Verwerkersovereenkomst

Voor de persoonsgegevens die via de Druma TMS-dienst namens de Klant worden verwerkt, is de Klant de verwerkingsverantwoordelijke en is Druma de verwerker, zoals die begrippen zijn gedefinieerd in artikel 4 van de Algemene verordening gegevensbescherming (Verordening (EU) 2016/679, „AVG”).

Voor gegevens die Druma voor eigen doeleinden verzamelt (accountgegevens van de Klant, facturatiegegevens, marketingprospects) is Druma een zelfstandige verwerkingsverantwoordelijke; die verwerking valt onder de privacyverklaring van Druma, niet onder deze verwerkersovereenkomst (DPA).

Druma verwerkt persoonsgegevens namens de Klant uitsluitend met het doel de Dienst te leveren, waaronder het afleiden van Formulierindelingsgegevens zoals beschreven in artikel 4.1. Deze DPA treedt in werking op de startdatum van het abonnement van de Klant en blijft van kracht voor de duur van het abonnement, vermeerderd met de in artikel 11 beschreven periodes voor gegevensexport en verwijdering na beëindiging.

Betrokkenen:

• De werknemers, opdrachtnemers en chauffeurs van de Klant.
• De klanten van de Klant en hun contactpersonen.
• De door de Klant ingeschakelde ondervervoerders en hun personeel.
• Andere identificeerbare personen van wie de Klant gegevens in de Dienst invoert (geadresseerden, contactpersonen aan het dok enz.).

Categorieën persoonsgegevens:

• Identificatiegegevens (namen, personeelsnummers, functie).
• Contactgegevens (e-mail, telefoon, taal).
• Locatiegegevens, in twee afzonderlijke vormen:
  • Actuele voertuigpositie uit telematica — één rij per voertuig, overschreven bij elke update; een afzonderlijk kortstondig spoor van recente posities (voor de volgweergave van de live-kaart) wordt 48 uur bewaard en daarna gewist.
  • Positiemeldingen uit de chauffeursapp en de coördinaten die worden vastgelegd wanneer een chauffeur de status van een order wijzigt (aangekomen, geladen, geleverd) — 90 dagen bewaard, daarna verwijderd.
• Kwalificatie- en documentgegevens van chauffeurs (rijbewijs, code 95/CPC, ADR en vervaldata van de medische keuring, en de geüploade documenten zelf), zoals door de Klant geregistreerd.
• Afgeleide gegevens — de componenten en het resultaat van de prestatie­score van de chauffeur; dit is profilering in de zin van artikel 4, punt 4, AVG, maar heeft geen rechtsgevolgen of vergelijkbaar wezenlijke gevolgen en omvat geen geautomatiseerde besluitvorming in de zin van artikel 22.
• Tachograaf- en rijtijdengegevens (resterende rijtijden, werkstandregistraties afkomstig van telematica-aanbieders waar die zijn gekoppeld; verwerkt op grond van de nalevingsverplichtingen van Verordening (EG) 561/2006 en Verordening (EU) 165/2014).
• Operationele gegevens (orders, statusmeldingen, wachttijden, vertragingen).
• Documentinhoud (CMR, POD, eCMR-handtekeningen, identiteitsdocumenten waar nalevingsprocessen dat vereisen).
• Communicatie-inhoud (berichten tussen planner en chauffeur, transcripties van de AI-assistent).

Druma verwerkt niet bewust bijzondere categorieën van gegevens (artikel 9 AVG). De Klant mag geen gezondheids-, biometrische, religieuze of andere bijzondere gegevens naar de Dienst uploaden, behalve waar dat strikt vereist is in een incident- of verzekeringsproces; in dat geval aanvaardt de Klant de aanvullende verplichtingen van artikel 9.

Druma verwerkt Klantgegevens uitsluitend op basis van de gedocumenteerde instructies van de Klant, ook wat internationale doorgiften betreft, tenzij het Unierecht of het recht van een lidstaat Druma tot iets anders verplicht (in dat geval stelt Druma de Klant daarvan in kennis, tenzij de wet die kennisgeving verbiedt).

De gedocumenteerde instructies van de Klant omvatten: (a) de gebruiksvoorwaarden en deze DPA, (b) configuratiekeuzes die binnen de Dienst worden gemaakt, en (c) aanvullende schriftelijke instructies van de Klant die Druma schriftelijk bevestigt.

Druma stelt de Klant ervan in kennis indien zij van oordeel is dat een instructie inbreuk maakt op de AVG of op een andere gegevensbeschermingsbepaling.

4.1 Formulierindelingsgegevens.

(a) „Formulierindelingsgegevens” zijn gegevens die beschrijven waar de gedrukte opschriften en vakken op een gedrukt formuliertype staan, zoals een CMR-vrachtbrief, en niets anders. Ze bestaan uitsluitend uit: (i) coördinaten en afmetingen van opschriften en vakken, uitgedrukt ten opzichte van het kader van het gedrukte formulier; (ii) identificatoren van gedrukte opschriften, afkomstig uit een gesloten lijst van opschriftzinnen van gedrukte formulieren die Druma bijhoudt (de „Opschriftenlijst”); en (iii) tellingen en statistische maten, zoals een mediaan of een spreiding, berekend over meerdere documenten.

