Verwerkersovereenkomst

Deze overeenkomst bindt Twostack, uitgever van Certilio zoals geïdentificeerd in de wettelijke vermeldingen, en elke organisatie die persoonsgegevens verwerkt door middel van het platform — een certificateur, een kantoor, een vastgoedkantoor. U bent de verwerkingsverantwoordelijke. Twostack is de verwerker.

Ze geldt vanaf het eerste aangemaakte dossier, zonder dat u iets moet ondernemen en zonder dat erom gevraagd hoeft te worden. Artikel 28, lid 3 is niet optioneel: zodra een organisatie bij ons het gegeven van een derde registreert, moet deze overeenkomst bestaan. Ze vult de algemene voorwaarden aan en gaat erop voor in alles wat de gegevensbescherming raakt.

Ze dekt niet de gegevens waarover Twostack zelf beslist: uw account, uw abonnement, uw publieke pagina, de wachtlijst, de kopie van het SPW-register. Daarvoor is Twostack verwerkingsverantwoordelijke en geldt het privacybeleid.

Wat de overeenkomst van een agentschap precies dekt: de panden die het aanmaakt, de reeksen opdrachten die het plaatst, de contactgegevens van eigenaars en bewoners die het invoert of uit zijn vakprogramma importeert. Het blijft daarvoor verantwoordelijk, en Certilio voert ze uit op zijn instructies. Eén en hetzelfde pand kan zo tegelijk onder het agentschap vallen dat het heeft aangemaakt en onder de certificateur die het bezoekt: elk staat in voor wat het beslist, en deze overeenkomst bindt Twostack aan allebei.

Twostack streeft met deze gegevens één enkel eigen doeleinde na, en dat wordt genoemd in plaats van verzwegen: de prijsbarometer, gepubliceerd op de publieke site. Hij aggregeert de prijzen van de geleverde opdrachten per type certificaat, per provincie en per maand. De aggregatie gebeurt door de databank, die weigert een groep van minder dan vijf geleverde opdrachten terug te geven — geen individuele prijs, geen klantennaam, geen naam van een certificateur komt eruit. Voor die publicatie is Twostack niet langer uw verwerker: artikel 28, lid 10 van de AVG zegt dat een verwerker die zelf het doeleinde van een verwerking bepaalt, daarvan de verwerkingsverantwoordelijke wordt, en dat is precies wat hier gebeurt. Zij staat er dus alleen voor in, en de afweging is gepubliceerd in het privacybeleid.

Buiten die barometer niets. Twostack analyseert uw dossiers niet voor eigen rekening, haalt er geen commerciële statistieken uit, en gebruikt ze niet om te prospecteren.

De categorieën van betrokkenen

• Uw klanten: eigenaars, particuliere opdrachtgevers, agentschappen die de opdracht geven.
• De bewoners van een te bezoeken pand, huurders inbegrepen.
• De derden die op een tegensprekelijk bezoek opgeroepen worden: vertrekkende huurder, buur bij een afpaling.
• De gedelegeerde respondenten aan wie u het invullen van een veld toevertrouwt: syndicus, verhuurder, beheerder.
• De personen die een bezoekbon ondertekenen.
• De personen die naar het postvakadres van uw account schrijven.
• De eigenaars van wie de contactgegevens binnenkomen via de makelaarssoftware die een agentschap op zijn ruimte aansluit. Zij hebben niets op Certilio ingevoerd: hun gegevens komen uit het bestand van hun agentschap.
• De leden van uw eigen kantoor of van uw agentschap, voor wat de toewijzing van de opdrachten aangaat.

De categorieën van gegevens

Het gegevensmodel voorziet geen enkele bijzondere categorie van gegevens in de zin van artikel 9 van de AVG, en u mag er geen registreren. Toch staan verschillende velden vrij — een notitie bij een dossier, een commentaar bij een levering, een bestand dat een derde neerlegt — en niets controleert daar de inhoud. Vinden wij er, dan verwittigen wij u en verwijderen wij ze.

