Verwerkersovereenkomst Werkgeversportaal

1.1 Deze Verwerkersovereenkomst regelt de persoonsgegevens die Monny in opdracht van de Klant verwerkt via het werkgeversportaal. Dat zijn:

• (a) de deelnemerslijst: de contactgegevens die de Klant aanlevert zodat zijn mensen kunnen worden uitgenodigd;
• (b) activatie- en campagneberichten die Monny in opdracht van de Klant verstuurt, en de registratie van die verzendingen. Monny stelt deze berichten op; de Klant kan ze aanpassen;
• (c) het anonieme vragenkanaal naar HR, waarmee de mensen van de Klant vragen stellen aan de eigen HR-afdeling van de Klant.

1.2 Voor de Monny-app zelf is Monny verwerkingsverantwoordelijke, geen verwerker. Het account van de gebruiker, de bankkoppeling, de transacties en de cijfers die daaruit volgen, de AI-coach, productanalyse en de bewaring van dat alles zijn eigen beslissingen van Monny, genomen onder eigen verantwoordelijkheid. Daarop is de privacyverklaring van Monny van toepassing, niet deze Verwerkersovereenkomst. De gebruiker heeft een directe relatie met Monny, aanvaardt de eigen voorwaarden van Monny en geeft Monny rechtstreeks toegang tot zijn bankgegevens op grond van PSD2.

1.3 Deze grens is wezenlijk. Op grond van artikel 28 lid 10 AVG wordt een verwerker die persoonsgegevens voor eigen doeleinden verwerkt, voor die verwerking verwerkingsverantwoordelijke. Partijen leggen daarom uitdrukkelijk vast dat de verwerking in artikel 1.1 uitsluitend in opdracht van de Klant plaatsvindt, en dat de eigen verwerking van Monny uit artikel 1.2 daarvan los staat, niet onder deze Verwerkersovereenkomst valt en niet op de opdracht van de Klant berust.

1.4 Eén uitzondering, hier genoemd zodat zij niet voor verwerkersgegevens wordt aangezien. De blokkeerlijst, de registratie dat een adres onbereikbaar was of zich heeft afgemeld, is een eigen registratie van Monny, waarvoor Monny verwerkingsverantwoordelijke is. Het doel is deels van Monny zelf: de verzendreputatie van Monny beschermen en zorgen dat een adres dat onbereikbaar was of zich heeft afgemeld nooit meer wordt benaderd, ook niet nadat de overeenkomst met de Klant is geëindigd. De lijst bevat alleen het adres, de reden en de datum, wordt alleen gebruikt om verzending te blokkeren en wordt onbeperkt bewaard. Als zij gegevens van de Klant zou zijn, zou zij aan het einde van de Hoofdovereenkomst moeten worden verwijderd, en juist dan is de kans het grootst dat hetzelfde foutieve adres opnieuw wordt aangeleverd en aangeschreven.

Persoonsgegevens van de Klant: persoonsgegevens die Monny op grond van artikel 1.1 namens de Klant verwerkt.

Deelnemer: een natuurlijk persoon van wie de Klant de contactgegevens in de deelnemerslijst opneemt.

Deelnemerslijst: de contactgegevens die de Klant in het werkgeversportaal bijhoudt om te bepalen wie mag worden uitgenodigd en wie recht heeft op toegang.

Subverwerker: een derde die Monny inschakelt om Persoonsgegevens van de Klant te verwerken.

Portaalgebruiker: een persoon die de Klant heeft gemachtigd om het werkgeversportaal te gebruiken.

4.1 Monny verwerkt Persoonsgegevens van de Klant uitsluitend op gedocumenteerde instructies van de Klant, en niet voor eigen doeleinden. Deze Verwerkersovereenkomst, de Hoofdovereenkomst en het gebruik van het portaal door de Klant vormen die instructies.