(b) De Klant geeft Druma de instructie om de documenten van de Klant binnen de Dienst te analyseren om Formulierindelingsgegevens af te leiden, en om Formulierindelingsgegevens te gebruiken om te verbeteren hoe de Dienst dezelfde formuliertypen leest voor alle klanten. Deze analyse is verwerking van Klantgegevens namens de Klant en valt onder deze DPA. De instructie geldt voor de duur van het abonnement. Ze hangt niet af van een configuratiekeuze, en de Dienst heeft hiervoor geen schakelaar per klant.

(c) Formulierindelingsgegevens bevatten niets van het volgende, en Druma leidt ze niet zo af dat ze het wel zouden bevatten: tekst die in een ingevuld document is getypt, geschreven, gestempeld of gedrukt; een naam, adres, nummerplaat, referentie, nummer, datum of bedrag; een handtekening, een stempel of een afbeelding, of een deel ervan; een identificator van de Klant of van een gebruiker, klant, vervoerder, chauffeur, order of document van de Klant; een uittreksel uit een document. Een woord dat niet op de Opschriftenlijst staat, wordt verwijderd wanneer Formulierindelingsgegevens worden aangemaakt en wordt er nooit in opgeslagen.

(d) Formulierindelingsgegevens beschrijven een gedrukt formulier en geen persoon of zending. Ze worden bewaard zonder identificator van de Klant, zonder koppeling aan een document en geaggregeerd over meerdere documenten. Druma zal niet proberen Formulierindelingsgegevens te koppelen aan een Klant, een document of een persoon, en zal ze daarvoor niet combineren met andere gegevens. Druma behandelt Formulierindelingsgegevens als anonieme gegevens in de zin van overweging 26 AVG. Indien blijkt dat Formulierindelingsgegevens betrekking hebben op een identificeerbare persoon, behandelt Druma de betrokken Formulierindelingsgegevens vanaf dat moment als Klantgegevens onder deze DPA en stelt zij de Klant daarvan onverwijld in kennis.

(e) De documenten, de daaruit gelezen tekst, de daaruit gehaalde waarden en de labels of correcties die eraan zijn gekoppeld („Leesvoorbeelden”) blijven binnen het bedrijfsaccount van de Klant. Druma gebruikt Leesvoorbeelden niet om de documenten van een andere klant te lezen, maakt ze niet bekend aan een andere klant en deelt niets wat eruit is afgeleid met een andere klant, behalve Formulierindelingsgegevens. Druma bewaart Leesvoorbeelden hoogstens 12 maanden nadat het document is gecontroleerd, en 30 dagen wanneer niemand het leesresultaat heeft gelabeld of gecorrigeerd. Druma verwijdert ze onmiddellijk wanneer de Klant het onderliggende document of de onderliggende order verwijdert, en wanneer het bedrijf van de Klant wordt verwijderd.

(f) Formulierindelingsgegevens die al zijn afgeleid, zijn geen Klantgegevens en kunnen niet aan de Klant worden toegeschreven. Ze worden daarom niet verwijderd of teruggegeven wanneer Klantgegevens worden verwijderd of teruggegeven op grond van artikel 11. Druma mag ze na afloop van het abonnement bewaren.

(g) Tussen partijen is Druma eigenaar van Formulierindelingsgegevens en mag zij ze gebruiken voor elk rechtmatig doel van het exploiteren en verbeteren van de Dienst. Dit artikel 4.1 geeft Druma geen recht op Klantgegevens buiten de verwerking beschreven onder (b).

De Klant verleent Druma een algemene schriftelijke toestemming om de in Bijlage III bij deze DPA genoemde subverwerkers in te schakelen. Bijlage III is de volledige en gezaghebbende lijst — zij wordt gegenereerd uit dezelfde bron als de tabel in onze privacyverklaring, zodat de twee documenten niets verschillends kunnen stellen. Er bestaat nergens een aparte, kortere lijst.

Veel vermeldingen in Bijlage III zijn gemarkeerd met „only if you connect it” (alleen als u het koppelt). Die ontvangers ontvangen helemaal geen gegevens tenzij de Klant die specifieke integratie inschakelt — de connectoren voor telematica, koeltransport, e-facturatie, vrachtbeurzen en berichtendiensten behoren allemaal tot deze groep. Een Klant die er geen enkele koppelt, deelt gegevens alleen met de kernplatform-, e-mail-, routering-, kaart- en AI-ontvangers.

Druma geeft de Klant ten minste 30 dagen vooraf per e-mail kennis van elke nieuwe subverwerker voordat die subverwerker Klantgegevens begint te verwerken. Indien de Klant op redelijke gronden inzake gegevensbescherming bezwaar maakt tegen een nieuwe subverwerker, kan de Klant het betrokken deel van de Dienst met schriftelijke kennisgeving beëindigen.

Druma blijft verantwoordelijk voor de naleving van deze DPA door elke subverwerker en legt elke subverwerker gegevensbeschermingsverplichtingen op die niet minder beschermend zijn dan die in deze DPA.

