Verwerkersovereenkomst (B2B)

Partijen

Verwerker (artikel 4, punt 8, AVG): Allroundwebsite, Vennootschap onder firma (VOF), gevestigd aan Laan van Zuid Hoorn 70, 2289 DE Rijswijk in Nederland, KvK 42122571, BTW NL869829774B01 (info@allroundwebsite.nl).

Verwerkingsverantwoordelijke (artikel 4, punt 7, AVG): de zakelijke opdrachtgever (hierna: “Klant”) die met Verwerker een overeenkomst tot dienstverlening is aangegaan: een website, het beheren van sociale kanalen, het voeren van advertentiecampagnes, of een combinatie daarvan.

Deze verwerkersovereenkomst is een integraal onderdeel van de tussen partijen gesloten hoofdovereenkomst en de algemene voorwaarden van Verwerker.

1. Onderwerp en duur (art. 28 lid 3 AVG)

Verwerker verwerkt in opdracht van Klant persoonsgegevens uitsluitend voor zover dat noodzakelijk is voor het uitvoeren van de hoofdovereenkomst. Deze verwerkersovereenkomst geldt zolang de hoofdovereenkomst voortduurt.

2. Aard, doel en categorieën (art. 28 lid 3 AVG)

• Aard van de verwerking: hosting, opslag, back-up, technisch beheer, ontwikkeling, onderhoud en support van de door Verwerker geleverde digitale diensten; het publiceren van berichten op de sociale kanalen van Klant namens Klant; het beheren van de advertentieaccounts van Klant namens Klant; het genereren van tekst, beeld en video met behulp van kunstmatige intelligentie ten behoeve van die publicaties.
• Doel: uitvoering van de overeengekomen dienstverlening.
• Categorieën betrokkenen: klanten, prospects, websitebezoekers, medewerkers en contactpersonen van Klant.
• Soorten persoonsgegevens: NAW, contactgegevens, accountgegevens, bestel- en factuurgegevens, IP-adres, loggegevens en overige gegevens die Klant zelf via de dienst verwerkt. Daarnaast de gegevens die via de sociale kanalen en de advertentieaccounts van Klant binnenkomen: de naam of gebruikersnaam waarmee iemand reageert of een bericht stuurt, de inhoud van die reactie of dat bericht, en de contactgegevens die iemand daarin uit zichzelf achterlaat.
• Verwerker verwerkt geen bijzondere persoonsgegevens (artikel 9 AVG) tenzij dat schriftelijk is overeengekomen.

3. Instructies van Klant (art. 28 lid 3, onder a, AVG)

Verwerker verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van Klant, waaronder de hoofdovereenkomst. Verwerker informeert Klant onmiddellijk indien een instructie naar zijn oordeel in strijd is met de AVG of andere toepasselijke wetgeving (de laatste alinea van artikel 28 lid 3 AVG).

4. Geheimhouding (art. 28 lid 3, onder b, AVG)

Verwerker verplicht zijn medewerkers en ingeschakelde derden tot geheimhouding van de persoonsgegevens.

5. Beveiliging (art. 32 en art. 28 lid 3, onder c, AVG)

Verwerker treft passende technische en organisatorische maatregelen, waaronder in ieder geval:

• TLS-versleuteling (HTTPS) voor alle transportverbindingen;
• encryptie van wachtwoorden (hashing) en gevoelige credentials;
• toegangscontrole op basis van least-privilege en tweefactorauthenticatie voor beheeraccounts;
• logging en monitoring van beheerhandelingen;
• periodieke back-ups met versleutelde opslag;
• gescheiden productie-, test- en ontwikkelomgevingen;
• periodieke beoordeling en actualisering van de beveiligingsmaatregelen.

6. Subverwerkers (art. 28 lid 2, lid 3 onder d, en lid 4 AVG)

Klant geeft Verwerker algemene toestemming om de subverwerkers hieronder in te schakelen voor de uitvoering van de dienst. Dit is een uitputtende lijst: staat een partij er niet in, dan zet Verwerker hem niet in. Dezelfde lijst staat in de privacyverklaring en komt uit dezelfde bron.

• Cloudflare — hosting, netwerk en beveiliging van de website, en beeldgeneratie via Workers AI
• Supabase — database, bestandsopslag en het inloggen van klanten
• Stripe — betalingen, terugkerende incasso en fraudepreventie
• Resend — verzenden van bevestigingen, facturen en andere transactionele e-mail
• Google — het ophalen van de openbare Google-reviews van uw bedrijf voor uw website
• OpenRouter — het opstellen van teksten over uw bedrijf met AI. OpenRouter schakelt daarvoor taalmodellen van derden in, waaronder Anthropic

Daarnaast schakelt Verwerker een boekhouder in voor de fiscale administratie. Facturen worden door het eigen platform van Verwerker gemaakt; er is geen externe factuurleverancier die persoonsgegevens van Klant verwerkt.

