Versie 1.3, laatst bijgewerkt op 8 september 2026.
Deze verwerkersovereenkomst maakt integraal deel uit van de Algemene Voorwaarden van Collectmaxx en regelt hoe Collectmaxx B.V. persoonsgegevens namens haar klanten verwerkt, in overeenstemming met de AVG.
Deze verwerkersovereenkomst (de “Verwerkersovereenkomst”) wordt gesloten tussen de Klant en Collectmaxx B.V. Zij maakt integraal deel uit van de Algemene Voorwaarden van Collectmaxx (de “Overeenkomst”) en wordt door de Klant samen met die Algemene Voorwaarden aanvaard bij het aanmaken van een account. Een afzonderlijke ondertekening is niet vereist.
Deze overeenkomst inzake het verzamelen, opslaan en gebruiken van documenten en informatie is gesloten door en tussen:
de rechtspersoon die een account aanmaakt en de Algemene Voorwaarden van Collectmaxx aanvaardt, geïdentificeerd door de bedrijfsgegevens die in het account zijn opgegeven (hierna de “Verwerkingsverantwoordelijke”),
en
Collectmaxx B.V., Scheepmakerspassage 183, 3011 VH Rotterdam, Nederland, KvK-nummer 95712526 (hierna de “Verwerker”).
De bovengenoemde partijen worden hierna afzonderlijk aangeduid als “Partij” en gezamenlijk als “Partijen”.
2.1 Door de Algemene Voorwaarden van Collectmaxx bij registratie te aanvaarden, komen Partijen overeen deze Verwerkersovereenkomst aan te gaan, met inbegrip van de volgende Bijlagen, die daarvan integraal deel uitmaken:
• Bijlage 1: Algemene specificaties
• Bijlage 2: Specificatie van de verwerking
• Bijlage 3: Beveiligingsmaatregelen
• Bijlage 4: Subverwerkers (van de Verwerker)
3.1 De definities uit artikel 4 van de AVG zijn van toepassing op deze Verwerkersovereenkomst. Deze definities worden in deze Verwerkersovereenkomst met een hoofdletter geschreven.
3.2 De volgende aanvullende definities zijn van toepassing op deze Verwerkersovereenkomst:
• Overeenkomst: de overeenkomst tussen de Verwerkingsverantwoordelijke en de Verwerker op grond waarvan de Verwerker Persoonsgegevens voor de Verwerkingsverantwoordelijke verwerkt ten behoeve van de uitvoering van die overeenkomst; de Overeenkomst is gedefinieerd in Bijlage 1.
• Toepasselijke wet- en regelgeving inzake de verwerking van Persoonsgegevens: de toepasselijke wet- en regelgeving inzake de verwerking van Persoonsgegevens, met inbegrip van toekomstige wijzigingen en/of aanvullingen daarop, waaronder maar niet beperkt tot de AVG.
• Persoonsgegevens: gegevens die direct of indirect kunnen worden gebruikt om een natuurlijke persoon te identificeren, in de zin van de AVG.
• Verwerkersovereenkomst: deze verwerkersovereenkomst, met inbegrip van alle bijlagen daarbij, aangeduid als Bijlagen.
• Medewerker: een werknemer of andere door de Verwerker ingeschakelde persoon die bevoegd is de Persoonsgegevens te verwerken onder rechtstreeks gezag van de Verwerker.
• AVG: Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (Algemene Verordening Gegevensbescherming).
• Subverwerker: een derde, met inbegrip van maar niet beperkt tot dochterondernemingen, andere gelieerde ondernemingen en externe leveranciers van de Verwerker, die door de Verwerker wordt ingeschakeld om specifieke verwerkingsactiviteiten namens de Verwerkingsverantwoordelijke uit te voeren.
4.1 Deze Verwerkersovereenkomst betreft de verplichtingen van Partijen met betrekking tot de verwerking van Persoonsgegevens.
