Verwerkersovereenkomst

Versie: 1.0; Laatst bijgewerkt: 29 juni 2026

Deze verwerkersovereenkomst (vormgegeven als Data Pro Statement) maakt als bijlage deel uit van de algemene voorwaarden van Bas de Kort (eenmanszaak, KvK 42038027, gevestigd te Kerkeakker 3, 6674 EM Herveld), hierna "Verwerker", en is van toepassing zodra Verwerker bij de uitvoering van een Opdracht persoonsgegevens verwerkt ten behoeve van Opdrachtgever, hierna "Verwerkingsverantwoordelijke".

Begrippen die in deze overeenkomst met een hoofdletter worden geschreven en hier niet zijn gedefinieerd, hebben de betekenis die de algemene voorwaarden of de Algemene Verordening Gegevensbescherming (AVG) daaraan toekennen.

1. Rolverdeling

Verwerkingsverantwoordelijke bepaalt het doel van en de middelen voor de verwerking van persoonsgegevens en is en blijft verwerkingsverantwoordelijke in de zin van de AVG. Verwerker verwerkt de persoonsgegevens uitsluitend ten behoeve van Verwerkingsverantwoordelijke en op diens instructie, en heeft geen zeggenschap over doel en middelen.

2. Onderwerp, aard en doel van de verwerking

Verwerker verwerkt persoonsgegevens uitsluitend voor zover dat nodig is voor de uitvoering van de Opdracht: het ontwikkelen, integreren, onderhouden en beheren van software en AI-toepassingen, het verlenen van technisch advies en het uitvoeren van code reviews. Verwerker verwerkt de persoonsgegevens niet voor eigen doeleinden.

3. Categorieën betrokkenen en persoonsgegevens

De aard en omvang van de persoonsgegevens worden bepaald door de systemen en gegevens die Verwerkingsverantwoordelijke in het kader van de Opdracht ter beschikking stelt. Afhankelijk van de Opdracht kan het gaan om gegevens van klanten, medewerkers, leveranciers of gebruikers van Verwerkingsverantwoordelijke, zoals contactgegevens, accountgegevens en gegevens die in databases, logbestanden of testsets voorkomen.

Verwerkingsverantwoordelijke verstrekt geen bijzondere categorieën van persoonsgegevens (artikel 9 AVG) of strafrechtelijke gegevens aan Verwerker, tenzij dit vooraf schriftelijk is overeengekomen en met passende aanvullende maatregelen is omkleed.

4. Instructies

Verwerker verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke, waaronder de Opdracht zelf wordt verstaan, tenzij een op Verwerker van toepassing zijnde wettelijke bepaling hem tot verwerking verplicht. In dat geval stelt Verwerker Verwerkingsverantwoordelijke voorafgaand aan de verwerking op de hoogte, tenzij die wetgeving dit verbiedt.

Verwerker stelt Verwerkingsverantwoordelijke in kennis indien een instructie naar zijn mening in strijd is met de AVG of andere toepasselijke wetgeving inzake gegevensbescherming.

5. Geheimhouding

Verwerker waarborgt dat de personen die onder zijn verantwoordelijkheid toegang hebben tot de persoonsgegevens, tot geheimhouding zijn verplicht. Deze geheimhouding geldt ook na beëindiging van de Opdracht.

6. Beveiliging

Verwerker treft passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang en context van de verwerking. Het beveiligingsniveau sluit aan bij het bepaalde in de algemene voorwaarden. Indien Verwerkingsverantwoordelijke een specifiek beveiligingsniveau of een norm verlangt, wordt dit vooraf schriftelijk overeengekomen.

Verwerkingsverantwoordelijke blijft verantwoordelijk voor de beveiliging van de eigen systemen, voor het maken van back-ups en voor de keuze om gegevens aan Verwerker ter beschikking te stellen.

7. Subverwerkers

Verwerkingsverantwoordelijke verleent Verwerker algemene toestemming om bij de uitvoering van de Opdracht subverwerkers in te schakelen, waaronder hosting-, infrastructuur- en AI-dienstverleners. Verwerker legt aan elke subverwerker ten minste dezelfde verplichtingen op als in deze overeenkomst zijn opgenomen en blijft jegens Verwerkingsverantwoordelijke verantwoordelijk voor de naleving daarvan.

Verwerker informeert Verwerkingsverantwoordelijke desgevraagd over de ingeschakelde subverwerkers en over voorgenomen wijzigingen daarin, zodat Verwerkingsverantwoordelijke daartegen bezwaar kan maken.

8. Doorgifte buiten de EER

Verwerker geeft persoonsgegevens uitsluitend door aan een land buiten de Europese Economische Ruimte indien daarvoor een passende waarborg in de zin van de AVG geldt, zoals een adequaatheidsbesluit of de modelcontractbepalingen van de Europese Commissie. Indien voor de Opdracht gebruik wordt gemaakt van AI-diensten waarbij doorgifte kan plaatsvinden, wordt dit op verzoek inzichtelijk gemaakt.

9. Rechten van betrokkenen

Verwerker verleent Verwerkingsverantwoordelijke, voor zover redelijkerwijs mogelijk, medewerking bij het voldoen aan verzoeken van betrokkenen tot uitoefening van hun rechten onder de AVG, waaronder inzage, rectificatie, verwijdering en overdraagbaarheid. Richt een betrokkene zich rechtstreeks tot Verwerker, dan stuurt Verwerker het verzoek door aan Verwerkingsverantwoordelijke en handelt het niet zelf af.

10. Datalekken

Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging nadat hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens, en verstrekt daarbij de informatie die Verwerkingsverantwoordelijke redelijkerwijs nodig heeft om aan zijn meldplicht jegens de Autoriteit Persoonsgegevens en betrokkenen te voldoen. De beoordeling of een melding moet worden gedaan, en het doen daarvan, berusten bij Verwerkingsverantwoordelijke.

11. Audits

Verwerker stelt Verwerkingsverantwoordelijke op verzoek de informatie ter beschikking die nodig is om de naleving van deze overeenkomst aan te tonen. Een audit door of namens Verwerkingsverantwoordelijke vindt ten hoogste eenmaal per jaar plaats, na schriftelijke aankondiging met een redelijke termijn, tijdens kantooruren en zonder de bedrijfsvoering van Verwerker onnodig te verstoren. De kosten van een audit komen voor rekening van Verwerkingsverantwoordelijke, tenzij de audit een wezenlijke tekortkoming van Verwerker aantoont.

12. Teruggave en verwijdering

Na beëindiging van de Opdracht verwijdert Verwerker de persoonsgegevens, of stelt deze op verzoek aan Verwerkingsverantwoordelijke ter beschikking, tenzij een wettelijke bewaarplicht zich daartegen verzet. Verwerker mag geanonimiseerde of geaggregeerde gegevens, die niet tot een betrokkene herleidbaar zijn, behouden.

13. Aansprakelijkheid

Op de aansprakelijkheid in verband met deze verwerkersovereenkomst zijn de aansprakelijkheidsbepalingen uit de algemene voorwaarden van overeenkomstige toepassing.

14. Toepasselijk recht

Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Bij strijdigheid tussen deze overeenkomst en de algemene voorwaarden prevaleert deze overeenkomst voor zover het de verwerking van persoonsgegevens betreft.