4.2 De Klant geeft Monny de opdracht om:

• (a) de regels die de Klant aanlevert te ontvangen en op te slaan in de deelnemerslijst van de Klant in het portaal, waar de Portaalgebruikers van de Klant ze kunnen bekijken, wijzigen en verwijderen;
• (b) de activatie-, herinnerings- en campagneberichten die de Klant in gang zet per e-mail te versturen;
• (c) een telefoonnummer dat de Klant aanlevert uitsluitend te gebruiken om vast te stellen of iemand al een Monny-account heeft, of om hem bij aanmelding te herkennen;
• (d) bij aanmelding vast te stellen of iemand tot de groep behoort die via de Klant recht op toegang heeft;
• (e) registraties van verzending, bezorging en blokkering bij te houden voor de doelen en termijnen in artikel 9;
• (f) het anonieme vragenkanaal naar HR te beheren volgens artikel 6;
• (g) op verzoek ondersteuning te bieden en problemen op te lossen; en
• (h) geaggregeerde, niet-herleidbare dienstcijfers te maken voor betrouwbaarheid en capaciteitsplanning.

4.3 Voor al het andere is een aanvullende gedocumenteerde instructie nodig. Monny gebruikt Persoonsgegevens van de Klant in het bijzonder niet voor marketing, voor eigen analyses, om Deelnemers te benaderen buiten de berichten die de Klant in gang zet, of om eigen gegevens van Monny te verrijken.

4.4 Het geüploade bestand bereikt Monny niet. Het bestand van de Klant wordt in de eigen browser van de Klant ingelezen en alleen de resulterende regels worden verstuurd. Monny bewaart geen kopie van het bestand.

4.5 Contactgegevens worden leesbaar opgeslagen in de deelnemerslijst van de Klant, omdat de Portaalgebruikers van de Klant de lijst moeten kunnen zien en beheren en omdat een bericht niet kan worden bezorgd op een onomkeerbaar versleuteld adres. De toegang is beperkt volgens Bijlage 2.

4.6 Als Monny van mening is dat een instructie in strijd is met de AVG of ander toepasselijk gegevensbeschermingsrecht, informeert zij de Klant daarover onverwijld en mag zij die instructie opschorten totdat de Klant haar bevestigt of intrekt.

5.1 Monny verstrekt de Klant niet of een individuele Deelnemer zich heeft aangemeld, een uitnodiging heeft geactiveerd, zich heeft afgemeld, of een bericht wel of niet heeft geopend. De Klant ontvangt aantallen, geen status per persoon.

5.2 Wil de Klant Deelnemers bereiken die zich nog niet hebben aangemeld, dan verstuurt Monny die herinnering in opdracht van de Klant en meldt zij alleen het aantal bereikte mensen.

5.3 Monny rapporteert geen cijfer over de situatie van een kleine groep. In een kleine groep is zo’n cijfer geen statistiek maar een uitspraak over een herkenbaar persoon: in een team van vier vertelt “één persoon heeft problematische schulden” de Klant wie. Daaruit volgt:

• het totale aantal aangemelde of actieve Deelnemers toont Monny als exact aantal; dat zegt hoeveel mensen meedoen, niet wie of hoe het met ze gaat;
• elk ander cijfer, waaronder alles over financiële situatie, welzijn en impact, toont Monny alleen wanneer het over ten minste tien Deelnemers is berekend;
• een cijfer wordt ook weggelaten als het door aftrekking van andere cijfers terug te rekenen is;
• de verandering tussen perioden wordt weggelaten als de onderliggende groepen onder de drempel liggen.

5.3a De drempel wordt toegepast waar elk cijfer wordt berekend, niet waar het wordt getoond. Hij geldt dus voor elke uitsplitsing en elke combinatie van filters, en niet alleen voor totalen. Er worden geen uitschieters, hoogste of laagste waarden gerapporteerd. Onder de drempel legt het portaal uit waarom er geen cijfer is, in plaats van een nul te tonen.

5.4 Artikelen 5.1 tot en met 5.3a beschermen de Deelnemers en zijn een voorwaarde voor de dienstverlening van Monny. Partijen kunnen er niet bij overeenkomst van afwijken.

