Concept
Verwerkersovereenkomst
Dit is een inhoudelijk concept en geen definitieve overeenkomst. Het wordt vóór publicatie juridisch beoordeeld voor de Nederlandse markt.
Deze overeenkomst dekt verwerking waarbij de klant verwerkingsverantwoordelijke is en VB Websites verwerker. De partijen sluiten haar elektronisch: de klant accepteert haar bij het afrekenen van de intake, vóór de eerste intake-upload, en VB Websites bevestigt de bestelling. De geaccepteerde tekst, taal, versie en het acceptatietijdstip worden bij de bestelling bewaard; de orderbevestiging vermeldt dit document met titel, versie, link en SHA256-controlegetal. Vanaf acceptatie geldt zij voor alle verwerking namens de klant vanaf de intake, waaronder ontvangst, opslag, het maken van de ontwerpen en latere publicatie van aangeleverde inhoud. Acceptatie bij de jaarbetaling bevestigt de overeenkomst opnieuw en stelt de ingangsdatum niet uit.
1. Partijen en bereik
Verwerkingsverantwoordelijke: de klant die in de geaccepteerde bestelling staat (klant).
Verwerker: Van Bostelen Software, handelend als VB Websites, Emmakade 123, 2411 JH Bodegraven, Nederland, KVK 42127942, btw-nummer NL005517908B88 (verwerker).
De verwerker verwerkt persoonsgegevens alleen om de bestelde website-, offerteformulier-, hosting-, e-mail-, support- en correctiediensten te leveren zoals beschreven in de bestelling en volgens de gedocumenteerde instructies van de klant. De klant bepaalt de doeleinden en de wezenlijke middelen.
Deze overeenkomst dekt geen gegevens waarvoor VB Websites zelfstandig verwerkingsverantwoordelijke is, waaronder haar eigen aanvragen, contractadministratie, facturatie, belastingadministratie, supportadministratie, fraudepreventie en platformbeveiliging. Zij maakt van Mollie, SIDN, KVK, een bank of een andere zelfstandig verwerkingsverantwoordelijke geen verwerker.
2. Verwerkingsgegevens
- Onderwerp: websitepublicatie, bezorging van bezoekersaanvragen, hosting, domein- en e-mailbeheer, support en correctieverwerking.
- Duur: de besteltermijn plus de afgesproken export- en verwijderingsperiode.
- Aard: verzamelen, opslaan, ordenen, omzetten, publiceren, verzenden, ondersteunen, verwijderen en back-uppen.
- Doeleinden: alleen de gedocumenteerde dienstinstructies van de klant en deze overeenkomst.
- Betrokkenen: contactpersonen van de klant, personeel en teamleden, websitebezoekers, aanvraagverzenders, leveranciers en andere personen die in aangeleverde inhoud worden genoemd.
- Persoonsgegevens: identiteits- en contactgegevens, domein- en e-mailgegevens, inhoud, afbeeldingen, getuigenissen, aanvraaginformatie, technische en bezorgingsmetadata.
- Bijzondere categorieën: niet gevraagd; de klant levert ze niet aan tenzij een schriftelijke instructie en grondslag zijn goedgekeurd.
- Strafrechtelijke gegevens: niet gevraagd en mogen niet worden aangeleverd.
De klant documenteert elke aanvullende instructie, bewaaruitzondering, openbare claim, verwerking van bijzondere categorieën of vereiste internationale doorgifte.
3. Instructies en vertrouwelijkheid
De verwerker volgt gedocumenteerde instructies van de klant en meldt het als een instructie in strijd lijkt met de toepasselijke gegevensbeschermingswetgeving. De verwerker mag de betwiste verwerking opschorten voor zover nodig om onrechtmatige verwerking te voorkomen en vraagt om verduidelijking.
Personen die door de verwerker zijn gemachtigd om klantgegevens te verwerken, zijn gebonden aan vertrouwelijkheid. Toegang is beperkt tot de dienstbehoefte en wordt verwijderd zodra zij niet meer nodig is.
4. Beveiligingsmaatregelen
De verwerker handhaaft maatregelen die passend zijn voor het risico, waaronder:
- sterke beheerdersauthenticatie, MFA, rolcontroles en isolatie van klanten;
- versleuteling tijdens transport en opslag waar ondersteund, beschermde opslag van geheimen en geen geheimen in logboeken;
- afgesloten quarantaine en schone bestandsopslag, malwarescans, type- en groottecontroles en metadataverwijdering;
- onveranderbaar bron- en documentbewijs, auditgebeurtenissen, idempotente workflows en providerafstemming;
- providerinloggegevens met minimaal noodzakelijke rechten, omgevingsscheiding, monitoring, back-up- en hersteltests;
- bewaartaken, verwijderingsmarkeringen, legal-hold-maatregelen en verwijder- en exportprocedures na beëindiging;
- incidentafhandeling, bewijsbehoud en meldprocedures.
5. Subverwerkers
De verwerker mag alleen subverwerkers gebruiken die staan in de subverwerkersinformatie die samen met deze overeenkomst is geaccepteerd. Die informatie vermeldt per categorie het doel, de gegevens, de locatie, het doorgiftemechanisme, de bewaring en de verwijdering. De namen van de leveranciers binnen een categorie verstrekt de verwerker op verzoek, vóór en na acceptatie. Geplande of onopgeloste leveranciers zijn niet gemachtigd.
