Verwerkersovereenkomst
Bij verschil tussen de Nederlandse en de Engelse tekst geldt de Nederlandse versie. De Engelse tekst staat op /en/dpa.
Overeenkomst conform artikel 28 AVG tussen Paramantis Solutions B.V. (verwerker) en uw organisatie (verwerkingsverantwoordelijke). Geldt voor alle persoonsgegevens die via de relaydienst van Paramant worden verwerkt.
/v1 API is de uitzondering waarvan de verwerkingsverantwoordelijke zich bewust moet zijn: daar wordt het document in leesbare vorm aan Paramantis geleverd, zodat Paramantis de procedure kan uitvoeren, en is Paramantis verwerker van die inhoud zolang de envelop bestaat. Wij verwerken alleen de minimale technische metadata die nodig zijn om overdrachten te routeren en te laten verlopen.1. Partijen
| Verwerker | Paramantis Solutions B.V. (“Paramantis”), Harderwijk, Nederland, KvK 42115132. De dienst draait bij Hetzner Online GmbH, NBG1, Neurenberg, Duitsland. Contact: privacy@paramant.app |
| Verwerkingsverantwoordelijke | De organisatie die in het ondertekenformulier hieronder wordt genoemd |
| Ingangsdatum | Datum van de elektronische ondertekening |
2. Onderwerp en reikwijdte
Deze overeenkomst regelt de verwerking van persoonsgegevens door Paramantis namens de verwerkingsverantwoordelijke in verband met de relay- en ondertekendiensten van Paramant, inclusief alle sectorrelays: zorg, juridisch, financieel, IoT en algemeen.
Paramantis treedt uitsluitend op als verwerker. De verwerkingsverantwoordelijke bepaalt de doelen en middelen van de verwerking. Het onderwerp is het veilig doorsturen van versleutelde bestanden, het versleuteld aanleveren van documenten voor ondertekenverzoeken en de bijbehorende metadata tussen geauthenticeerde partijen.
3. Aard, doel en duur van de verwerking
| Aard | De inhoud van Ghost Pipe en ParaShare (de webapp van Versturen) wordt alleen in het werkgeheugen (RAM) opgeslagen en na ophalen of na het verlopen van de TTL vernietigd. Documenten van ondertekenverzoeken (Ondertekenen) worden in de browser versleuteld en kunnen als versleutelde gegevens bewaard blijven tot de ondertekenenvelop verloopt. |
| Doel | Veilige bestandsoverdracht van punt tot punt en versleutelde aanlevering van documenten voor ondertekening, volgens de instructies van de verwerkingsverantwoordelijke |
| Duur | Gelijk aan de looptijd van het abonnement op de dienst. De inhoud van overdrachten wordt binnen de TTL van de overdracht vernietigd. Versleutelde gegevens en envelopregistraties van Ondertekenen worden vernietigd wanneer de envelop verloopt. |
| Categorieën persoonsgegevens | Alle persoonsgegevens in overgedragen bestanden (inhoud versleuteld, onzichtbaar voor de verwerker); contact-e-mailadres bij de API-sleutel; apparaat-ID's (gehasht in de CT-log) |
| Betrokkenen | Alle natuurlijke personen van wie gegevens voorkomen in bestanden die via de dienst worden overgedragen |
4. Verplichtingen van de verwerker
Paramantis zal:
- Persoonsgegevens alleen verwerken op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, tenzij Paramantis daartoe verplicht is door het recht van de Unie of van een lidstaat dat op Paramantis van toepassing is
- Ervoor zorgen dat personen die gemachtigd zijn om persoonsgegevens te verwerken, zich tot geheimhouding hebben verplicht of aan een passende wettelijke geheimhoudingsplicht zijn gebonden
- Passende technische en organisatorische maatregelen treffen in overeenstemming met artikel 32 AVG, zie artikel 7
- De verwerkingsverantwoordelijke bijstaan bij de verplichtingen uit de artikelen 32 tot en met 36 AVG, rekening houdend met de aard van de verwerking en de informatie waarover Paramantis beschikt
- Na afloop van de verwerkingsdiensten, naar keuze van de verwerkingsverantwoordelijke, alle persoonsgegevens verwijderen of terugbezorgen, en bestaande kopieën verwijderen, tenzij opslag van de persoonsgegevens verplicht is op grond van het recht van de Unie of van een lidstaat