4.2 Deze Verwerkersovereenkomst vervangt alle eerdere afspraken tussen Partijen over de verwerking van de Persoonsgegevens. Indien Partijen echter een afzonderlijk ondertekende verwerkersovereenkomst zijn aangegaan, prevaleert die ondertekende overeenkomst en is deze Verwerkersovereenkomst niet van toepassing. Deze Verwerkersovereenkomst kan uitsluitend schriftelijk worden gewijzigd.
4.3 In geval van strijdigheid tussen de bepalingen van deze Verwerkersovereenkomst en de Overeenkomst prevaleren de bepalingen van deze Verwerkersovereenkomst.
4.4 Deze Verwerkersovereenkomst is van toepassing op alle huidige en toekomstige leveringen door de Verwerker op grond van de Overeenkomst en op alle ondernemingen binnen de groep van de Verwerkingsverantwoordelijke voor wie de Verwerker Persoonsgegevens verwerkt. Deze overeenkomst is tevens van toepassing op alle ondernemingen binnen de groep van de Verwerker die gegevens voor de Verwerker verwerken.
5.1 De Verwerker verwerkt Persoonsgegevens namens de Verwerkingsverantwoordelijke. De Verwerkingsverantwoordelijke heeft zijn instructies met betrekking tot de verwerking van de Persoonsgegevens vastgelegd.
5.2 De Verwerkingsverantwoordelijke instrueert de Verwerker de Persoonsgegevens te verwerken ten behoeve van de levering van zijn diensten op grond van de Overeenkomst.
5.3 De Verwerker verwerkt de Persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke.
5.4 Artikel 5.3 is niet van toepassing voor zover toepasselijk Unierecht of lidstatelijk recht waaraan de Verwerker is onderworpen, de Verwerker verplicht de Persoonsgegevens op andere wijze te verwerken. In dat geval stelt de Verwerker de Verwerkingsverantwoordelijke voorafgaand aan de verwerking schriftelijk in kennis van dat wettelijke voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.
5.5 De Verwerker verwerkt de Persoonsgegevens uitsluitend voor zover de verwerking noodzakelijk is voor de uitvoering van de Overeenkomst, en nooit voor eigen gebruik, ten behoeve van derden en/of voor andere doeleinden.
5.6 De Verwerker verwerkt de Persoonsgegevens uitsluitend overeenkomstig de specificaties in Bijlage 2. Deze Bijlage specificeert onder meer: (a) de aard en het doel van de verwerking; (b) de categorieën Betrokkenen waarop de Persoonsgegevens betrekking hebben; (c) de Persoonsgegevens die worden verwerkt; en (d) de bewaartermijn van de Persoonsgegevens.
5.7 Het is de Verwerker niet toegestaan Persoonsgegevens door te geven aan, toegankelijk te maken in, te verwerken in of anderszins beschikbaar te stellen in landen buiten de EU/EER of aan een land of gebied waarvoor de Europese Commissie geen adequaatheidsbesluit heeft genomen, met uitzondering van de vooraf goedgekeurde Subverwerkers vermeld in Bijlage 4 en onder de voorwaarden van artikel 5.8 van deze Verwerkersovereenkomst.
5.8 De Verwerker mag Persoonsgegevens doorgeven aan, toegankelijk maken voor, laten verwerken door of anderszins beschikbaar stellen aan de vooraf goedgekeurde Subverwerkers vermeld in Bijlage 4, mits voor iedere Subverwerker die buiten de EU/EER is gevestigd een geldig doorgiftemechanisme op grond van hoofdstuk V van de AVG aanwezig is.
5.9 Indien een wijziging in de uitvoering van de Overeenkomst een wijziging van deze Verwerkersovereenkomst vereist, onderhandelen Partijen in goed vertrouwen over een wijziging van deze Verwerkersovereenkomst. Een Subverwerker mag zonder voorafgaande schriftelijke goedkeuring van de Verwerker geen wijziging in de uitvoering van de Overeenkomst doorvoeren die een wijziging van deze Verwerkersovereenkomst vereist.
6.1 De Verwerker waarborgt dat zijn Medewerkers zich tot vertrouwelijkheid van de Persoonsgegevens hebben verbonden of door een passende wettelijke verplichting tot vertrouwelijkheid van de Persoonsgegevens zijn gebonden. Op schriftelijk verzoek van de Verwerkingsverantwoordelijke verstrekt de Verwerker de Verwerkingsverantwoordelijke bewijs van naleving van deze verplichting.
