Direct naar content
Digitale Toekomst™

Juridisch

Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van Digitale Toekomst en geldt zodra wij persoonsgegevens verwerken namens een opdrachtgever.

Versie 2026.1, geldig vanaf 1 november 2026.

1. Partijen en rollen

  1. 1.1Verwerkingsverantwoordelijke: Opdrachtgever, die het doel en de middelen van de verwerking bepaalt.
  2. 1.2Verwerker: Digitale Toekomst, KvK 89658388, die persoonsgegevens verwerkt ten behoeve van Opdrachtgever.
  3. 1.3Begrippen uit de Algemene verordening gegevensbescherming hebben in deze overeenkomst de betekenis die de verordening daaraan geeft.
  4. 1.4Deze overeenkomst maakt onlosmakelijk deel uit van de hoofdovereenkomst tussen partijen en geldt voor de duur daarvan.

2. Onderwerp en instructies

  1. 2.1Verwerker verwerkt persoonsgegevens uitsluitend op schriftelijke instructie van Verwerkingsverantwoordelijke, en uitsluitend voor de in bijlage A genoemde doeleinden.
  2. 2.2De hoofdovereenkomst, de offerte en deze overeenkomst gelden samen als de instructie.
  3. 2.3Verwerker verwerkt de gegevens niet voor eigen doeleinden, verstrekt ze niet aan derden en gebruikt ze niet voor het trainen van algemene AI-modellen.
  4. 2.4Is Verwerker op grond van een wettelijke verplichting gehouden gegevens te verstrekken, dan meldt hij dat vooraf aan Verwerkingsverantwoordelijke, tenzij die wet dat verbiedt.
  5. 2.5Meent Verwerker dat een instructie in strijd is met de privacywetgeving, dan meldt hij dat onverwijld en mag hij de uitvoering van die instructie opschorten.

3. Aard van de verwerking

  1. 3.1De categorieën betrokkenen, de soorten persoonsgegevens en de doeleinden staan in bijlage A.
  2. 3.2Verwerker verwerkt geen bijzondere categorieën persoonsgegevens, tenzij partijen dat uitdrukkelijk schriftelijk overeenkomen en in bijlage A vastleggen.
  3. 3.3Verwerkingsverantwoordelijke staat ervoor in dat hij voor de aangeleverde gegevens een geldige grondslag heeft en de betrokkenen conform de wet heeft geïnformeerd.

4. Beveiliging

  1. 4.1Verwerker treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 van de verordening, afgestemd op de stand van de techniek, de uitvoeringskosten en de risico's voor betrokkenen.
  2. 4.2Die maatregelen omvatten in ieder geval: versleutelde verbindingen, versleutelde opslag van toegangstokens, toegang op basis van noodzaak, tweefactorauthenticatie op beheeraccounts, logging van handelingen in de beheeromgeving, periodieke back-ups en een procedure voor het roteren van sleutels.
  3. 4.3Verwerker verplicht personen die onder zijn gezag toegang hebben tot geheimhouding.
  4. 4.4Volledige beveiliging bestaat niet. Verwerker garandeert niet dat de maatregelen onder alle omstandigheden toereikend zijn.

5. Inbreuken in verband met persoonsgegevens

  1. 5.1Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging, en in ieder geval binnen 24 uur nadat hij van een inbreuk kennis heeft genomen.
  2. 5.2De melding bevat ten minste: de aard van de inbreuk, de betrokken categorieën en aantallen, de waarschijnlijke gevolgen, de getroffen en voorgenomen maatregelen en een contactpunt.
  3. 5.3Verwerker verleent redelijke medewerking aan een melding door Verwerkingsverantwoordelijke aan de Autoriteit Persoonsgegevens of aan betrokkenen. Verwerker doet die melding niet zelf, tenzij partijen dat afspreken.
  4. 5.4Verwerker documenteert elke inbreuk en de genomen maatregelen.
  5. 5.5Betreft de inbreuk een subverwerker, dan geldt dezelfde termijn zodra Verwerker daarvan op de hoogte is.

6. Rechten van betrokkenen

  1. 6.1Ontvangt Verwerker een verzoek van een betrokkene, dan stuurt hij dat zonder onredelijke vertraging door en beantwoordt hij het niet zelf.
  2. 6.2Verwerker verleent redelijke medewerking aan het voldoen aan verzoeken om inzage, rectificatie, verwijdering, beperking, bezwaar en overdraagbaarheid.
  3. 6.3Kost die medewerking meer dan incidentele inspanning, dan mag Verwerker daarvoor het geldende uurtarief in rekening brengen.

7. Subverwerkers

  1. 7.1Verwerkingsverantwoordelijke geeft algemene toestemming voor het inschakelen van subverwerkers.
  2. 7.2De subverwerkers die Verwerker op dit moment inzet, staan in bijlage B.
  3. 7.3Verwerker legt aan elke subverwerker ten minste dezelfde verplichtingen op als in deze overeenkomst zijn opgenomen, en blijft tegenover Verwerkingsverantwoordelijke verantwoordelijk voor hun handelen.
  4. 7.4Voegt Verwerker een subverwerker toe of vervangt hij er een, dan meldt hij dat ten minste veertien dagen van tevoren. Verwerkingsverantwoordelijke mag binnen die termijn schriftelijk en gemotiveerd bezwaar maken. Komen partijen er niet uit, dan mag Verwerkingsverantwoordelijke de betreffende dienst opzeggen tegen de datum waarop de wijziging ingaat.