• Versleuteling — TLS 1.2+ onderweg; standaard versleuteling in rust (AES-256) via onze infrastructuurleveranciers.
• Toegangscontrole — row-level security op de tabellen met klantgegevens; tenant-isolatie per bedrijf; toegang voor medewerkers op basis van rollen en het least-privilege-beginsel.
• Authenticatie — JWT-, HMAC- of service-role-tokens op elk serverendpoint; optionele tweefactorauthenticatie beschikbaar voor alle gebruikers.
• Geheimenbeheer — inloggegevens worden opgeslagen in een beheerde vault, nooit in de broncode.
• Auditlogging — automatisch mutatielogboek op gevoelige tabellen, 12 maanden bewaard.
• Back-up en herstel — dagelijkse geautomatiseerde back-ups door onze databaseleverancier, 7 dagen bewaard. Gedocumenteerde hersteldoelstellingen: een recovery point objective van 24 uur en een recovery time objective van 8 werkuren, met de bijbehorende aannames en bekende tekortkomingen vastgelegd in ons bedrijfscontinuïteits- en herstelplan, dat wij op verzoek beschikbaar stellen. Dit zijn operationele doelstellingen, geen service level-garantie.
• Kwetsbaarhedenbeheer — upgrades van afhankelijkheden, geautomatiseerde controles bij elke pull request (typecontrole, tests, build, beveiligingslints, Semgrep-statische analyse en een afhankelijkhedenaudit; wijzigingen worden beoordeeld door de ontwikkelaar die ze schreef, zonder onafhankelijke tweede beoordelaar), foutbewaking en alarmering via Sentry, en een gepubliceerd beleid voor het melden van kwetsbaarheden (security.txt, meldingen naar [email protected]) met vastgelegde reactie- en hersteltermijnen.
• Personeel en vertrouwelijkheid (art. 28, lid 3, onder b)) — Druma waarborgt dat iedere persoon die gemachtigd is Klantgegevens te verwerken — werknemer, opdrachtnemer of freelancer — zich tot vertrouwelijkheid heeft verbonden of onder een passende wettelijke geheimhoudingsplicht valt. Die verbintenis is contractueel, bindt iedere persoon individueel, bestrijkt alle Klantgegevens waartoe die persoon toegang kan hebben en blijft gelden na het einde van de samenwerking met Druma. Toegang wordt verleend op basis van least-privilege en need-to-know en wordt ingetrokken wanneer de samenwerking eindigt of de noodzaak vervalt. Iedere zodanige persoon is bovendien gehouden Klantgegevens uitsluitend te verwerken volgens de gedocumenteerde instructies van Druma, die op hun beurt de instructies van de Klant volgen overeenkomstig artikel 4.
• Zorgvuldigheid bij subverwerkers — beoordeling van de beveiligingspositie van elke subverwerker vóór het aangaan van de samenwerking, met gebruikmaking van hun gepubliceerde certificeringen (SOC 2, ISO 27001 enz.) waar beschikbaar.

7.1 Rechten van betrokkenen (art. 28, lid 3, onder e)).

De Dienst bevat ingebouwde hulpmiddelen (Instellingen → GDPR) waarmee de Klant verzoeken om inzage, rectificatie, verwijdering en overdraagbaarheid kan afhandelen zonder ons te contacteren. Voor verzoeken die niet via deze hulpmiddelen kunnen worden afgehandeld, staat Druma de Klant bij met passende technische en organisatorische maatregelen, voor zover dat mogelijk is, rekening houdend met de aard van de verwerking en de informatie waarover Druma beschikt. Als een betrokkene Druma rechtstreeks benadert over Klantgegevens, gaat Druma niet inhoudelijk in op het verzoek; zij stuurt het zonder onnodige vertraging door aan de Klant en laat de betrokkene weten dat zij dat heeft gedaan.

7.2 Gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging (art. 28, lid 3, onder f), art. 35 en art. 36).

Rekening houdend met de aard van de verwerking en de informatie waarover Druma beschikt, staat Druma de Klant bij in de naleving van zijn verplichtingen uit de artikelen 32 tot en met 36 AVG. In het bijzonder zal Druma, op redelijk schriftelijk verzoek van de Klant aan [email protected]:

• De informatie verstrekken die de Klant nodig heeft om een gegevensbeschermingseffectbeoordeling (DPIA) uit te voeren op grond van artikel 35 — de beschrijving van de verwerkingen die Druma uitvoert, de categorieën gegevens en betrokkenen, de gegevensstromen en ontvangers (Bijlage III), de bewaartermijnen en de technische en organisatorische maatregelen in Bijlage II, in een vorm die de Klant in zijn eigen DPIA kan opnemen.
• Druma's eigen DPIA over gps-tracking, tachograafgegevens en de prestatiescore van chauffeurs beschikbaar stellen, die de Klant als input voor zijn eigen beoordeling kan gebruiken. Zij vervangt de beoordeling van de Klant niet: de Klant is de verwerkingsverantwoordelijke en moet zijn eigen operationele context, de positie van de ondernemingsraad en de nationale arbeidsrechtelijke vereisten beoordelen.
• Vervolgvragen over risico's en beperkende maatregelen binnen een redelijke termijn beantwoorden en de Klant wijzen op elke wijziging in de Dienst waarvan Druma meent dat zij een bestaande DPIA wezenlijk kan beïnvloeden.
• Redelijke bijstand verlenen aan de Klant bij een voorafgaande raadpleging van een toezichthoudende autoriteit op grond van artikel 36, met inbegrip van het aanleveren van documentatie en het beantwoorden van de technische vragen van de autoriteit over Druma's rol als verwerker.

