AVG-verbintenis

LeadForge treedt op als verwerker in de zin van artikel 4 AVG, met de klant als verwerkingsverantwoordelijke. Het platform verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de klant.

We schakelen zorgvuldig geselecteerde subverwerkers in voor hosting, e-mailbezorging, betaalverwerking en AI-modellen. Een actuele lijst is op aanvraag beschikbaar. Wijzigingen kondigen we minimaal dertig dagen vooraf aan, met een recht van bezwaar voor de klant.

We nemen onder meer de volgende beveiligingsmaatregelen:

• Versleuteling in transit (TLS 1.3) en at rest (AES-256)
• Rolgebaseerde toegang volgens het least-privilege-principe
• Verplichte multifactor-authenticatie voor alle medewerkers
• Gedocumenteerd wijzigings- en incidentmanagement volgens ISO 27001-principes
• Periodieke beveiligingstests
• Security-awareness-training bij onboarding en jaarlijks daarna

Klantdata wordt opgeslagen en verwerkt in EU-datacenters (Amsterdam en Frankfurt). Back-ups blijven uitsluitend binnen de EU. Er vindt geen verwerking buiten de EER plaats zonder voorafgaande instemming van de klant.

Bij een datalek informeren we de klant binnen 24 uur na ontdekking, inclusief de aard van het lek, de betrokken categorieën en hoeveelheid gegevens, de waarschijnlijke gevolgen en de getroffen herstelmaatregelen.

De klant mag eenmaal per twaalf maanden de naleving auditen, op eigen kosten. Op verzoek delen we documentatie over onze technische en organisatorische maatregelen.

Doorgifte naar derde landen vindt alleen plaats op basis van een adequaatheidsbesluit van de EU of via standaardcontractbepalingen (SCC's), met een Transfer Impact Assessment en aanvullende waarborgen waar nodig.

Na beëindiging verwijderen of retourneren we de data binnen dertig dagen; back-ups worden binnen negentig dagen gewist. Op verzoek leveren we een schriftelijk verwijderingscertificaat.

Deze verbintenis vormt samen met een ondertekende verwerkersovereenkomst (DPA) de invulling van artikel 28 AVG. Bij strijdigheid over gegevensbescherming prevaleert de DPA boven de algemene voorwaarden.

Subverwerkers zijn contractueel gebonden aan gelijkwaardige beschermingsstandaarden. LeadForge blijft volledig verantwoordelijk richting de klant en monitort de naleving van subverwerkers periodiek.

De aansprakelijkheid is beperkt conform de servicevoorwaarden, behalve de directe aansprakelijkheid richting betrokkenen of toezichthouders op grond van dwingend recht (artikel 82 AVG).

Onze functionaris gegevensbescherming is bereikbaar via hello@leadforge.nl voor vragen over de DPA of gegevensbescherming. De functionaris rapporteert rechtstreeks aan de directie en opereert onafhankelijk conform artikel 38 AVG.