Verwerkersovereenkomst

1.1 De Verwerker

Hierna "TaxiBuddy" of "Verwerker".

1.2 De Verwerkingsverantwoordelijke

De in de Onboarding-aanvraag genoemde onderneming (taxibedrijf met een taxivergunning, in Vlaanderen een IBP-vergunning, of met een lopende vergunningsprocedure) — een rechtspersoon of een natuurlijke persoon die als eenmanszaak handelt, conform artikel 1.1 van de AV — hierna "Klant" of "Verwerkingsverantwoordelijke". De volledige bedrijfsgegevens (naam, KBO, adres, contactpersoon) zijn die welke de Klant in de Onboarding opgaf en die in het Platform geregistreerd staan; samen met het ondertekeningsbewijs van de Onboarding gelden zij als integraal deel van deze DPA.

1.3 Samen "Partijen", elk afzonderlijk "Partij".

2.1 Geldigheid

Deze Verwerkersovereenkomst ("DPA") wordt door de Klant uitdrukkelijk aanvaard bij activatie van het Abonnement, samen met de Algemene Voorwaarden ("AV"). De DPA vormt Bijlage A bij de AV en is daarvan een integraal en onlosmakelijk onderdeel.

2.2 Hiërarchie

Bij tegenstrijdigheid tussen deze DPA en de AV prevaleert deze DPA voor wat betreft de verwerking van Persoonsgegevens. Voor alle andere onderwerpen prevaleert de AV.

2.3 Wettelijk kader

Deze DPA implementeert de verplichtingen onder artikel 28 GDPR (Verordening (EU) 2016/679) en — voor zover van toepassing — de Belgische uitvoeringswet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens.

In deze DPA betekent, bovenop de definities in de AV:

• "Betrokkene" — een geïdentificeerde of identificeerbare natuurlijke persoon (Art. 4(1) GDPR), in praktijk: chauffeur, Admin van de Klant, of passagier van de Klant.
• "DSAR" — Data Subject Access Request — verzoek van een Betrokkene tot uitoefening van zijn rechten onder de artikelen 15 tot en met 22 GDPR.
• "GBA" — Belgische Gegevensbeschermingsautoriteit.
• "GDPR" — Verordening (EU) 2016/679.
• "Inbreuk" — een inbreuk in verband met persoonsgegevens (Art. 4(12) GDPR).
• "Instructies" — schriftelijke instructies van de Klant aan TaxiBuddy aangaande de verwerking van Persoonsgegevens.
• "Sub-verwerker" — een derde partij die door TaxiBuddy wordt ingeschakeld om Persoonsgegevens te verwerken namens de Klant.
• "TOMs" — Technische en Organisatorische Maatregelen in de zin van artikel 32 GDPR.

4.1 Voorwerp

TaxiBuddy verwerkt Persoonsgegevens uitsluitend namens en in opdracht van de Klant, voor zover dat noodzakelijk is om de in de AV beschreven Diensten te leveren.

4.2 Aard en doel

De gedetailleerde beschrijving van de verwerkingen — categorieën Betrokkenen, categorieën Persoonsgegevens, doeleinden en bewaartermijnen — is opgenomen in Bijlage A bij deze DPA.

4.3 Duur

De DPA gaat in op de datum van activatie van het Abonnement en blijft van kracht zolang TaxiBuddy Persoonsgegevens verwerkt namens de Klant. De DPA eindigt automatisch wanneer de retour- of verwijderingsverplichting van artikel 15 volledig is uitgevoerd.

4.4 Geografische reikwijdte

De verwerking gebeurt voor het grootste deel binnen de Europese Economische Ruimte (EER), met uitzondering van enkele beperkt afgebakende doorgiften naar derde landen onder passende waarborgen (zie artikel 12 en Bijlage B).

5.1 Rechtsgrond

De Klant garandeert dat hij beschikt over een geldige rechtsgrond (Art. 6 GDPR) voor alle verwerkingen die hij via het Platform laat uitvoeren door TaxiBuddy. Dit omvat onder meer:

• Uitvoering van vervoercontracten met passagiers
• Uitvoering van arbeids- of dienstverleningscontracten met chauffeurs
• Wettelijke verplichtingen (Boekhoudwet, BTW-wet, IBP-decreet, Chiron-rapportering, sociaal recht)
• Gerechtvaardigd belang (rit-administratie, geschillenbeheer)

5.2 Informatieplicht naar Betrokkenen

De Klant is verantwoordelijk voor het informeren van zijn chauffeurs, Admins en passagiers over de verwerking van hun Persoonsgegevens, conform de artikelen 13 en 14 GDPR. TaxiBuddy levert daartoe een template (zie /nl/legal/passenger-info/pdf) voor de passagier-informatieplicht. De Klant verbindt zich ertoe minstens één van de daar voorgestelde formaten effectief te tonen aan zijn passagiers en kan dit op verzoek aan TaxiBuddy aantonen.

5.3 Beheer van toegangsrechten

De Klant is verantwoordelijk voor het correct toekennen, beheren en intrekken van rollen en Accounts binnen het Platform. Het bewaren van login-gegevens en de daaruit volgende verantwoordelijkheid voor activiteit ligt bij de Klant.

5.4 Doorgifte van rechtmatige Persoonsgegevens

De Klant verbindt zich ertoe enkel Persoonsgegevens via het Platform te verwerken die hij rechtmatig heeft verzameld. TaxiBuddy aanvaardt geen verantwoordelijkheid voor de rechtmatigheid van de bron van de gegevens.

