Data Processing Addendum (DPA) — AmmoSuite Register

Laatste update: 30 oktober 2026

Dit Data Processing Addendum ("DPA") beschrijft hoe AmmoSuite Register persoonsgegevens verwerkt in opdracht van de klant, in het kader van het leveren van de AmmoSuite Register-dienst (de "Dienst"). Dit DPA is Bijlage 1 (Verwerkersovereenkomst) bij de Algemene voorwaarden. Zie ook de Privacyverklaring.

1. Partijen en rollen

Klant: de organisatie die de Dienst gebruikt en bepaalt welke persoonsgegevens worden verwerkt (verwerkingsverantwoordelijke / "controller").
AmmoSuite, handelsnaam van Davy Bammens (eenmanszaak), Zonhovenstraat 39, 3500 Hasselt, ondernemingsnummer 0699.928.640: levert de Dienst AmmoSuite Register (hierna in dit DPA ook "AmmoSuite Register") en verwerkt persoonsgegevens uitsluitend in opdracht van de klant (verwerker / "processor").

2. Onderwerp, aard en doel van de verwerking

AmmoSuite Register verwerkt persoonsgegevens om de Dienst te kunnen leveren, onderhouden en beveiligen, waaronder: accountbeheer, authenticatie, logging/audit, back-ups, herstel bij incidenten en support. AmmoSuite Register verwerkt gegevens niet voor eigen onafhankelijke doeleinden (bv. advertentieprofilering).

3. Categorieën persoonsgegevens

Afhankelijk van het gebruik kunnen (o.a.) volgende gegevens verwerkt worden:

Gebruikersgegevens: naam, e-mail, rol/permissions, (optioneel) telefoon.
Technische en beveiligingsgegevens: IP-adres, sessie-identifiers, loggegevens, device/browser info.
Klantinhoud: gegevens die door de klant en gebruikers worden ingevoerd in het register (inhoud en metadata).

4. Categorieën betrokkenen

Gebruikers van de Dienst (medewerkers, beheerders, auditors met read-only toegang).
Personen waarvan gegevens door de klant in de Dienst worden ingevoerd ("Klantinhoud").

5. Duur van de verwerking

De verwerking loopt gedurende de looptijd van het abonnement en/of zolang de testomgeving actief is. Na het einde van de overeenkomst kan de klant zijn gegevens nog 30 dagen exporteren. Daarna verwijdert AmmoSuite de gegevens; uit de back-ups verdwijnen ze binnen 30 dagen, tenzij een wettelijke bewaarplicht van toepassing is. Op verzoek bevestigt AmmoSuite de verwijdering schriftelijk. Een klant die zijn registers wettelijk langer moet bewaren, is zelf verantwoordelijk voor het bewaren van die export.

6. Instructies en vertrouwelijkheid

AmmoSuite verwerkt persoonsgegevens uitsluitend op schriftelijke instructies van de klant. Deze overeenkomst en de instellingen die de klant in de Dienst kiest, gelden als zulke instructies. Acht AmmoSuite een instructie onrechtmatig, dan meldt AmmoSuite dat aan de klant. AmmoSuite verwerkt de gegevens niet voor eigen doeleinden, met uitzondering van geanonimiseerde, geaggregeerde gebruiksstatistieken waarin geen klant of persoon herkenbaar is.

Iedereen die voor AmmoSuite werkt en toegang heeft tot de persoonsgegevens, is tot geheimhouding verplicht. Die toegang wordt enkel gebruikt wanneer dat nodig is voor support, onderhoud of beveiliging.

