Verwerkersovereenkomst

CONCEPT: JURIDISCHE TOETSING VEREIST. Deze tekst is een eerste opzet, gebaseerd op artikel 28 AVG en de richtlijnen van de Autoriteit Persoonsgegevens, en moet door een juridisch adviseur worden gecontroleerd voordat deze in productie gaat.

Deze verwerkersovereenkomst is van toepassing op iedere verwerking van persoonsgegevens die DOENio VOF (de "Verwerker") namens de klant (de "Verwerkingsverantwoordelijke") verricht in het kader van het gebruik van het DOENio-platform en de daarop afgesloten abonnementen (de "Hoofdovereenkomst").

DOENio VOF KvK: 42052522 BTW: [FILL IN] E-mail: legal@doenio.nl

Door de Algemene Voorwaarden van DOENio te aanvaarden, aanvaardt de Verwerkingsverantwoordelijke ook deze Verwerkersovereenkomst.

1. Definities

Termen die in de AVG zijn gedefinieerd hebben in deze overeenkomst dezelfde betekenis. Daarnaast geldt:

• AVG: Verordening (EU) 2016/679 (Algemene verordening gegevensbescherming).
• Persoonsgegevens: alle gegevens die op een geïdentificeerde of identificeerbare natuurlijke persoon ("betrokkene") betrekking hebben en die de Verwerker namens de Verwerkingsverantwoordelijke verwerkt.
• Subverwerker: een derde die door de Verwerker is ingeschakeld om Persoonsgegevens te verwerken in het kader van de Hoofdovereenkomst.
• Datalek: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of toegang tot Persoonsgegevens.

2. Onderwerp en duur

2.1. De Verwerker verwerkt Persoonsgegevens uitsluitend in het kader van de uitvoering van de Hoofdovereenkomst. Onderwerp, aard, doel, soort persoonsgegevens en categorieën van betrokkenen zijn nader beschreven in Bijlage 1.

2.2. Deze Verwerkersovereenkomst geldt voor de duur van de Hoofdovereenkomst en eindigt automatisch zodra die eindigt, onverminderd bepalingen die naar hun aard ook daarna blijven gelden.

3. Instructies en doelen

3.1. De Verwerker verwerkt Persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke, met inbegrip van instructies neergelegd in de Hoofdovereenkomst, de productinrichting in het Platform en deze Verwerkersovereenkomst.

3.2. De Verwerker gebruikt Persoonsgegevens niet voor eigen doeleinden, en deelt deze niet met derden, anders dan voor zover uitdrukkelijk in deze overeenkomst toegestaan of wettelijk verplicht.

3.3. Indien de Verwerker meent dat een instructie in strijd is met de AVG of andere privacywetgeving, zal hij de Verwerkingsverantwoordelijke daarvan onmiddellijk schriftelijk in kennis stellen.

4. Geheimhouding

4.1. De Verwerker draagt zorg dat personen die toegang hebben tot Persoonsgegevens (werknemers, ingehuurde krachten, en personen die werkzaam zijn voor Subverwerkers) zich tot geheimhouding hebben verbonden, hetzij contractueel, hetzij uit hoofde van een wettelijke verplichting.

4.2. Toegang wordt verleend volgens het principe van "least privilege": uitsluitend aan personen voor wie kennisneming voor de uitvoering van hun taak noodzakelijk is.

5. Beveiliging

5.1. De Verwerker treft passende technische en organisatorische maatregelen om Persoonsgegevens te beveiligen, rekening houdend met de stand van de techniek en de uitvoeringskosten, alsook met de aard, omvang, context en doeleinden van de verwerking. De maatregelen zijn nader beschreven in Bijlage 3.

5.2. Tot deze maatregelen behoren onder meer pseudonimisering en versleuteling waar passend, het waarborgen van vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van verwerkingssystemen, het tijdig kunnen herstellen van toegang en beschikbaarheid bij incidenten, en regelmatige toetsing en evaluatie van de doeltreffendheid van de maatregelen.

5.3. De Verwerkingsverantwoordelijke erkent dat de in Bijlage 3 beschreven maatregelen passend zijn voor de in Bijlage 1 omschreven verwerking.

6. Subverwerkers

6.1. De Verwerkingsverantwoordelijke verleent de Verwerker een algemene voorafgaande toestemming voor het inschakelen van de Subverwerkers genoemd in Bijlage 2.

