[Terug naar home](https://webdesign.bykick.nl/) AVG # Verwerkersovereenkomst Bouwen we iets voor je waarin persoonsgegevens terechtkomen, zoals een formulier op je website, een tool of een klantportaal? Dan verwerken wij die gegevens voor jou. De AVG vraagt dat we daar afspraken over maken. Die staan op deze pagina. Ze gelden vanaf het moment dat je een offerte van ons accepteert of een opdracht bevestigt, zonder dat je apart iets hoeft te tekenen. Wat er per opdracht precies verwerkt wordt, staat in de offerte. ## 1. Partijen en begrippen - **Opdrachtgever**: de organisatie die de offerte accepteert. Zij is verwerkingsverantwoordelijke in de zin van de AVG. - **Verwerker**: Web Design by Kick, Haarlem. - **Hoofdovereenkomst**: de geaccepteerde offerte of opdrachtbevestiging, met de afspraken die daarbij horen. - Begrippen als persoonsgegevens, verwerking, betrokkene, subverwerker en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis die de AVG eraan geeft. ## 2. Onderwerp en instructies - Verwerker verwerkt persoonsgegevens alleen om de hoofdovereenkomst uit te voeren en alleen volgens de schriftelijke instructies van Opdrachtgever. De offerte geldt als eerste instructie. Latere instructies mogen per e-mail of via het klantportaal. - Verwerker gebruikt de gegevens nooit voor eigen doeleinden en verkoopt ze niet door. - Vindt Verwerker dat een instructie in strijd is met de AVG, dan meldt hij dat direct aan Opdrachtgever. - Moet Verwerker gegevens verstrekken op grond van de wet, dan meldt hij dat vooraf aan Opdrachtgever, tenzij de wet dat verbiedt. ## 3. Welke gegevens, van wie en waarvoor Per opdracht staat in de offerte welke dienst we leveren, welke gegevens daarin terechtkomen, van wie, waar ze staan en hoe lang ze bewaard worden. Die offerte is bijlage 1 van deze overeenkomst. Gangbaar zijn: - **Websites**: contact- en aanvraagformulieren, met naam, e-mailadres, telefoonnummer en het bericht van de bezoeker. - **Tools**: wat een bezoeker invult, zoals een adres, contactgegevens en toestemming voor een nieuwsbrief, en wat de tool daarbij ophaalt. Vaak zetten we dat door naar een systeem van Opdrachtgever. - **Klantportalen**: accounts van klanten, leveranciers en medewerkers (naam, e-mailadres, rol), de documenten die zij delen met wat daarin staat, en logbestanden van inloggen en gebruik. Bijzondere persoonsgegevens, zoals gezondheidsgegevens, verwerken we alleen als dat uitdrukkelijk in de offerte staat. ## 4. Geheimhouding Iedereen die namens Verwerker toegang heeft tot de gegevens, is gebonden aan geheimhouding. Toegang krijgt alleen wie die nodig heeft voor de opdracht. ## 5. Beveiliging Verwerker neemt passende technische en organisatorische maatregelen. In ieder geval: - versleutelde verbindingen (HTTPS) en versleutelde opslag; - toegang per rol, zodat iedereen alleen ziet wat bij zijn rol hoort; - inloggen met een eenmalige code of tweestapsverificatie, geen gedeelde wachtwoorden; - dagelijkse back-ups en tijdige beveiligingsupdates; - opslag in de EU waar dat kan. Verwerker mag maatregelen aanpassen, zolang het niveau van de beveiliging gelijk blijft of beter wordt. ## 6. Subverwerkers - Opdrachtgever geeft toestemming voor de subverwerkers in bijlage 2. Verwerker legt hun dezelfde plichten op als in deze overeenkomst en blijft zelf verantwoordelijk voor hun werk. - Wil Verwerker een subverwerker toevoegen of vervangen, dan meldt hij dat minstens vier weken vooraf. Opdrachtgever kan binnen die termijn met redenen bezwaar maken. Komen we er samen niet uit, dan mag Opdrachtgever het betreffende onderdeel van de opdracht opzeggen. ## 7. Gegevens buiten de EU Gaan gegevens naar een land buiten de Europese