6.1 Het anonieme vragenkanaal is standaard onderdeel van het werkgeversportaal. Monny stuurt de Klant de inhoud van het bericht en een kenmerk waarmee de Klant kan antwoorden. Monny stuurt niet de naam, het e-mailadres, het telefoonnummer, het personeelsnummer, het IP-adres of apparaatgegevens van de Deelnemer door.

6.2 Monny verwijdert bekende identificerende gegevens uit de inhoud van het bericht voordat het wordt doorgestuurd. Dat gebeurt op basis van patronen en is daarom niet volledig: de naam van een collega, een functietitel of een heel specifieke situatie kan blijven staan. Deelnemers krijgen dit te horen voordat zij versturen en zien wat de Klant ontvangt.

6.3 Het kenmerk geldt per gesprek en zegt niets over de persoon. Het is een willekeurige waarde van zes tekens die voor het gesprek wordt aangemaakt. Het is niet afgeleid van de Deelnemer, zijn account of zijn contactgegevens, zodat twee gesprekken van dezelfde persoon kenmerken hebben die niets met elkaar te maken hebben. De Klant combineert geen gegevens uit het portaal om een Deelnemer te identificeren.

6.3a De Klant ziet een dag van bezorging, geen tijdstip. Berichten worden de volgende ochtend om 06:00 UTC in één keer aan de Klant bezorgd, zodat het tijdstip van schrijven de Klant niet bereikt. De financiële-gezondheidscategorie van de Deelnemer, de labels die uit het bericht zijn afgeleid en exacte tijdstippen zitten niet in wat de Klant ontvangt.

6.4 Monny bewaart de koppeling tussen bericht en gebruikersaccount om antwoorden te kunnen bezorgen. Die koppeling wordt nooit aan de Klant verstrekt: niet in het portaal, niet in een export en niet op verzoek. Alleen een wettelijke verplichting kan tot verstrekking dwingen.

6.5 De Klant vraagt niet naar de identiteit van de schrijver van een bericht, en Monny weigert zo’n verzoek.

6.6 Dit kanaal is geen meldkanaal voor misstanden, wangedrag of onveilige situaties, en maakt geen deel uit van een interne meldprocedure die de Klant heeft op grond van de Wet bescherming klokkenluiders. De Klant presenteert het niet als zodanig en verwijst zijn mensen naar zijn eigen procedure.

6.7 Als een bericht erop wijst dat een Deelnemer mogelijk risico loopt, kan de Klant het in het portaal markeren. Monny neemt dan rechtstreeks contact op met die Deelnemer en wijst hem op passende hulp. De Klant komt via de markering niets te weten over de identiteit van de Deelnemer en krijgt geen bevestiging dat er contact is opgenomen: niet in het portaal, niet per e-mail en niet op verzoek.

6.8 Een bericht kan een derde noemen. Dat een derde in een anoniem bericht wordt genoemd, is geen grond waarop de Klant tegen die persoon mag optreden. Wat de Klant doet met een bericht dat hij ontvangt, is zijn eigen verantwoordelijkheid als verwerkingsverantwoordelijke.

7.1 Monny zorgt dat personen die Persoonsgegevens van de Klant mogen verwerken aan geheimhouding zijn gebonden, en dat de toegang beperkt is tot wie die nodig heeft voor de doelen in artikel 4.

7.2 Geen enkele interface van Monny toont de deelnemerslijst van een Klant of een individueel contactgegeven. De toegang is beperkt tot Portaalgebruikers die via de identiteitsprovider van Monny zijn ingelogd, en wordt bij elk verzoek aan de serverzijde afgedwongen.

8.1 Monny neemt passende technische en organisatorische maatregelen op grond van artikel 32 AVG, beschreven in Bijlage 2. Monny mag die maatregelen wijzigen, mits het beschermingsniveau niet daalt.