7.1 De Verwerker treft passende technische en organisatorische maatregelen om een passend beveiligingsniveau van de Persoonsgegevens te waarborgen. Daartoe heeft de Verwerker ten minste de technische en organisatorische maatregelen getroffen zoals beschreven in Bijlage 3.
7.2 Het passende beveiligingsniveau van de Persoonsgegevens als bedoeld in artikel 7.1 wordt bepaald met inachtneming van de stand van de techniek, de uitvoeringskosten en de aard, de omvang, de context en de doeleinden van de verwerking, alsmede de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen. Bij de beoordeling van het passende beveiligingsniveau van de Persoonsgegevens houdt de Verwerker rekening met de risico’s die de verwerking met zich brengt, in het bijzonder als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte Persoonsgegevens, hetzij per ongeluk hetzij onrechtmatig.
7.3 Op schriftelijk verzoek van de Verwerkingsverantwoordelijke informeert de Verwerker de Verwerkingsverantwoordelijke over de door de Verwerker getroffen technische en organisatorische maatregelen om een passend beveiligingsniveau van de Persoonsgegevens te waarborgen.
7.4 De Verwerker waarborgt dat iedere Medewerker die toegang heeft tot de Persoonsgegevens deze uitsluitend verwerkt overeenkomstig de instructies van de Verwerkingsverantwoordelijke als bedoeld in artikel 5.2, tenzij die persoon op grond van Unierecht of lidstatelijk recht verplicht is de Persoonsgegevens anders te verwerken.
8.1 De Verwerker is bevoegd andere Subverwerkers in te schakelen voor de verwerking van de Persoonsgegevens. Een lijst van Subverwerkers aan wie de Verwerker (een deel van) de verwerking van Persoonsgegevens heeft uitbesteed, is opgenomen in Bijlage 4.
8.2 De Verwerker kan nieuwe Subverwerkers aanstellen voor de verwerking van de Persoonsgegevens. De Verwerker stelt de Verwerkingsverantwoordelijke ten minste 60 dagen vóór een dergelijke wijziging in kennis van de toevoeging of vervanging van een Subverwerker, door de lijst van Subverwerkers op deze pagina bij te werken en de Verwerkingsverantwoordelijke per e-mail te informeren op het e-mailadres dat bij het account van de Verwerkingsverantwoordelijke is geregistreerd.
8.3 De Verwerker biedt de Verwerkingsverantwoordelijke de mogelijkheid tegen dergelijke wijzigingen bezwaar te maken. Indien de Verwerkingsverantwoordelijke bezwaar maakt tegen een voorgenomen toevoeging of vervanging van een Subverwerker, terwijl die toevoeging of vervanging niet zou leiden tot een schending door de Verwerker van deze Verwerkersovereenkomst of van de Toepasselijke wet- en regelgeving inzake de verwerking van Persoonsgegevens, heeft de Verwerker het recht de Overeenkomst met inachtneming van een redelijke opzegtermijn te beëindigen, zonder dat de Verwerkingsverantwoordelijke aanspraak kan maken op enige schadevergoeding als gevolg van die beëindiging.
8.4 De Verwerker waarborgt door middel van schriftelijke overeenkomsten dat al zijn onderaannemers en Subverwerkers die de in Bijlage 2 genoemde Persoonsgegevens verwerken, gebonden zijn aan gegevensbeschermingsverplichtingen die verenigbaar zijn met die van de Verwerker op grond van deze Verwerkersovereenkomst. Op schriftelijk verzoek van de Verwerkingsverantwoordelijke verstrekt de Verwerker de Verwerkingsverantwoordelijke bewijs van de naleving van deze verplichting door de Subverwerker.
8.5 De Verwerker blijft jegens de Verwerkingsverantwoordelijke volledig aansprakelijk voor het niet nakomen van de gegevensbeschermingsverplichtingen door zijn onderaannemers en Subverwerkers.