Eén ding om te weten voor u een toegangssleutel tot de programmeerinterface opent voor een systeem van een derde. Wat ze teruggeeft is geen technische identificator: het is de naam van de contactpersoon, het adres van het pand, de status, de prijs — en de opvolglink van de opdracht, die de opvolgpagina zonder account opent. Die sleutel aan een programma geven, is het geven wat de opvolgpagina aan uw klant toont. De sleutel is op elk ogenblik intrekbaar vanuit de ruimte die ze heeft aangemaakt, en u beslist over haar bestaan.

Twostack verwerkt de gegevens van uw dossiers alleen op uw gedocumenteerde instructie, ook voor een doorgifte buiten de Unie. Uw instructies zijn, in deze volgorde: deze overeenkomst en de algemene voorwaarden, het gebruik dat u maakt van het platform en van de instellingen die het u opent, en elk schriftelijk verzoek dat u ons richt.

Twostack brengt u onmiddellijk op de hoogte als ze meent dat een instructie een inbreuk op de AVG of op het Belgisch recht oplevert, en ze kan de uitvoering ervan opschorten tot u ze hebt bevestigd of ingetrokken.

Wat Twostack niet zal doen, ook al vraagt u het niet

• Uw klantenbestand hergebruiken om te prospecteren, voor eigen rekening of voor die van een andere certificateur. Dat is een interne regel van het product voor het een clausule is: het zou doelafwending zijn.
• Uw gegevens verkopen, verhuren of afstaan aan een derde.
• Uw dossiers kruisen met die van een andere certificateur, of er vergelijkende indicatoren uit halen.
• Een van uw klanten blootstellen aan een andere certificateur. Geen enkele pagina van een certificateur toont ooit een andere certificateur, en geen enkele aanvraag aan een beroepsbeoefenaar wordt in concurrentie gesteld.

Twostack ziet erop toe dat elke persoon die gemachtigd is uw gegevens te verwerken — werknemer, zelfstandige, dienstverlener — zich daartoe verbindt door een schriftelijke vertrouwelijkheidsclausule, of onder een wettelijke geheimhoudingsplicht valt. Die verbintenis blijft gelden na het einde van de samenwerking.

De toegang is beperkt tot wat nodig is om het platform uit te baten en te depanneren. Technisch draagt elke tabel van de databank een beveiligingsregel op het niveau van de rij, en ze geldt zodra een aangemelde persoon leest of schrijft — een lid van uw organisatie zowel als een lid van de onze.

Ze geldt niet overal, en dat wordt beter gezegd. Wat draait zonder open sessie — de programmeerinterface die met een sleutel wordt opgeroepen, de geplande taken, de inkomende oproepen van onze dienstverleners, de pagina's die met een link met token worden geopend — gebruikt een dienstsleutel die om de databank heen gaat. De afscherming gebeurt daar door de code, in een veertigtal bestanden die allemaal langs één ingangspunt passeren, opgezet zodat geen enkele route de oproepende organisatie kan vergeten. Het is een bewuste afwijking van het principe, geen vergetelheid.

Moet een beheerder van Twostack een account overnemen om te depanneren, dan wordt die verrichting op naam vastgelegd in een logboek van gevoelige handelingen, met de identiteit van de beheerder, die van het overgenomen account en de datum.

Twostack voert de maatregelen van artikel 32 van de AVG uit. Die hieronder zijn van kracht en na te gaan in de code, het zijn geen intenties.

