Verwerkersovereenkomst trygga

Versie 1.0 — geldig vanaf 1 september 2026

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van trygga. Ze geldt tussen de klant (de verwerkingsverantwoordelijke) en Simo BV, Merktweg 1, 9772 Kruisem, BE1016683031 (de verwerker, hierna “wij”). Ze voldoet aan artikel 28 van de Algemene Verordening Gegevensbescherming (AVG). Begrippen uit de AVG hebben hier dezelfde betekenis.

1. Rollen

1.1 Voor de persoonsgegevens die gebruikers in de werkruimte zetten of die ontstaan door het gebruik ervan, is de klant verwerkingsverantwoordelijke en zijn wij verwerker.

1.2 Voor de gegevens die we nodig hebben om de overeenkomst met de klant zelf uit te voeren, zoals contact- en factuurgegevens, eigen accountbeheer, supportvragen en eigen beveiligingslogs, zijn wij zelf verwerkingsverantwoordelijke. Daarvoor geldt onze privacyverklaring, niet deze overeenkomst.

2. Wat we verwerken

2.1 Doel en aard. We bewaren, tonen en versturen gegevens om trygga te leveren: projecten, taken, berichten, documenten, bestanden en tijdregistratie beheren, gebruikers toegang geven tot hun werkruimte en inhoudelijke meldingen per mail sturen. Voor ons eigen accountbeheer geldt artikel 1.2.

2.2 Betrokkenen. Teamleden van de klant, gasten die de klant uitnodigt, en personen over wie gebruikers iets in de inhoud zetten.

2.3 Soorten gegevens.

• identificatie- en contactgegevens: naam, e-mailadres, profielfoto, taal, tijdzone
• rol en lidmaatschap per werkruimte en project
• inhoud die gebruikers maken: taken, berichten, reacties, documenten met hun versies, bestanden
• tijdregistratie: per persoon en dag de gewerkte tijd met omschrijving, en de capaciteit per persoon
• gebruiksgegevens: wie wat aanmaakte of wijzigde, wie wat zag en wanneer, goedkeuringen, meldingen en welke mails verstuurd werden
• mailvoorkeuren

2.4 Bijzondere gegevens. trygga is niet bedoeld voor bijzondere categorieën van persoonsgegevens (artikel 9 AVG) of gegevens over strafrechtelijke veroordelingen. De klant zet die er niet in, tenzij hij daarvoor zelf een grondslag heeft en de beveiliging uit bijlage A volstaat voor zijn risico.

2.5 Duur. Deze overeenkomst loopt zolang wij gegevens voor de klant verwerken.

3. Instructies

3.1 Wij verwerken de gegevens enkel op schriftelijke instructie van de klant. De overeenkomst, de instellingen die de klant in trygga kiest en de acties van gebruikers in de app gelden als die instructie.

3.2 Wij gebruiken de gegevens niet voor eigen doeleinden. We verkopen ze niet, gebruiken ze niet voor reclame en trainen er geen AI-modellen mee.

3.3 Vinden wij dat een instructie de AVG of andere toepasselijke EU- of nationale gegevensbeschermingsregels schendt, dan melden we dat meteen aan de klant.

3.4 Moeten wij gegevens verwerken omdat het EU- of Belgisch recht dat oplegt, dan melden we dat vooraf aan de klant, tenzij die wet dat verbiedt.

4. Vertrouwelijkheid

Wie bij ons toegang heeft tot de gegevens, is gebonden aan geheimhouding. We geven toegang enkel aan wie ze nodig heeft voor het werk. We kijken in een werkruimte enkel als dat nodig is om een supportvraag van de klant te beantwoorden, een storing of beveiligingsincident op te lossen of een wettelijke verplichting na te komen.