9.1 Rekening houdend met de aard van de verwerking verleent de Verwerker de Verwerkingsverantwoordelijke, voor zover mogelijk, bijstand door middel van passende technische en organisatorische maatregelen bij het vervullen van diens verplichting om te reageren op verzoeken tot uitoefening van de in hoofdstuk III van de AVG vastgelegde rechten van de Betrokkene.
9.2 De Verwerker stelt de Verwerkingsverantwoordelijke onmiddellijk in kennis van een verzoek van een Betrokkene dat rechtstreeks aan de Verwerker is gericht.
9.3 Indien de Verwerkingsverantwoordelijke een gegevensbeschermingseffectbeoordeling als bedoeld in artikel 35 van de AVG uitvoert met betrekking tot de verwerking van de Persoonsgegevens, verleent de Verwerker op schriftelijk verzoek van de Verwerkingsverantwoordelijke bijstand door de bij de Verwerker beschikbare informatie over de verwerking van de Persoonsgegevens door de Verwerker te verstrekken die de Verwerkingsverantwoordelijke nodig heeft om te voldoen aan de minimumvereisten van de beoordeling zoals beschreven in artikel 35, lid 7, van de AVG en/of voor een eventuele voorafgaande raadpleging van de Toezichthoudende autoriteit als bedoeld in artikel 36 van de AVG.
10.1 De Verwerker meldt een Inbreuk in verband met Persoonsgegevens zonder onredelijke vertraging nadat hij daarvan kennis heeft genomen, waar mogelijk binnen 24 uur na ontdekking, aan de Verwerkingsverantwoordelijke, overeenkomstig de meldingsprocedure beschreven in Bijlage 1. Indien en voor zover het niet mogelijk is alle vereiste informatie gelijktijdig te verstrekken, kan de informatie zonder onredelijke verdere vertraging in fasen worden verstrekt.
10.2 De Verwerker is tevens verantwoordelijk voor het melden van datalekken bij zijn Subverwerkers of onderaannemers die de Persoonsgegevens kunnen raken, onder dezelfde voorwaarden als bedoeld in artikel 10.1.
10.3 De Verwerker documenteert alle Inbreuken in verband met de Persoonsgegevens in een register, met daarin de feiten omtrent de Inbreuken (overeenkomstig de in Bijlage 1 beschreven gegevens), de gevolgen daarvan en de genomen corrigerende maatregelen. Op schriftelijk verzoek van de Verwerkingsverantwoordelijke verstrekt de Verwerker een geredigeerde kopie van dit register waarin uitsluitend de voor de Verwerkingsverantwoordelijke relevante registraties zijn opgenomen.
11.1 De Verwerkingsverantwoordelijke heeft het recht een audit te laten uitvoeren met betrekking tot de organisatie van de Verwerker door een door de Verwerkingsverantwoordelijke gemachtigde (rechts)persoon, om aan te tonen dat de verwerking van de Persoonsgegevens door de Verwerker voldoet aan de bepalingen van deze Verwerkersovereenkomst, de Overeenkomst en de Toepasselijke wet- en regelgeving inzake de verwerking van Persoonsgegevens. De kosten van de audit komen voor rekening van de Verwerkingsverantwoordelijke.
11.2 De Verwerkingsverantwoordelijke stelt de Verwerker redelijkerwijs tijdig in kennis van het voornemen een audit uit te voeren. Als redelijke termijn geldt ten minste 60 dagen voorafgaand aan de aanvang van enige auditwerkzaamheden.
11.3 De auditbepaling laat de overige rechten van de Verwerkingsverantwoordelijke, waaronder een eventueel recht op schadevergoeding, onverlet.
12.1 De Verwerker is aansprakelijk voor de schade van de Verwerkingsverantwoordelijke die voortvloeit uit een schending van deze Verwerkersovereenkomst door de Verwerker zelf of door zijn Subverwerkers of onderaannemers.
12.2 De totale aansprakelijkheid van de Verwerker op grond van deze Verwerkersovereenkomst en de Overeenkomst gezamenlijk is gelijk aan de maximale aansprakelijkheid van de Verwerker op grond van de Overeenkomst.
