Verwerkersovereenkomst

1. Waar het over gaat

• Doel van de verwerking: het bouwen, overzetten, beheren en onderhouden van uw webshop, en het leveren van een dashboard of hulpmiddelen die uw gegevens verwerken, zoals in de offerte omschreven.
• Soorten gegevens: klantgegevens (naam, adres, e-mail, telefoon, bedrijfsgegevens), ordergegevens en orderhistorie, accountgegevens, correspondentie met uw klanten (bijvoorbeeld e-mails en aanvragen) en gegevens van uw medewerkers voor zover die in de systemen staan. Geen bijzondere categorieën persoonsgegevens, tenzij u dat uitdrukkelijk met mij afspreekt.
• Betrokkenen: uw klanten, uw prospects en uw medewerkers.
• Duur: zolang de overeenkomst loopt. Daarna geldt artikel 8.

2. Alleen in uw opdracht

• Ik verwerk de gegevens alleen volgens uw schriftelijke instructies. De offerte, deze overeenkomst en de algemene voorwaarden zijn die instructies. Extra instructies geeft u per e-mail.
• Ik gebruik uw gegevens niet voor eigen doelen, verkoop of deel ze niet, en train er geen AI-modellen mee.
• Vind ik dat een instructie in strijd is met de wet, dan meld ik dat direct.
• Verplicht een wet mij tot een verwerking, dan informeer ik u vooraf, tenzij dat verboden is.

3. Beveiliging

• Toegang alleen via persoonlijke accounts met tweestapsverificatie. Accounts, sleutels en servers staan op naam van uw onderneming, zodat u toegang kunt intrekken.
• Versleutelde verbindingen (https, ssh). Een dashboard is alleen bereikbaar achter een login en niet openbaar.
• Alleen de toegang die voor het werk nodig is, niet meer. Werkkopieën van gegevens verwijder ik zodra ze niet meer nodig zijn.
• Back-ups van een dashboard en de bijbehorende gegevens staan in de Europese Economische Ruimte, versleuteld, met een afgesproken bewaartermijn.
• Ik pas beveiliging aan als de stand van de techniek of het risico daarom vraagt.

4. Geheimhouding

• Ik behandel uw gegevens vertrouwelijk. Iedereen die ik bij het werk betrek, is aan dezelfde geheimhouding gebonden.

5. Subverwerkers

Ik gebruik diensten van anderen om te kunnen werken. U geeft daarvoor met deze overeenkomst algemene toestemming. Bij een nieuwe of gewijzigde subverwerker informeer ik u minimaal dertig dagen vooraf; u kunt dan bezwaar maken, en dan zoeken we een oplossing of kunt u het betreffende onderdeel beëindigen. Met elke subverwerker gelden afspraken die minimaal gelijkwaardig zijn aan deze.

Voor doorgifte buiten de Europese Economische Ruimte gebruik ik alleen partijen met passende waarborgen: een adequaatheidsbesluit van de Europese Commissie (zoals het EU-VS Data Privacy Framework) of de standaardcontractbepalingen. Op verzoek stuur ik u de actuele lijst met de bijbehorende documenten.

6. Hulp bij verzoeken en verplichtingen

• Krijgt u een verzoek van een klant (inzage, verwijdering, bezwaar), dan help ik binnen vijf werkdagen met wat daarvoor in de systemen nodig is. Krijg ik zo'n verzoek rechtstreeks, dan stuur ik het naar u door en handel ik het niet zelf af.
• Ik help u redelijkerwijs bij een beveiligingsbeoordeling, een gegevensbeschermingseffectbeoordeling of een vraag van de Autoriteit Persoonsgegevens, voor zover het mijn werk betreft.

7. Datalekken

• Ontdek ik een inbreuk op de beveiliging die uw gegevens raakt, dan meld ik dat zonder onnodige vertraging en uiterlijk binnen 24 uur na ontdekking aan uw contactpersoon, met wat ik op dat moment weet: wat er gebeurd is, welke gegevens en hoeveel betrokkenen ongeveer, wat ik heb gedaan en wat ik aanraad.
• U beslist over melding aan de Autoriteit Persoonsgegevens en aan betrokkenen; ik lever de informatie die u daarvoor nodig heeft.

8. Na afloop

• Eindigt de overeenkomst, dan draag ik de gegevens over of verwijder ik ze, naar uw keuze, binnen dertig dagen. Daarna verwijder ik ook mijn werkkopieën en back-ups volgens de afgesproken bewaartermijn, tenzij een wet mij verplicht iets langer te bewaren.
• Op verzoek bevestig ik de verwijdering schriftelijk.

9. Controle

• Ik stel u de informatie ter beschikking die nodig is om te zien dat ik mij aan deze afspraken houd. Wilt u een audit, dan spreken we die minimaal twee weken vooraf af, één keer per jaar en vaker bij een concrete aanleiding. Een audit gebeurt onder geheimhouding en op werkdagen. De kosten van een audit door een externe partij zijn voor u, tenzij eruit blijkt dat ik in gebreke was.

10. Aansprakelijkheid en looptijd

• Voor aansprakelijkheid geldt artikel 13 van de algemene voorwaarden. Boetes die een toezichthouder u oplegt door een tekortkoming van mij, vallen daar alleen onder voor zover ik daarvoor toerekenbaar aansprakelijk ben.
• Deze overeenkomst geldt zolang ik in uw opdracht persoonsgegevens verwerk en gaat in met de overeenkomst waar zij bij hoort. Bij strijd tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor wat betreft persoonsgegevens. Nederlands recht is van toepassing.

Versie september 2026 · rvdm designs, handelsnaam van ITZ Rutger B.V. · KVK 82699909 · Deze pagina geldt als bijlage bij elke offerte waarin persoonsgegevens verwerkt worden en gaat als pdf mee; op verzoek ondertekend en per klant ingevuld.