De Duitse versie is juridisch bindend.

Overeenkomst inzake verwerking in opdracht (art. 28 AVG)

Versie 2026-10, stand: 13 oktober 2026.

Deze overeenkomst (hierna „ADV”, verwerkersovereenkomst) geldt tussen de Klant en de in het colofon (Impressum) genoemde aanbieder van todo.monster. De Klant is verwerkingsverantwoordelijke (art. 4 nr. 7 AVG): hij beslist welke gegevens in todo.monster terechtkomen en waarvoor. De Aanbieder is verwerker (art. 4 nr. 8 AVG): hij slaat deze gegevens uitsluitend voor de Klant op en verwerkt ze uitsluitend voor hem. Wie de partijen zijn en wie hen vertegenwoordigt, volgt uit de gebruiksovereenkomst over todo.monster (hierna „Hoofdovereenkomst”: de algemene voorwaarden met het geboekte tarief of een pilotovereenkomst).

Toepassingsgebied en rangorde

(1) todo.monster is uitsluitend bestemd voor ondernemers (§ 14 BGB). Deze ADV wordt bij de registratie samen met de algemene voorwaarden gesloten. Zij treedt in werking zodra in de projecten, bedrijfsgedeelten, postvakken of kalenders van de Klant gegevens van andere personen staan, bijvoorbeeld de naam van een prospect in een taak, een leverancier als afzender van een e-mail of de deelnemers aan een afspraak. Verwerkt de Klant daar uitsluitend eigen gegevens, dan roept deze ADV geen verplichtingen in het leven.

(2) Voor sommige zaken is de Aanbieder zelf verwerkingsverantwoordelijke en geen verwerker: voor het gebruikersaccount van elke afzonderlijke persoon, de aanmelding, de facturering, de registraties van instemmingen, de beveiliging en misbruikbestrijding van de Dienst, het pilot- en onboardingprogramma en de systeem-e-mails aan accounthouders. Deze verwerkingen behoren niet tot de opdracht; zij staan in de privacyverklaring.

(3) Spreken deze ADV en de Hoofdovereenkomst elkaar tegen, dan geldt in kwesties van gegevensbescherming deze ADV. Een pilotovereenkomst mag deze ADV aanvullen, maar geen verplichting eruit afzwakken.

(4) Bindend is uitsluitend de Duitse versie. Vertalingen helpen bij het begrip; bij afwijkingen geldt de Duitse tekst.

(5) De Klant sluit deze ADV elektronisch (art. 28 lid 9 AVG) door haar bij de registratie te bevestigen. Boekt hij later een bedrijfstarief of een pilotovereenkomst, dan bevestigt hij de dan geldende versie nogmaals. Bij elke bevestiging slaat de Aanbieder versie, tijdstip en een controlesom van de bevestigde tekst op.

§ 1 Voorwerp en duur

(1) De Aanbieder stelt todo.monster als software via het internet aan de Klant ter beschikking. Daartoe behoren: taken en projecten, tijdregistratie, opmerkingen en bijlagen, bedrijfspostvakken alsmede postvakken en kalenders die de Klant of zijn gebruikers koppelen, meldingen, de AI-omzetting van een e-mail in een taak (alleen wanneer een gebruiker die activeert) en foutmeldingen met schermafbeelding. Verwerken betekent daarbij: opslaan, weergeven, overdragen aan de door de Klant gekozen tegenpartijen (bijvoorbeeld een antwoord via het gekoppelde postvak verzenden), back-uppen, in de prullenbak plaatsen en helpen bij de support. Wat er precies met welke gegevens gebeurt, staat in Bijlage A.

(2) Deze ADV loopt zolang als de Hoofdovereenkomst. Zij eindigt pas wanneer de gegevens volgens § 11 zijn teruggegeven of verwijderd.

§ 2 Aard en doel van de verwerking, soorten gegevens, betrokkenen

Wat de Aanbieder met welke gegevens doet, met welk doel, om welke soorten gegevens het gaat en welke personen betrokken zijn, staat in Bijlage A, geordend naar de functies van de Dienst.

§ 3 Instructies

(1) De Aanbieder verwerkt de gegevens van de Klant uitsluitend om de Dienst overeenkomstig de overeenkomst te leveren, en uitsluitend zoals de Klant dat via deze overeenkomst, de AV en het gebruik van de Dienst bepaalt. Elke invoer, instelling en activering van een functie in de Dienst geldt als instructie. Alleen wanneer een wet van de EU of van Duitsland de Aanbieder tot een andere verwerking verplicht, bijvoorbeeld tot afgifte aan een autoriteit of tot bewaring van factuurgegevens, mag hij daarvan afwijken. In dat geval informeert hij de Klant vooraf, tenzij de wet dat verbiedt.