Verwerker legt aan iedere subverwerker minimaal dezelfde verplichtingen op als in deze overeenkomst. Bij toevoeging of vervanging van een subverwerker informeert Verwerker Klant vooraf; Klant kan binnen 14 dagen gemotiveerd bezwaar maken, in welk geval partijen in overleg treden.

7. Doorgifte buiten de EER (art. 44 e.v. AVG)

Een deel van de subverwerkers uit paragraaf 6 verwerkt persoonsgegevens buiten de EER, in de praktijk vooral in de Verenigde Staten. Dat is geen uitzondering maar de normale gang van zaken. Het gaat om: Cloudflare, Stripe, Resend, Google en OpenRouter.

Voor deze doorgifte geldt als waarborg de door de Europese Commissie vastgestelde standaardcontractbepalingen (SCC's, artikel 46 lid 2 onder c AVG), en waar van toepassing een adequaatheidsbesluit (artikel 45 AVG). Verwerker gaat geen doorgifte aan zonder een van deze twee waarborgen.

8. Rechten van betrokkenen (art. 28 lid 3, onder e, AVG)

Verwerker verleent Klant redelijke medewerking bij het beantwoorden van verzoeken van betrokkenen op grond van hoofdstuk III AVG (inzage: artikel 15; correctie: artikel 16; verwijdering: artikel 17; beperking: artikel 18; dataportabiliteit: artikel 20; bezwaar: artikel 21). Verzoeken die rechtstreeks bij Verwerker binnenkomen worden doorgestuurd aan Klant.

9. Datalekken (art. 33 en 34 AVG)

Verwerker informeert Klant zonder onredelijke vertraging (artikel 33 lid 2 AVG) en uiterlijk binnen 48 uur nadat Verwerker kennis heeft genomen van een inbreuk in verband met persoonsgegevens (datalek). De melding bevat ten minste: de aard van de inbreuk, de betrokken categorieën en aantallen personen en gegevens, de waarschijnlijke gevolgen en de getroffen of voorgenomen maatregelen. Klant blijft verantwoordelijk voor eventuele meldingen aan de Autoriteit Persoonsgegevens (artikel 33 lid 1 AVG) en aan betrokkenen (artikel 34 AVG).

10. Audit (art. 28 lid 3, onder h, AVG)

Klant heeft ten hoogste eenmaal per jaar het recht om de naleving van deze overeenkomst te (laten) controleren door een onafhankelijke, aan geheimhouding gebonden auditor. De audit wordt tenminste 30 dagen vooraf schriftelijk aangekondigd, verloopt tijdens kantooruren en verstoort de dienstverlening niet. De kosten zijn voor Klant, tenzij uit de audit blijkt dat Verwerker in ernstige mate tekortschiet.

11. Aansprakelijkheid

Op deze verwerkersovereenkomst is de aansprakelijkheidsregeling uit de algemene voorwaarden van Verwerker onverkort van toepassing. Die staat op https://allroundwebsite.nl/voorwaarden#aansprakelijkheid.

12. Bewaartermijnen en teruggave (art. 28 lid 3, onder g, AVG)

Verwerker bewaart persoonsgegevens niet langer dan noodzakelijk voor de uitvoering van de dienst (opslagbeperking, artikel 5 lid 1 onder e AVG). Na afloop van de hoofdovereenkomst zal Verwerker, ter keuze van Klant, alle persoonsgegevens teruggeven of vernietigen, tenzij wettelijke bewaarplichten anders vereisen. Klant kan binnen 30 dagen na einde overeenkomst een export opvragen.

13. Wijzigingen

Verwerker mag deze overeenkomst wijzigen indien dat noodzakelijk is als gevolg van wet- of regelgeving of aanwijzingen van een toezichthouder. Wezenlijke wijzigingen worden ten minste 30 dagen vooraf schriftelijk aangekondigd.

14. Toepasselijk recht en geschillen

Op deze overeenkomst is Nederlands recht van toepassing. Komen partijen er samen niet uit, dan overleggen zij eerst met elkaar voordat een van beiden naar de rechter stapt. Welke rechter bevoegd is, volgt uit de wet.

Aanvaarding

Deze verwerkersovereenkomst geldt als aanvaard zodra Klant een offerte of bestelling van Verwerker heeft geaccepteerd. Klant ontvangt hem als pdf bij de bevestiging van zijn bestelling, samen met de algemene voorwaarden; dat is de schriftelijke vorm, waaronder de elektronische vorm, die artikel 28 lid 9 AVG voorschrijft. Wenst Klant een ondertekend exemplaar, dan kan een verzoek worden gestuurd naar info@allroundwebsite.nl.