Economische Ruimte, dan gebeurt dat alleen met de waarborgen die de AVG vraagt: een adequaatheidsbesluit van de Europese Commissie, zoals het EU-VS Data Privacy Framework, of de standaardcontractbepalingen van de Europese Commissie. ## 8. Datalekken - Verwerker meldt een datalek zonder onnodige vertraging aan Opdrachtgever, uiterlijk binnen 48 uur nadat hij het ontdekt. Hij geeft daarbij alle informatie die op dat moment bekend is en vult die aan zodra er meer bekend is. - Opdrachtgever beslist of het lek gemeld wordt bij de Autoriteit Persoonsgegevens en aan betrokkenen. Verwerker helpt daarbij en neemt direct maatregelen om de gevolgen te beperken. ## 9. Rechten van betrokkenen en hulp - Krijgt Verwerker een verzoek van een betrokkene, bijvoorbeeld om inzage of verwijdering, dan stuurt hij dat door naar Opdrachtgever en helpt hij bij de afhandeling. - Verwerker helpt ook bij een gegevensbeschermingseffectbeoordeling (DPIA) of een vraag van de Autoriteit Persoonsgegevens. Kost die hulp meer dan een paar uur, dan stemmen we de kosten vooraf af. ## 10. Controle Verwerker geeft Opdrachtgever de informatie die nodig is om na te gaan of hij zich aan deze overeenkomst houdt. Opdrachtgever mag dat eens per jaar laten controleren door een onafhankelijke deskundige met geheimhoudingsplicht, na een aankondiging van minstens twee weken en op eigen kosten. ## 11. Bewaren en einde - Deze overeenkomst loopt zolang de hoofdovereenkomst loopt. - Gegevens worden niet langer bewaard dan in de offerte staat, of dan nodig is voor de opdracht. - Na afloop geeft Verwerker de gegevens terug of verwijdert hij ze, naar keuze van Opdrachtgever, binnen 30 dagen. Kopieën in back-ups verdwijnen vanzelf binnen 90 dagen. Op verzoek bevestigt Verwerker dat de gegevens verwijderd zijn. - Dit geldt niet voor gegevens die Verwerker volgens de wet moet bewaren. ## 12. Aansprakelijkheid De aansprakelijkheid van partijen volgt uit de hoofdovereenkomst. Staat daar niets over, dan is de aansprakelijkheid van Verwerker beperkt tot het bedrag dat Opdrachtgever in de twaalf maanden voor de schade onder de hoofdovereenkomst heeft betaald. Die beperking geldt niet bij opzet of bewuste roekeloosheid. ## 13. Overig - Spreken deze overeenkomst en de hoofdovereenkomst elkaar tegen over persoonsgegevens, dan gaat deze overeenkomst voor. - Passen we deze tekst wezenlijk aan, dan melden we dat vooraf. De nieuwe versie geldt 30 dagen na die melding, tenzij Opdrachtgever binnen die termijn bezwaar maakt. - Op deze overeenkomst is Nederlands recht van toepassing. Geschillen gaan naar de bevoegde rechter in het arrondissement Noord-Holland. ## Bijlage 1: per opdracht Per opdracht staat in de offerte, onder het kopje Verwerkersovereenkomst: welke dienst we leveren, welke persoonsgegevens daarin terechtkomen en van wie, waar ze opgeslagen worden en hoe lang ze bewaard blijven. ## Bijlage 2: subverwerkers Subverwerker Waarvoor Waar Supabase Inc. Database, bestandsopslag en inloggen voor portalen en tools Servers in Ierland of Duitsland (EU) Vercel Inc. Hosting van websites, tools en portalen Bedrijf in de VS, verwerking in de EU waar dat kan Resend Inc. Versturen van e-mail, zoals inlogcodes en meldingen Bedrijf in de VS Hetzner Online GmbH Server voor automatisering en koppelingen Finland (EU) Anthropic PBC AI-verwerking, alleen als de offerte dat noemt Bedrijf in de VS Een opdracht gebruikt alleen de subverwerkers die voor die dienst nodig zijn. Voor bedrijven in de VS gelden de waarborgen uit artikel 7. ## Vragen Vragen over deze overeenkomst of over je gegevens? Mail naar [hi@bykick.nl](mailto:hi@bykick.nl). --- Bron: https://webdesign.bykick.nl/verwerkersovereenkomst