De klant geeft algemene schriftelijke toestemming voor de subverwerkers binnen de vermelde categorieën. De verwerker mailt elke voorgenomen toevoeging of vervanging minimaal 30 dagen vóór gebruik. De klant kan binnen die termijn bezwaar maken op onderbouwde gegevensbeschermingsgronden. De verwerker zoekt een conform alternatief en gebruikt de betwiste leverancier niet voor de gegevens van die klant zolang het bezwaar niet is opgelost. Bestaat geen redelijk alternatief, dan kan elke partij de betrokken dienst beëindigen; het betaalde jaartarief wordt dan niet terugbetaald, behoudens dwingend recht, en de afgesproken teruggave- en verwijderingsprocedure blijft ongewijzigd gelden. Subverwerkers krijgen gelijkwaardige contractuele verplichtingen; de verwerker blijft verantwoordelijk zoals vereist door AVG-artikel 28. Een dringende wijziging is geen uitzondering op rechtmatige toestemming.
Mollie valt buiten deze subverwerkerslijst voor gewone betalingsverwerking wanneer zij als zelfstandig verwerkingsverantwoordelijke optreedt. Haar eigen voorwaarden en privacyverklaring gelden.
6. Bijstand
Rekening houdend met de verwerking assisteert de verwerker de klant bij:
- verzoeken van betrokkenen;
- beveiliging, beoordeling van datalekken en communicatie met de toezichthouder;
- gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging waar redelijkerwijs nodig;
- informatie die nodig is om naleving aan te tonen, en redelijke audits.
Stuur verzoeken naar support@vbwebsites.nl. VB Websites start routinematige bijstand direct en verstrekt beschikbare informatie binnen tien werkdagen, eerder als een wettelijke termijn of incident dat vereist. Routinematige rechtsverzoeken, incidentmedewerking en bestaand nalevingsbewijs zijn inbegrepen. Extra werk vereist een afgesproken offerte; een kostendiscussie mag verplichte bijstand niet vertragen. De klant mag één redelijke audit per jaar uitvoeren met een aankondigingstermijn van veertien dagen, en aanvullende audits als een incident, een geloofwaardige nalevingszorg of een toezichthouder dat vereist. Gebruik waar voldoende eerst bewijs op afstand. Een audit op locatie moet andere klanten en geheimen beschermen en onnodige verstoring vermijden; vertrouwelijkheid en gebruikelijke kantooruren gelden tenzij urgentie anders vereist. Elke partij draagt haar gewone kosten; VB Websites draagt herstelkosten voor haar eigen inbreuk. Deze afspraken beperken de auditrechten uit artikel 28 niet.
7. Datalek
De verwerker meldt de klant zonder onredelijke vertraging nadat zij kennis heeft genomen van een datalek dat klantgegevens raakt, per e-mail aan het in de bestelling vastgelegde beveiligingscontact, anders aan haar bevoegde primaire contactpersoon. De eerste melding wacht niet op een volledig onderzoek; updates volgen naarmate feiten beschikbaar komen. De melding bevat bekende feiten, geraakte systemen en gegevens, waarschijnlijke gevolgen, indamming, herstel en een eigenaar voor updates. De verwerker meldt niet namens de klant aan betrokkenen of toezichthouders, tenzij geïnstrueerd of wettelijk vereist.
8. Teruggave en verwijdering
Naar keuze van de klant na het einde van de dienst geeft de verwerker de klantgegevens terug in het afgesproken exportformaat en verwijdert zij resterende kopieën, tenzij de wet bewaring vereist. De verwerker legt verwijderingsbewijs vast en past dezelfde instructie toe op gemachtigde subverwerkers. Back-ups mogen op hun gedocumenteerde cyclus verlopen, moeten ontoegankelijk blijven voor gewoon gebruik en mogen verwijderde gegevens niet herstellen zonder verwijderingsmarkeringen opnieuw toe te passen.
Vraag export aan via support@vbwebsites.nl vóór het einde van de dienst of binnen 30 dagen daarna. De standaard website-export omvat de betaalde statische website en beschikbare klantinhoud in algemeen bruikbare bestanden; onze eigen hulpmiddelen en niet-overdraagbare licenties van derden zijn uitgesloten. Spreek domein- en mailboxoverdracht af en test die vóór sluiting; het domein blijft van de klant. Gewone correctie- en updaterechten eindigen met de diensttermijn. Verwijder kopieën van de gepubliceerde website binnen 30 dagen en resterende klantinhoud binnen 90 dagen na het einde van de dienst, tenzij de klant eerder verwijdering vraagt of de wet bewaring vereist. Rollende operationele back-ups verlopen binnen 35 dagen; een afwijkende provider- of herstelkopieplanning wordt vermeld in de subverwerkersinformatie of de bestelling. Isoleer wettelijk bewaarde gegevens, beperk het gebruik tot het bewaardoel en verwijder ze zodra dat doel eindigt. Lever een verwijderingsverslag met systemen, datums, uitzonderingen en de uiteindelijke back-upvervaldatum. Bewaar afwikkelings- en geschilbewijs gescheiden van de lopende intake.
9. Aansprakelijkheid en totstandkoming
Nederlands recht en de geschil- en aansprakelijkheidsbepalingen van de overeenkomst gelden voor zover toegestaan door toepasselijk recht. Bij verschillen over de verwerking van persoonsgegevens gaat deze overeenkomst voor. De commerciële aansprakelijkheidsbeperking beperkt geen AVG-verplichtingen, schadevergoedingsrechten van betrokkenen of andere niet-uitsluitbare aansprakelijkheid; er ontstaat geen aanvullende vrijwaring van de klant. Acceptatie wordt bij het afrekenen van de intake vastgelegd voordat een intake-upload of andere verwerking namens de klant begint. De overeenkomst blijft gelden tijdens de jaarlijkse dienst en de afgesproken teruggave en verwijdering van klantgegevens.