(2) Instructies zijn bijvoorbeeld: een taak aanmaken, wijzigen of verwijderen; een lid of een gast uitnodigen; een postvak of een kalender van een derde aanbieder koppelen; de AI-functie voor één enkele e-mail starten; een foutmelding met schermafbeelding versturen; een gegevensexport starten. De Aanbieder doet dan precies wat de functie belooft, en niets daarbovenop.

(3) Wenst de Klant iets wat geen functie in de Dienst dekt, bijvoorbeeld het herstel van een project dat hij in de prullenbak niet meer terugvindt, dan stuurt hij de instructie in tekstvorm naar support@todo.monster. Instructies geeft de Klant zelf; voor een bedrijf in todo.monster zijn eigenaar en de in het bedrijfsbeheer benoemde beheerders. De Aanbieder bevestigt de ontvangst en legt vast wat hij wanneer heeft uitgevoerd.

(4) Herstel: verwijderde projecten, modules, taken, postvakken en kalenders blijven gedurende de in Bijlage B, punt 3 genoemde termijn in de prullenbak. Daar halen de Klant en zijn bevoegde gebruikers ze zelf terug. Vraagt de Klant de Aanbieder om een herstel, dan is dat een instructie volgens lid 3. De Aanbieder voert haar uit wanneer de gegevens technisch nog aanwezig zijn; een termijn of een resultaat kan hij niet beloven. Welke gegevens de Aanbieder daarbij ziet, staat in Bijlage B, punt 5.

(5) Acht de Aanbieder een instructie in strijd met de AVG of een andere wet inzake gegevensbescherming, dan meldt hij dat onmiddellijk aan de Klant. Totdat de Klant de instructie bevestigt of wijzigt, mag de Aanbieder haar onuitgevoerd laten.

§ 4 Verplichtingen van de Klant

(1) De Klant is ervoor verantwoordelijk dat hij de gegevens überhaupt mag verwerken: hij heeft een rechtsgrondslag nodig, informeert de betrokkenen en beantwoordt hun verzoeken. Voorbeeld: maakt een medewerker van de Klant een taak aan met naam en telefoonnummer van een prospect, dan moet de Klant dat tegenover de prospect kunnen rechtvaardigen, niet de Aanbieder.

(2) Beheert de Klant een bedrijf in todo.monster, dan wijst hij de rollen (eigenaar, beheerder, lid, gast) zelf toe en trekt hij ze in wanneer iemand vertrekt. Hij maakt zijn gebruikers duidelijk dat hun inhoud in bedrijfsgedeelten aan het bedrijf toebehoort.

(3) Koppelt de Klant of een van zijn gebruikers een postvak of een kalender van een derde aanbieder, bijvoorbeeld een Microsoft-account, dan heeft de Klant deze ontvanger gekozen. Hij draagt de verantwoordelijkheid ervoor dat de gegevens daarheen mogen, ook wanneer de derde aanbieder ze buiten de Europese Economische Ruimte verwerkt (§ 13 lid 3).

(4) De AI-functie zet een e-mail alleen dan in een taak om wanneer een gebruiker dat voor precies die e-mail in gang zet; elke gebruiker kan de functie voor zichzelf uitschakelen. De Klant beslist of zijn gebruikers haar mogen gebruiken, en is verantwoordelijk voor de rechtsgrondslag tegenover zijn gebruikers en de afzenders van de e-mails. Zijn eigen rol daarbij beschrijft de Aanbieder in de privacyverklaring.

(5) Niet bedoeld voor todo.monster zijn bijzondere categorieën van gegevens (art. 9 AVG, zoals gezondheidsgegevens), gegevens over strafbare feiten (art. 10 AVG) en gegevens die onder een beroepsgeheim vallen (§ 203 StGB, Duits Wetboek van Strafrecht, zoals cliëntdossiers van een advocatenkantoor). Wil de Klant zulke gegevens toch laten verwerken, dan stemt hij dat vooraf in tekstvorm met de Aanbieder af.

(6) De Klant houdt het e-mailadres van zijn account actueel, bij een bedrijf dat van de bedrijfseigenaar. Naar dit adres gaan de mededelingen volgens § 7 en § 10.

§ 5 Vertrouwelijkheid

Alle personen die bij de Aanbieder met de gegevens van de Klant kunnen omgaan, zijn schriftelijk tot geheimhouding verplicht of vallen onder een wettelijke geheimhoudingsplicht (art. 28 lid 3 onder b AVG). De verplichting blijft ook na het einde van hun werkzaamheden gelden. Tot inhoud van de Klant hebben zij hoe dan ook alleen toegang in de gevallen die Bijlage B, punt 5 limitatief noemt.

