Verwerkersovereenkomst

1. Partijen

De verwerker: Ariens Design, handelend onder de naam Pecktree, gevestigd te Zaltbommel (Nederland), ingeschreven in het Handelsregister onder nummer 30274157, btw-identificatienummer NL001532302B39.

De verwerkingsverantwoordelijke: u, de houder van het Pecktree-account, voor zover u het platform gebruikt om persoonsgegevens te verwerken voor een opdrachtgever of anderszins in de uitoefening van een beroep of bedrijf.

2. Onderwerp en duur

Deze overeenkomst hoort bij de gebruiksovereenkomst die u met ons sluit en geldt zolang u een account heeft. Eindigt uw account, dan eindigt deze overeenkomst mee, met uitzondering van de bepalingen die naar hun aard blijven gelden, zoals vertrouwelijkheid.

Waar deze overeenkomst en de algemene voorwaarden elkaar tegenspreken op het punt van gegevensbescherming, gaat deze overeenkomst voor.

3. Aard en doel van de verwerking

Wij verwerken persoonsgegevens uitsluitend om u het platform te kunnen leveren: opslaan, ordenen, doorzoeken, tonen, exporteren en beveiligen van de genealogische gegevens die u invoert, plus de daarbij horende ondersteuning.

Wij gebruiken uw gegevens niet voor eigen doeleinden, verkopen ze niet, en trainen er geen modellen mee.

4. Soorten gegevens en betrokkenen

Betrokkenen: personen die in uw onderzoek voorkomen, uw opdrachtgevers, en de medewerkers aan wie u toegang tot een project geeft.

Gegevens: namen, geboorte-, huwelijks- en overlijdensgegevens, plaatsen, beroepen, familierelaties, bronvermeldingen, notities en geüploade documenten of afbeeldingen.

Genealogisch onderzoek raakt aan bijzondere categorieën gegevens, religie, gezondheid, etnische afkomst. Gegevens van overleden personen vallen buiten de AVG; die van levende personen niet. Het platform schermt gegevens van mogelijk levende personen automatisch af; de drempel stelt u per project zelf in.

5. Uw instructies

Wij verwerken persoonsgegevens uitsluitend op uw instructie. Het gebruik van het platform zoals het bedoeld is, geldt als die instructie. Aanvullende instructies kunt u schriftelijk geven; is die redelijkerwijs niet uitvoerbaar of brengt hij kosten mee, dan laten wij dat weten voordat wij hem uitvoeren.

Zijn wij op grond van de wet verplicht buiten uw instructie om te verwerken, dan melden wij dat vooraf, tenzij die wet dat verbiedt. Menen wij dat een instructie in strijd is met de AVG, dan zeggen wij dat.

6. Vertrouwelijkheid

Iedereen die bij ons toegang heeft tot uw gegevens is tot geheimhouding gehouden. Toegang krijgt alleen wie hem nodig heeft, en alleen zolang dat nodig is.

7. Beveiliging

Wij treffen passende technische en organisatorische maatregelen (artikel 32 AVG). Wat er op dit moment staat:

• Versleuteld verkeer (HTTPS) met strikte beveiligingsheaders.
• Wachtwoorden gehasht met bcrypt, en accountvergrendeling na vijf mislukte pogingen.
• Tweefactorauthenticatie met TOTP, met herstelcodes.
• Toegang per project gescheiden; geen zoekopdrachten over projecten heen.
• Een controlelogboek dat vastlegt wie wat wanneer wijzigde.
• Automatische afscherming van gegevens van mogelijk levende personen.
• Versleutelde back-ups met een kopie op een andere locatie.

De uitgeschreven versie hiervan, inclusief ons incidentplan, staat in het beveiligingsbeleid dat u bij ons kunt opvragen.

8. Subverwerkers

U geeft ons algemene toestemming om andere verwerkers in te schakelen. Wie dat zijn, met welk doel en in welk land, staat op de subverwerkerspagina. Die lijst hoort als bijlage bij deze overeenkomst en is bijgewerkt op 29 augustus 2026.

