Verwerkersovereenkomst

Altijdbereikt · Model · versie 1.1 · 31 oktober 2026

Partijen

1. [Naam onderneming klant], gevestigd aan [adres], ingeschreven bij de KvK onder nummer [KvK-nummer], hierbij vertegenwoordigd door [naam en functie], hierna: "Verwerkingsverantwoordelijke" of "Klant"; en
2. Klik&Shop, eenmanszaak handelend onder de naam Altijdbereikt, gevestigd aan Paramaribohof 55, 2315 VW Leiden, ingeschreven bij de KvK onder nummer 98148362, hierna: "Verwerker" of "Altijdbereikt".

Overwegingen

• Partijen hebben een overeenkomst gesloten voor het inrichten, hosten en beheren van een chatbot voor de website en/of het WhatsApp Business-nummer van de Klant (de "Hoofdovereenkomst"), waarop de algemene voorwaarden van Altijdbereikt van toepassing zijn.
• Bij de uitvoering daarvan verwerkt Altijdbereikt persoonsgegevens in opdracht van de Klant. De Klant bepaalt het doel en de middelen van die verwerking.
• Partijen leggen in deze overeenkomst hun afspraken vast, zoals vereist door artikel 28 lid 3 van de Algemene Verordening Gegevensbescherming ("AVG").

1. Begrippen

Begrippen als persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker, subverwerker en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis die de AVG eraan geeft.

2. Onderwerp en instructies

1. Altijdbereikt verwerkt persoonsgegevens uitsluitend in opdracht van de Klant en op basis van diens schriftelijke instructies, zoals vastgelegd in de Hoofdovereenkomst, deze overeenkomst en Bijlage 1. Dit geldt ook voor doorgifte naar een land buiten de Europese Economische Ruimte (EER).
2. Altijdbereikt verwerkt de persoonsgegevens niet voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet om (AI-)modellen te trainen buiten de chatbot van de Klant.
3. Is Altijdbereikt op grond van een wettelijke verplichting gehouden de gegevens anders te verwerken, dan informeert zij de Klant daarover vooraf, tenzij de wet dat verbiedt.
4. Is Altijdbereikt van mening dat een instructie in strijd is met de AVG of andere privacywetgeving, dan meldt zij dat direct aan de Klant. Zij is dan niet verplicht die instructie uit te voeren.

3. Verplichtingen van de Klant

1. De Klant staat ervoor in dat de verwerking rechtmatig is, dat er een geldige grondslag voor bestaat en dat betrokkenen (bezoekers en klanten van de Klant) op een passende manier worden geïnformeerd, bijvoorbeeld via de privacyverklaring van de Klant.
2. De Klant zorgt dat de kennisbank van de chatbot geen bijzondere persoonsgegevens of andere gegevens bevat die daar niet thuishoren, tenzij partijen dat uitdrukkelijk schriftelijk afspreken.

4. Geheimhouding

Altijdbereikt houdt de persoonsgegevens geheim. Zij zorgt dat iedereen die onder haar gezag toegang heeft tot de gegevens, tot geheimhouding is verplicht en alleen toegang heeft voor zover dat nodig is voor de dienstverlening.

5. Beveiliging

1. Altijdbereikt neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten en de risico's (artikel 32 AVG). Deze maatregelen staan in Bijlage 2.
2. Altijdbereikt mag de maatregelen aanpassen, mits het beveiligingsniveau niet lager wordt.

6. Subverwerkers

1. De Klant geeft Altijdbereikt algemene schriftelijke toestemming om subverwerkers in te schakelen. De categorieën subverwerkers staan in Bijlage 3. De concrete subverwerkers op het moment van sluiten worden bij ondertekening aan de Klant verstrekt.
2. Altijdbereikt informeert de Klant ten minste 30 dagen vooraf per e-mail over een voorgenomen toevoeging of vervanging van een subverwerker. De Klant kan binnen die termijn op redelijke gronden bezwaar maken. Komen partijen er niet uit, dan mag de Klant de Hoofdovereenkomst kosteloos opzeggen tegen de datum waarop de wijziging ingaat.
3. Altijdbereikt legt aan iedere subverwerker schriftelijk ten minste dezelfde verplichtingen op als in deze overeenkomst. Altijdbereikt blijft tegenover de Klant aansprakelijk voor het nakomen van die verplichtingen door subverwerkers.

7. Doorgifte buiten de EER

Altijdbereikt geeft persoonsgegevens alleen door aan een land buiten de EER als daarvoor passende waarborgen bestaan in de zin van hoofdstuk V AVG, zoals een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework voor gecertificeerde partijen) of de standaardcontractbepalingen van de Europese Commissie, zo nodig aangevuld met aanvullende maatregelen.

8. Rechten van betrokkenen

Altijdbereikt helpt de Klant, voor zover redelijkerwijs mogelijk, bij het afhandelen van verzoeken van betrokkenen (zoals inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar). Ontvangt Altijdbereikt zo'n verzoek rechtstreeks, dan stuurt zij het binnen 5 werkdagen door naar de Klant en handelt zij het niet zelf af, tenzij de Klant daartoe opdracht geeft.