§ 6 Technische en organisatorische maatregelen

(1) De Aanbieder beschermt de gegevens met de maatregelen in Bijlage B (art. 32 AVG), bijvoorbeeld door versleutelde opslag van taakteksten en door een rollenmodel dat elk verzoek aan de serverzijde controleert. Deze maatregelen zijn de minimumstandaard waarover de partijen het bij het sluiten van de overeenkomst eens zijn.

(2) De Aanbieder mag de maatregelen verder ontwikkelen, zolang de bescherming daardoor niet slechter wordt. Wezenlijke wijzigingen legt hij vast; de telkens actuele versie van Bijlage B staat op deze pagina.

§ 7 Subverwerkers

(1) De Aanbieder mag de in Bijlage C, deel 1 genoemde ondernemingen inzetten, bijvoorbeeld de hoster bij wie de database draait. Met de registratie keurt de Klant deze lijst goed (algemene toestemming, art. 28 lid 2 AVG).

(2) Wil de Aanbieder een verdere onderneming toevoegen of een onderneming vervangen, dan stuurt hij de Klant vooraf een systeem-e-mail naar het adres volgens § 4 lid 6 en actualiseert hij Bijlage C. De Klant heeft 30 dagen vanaf ontvangst de tijd om op gronden van gegevensbescherming in tekstvorm bezwaar te maken. Daarvóór wordt de wissel voor hem niet van kracht.

(3) Maakt de Klant bezwaar, dan mag hij de Hoofdovereenkomst opzeggen tegen het tijdstip waarop de wissel van kracht wordt. Teruggave en verwijdering richten zich naar § 11.

(4) Ook een wissel van de dienst die het taalmodel voor de AI-functie levert, is een wissel volgens lid 2, zelfs wanneer de Aanbieder daarvoor slechts een instelling wijzigt.

(5) Elke subverwerker legt de Aanbieder per overeenkomst dezelfde verplichtingen inzake gegevensbescherming op die hij zelf in deze ADV heeft, vooral toereikende beschermingsmaatregelen (art. 28 lid 4 AVG). Verzuimt een subverwerker iets, dan is de Aanbieder daarvoor tegenover de Klant aansprakelijk als voor een eigen verzuim.

(6) Geen subverwerkers zijn de ontvangers in Bijlage C, deel 2, die geen gegevens uit de opdracht krijgen, en de diensten in Bijlage C, deel 3, die de Klant of zijn gebruikers zelf koppelen.

§ 8 Ondersteuning bij de rechten van betrokkenen

(1) Vraagt een persoon de Klant om inzage, rectificatie, wissing, beperking of overdracht van haar gegevens of maakt zij bezwaar tegen de verwerking (hoofdstuk III AVG), dan helpt de Aanbieder de Klant het verzoek te beantwoorden (art. 28 lid 3 onder e AVG). Eerste middel zijn de functies van de Dienst: zoeken en weergeven, bewerken en verwijderen van inhoud, verwijderen van leden en gasten en de gegevensexport (§ 11 lid 3). Voorbeeld: verlangt een vroegere zakenpartner inzage, dan zoekt de Klant zelf in zijn projecten en postvakken naar diens naam. Volstaat dat niet, dan helpt de Aanbieder op verzoek in tekstvorm; daarvoor mag hij een redelijke vergoeding naar inspanning verlangen, tenzij het verzoek terug te voeren is op een fout van de Aanbieder.

(2) Wendt een persoon zich rechtstreeks tot de Aanbieder en gaat het om gegevens die de Aanbieder voor de Klant verwerkt, dan stuurt de Aanbieder het verzoek onmiddellijk door naar de Klant en beantwoordt hij het niet zelf. Aan de persoon laat hij weten dat hij het heeft doorgestuurd.

§ 9 Ondersteuning bij de verplichtingen volgens art. 32 tot en met 36 AVG

De Aanbieder helpt de Klant zijn verplichtingen uit art. 32 tot en met 36 AVG na te komen (art. 28 lid 3 onder f AVG): bij de beveiliging van de verwerking door de maatregelen in Bijlage B, bij datalekken door de melding volgens § 10 en met informatie over de verwerking wanneer de Klant een gegevensbeschermingseffectbeoordeling uitvoert of zijn toezichthoudende autoriteit vooraf moet raadplegen. Daarbij houdt hij rekening met wat hij over de verwerking weet en hoe zij verloopt. Verzoeken gaan in tekstvorm naar support@todo.monster.