Willen wij een partij toevoegen of vervangen, dan laten wij dat vooraf weten. U heeft dan dertig dagen om bezwaar te maken. Komen wij er samen niet uit, dan mag u de overeenkomst opzeggen zonder kosten voor de resterende looptijd.

Aan elke subverwerker leggen wij dezelfde verplichtingen op als die wij hier aangaan, en wij blijven tegenover u aansprakelijk voor wat zij doen.

9. Doorgifte buiten de EER

Uw gegevens staan op onze eigen servers in Nederland. Een deel van de subverwerkers is buiten de Europese Economische Ruimte gevestigd; per partij staat de grondslag voor doorgifte op de subverwerkerspagina. Vervalt zo'n grondslag, dan zoeken wij een alternatief of beëindigen wij de inzet van die partij.

10. Rechten van betrokkenen

Krijgt een betrokkene een verzoek bij u ingediend, dan helpen wij u dat af te handelen. Het platform biedt daarvoor rechtstreeks: inzage, correctie, export in GEDCOM-formaat en verwijdering.

Komt zo'n verzoek bij ons binnen in plaats van bij u, dan handelen wij het niet zelf af maar sturen wij het naar u door.

11. Datalekken

Ontdekken wij een inbreuk in verband met persoonsgegevens, dan melden wij dat zonder onredelijke vertraging en uiterlijk binnen 24 uur na ontdekking aan u. Die marge is er zodat u zelf de 72-uurstermijn naar de Autoriteit Persoonsgegevens haalt.

Wij melden wat er is gebeurd, welke gegevens en hoeveel betrokkenen het raakt, wat de gevolgen kunnen zijn en wat wij eraan doen. De melding aan de toezichthouder en aan de betrokkenen doet u; wij leveren wat u daarvoor nodig heeft.

12. Bijstand en controle

Wij helpen u bij een gegevensbeschermingseffectbeoordeling en bij een voorafgaande raadpleging van de toezichthouder, voor zover dat redelijkerwijs van ons gevraagd kan worden.

Wij stellen u alle informatie ter beschikking die nodig is om aan te tonen dat aan artikel 28 AVG is voldaan, en werken mee aan een controle door u of een door u aangewezen onafhankelijke controleur. Zo'n controle kondigt u minstens dertig dagen vooraf aan, vindt plaats tijdens kantooruren en verstoort de dienstverlening niet. De kosten draagt u, tenzij uit de controle blijkt dat wij tekortschoten.

13. Teruggave en verwijdering

Bij het einde van de overeenkomst kunt u uw gegevens exporteren in GEDCOM-formaat. Daarna verwijderen wij ze, tenzij de wet ons verplicht ze te bewaren.

Verwijdert u een project, dan blijft het dertig dagen in de prullenbak staan zodat u een vergissing kunt herstellen. Daarna is het niet meer zelf terug te halen en verdwijnen de gegevens binnen negentig dagen definitief uit onze database. Dat gat van twee maanden is er met opzet: het geeft ruimte om een fout te herstellen die pas later opvalt. Bij een verwijderd account geldt een termijn van dertig dagen. Back-ups verlopen volgens hun eigen bewaarschema; ook daaruit verdwijnen de gegevens.

14. Aansprakelijkheid en toepasselijk recht

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen leggen wij voor aan de bevoegde rechter in Nederland.

De aansprakelijkheidsbepalingen uit de algemene voorwaarden gelden ook hier, met dien verstande dat zij niets afdoen aan wat de AVG dwingend bepaalt over aansprakelijkheid tegenover betrokkenen en toezichthouders.

15. Ondertekening

Wilt u deze overeenkomst ondertekend hebben voor uw dossier, stuur dan een bericht naar [email protected] met de naam en het adres van uw onderneming. U ontvangt dan een ondertekend exemplaar retour.

Werkt uw organisatie met een eigen model, stuur dat dan mee. Wij beoordelen het en laten weten waar het van deze tekst afwijkt.