Druma verleent deze bijstand zonder extra kosten wanneer het verzoek in verhouding staat tot de voor de Klant uitgevoerde verwerking. Druma bepaalt niet of een DPIA vereist is — die beoordeling komt toe aan de Klant, als verwerkingsverantwoordelijke.

Druma stelt de Klant zonder onredelijke vertraging, en in elk geval binnen 48 uur, in kennis nadat zij kennis heeft genomen van een inbreuk in verband met persoonsgegevens die Klantgegevens treft. De kennisgeving beschrijft (voor zover bekend): de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en registraties in kwestie, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.

De Klant is verantwoordelijk voor eventuele verdere meldingen aan betrokkenen en toezichthoudende autoriteiten op grond van de artikelen 33 en 34 AVG.

Beveiligingsincidenten zonder persoonsgegevens. Druma stelt de Klant eveneens zonder onredelijke vertraging, en in elk geval binnen 48 uur, op de hoogte nadat zij kennis heeft gekregen van een beveiligingsincident dat debeschikbaarheid of integriteit van de Dienst of van Klantgegevens wezenlijk aantast, ook wanneer zich geen inbreuk op persoonsgegevens heeft voorgedaan. De melding beschrijft wat bekend is over de oorzaak, de getroffen diensten en gegevens, de verwachte duur of omvang, en de maatregelen die worden genomen. Deze verbintenis bestaat omdat een Klant die zelf een essentiële of belangrijke entiteit is, een eigen meldingstermijn kan hebben die loopt vanaf het moment van kennisname, en die termijn niet kan starten op informatie die hij niet heeft.

Druma stelt de Klant alle informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen, en maakt audits, waaronder inspecties, mogelijk en draagt eraan bij, uitgevoerd door de Klant of door een door de Klant gemachtigde auditor. De rest van dit artikel beschrijft hoe dat gebeurt — het beperkt het recht zelf niet.

9.1 Informatie die Druma op verzoek verstrekt. Op redelijk schriftelijk verzoek aan [email protected] verstrekt Druma:

• Een actueel exemplaar van deze DPA, de privacyverklaring en de subverwerkerslijst (Bijlage III).
• Een beschrijving van de geldende technische en organisatorische maatregelen (Bijlage II), voldoende gedetailleerd om naleving van artikel 32 aan te tonen.
• Een ingevulde beveiligingsvragenlijst, met gebruik van het eigen sjabloon van de Klant wanneer dat wordt aangeleverd en een redelijke omvang heeft.
• Een toelichting op de architectuur en gegevensstromen, met inbegrip van waar Klantgegevens worden opgeslagen, welke subverwerkers welke categorieën gegevens ontvangen en de toepasselijke doorgiftewaarborgen.
• Beschikbare certificeringen en attestatierapporten van subverwerkers (SOC 2, ISO 27001 en gelijkwaardig) waar Druma die mag delen, en Druma's eigen vastleggingen van de subverwerkerszorgvuldigheid uit Bijlage II.
• De meest recente samenvatting van een penetratietest of beveiligingsreview van Druma, waar die bestaat.

9.2 Audit op afstand is de standaard — want daar bevindt zich het bewijs. Druma bezit of exploiteert geen enkel datacenter. De Dienst draait volledig op beheerde cloudinfrastructuur die wordt geëxploiteerd door de subverwerkers in Bijlage III, en de medewerkers van Druma werken vanuit gewone kantoor- en thuiswerkplekken zonder Klantgegevens op eigen locaties. Audits vinden daarom standaard op afstand plaats: vragenlijsten en bewijspakketten, reviews van de live configuratie via schermdeling (toegangscontrole, RLS-beleid, versleuteling, logging, retentietaken), architectuurtoelichtingen en de certificeringen en attestaties van subverwerkers. Een fysieke inspectie van het datacenter van een subverwerker valt onder het eigen auditprogramma van die subverwerker; Druma stuurt zo'n verzoek door, ondersteunt het en geeft elk rapport door dat zij mag delen.

9.3 Inspectie ter plaatse van Druma's eigen locaties en systemen. De Klant, of een door de Klant gemachtigde onafhankelijke auditor die geen concurrent van Druma is, mag de eigen locaties, apparatuur, administratie en systemen van Druma inspecteren. Een dergelijke inspectie vindt plaats na 30 dagen voorafgaande schriftelijke kennisgeving, tijdens normale kantooruren, mits de auditor een redelijke geheimhoudingsverklaring ondertekent en met evenredige maatregelen ter bescherming van de gegevens van andere klanten, de beveiliging van Druma en eventuele geheimhoudingsverplichtingen jegens derden. Druma stelt deskundig personeel voor de inspectie beschikbaar en reageert schriftelijk op bevindingen. De kennisgevingstermijn en de frequentiebeperking van 9.4 gelden niet, en Druma verleent prompt en zonder aanvullende voorwaarden medewerking, wanneer een inspectie of het verstrekken van informatie wordt verlangd door een bevoegde toezichthoudende autoriteit, of wanneer zij volgt op een inbreuk in verband met persoonsgegevens die Klantgegevens treft.