5. Beveiliging

5.1 We nemen passende technische en organisatorische maatregelen volgens artikel 32 AVG. Bijlage A beschrijft ze.

5.2 We mogen die maatregelen aanpassen, zolang het beschermingsniveau niet daalt.

6. Subverwerkers

6.1 De klant geeft ons algemene toestemming om subverwerkers in te schakelen. De lijst staat op trygga.io/nl/subverwerkers/.

6.2 Een nieuwe subverwerker of een wijziging in de lijst melden we minstens 30 dagen vooraf per mail aan de eigenaar van de werkruimte. De klant kan binnen die termijn met redenen bezwaar maken. Vinden we geen oplossing, dan kan de klant de overeenkomst zonder kosten opzeggen tegen de datum waarop de wijziging ingaat.

6.3 We leggen elke subverwerker schriftelijk dezelfde verplichtingen op als in deze overeenkomst. We blijven tegenover de klant aansprakelijk voor hen.

7. Doorgifte buiten de EER

7.1 De database en de app zijn ingesteld op hosting in Ierland; bestanden worden opgeslagen in de EU-jurisdictie van Cloudflare R2. Dat betekent niet dat elke verwerking, zoals netwerkverkeer, support of beheer door een leverancier, uitsluitend binnen de EU plaatsvindt.

7.2 Een aantal subverwerkers zijn Amerikaanse bedrijven of gebruiken een wereldwijd netwerk. Is er daardoor een doorgifte buiten de Europese Economische Ruimte, dan gebeurt die enkel met een waarborg uit hoofdstuk V AVG, zoals een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie. De lijst van subverwerkers vermeldt per partij de waarborg.

8. Hulp aan de klant

8.1 Rechten van betrokkenen. Krijgen wij een verzoek van een betrokkene, dan sturen we dat door naar de klant en antwoorden we niet zelf. We helpen de klant om het verzoek te beantwoorden, voor zover hij dat niet zelf in trygga kan.

8.2 Andere hulp. Rekening houdend met de aard van de verwerking en de informatie waarover we beschikken, helpen we de klant bij zijn verplichtingen rond beveiliging, datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthouder (artikelen 32 tot en met 36 AVG).

8.3 Hulp die meer dan een paar uur per jaar vraagt, mogen we aanrekenen tegen een vooraf afgesproken tarief. Kostenafspraken verhinderen niet dat we onze wettelijke bijstandsverplichtingen nakomen.

9. Datalekken

9.1 Stellen we een inbreuk op de beveiliging van de gegevens van de klant vast, dan melden we dat zonder onredelijke vertraging en uiterlijk binnen 48 uur aan de eigenaar van de werkruimte.

9.2 We geven in die melding wat we dan weten: wat er gebeurde, welke gegevens en hoeveel betrokkenen het raakt, de waarschijnlijke gevolgen en wat we doen of voorstellen. Wat we later te weten komen, sturen we na.

9.3 De klant beslist of hij het lek meldt aan de toezichthouder of aan de betrokkenen. Wij melden niets namens de klant zonder zijn akkoord, tenzij de wet ons dat oplegt.

10. Audit

10.1 We geven de klant op vraag de informatie die nodig is om aan te tonen dat we deze overeenkomst naleven.

10.2 De klant mag een audit uitvoeren of laten uitvoeren door een onafhankelijke auditor die tot geheimhouding verplicht is. Gewoonlijk plannen we maximaal één audit per jaar met minstens 30 dagen voorafgaande melding. Als een incident, een redelijk vermoeden van niet-naleving of een verzoek van een toezichthouder dat vraagt, zijn extra audits of een kortere termijn mogelijk. We werken eraan mee en spreken passende maatregelen af om de werking en gegevens van andere klanten te beschermen. De klant draagt de redelijke kosten van een gewone audit; afspraken over kosten mogen een noodzakelijke audit niet verhinderen.