6.2. Wanneer de Verwerker een Subverwerker wil toevoegen of vervangen, stelt hij de Verwerkingsverantwoordelijke daarvan ten minste dertig (30) dagen vooraf op de hoogte. De Verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd schriftelijk bezwaar maken; partijen treden alsdan in overleg om een redelijke oplossing te vinden. Als geen oplossing wordt gevonden, kan elke partij het betreffende onderdeel van de Hoofdovereenkomst opzeggen.

6.3. De Verwerker legt aan elke Subverwerker via een schriftelijke overeenkomst dezelfde verplichtingen op als de verplichtingen die voor de Verwerker uit deze overeenkomst voortvloeien, in het bijzonder met betrekking tot beveiliging.

6.4. De Verwerker blijft volledig aansprakelijk jegens de Verwerkingsverantwoordelijke voor het nakomen van de verplichtingen door de Subverwerker (artikel 28 lid 4 AVG).

7. Bijstand bij rechten van betrokkenen

7.1. De Verwerker biedt, rekening houdend met de aard van de verwerking, redelijke bijstand aan de Verwerkingsverantwoordelijke bij het beantwoorden van verzoeken van betrokkenen tot uitoefening van hun rechten onder de AVG (waaronder inzage, rectificatie, verwijdering, beperking, dataportabiliteit en bezwaar).

7.2. Verzoeken van betrokkenen die de Verwerker rechtstreeks bereiken, worden niet door de Verwerker zelfstandig afgehandeld; de Verwerker stuurt deze door of verwijst de betrokkene door naar de Verwerkingsverantwoordelijke.

8. Datalekken en andere bijstand

8.1. De Verwerker informeert de Verwerkingsverantwoordelijke onverwijld, en in elk geval binnen 24 uur na ontdekking, over een Datalek dat de door hem voor de Verwerkingsverantwoordelijke verwerkte Persoonsgegevens betreft. Deze melding bevat ten minste de informatie zoals genoemd in artikel 33 lid 3 AVG.

8.2. De Verwerker biedt de Verwerkingsverantwoordelijke redelijke bijstand bij het nakomen van verplichtingen op grond van de artikelen 32 tot en met 36 AVG, waaronder bij beveiligingsvoorvallen, gegevensbeschermingseffectbeoordelingen (DPIA's) en voorafgaande raadplegingen.

9. Audit

9.1. De Verwerker stelt op verzoek van de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen.

9.2. De Verwerkingsverantwoordelijke is gerechtigd ten hoogste eenmaal per kalenderjaar, en daarnaast bij een ernstig vermoeden van een tekortkoming, een audit te (laten) uitvoeren, op eigen kosten en met inachtneming van een redelijke aankondigingstermijn van ten minste vier (4) weken. De audit wordt uitgevoerd op een wijze die de bedrijfsvoering van de Verwerker zo min mogelijk verstoort.

9.3. Indien de Verwerker beschikt over actuele certificeringen (zoals ISO 27001 of SOC 2) of recente onafhankelijke auditrapporten, kan de Verwerkingsverantwoordelijke deze als toereikende invulling van zijn auditrecht aanvaarden, voor zover deze de relevante onderwerpen bestrijken.

10. Doorgifte buiten de EER

10.1. De Verwerker geeft Persoonsgegevens niet door aan een land buiten de Europese Economische Ruimte (EER) of aan een internationale organisatie zonder dat een passend overdrachtsmechanisme uit de AVG (zoals een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie) is geïmplementeerd.

10.2. Eventuele Subverwerkers buiten de EER zijn aangewezen in Bijlage 2, met vermelding van het toepasselijke overdrachtsmechanisme.

11. Teruggave en verwijdering

11.1. Na het einde van de Hoofdovereenkomst, of eerder op verzoek van de Verwerkingsverantwoordelijke, verwijdert de Verwerker de Persoonsgegevens of bezorgt deze aan de Verwerkingsverantwoordelijke terug, naar diens keuze. De Verwerker verwijdert tevens kopieën, tenzij wettelijke bewaarverplichtingen anders eisen.

11.2. Verwijdering geschiedt uiterlijk binnen dertig (30) dagen na het einde van de Hoofdovereenkomst, behoudens back-up media die volgens een vast retentieschema worden geroteerd.

12. Aansprakelijkheid

12.1. Op aansprakelijkheid uit hoofde van deze Verwerkersovereenkomst is de aansprakelijkheidsregeling uit de Hoofdovereenkomst van toepassing, onverminderd de aansprakelijkheid die op grond van artikel 82 AVG rechtstreeks tussen partijen of jegens betrokkenen kan ontstaan.

13. Slotbepalingen

13.1. In geval van strijdigheid tussen de Hoofdovereenkomst en deze Verwerkersovereenkomst, prevaleert deze Verwerkersovereenkomst voor onderwerpen die de verwerking van Persoonsgegevens betreffen.