9.4 Frequentie. Behalve in de gevallen beschreven aan het einde van 9.3 zijn audits en inspecties beperkt tot één per kalenderjaar, zodat zij evenredig blijven aan de verwerking.

9.5 Kosten. Druma draagt haar eigen kosten voor het beantwoorden van auditverzoeken, met inbegrip van de in 9.1 genoemde informatie en de personeelstijd besteed aan een audit op afstand of ter plaatse; Druma brengt niets in rekening voor het nakomen van haar verplichting uit artikel 28, lid 3, onder h). De Klant draagt de honoraria van een door hem gemachtigde externe auditor en zijn eigen kosten van aanwezigheid. Wanneer de Klant om andere redenen dan die in 9.3 audits verlangt boven de frequentie van 9.4, komen partijen vooraf een redelijke vergoeding overeen voor de extra tijd van Druma.

10.1 Het traject Klant–Druma vereist geen doorgiftewaarborg. Druma is gevestigd in Roemenië en heeft er haar hoofdbestuur. Klantgegevens worden standaard binnen de Europese Unie gehost. Een doorgifte van de Klant (verwerkingsverantwoordelijke) aan Druma (verwerker) is dus een doorgifte binnen de EER en valt niet onder hoofdstuk V. Voor dat traject zijn geen standaardcontractbepalingen vereist en worden er geen gesloten — en deze DPA beoogt de Klant ook niet partij te maken bij enige standaardcontractbepalingen.

10.2 Druma is de exporteur voor het vervolgtraject. Wanneer een subverwerker in Bijlage III buiten de EER is gevestigd of Klantgegevens buiten de EER verwerkt, vindt de doorgifte plaats door Druma als gegevensexporteur aan die subverwerker als gegevensimporteur. Wanneer Druma zelf Klantgegevens doorgeeft aan een ontvanger buiten de EER, wordt de doorgifte gedekt door het mechanisme dat voor die subverwerker in Bijlage III is vermeld: een adequaatheidsbesluit, het EU-VS-kader voor gegevensbescherming (EU-US Data Privacy Framework) (adequaatheidsbesluit van 10 juli 2023) indien de ontvanger is gecertificeerd, of de standaardcontractbepalingen 2021 van de Europese Commissie (Uitvoeringsbesluit (EU) 2021/914) onder de eigen verwerkingsvoorwaarden van de ontvanger. Druma verklaart niet dat zij met elke ontvanger afzonderlijk Module Drie heeft gesloten. Google Cloud: de subverwerker van Druma is Google Cloud EMEA Limited, gevestigd in de EER. Doorgiften verder in de keten door Google, bijvoorbeeld toegang door Google LLC in de Verenigde Staten, zijn die van Google zelf: Google vertrouwt voor de Verenigde Staten op het EU-US Data Privacy Framework (Google LLC is gecertificeerd) en voor andere derde landen op standaardcontractbepalingen tussen Google en zijn eigen subverwerkers (Google Cloud Data Processing Addendum, Appendix 3, sectie 4.1). De subverwerkers van Google staan op cloud.google.com/terms/subprocessors.

10.3 Beoordeling van doorgiften. Voordat Druma op een ontvanger buiten de EER vertrouwt, beoordeelt Druma de categorieën gegevens die de ontvanger ontvangt en de gepubliceerde doorgiftevoorwaarden van die ontvanger (zijn verwerkersovereenkomst, de standaardcontractbepalingen die hij aanbiedt en een eventuele adequaatheids- of Data Privacy Framework-status), en past Druma de in deze DPA beschreven aanvullende maatregelen toe — versleuteling onderweg en in rust en minimalisatie van wat aan elke ontvanger wordt gestuurd. Druma heeft niet voor elke ontvanger een afzonderlijke schriftelijke doorgifte-effectbeoordeling opgesteld; de Klant blijft als verwerkingsverantwoordelijke zelf verantwoordelijk voor zijn eigen doorgiftebeoordeling, en Druma verstrekt op verzoek de informatie waarover zij beschikt. Druma beoordeelt dit opnieuw wanneer de omstandigheden van een ontvanger of de juridische omgeving wezenlijk veranderen.

10.4 Afschriften. Afschriften van de standaardcontractbepalingen en van de verwerkingsvoorwaarden van ontvangers waarop Druma vertrouwt (met commerciële voorwaarden onleesbaar gemaakt) zijn op verzoek aan [email protected] beschikbaar voor de Klant. De Klant kan zich er als verwerkingsverantwoordelijke op beroepen als bewijs van de waarborgen die op de vervolgdoorgiften van zijn gegevens van toepassing zijn.