8. Doorgifte buiten de Europese Economische Ruimte

  1. 8.1Verwerker geeft persoonsgegevens alleen door naar een land buiten de EER wanneer aan de voorwaarden van hoofdstuk V van de verordening is voldaan, door een adequaatheidsbesluit of door standaardcontractbepalingen met aanvullende maatregelen.
  2. 8.2In bijlage B staat per subverwerker of doorgifte buiten de EER plaatsvindt en op welke grondslag.
  3. 8.3Vervalt een grondslag, dan treft Verwerker zo spoedig mogelijk een alternatief of beëindigt hij de inzet van de betreffende subverwerker.

9. Controle

  1. 9.1Verwerker stelt op verzoek de informatie beschikbaar die nodig is om naleving van deze overeenkomst aan te tonen.
  2. 9.2Verwerkingsverantwoordelijke mag ten hoogste eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden deskundige, na een aankondiging van ten minste dertig dagen en op een wijze die de bedrijfsvoering van Verwerker niet onnodig verstoort.
  3. 9.3De kosten van de audit komen voor rekening van Verwerkingsverantwoordelijke, tenzij uit de audit een wezenlijke tekortkoming van Verwerker blijkt.
  4. 9.4Een audit strekt zich niet uit tot gegevens van andere opdrachtgevers van Verwerker.

10. Teruggave en verwijdering

  1. 10.1Na het einde van de hoofdovereenkomst verstrekt Verwerker op verzoek een export van de persoonsgegevens in een gangbaar formaat.
  2. 10.2Verwerker verwijdert de persoonsgegevens binnen dertig dagen na het einde van de hoofdovereenkomst, inclusief kopieën bij subverwerkers, tenzij een wettelijke bewaarplicht geldt.
  3. 10.3Gegevens in back-ups worden verwijderd op het moment dat de betreffende back-up volgens het reguliere schema vervalt.
  4. 10.4Verwerker bevestigt de verwijdering op verzoek schriftelijk.

11. Aansprakelijkheid en slot

  1. 11.1De aansprakelijkheidsregeling uit de algemene voorwaarden van Verwerker is van toepassing, voor zover de verordening dat toelaat.
  2. 11.2Bij strijdigheid tussen deze overeenkomst en de algemene voorwaarden prevaleert deze overeenkomst, maar uitsluitend voor zover het de verwerking van persoonsgegevens betreft.
  3. 11.3Op deze overeenkomst is Nederlands recht van toepassing.

Bijlage A - Aard van de verwerking

Doeleinden: het bouwen, hosten en onderhouden van de website en applicaties van Opdrachtgever; het meten en rapporteren van websiteresultaten; het verzenden en opvolgen van e-mail namens Opdrachtgever; het inrichten en beheren van databases en automatiseringen; het afhandelen van aanvragen die via de website binnenkomen.

Categorieën betrokkenen: bezoekers van de website van Opdrachtgever, personen die via de website contact opnemen of zich aanmelden, relaties en prospects van Opdrachtgever, en medewerkers van Opdrachtgever met toegang tot de beheeromgeving.

Soorten gegevens: naam, bedrijfsnaam, functie, e-mailadres, telefoonnummer, adresgegevens, inhoud van berichten en aanvragen, correspondentie, IP-adres en apparaatgegevens, gedrag op de website, en gegevens die Opdrachtgever zelf aanlevert.

Bewaartermijn: voor de duur van de hoofdovereenkomst, daarna conform artikel 10.

Bijlage B - Subverwerkers

Supabase (database, opslag en authenticatie) - EU-regio, verwerking binnen de EER.

Railway (hosting en uitvoering van de applicatie) - Verenigde Staten, standaardcontractbepalingen.

Resend (verzenden en ontvangen van e-mail) - Verenigde Staten, standaardcontractbepalingen.

GitHub (opslag van broncode, kan configuratiegegevens bevatten) - Verenigde Staten, standaardcontractbepalingen.

Google Ireland Limited (Analytics, Search Console en Ads, voor meting en advertenties) - EER, met doorgifte naar de Verenigde Staten onder het adequaatheidsbesluit EU-VS Data Privacy Framework.

Mollie (afhandeling van betalingen bij facturatie) - Nederland.

Plausible (cookieloze websitestatistiek) - Europese Unie.

OpenAI (AI-ondersteunde teksten en aanbevelingen) - Verenigde Staten, standaardcontractbepalingen. Gegevens worden niet gebruikt voor training.

ElevenLabs en Kie (AI-ondersteunde beeld- en audiogeneratie) - Verenigde Staten, standaardcontractbepalingen. Alleen ingezet wanneer de opdracht daarom vraagt.

Deze lijst wordt actueel gehouden op de website van Verwerker. Wijzigingen volgen de procedure uit artikel 7.