6.1 Beperking tot Instructies

TaxiBuddy verwerkt Persoonsgegevens uitsluitend op basis van gedocumenteerde Instructies van de Klant, tenzij een Unierechtelijke of lidstaatrechtelijke bepaling van TaxiBuddy iets anders vereist. In dat laatste geval informeert TaxiBuddy de Klant vóór de verwerking, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.

6.2 Initiële Instructies

De ondertekening van deze DPA samen met de AV vormt de initiële Instructie van de Klant aan TaxiBuddy om de in Bijlage A beschreven verwerkingen uit te voeren in het kader van het Abonnement.

6.3 Bijkomende Instructies

Bijkomende of afwijkende Instructies van de Klant moeten schriftelijk worden gegeven via privacy@taxibuddy.be. TaxiBuddy zal deze redelijke Instructies uitvoeren, mits ze technisch haalbaar zijn en niet conflicteren met wettelijke verplichtingen van TaxiBuddy.

6.4 Melding bij conflict met de wet

Indien TaxiBuddy van oordeel is dat een Instructie van de Klant in strijd is met de GDPR of andere toepasselijke regelgeving inzake gegevensbescherming, meldt TaxiBuddy dit onmiddellijk aan de Klant. De Klant heeft het recht (en de plicht) de Instructie aan te passen of in te trekken.

6.5 Kosten van Instructies

Het uitvoeren van redelijke en gangbare Instructies is in de Abonnementsprijs begrepen. Voor uitvoering van uitzonderlijk omvangrijke of complexe Instructies — bv. een eenmalige migratie van honderden ritten naar een ander systeem — kan TaxiBuddy een redelijke vergoeding aanrekenen mits voorafgaande schriftelijke offerte en aanvaarding door de Klant.

7.1 Vertrouwelijkheidsverbintenis personeel

TaxiBuddy zorgt ervoor dat alle personen die onder haar gezag toegang hebben tot Persoonsgegevens van de Klant — werknemers, zelfstandige contractanten, founders — vóór de toegang gehouden zijn aan een passende vertrouwelijkheidsverplichting (contractueel of wettelijk).

7.2 Beperking van toegang

Toegang tot Persoonsgegevens van de Klant binnen TaxiBuddy is beperkt tot een klein aantal interne medewerkers met administratieve rechten, en enkel voor zover noodzakelijk voor support, onderhoud of klantenadministratie. Elke medewerker met dergelijke toegang is contractueel gebonden door een vertrouwelijkheidsverbintenis.

7.3 Back-office-toegang door TaxiBuddy

TaxiBuddy gebruikt een interne back-office voor support en klantenadministratie. Toegang is beperkt tot bevoegde medewerkers en beperkt tot het minimum nodig voor de uitvoering van deze DPA. TaxiBuddy evalueert deze toegangscontroles periodiek en verfijnt ze in de mate dat de schaal van de organisatie groeit.

7.4 Duur

De vertrouwelijkheidsverbintenis blijft van kracht na beëindiging van deze DPA.

8.1 Verbintenis

TaxiBuddy neemt passende technische en organisatorische maatregelen om de Persoonsgegevens te beschermen tegen accidentele of onrechtmatige vernietiging, verlies, wijziging, ongeoorloofde verstrekking of toegang, conform artikel 32 GDPR.

8.2 Concrete maatregelen

De volledige lijst van maatregelen — netwerk, encryptie, toegangscontrole, monitoring, backup, soft-delete, PII-scrubbing — is opgenomen in Bijlage C bij deze DPA. Deze lijst weerspiegelt de stand van zaken op de datum van ondertekening en wordt door TaxiBuddy actueel gehouden.

8.3 Periodieke evaluatie

TaxiBuddy evalueert de TOMs minstens jaarlijks, en bij elke significante wijziging in de architectuur, sub-verwerkers of dreigingsbeeld. Bijlage C wordt na elke evaluatie geüpdatet.

8.4 Geen statische garantie

Geen enkel systeem biedt absolute zekerheid. TaxiBuddy verbindt zich tot het toepassen van redelijke en bij de huidige stand van techniek passende maatregelen, niet tot een resultaatsverbintenis van onschendbaarheid.

9.1 Algemene toestemming

De Klant verleent door ondertekening van deze DPA algemene toestemming voor het gebruik van Sub-verwerkers door TaxiBuddy, mits naleving van dit artikel.

9.2 Lijst Sub-verwerkers

De op de datum van ondertekening van deze DPA gebruikte Sub-verwerkers zijn opgenomen in Bijlage B en raadpleegbaar op taxibuddy.be/subprocessors.