10.5 Ontvangers buiten de EER. De volgende ontvangers in Bijlage III ontvangen, of kunnen ontvangen, persoonsgegevens buiten de EER. De waarborg per ontvanger staat ernaast vermeld (lijst in het Engels bijgehouden):

• Supabase (Supabase, Inc.) (may leave the EEA) — Data is stored in the EU. The vendor is US-established, so remote support access is covered by the 2021 SCCs in the Supabase DPA.
• Cloudflare, Inc. (leaves the EEA) — 2021 SCCs in the Cloudflare DPA; EU-US Data Privacy Framework where applicable.
• Sentry (Functional Software, Inc.) (may leave the EEA) — Data is stored in the Sentry EU region. The vendor is US-established, so support access is covered by the 2021 SCCs in the Sentry DPA.
• Resend, Inc. (leaves the EEA) — 2021 SCCs in the Resend DPA. Migration to an EU-resident email provider is on the roadmap.
• Google Cloud — Vertex AI, Google Search grounding (company and site enrichment only) (may leave the EEA) — Google’s terms exclude Google Search grounding from the EU data-location commitment, so the search query derived from the identifiers above, and the grounded request, may be processed outside the EEA. Google retains grounding queries for up to 3 days for debugging; this cannot be disabled. Transfer safeguards: Google Cloud EMEA Limited is in the EEA; for onward transfers Google relies on the EU-US Data Privacy Framework (Google LLC is certified) for the US and on Standard Contractual Clauses between Google and its own subprocessors for other third countries (Google Cloud DPA, Appendix 3, section 4.1). This is not a new sub-processor (Google already) but a disclosure refinement for this one feature.
• Anthropic PBC (leaves the EEA) — Transfer to the United States under the 2021 EU Standard Contractual Clauses (Module Two, controller to processor, and Module Three, processor to processor) incorporated in Anthropic’s Data Processing Addendum, which forms part of its commercial terms, with a UK Addendum and a Swiss Addendum (Irish law and courts). Anthropic notifies changes to its own sub-processors in advance, with a 15-day objection window; customer data is deleted within 30 days after termination. Under Anthropic’s commercial terms, API inputs and outputs are not used to train its models; retention is as stated in those terms. Druma prefers Google Gemini on the EU endpoint where EU-only processing is required: the fallback for the documentation chatbot is Gemini.
• Mistral AI SAS (may leave the EEA) — Mistral AI SAS is established in France. Under its API terms customer data is not used to train its models; the API keeps requests for a short period for abuse monitoring unless zero data retention is agreed for the account. Because the processing location of every request and the sub-processors of Mistral are not yet confirmed in writing, Druma lists the transfer as possible and relies on the 2021 EU Standard Contractual Clauses (Module Three, processor to processor) for any onward transfer outside the EEA.
• Google Cloud Translation API (leaves the EEA) — Google Cloud Translation (Basic) has a global endpoint, so data cannot be kept in a specific region. Google Cloud EMEA Limited is in the EEA; for onward transfers Google relies on the EU-US Data Privacy Framework (Google LLC is certified) for the US and on Standard Contractual Clauses between Google and its own subprocessors for other third countries (Google Cloud DPA, Appendix 3, section 4.1). Message auto-translation can be switched off per user in profile settings.
• Google LLC — Firebase Cloud Messaging (leaves the EEA) — EU-US Data Privacy Framework (Google LLC is certified).
• Meta Platforms (WhatsApp Business Cloud API) (leaves the EEA) — 2021 SCCs. Off unless the company enables the WhatsApp driver channel.
• Transporeon GmbH (Germany, Trimble group) (may leave the EEA) — Processing is in the EU; the parent group is US-established, so group-level access is covered by the 2021 SCCs in the Transporeon DPA.
• Dr. Meier & Schmidt GmbH, Cargoclix (Germany) (may leave the EEA) — The hosting location and any transfer safeguard are confirmed with Cargoclix before a Customer connects.
• Geotab Inc. (may leave the EEA) — Druma connects to whichever Geotab database host the Customer’s own Geotab account resolves to. Where that host is outside the EEA the Customer’s own agreement with Geotab governs the transfer.
• Samsara Inc. (may leave the EEA) — Druma connects to Samsara’s EU shard by default. The vendor is US-established, so vendor-side access is covered by the 2021 SCCs in the Samsara DPA; a Customer that overrides the endpoint to a non-EU shard makes that transfer under its own agreement.
• ORBCOMM Inc. (leaves the EEA) — 2021 SCCs in the ORBCOMM agreement.
• Thermo King TracKing (Trane Technologies) (leaves the EEA) — 2021 SCCs in the Thermo King agreement.
• Carrier — Lynx Fleet (Carrier Global Corporation) (leaves the EEA) — 2021 SCCs in the Carrier agreement.
• CHEP (Brambles Limited) (may leave the EEA) — No personal data is transmitted. Where CHEP processing takes place outside the EEA it is covered by the Customer’s own CHEP account terms.

18 van de 35 ontvangers in Bijlage III vallen in deze groep; de overige verwerken Klantgegevens uitsluitend binnen de EER.