§ 10 Melding van inbreuken in verband met persoonsgegevens

(1) Verneemt de Aanbieder van een inbreuk in verband met persoonsgegevens die gegevens van de Klant betreft, zoals een ongeoorloofde toegang tot de database of een lek in een back-up, dan meldt hij dat onverwijld aan de Klant op het adres volgens § 4 lid 6 (art. 33 lid 2 AVG). Hij meldt zo snel dat de Klant zijn eigen termijn van 72 uur tegenover de toezichthoudende autoriteit (art. 33 lid 1 AVG) kan naleven.

(2) De melding bevat, voor zover de Aanbieder het al weet: wat er is gebeurd, welke soorten gegevens en ongeveer hoeveel personen en gegevensrecords betrokken zijn, welke gevolgen waarschijnlijk zijn, wat de Aanbieder heeft gedaan en voorstelt, en wie bij de Aanbieder aanspreekpunt is (art. 33 lid 3 AVG). Wat hij nog niet weet, levert hij na zodra hij het weet.

(3) De Aanbieder stelt de gegevens onmiddellijk veilig, beperkt de schade en stemt de verdere stappen met de Klant af.

§ 11 Einde van de opdracht, teruggave en verwijdering

(1) Voor een bedrijf eindigt de opdracht wanneer het bedrijfstarief of de pilotovereenkomst wordt opgezegd of anderszins beëindigd zonder dat direct een ander bedrijfstarief aansluit, of wanneer het bedrijf wordt ontbonden (hierna „einde van de overeenkomst”). Een wissel tussen bedrijfstarieven of van de pilotovereenkomst naar een bedrijfstarief beëindigt de opdracht niet. Voor een Klant zonder bedrijf eindigt de opdracht wanneer hij zijn account verwijdert; het verloop beschrijft de privacyverklaring.

(2) Na het einde van de overeenkomst kan de bedrijfseigenaar de gegevens van het bedrijf nog 30 dagen lang lezen en exporteren. In deze tijd haalt hij de gegevens via de bedrijfsexport zelf terug. Wil de Klant de gegevens in plaats daarvan onmiddellijk verwijderd hebben, dan schrijft hij dat in tekstvorm aan de Aanbieder; de Aanbieder verwijdert dan onverwijld. Zo heeft de Klant de keuze tussen teruggave en verwijdering (art. 28 lid 3 onder g AVG).

(3) De bedrijfsexport is de weg van de teruggave: de bedrijfseigenaar downloadt een archief in gangbare, machineleesbare formaten (JSON, CSV) met projecten, modules, taken, opmerkingen, tijdregistraties, toewijzingen, tags, herhalingsregels, wijzigingshistorie en bijlagen. Niet inbegrepen zijn inhoud van bedrijfspostvakken en gekoppelde postvakken, kalenders en afspraken, facturen en bewijsstukken alsmede profielen van andere personen. Heeft de Klant postvak- of kalenderinhoud nodig, dan vraagt hij die binnen de 30 dagen uit lid 2 in tekstvorm aan; de Aanbieder stelt die binnen 30 dagen na ontvangst ter beschikking, voor zover zij nog aanwezig is. Klanten zonder bedrijf gebruiken de persoonlijke gegevensexport met dezelfde omvang voor hun eigen projecten.

(4) Facturen en bewijsstukken die de Aanbieder als verwerkingsverantwoordelijke aan de Klant heeft uitgereikt, blijven te allen tijde in het account opvraagbaar; zij behoren niet tot de opdracht.

(5) 60 dagen na het einde van de overeenkomst verwijdert een automatische opruimrun de gegevens van het bedrijf inclusief prullenbak, voor zover geen wet een langere bewaring verlangt. In de back-ups van de hoster worden de gegevens binnen nog eens 30 dagen overschreven. Een back-up die verwijderde gegevens bevat, wordt alleen na een storing teruggezet; daarna voert de Aanbieder reeds uitgevoerde verwijderingen opnieuw uit.

(6) De persoonlijke accounts van de leden en gasten blijven door het einde van de overeenkomst onverlet; hun eigen gegevens buiten het bedrijf blijven in hun accounts. Niet verwijderd worden gegevens die de Aanbieder als verwerkingsverantwoordelijke moet bewaren: facturen en bewijsstukken (§ 147 AO, § 257 HGB), registraties van instemmingen en auditlogboeken zonder inhoudsgegevens. Voor deze gegevens geldt na het einde van de overeenkomst niet meer deze ADV, maar de privacyverklaring.

(7) Op verzoek bevestigt de Aanbieder de verwijdering in tekstvorm. Totdat teruggave en verwijdering zijn afgerond, blijft deze ADV gelden.

§ 12 Bewijzen en bijdragen aan controles

(1) De Klant mag controleren of de Aanbieder deze ADV naleeft (art. 28 lid 3 onder h AVG). De Aanbieder verstrekt hem daarvoor alle nodige informatie en werkt mee aan controles die de Klant zelf of een door hem aangewezen, tot geheimhouding verplichte controleur uitvoert.