12.3 Een beperking van de aansprakelijkheid van de Verwerker wegens een schending van deze Verwerkersovereenkomst is niet van toepassing in geval van opzet of grove nalatigheid van de Verwerker.
12.4 Schade waarvoor de Verwerkingsverantwoordelijke aansprakelijk is op grond van artikel 82, lid 2, AVG wordt in mindering gebracht op de aansprakelijkheid van de Verwerker op grond van dit artikel 12.
13.1 Deze Verwerkersovereenkomst wordt aangegaan voor onbepaalde tijd, ingaande op de ingangsdatum zoals gedefinieerd in Bijlage 1.
13.2 Deze Verwerkersovereenkomst eindigt wanneer alle door de Verwerker verwerkte Persoonsgegevens aan de Verwerkingsverantwoordelijke zijn geretourneerd en iedere kopie daarvan door de Verwerker en zijn bij de verdere verwerking van de Persoonsgegevens betrokken Subverwerkers of onderaannemers is vernietigd of overeenkomstig de instructies van de Verwerkingsverantwoordelijke is verwerkt.
13.3 Deze Verwerkersovereenkomst kan door een van de Partijen niet los van de Overeenkomst worden beëindigd.
13.4 Beëindiging of afloop van deze Verwerkersovereenkomst ontslaat de Verwerker niet van zijn geheimhoudingsverplichtingen op grond van artikel 6.
14.1 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.
14.2 Alle geschillen tussen Partijen die voortvloeien uit deze Verwerkersovereenkomst worden bij uitsluiting voorgelegd aan de bevoegde rechter te Rotterdam.
Overeenkomst. De overeenkomst op grond waarvan de Verwerker de Persoonsgegevens verwerkt, zijn de Algemene Voorwaarden van Collectmaxx, zoals aanvaard door de Verwerkingsverantwoordelijke bij het aanmaken van zijn account.
Ingangsdatum. De ingangsdatum van deze Verwerkersovereenkomst is de datum waarop de Verwerkingsverantwoordelijke de Algemene Voorwaarden van Collectmaxx aanvaardt.
Inbreuken in verband met Persoonsgegevens. De Verwerker meldt alle Inbreuken in verband met Persoonsgegevens aan het e-mailadres dat bij het account van de Verwerkingsverantwoordelijke is geregistreerd. In aanvulling op artikel 10 verstrekt de Verwerker de Verwerkingsverantwoordelijke bij iedere Inbreuk de volgende informatie:
• een samenvatting van het incident waarbij de Inbreuk zich heeft voorgedaan;
• het tijdstip van de inbreuk (datum of periode);
• het aantal bij de inbreuk betrokken Betrokkenen, of ten minste een schatting van het minimum en maximum indien het exacte aantal niet volledig bekend is;
• de categorieën Betrokkenen die bij de inbreuk zijn betrokken;
• de aard van de inbreuk (inzage (vertrouwelijkheid), kopiëren, wijzigen (integriteit), verwijderen of vernietigen (beschikbaarheid), diefstal, of anders (met specificatie));
• de soorten Persoonsgegevens die bij de inbreuk zijn betrokken (naam- en adresgegevens, telefoonnummers, e-mailadressen of andere adressen voor elektronische communicatie, toegangs- of identificatiegegevens, financiële gegevens, fiscale of burgerservicenummers, kopieën van identiteitsdocumenten, geslacht, geboortedatum en/of leeftijd, bijzondere categorieën Persoonsgegevens, of anders (met specificatie));
• de mogelijke gevolgen van de inbreuk voor de privacy van de Betrokkenen (stigmatisering of uitsluiting, schade aan de gezondheid, blootstelling aan (identiteits)fraude, blootstelling aan spam of phishing, of anders (met specificatie)).
Contactgegevens van de functionaris voor gegevensbescherming van de Verwerker. De functionaris voor gegevensbescherming van de Verwerker is bereikbaar via customerservice@collectmaxx.com of schriftelijk via Scheepmakerspassage 183, 3011 VH Rotterdam, Nederland.