• Afscherming per organisatie: elke tabel van de databank draagt een beveiligingsregel op het niveau van de rij. Een certificateur ziet alleen zijn gegevens, een agentschap alleen de opdrachten die het heeft geplaatst. De vorige sectie zegt waar die regel ophoudt en wat het dan overneemt.
• Versleuteld transport onderweg, via TLS, tussen de browser, de applicatie en de databank. Wij schrijven « onderweg » en niet « van begin tot eind »: de versleuteling beschermt elk traject, ze maakt de inhoud niet onleesbaar voor de applicatie of voor de host. De HSTS-header, die de browser zou verbieden op onversleuteld terug te vallen, is nog niet geplaatst.
• Toegang tot de documenten via ondertekende links met een korte geldigheidsduur: vijftien minuten voor een download, vijf minuten voor een interne verrichting. Geen enkel document is bereikbaar via een raadbaar adres.
• Toegangssleutels tot de programmeerinterface bewaard als een onomkeerbare afdruk, nooit leesbaar, en vergeleken in constante tijd.
• Aanmeldgegevens voor de makelaarssoftware versleuteld in AES-256-GCM. Zonder de sleutel weigert het systeem te werken in plaats van op leesbare tekst terug te vallen.
• Verificatie op handtekening van de inkomende oproepen van onze dienstverleners, met een korte tijdstolerantie tegen herhaling.
• Stelselmatige filtering van de foutrapporten voor elke verzending naar het opvolgingsinstrument: op veldnaam, op vorm van de waarde — e-mailadres, IBAN, ondernemingsnummer, rijksregisternummer, telefoon, token — en op adres, waarbij links met een token en opslagadressen integraal gemaskeerd worden. De headers volgen een witte lijst die het IP-adres, de cookies en de autorisatieheader uitsluit.
• Logboek van de gevoelige handelingen en van de accountovernames door een beheerder.

Drie dingen die deze lijst niet zegt, en dat is bewust. Twostack kan niet beweren dat de documenten en de e-mails bij haar dienstverleners versleuteld in rust bewaard worden, omdat ze dat niet dienstverlener per dienstverlener heeft nagegaan. Ze kan evenmin een back-up- en herstelbeleid beschrijven: niets in de code stelt er een vast, en een back-up die nooit hersteld is, is geen beveiligingsmaatregel maar een intentie. Die twee punten staan open, en artikel 32 vraagt ze — u kunt de stand ervan opvragen op bonjour@certilio.be. Het omgekeerde schrijven zou een onverifieerbare bewering zijn in een document dat tegen haar ingeroepen kan worden.

U geeft Twostack een algemene schriftelijke toestemming om een beroep te doen op subverwerkers, in de zin van artikel 28, lid 2 van de AVG. Wie vandaag toegelaten is, staat bij naam in de bijlage, onderaan dit document.

Twostack legt elk van hen bij overeenkomst verplichtingen inzake gegevensbescherming op die gelijkwaardig zijn aan die van deze overeenkomst. Ze blijft tegenover u volledig aansprakelijk voor hun uitvoering.

Wanneer de lijst verandert

1. Twostack brengt u per e-mail op de hoogte van elke toevoeging of vervanging van een subverwerker, minstens dertig dagen voor hij ook maar één gegeven ontvangt.
2. U beschikt over die dertig dagen om zich ertegen te verzetten, schriftelijk en om een reden die met de gegevensbescherming te maken heeft.
3. Bij verzet zoekt Twostack een redelijke vervangende oplossing. Is er geen mogelijk, dan kunt u het betrokken deel van de dienst kosteloos en zonder vergoeding opzeggen, of de hele dienst als dat deel de werking ervan bepaalt.

Een dienst die niet aangesloten is, staat niet in de bijlage en ontvangt niets. Verschillende koppelingen staan in de code zonder op wat dan ook aangesloten te zijn — versturen van sms-berichten, connectoren van makelaarssoftware. Geen enkele wordt geactiveerd zonder dat de bijlage bijgewerkt is en de termijn van dertig dagen verstreken. De elektronische facturatie via Peppol is voortaan wel aangesloten: ze staat in de bijlage hieronder, met de subverwerker die ze verstuurt.

De verzoeken om inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar die uw dossiers betreffen, komen u toe: u bent de verwerkingsverantwoordelijke. Twostack staat u bij, rekening houdend met de aard van de verwerking en door passende technische en organisatorische maatregelen.

