humi sluit met elke klant een Data Processing Agreement (DPA) af als bijlage bij de Master Service Agreement. Daarin is de klant de verwerkingsverantwoordelijke (Data Controller) en humi de verwerker (Data Processor) onder de AVG/GDPR. Hieronder staan de kernafspraken uit onze standaard-DPA.
Kernafspraken
- humi verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de klant, en alleen om de afgesproken diensten te leveren.
- Persoonsgegevens verlaten de Europese Economische Ruimte niet zonder voorafgaande schriftelijke toestemming van de klant; waar nodig worden EU Standard Contractual Clauses afgesloten.
- Subverwerkers worden alleen ingeschakeld na voorafgaande schriftelijke toestemming, onder dezelfde voorwaarden als de DPA. De actuele lijst staat op humi.be/legal/subprocessors.
- Alle medewerkers zijn gebonden aan vertrouwelijkheid, krijgen training in gegevensbescherming en hebben enkel toegang op need-to-know-basis (least privilege).
- Verzoeken van betrokkenen (inzage, correctie, verwijdering) worden binnen 5 werkdagen aan de klant bezorgd; humi assisteert kosteloos bij de opvolging.
- Bij een (mogelijk) datalek verwittigt humi de klant binnen 48 uur, start het op eigen kosten een onderzoek en werkt het volledig mee aan de melding aan de toezichthouder.
- De klant mag de naleving controleren, inclusief audits en inspectie van faciliteiten, procedures en documentatie.
- Bij het einde van de overeenkomst worden persoonsgegevens naar keuze van de klant teruggegeven of veilig verwijderd, behoudens wettelijke bewaarplichten.
Technische en organisatorische maatregelen
- Toegangscontrole: individuele accounts, role-based access met least privilege, MFA voor alle gebruikers, Conditional Access op alle verbindingen; elk netwerk, ook het kantoor, geldt als untrusted.
- Toestelbeveiliging: beheer via Microsoft Intune, enkel compliant toestellen krijgen toegang, volledige schijfversleuteling, verplichte firewall en antivirus, EDR via Microsoft Defender for Endpoint.
- Infrastructuur en platform: alle Azure-workloads uitsluitend in geografisch gebied EU, data residency afgedwongen op tenantniveau, versleuteling in transit (TLS) en at rest, securitymonitoring via Microsoft Sentinel.
- Opslag en back-up: data in EU-gebaseerde Azure landing zones of EU Microsoft 365-tenant; back-ups blijven binnen Europese regio's.
- Incident management: formeel proces voor security-incidenten en datalekken, met gedocumenteerde escalatie en meldprocedures.
- Organisatorisch: gedragscode en vertrouwelijkheid in arbeidsovereenkomsten, security awareness training en phishingsimulaties, access lifecycle management bij onboarding, rolwissel en offboarding.
- Dataminimalisatie: humi beperkt de verwerking tot technische en configuratiedata die nodig is voor de dienstverlening; persoonsgegevens van eindgebruikers van klanten worden niet bewust verzameld of verwerkt.
DPO
De Data Protection Officer van humi is Pieter Van Huffel, bereikbaar via [email protected] of +32 468 32 79 53.
De volledige DPA-tekst ontvang je bij de start van een samenwerking. Vragen of een kopie van jouw overeenkomst nodig? Mail naar [email protected].