(2) De controle verloopt via documenten: op verzoek stelt de Aanbieder de actuele versie van de Bijlagen B en C ter beschikking, een eigen verklaring over de maatregelen in Bijlage B, de bewijzen, rapporten en certificaten van zijn hoster en zijn overige subverwerkers alsmede antwoorden op vragen van de Klant in tekstvorm. Een controle ter plaatse bij de Aanbieder of bij zijn subverwerkers is niet voorzien. Aan controles van een toezichthoudende autoriteit werkt de Aanbieder onverminderd mee.

(3) De Aanbieder mag bedrijfsgeheimen en de gegevens van andere klanten beschermen en de informatie beperken tot de systemen en documenten die de Klant betreffen.

§ 13 Plaats van verwerking en derde landen

(1) De Aanbieder en zijn subverwerkers in Bijlage C, deel 1 verwerken de gegevens van de Klant uitsluitend in Duitsland.

(2) Naar een land buiten de EU en de Europese Economische Ruimte draagt de Aanbieder uit eigen beweging niets over. Zou hij dat ooit willen, dan zou dat een wissel volgens § 7 lid 2 zijn, en zou aan de voorwaarden van art. 44 e.v. AVG moeten zijn voldaan.

(3) Anders ligt het bij diensten die de Klant of zijn gebruikers zelf met todo.monster koppelen (Bijlage C, deel 3): postvakken via IMAP en SMTP, kalenders via CalDAV alsmede Google- en Microsoft-kalenders. Daarheen draagt de Aanbieder alleen over wat de functie nodig heeft, bijvoorbeeld een in de Dienst aangemaakte afspraak naar de gekoppelde kalender. Of zo'n dienst gegevens buiten de Europese Economische Ruimte verwerkt, hangt af van de gekozen dienst; bij Google en Microsoft moet met een verwerking in de VS rekening worden gehouden. Dat deze overdracht toelaatbaar is en de nodige waarborgen bestaan, is de verantwoordelijkheid van de Klant (§ 4 lid 3).

§ 14 Aansprakelijkheid en slotbepalingen

(1) Voor de aansprakelijkheid van de partijen geldt de aansprakelijkheidsclausule van de algemene voorwaarden. De wettelijke aansprakelijkheid tegenover betrokkenen volgens art. 82 AVG blijft daardoor onverlet.

(2) Wijzigingen van deze ADV vereisen tekstvorm. De Aanbieder mag haar wijzigen wanneer de verwerking, de subverwerkers of de rechtstoestand veranderen; hij informeert de Klant per systeem-e-mail ten minste 30 dagen van tevoren. Voor Bijlage C geldt § 7 lid 2.

(3) Duits recht is van toepassing. Bevoegde rechtbank is Berlijn wanneer de Klant koopman (Kaufmann), publiekrechtelijke rechtspersoon of publiekrechtelijk bijzonder vermogen is.

(4) Is een bepaling van deze ADV ongeldig, dan blijven de overige geldig; in haar plaats treedt de wettelijke regeling.

Bijlage A: Voorwerp van de verwerking

1. Functies en doeleinden

De Aanbieder verwerkt de gegevens van de Klant om de volgende functies voor de Klant en zijn bedrijf ter beschikking te stellen. Een functie verwerkt alleen dan gegevens wanneer de Klant of zijn gebruikers haar gebruiken.

2. Categorieën van betrokkenen

• De Klant zelf alsmede eigenaar, beheerders en leden van zijn bedrijf (werknemers, opdrachtnemers, gemachtigden).
• Projectgasten en uitgenodigde externen: personen zonder eigen plaats in het bedrijf die de Klant of zijn gebruikers in projecten uitnodigen, ook degenen van wie de uitnodiging nog openstaat. Hun inhoud in de projecten van de Klant zijn gegevens van de Klant. Voor hun eigen gebruikersaccount bij todo.monster zijn zij gebruikers van de Aanbieder; daarvoor geldt de privacyverklaring.
• Afzenders en ontvangers van e-mails in bedrijfspostvakken en gekoppelde postvakken alsmede personen die in berichten worden genoemd.
• Deelnemers aan kalenderafspraken.
• Klanten, zakenpartners, leveranciers en overige derden van wie gebruikers van de Klant gegevens vastleggen in taken, opmerkingen, bijlagen, tijdregistraties, toepassingsnotities of schermafbeeldingen.

3. Duur

De verwerking duurt zolang als de Hoofdovereenkomst, tot de teruggave of verwijdering volgens § 11. Binnen de looptijd gelden de termijnen in Bijlage B, punt 3 voor de prullenbak en voor logboeken.

