# Data Processing Agreement

{/* Generated from api-calc/src/legal/dpa-v1.md by scripts/generate-dpa-page.mjs.
    Do not edit here: the agreement, this page and the downloadable PDF are the
    same text by construction, and an edit in one place is how they stop being. */}

# Gegevensverwerkingsovereenkomst, versie 1

_Effectief 2026-09-20. AstroWay API, api.astroway.info._

## 1. Wie we zijn en wat dit dekt

Deze overeenkomst is tussen **jij, de Klant**, handelend als gegevenscontroller, en **Maksym Burkhan, individuele ondernemer (ФОП), Oekraïne**, die `api.astroway.info` exploiteert als jouw gegevensverwerker onder Artikel 28 GDPR.

Het geldt zolang jouw account bestaat en je verzoeken naar de API stuurt, en het regelt alleen de gegevens die je via de API verzendt. Jouw eigen accountgegevens zijn een aparte zaak, waarbij wij de controller zijn en ons [privacybeleid](/privacy) van toepassing is.

## 2. Wat we verwerken, en waarom

**Onderwerp en doel.** Je stuurt geboortedata naar de API: een datum, een kloktijd, een tijdzone of offset, en coördinaten. Wij berekenen een astrologisch resultaat en retourneren dit. Dat is het volledige doel, en de API‑aanroep is jouw instructie.

**Categorieën van betrokkenen.** Jouw eindgebruikers, of iedereen wiens geboortemoment je indient.

**Soorten gegevens.** Datum en tijd van geboorte, coördinaten, en de optionele velden `name` en `city`. **`name` en `city` worden nooit opgeslagen**: ze worden alleen in het geheugen gehouden gedurende het verzoek en nergens weggeschreven.

**Duur.** Voor de levensduur van jouw account, onder voorbehoud van sectie 9.

**Wat we loggen over de oproep in plaats van over de persoon.** Endpoint, methode, status, latency, byte‑aantallen, een gezouten onomkeerbare digest van het IP‑adres van de aanroeper en de eerste 16 bits van dat adres, de User-Agent, de origin, en een grove land-, stad- en netwerkoperator. We bewaren dit 30 dagen.

## 3. Wat we ondernemen

- We verwerken jouw gegevens **alleen op basis van jouw gedocumenteerde instructies**, die bestaan uit de API‑aanroepen die je doet en elke schriftelijke instructie die je ons stuurt, tenzij EU‑ of staatsrecht wetgeving anders vereist, in welk geval we je vóór de verwerking informeren, tenzij die wet het verbiedt.
- **Als een instructie volgens ons onwettig lijkt, geven we dat onmiddellijk aan** in plaats van het stilletjes uit te voeren.
- De dienst wordt beheerd door één persoon, die **gebonden is aan geheimhouding** en de enige mens met administratieve toegang is.
- We behouden de **beveiligingsmaatregelen in sectie 5**.
- We helpen je een verzoek van een betrokkene te beantwoorden, en helpen met jouw verplichtingen onder Artikelen 32 tot 36, **voor zover dat mogelijk is en rekening houdend met wat wij bewaren**. Die qualifier is de wet zelf, en hier is het concreet: we slaan geen naam, geen e‑mail en geen identificatie op voor jouw eindgebruikers, dus we kunnen meestal geen rijen van één persoon aan onze kant vinden. Je kunt, via jouw eigen administratie, en `DELETE /v1/me/account` wist alles wat wij voor jouw account bewaren.
- We gebruiken jouw gegevens niet voor eigen doeleinden, verkopen ze niet, en gebruiken ze niet om modellen te trainen.

## 4. Sub‑verwerkers

| Sub‑verwerker | Rol | Locatie |
|---|---|---|
| Hetzner Online GmbH | computatie, database en bestandsopslag | Nürnberg, Duitsland |
| Cloudflare, Inc. | CDN, DNS en DDoS‑bescherming, met EU‑regio cache‑regels | Amerikaans bedrijf, EU‑kanten bedienen EU‑verkeer |

We leggen hen dezelfde gegevensbeschermingsverplichtingen op als wij hier hanteren, en we **blijven volledig aansprakelijk jegens jou** voor wat ze doen.

Je geeft algemene toestemming voor deze twee. We laten het je per e‑mail weten voordat we er een toevoegen of vervangen, en je kunt bezwaar maken op redelijke gegevensbeschermingsgronden; als we het bezwaar niet kunnen oplossen, kun je stoppen met het gebruik van de dienst en vergoeden we het ongebruikte deel van de periode die je hebt betaald.

**Onze betalings- en e‑mailleveranciers staan opzettelijk niet in die tabel**, omdat ze nooit gegevens zien die onder deze overeenkomst vallen. Brevo stuurt transactionele e‑mail naar je, en Monobank verwerkt kaartbetalingen, met LiqPay toegevoegd in oktober 2026. Beide hebben betrekking op jouw account in plaats van op jouw eindgebruikers, dus ze worden in het privacybeleid genoemd.