Contactgegevens van de functionaris voor gegevensbescherming van de Verwerkingsverantwoordelijke. De contactgegevens die in het account van de Verwerkingsverantwoordelijke zijn opgegeven, zijn van toepassing. De Verwerkingsverantwoordelijke kan in de accountinstellingen een specifieke FG-contactpersoon registreren.
Aard en doel van de verwerking. Het leveren van herinneringsdiensten voor de klanten van de Verwerkingsverantwoordelijke en van incassodiensten voor de Verwerkingsverantwoordelijke.
Categorie Betrokkenen: eindklanten van de Verwerkingsverantwoordelijke, verwerkt door de Verwerker namens de Verwerkingsverantwoordelijke.
• Contactgegevens (voor- en achternaam, adres, postcode, e-mail, telefoonnummer). Bewaartermijn: 3 maanden. Doel: communicatie en het verzenden van herinneringen.
• Betalingsgegevens. Bewaartermijn: 2 jaar. Doel: bewijs van betaling.
Categorie Betrokkenen: medewerkers van de Verwerkingsverantwoordelijke.
• Achternaam, voornaam, zakelijk telefoonnummer, e-mailadres(sen). Bewaartermijn: tot de medewerker de onderneming van de Verwerkingsverantwoordelijke verlaat of tot het einde van de Overeenkomst of de Verwerkersovereenkomst. Doel: uitvoering van de Overeenkomst en van deze Verwerkersovereenkomst en het onderhouden van de B2B-relatie tussen Partijen, met inbegrip van technische en commerciële communicatie.
Personeel. Medewerkers van de Verwerker hebben gedefinieerde en gedocumenteerde beveiligingsrollen en -verantwoordelijkheden, die vóór indiensttreding worden vastgelegd. Tijdens het dienstverband worden medewerkers periodiek geïnformeerd over regels en procedures met betrekking tot beveiliging en wettelijke vereisten. Alle medewerkers stemmen in met en ondertekenen het document Alphacomm IT Security Policies, dat informatieclassificatie, informatiebeveiliging, netwerkbeveiliging, aanvaardbaar gebruik, bescherming van opgeslagen gegevens, fysieke beveiliging, bescherming van gegevens tijdens overdracht, vernietiging van opgeslagen gegevens, beveiligingsbewustzijn, respons op beveiligingsincidenten, overdracht van gevoelige informatie, beheer van gebruikerstoegang en toegangscontrole omvat. Voor alle nieuwe medewerkers wordt vóór indiensttreding een antecedentenonderzoek uitgevoerd.
Wachtwoordbeveiliging en multifactorauthenticatie. Alle werkstations en netwerken zijn beveiligd met wachtwoorden. Wachtwoorden moeten voldoen aan sterkte-eisen (lengte en samenstelling, meer dan 12 tekens), verschillen van de laatste tien gebruikte wachtwoorden, ten minste iedere 90 dagen worden gewijzigd, bij invoer niet zichtbaar zijn, versleuteld worden opgeslagen en direct na eerste uitgifte worden gewijzigd. Netwerktoegang is beperkt tot geregistreerde werkstations en apparaten; toegang op afstand is uitsluitend mogelijk via sterke authenticatiemechanismen, en alle toegangs- en inlogpogingen worden gelogd en gemonitord. Gebruikerstoegang en -rechten worden beperkt via gebruikersbeheer dat uitsluitend toegankelijk is voor bepaalde rollen. Inloggegevens worden nooit via onveilige kanalen gedeeld. Toegang tot platformhosting en gegevensopslag is beperkt tot geregistreerde gebruikers met multifactorauthenticatie vanaf een geregistreerd apparaat. Wachtwoorden kunnen uitsluitend via ten minste tweefactorauthenticatie worden gereset.
Gegevensoverdracht. Alle gegevensoverdrachten van en naar het platform vinden plaats via bekende, beveiligde en geauthenticeerde protocollen (SFTP).