9.3 Verplichtingen TaxiBuddy ten aanzien van Sub-verwerkers

TaxiBuddy:

a) Sluit met elke Sub-verwerker een schriftelijke overeenkomst die ten minste dezelfde gegevensbeschermingsverplichtingen oplegt als deze DPA, in overeenstemming met artikel 28(4) GDPR

b) Blijft tegenover de Klant volledig aansprakelijk voor de nakoming van de verplichtingen van de Sub-verwerker, zonder afbreuk te doen aan haar eigen aansprakelijkheid onder artikel 14 hieronder

c) Selecteert Sub-verwerkers met passende waarborgen voor de bescherming van Persoonsgegevens

d) Beoordeelt periodiek de geschiktheid van bestaande Sub-verwerkers

9.4 Wijziging van Sub-verwerkers

Bij toevoeging of vervanging van een Sub-verwerker:

a) TaxiBuddy informeert de Klant minstens dertig (30) kalenderdagen vooraf via aanpassing van Bijlage B (gepubliceerd op taxibuddy.be/subprocessors) en via e-mail naar het in het Platform geregistreerde e-mailadres van de Klant

b) De Klant heeft het recht om binnen die dertig (30) dagen gemotiveerd en op gegronde technische of juridische gronden bezwaar aan te tekenen via privacy@taxibuddy.be. Een bezwaar is enkel gegrond indien de Klant kan aantonen dat de voorgestelde Sub-verwerker niet de minimale beveiligings- of doorgifte-waarborgen biedt die door GDPR worden vereist

c) Bij gegrond bezwaar — dat door TaxiBuddy niet binnen een redelijke termijn kan worden weggenomen — heeft de Klant het recht om het Abonnement op te zeggen tegen de datum waarop de wijziging ingaat, of tegen het einde van de lopende factuurcyclus als dat later valt. Betreft de wijziging een functie die per Klant kan worden uitgeschakeld, dan schakelt TaxiBuddy die op verzoek voor de Klant uit tot de einddatum; platformbrede infrastructuur (hosting, databank, identity-provider) kan niet per Klant worden uitgesteld. Resterende abonnementsgelden tot het einde van de lopende cyclus blijven verschuldigd; Lock-in-overschrijdingskosten zijn niet verschuldigd

d) Bij ontstentenis van bezwaar binnen dertig (30) dagen wordt de Klant geacht akkoord te gaan met de wijziging

e) TaxiBuddy is niet verplicht een alternatieve Sub-verwerker te zoeken indien zij de wijziging om operationele, veiligheids-, prijs- of leveranciers-strategische redenen noodzakelijk acht

f) Beweegredenen zoals louter commercieel ongemak, voorkeur voor andere leveranciers of bezorgdheden die niet rechtstreeks de bescherming van persoonsgegevens raken, gelden niet als gegrond bezwaar

9.5 Aparte controllers

Chiron (Mobiliteit en Openbare Werken, Vlaamse overheid) is geen Sub-verwerker maar een aparte verwerkingsverantwoordelijke, naar wie TaxiBuddy voor een Klant met Vergunningsgebied Vlaanderen in opdracht van de Klant rit-data doorgeeft ter uitvoering van diens wettelijke registratieplicht (IBP-decreet — artikel 6(1)(c) GDPR). Voor een Klant met een ander Vergunningsgebied, of zonder Vergunningsgebied, geeft het Platform geen ritten door aan een overheid. Ook Google Maps Platform (geocodering, adres-autocomplete en routeberekening) verwerkt de adres- en coördinaatopvragingen van het Platform als onafhankelijke verwerkingsverantwoordelijke onder Googles Controller-Controller Data Protection Terms, en niet als Sub-verwerker. Die opvragingen bevatten geen rit-ID of account. Voor de afstand van een rit en voor een prijsschatting vraagt de backend wel de route tussen vertrek- en aankomstpunt samen op (Routes), en de app vraagt adressen en coördinaten rechtstreeks vanaf het toestel bij Google op (Geocoding en Places), waardoor Google ook het IP-adres van het toestel ontvangt. De Klant erkent en aanvaardt dit.

10.1 Bijstand bij DSAR

TaxiBuddy verleent de Klant, rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie, redelijke bijstand bij het beantwoorden van DSAR's. Dit omvat onder meer:

• Inzage (Art. 15) — extractie van een Betrokkene's data uit het Platform
• Rectificatie (Art. 16) — correctie van onjuiste gegevens
• Verwijdering (Art. 17) — manuele uitvoering volgens onze interne erasure-procedure, binnen één (1) maand na het verzoek, bij complexiteit verlengbaar met maximaal twee (2) maanden (Art. 12(3) GDPR)
• Beperking (Art. 18)
• Overdraagbaarheid (Art. 20) — CSV/JSON-export
• Bezwaar (Art. 21)

10.2 Bijstand bij DPIA en voorafgaande raadpleging

TaxiBuddy verleent redelijke bijstand bij het opstellen van een Data Protection Impact Assessment (Art. 35 GDPR) of bij voorafgaande raadpleging van de GBA (Art. 36 GDPR), voor zover dit verband houdt met verwerkingen die TaxiBuddy als Verwerker uitvoert. TaxiBuddy beschikt over een eigen DPIA voor de GPS-puntopname tijdens shifts en ritten; deze is op redelijk verzoek raadpleegbaar door de Klant.

10.3 Kosten van bijstand

Bijstand bij DSAR's is in de Abonnementsprijs begrepen tot drie (3) verzoeken per kalendermaand per Klant. Vanaf het vierde verzoek in dezelfde kalendermaand mag TaxiBuddy een redelijke vergoeding aanrekenen voor de geleverde inspanning (typisch op uurbasis aan een marktconform tarief), mits voorafgaande schriftelijke offerte en aanvaarding door de Klant.

Bijstand bij DPIA-opmaak, audit-medewerking buiten artikel 13.1 (a), voorafgaande GBA-raadpleging of andere niet-routinematige verzoeken die structureel meer dan een halve werkdag inspanning vergen, wordt eveneens op redelijke en marktconforme basis aangerekend.