8.2 Monny heeft een managementsysteem voor informatiebeveiliging ingericht volgens ISO/IEC 27001. Monny is op dit moment niet ISO 27001-gecertificeerd. Monny verwacht in het eerste kwartaal van 2027 gecertificeerd te zijn.

10.1 De Klant geeft Monny algemene toestemming om Subverwerkers in te schakelen. De Subverwerkers op de datum van deze Verwerkersovereenkomst staan in Bijlage 3.

10.2 Monny houdt de lijst in Bijlage 3 bij en informeert de Klant ten minste 30 dagen voordat zij een Subverwerker toevoegt of vervangt. De Klant kan op redelijke gronden van gegevensbescherming bezwaar maken. Als het bezwaar niet kan worden opgelost, zoeken Partijen te goeder trouw naar een aanpassing van de dienst; lukt dat niet, dan mag de Klant het betreffende deel van de dienst beëindigen. Een Subverwerker die met spoed nodig is voor de beveiliging of de continuïteit, mag direct worden ingeschakeld, met kennisgeving zo snel mogelijk daarna.

10.3 Monny legt elke Subverwerker verplichtingen op die gelijkwaardig zijn aan die in deze Verwerkersovereenkomst, en blijft verantwoordelijk voor de nakoming ervan.

11.1 Monny helpt de Klant bij het beantwoorden van verzoeken van betrokkenen, rekening houdend met de aard van de verwerking.

11.2 Monny meldt de Klant onverwijld een verzoek dat zij ontvangt over Persoonsgegevens van de Klant, en beantwoordt het niet zelf, behalve op gedocumenteerde instructie van de Klant of als de wet dat vereist.

11.3 Op verzoek van de Klant helpt Monny vast te stellen of iemand in de deelnemerslijst staat, en verwijdert zij een regel op instructie.

11.4 Gaat een verzoek over de eigen verwerking van Monny uit artikel 1.2 (de app, het account, de financiële gegevens), dan behandelt Monny het als verwerkingsverantwoordelijke en heeft de Klant daarbij geen verplichtingen.

12.1 Monny meldt de Klant onverwijld nadat zij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die Persoonsgegevens van de Klant betreft, met voldoende informatie om de Klant in staat te stellen zijn eigen verplichtingen uit de artikelen 33 en 34 AVG na te komen.

12.2 Monny werkt samen met de Klant en neemt redelijke maatregelen om de inbreuk te onderzoeken, de gevolgen te beperken en te herstellen.

12.3 Monny meldt een inbreuk niet namens de Klant aan een toezichthoudende autoriteit of aan betrokkenen, tenzij de Klant daartoe opdracht geeft.

12.4 Kwetsbaarheden, te onderscheiden van inbreuken. Monny meldt de Klant onverwijld een kwetsbaarheid in de dienst waarvan Monny inschat dat zij waarschijnlijk gevolgen heeft voor de beveiliging van Persoonsgegevens van de Klant, met de genomen maatregelen en de verwachte planning, ongeacht of de kwetsbaarheid is misbruikt.

12.5 Kwetsbaarheden en incidenten in de keten van Subverwerkers. Heeft een kwetsbaarheid of beveiligingsincident bij een Subverwerker waarschijnlijk gevolgen voor de dienst, dan informeert Monny de Klant daarover en over wat Monny eraan doet, op dezelfde basis als artikel 12.4.

13.1 Monny verleent redelijke medewerking aan gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen op grond van de artikelen 35 en 36 AVG, voor zover het de verwerking onder deze Verwerkersovereenkomst betreft.

13.2 Monny verstrekt de informatie over de verwerking onder deze Verwerkersovereenkomst die de Klant redelijkerwijs nodig heeft voor zijn eigen beoordeling. Of de Klant zelf een beoordeling moet uitvoeren, hangt af van zijn eigen verwerking en is aan de Klant om te bepalen.

14.1 Monny stelt de informatie beschikbaar die nodig is om aan te tonen dat zij deze Verwerkersovereenkomst naleeft, en maakt audits mogelijk en werkt daaraan mee.