Een dossier wissen neemt zijn bestanden mee. Een pand, een opdracht, een offerte of een bericht in de prullenmand plaatsen stuurt ook de documenten mee die eraan hangen; ze terugzetten brengt die terug, en u hebt daar dertig dagen voor. Na die termijn haalt de nachtelijke opschoning de objecten uit de opslag, en daarna de rijen. De pdf van een certificaat heeft geen eigen prullenmand en volgt die van het pand — dat is het vaakst voorkomende geval, de meerderheid van de documenten in de databank. Een organisatie sluiten zet dezelfde cascade in gang voor alles wat ze naar de prullenmand stuurt.

Drie verduidelijkingen bij die regel. Een document dat u alleen verwijdert, buiten elk dossier, verliest zijn bestand onmiddellijk uit de opslag, zonder de dertig dagen — en het dossier nadien terugzetten brengt het niet terug, want een terugzetting geeft alleen weer wat díé prullenmandbeweging had meegenomen. Een nachtelijke controle spoort de documenten op waarvan het dossier niet meer bestaat, plaatst ze in de prullenmand en wist ze dertig dagen later. De facturen worden door niets meegenomen: niet door de prullenmand van een dossier, niet door het sluiten van een organisatie, niet door dat vangnet. Zeven jaar boekhoudkundige bewaring, en dat ligt niet in uw hand.

Wendt een betrokkene zich rechtstreeks tot Twostack voor een gegeven uit uw dossiers, dan antwoordt Twostack hem niet ten gronde. Ze wijst hem erop dat u de verwerkingsverantwoordelijke bent, geeft hem uw naam, en bezorgt u het verzoek zonder onnodige vertraging, zodat uw termijn van een maand niet door de onze wordt aangetast. Dat is precies wat het privacybeleid die persoon aankondigt, in dezelfde bewoordingen.

Bij een gegevensinbreuk

Twostack meldt u elke inbreuk in verband met persoonsgegevens die uw dossiers raakt zonder onnodige vertraging nadat ze er kennis van heeft gekregen, en uiterlijk binnen 48 uur. De melding beschrijft de aard van de inbreuk, de categorieën en het geschatte aantal betrokken personen en registraties, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.

U bent het die de Gegevensbeschermingsautoriteit binnen 72 uur meldt en die de betrokkenen inlicht als het risico hoog is. Twostack bezorgt u alle informatie die daarvoor nodig is, en meldt nooit in uw plaats noch buiten uw weten.

Effectbeoordeling en voorafgaande raadpleging

Twostack helpt u een gegevensbeschermingseffectbeoordeling in de zin van artikel 35 uit te voeren, en de toezichthoudende autoriteit te raadplegen op grond van artikel 36 als die beoordeling het gebiedt. Die hulp neemt de vorm aan van een beschrijving van de verwerkingen, van de bestaande beveiligingsmaatregelen en van de lijst van de subverwerkers. Het referentiedocument is de gegevensinventaris, die met het product bijgehouden wordt.

De databank en de authenticatie worden door Supabase gehost op een project in Parijs, in Frankrijk. Dat is het enige punt van lokalisatie dat Twostack met zekerheid kan vaststellen.

Twostack kan tot vandaag niet waarborgen dat geen enkel gegeven uit uw dossiers de Europese Unie verlaat. Voor de opslag van de documenten, het versturen van de e-mails, de hosting van de applicatie, de betaling van het abonnement en de opvolging van de fouten hangt de lokalisatie af van de accountinstellingen bij die dienstverleners, en niets in de code legt ze op of controleert ze. Beweert een verkoopdocument, een pagina van de site of een scherm van het platform het tegendeel, dan geldt deze bepaling.

Een doorgifte buiten de Unie kan alleen steunen op een van de mechanismen van hoofdstuk V van de AVG, in de praktijk de modelcontractbepalingen van de Europese Commissie. De bijlage zal het gekozen mechanisme voor elke subverwerker noemen zodra elk van hen nagekeken is. Zolang deze zin er staat, is die controle niet afgerond, en u kunt de stand ervan opvragen op bonjour@certilio.be.