Kennelijk ongegronde of buitensporige DSAR's — waaronder herhaalde verzoeken voor dezelfde data binnen een korte termijn — kunnen door TaxiBuddy geweigerd worden of tegen redelijke vergoeding behandeld worden, conform Art. 12(5) GDPR.

10.4 Kanaal

Alle verzoeken om bijstand worden ingediend via privacy@taxibuddy.be met vermelding van Klant-naam, KBO-nummer en de aard van het verzoek.

11.1 Melding aan de Klant

TaxiBuddy meldt elke vastgestelde Inbreuk die betrekking heeft op Persoonsgegevens verwerkt namens de Klant zo spoedig als redelijk haalbaar en uiterlijk binnen tweeënzeventig (72) uur na de interne bevestiging van de Inbreuk en de redelijke vaststelling van de impact op de data van de Klant.

Deze termijn loopt pas vanaf het moment dat TaxiBuddy zelf over voldoende geverifieerde informatie beschikt om een zinvolle melding te kunnen doen. Indien de Inbreuk geheel of gedeeltelijk haar oorsprong vindt bij een Sub-verwerker of een derde, gaat de termijn pas in vanaf het moment dat die partij de relevante informatie aan TaxiBuddy heeft bezorgd.

11.2 Inhoud van de melding

De melding bevat ten minste, voor zover beschikbaar op het moment van melding:

• Aard van de Inbreuk
• Categorieën en, bij benadering, het aantal Betrokkenen
• Categorieën en, bij benadering, de hoeveelheid Persoonsgegevens
• Waarschijnlijke gevolgen
• Maatregelen die TaxiBuddy heeft genomen of voorstelt om de Inbreuk aan te pakken en de gevolgen te beperken
• Contactpersoon voor verdere informatie: privacy@taxibuddy.be

Indien nog niet alle informatie beschikbaar is binnen de termijn van artikel 11.1, levert TaxiBuddy binnen die termijn een eerste melding met "in onderzoek" voor de onbekende velden en vult deze nadien aan zodra mogelijk. (Intern hanteert TaxiBuddy een strengere streefnorm — zie het interne data-breach-beleid; die streefnorm is geen contractuele termijn.)

11.3 Eigen meldplicht van de Klant naar de GBA en Betrokkenen

De Klant blijft als Verwerkingsverantwoordelijke verantwoordelijk voor de melding aan de GBA binnen 72 uur (Art. 33 GDPR) en, indien van toepassing, voor de mededeling aan de Betrokkenen (Art. 34 GDPR). TaxiBuddy verleent daartoe redelijke bijstand.

11.4 Eigen procedure TaxiBuddy

TaxiBuddy beschikt over een uitgewerkte interne procedure voor incident-detectie, triage, communicatie en post-mortem, met aangewezen aanspreekpunten en een cascade-contactketen voor het geval het primaire aanspreekpunt niet bereikbaar is. Deze procedure is op redelijk verzoek raadpleegbaar door de Klant.

12.1 Principe

De Persoonsgegevens van de Klant worden zoveel mogelijk binnen de Europese Economische Ruimte (EER) verwerkt. De primaire infrastructuur (Microsoft Azure West Europe — Amsterdam) en Auth0 (EU-tenant) verwerken binnen de EER; Capawesome verwerkt hoofdzakelijk in Duitsland en Frankrijk. Voor Auth0 en Microsoft blijft support-toegang van buiten de EER mogelijk; die valt onder de standaardcontractbepalingen in hun verwerkersovereenkomsten. Resend verzendt vanuit een EU-regio, maar verklaart in zijn eigen verwerkersovereenkomst dat zijn primaire verwerking in de Verenigde Staten plaatsvindt; Resend staat daarom in de doorgiftetabel hieronder. Zoho Mail bewaart de mailboxen info@ en privacy@ in EU-datacenters (Nederland en Ierland); supporttoegang vanuit India is mogelijk, en daarom staat ook Zoho in de doorgiftetabel.

12.2 Doorgifte naar derde landen

Voor een beperkt aantal Sub-verwerkers vindt doorgifte naar een derde land plaats, in de meeste gevallen naar de Verenigde Staten:

Google Maps Platform (aparte verwerkingsverantwoordelijke, zie artikel 9.5 en Bijlage B) ontvangt de adres- en coördinaatopvragingen eveneens in de VS; die doorgifte valt onder Googles Controller-Controller Data Protection Terms met EU-VS DPF en SCCs.

12.3 Toezicht op waarborgen

TaxiBuddy controleert minstens jaarlijks de DPF-certificering van de betrokken Sub-verwerkers via https://www.dataprivacyframework.gov en de geldigheid van de SCCs. Bij verval van een waarborg zonder dat een gelijkwaardig alternatief beschikbaar is, treedt artikel 9.4 in werking.

13.1 Recht op audit — primaire vorm: documentatie

De Klant heeft het recht om de naleving door TaxiBuddy van deze DPA te controleren door middel van:

a) Opvragen van bestaande documentatie — sub-processor lijst, retentie-policy, beveiligingsattesten van TaxiBuddy's grote sub-verwerkers (zoals SOC 2- en ISO 27001-rapporten van Azure en Auth0) — gratis en op eenvoudig schriftelijk verzoek

b) Schriftelijke vragenlijst — TaxiBuddy beantwoordt redelijke en relevante vragen binnen dertig (30) kalenderdagen, in de mate dat de antwoorden niet vertrouwelijke gegevens van andere Klanten of leveranciers raken

c) On-site audit of audit-op-afstand — uitsluitend onder de strikte voorwaarden van artikel 13.2

13.2 On-site audit — beperkt tot onderbouwde verdenking

Een on-site of remote audit is enkel mogelijk indien de Klant schriftelijk en onderbouwd kan aantonen dat hij een redelijke verdenking heeft van een materiële schending van deze DPA door TaxiBuddy. Onderbouwing houdt minimaal in: concrete feiten, datums of bewijsstukken die wijzen op een mogelijke schending. Een loutere preventieve audit-wens is onvoldoende.