Bijlage B: Technische en organisatorische maatregelen (art. 32 AVG)

De maatregelen zijn beschreven naar hun plaats: in de Dienst (door de Aanbieder ontwikkeld en geëxploiteerd), bij de hoster (door de subverwerker in Bijlage C, deel 1) of organisatorisch bij de Aanbieder. De Aanbieder zegt alleen maatregelen toe die zijn ingericht.

1. Vertrouwelijkheid

• Fysieke toegang en toegang bij de hoster: De servers staan in datacenters van de hoster in Duitsland met toegangsbeveiliging en toegangscontrole volgens diens beveiligingsconcept; de Aanbieder stelt het op verzoek als bewijs ter beschikking (§ 12). De Aanbieder zelf heeft geen fysieke toegang.
• Toegang tot de Dienst: Aanmelding met e-mailadres en wachtwoord of via een aanmeldlink naar het opgeslagen e-mailadres. Wachtwoorden worden alleen als hash opgeslagen; nieuwe wachtwoorden moeten aan minimumeisen voldoen en worden tegen bekende datalekken gecontroleerd zonder dat het wachtwoord de Dienst verlaat. Aanmeldpogingen zijn per afzenderadres en per account begrensd. Sessies verlopen na twee uur zonder activiteit; sessiecookies gelden alleen via HTTPS en zijn voor scripts ontoegankelijk. Toegangstokens van de mobiele app en van de programmeerinterface verlopen na 30 dagen en kunnen te allen tijde worden ingetrokken.
• Toegang binnen de Dienst: Rollenmodel per bedrijf (eigenaar, beheerder, lid, gast) en per project; elke lees- en schrijftoegang tot taken, projecten en bedrijven controleert de server aan de hand van centrale autorisatieregels. Een beheeraccount van de Aanbieder kan beschrijvingen, opmerkingen, bijlagen, postvak- en kalenderinhoud niet lezen; wat het ziet, staat limitatief in punt 5.
• Scheiding: De gegevens van alle klanten staan in één gemeenschappelijke database en zijn logisch gescheiden via de toewijzing aan bedrijf en project; deze toewijzing bepaalt de server en neemt hij nooit uit een verzoek over. Ontwikkeling, test en productie zijn gescheiden systemen; de ontwikkelomgeving is bovendien door een toegangsblokkade beschermd en bevat geen productiegegevens.
• Versleuteling van opgeslagen gegevens: Titels en beschrijvingen van projecten en taken, opmerkingen, onderwerp en tekst van e-mails, afspraakinhoud alsmede toegangsgegevens van gekoppelde postvakken en kalenders liggen aan de serverzijde versleuteld opgeslagen (AES-256); wachtwoorden worden alleen als Argon2id-hash opgeslagen. Het is een versleuteling aan de serverzijde, geen end-to-endversleuteling: de Aanbieder kan technisch toegang krijgen tot de gegevens; wanneer hij dat doet, staat in punt 5.
• Versleuteling van de overdracht: De Dienst is alleen via HTTPS bereikbaar (omleiding en HSTS); verbindingen met postvakken, kalenders, het taalmodel, de meldserver en de betaaldienst zijn transportversleuteld.
• Vertrouwelijkheid van de personen: Alle personen die bij de Aanbieder toegang tot productiesystemen hebben, zijn schriftelijk tot vertrouwelijkheid verplicht.

2. Integriteit

• Invoercontrole: Wijzigingen aan taken worden met bewerker, tijdstip, oude en nieuwe waarde in een historie vastgelegd. Beheerhandelingen in het bedrijf (rollen, uitnodigingen, postvakken, ontbinding) staan in het auditlogboek van het bedrijf. Aanmeldingen worden met tijdstip, afzenderadres en client vastgelegd. Toegangen van de Aanbieder volgens punt 5 worden gelogd.
• Bescherming van de toepassing: Bescherming tegen vervalste verzoeken (CSRF) door sessietokens; opschoning van opgemaakte invoer aan de serverzijde; consequent escapen van uitvoer; beveiligingsheaders tegen inbedding in vreemde pagina's en tegen het raden van typen alsmede voor de sturing van de referrer. Bijlagen worden alleen aanvaard wanneer bestandsextensie en herkend inhoudstype bij elkaar passen; zij liggen onder willekeurige namen buiten de webroot en worden met een isolerend beveiligingsbeleid uitgeleverd. Profielfoto's worden zonder metadata opnieuw gecodeerd.
• Doorgiftecontrole: Gegevens verlaten de Dienst alleen naar de in Bijlage C genoemde instanties en alleen in de daar beschreven omvang; naar het taalmodel gaan geen bijlagen, naar de betaaldienst geen inhoudsgegevens; boekhoud- en bankgegevens van de Aanbieder verlaten het systeem niet. Beheer- en databasetoegangen van de Aanbieder lopen via de beheerinterface van de hoster en versleutelde verbindingen.
• Ontwikkelproces: Elke wijziging aan de Dienst doorloopt vóór de uitlevering geautomatiseerde tests, waaronder contracttests voor autorisatieregels, versleuteling en modulegrenzen, en wordt traceerbaar samengevoegd. De uitlevering vindt reproduceerbaar plaats als containerimage; foutmeldingen worden in productie nooit in de browser weergegeven.

