AVG & Gegevensbescherming

1. Twee rollen: verwerker en verwerkingsverantwoordelijke

MMdev vervult onder de AVG twee verschillende rollen, afhankelijk van de situatie:

• Verwerkingsverantwoordelijke — voor persoonsgegevens die MMdev zelf verzamelt, zoals contactgegevens via het formulier op deze website
• Verwerker — voor persoonsgegevens die klanten invoeren in OBIS. In dat geval is de klant (gemeente of organisatie) de verwerkingsverantwoordelijke en treedt MMdev op als verwerker

2. AVG-compliance van OBIS

OBIS is gebouwd met privacy en gegevensbescherming als uitgangspunt. Hieronder een overzicht van de maatregelen die MMdev heeft getroffen:

3. Subverwerkers

MMdev maakt bij de levering van OBIS gebruik van de volgende subverwerkers:

Subverwerker	Rol	Locatie data	Doel
Microsoft Azure	Cloudprovider	West-Europa (Nederland / Ierland)	Hosting, opslag, authenticatie
Microsoft Entra ID	Identiteitsprovider	West-Europa	Gebruikersbeheer en toegangscontrole

MMdev informeert klanten voorafgaand aan wijzigingen in het gebruik van subverwerkers. Klanten hebben het recht bezwaar te maken tegen nieuwe subverwerkers.

4. Verwerkersovereenkomst

Bij elke OBIS-licentie sluit MMdev een verwerkersovereenkomst met de klant. Deze overeenkomst regelt:

• De aard, het doel en de duur van de verwerking
• De categorieën persoonsgegevens en betrokkenen
• De rechten en plichten van beide partijen
• Beveiligingsmaatregelen en subverwerkers
• Procedure bij datalekken
• Verwijdering van gegevens na beëindiging

Neem contact op via marijn@mm-dev.nl om een verwerkersovereenkomst aan te vragen of in te zien.

5. Datalekken

MMdev beschikt over een intern meldprotocol voor beveiligingsincidenten. Bij een datalek dat persoonsgegevens van een klant betreft:

• Informeert MMdev de klant zonder onredelijke vertraging, en uiterlijk binnen 24 uur na ontdekking
• Verstrekt MMdev minimaal: aard van het incident, categorieën betrokkenen, waarschijnlijke gevolgen en getroffen maatregelen
• Is de klant (als verwerkingsverantwoordelijke) verantwoordelijk voor de melding aan de Autoriteit Persoonsgegevens indien vereist

6. Rechten van betrokkenen

Betrokkenen waarvan MMdev persoonsgegevens verwerkt als verwerkingsverantwoordelijke (websitebezoekers, contactpersonen) kunnen een beroep doen op hun AVG-rechten via marijn@mm-dev.nl. MMdev reageert binnen 30 dagen.

Voor persoonsgegevens verwerkt in OBIS (waarbij de klant verwerkingsverantwoordelijke is) dienen betrokkenen zich te wenden tot de betreffende organisatie. MMdev verleent medewerking aan klanten bij het afhandelen van dergelijke verzoeken.

7. Bewaartermijnen in OBIS

• Objectdata en financiële gegevens: voor de duur van de licentieovereenkomst
• Gebruikersactiviteitslogboeken: maximaal 12 maanden
• Alle gegevens na beëindiging: verwijderd binnen 30 dagen, tenzij wettelijke bewaartermijn anders vereist

8. Contact voor AVG-vragen

Voor vragen over gegevensbescherming, het aanvragen van een verwerkersovereenkomst of het uitoefenen van uw rechten:

• E-mail: marijn@mm-dev.nl
• Post: MMdev, t.a.v. AVG, Borredreef 7, 5251 AE Vlijmen

U kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.