Onder die voorwaarde geldt:

• Maximaal één (1) on-site audit per kalenderjaar, behoudens een recente bevestigde Inbreuk of substantiële wijziging van Sub-verwerkers die rechtstreeks de data van de Klant raakt;
• Voorafgaande schriftelijke aankondiging van minstens dertig (30) kalenderdagen;
• Tijdens normale kantooruren van TaxiBuddy (werkdagen 9-17u CET);
• Uitsluitend door een door beide Partijen aanvaarde onafhankelijke derde auditor (geen concurrent van TaxiBuddy), gehouden aan een schriftelijke geheimhoudingsverklaring;
• Met absoluut respect voor de vertrouwelijkheid van data van andere Klanten van TaxiBuddy (multi-tenant SaaS — geen toegang tot data van derden);
• Beperkt tot de scope van de oorspronkelijke verdenking — geen vissen.

13.3 Audit-kosten

De Klant draagt de volledige kosten van zijn audit, inclusief eigen tijd, externe auditor en alle voorbereidings- en verplaatsingsuitgaven. Daarbovenop vergoedt de Klant aan TaxiBuddy een forfaitair bedrag van € 1.500 per audit-dag als bijdrage in TaxiBuddy's medewerkingskosten (deelname vergaderingen, verstrekken documentatie, beschikbaar stellen technici).

Enkel indien de audit objectief en aantoonbaar een materiële schending van deze DPA door TaxiBuddy vaststelt — die door TaxiBuddy schriftelijk wordt erkend of door een rechter is bevestigd — vervalt deze forfaitaire bijdrage en draagt TaxiBuddy de redelijke kosten van de Klant in verband met de audit én de remediatie.

13.4 Geen continue toegang

De Klant verkrijgt geen continue, periodieke of geautomatiseerde toegang tot de logs, infrastructuur of audit-trails van TaxiBuddy. Audit-toegang is steeds eenmalig, tijdsgebonden, schriftelijk aangevraagd en gemotiveerd.

14.1 Verband met Algemene Voorwaarden

De aansprakelijkheid van TaxiBuddy uit hoofde van deze DPA is onderworpen aan de beperkingen vermeld in artikel 17 van de Algemene Voorwaarden (in het bijzonder: per incident maximaal € 10.000; per kalenderjaar maximaal de abonnementsgelden van het basisabonnement over de voorbije twaalf maanden, geannualiseerd voor een Abonnement dat nog geen jaar loopt, met een absoluut plafond van € 20.000), behoudens de bepalingen in dit artikel.

14.2 GDPR-aansprakelijkheidsregime

Niets in deze DPA of in de AV beperkt of sluit uit:

• De rechtstreekse aansprakelijkheid van TaxiBuddy ten aanzien van Betrokkenen onder artikel 82 GDPR, voor zover en in de mate dat TaxiBuddy als Verwerker daarvoor wettelijk aansprakelijk is
• De bevoegdheid van de GBA om administratieve geldboetes op te leggen (Art. 83 GDPR)
• De aansprakelijkheid die niet kan worden beperkt op grond van dwingend recht

14.3 Vrijwaring tussen Partijen

In het kader van een gezamenlijke claim van een Betrokkene (Art. 82(4) GDPR) waarbij beide Partijen worden aangesproken:

a) Elke Partij draagt het deel van de schade dat overeenstemt met haar eigen aandeel in de inbreuk

b) Indien één Partij meer betaalt dan haar aandeel, kan zij van de andere Partij het te veel betaalde terugvorderen, onverminderd haar eigen aansprakelijkheidsplafond

c) TaxiBuddy vrijwaart de Klant niet tegen claims die voortvloeien uit een schending van de eigen GDPR-verplichtingen van de Klant (bv. ontbrekende rechtsgrond, gebrekkige informatie naar passagiers, foutieve invoer)

14.4 GBA-boetes

Een door de Gegevensbeschermingsautoriteit opgelegde administratieve geldboete tegen de Klant kan enkel worden doorberekend aan TaxiBuddy indien alle van de volgende voorwaarden cumulatief vervuld zijn:

a) De boete vloeit rechtstreeks en uitsluitend voort uit een door TaxiBuddy begane schending van deze DPA, die door TaxiBuddy schriftelijk wordt erkend of door een definitieve gerechtelijke beslissing onbetwistbaar is vastgesteld;

b) De schending kwalificeert als grove of zware fout in de zin van artikel 17.4 van de Algemene Voorwaarden — een loutere onoplettendheid, een gewone bug, een fout van een Sub-verwerker of een door overmacht veroorzaakte onbeschikbaarheid kwalificeert niet als zodanig;

c) De Klant heeft TaxiBuddy onverwijld op de hoogte gebracht van de GBA-procedure, alle relevante documentatie gedeeld, en TaxiBuddy de mogelijkheid gegeven om in de procedure tussen te komen of een schikking voor te stellen;

d) De Klant heeft zelf alle redelijke maatregelen genomen om de boete te beperken (waaronder tijdige melding, samenwerking met GBA, eigen GDPR-naleving).