11. Einde

11.1 Na het einde van de overeenkomst kiest de klant of we zijn persoonsgegevens terugbezorgen of wissen. De eigenaar van de werkruimte kan een export aanvragen via hello@trygga.io, tijdens de overeenkomst en tot 30 dagen na het einde ervan. We bezorgen de export binnen 7 kalenderdagen na het verzoek, zoals beschreven in artikel 12 van de algemene voorwaarden.

11.2 We wissen de gegevens van de klant op zijn verzoek of uiterlijk 30 dagen na het einde van de overeenkomst. Bij een tijdig aangevraagde export bewaren we de daarvoor nodige gegevens tot de levering, uiterlijk 7 kalenderdagen na het verzoek. Gegevens die het EU- of Belgisch recht ons verplicht te bewaren, bewaren we zolang dat nodig is. Kopieën in back-ups verdwijnen binnen 7 dagen na het wissen uit de actieve systemen. Op vraag bevestigen we het wissen schriftelijk.

12. Aansprakelijkheid

Voor de aansprakelijkheid onder deze overeenkomst geldt artikel 10 van de algemene voorwaarden. Dat laat de rechten van betrokkenen onder artikel 82 AVG onverlet.

13. Voorrang

Bij tegenstrijdigheid tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor wat de verwerking van persoonsgegevens betreft.

---

Bijlage A — Beveiligingsmaatregelen

Toegang in de app

• Elke tabel in de database heeft row level security: de database zelf beslist per rij wie ze mag lezen of wijzigen, op basis van werkruimte, project en rol.
• Twee niveaus van zichtbaarheid: intern en gast. Een gast ziet enkel wat gedeeld is op de projecten waarvoor hij is uitgenodigd.
• Vier rollen: eigenaar, werkruimtebeheerder, teamlid, gast.
• Niemand kan zichzelf registreren. Toegang gebeurt enkel op uitnodiging.

Aanmelden

• Aanmelden met wachtwoord (minstens 8 tekens) of met een persoonlijke aanmeldlink per mail.
• Een sessietoken is één uur geldig en wordt daarna vernieuwd. Gebruikte vernieuwingstokens worden ongeldig.
• Pogingen om aanmeldlinks, uitnodigingen en adreswijzigingen te versturen zijn per uur en per dag beperkt.
• Afmeldlinks in mails zijn ondertekend (HMAC-SHA256) en geven enkel toegang tot de mailvoorkeuren.

Opslag en transport

• Alle verkeer loopt over HTTPS.
• Database en app draaien in Ierland, bestanden in een EU-bucket bij Cloudflare R2.
• Links naar bestanden zijn ondertekend en 15 minuten geldig.
• Supabase versleutelt de opgeslagen database en databaseback-ups met AES-256. Cloudflare R2 versleutelt opgeslagen bestanden met AES-256. Dit is versleuteling door de leveranciers.
• Geheime sleutels staan niet in de broncode, maar in de omgevingsinstellingen van de hostingpartners en de vault van de database.

Bewaren en wissen

• Meldingen in de app en het register van verstuurde mails worden na 30 dagen gewist.
• Een verwijderd project wordt na 7 dagen definitief gewist, met zijn bestanden.
• Bestanden zonder verwijzing worden automatisch uit de opslag gewist.
• Supabase maakt dagelijks een back-up van de database en bewaart die 7 dagen.
• Voor bestanden in Cloudflare R2 is er geen aparte back-up.
• Een export van de werkruimte wordt op verzoek binnen 7 kalenderdagen geleverd.
• Er is geen functie voor het zelf maken of terugzetten van een werkruimteback-up in de app.

Organisatie

• Alleen mensen van Simo BV hebben toegang tot de beheeromgevingen van de leveranciers. Zij krijgen enkel de toegang die nodig is voor hun werk.
• Tweestapsverificatie staat aan op de beheeraccounts bij alle leveranciers.
• Beveiligingsupdates van gebruikte software volgen we op volgens een vast onderhoudsritme.
• Wijzigingen aan de database worden getest tegen de toegangsregels voor ze online gaan.