Na afloop van de verwerkingsdiensten zal Druma, naar keuze van de Klant, alle Klantgegevens aan de Klant teruggeven of ze verwijderen, en bestaande kopieën verwijderen — tenzij Unierecht of lidstatelijk recht dat op Druma van toepassing is verdere opslag vereist. De keuze is aan de Klant; Druma beslist er niet over.

11.1 De standaard, als de Klant niets laat weten. Klantgegevens worden 90 dagen bewaard vanaf de effectieve datum van beëindiging of schorsing. Gedurende dat venster kan de Klant op elk moment een volledige kopie exporteren via Instellingen → GDPR (machineleesbare JSON en CSV plus de opgeslagen documenten), en kan het account met intacte gegevens worden geheractiveerd. Na afloop van de 90 dagen verwijdert Druma de Klantgegevens uit haar live systemen. Dezelfde periode van 90 dagen staat in artikel 13 van de gebruiksvoorwaarden en in de bewaartabel van de privacyverklaring.

11.2 Teruggave of eerdere verwijdering op instructie. De Klant kan Druma op elk moment schriftelijk instrueren — tijdens het abonnement of tijdens het venster van 90 dagen — om Klantgegevens terug te geven, te verwijderen, of beide. Druma voert de instructie binnen 30 dagen na ontvangst uit en bevestigt de voltooiing schriftelijk. Teruggave gebeurt in hetzelfde machineleesbare exportformaat, via een met de Klant overeengekomen beveiligde overdrachtsmethode.

11.3 Bestaande kopieën, met inbegrip van back-ups. Verwijdering strekt zich uit tot bestaande kopieën van Klantgegevens. Versleutelde databaseback-ups en point-in-time-recovery-snapshots bij onze databaseleverancier zijn onveranderlijk en kunnen niet selectief worden bewerkt zonder hun integriteit als herstelmechanisme te vernietigen. Klantgegevens die nog in een back-up aanwezig zijn, worden daarom niet individueel gewist op het moment van verwijdering uit de live systemen: zij worden overschreven naarmate die back-up uit de normale rotatie verdwijnt, en in elk geval uiterlijk 35 dagen na de verwijdering uit de live systemen. Gedurende die periode blijven de back-ups versleuteld in rust en met toegangscontrole, en worden zij uitsluitend gebruikt voor disaster recovery — nooit om verwijderde gegevens te herstellen, aan te bieden of anderszins te verwerken. Verwijdering omvat ook kopieën bij subverwerkers, volgens de verwijderingstermijnen in hun eigen overeenkomsten met Druma.

11.4 Waar de wet Druma verplicht de gegevens te bewaren. Druma bewaart en verwijdert geen gegevens waarvan de opslag wordt vereist door Unierecht of lidstatelijk recht dat op Druma van toepassing is: facturen en boekhoudkundige bescheiden (10 jaar vanaf de uitgiftedatum — Roemeense boekhoudwet 82/1991, art. 25, en de btw-richtlijn van de EU, art. 244); eCMR- en eFTI-vrachtdocumenten (7 jaar, ter dekking van de verjaringstermijn van art. 32 van het CMR-verdrag en de vereisten inzake toegang voor autoriteiten van Verordening (EU) 2020/1056 inzake eFTI); en het auditlog (12 maanden). Die bescheiden blijven geïsoleerd en met toegangscontrole, worden voor geen ander doel verwerkt dan de wettelijke verplichting die ze vereist, en worden verwijderd wanneer de bewaartermijn verstrijkt.

11.5 Verklaring van verwijdering. Op schriftelijk verzoek bevestigt Druma schriftelijk dat de verwijdering is voltooid en benoemt zij elke krachtens 11.4 bewaarde gegevenscategorie, samen met de rechtsgrond en de datum waarop de bewaartermijn verstrijkt.

Druma heeft de gereedheid voor de eFTI-verordening van de EU (Verordening (EU) 2020/1056) geïmplementeerd. Vanaf 9 juli 2027 kunnen bevoegde handhavingsautoriteiten voor het vervoer tijdens wegcontroles toegang krijgen tot vrachtgegevens die aan een unieke eFTI-link (UIL) zijn gekoppeld. Wanneer een via de Dienst beheerde transportorder aan een UIL is gekoppeld, kunnen de bijbehorende zendinggegevens — ladingomschrijving, route en partijen bij de zending — door geautoriseerde autoriteiten via het eFTI-platform worden geraadpleegd.

Deze toegang is wettelijk voorgeschreven (art. 6, lid 1, onder c), AVG). Druma legt elke toegang door een autoriteit vast in het eFTI-operatielogboek zoals de verordening vereist en stelt die logboeken op verzoek aan de Klant ter beschikking. De Klant is, als vervoerder-verwerkingsverantwoordelijke, verantwoordelijk om betrokkenen in zijn kennisgeving op grond van artikel 13 over deze mogelijkheid te informeren.