7. Beveiligingsmaatregelen

AmmoSuite Register neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen, waaronder:

Versleutelde verbindingen (TLS) tussen gebruikers en het platform.
Wachtwoorden worden gehasht opgeslagen; na herhaalde mislukte aanmeldpogingen wordt een account tijdelijk geblokkeerd.
Optionele tweefactorauthenticatie via een authenticator-app, met herstelcodes; aanbevolen voor beheerders.
Een aparte database per klant.
Rolgebaseerde toegangsrechten, beheerd door de klant.
Een activiteitenlog.
Privé-documenten zijn enkel te downloaden na aanmelding.
Dagelijkse back-ups, die 30 dagen bewaard worden.
Hosting in een beveiligd datacenter in de EU, met versleuteling van de databank en fysieke toegangscontrole bij de hostingpartner.
De databank is niet publiek bereikbaar: de applicatie verbindt ermee via een afgeschermd privénetwerk. Serverbeheer gebeurt enkel via SSH met sleutels.

AmmoSuite mag deze maatregelen aanpassen, op voorwaarde dat het beschermingsniveau niet daalt.

8. Subverwerkers

De klant geeft AmmoSuite algemene toestemming om de volgende subverwerkers in te schakelen:

DigitalOcean, LLC (Verenigde Staten): hosting van servers, databanken, bestanden en back-ups. De gegevens staan in het datacenter in Amsterdam (Nederland). Grond voor doorgifte: het EU-VS Data Privacy Framework, met standaardcontractbepalingen als terugvaloptie (DPA van DigitalOcean).
SMTP2GO (Sand Dune Mail Ltd, Nieuw-Zeeland): verzenden van e-mails vanuit de Dienst, gehost in de EU. Voor eventuele toegang vanuit Nieuw-Zeeland geldt het adequaatheidsbesluit van de Europese Commissie.

Subverwerkers krijgen enkel toegang tot persoonsgegevens voor zover nodig en onder passende contractuele waarborgen. Een nieuwe of vervangende subverwerker melden we minstens 30 dagen vooraf; de klant kan binnen die termijn gemotiveerd bezwaar maken.

9. Bijstand bij rechten van betrokkenen

De Dienst bevat ingebouwde functies waarmee de klant gegevens kan inzien, corrigeren, exporteren en verwijderen. Ontvangt AmmoSuite zelf een verzoek van een betrokkene, dan stuurt AmmoSuite dat binnen 5 werkdagen door naar de klant en beantwoordt AmmoSuite het niet zelf. AmmoSuite verleent redelijke bijstand bij een gegevensbeschermingseffectbeoordeling (DPIA) of bij een vraag van de gegevensbeschermingsautoriteit. Bijstand die verder gaat dan het standaardplatform kan aangerekend worden aan het gebruikelijke uurtarief.

10. Databreach / beveiligingsincident

Bij een inbreuk in verband met persoonsgegevens ("datalek") informeert AmmoSuite de klant zonder onredelijke vertraging en uiterlijk 48 uur nadat AmmoSuite het datalek ontdekt heeft. AmmoSuite vermeldt daarbij, voor zover bekend:

wat er gebeurd is;
welke gegevens en hoeveel betrokkenen getroffen zijn;
de vermoedelijke gevolgen;
de genomen of voorgestelde maatregelen.

Ontbrekende informatie volgt zo snel mogelijk. De klant beslist of het datalek gemeld wordt aan de gegevensbeschermingsautoriteit en aan de betrokkenen; AmmoSuite doet dat niet in naam van de klant.

11. Audit en informatie

Op verzoek, en maximaal één keer per jaar, bezorgt AmmoSuite de klant de informatie die nodig is om de naleving van dit DPA aan te tonen, waaronder beschikbare auditrapporten van de hostingpartner, voor zover die partner dat toelaat. Volstaat die informatie niet, dan kan de klant een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding verplicht is, na een aankondiging van minstens 30 dagen en op kosten van de klant.

12. Aansprakelijkheid

Voor de aansprakelijkheid onder dit DPA geldt artikel 13 van de Algemene voorwaarden, onverminderd artikel 82 AVG.

13. Contact

Vragen over dit DPA? Contacteer contact@ammosuite.com.
Ondernemingsnummer: 0699.928.640.