14.2 Monny kan hieraan voldoen door recente rapportages van derden te verstrekken (bijvoorbeeld een ISO 27001-certificaat of een samenvatting van een penetratietest, zodra die beschikbaar zijn), een beschrijving van haar maatregelen en informatie over gegevensstromen.

14.3 Is dat onvoldoende, dan kan een audit ter plaatse plaatsvinden: niet vaker dan eens per twaalf maanden, met een aankondiging van 30 dagen, tijdens kantooruren, van redelijke omvang en duur, onder geheimhouding en zonder toegang tot gegevens van andere klanten. De Klant draagt de kosten, tenzij een wezenlijke tekortkoming wordt vastgesteld.

15.1 Persoonsgegevens van de Klant worden opgeslagen en verwerkt binnen de Europese Economische Ruimte, bij Amazon Web Services in Frankfurt (eu-central-1), behalve zoals vermeld in Bijlage 3. Daarin staat één Subverwerker die in de Verenigde Staten is gevestigd, Clerk, Inc., die wordt gebruikt om Portaalgebruikers te laten inloggen. Het doorgiftemechanisme voor die Subverwerker staat in Bijlage 3.

15.2 Vindt doorgifte buiten de EER plaats, dan zorgt Monny voor een goedgekeurd doorgiftemechanisme, en meldt zij een wezenlijke wijziging van mechanisme of bestemming.

16.1 De Klant staat ervoor in dat hij een rechtsgrond heeft om elke Deelnemer in de deelnemerslijst op te nemen en voor dit doel te laten benaderen, en dat hij hen heeft geïnformeerd volgens de artikelen 13 en 14 AVG.

16.2 De Klant is verantwoordelijk voor de juistheid van de deelnemerslijst en voor het verwijderen van mensen die er niet meer op horen.

16.3 De Klant zorgt dat zijn Portaalgebruikers gemachtigd zijn, hun toegang geheimhouden en direct worden verwijderd zodra zij geen toegang meer nodig hebben. De Klant meldt vermoed misbruik onverwijld aan Monny via security@getmonny.com.

16.4 De Klant probeert geen individuele Deelnemer te identificeren, niet via gegevens uit het portaal, kenmerken van berichten of bezorginformatie, en niet door erom te vragen.

17.1 Voor de verwerking van persoonsgegevens gaat deze Verwerkersovereenkomst voor op de Hoofdovereenkomst.

17.2 Aansprakelijkheid wordt geregeld in de Hoofdovereenkomst.

17.3 Wijzigingen van deze Verwerkersovereenkomst volgen artikel 18.

17.4 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. De rechter in Amsterdam is exclusief bevoegd.

18.1 Monny mag deze Verwerkersovereenkomst wijzigen.

18.2 Monny publiceert een wezenlijke wijziging op business.getmonny.com/dpa ten minste 30 dagen voordat zij ingaat, en meldt haar per e-mail aan de Klant.

18.3 De Klant kan binnen die termijn op redelijke gronden van gegevensbescherming bezwaar maken tegen een wezenlijke wijziging. Partijen zoeken dan te goeder trouw naar een oplossing. Lukt dat niet, dan mag de Klant het betreffende deel van de dienst zonder boete beëindigen, uiterlijk per de datum waarop de wijziging ingaat.

18.4 Een wijziging die de wet vereist, of die de bescherming van persoonsgegevens verbetert, mag eerder ingaan. Monny meldt haar per e-mail aan de Klant.

18.5 Wijzigingen van Subverwerkers volgen artikel 10.2.

18.6 Elke versie van deze Verwerkersovereenkomst vermeldt haar versienummer en de datum waarop zij geldt. Eerdere versies zijn op verzoek beschikbaar.

18.7 Van toepassing is de versie die geldt op de datum waarop de Hoofdovereenkomst wordt ondertekend. Daarna wijzigt zij alleen volgens dit artikel 18.