3. Beschikbaarheid, veerkracht en verwijdering

• Back-up: Database en bestandsopslag worden door de hoster geback-upt; back-ups worden tot 30 dagen bewaard en daarna overschreven.
• Herstel: De toepassing draait als containerstack met gescheiden processen voor web, tijdsturing en achtergrondtaken; een onderhoudsmodus houdt de Dienst tijdens een herstel gecontroleerd aan. Een health-endpoint maakt bewaking mogelijk.
• Veerkracht: Begrenzing van verzoeken per afzenderadres en account voor aanmelding, registratie, uitnodigingen, schrijftoegangen via de programmeerinterface en beheerfuncties; grootte-, aantal- en opslaggrenzen voor bijlagen; maandcontingenten voor de AI-functie.
• Prullenbak: Verwijderde projecten, modules, taken, postvakken en kalenders worden eerst alleen als verwijderd gemarkeerd en pas na een geconfigureerde termijn definitief verwijderd (standaard 30 dagen, ondergrens één dag); verwijderde e-mails blijven 45 dagen in de prullenbak van het postvak. Tot dan halen bevoegde gebruikers ze zelf terug. Verweesde bijlagebestanden worden dagelijks verwijderd.
• Logboek- en verwijdertermijnen: Meldingen 30 dagen; logboeken van de postvak- en kalendersynchronisatie drie dagen, bij fouten zeven dagen; exportarchieven 24 uur; aanmeldlogboeken 90 dagen; gebruikslogboek van de AI-functie 90 dagen; auditlogboeken van het bedrijf en van het herstel drie jaar, auditlogboek van de facturering tien jaar (fiscale bewaarplicht); IP-adres van instemmingen tot het einde van de overeenkomst plus drie jaar; schermafbeeldingen van foutmeldingen 90 dagen; toepassingslogboeken 30 dagen.
• Beschikbaarheidstoezegging: De beschikbaarheid van de Dienst regelen de algemene voorwaarden, niet deze ADV.

4. Procedure voor regelmatige controle

• Regelmatige automatische controle dat versleuteld op te slaan gegevens versleuteld zijn opgeslagen, en regelmatige vergelijking van de bijlageopslag met de database.
• Geautomatiseerde tests bij elke wijziging; gedocumenteerde handleidingen voor uitlevering, sleutelrotatie, onderhoudsmodus en storingen.
• Wijzigingen aan de maatregelen van deze bijlage worden gedocumenteerd (§ 6 lid 2).
• Gegevensbescherming door standaardinstellingen: De AI-functie draait alleen wanneer een gebruiker haar voor een e-mail activeert, en kan per gebruiker worden uitgeschakeld; foutmeldingen met schermafbeelding worden alleen op activering door de gebruiker verzonden; postvakken en kalenders zijn alleen gekoppeld wanneer een gebruiker ze koppelt; profielfoto's zien alleen personen met een gemeenschappelijk project of een gemeenschappelijk bedrijf.

5. Toegang van de Aanbieder tot gegevens van de Klant (toegangsregel)

Medewerkers van de Aanbieder bekijken inhoud van de Klant niet routinematig. Een mens krijgt alleen toegang wanneer er een aanleiding is (een instructie van de Klant of een beveiligings- of bedrijfsincident), alleen voor zover nodig, en elke toegang wordt gelogd. De automatische verwerking door de Dienst volgens Bijlage A blijft daardoor onverlet. Meer dan de volgende toegangen zijn er niet:

