrecht, dataportabiliteit).

7.5 Datalekken - Meldingsplicht

Bij een gegevensinbreuk stelt de Verwerker de Klant onverwijld, doch uiterlijk binnen 24 uur in kennis. De melding bevat:

• Aard van de inbreuk
• Betrokken persoonsgegevens
• Waarschijnlijke gevolgen
• Getroffen maatregelen en aanbevelingen

7.6 Data Protection Impact Assessment (DPIA)

De Verwerker zal de Klant bijstaan bij het uitvoeren van een DPIA waar wettelijk vereist.

Huidige sub-verwerkers van Bumpd Up

• **Vercel:** hosting van de applicatie. Locatie: regio Dublin (EU); Amerikaans bedrijf, doorgifte buiten de EER alleen met passende waarborgen. Gegevens: alle gegevens die via het Platform worden verwerkt, tijdens verwerking; technische logs met IP-adres.
• **Supabase:** database en bestandsopslag. Locatie: regio eu-west-1 (Ierland, EU). Gegevens: alle opgeslagen platformgegevens en geüploade documenten.
• **Resend:** verzending van e-mail. Locatie: VS, doorgifte buiten de EER alleen met passende waarborgen. Gegevens: naam, e-mailadres en inhoud van e-mails die het Platform verstuurt.
• **Mollie:** betaling van het abonnement en overige betalingen. Locatie: Nederland (EU). Gegevens: naam, e-mailadres, betaalgegevens (IBAN of kaartgegevens), incassomandaat en betaalstatus.
• **Anthropic:** AI-functies, zoals cv- en documentanalyse, matching en gespreksondersteuning (alleen bij gebruik van AI-functies). Locatie: VS, doorgifte buiten de EER alleen met passende waarborgen. Gegevens: de tekst die voor de AI-functie nodig is, zoals cv's, documenten en gespreksverslagen.
• **OpenAI:** AI-functies, zoals tekstsuggesties; later ook spraak-naar-tekst van gespreksopnames (nog niet in gebruik; wordt vóór ingebruikname gemeld) (alleen bij gebruik van AI-functies). Locatie: VS, doorgifte buiten de EER alleen met passende waarborgen. Gegevens: de tekst die voor de AI-functie nodig is; zodra gespreksopnames in gebruik zijn ook de audio van het gesprek en daarmee stemgegevens van de deelnemers.
• **Hetzner:** hosting (k3s) van de gespreksopnamebot (Vexa, door ons zelf beheerd), de verwerkingsworker en de STT-gateway (gepland; gespreksopnames zijn nog niet in gebruik en dit wordt vóór ingebruikname gemeld) (pas na ingebruikname van gespreksopnames). Locatie: Hetzner Online GmbH, Duitsland (EU); de datacenterregio wordt vóór ingebruikname vastgelegd. Gegevens: audio en video van gespreksopnames, transcripties, deelnemers en vergaderlinks.
• **Virusscanner voor uploads:** controle van geüploade bestanden op malware (uploads die een scan vereisen worden geweigerd tot de scanner is ingericht; de partij wordt vóór activering gemeld) (pas na activering). Locatie: nog vast te stellen; wordt vóór activering gemeld. Gegevens: de geüploade bestanden zelf, zoals identiteitsbewijzen, VOG's en cv's.
• **Meilisearch:** zoekfunctie. Locatie: volgens de hosting van de zoekdienst. Gegevens: doorzoekbare gegevens zoals namen, functies en vaardigheden.
• **Plausible:** cookieloze bezoekersstatistieken van de website. Locatie: EU. Gegevens: geanonimiseerde bezoekgegevens; geen cookies en geen opgeslagen persoonsgegevens.
• **Bird (voorheen MessageBird):** verzending van sms-berichten (alleen als sms is ingeschakeld). Locatie: Nederland (EU). Gegevens: telefoonnummer en inhoud van het bericht.
• **Google (Firebase Cloud Messaging):** pushmeldingen naar de mobiele app (alleen bij gebruik van de mobiele app met meldingen). Locatie: VS, doorgifte buiten de EER alleen met passende waarborgen. Gegevens: apparaattoken en inhoud van de melding.
• **Microsoft:** inloggen met Microsoft, agenda- en mailkoppeling (alleen als de gebruiker of klant de koppeling gebruikt). Locatie: EU of VS, doorgifte buiten de EER alleen met passende waarborgen. Gegevens: naam, e-mailadres en de agenda- of mailgegevens die de gebruiker koppelt.
• **Google:** inloggen met Google, agendakoppeling en adres- en reisafstandberekening (Maps) (alleen als de gebruiker of klant de functie gebruikt). Locatie: EU of VS, doorgifte buiten de EER alleen met passende waarborgen. Gegevens: naam, e-mailadres, agendagegevens en adressen voor reisafstand.
• **Google Fonts:** lettertypen op carrièresites (alleen op carrièresites). Locatie: VS, doorgifte buiten de EER alleen met passende waarborgen. Gegevens: IP-adres en browsergegevens van bezoekers.
• **Oneflow:** contractbeheer en elektronisch ondertekenen (alleen als de klant Oneflow koppelt). Locatie: Zweden (EU); doorgifte buiten de EER alleen met passende waarborgen. Gegevens: naam, e-mailadres van ondertekenaars en de inhoud van het contract.
• **Atera:** koppeling met het apparaatbeheer (RMM) van de klant (alleen als de klant Atera koppelt). Locatie: volgens de leverancier; doorgifte buiten de EER alleen met passende waarborgen. Gegevens: apparaatgegevens zoals naam, serienummer en status, en de gebruiker aan wie het apparaat is gekoppeld.
• **Jamf:** koppeling met het apparaatbeheer (MDM) van de klant (alleen als de klant Jamf koppelt). Locatie: de Jamf-omgeving van de klant. Gegevens: apparaatgegevens zoals naam, serienummer, besturingssysteem en status.
• **Evidos en Signicat:** gekwalificeerde elektronische handtekeningen en identificatie (alleen bij gekwalificeerd ondertekenen). Locatie: EER. Gegevens: naam, e-mailadres, te ondertekenen document en identificatiegegevens van de ondertekenaar.
• **Bright Data:** ophalen van openbare LinkedIn-profielgegevens (alleen als de klant deze functie gebruikt). Locatie: buiten de EER, doorgifte buiten de EER alleen met passende waarborgen. Gegevens: openbare profielgegevens zoals naam, functie en werkervaring.
• **Cloudflare (Turnstile):** bescherming van publieke formulieren tegen bots. Locatie: VS, doorgifte buiten de EER alleen met passende waarborgen. Gegevens: IP-adres en technische browsergegevens.
• **Jortt:** boekhouding en facturatie van Be Bold IT (abonnements- en webshopfacturen, incasso voor bestaande klanten). Locatie: Nederland (EU). Gegevens: naam, adres, e-mailadres en factuurgegevens van de klant als afnemer.
• **Exact Online:** boekhoudkoppeling (alleen als de klant Exact Online koppelt). Locatie: Nederland (EU). Gegevens: relatie- en factuurgegevens die naar de boekhouding gaan.
• **Sendcloud:** verzending van bestellingen uit de webshop (alleen bij bestellingen met verzending). Locatie: Nederland (EU). Gegevens: naam, afleveradres, telefoonnummer en e-mailadres van de ontvanger.