13.2. Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter te Rotterdam.

---

Bijlage 1: Beschrijving van de verwerking

Onderwerp en aard: het hosten en verwerken van persoonsgegevens ten behoeve van het functioneren van het DOENio-platform, waaronder gebruikersbeheer, het uitvoeren van AI-agents en bijbehorende workflows, integraties met door de Verwerkingsverantwoordelijke aangewezen externe diensten (zoals e-mail, agenda, chat, ticketing) en het opslaan van resultaten en logs.

Doel: het uitvoeren van de Hoofdovereenkomst en het leveren van de daarin omschreven diensten.

Duur: voor de duur van de Hoofdovereenkomst, gevolgd door de in artikel 11 genoemde verwijderingstermijn.

Categorieën van betrokkenen:

• gebruikers van de Verwerkingsverantwoordelijke (medewerkers, beheerders);
• personen wier gegevens via aangesloten externe diensten in het Platform binnenkomen (zoals afzenders van e-mails, deelnemers aan chats of agenda-afspraken, klanten of contacten in CRM-/ticketsystemen);
• overige personen die door de Verwerkingsverantwoordelijke in het Platform worden ingevoerd (bijvoorbeeld in kennisbankdocumenten of als input voor agents).

Soorten persoonsgegevens:

• contact- en accountgegevens (naam, e-mail, taalvoorkeur, organisatie, rol);
• inhoud van berichten en documenten die door of namens de Verwerkingsverantwoordelijke worden aangeleverd of verwerkt;
• metadata over gebruik van het Platform (bijvoorbeeld activiteits- en auditlogs);
• inloggegevens en sessietokens (waar van toepassing versleuteld of gehasht).

De Verwerkingsverantwoordelijke draagt er zorg voor dat hij geen bijzondere categorieën van persoonsgegevens (zoals gegevens over gezondheid, geloof, of strafrechtelijke gegevens) in het Platform invoert tenzij hij hiervoor een eigen rechtsgrond heeft en daarover schriftelijk afspraken met de Verwerker maakt.

Bijlage 2: Subverwerkers

De volgende Subverwerkers worden door de Verwerker ingeschakeld:

Subverwerker	Doel	Locatie verwerking	Overdrachtsmechanisme (indien buiten EER)
[FILL IN, bv. hostingprovider]	Hosting / infrastructuur	[FILL IN]	[FILL IN]
[FILL IN, bv. e-mailprovider]	Transactionele e-mail	[FILL IN]	[FILL IN]
[FILL IN, bv. LLM-provider]	AI-modelinferentie	[FILL IN]	[FILL IN]
Mollie B.V.	Betalingsverwerking	EU (Nederland)	n.v.t.

Een actuele lijst van Subverwerkers is op verzoek beschikbaar via legal@doenio.nl.

Bijlage 3: Technische en organisatorische beveiligingsmaatregelen

De Verwerker treft ten minste de volgende maatregelen, voor zover van toepassing op de verwerking onder deze overeenkomst:

Toegangsbeheer en authenticatie

• rolgebaseerde toegangscontrole tot productiesystemen volgens "least privilege";
• verplichte sterke wachtwoorden en, waar mogelijk, multifactor-authenticatie voor toegang door medewerkers van de Verwerker;
• ondersteuning voor multifactor-authenticatie voor eindgebruikers in het Platform.

Versleuteling

• versleuteling van persoonsgegevens in transit met TLS 1.2 of hoger;
• versleuteling van gevoelige geheimen in rust (bijvoorbeeld OAuth-tokens) met AES-256-GCM.

Logging en monitoring

• centrale audit logs van beveiligingsrelevante gebeurtenissen;
• monitoring van het Platform en alarmering bij afwijkingen.

Beschikbaarheid en herstel

• regelmatige back-ups van persoonsgegevens;
• herstelprocedures voor toegang en beschikbaarheid bij incidenten.

Veilige softwareontwikkeling

• code review en geautomatiseerde tests;
• afhankelijkhedenbeheer en periodieke updates van componenten;
• scheiding tussen ontwikkel-, test- en productieomgevingen.

Organisatorische maatregelen

• geheimhoudingsverplichtingen voor medewerkers;
• bewustwordings- en trainingsmaatregelen op het gebied van informatiebeveiliging;
• proces voor het beheer van beveiligingsincidenten en datalekken.

De Verwerker evalueert deze maatregelen periodiek en past deze aan op basis van de stand van de techniek, geconstateerde dreigingen en wijzigingen in de aard van de verwerking.