Twostack gaat niet over tot een doorgifte op bevel van een autoriteit van een derde land zonder een rechtsgrond die het Unierecht erkent, en brengt u daarvan op de hoogte behalve wanneer de wet dat verbiedt.

De organisatie sluiten — alleen de eigenaar

U kiest, voor de sluiting, tussen teruggave en wissing. De teruggave gebeurt via de export van « Instellingen › Gegevens en AVG », die alleen de eigenaar start: de route weigert de toegang aan de andere rollen, ook aan de beheerder. Haal het bestand op voor u sluit — daarna is het scherm niet meer bereikbaar. Het sluiten zelf komt de eigenaar toe, en hem alleen. Een beheerder regelt het team en de instellingen van elke dag; hij kan het bedrijf niet verwijderen, en hij kan zichzelf evenmin tot eigenaar bevorderen om er te geraken.

Hier staat precies wat het sluiten van een organisatie doet, en wat het niet doet.

De wissing van artikel 28, lid 3, g) slaat op de bestanden zoals op de rijen: wat de sluiting naar de prullenmand stuurt, neemt zijn documenten mee, en u houdt dertig dagen om alles terug te halen voor de opschoning de objecten uit de opslag haalt. Die dertig dagen zijn uw terugbezorgingsvenster: exporteer voor u sluit, of schrijf ons binnen die termijn. De export bevat de documenten zelf niet, alleen de rijen die ze beschrijven — vraag ze ons en wij bezorgen ze u. Na de dertig dagen kan niemand ze nog terugbezorgen.

Eén grens, om niet ruimer te beloven dan wat er staat. Die wissing loopt via de prullenmand: zij is het die het weghalen van de bestanden uit de opslag in gang zet. Een fysieke verwijdering van uw organisatie rechtstreeks in de databank zou de rijen weghalen zonder langs de opslag te gaan, en de bestanden zouden er blijven zonder dat iets ze nog aanwijst. Het platform doet enkel logische verwijderingen, en die weg bestaat in geen enkel scherm en in geen enkele geplande taak: het geval doet zich niet voor.

Twostack bewaart de kopieën die het Unierecht of het Belgisch recht haar oplegt bij te houden, en niets anders. Die kopieën blijven door deze overeenkomst beschermd tot ze gewist worden.

Een lid dat vertrekt, neemt uw dossiers niet mee

Elk van uw leden kan zijn eigen account verwijderen, wat zijn rol ook is: dat is zijn recht op wissing, en het hangt niet van u af. Die handeling wist de persoon — naam, e-mailadres, telefoonnummer, foto, voorkeuren, gekoppelde agenda, lidmaatschap van uw organisatie. Ze raakt uw dossiers niet. De opdrachten, de panden, de notities, de certificaten en de bezoekverslagen zijn uw gegevens: ze blijven, en alleen hun toewijzing wordt leeggemaakt. De opdracht draagt zijn naam niet meer, ze verdwijnt niet.

De geschiedenis van het dossier houdt dan een pseudonieme verwijzing naar de oude identificator bij, zonder koppeling naar wat dan ook. Ze noemt niemand en wijst niets meer aan, maar ze laat zien dat een reeks handelingen van dezelfde hand komt — wat u nodig hebt op de dag dat een klant een certificaat betwist. Ze verdwijnt vierentwintig maanden na het vertrek van die persoon. Na die termijn zegt de geschiedenis nog wat er gedaan is en wanneer, niet meer door wie.

Eén voorbehoud, en het telt voor een kantoor met meerdere certificateurs. Is de publieke pagina van uw organisatie gekoppeld aan het lid dat zijn account verwijdert, dan gaat ze met hem mee: ze wordt dezelfde dag gedepubliceerd en als verwijderd gemarkeerd. De organisatie blijft open, haar dossiers ook, maar haar etalage niet meer. Schrijf ons voor dat vertrek als de pagina moet blijven bestaan, of kijk in « Mijn pagina » na aan wie ze gekoppeld is.