Geen sub-verwerker (met reden)

• **AWS, Datadog, Sentry en Stripe:** niet in gebruik in het platform.
• **Copaco:** ontvangt alleen klantnummers en aantallen licenties, geen persoonsgegevens.
• **KvK, Overheid.io en PDOK:** openbare registers; we sturen alleen een KvK-nummer, bedrijfsnaam of postcode met huisnummer om gegevens op te zoeken.
• **FreeTSA (tijdstempeldienst):** ontvangt alleen een hash van het ondertekende document.
• **Vercel API en GitHub API:** alleen voor domeinen en uitrol van het platform, zonder persoonsgegevens.
• **Pushdiensten van browsers (web push):** berichten zijn versleuteld; de pushdienst van de browser ziet alleen een technisch adres.
• **Indeed:** voorbeeldkoppeling, niet actief.
• **Vexa (meetingopnames):** zelf gehoste software, geen externe partij; nog niet in gebruik. De hosting loopt straks via Hetzner, dat als geplande subverwerker is opgenomen.
• **Obscura:** geen uitgaande koppeling; een systeem met een door de klant uitgegeven API-sleutel leest ledengegevens, de klant kiest die ontvanger.
• **Webhooks, YouTube, Vimeo, Google Tag Manager en afbeeldingen op carrièresites:** worden door de klant zelf ingesteld of geplaatst; de klant kiest die ontvanger.
• **SQL Server van de klant (UrenChecker-import):** we lezen uit een systeem van de klant zelf; geen derde partij.