9. Datalekken

1. Altijdbereikt informeert de Klant zonder onredelijke vertraging en uiterlijk binnen 36 uur nadat zij een datalek heeft ontdekt dat betrekking heeft op persoonsgegevens van de Klant.
2. De melding bevat, voor zover bekend: de aard van het lek, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen en een contactpunt. Informatie die nog niet bekend is, wordt zo snel mogelijk aangevuld.
3. De Klant beoordeelt of het lek gemeld moet worden aan de Autoriteit Persoonsgegevens en/of aan betrokkenen, en doet die meldingen zelf. Altijdbereikt verleent daarbij redelijke medewerking.
4. Altijdbereikt documenteert alle datalekken, inclusief de feiten, gevolgen en genomen maatregelen.

10. Overige bijstand

Altijdbereikt helpt de Klant, rekening houdend met de aard van de verwerking en de informatie waarover zij beschikt, bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG, zoals een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens. Voor bijstand die meer dan beperkte tijd kost, mag Altijdbereikt na voorafgaande melding redelijke kosten rekenen tegen haar gangbare tarief.

11. Informatie en audits

1. Altijdbereikt stelt alle informatie beschikbaar die nodig is om aan te tonen dat zij deze overeenkomst en artikel 28 AVG naleeft.
2. De Klant mag maximaal één keer per jaar, of na een datalek, een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte deskundige. De audit wordt ten minste 14 dagen vooraf aangekondigd en verstoort de bedrijfsvoering niet onnodig. De kosten zijn voor de Klant, tenzij blijkt dat Altijdbereikt deze overeenkomst op wezenlijke punten niet nakomt.

12. Bewaren, teruggeven en verwijderen

1. Altijdbereikt bewaart persoonsgegevens niet langer dan nodig voor de dienstverlening of dan in Bijlage 1 is afgesproken.
2. Na afloop van de Hoofdovereenkomst geeft Altijdbereikt de persoonsgegevens op verzoek van de Klant binnen 30 dagen terug in een gangbaar formaat (bijvoorbeeld CSV of JSON) en verwijdert zij ze daarna, inclusief kopieën bij subverwerkers, tenzij opslag wettelijk verplicht is. Back-ups worden volgens het gebruikelijke rotatieschema overschreven, uiterlijk binnen 90 dagen.
3. Op verzoek bevestigt Altijdbereikt schriftelijk dat de gegevens zijn verwijderd.

13. Aansprakelijkheid

Voor de aansprakelijkheid van partijen gelden de bepalingen uit de algemene voorwaarden van Altijdbereikt, voor zover de AVG daar niet dwingend van afwijkt (artikel 82 AVG).

14. Looptijd en slotbepalingen

1. Deze overeenkomst geldt zolang Altijdbereikt persoonsgegevens voor de Klant verwerkt, en eindigt niet eerder dan de Hoofdovereenkomst. Verplichtingen die naar hun aard doorlopen (zoals geheimhouding en verwijdering) blijven ook daarna gelden.
2. Bij strijdigheid gaat deze overeenkomst voor op de Hoofdovereenkomst en de algemene voorwaarden, voor zover het de verwerking van persoonsgegevens betreft.
3. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter van de Rechtbank Den Haag.
4. Wijzigt de wet of een besluit van een toezichthouder, dan passen partijen deze overeenkomst zo nodig in goed overleg aan.

Ondertekening

Bijlage 1 – Beschrijving van de verwerking

Bijlage 2 – Beveiligingsmaatregelen

• Versleutelde verbindingen (TLS/HTTPS) voor de chatbot, de beheeromgeving en het doorsturen van aanvragen.
• Toegang tot gegevens alleen voor wie dat nodig heeft (need-to-know), met persoonlijke accounts, sterke wachtwoorden en tweestapsverificatie.
• Gegevens worden opgeslagen bij gerenommeerde hostingproviders met versleuteling van opgeslagen data, waar de provider dat biedt.
• Dataminimalisatie: de chatbot vraagt alleen gegevens die nodig zijn voor de aanvraag, en gesprekken worden automatisch verwijderd na de bewaartermijn.
• Geheimen zoals API-sleutels staan niet in broncode en worden per klant gescheiden.
• Software en afhankelijkheden worden actueel gehouden; beveiligingsupdates worden zo snel mogelijk doorgevoerd.
• Logging van beheerhandelingen en monitoring van ongebruikelijke activiteit, voor zover de gebruikte diensten dat ondersteunen.
• Een vaste werkwijze voor het melden en afhandelen van datalekken (zie artikel 9).
• Instellingen bij aanbieders van AI-taalmodellen waarbij ingevoerde gegevens niet worden gebruikt om modellen te trainen, voor zover de aanbieder dat mogelijk maakt.

Bijlage 3 – Categorieën subverwerkers

Een overzicht van de concrete subverwerkers, met vestigingsland en doorgiftemechanisme, wordt bij ondertekening verstrekt en actueel gehouden volgens artikel 6.

Afdrukken / opslaan als PDF