• Herstel (§ 3 lid 4): Op verzoek van de Klant ziet een beheeraccount van de Aanbieder met het recht op herstel gebruikersnaam, e-mailadres, status en verwijdertijdstip van de betrokken gebruiker alsmede de namen van zijn projecten en modules, de titels van zijn taken en de verwijdertijdstippen van verwijderde records. Niet zichtbaar zijn beschrijvingen, opmerkingen, bijlagen, tijdregistraties alsmede postvak- en kalenderinhoud. Elk herstel wordt met uitvoerende persoon en tijdstip gelogd.
• Supportdiagnose: Op verzoek van de Klant ziet een beheeraccount van de Aanbieder de lidmaatschappen, uitnodigingen en postvakverbindingen van het bedrijf (hostnamen, status, tijdstip van het laatste ophalen), niet de inhoud van berichten. Elke diagnose wordt vóór de weergave in het auditlogboek van het bedrijf vastgelegd.
• Foutmeldingen: Schermafbeeldingen en beschrijvingen die een gebruiker via de foutmeldfunctie verstuurt, ziet de Aanbieder om de gemelde fout te verhelpen; zij worden na de termijn in punt 3 verwijderd.
• Bedrijfsvoering en beveiliging: Toegang tot database, bestandsopslag en logboeken om een storing te verhelpen, een beveiligingsincident te onderzoeken of een instructie uit te voeren. De aanleiding wordt gedocumenteerd; inhoud van de Klant ziet de Aanbieder daarbij alleen voor zover de aanleiding dat vereist.

Bijlage C: Subverwerkers en overige ontvangers

1. Subverwerkers (§ 7 lid 1)

2. Ontvangers buiten de opdracht

De volgende instanties ontvangen geen gegevens uit de opdracht van de Klant. De Aanbieder zet ze als verwerkingsverantwoordelijke voor eigen doeleinden in; zij staan hier alleen ter afbakening, bijzonderheden staan in de privacyverklaring. Boekhoud- en bankgegevens van de Aanbieder worden binnen de Dienst verwerkt en aan geen enkele verdere ontvanger doorgegeven.

• Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Nederland: betalingsafwikkeling van betaalde tarieven. Mollie ontvangt naam en e-mailadres van het factureringsaccount en de betaalgegevens, geen inhoudsgegevens; Mollie handelt bij de betalingsafwikkeling als eigen verwerkingsverantwoordelijke.
• EU-Captcha (Myra Security GmbH, München): botbescherming bij de registratie en in het contactformulier; overgedragen worden IP-adres, browseridentificatie en het captcha-token van de registrerende of schrijvende persoon. De controle is een verwerking van de Aanbieder als verwerkingsverantwoordelijke.
• Have I Been Pwned (api.pwnedpasswords.com, beheerder Troy Hunt, Australië): bij het instellen van een wachtwoord wordt een kort fragment van een hashwaarde overgedragen, nooit het wachtwoord en geen identificatie van de persoon; herleiding tot een persoon is niet mogelijk.

3. Door de Klant ingeschakelde diensten van derden

Koppelt de Klant of een gebruiker van de Klant een van de volgende diensten met todo.monster, dan heeft de Klant deze dienst zelf gekozen en staat hij ermee in een eigen contractuele relatie. De dienst is geen subverwerker van de Aanbieder; de Aanbieder draagt daarheen alleen over wat de functie nodig heeft, en haalt van daar op wat de gebruiker heeft vrijgegeven (§ 13 lid 3).

• Postvakken via IMAP en SMTP bij de e-mailaanbieder van de Klant of gebruiker: ophalen en verzenden van berichten met de toegangsgegevens die de gebruiker opslaat.
• Kalenders via CalDAV (bijvoorbeeld Nextcloud of Fastmail): synchronisatie van afspraken met de toegangsgegevens die de gebruiker opslaat.
• Google-kalender (Google LLC respectievelijk Google Ireland Limited): de gebruiker meldt zich rechtstreeks bij Google aan en verleent daar de toestemming; de Aanbieder leest afspraken uit de gekozen kalenders en draagt in de Dienst aangemaakte of gewijzigde afspraken over aan Google. Verwerking in de regel ook in de VS. Alleen beschikbaar voor zover de Aanbieder de functie heeft vrijgeschakeld.
• Microsoft-kalender (Microsoft Corporation respectievelijk Microsoft Ireland Operations Limited) voor particuliere Microsoft-accounts: de gebruiker meldt zich rechtstreeks bij Microsoft aan en verleent daar de toestemming; de Aanbieder leest afspraken uit de gekozen kalenders en draagt in de Dienst aangemaakte of gewijzigde afspraken met hun deelnemers over aan Microsoft, dat uitnodigingen kan versturen. Verwerking in de regel ook in de VS.

Voor Google en Microsoft geldt: welke waarborgen de overdracht naar de VS afdekken, hangt af van de contractuele relatie die de Klant of zijn gebruiker zelf met de betreffende dienst heeft (§ 4 lid 3).

Verbreekt de gebruiker de verbinding, dan verwijdert de Aanbieder de toegangsgegevens en toegangstokens; reeds opgehaalde berichten en afspraken blijven in de Dienst totdat de gebruiker ze verwijdert of het account respectievelijk het bedrijf wordt verwijderd.