Deze overeenkomst geldt tussen jou als gebruiker en Quadalis, vanaf het moment dat je een omgeving aanmaakt. Je hoeft niets te tekenen; hij staat hier zodat je hem kunt tonen aan een opdrachtgever of auditor.
Deze verwerkersovereenkomst is tussen jou en Luminis Partner, eenmanszaak van R. de Jong, ingeschreven bij de Kamer van Koophandel onder nummer 95542779, gevestigd aan de Paardenakker 2, 1531 SR Wormer. In deze overeenkomst: wij. Hij hoort bij de algemene voorwaarden en geldt zodra je een account aanmaakt.
Twee dingen door elkaar halen is hier de meest gemaakte fout, dus expliciet:
| Jouw accountgegevens | Je e-mailadres en hoe je het platform gebruikt. Daarvoor zijn wij verantwoordelijk: wij bepalen waarom en hoe wij die verwerken. |
| Wat jij in je dossier zet | Documenten, protocollen en toetsen. Daarvoor ben jij verantwoordelijk en zijn wij verwerker. Wij doen daarmee alleen wat jij ons opdraagt: bewaren, tonen en delen met wie jij een link stuurt. |
| Delen met een organisatie | Accepteer je de uitnodiging van een organisatie, dan geef je haar inzage in je dossier, zoals bij een deellink. Dat besluit jij, en je trekt het in wanneer je wilt. De organisatie is zelf verantwoordelijk voor wat zij met de ingeziene of gedownloade stukken doet, en voor de controles die zij over jouw stukken vastlegt. |
Uitsluitend om het platform te leveren: je dossier bewaren, geldigheid bewaken, protocollen samenstellen, je toets bijhouden en je de berichten sturen die daarbij horen. Niet voor iets anders, en nooit voor reclame van derden.
| Account | E-mailadres en wachtwoordafdruk. |
| Dossier | De documenten die je uploadt, met hun soort en geldigheidsdatum. |
| Gegevens en protocollen | Wat je invult: onder meer naam, bedrijfsnaam, KvK-nummer, beroep, werkgebied en je antwoorden in protocollen en toets. |
| Log | Handelingen in je dossier met datum, soort handeling en land. Geen IP-adres. |
Je zet geen gegevens van cliënten in Quadalis. Incidentmeldingen en opdrachtovereenkomsten horen hier geanonimiseerd in — het keurmerk eist dat zelf ook. Zet je toch gegevens van een cliënt in je dossier, dan is dat jouw verantwoordelijkheid en vragen wij je ze te verwijderen.
Iedereen die bij ons toegang heeft tot gegevens is tot geheimhouding verplicht. Wij kijken niet in je documenten, behalve wanneer jij daar zelf om vraagt bij het oplossen van een storing, en dan alleen voor zover dat nodig is.
De maatregelen staan op de beveiligingspagina: versleuteling onderweg en in opslag, documenten en dossiergegevens in West-Europa, toegangscontrole per bestand, afgeremde inlogpogingen, een toegangslog zonder IP-adres en een dagelijkse reservekopie.
| Cloudflare | Opslag van documenten en de database, het draaien van de site. West-Europa (documenten en database); inloggegevens en sessies in hun wereldwijde netwerk. |
| Hetzner | De server die e-mail verstuurt en elke nacht de reservekopie bewaart. Duitsland (Falkenstein). |
| Het versturen van e-mail vanuit ons eigen postvak. Europa en daarbuiten. | |
| CIBG (BIG-register) | Alleen het BIG-nummer, wanneer een gekoppelde organisatie het openbare BIG-register raadpleegt. Nederland. |
| Justitiële Informatiedienst (validatie.nl) | Alleen het bestand van een digitale VOG, eenmalig, om bij Justis na te gaan of hij echt en ongewijzigd is. De dienst slaat het bestand niet op. Nederland. |
Met een nieuwe partij die toegang tot gegevens zou krijgen, komen wij dezelfde afspraken overeen als hier staan, en wij melden het vooraf.
Je documenten en dossiergegevens staan in West-Europa en de reservekopie in Duitsland. Ondersteunende diensten, zoals het versturen van e-mail en de verspreiding van inloggegevens over het netwerk van Cloudflare, kunnen buiten de Europese Economische Ruimte plaatsvinden; daarvoor gelden de standaardcontractbepalingen van de Europese Commissie.
Vraagt iemand jou om inzage, correctie of verwijdering van gegevens die in jouw dossier staan, dan helpen wij je daarbij. Komt zo'n verzoek bij ons binnen, dan sturen wij het naar jou door en beantwoorden wij het niet zelf.
Ontdekken wij een inbreuk waarbij jouw gegevens betrokken kunnen zijn, dan melden wij dat zonder onredelijke vertraging aan jou, met wat wij weten over wat er is geraakt en wat wij eraan doen. Zo kun jij je eigen meldplicht van 72 uur halen.
Je mag ons vragen aan te tonen dat wij ons hieraan houden. Wij beantwoorden schriftelijke vragen en leveren op verzoek de onderbouwing per maatregel.
Zeg je op, dan blijven je gegevens nog 30 dagen staan zodat je ze kunt ophalen — in je omgeving staat daarvoor een knop die alles in één bestand zet. Daarna verwijderen wij ze. Wis je je account zelf, dan gebeurt dat direct: de bestanden uit de opslag, de regels uit de database; het toegangslog blijft bestaan zonder je adres. Uit de reservekopie verdwijnt alles binnen 14 dagen.
1.4 (25 september 2026): wie wij zijn (artikel 1); de Justitiële Informatiedienst (validatie.nl) als partij, voor de controle van een digitale VOG bij de bron; getallen in cijfers. 1.3 (24 september 2026): controles door organisaties en het CIBG (BIG-register) als partij. 1.2 (24 september 2026): delen met een organisatie toegevoegd aan de rollen. 1.1 (24 september 2026): Hetzner toegevoegd als ingeschakelde partij, en de plaats van inloggegevens en reservekopie beschreven. 1.0: eerste versie.
Vragen hierover: [email protected]