- Alle informatie aan de verwerkingsverantwoordelijke ter beschikking stellen die nodig is om aan te tonen dat de verplichtingen uit artikel 28 AVG worden nagekomen, en audits en inspecties mogelijk maken en eraan bijdragen
- De verwerkingsverantwoordelijke onmiddellijk informeren als een instructie naar zijn oordeel inbreuk maakt op de AVG of op ander toepasselijk gegevensbeschermingsrecht
5. Subverwerkers
De verwerkingsverantwoordelijke geeft Paramantis algemene toestemming om de volgende subverwerkers in te zetten:
| Subverwerker | Locatie | Doel | Overgedragen gegevens |
|---|---|---|---|
| Hetzner Online GmbH | Duitsland (NBG1) | Hosting van infrastructuur | Versleutelde inhoud van overdrachten in RAM; versleutelde documentcapsules van Ondertekenen blijven bewaard tot de envelop verloopt: 30 dagen, tenzij het verzoek een andere termijn vraagt, en nooit langer dan 365 dagen |
| Resend (Plus Five Five, Inc.) | Verenigde Staten (standaardcontractbepalingen) | Transactionele e-mail: berichten over account en facturatie, uitnodigingen om te ondertekenen, en uitnodigingen om een bestand op te halen dat naar genoemde ontvangers is verstuurd | Het e-mailadres van de ontvanger, het onderwerp en het bericht. Bij een uitnodiging om te ondertekenen: de volledige persoonlijke toegangslink. Bij een verzending naar genoemde ontvangers: de bestandsnaam die de verwerkingsverantwoordelijke koos, en een eenmalige link die het bestand niet zelf opent. Geen leesbare documenttekst en geen encryptiesleutel |
| Mollie B.V. | Nederland (EU) | Betalingsverwerking voor betaalde abonnementen | Het bedrag, een omschrijving van het abonnement en de betalingsmetadata die de relay meegeeft: accountId, product, plan, interval. Alleen bij verlegde btw komen daar het btw-nummer van het bedrijf en het bewijs van de controle bij: vat, vatId, vatCheckedAt, vatConsultation. Er wordt geen e-mailadres verstuurd zolang terugkerende betaling uit staat, en zo staat het nu in productie. Kaartgegevens worden ingevoerd op de eigen pagina's van Mollie en bereiken Paramantis nooit |
| Moneybird B.V. | Nederland (EU) | Boekhouding, alleen als de exploitant een administratie heeft gekoppeld | De factuur of creditnota: nummer, datum, omschrijving, bedragen en btw, de factuurgegevens die de verwerkingsverantwoordelijke invoerde (bedrijfsnaam, factuuradres, btw-nummer), het e-mailadres en de pdf van het document. Geen gegevens over overdrachten, bestanden of handtekeningen |
| Europese Commissie (VIES) | Europese Unie | Controle van btw-nummers (ec.europa.eu), alleen als een bedrijf uit een ander EU-land met een btw-nummer afrekent en de exploitant het btw-nummer van de verkoper heeft ingesteld | Het btw-nummer van dat bedrijf en het btw-nummer van de verkoper. Geen naam, e-mailadres, adres of bedrag |
Actuele status van elke subverwerker, met wat ze krijgen en wat nooit: /partners.
Paramantis meldt de verwerkingsverantwoordelijke beoogde wijzigingen in subverwerkers minstens 14 dagen vooraf, zodat de verwerkingsverantwoordelijke bezwaar kan maken.
6. Internationale doorgifte
Eén doorgifte buiten de EER: transactionele e-mail. Alle relay-infrastructuur staat in de EU (Hetzner DE, NBG1). E-mail gaat nu nog via Resend (Plus Five Five, Inc.) in de Verenigde Staten. De mail bevat nooit het document. Bij versturen naar ontvangers op naam bevat hij wel de link met het token, en de ophaalcode gaat ook per mail: samen openen ze het bestand. Een uitnodiging om te ondertekenen bevat de helft van de documentsleutel; de andere helft geeft de relay alleen aan de ingelogde ontvanger. De doorgifte is gedekt door de standaardcontractbepalingen (Uitvoeringsbesluit (EU) 2021/914 van de Europese Commissie). Betalingen lopen via Mollie B.V. in Nederland. De boekhouding loopt alleen via Moneybird B.V., ook in Nederland, als de exploitant een administratie heeft gekoppeld. Er worden geen andere persoonsgegevens buiten de EER doorgegeven.
Dat is de enige uitzondering in de keten; we stappen over naar een Nederlandse aanbieder. Die komt pas op de lijst in artikel 5 als het contract er is, en u hoort het minstens 14 dagen vooraf.