Wijzigingen

De Klant geeft toestemming voor bovenstaande sub-verwerkers. Voor nieuwe sub-verwerkers zal de Klant van tevoren schriftelijk bericht ontvangen met recht van bezwaar.

Bezwaar

De Klant kan tot de ingangsdatum van een gewijzigde lijst schriftelijk bezwaar maken via [privacy@bumpdupworkforce.nl](mailto:privacy@bumpdupworkforce.nl). Voor deze versie is dat tot 2 november 2026. Komen partijen er niet uit, dan kan de Klant het abonnement opzeggen.

Doorgifte van persoonsgegevens buiten de Europese Economische Ruimte (EER) geschiedt alleen met passende waarborgen conform artikel 44-49 AVG:

• Adequaatheidsbesluit van de Europese Commissie of standaardcontractbepalingen (Standard Contractual Clauses)
• Expliciete toestemming van de betrokken persoon

De Verwerker zal de Klant informeren over doorgiften van persoonsgegevens buiten de EER.

De Verwerker zal zich aan regelmatige audits en inspecties onderwerpen door:

• De Klant of diens functionaris voor gegevensbescherming
• Onafhankelijke auditors (op kosten van de Klant)
• Toezichthouders (zoals de Autoriteit Persoonsgegevens)

Een jaarlijks controlerapport is beschikbaar op verzoek.

Bewaartermijnen

• **Actieve gegevens:** Zolang het account actief is
• **Verwijderde accounts:** 30 dagen (recovery window)
• **Back-uparchief:** Tot 90 dagen
• **Wettelijk verplichte gegevens:** Conform Nederlands/Europees recht

Na beëindiging van het abonnement worden alle persoonsgegevens permanent verwijderd, behoudens wettelijke verplichtingen.

De Verwerker is aansprakelijk voor schade voortvloeiend uit niet-nakoming van deze Verwerkersovereenkomst, beperkt tot het bedrag van de abonnementskosten van de afgelopen 12 maanden.

De Klant blijft verantwoordelijk voor rechtmatigheid van de verwerking.

Deze Verwerkersovereenkomst wordt beheerst door Nederlands recht en de AVG.

Alle geschillen worden voorgelegd aan de Rechtbank Oost-Brabant, locatie 's-Hertogenbosch, net als in de [Algemene Voorwaarden](/voorwaarden).

Deze Verwerkersovereenkomst loopt zolang de Klant de Bumpd Up diensten afneemt.

Na beëindiging van het abonnement:

• Blijven alle verplichtingen van deze overeenkomst van kracht voor de duur van de bewaartermijnen
• Zullen persoonsgegevens conform artikel 11 verwijderd of geanonimiseerd worden
• Zal de Verwerker alle kopieën wissen

Voor vragen over gegevensverwerking

• **Privacy Officer:** [privacy@bumpdupworkforce.nl](mailto:privacy@bumpdupworkforce.nl)
• **Functionaris voor gegevensbescherming:** dpo@bumpdupworkforce.nl (op aanvraag)
• **Bedrijf:** Be Bold IT B.V., KvK 80174442
• **Locatie:** Vredesplein 28, 5142 RA Waalwijk

Door de Bumpd Up diensten te gebruiken, gaat de Klant akkoord met deze Verwerkersovereenkomst. Toepasselijk recht: Nederlands recht, AVG (EU) 2016/679.

Versie 2026-10

Ingangsdatum 2 november 2026

• Toegelicht dat het aantal actieve krachten per maand wordt geteld voor de abonnementsprijs.
• Lijst van sub-verwerkers gelijkgetrokken met de feitelijke diensten, met rol, locatie en gegevens per partij; AWS en Datadog vervallen.
• Mollie genoemd als betaaldienstverlener voor het abonnement; bezwaartermijn tot de ingangsdatum.
• Bevoegde rechter is de Rechtbank Oost-Brabant ('s-Hertogenbosch), gelijk aan de Algemene Voorwaarden; toezichthouder bijgewerkt naar de Autoriteit Persoonsgegevens.

Versie 2026-03

Ingangsdatum 5 maart 2026

• Versie 1.0 van de verwerkersovereenkomst.