Indien deze voorwaarden vervuld zijn, vergoedt TaxiBuddy de boete tot een absoluut maximum van vijftigduizend euro (€ 50.000) per kalenderjaar, alle GBA-zaken samen genomen. Dit bedrag staat los van de algemene aansprakelijkheidsplafonds van artikel 17.1 van de Algemene Voorwaarden, en vormt het uitsluitende plafond voor GBA-gerelateerde aansprakelijkheid.

Het deel van de boete dat de € 50.000 overschrijdt, alsook elke boete die niet aan bovenstaande cumulatieve voorwaarden voldoet, blijft volledig ten laste van de Klant.

15.1 Einde van de DPA

De beëindiging van de AV — om welke reden ook, ook op grond van artikel 9.4(c) hierboven — beëindigt de verwerkingsopdracht. Deze DPA zelf blijft, conform artikel 4.3, van kracht zolang TaxiBuddy nog Persoonsgegevens van de Klant onder zich heeft, en eindigt pas wanneer de retour- of verwijderingsverplichting van dit artikel volledig is uitgevoerd.

15.2 Keuze van de Klant

Binnen negentig (90) kalenderdagen na de effectieve einddatum van het Abonnement kan de Klant via privacy@taxibuddy.be kiezen tussen:

a) Retour — een gratis machine-leesbare export van zijn data (CSV en/of JSON), conform artikel 13 van de AV, geleverd binnen dertig (30) kalenderdagen (verlengbaar met dertig (30) dagen bij complexiteit), OF

b) Verwijdering — verwijdering van zijn data zonder export, uitgevoerd binnen dertig (30) kalenderdagen na de keuze, behoudens de wettelijke bewaarplicht van artikel 15.3

Bij gebrek aan keuze binnen de negentig (90) dagen, en na levering van een gevraagde export, verwijdert TaxiBuddy de Persoonsgegevens van de Klant binnen dertig (30) kalenderdagen alsnog (optie b). Het interne retentiebeleid van TaxiBuddy geldt na beëindiging enkel nog voor de eigen gegevens van TaxiBuddy bedoeld in artikel 15.3.

15.3 Wettelijke bewaarplicht

Gegevens die TaxiBuddy voor eigen wettelijke of bewijsdoeleinden moet bewaren, worden niet verwijderd op het moment van beëindiging: de abonnementsfacturen en betalingsgegevens van de Klant (BTW-wetboek en fiscale bewaarplicht, 10 jaar), het bewijs van aanvaarding van de AV en deze DPA en de audit-log van de bedrijfsstatus (verjaring, 10 jaar), en een geaggregeerd overzicht van het aantal Ritten per facturatieperiode als verantwoording van de gefactureerde bundels. Dat overzicht bevat geen locatie-, passagiers- of chauffeursgegevens. De boekhoud- en fiscale bewaarplichten voor de rit-, passagiers- en chauffeursgegevens zelf rusten op de Klant; hij vervult ze met zijn export (optie a) of zijn eigen administratie. Deze eigen gegevens worden na het verstrijken van hun termijn conform het interne retentiebeleid verwijderd.

15.4 Sub-verwerkers

TaxiBuddy informeert haar Sub-verwerkers binnen dertig (30) dagen na de keuze van de Klant onder artikel 15.2 en eist van hen de overeenkomstige uitvoering, met inachtneming van de aldaar geldende eigen retentie-policies.

15.5 Bevestiging

Op verzoek van de Klant levert TaxiBuddy binnen redelijke termijn een schriftelijke bevestiging van de uitgevoerde retour en/of verwijdering.

16.1 Materiële wijzigingen

Voor materiële wijzigingen van deze DPA — onder meer wijziging van categorieën verwerkingen, sub-verwerkers met substantiële impact, audit-rechten of meldingstermijnen — geeft TaxiBuddy een schriftelijke kennisgeving van ten minste dertig (30) kalenderdagen vooraf, in lijn met artikel 20 van de AV. De Klant kan binnen die termijn opzeggen zonder bijkomende vergoeding indien de wijziging hem onredelijk treft.

16.2 Niet-materiële wijzigingen

Niet-materiële wijzigingen (taalkundige correcties, verduidelijkingen, aanpassing aan gewijzigde wetgeving zonder substantiële impact) worden gepubliceerd via taxibuddy.be en gelden vanaf de daar vermelde datum.

16.3 Bijwerking van de Bijlagen

De Bijlagen B (sub-verwerkers) en C (TOMs) worden door TaxiBuddy actueel gehouden en kunnen gewijzigd worden zonder ondertekening van een nieuwe DPA, mits inachtneming van de hierboven beschreven kennisgeving- en bezwaarmechanismen.

17.1 Volledige overeenkomst

Deze DPA, samen met de AV en de Bijlagen, vormt de volledige overeenkomst tussen partijen wat betreft de verwerking van Persoonsgegevens en vervangt elke eerdere afspraak hierover.

17.2 Gedeeltelijke nietigheid

Indien een bepaling van deze DPA nietig of niet afdwingbaar wordt verklaard, blijven de overige bepalingen onverkort van kracht. Partijen verbinden zich tot vervanging door een geldige bepaling met zoveel mogelijk dezelfde strekking.