7. Technische en organisatorische maatregelen (artikel 32)
| Maatregel | Uitvoering |
|---|---|
| Versleuteling tijdens transport | Minimaal TLS 1.3 op alle relay-endpoints |
| End-to-end versleuteling van inhoud | De inhoud van bestanden wordt aan de kant van de gebruiker versleuteld en, buiten de gehoste ondertekenprocedure op de /v1 API, heeft de relay alleen versleutelde gegevens. Geauthenticeerde overdrachten via de webapp en de SDK gebruiken de hybride combinatie ML-KEM-768 + ECDH P-256 (NIST FIPS 203); in de browser versleutelde links en de twee extensies gebruiken AES-256-GCM met de sleutel in het URL-fragment en zonder sleuteluitwisseling. |
| Versleuteling in opslag | De inhoud van Ghost Pipe en ParaShare blijft alleen in RAM. Documenten van ondertekenverzoeken (Ondertekenen) die in de browser zijn aangemaakt, worden alleen opgeslagen als in de browser versleutelde AES-256-GCM-capsules; de relay ontvangt de ontsleutelsleutel niet. Documenten die bij de gehoste ondertekenprocedure op de /v1 API worden aangeleverd, worden door de relay bewaard en in opslag verzegeld met een sleutel die de relay heeft. |
| Dataminimalisatie | Bestandsnamen niet in leesbare vorm opgeslagen (alleen versleuteld in enc_meta); apparaat-ID's gehasht met SHA3-256 in de CT-log; geen logging van de inhoud |
| Toegangsbeheer | Authenticatie met API-sleutel op alle relay-endpoints; beheerpaneel beveiligd met TOTP-MFA en rate limiting per IP-adres (5 pogingen per 15 minuten) |
| Auditlogging | Certificate Transparency-log: hashes van overdrachten en commitments van apparaatsleutels, geen inhoud; Merkle-boom die manipulatie zichtbaar maakt |
| Integriteit en beschikbaarheid | We controleren bij elke uitrol, ook bij een herhaalde controle met --verify-only, op de productieserver of auditd actief is, of AIDE geïnstalleerd is en de dagelijkse integriteitscontrole van bestanden hooguit 2 dagen geleden draaide, en of AppArmor aan staat met profielen in enforcing-modus. Het antwoord staat per punt in het uitrollog. Houdt een punt geen stand, dan staat dat daar als waarschuwing; deze pagina noemt de controle, niet de uitkomst. De inrichting volgt de CIS Ubuntu 24.04-benchmark als richtlijn; dat is geen getoetste claim. De controle van 13 april 2026 staat met haar cijfers in SECURITY.md, als stand van toen. Een klant kan de actuele uitvoer van deze controles opvragen via privacy@paramant.app. |
| Hardening van infrastructuur | Docker-containers: alleen-lezen bestandssysteem, no-new-privileges, cap_drop ALL, gebruiker zonder rootrechten; HSTS max-age=63072000 |
| Kwetsbaarhedenbeheer | Onafhankelijke beveiligingsaudit afgerond in april 2026, zie de samenvatting van de beveiligingsaudit |
8. Melding van inbreuken in verband met persoonsgegevens
Paramantis meldt een inbreuk in verband met persoonsgegevens die gegevens raakt die onder deze overeenkomst worden verwerkt, zonder onredelijke vertraging aan de verwerkingsverantwoordelijke, en in elk geval binnen 48 uur nadat Paramantis ervan op de hoogte is geraakt. De melding gaat naar het e-mailadres dat in het ondertekenformulier hieronder is opgegeven en bevat, voor zover beschikbaar: de aard van de inbreuk; de categorieën en het geschatte aantal betrokkenen en getroffen gegevensrecords; de waarschijnlijke gevolgen; en de maatregelen die zijn genomen of worden voorgesteld om de inbreuk aan te pakken.
9. Auditrechten
De verwerkingsverantwoordelijke kan ten hoogste eenmaal per kalenderjaar een nalevingscontrole aanvragen, met een schriftelijke aankondiging van minstens 30 dagen aan privacy@paramant.app. Paramantis levert de relevante documentatie en, waar van toepassing, toegang tot systeemconfiguraties. Fysieke toegang op locatie vereist vooraf overeenstemming over reikwijdte, planning en redelijke kosten.
10. Aansprakelijkheid
De aansprakelijkheid van elke partij voor schending van deze overeenkomst wordt beheerst door artikel 82 AVG. De totale contractuele aansprakelijkheid van Paramantis is beperkt tot het totaal van de vergoedingen die de verwerkingsverantwoordelijke betaalde in de 12 maanden voor de gebeurtenis waaruit de vordering voortkomt, behalve bij opzettelijk wangedrag of grove nalatigheid.
11. Looptijd en beëindiging
Deze overeenkomst geldt vanaf de datum van ondertekening en blijft van kracht zolang het abonnement van de verwerkingsverantwoordelijke op de dienst loopt. Bij beëindiging verwijdert Paramantis alle persoonsgegevens binnen 30 dagen, behalve waar bewaring verplicht is op grond van toepasselijk recht. De CT-log (met alleen gehashte identificatoren, geen inhoud) mag worden bewaard voor audit- en nalevingsdoeleinden.
12. Toepasselijk recht en bevoegde rechter
Op deze overeenkomst is Nederlands recht van toepassing. Elk geschil dat voortkomt uit of verband houdt met deze overeenkomst, valt onder de exclusieve bevoegdheid van de bevoegde rechter in Nederland.
Elektronisch ondertekenen
Vul hieronder uw gegevens in om deze overeenkomst te ondertekenen. U ontvangt per e-mail een bevestiging (nu nog in het Engels) met uw referentienummer, de versie en de link naar de tekst van deze overeenkomst.