• Rangorde — bij strijdigheid tussen deze DPA en de gebruiksvoorwaarden prevaleert deze DPA voor aangelegenheden betreffende persoonsgegevens.
• Aansprakelijkheid — vorderingen tussen partijen onder deze DPA vallen onder het aansprakelijkheidsplafond van artikel 11 van de gebruiksvoorwaarden. Dat plafond geldt niet voor aansprakelijkheid voor overlijden of lichamelijk letsel, voor bedrog, of voor aansprakelijkheid die naar toepasselijk recht niet kan worden beperkt — met inbegrip van aansprakelijkheid jegens betrokkenen voor schade door verwerking in strijd met de AVG op grond van artikel 82 AVG. Niets in deze DPA of in de voorwaarden beperkt de rechten of rechtsmiddelen van een betrokkene jegens een van beide partijen, of wijzigt de verdeling van verantwoordelijkheid tussen verwerkingsverantwoordelijke en verwerker volgens artikel 82, leden 1 tot en met 3, AVG.
• Wijzigingen — Druma kan deze DPA bijwerken om wijzigingen in wetgeving, subverwerkers of beveiligingsmaatregelen te weerspiegelen, met 30 dagen kennisgeving per e-mail.
• Versiegeschiedenis — 2026-10-27: artikel 4.1 (Formulierindelingsgegevens) toegevoegd. De Klant geeft Druma de instructie om uit zijn documenten anonieme indelingsgegevens van formulieren af te leiden, zonder documentinhoud, en die gegevens worden voor alle klanten gebruikt. Artikel 2 en bijlage I verwijzen er nu naar. Geen nieuwe subverwerker. 2026-10-25: bijlage I vermeldt geen aan ANAF doorgegeven locatiegegevens meer; Druma stuurt geen gps-posities naar ANAF. De vermelding van ANAF in bijlage III is dienovereenkomstig beperkt. Geen nieuwe subverwerker. 2026-10-05: verduidelijking die de vermelding van 2026-10-04 vervangt (die stelde dat persoonsgegevens de EER kunnen verlaten voor Vertex AI en die Druma niet als wijziging van subverwerkers aan Klanten heeft gemeld). De vermelding van Google Cloud Vertex AI in Bijlage III vermeldt nu dat verzoeken worden verwerkt op het EU-multiregio-endpoint van Google, waar volgens de voorwaarden van Google data worden opgeslagen en ML-verwerking plaatsvindt in EU-lidstaten (Druma is geconfigureerd om het EU-endpoint te gebruiken). Google-entiteiten, waaronder Google LLC in de VS, kunnen in beperkte gevallen toegang tot gegevens krijgen om de dienst te onderhouden of technische problemen op te lossen; voor doorgiften verder in de keten vertrouwt Google op het EU-US Data Privacy Framework en op standaardcontractbepalingen met zijn eigen subverwerkers (Google Cloud DPA, Appendix 3, sectie 4.1). Ook wordt de ene uitzondering vermeld: Google Search grounding, gebruikt door de optionele functies voor verrijking van bedrijfs- en locatiegegevens, dat de voorwaarden van Google uitsluiten van de EU-toezegging (een grounded verzoek kan buiten de EU worden verwerkt) en waarvoor Google zoekopdrachten tot 3 dagen bewaart. Vertex AI was al een subverwerker en is dus geen nieuwe; 5 oktober 2026 is de publicatiedatum van deze versie. 2026-10-04: vervangen zoals beschreven. 2026-08-19: vorige versie. De Engelse tekst is bindend.
• Toepasselijk recht — Roemeens recht; de rechtbanken van Boekarest.
• Contact — [email protected].
• Bijlagen — Bijlage I (partijen en beschrijving van de verwerking), Bijlage II (technische en organisatorische maatregelen — artikel 6 hierboven) en Bijlage III (subverwerkers) maken integraal deel uit van deze DPA en van de in artikel 10 bedoelde standaardcontractbepalingen.

A. De partijen

B. Beschrijving van de verwerking

Bijlage II (technische en organisatorische maatregelen, met inbegrip van de maatregelen waarop als aanvullende maatregelen voor doorgiften wordt gesteund) is artikel 6 van deze DPA.

De volledige lijst van subverwerkers en andere externe ontvangers die Druma inschakelt, waarvoor elk wordt gebruikt, welke persoonsgegevens elk daadwerkelijk ontvangt, waar die worden verwerkt en of de gegevens de EER verlaten. Deze tabel en de subverwerkerstabel in de privacyverklaring worden uit één gedeelde bron gegenereerd en zijn dus altijd identiek. De tabel wordt in het Engels bijgehouden.

Vermeldingen gemarkeerd met „only if you connect it” (alleen als u het koppelt) ontvangen geen gegevens tenzij de Klant die integratie inschakelt. Druma geeft de Klant ten minste 30 dagen vooraf per e-mail kennis voordat een nieuwe subverwerker Klantgegevens begint te verwerken, en de Klant kan bezwaar maken zoals beschreven in artikel 5.

De optionele functie Druma AI ontbreekt bewust in deze lijst. Als een bedrijfsbeheerder de eigen OpenAI-, Anthropic- of Google-API-sleutel van het bedrijf koppelt, worden de via Druma AI verzonden gegevens door die aanbieder verwerkt onder de eigen overeenkomst van de Klant met die aanbieder. Die aanbieder is een subverwerker van de Klant, niet van Druma, en Druma geeft er geen doorgiftewaarborg voor.