17.3 Mededelingen

Alle mededelingen onder deze DPA gebeuren schriftelijk per e-mail naar:

• TaxiBuddy: privacy@taxibuddy.be — met postadres Cools IT Solutions BV, Dorp 4E bus 021, 2820 Bonheiden, België
• Klant: het e-mailadres opgegeven in de Onboarding-aanvraag of zoals nadien schriftelijk gewijzigd

17.4 Geen overdracht

De Klant mag zijn rechten en plichten onder deze DPA niet overdragen aan een derde zonder voorafgaande schriftelijke toestemming van TaxiBuddy. TaxiBuddy mag de DPA overdragen aan een verbonden onderneming of in het kader van een fusie/overname mits voorafgaande melding.

18.1 Toepasselijk recht

Op deze DPA is uitsluitend het Belgisch recht van toepassing, aangevuld met de rechtstreeks toepasselijke GDPR.

18.2 Bevoegde rechtbank

Voor alle geschillen zijn uitsluitend de rechtbanken van het gerechtelijk arrondissement Antwerpen, afdeling Mechelen bevoegd. Voorafgaande dialoogplicht conform artikel 22.3 AV blijft van toepassing.

18.3 Bevoegdheid van de GBA

Niets in dit artikel beperkt het recht van een Betrokkene om klacht in te dienen bij de Belgische Gegevensbeschermingsautoriteit of een gelijkwaardige toezichthoudende autoriteit in zijn lidstaat van verblijf.

A.1 Categorieën Betrokkenen

• Chauffeurs (Drivers) van de Klant
• Beheerders (Admins — dispatcher / fleet manager / zaakvoerder) van de Klant
• Klanten / passagiers van de Klant (natuurlijke personen of vertegenwoordigers van corporate-klanten)
• Contactpersonen bij leveranciers of partners van de Klant (in zoverre via het Platform geregistreerd)

A.2 Categorieën Persoonsgegevens

A.3 Doeleinden van de verwerking

1. Uitvoering van het vervoercontract en de Diensten

2. Wettelijke rit-registratie bij Chiron, voor een Klant met Vergunningsgebied Vlaanderen

3. Werktijd- en loon-administratie (RSZ + sociaal recht)

4. Facturatie en boekhouding (BTW-wet + Boekhoudwet)

5. Audit en geschillenbeheer

6. Beveiliging en monitoring van het Platform

A.4 Volledige procesbeschrijving

TaxiBuddy houdt een gedetailleerd intern verwerkingsregister bij conform artikel 30 GDPR, dat per verwerking de categorieën gegevens, ontvangers, bewaartermijn en beveiligingsmaatregelen documenteert. Dit register is op verzoek raadpleegbaar door de GBA en — voor verwerkingen die de Klant aangaan — door de Klant in het kader van artikel 13 van deze DPA.

A.5 Bewaartermijnen

Indicatieve samenvatting van de bewaartermijnen tijdens de looptijd van het Abonnement. Zij gelden als de staande Instructie van de Klant (artikel 6.2) en volgen de boekhoud-, fiscale en sociale bewaarplichten van de Klant. Na beëindiging geldt artikel 15: export en/of verwijdering, met uitzondering van de eigen gegevens van TaxiBuddy in artikel 15.3.

Het onderwerp staat letterlijk in de uitgaande-berichtenlog en kan persoonsgegevens bevatten: in de melding van een verwijderverzoek aan privacy@taxibuddy.be staat het volledige e-mailadres van de aanvrager in het onderwerp.

Actuele lijst raadpleegbaar op: https://taxibuddy.be/subprocessors

Volledige fiches per Sub-verwerker: /nl/subprocessors

Deze bijlage bevat uitsluitend de partijen die gegevens verwerken waarvoor de Klant verwerkingsverantwoordelijke is (blok A van de publieke lijst). De verwerkers die TaxiBuddy enkel inzet voor haar eigen verwerkingen (facturatie van het Abonnement via OnFact, het aanvraagformulier en de analytics van de website, de bankkoppeling op haar eigen rekening) verwerken geen Persoonsgegevens van de Klant in de zin van deze DPA en staan daarom enkel in de publieke lijst op taxibuddy.be/subprocessors (blok B), met vermelding in de privacyverklaring van de website. Zoho Mail (SP-14) is ook de eigen mailbox van TaxiBuddy, maar staat in deze bijlage en in blok A omdat er gegevens van de Klant binnenkomen: elke e-mail die het Platform verstuurt heeft info@taxibuddy.be als antwoordadres, zodat antwoorden van chauffeurs, beheerders en passagiers in die mailbox terechtkomen, en een verwijderverzoek uit de app stuurt naam, e-mailadres, bedrijfsnaam en account-ID van de aanvrager naar privacy@taxibuddy.be. De fichenummers in de eerste kolom zijn dezelfde als in de publieke lijst en liggen vast (SP-1 tot SP-14), zodat elke rij hier naar één fiche daar verwijst; de reeks is daarom niet aaneensluitend. SP-6 (Google Maps Platform, aparte verwerkingsverantwoordelijke) en SP-7 (Application Insights, opgenomen in SP-2) zijn niet meer in gebruik.

Aparte verwerkingsverantwoordelijken (geen Sub-verwerker):

De volgende maatregelen zijn op de datum van ondertekening van deze DPA geïmplementeerd. TaxiBuddy evalueert deze maatregelen minstens jaarlijks en past ze aan op basis van evoluerende beveiligingsstandaarden en operationele noden.