Kwetsbaarheidsscans en patching. Alle onderdelen die deel uitmaken van of verbonden zijn met de infrastructuur die wordt gebruikt voor de dienstverlening, worden regelmatig door verschillende beveiligingsscans gecontroleerd. Penetratietests zijn op verzoek mogelijk. Geconstateerde kwetsbaarheden worden geprioriteerd op basis van de toegekende score en het risico en dienovereenkomstig afgehandeld. Kritieke kwetsbaarheden die een directe bedreiging vormen voor de vertrouwelijkheid, integriteit of beschikbaarheid worden zonder onnodige vertraging afgehandeld.
Opschonen van media. Alle informatiedragers worden volledig en onherstelbaar gewist of vernietigd voordat zij worden hergebruikt of afgevoerd.
Netwerksegmentatie en beveiligingszones. Netwerksegmenten ondersteunen een gelaagd beveiligingsmodel, met netwerkfilters tussen segmenten waar uitsluitend geautoriseerd verkeer doorheen kan. Netwerkdocumentatie beschrijft het netwerkontwerp en het IP-nummerplan. Netwerken worden gemonitord op capaciteit, beschikbaarheid en kwaadaardige activiteiten, en gebeurtenissen worden passend afgehandeld.
Verkeersgegevens. Verkeersgegevens worden onomkeerbaar geanonimiseerd of verwijderd wanneer zij niet langer noodzakelijk zijn voor de overdracht van communicatie, behoudens voor facturatiedoeleinden, wettelijke bewaarplicht (6 maanden voor telefoniegegevens, 3 maanden voor internetgegevens) of marktanalyse en nazorgactiviteiten waarbij uitsluitend geanonimiseerde gegevens worden gebruikt.
Versleuteling. Persoonsgegevens worden zowel tijdens overdracht als in opslag versleuteld met sterke versleutelingsalgoritmen.
Hosting. Het Collectmaxx-platform wordt gehost op Amazon Web Services (AWS) in Duitsland (regio Frankfurt). Gegevens worden versleuteld en opgeslagen op verschillende nodes in een sterk redundant datacluster, waardoor de kans op gegevensverlies wordt geminimaliseerd.
Bevoorrechte accounts en wijzigingsbeheer. Bevoegdheden die zijn toegekend aan accounts of groepen die de infrastructuur rechtstreeks kunnen beschadigen, worden beschermd door een vier-ogenprincipe (ten minste twee personen aanwezig tijdens werkzaamheden, controleerbaar), centrale logging van de werkstations van waaruit werkzaamheden worden uitgevoerd, privacy by design en by default, een afzonderlijke stagingomgeving, rollbackscenario’s voor alle releases, geautomatiseerde en handmatige tests van alle wijzigingen vóór en na uitrol naar productie (functionaliteit en bekende beveiligingsproblemen), en beperking van deze werkzaamheden tot het eigen netwerk van de Verwerker.
Monitoring. Alle platforms, hostingdiensten en netwerken worden gemonitord op rekenkracht, capaciteit, afwijkingen, prestaties en actieve verbindingen, met meldingen in gedefinieerde scenario’s. Van alle activiteiten wordt een versleuteld auditlog bijgehouden.
• Amazon Web Services EMEA SARL, 5 Rue Plaetis, 2338 Luxemburg, Luxemburg. Verwerkersplatform voor alle diensten; hosting in Duitsland (regio Frankfurt).
• MessageBird B.V., Baarsjesweg 285 H, 1058 AE Amsterdam, Nederland. Communicatiediensten.
• Sound of Data B.V., Waalhaven O.z. 83 L, 3087 BM Rotterdam, Nederland. Contactcenteroplossingen.
• Spottler Group (Flowmailer), Wilhelminakade 308, 3072 AR Rotterdam, Nederland. E-maildienst-API.
• ReadSpeaker, Princenhof Park 13, 3972 NG Driebergen-Rijsenburg, Nederland. Tekst-naar-spraakdienst.
• ElevenLabs, 169 Madison Ave #2484, New York, NY 10016, Verenigde Staten. Tekst-naar-spraak- en agentische AI-spraakdienst. Doorgiften aan ElevenLabs vinden plaats op basis van een geldig doorgiftemechanisme op grond van hoofdstuk V van de AVG.