Verwerkersovereenkomst

Versie 2.0 — gebaseerd op art. 28 AVG · 29 mei 2026

1. Rollen, voorwerp en duur

De klant is verwerkingsverantwoordelijke; ImmoSpect treedt op als verwerker en verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de klant — voor het opstellen en beheren van plaatsbeschrijvingen (OCR, transcriptie, foto-analyse, rapportgeneratie, eIDAS SES-ondertekening, archivering en eventueel split-facturatie via Stripe Connect). De DPA loopt zolang de overeenkomst duurt, plus de bewaartermijnen hieronder.

2. Categorieën van betrokkenen en gegevens

• Betrokkenen: huurders, eigenaars en hun gemandateerden, en medewerkers van de klant.
• Gegevens: identificatie- en contactgegevens, adres van het pand, foto's en audio, beschrijvingen van de staat, handtekening + eIDAS SES-metadata, meterstanden, en (Spoor #2) betaalstatus.
• Bijzondere categorieën (art. 9 AVG) worden in beginsel niet doelbewust verwerkt.

3. Verplichtingen van ImmoSpect

• Verwerken uitsluitend op gedocumenteerde instructie.
• Vertrouwelijkheidsplicht voor gemachtigde personen.
• Passende beveiligingsmaatregelen (art. 32 AVG).
• Bijstand bij verzoeken van betrokkenen (art. 12–22) en bij beveiliging, datalek-melding en DPIA (art. 32–36).
• Teruggave (export PDF/JSON/CSV) of verwijdering na het einde, behoudens wettelijke bewaarplicht.

4. Locatie van verwerking

Opslag (Supabase) draait op AWS-infrastructuur in Londen (VK), onder het adequaatheidsbesluit van de Europese Commissie (AVG art. 45): gelijkwaardig aan de EER. AI-verwerking gebeurt binnen de EU (Vertex AI, regio België europe-west1) en e-mail via Resend (EU). Voor subverwerkers met een Amerikaans moederbedrijf (Stripe, Vercel, Sentry) gebeuren eventuele doorgiften onder Standaardcontractbepalingen (SCC's) en/of het EU-US Data Privacy Framework.

5. Subverwerkers

De klant verleent algemene voorafgaande toestemming voor onderstaande subverwerkers en wordt vooraf geïnformeerd over wijzigingen, met recht op gemotiveerd bezwaar.

• Supabase — database, Auth, Storage (VK — AWS Londen, EU-adequaatheidsbesluit).
• Google Cloud / Vertex AI — AI-verwerking (EU, regio België). Geen training op klantdata.
• Stripe — betalingen + split-facturatie (Stripe Connect, 2,5% platformfee). EU + globaal, SCC's.
• Resend — transactionele e-mail (EU).
• Vercel — hosting & CDN (EU-regio's, SCC's / EU-US DPF).
• Sentry — error-tracking (EU-dataregio, Frankfurt).

Sinds v31 draait alle AI-verwerking — ook de commerciële tekstgeneratie — op Vertex AI in regio België.

6. Datalekken

ImmoSpect informeert de klant zonder onredelijke vertraging na kennisname van een inbreuk, zodat de klant ruim binnen de 72-uurstermijn van art. 33 AVG aan de GBA kan melden. De melding bevat aard, omvang, waarschijnlijke gevolgen en genomen maatregelen.

7. Bewaring en teruggave

Persoonsgegevens uit dossiers worden uiterlijk 1 jaar na het einde van de huurovereenkomst geanonimiseerd via een dagelijkse cron (soft-delete → hard-delete na 30 dagen → audit-log anonimiseren na 3 jaar). Facturatie- en boekhoudkundige stukken blijven bewaard volgens de wettelijke termijnen (7 jaar; 10 jaar voor onroerend­goed-BTW). Bij beëindiging wordt op verzoek geëxporteerd en daarna verwijderd.

8. Audits & beveiliging

De klant kan, mits redelijke kennisgeving en maximaal eenmaal per jaar (behoudens datalek), de naleving laten controleren of documentatie opvragen. Beveiliging omvat TLS 1.3, AES-256 at-rest, MFA (verplicht voor admins), Row-Level Security, audit-logs, versleutelde geo-redundante back-ups en onboarding-gating (AV + DPA + AI-beleid).

9. Toepasselijk recht

Op deze DPA is het Belgisch recht van toepassing; geschillen behoren tot de bevoegdheid van de rechtbanken van het arrondissement Antwerpen.

Contact

Een ondertekend exemplaar aanvragen of vragen stellen kan via info@immospect.be.