U houdt de toegang in handen: « Uit de organisatie halen » haalt een lid uit uw ruimte zonder zijn account te raken, en de beheerder kan dat voor een gewone rol. Het eigendom wordt overgedragen aan een lid dat er al is, en wordt niet anders toegekend. Uw organisatie kan nooit zonder eigenaar blijven: de laatste in functie moet overdragen voor hij vertrekt, of de organisatie sluiten.

Twostack stelt u alle informatie ter beschikking die nodig is om de naleving van artikel 28 aan te tonen, om te beginnen dit document, het privacybeleid en de bijlage met de subverwerkers, die met het product bijgehouden worden.

U kunt een audit vragen, of hem laten uitvoeren door een onafhankelijke auditor die tot vertrouwelijkheid gehouden is en geen concurrent van Twostack is.

1. Richt het verzoek schriftelijk aan bonjour@certilio.be, met minstens dertig dagen vooropzeg en met de beoogde omvang.
2. De audit verloopt tijdens de kantooruren, zonder de uitbating te verstoren, en mag niet slaan op de gegevens van een andere klant van Certilio.
3. Eén audit per kalenderjaar is ten laste van Twostack. Daarboven, of bij een audit die zonder reden gevraagd wordt na een audit zonder vaststelling, zijn de kosten voor uw rekening.
4. Een audit na een gegevensinbreuk of na een bevel van de toezichthoudende autoriteit is van rechtswege mogelijk, zonder vooropzeg van dertig dagen en zonder kosten voor u.

Twostack brengt de toezichthoudende autoriteit en uzelf onmiddellijk op de hoogte als ze gehouden is te antwoorden op een bevel dat uw gegevens betreft, behalve wanneer de wet haar dat verbiedt.

Hier staan alleen de diensten die op 2 september 2026 werkelijk aangesloten zijn. Een dienst waarvan de code geschreven is maar waarvan de aansluiting niet bestaat, ontvangt geen enkel gegeven, en heeft niets te zoeken in een toestemming.

Wat geen subverwerking is

• De Europese VIES-dienst, bevraagd om een btw-nummer te controleren. Hij ontvangt het ingevoerde nummer en geeft de geregistreerde benaming terug. Hij wordt door de Europese Commissie uitgebaat.
• Het openbaar register van de erkende certificateurs van de Waalse Overheidsdienst, wekelijks opgehaald. Er wordt geen enkel gegeven naartoe gestuurd.
• Het adressenreferentiebestand BeSt Address, bevraagd vanuit onze eigen databank. Tijdens een adresopzoeking verlaat geen enkele oproep het platform.
• MapTiler, dat de achtergrondkaarten levert. Er vertrekt niets van onze servers: het is de browser van de bezoeker die de tegels laadt, en zijn IP-adres is dus zichtbaar voor MapTiler. Geen enkel gegeven uit uw dossiers passeert daarlangs.

Wat niet aangesloten is, en niets ontvangt

Het versturen van sms-berichten, de inning door u van uw eigen klanten, de routeberekening en de connectoren naar de makelaarssoftware Whise, SweepBright en Omnicasa staan in de code maar zijn op geen enkele leverancier aangesloten. Geen daarvan ontvangt vandaag een gegeven, en geen daarvan wordt geactiveerd zonder dat deze bijlage bijgewerkt is en de bezwaartermijn van dertig dagen verstreken.

De datum bovenaan de pagina is die van de versie die u bindt. Twostack werkt deze overeenkomst bij voor elke wijziging van het product die een gegeven, een termijn, een beveiligingsmaatregel of een subverwerker raakt — en brengt u per e-mail op de hoogte van een wezenlijke wijziging.

Bij tegenstrijdigheid tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor in alles wat de gegevensbescherming raakt. Het Belgisch recht is van toepassing, en de Gegevensbeschermingsautoriteit is de bevoegde toezichthoudende autoriteit.