## 5. Beveiliging

- Transport is alleen TLS, en gewone HTTP wordt omgeleid.
- Wachtwoorden worden gehasht met bcrypt en API‑sleutels worden gehasht opgeslagen.
- IP‑adressen worden alleen opgeslagen als een gezouten SHA‑256, berekend op het moment dat de rij wordt geschreven. Het zout bevindt zich in de serveromgeving, nooit in de code.
- Database‑accounts zijn per consument gescheiden, elk met de kleinste benodigde rechten, en de database luistert alleen op loopback.
- Back‑ups worden versleuteld met AES‑256 voordat ze de machine verlaten.
- Administratieve toegang gebeurt via SSH‑sleutel, één persoon, geen gedeelde inloggegevens.

**Wat we niet hebben**, omdat het beweren erger zou zijn dan het toegeven: we hebben geen SOC 2‑rapport en geen ISO 27001‑certificaat van onszelf. Hetzner heeft ISO/IEC 27001 voor het datacentrum waarin onze servers staan.

## 6. Overdrachten, duidelijk uitgelegd

Jouw gegevens worden verwerkt op servers in **Nürnberg, Duitsland**, en we repliceren ze niet buiten de EER.

We zijn echter gevestigd in **Oekraïne**, dat geen adequaatheidsbesluit heeft onder Artikel 45. Volgens de EDPB‑richtlijnen 05/2021 maakt dit op zichzelf al een overdracht naar een derde land, en administratieve toegang vanuit Oekraïne naar die Duitse servers telt ook, omdat externe toegang meetelt zelfs als er niets wordt gekopieerd. Dus we zeggen je niet dat er geen grensoverschrijdende overdracht is; er is er één, en dit dekt dat.

We sluiten de **Standaardcontractbepalingen van Besluit tot uitvoering (EU) 2021/914, Module Twee (controller naar verwerker)**, die via verwijzing in deze overeenkomst zijn opgenomen en voorrang hebben als ze conflicteren. Secties 2, 5 en 4 van deze overeenkomst dienen respectievelijk als Bijlagen I, II en III. Een ondertekend exemplaar met beide partijen is op verzoek beschikbaar op `legal@astroway.info`.

Wat in de praktijk wordt overgedragen is geauthenticeerde administratieve toegang tot systemen in Duitsland, niet de export van een database.

## 7. Aantonen dat we voldoen

We geven je de informatie die je nodig hebt om te laten zien dat je voldoet aan Artikel 28 via deze overeenkomst en onze bovenstaande beveiligingsbeschrijving, en we zullen **een redelijke schriftelijke beveiligingsvragenlijst in elke periode van twaalf maanden** gratis invullen.

Als dat niet genoeg is, kun je de naleving van deze overeenkomst één keer per twaalf maanden auditen, met dertig dagen schriftelijke kennisgeving, **op afstand**, tijdens kantooruren, en alleen de verwerking die we voor jou uitvoeren, nooit de gegevens van een andere klant. Jij draagt de kosten van de audit en van elke auditor die je aanstelt. Deze beperkingen gelden niet wanneer een toezichthoudende autoriteit een inspectie vereist.

## 8. Als er een inbreuk is

We informeren je **zonder onnodige vertraging** nadat we op de hoogte zijn van een inbreuk op persoonsgegevens die de gegevens die we voor jou verwerken, per e‑mail naar je accountadres. De eerste melding kan onvolledig zijn, en we volgen dit op zodra we meer weten.

We hebben geen contactgegevens van jouw eindgebruikers, dus het informeren van hen onder Artikel 34 blijft jouw verantwoordelijkheid.

## 9. Beëindiging

Wanneer je account eindigt, laat ons weten of je de gegevens die we voor je bewaren wilt terugkrijgen of wilt laten verwijderen, en wij doen dat. Als je ons niets vertelt, verwijderen we ze.

De enige uitzondering is wat de belastingwet vereist dat we bewaren: betalingsrecords, voor 1095 dagen onder §44.3 van de Oekraïense belastingwet. Drie jaar, niet de zeven die een eerdere versie van deze tekst gokte. Artikel 17(3)(b) GDPR laat records die bewaard worden voor een wettelijke verplichting buiten het recht op verwijdering, daarom bereikt een verwijderingsverzoek ze niet.

## 10. Acceptatie van deze overeenkomst

Je accepteert het in je dashboard, en het record van die acceptatie vermeldt je account, de versie en het moment. Artikel 28(9) vereist dat het contract schriftelijk is, "inclusief in elektronische vorm", dus dat record is het contract en er is niets om op te wachten. De PDF die je kunt downloaden bevat hetzelfde record. Een ondertekend papieren exemplaar is op verzoek beschikbaar.

Als we deze tekst wezenlijk wijzigen, wordt het een nieuwe versie en vragen we je die te accepteren; de versie die je hebt geaccepteerd blijft de versie waar je mee akkoord ging.