C.1 Toegangscontrole

• Auth0 (EU-tenant) als identity provider met token-gebaseerde authenticatie
• Authenticatie- en autorisatiecontrole op elke beveiligde backend-request
• Rolgebaseerde toegang met scheiding tussen klant-rollen (chauffeur, beheerder) en interne TaxiBuddy-medewerkers
• Multi-tenant isolatie — data van verschillende klanten kan niet vermengd of cross-zichtbaar worden gemaakt
• Strikt beperkt aantal interne medewerkers met administratieve toegang, allen contractueel gebonden door een vertrouwelijkheidsverbintenis

C.2 Versleuteling

• TLS 1.2 of hoger voor alle communicatie (mobiele app ↔ backend ↔ Sub-verwerkers)
• HTTPS afgedwongen op alle endpoints
• Azure SQL Transparent Data Encryption op databases (encryptie at rest)
• Azure Blob Storage encryption met versie-beheer
• Azure Key Vault voor secrets en credentials, met purge-protection actief in productie

C.3 Beveiliging op netwerkniveau

• CORS-restricties op de backend
• Rate-limiting op publieke endpoints
• Databank achter de Azure SQL-serverfirewall, met uitsluitend Entra ID-authenticatie (geen SQL-logins) en TLS 1.2 of hoger. De firewall laat alle IP-adressen van Azure-diensten toe (de regel voor Azure-diensten), ook die van andere Azure-klanten; aanmelden kan enkel met een Entra ID-identiteit die toegang tot de databank kreeg: de beheerde identiteiten van de backend, de service principal van de deploy-pipeline en de beheerdersgroep van TaxiBuddy
• Deploys draaien op een self-hosted build-agent op een server bij Hetzner. Bij een deploy naar productie opent de pipeline de databankfirewall tijdelijk voor het IP-adres van die agent en past zij de databankmigraties toe met de service principal van de pipeline, die db_owner is op de databank; de agent krijgt daarbij ook de productiesecrets van de infrastructuur en de productieconfiguratie van de website en de back-office. Buiten een deploy verwerkt de agent geen Persoonsgegevens, maar tijdens een deploy heeft hij volledige toegang tot de databank
• Hosting-laag (Vercel): de server-functies van de publieke website en van de back-office draaien in de EU-regio Frankfurt; de regio's worden jaarlijks en bij elke projectmigratie geverifieerd; doorgifte onder het EU-VS Data Privacy Framework

C.4 Monitoring en logging

• Microsoft Application Insights met retentie van 90 dagen in productie
• Automatische PII-scrubbing van de backend-telemetrie in productie: e-mailadressen, Belgische IBAN's, Belgische BTW-nummers en Belgische telefoonnummers worden via reguliere expressies onleesbaar gemaakt in de logregels, de request- en dependency-telemetrie (OpenTelemetry) en de eigen gebeurtenissen, vooraleer die productie verlaten. Andere persoonsgegevens, zoals namen of buitenlandse rekening- en telefoonnummers, herkent de scrubber niet. Exceptieboodschappen en stacktraces passeren de scrubber niet. De telemetrie bevat geen request- of responsebodies en in productie geen SQL-statements, maar een foutmelding van de databank kan waarden uit een query dragen. De mobiele app stuurt haar telemetrie zonder scrubbing
• Bron-masking van e-mailadressen in de logregels van de Auth0-koppeling (in productie), voordat ze in de loggingpijplijn terechtkomen; andere onderdelen, zoals de e-mailverzending, zetten bij een fout het volledige adres in de logregel en rekenen dan op de scrubbing hierboven
• Append-only audit-logs voor onboarding- en bedrijfsstatuswijzigingen
• Audit-log van elke wijziging die een TaxiBuddy-medewerker via de back-office uitvoert: medewerker, soort actie, betrokken record, uitkomst en tijdstip, zonder de ingevoerde waarden. Het raadplegen van gegevens wordt niet gelogd

C.5 Backup, retentie en herstel

• Azure SQL Point-in-Time Restore (35 dagen voor productie) met differentiële backups
• Storage soft-delete (30 dagen) en versie-beheer op blobs
• Key Vault soft-delete (90 dagen) met purge-protection in productie
• Soft-delete op klant-, voertuig- en accountgegevens: verwijderde records zijn niet langer bruikbaar in het Platform maar blijven in de databank bestaan zolang zij niet definitief verwijderd zijn. Het Platform heeft geen herstelfunctie; herstel kan enkel met een ingreep rechtstreeks in de databank. Definitieve verwijdering of anonimisering volgt het interne retentiebeleid en wordt vandaag uitgevoerd via een gedocumenteerde manuele procedure met kwartaalritme (automatisering gepland)
• Geautomatiseerde opruiming van interne event-wachtrijen: verwerkte berichten maximaal drie (3) dagen, gefaalde berichten maximaal veertien (14) dagen, archief maximaal honderdtachtig (180) dagen — in productie korter ingesteld

C.6 Organisatorisch

• Vertrouwelijkheidsverbintenis voor al het personeel met toegang tot persoonsgegevens
• Wachtwoord- en MFA-beleid voor interne administratieve accounts
• Uitgewerkte datalek-responsprocedure met aangewezen aanspreekpunten en cascade-contactketen, conform artikel 11 van deze DPA
• Uitgewerkte erasure-procedure conform artikel 10.1
• Periodieke evaluatie van TOMs minstens jaarlijks

Einde Verwerkersovereenkomst. Vragen over deze DPA, Sub-verwerkers, beveiliging of data subject-verzoeken: privacy@taxibuddy.be.