Verwerkersovereenkomst (B2B)

Partijen

Verwerker: Allroundwebsite, KVK 42122571, BTW NL869829774B01, gevestigd in Nederland (info@allroundwebsite.nl).
Verwerkingsverantwoordelijke: de zakelijke opdrachtgever (hierna: “Klant”) die met Verwerker een overeenkomst tot dienstverlening (website, webshop, IT-koppeling, hosting of onderhoud) is aangegaan.

Deze verwerkersovereenkomst is een integraal onderdeel van de tussen partijen gesloten hoofdovereenkomst en de algemene voorwaarden van Verwerker.

1. Onderwerp en duur

Verwerker verwerkt in opdracht van Klant persoonsgegevens uitsluitend voor zover dat noodzakelijk is voor het uitvoeren van de hoofdovereenkomst. Deze verwerkersovereenkomst geldt zolang de hoofdovereenkomst voortduurt.

2. Aard, doel en categorieën

• Aard van de verwerking: hosting, opslag, back-up, technisch beheer, ontwikkeling, onderhoud en support van de door Verwerker geleverde digitale diensten.
• Doel: uitvoering van de overeengekomen dienstverlening.
• Categorieën betrokkenen: klanten, prospects, websitebezoekers, medewerkers en contactpersonen van Klant.
• Soorten persoonsgegevens: NAW, contactgegevens, accountgegevens, bestel- en factuurgegevens, IP-adres, loggegevens en overige gegevens die Klant zelf via de dienst verwerkt.
• Verwerker verwerkt geen bijzondere persoonsgegevens tenzij dat schriftelijk is overeengekomen.

3. Instructies van Klant

Verwerker verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van Klant, waaronder de hoofdovereenkomst. Verwerker informeert Klant onmiddellijk indien een instructie naar zijn oordeel in strijd is met de AVG of andere toepasselijke wetgeving.

4. Geheimhouding

Verwerker verplicht zijn medewerkers en ingeschakelde derden tot geheimhouding van de persoonsgegevens.

5. Beveiliging (art. 32 AVG)

Verwerker treft passende technische en organisatorische maatregelen, waaronder in ieder geval:

• TLS-versleuteling (HTTPS) voor alle transportverbindingen;
• encryptie van wachtwoorden (hashing) en gevoelige credentials;
• toegangscontrole op basis van least-privilege en tweefactorauthenticatie voor beheeraccounts;
• logging en monitoring van beheerhandelingen;
• periodieke back-ups met versleutelde opslag;
• gescheiden productie-, test- en ontwikkelomgevingen;
• periodieke beoordeling en actualisering van de beveiligingsmaatregelen.

6. Subverwerkers

Klant geeft Verwerker algemene toestemming om de volgende categorieën subverwerkers in te schakelen voor de uitvoering van de dienst:

• Cloud- en hostingdiensten (EU-datacenters, o.a. Cloudflare, Supabase);
• Payment service providers (Stripe, Mollie);
• Transactionele e-maildienst (bijv. Resend, Postmark);
• Boekhoud- en factuursoftware;
• Analytics-leverancier (Google Analytics 4, alleen na toestemming).

Verwerker legt aan iedere subverwerker minimaal dezelfde verplichtingen op als in deze overeenkomst. Bij toevoeging of vervanging van een subverwerker informeert Verwerker Klant vooraf; Klant kan binnen 14 dagen gemotiveerd bezwaar maken, in welk geval partijen in overleg treden.

7. Doorgifte buiten de EER

Verwerker verwerkt persoonsgegevens in beginsel binnen de EER. Doorgifte naar landen buiten de EER vindt alleen plaats indien een passend beschermingsniveau is gewaarborgd, bijvoorbeeld op basis van een adequaatheidsbesluit of de door de Europese Commissie vastgestelde standaardcontractbepalingen (SCC's).

8. Rechten van betrokkenen

Verwerker verleent Klant redelijke medewerking bij het beantwoorden van verzoeken van betrokkenen op grond van hoofdstuk III AVG (inzage, correctie, verwijdering, beperking, dataportabiliteit en bezwaar). Verzoeken die rechtstreeks bij Verwerker binnenkomen worden doorgestuurd aan Klant.

9. Datalekken

Verwerker informeert Klant zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat Verwerker kennis heeft genomen van een inbreuk in verband met persoonsgegevens (datalek). De melding bevat ten minste: de aard van de inbreuk, de betrokken categorieën en aantallen personen en gegevens, de waarschijnlijke gevolgen en de getroffen of voorgenomen maatregelen. Klant blijft verantwoordelijk voor eventuele meldingen aan de Autoriteit Persoonsgegevens en aan betrokkenen.

10. Audit

Klant heeft ten hoogste eenmaal per jaar het recht om de naleving van deze overeenkomst te (laten) controleren door een onafhankelijke, aan geheimhouding gebonden auditor. De audit wordt tenminste 30 dagen vooraf schriftelijk aangekondigd, verloopt tijdens kantooruren en verstoort de dienstverlening niet. De kosten zijn voor Klant, tenzij uit de audit blijkt dat Verwerker in ernstige mate tekortschiet.

11. Aansprakelijkheid

Op deze verwerkersovereenkomst is de aansprakelijkheidsregeling uit de algemene voorwaarden van Verwerker (artikel 8) onverkort van toepassing.

12. Bewaartermijnen en teruggave

Verwerker bewaart persoonsgegevens niet langer dan noodzakelijk voor de uitvoering van de dienst. Na afloop van de hoofdovereenkomst zal Verwerker, ter keuze van Klant, alle persoonsgegevens teruggeven of vernietigen, tenzij wettelijke bewaarplichten anders vereisen. Klant kan binnen 30 dagen na einde overeenkomst een export opvragen.

13. Wijzigingen

Verwerker mag deze overeenkomst wijzigen indien dat noodzakelijk is als gevolg van wet- of regelgeving of aanwijzingen van een toezichthouder. Wezenlijke wijzigingen worden ten minste 30 dagen vooraf schriftelijk aangekondigd.

14. Toepasselijk recht en geschillen

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement waar Verwerker statutair is gevestigd.