Verwerkersovereenkomst

Deze modellen volgen de AVG in het algemeen. Zij pretenderen niet het nationale recht van elk land te dekken. In Nederland is de Autoriteit Persoonsgegevens de toezichthoudende autoriteit. De bevoegdheid volgt nog steeds de hoofdvestiging van de verwerkingsverantwoordelijke (artikel 56 AVG).

Tussen de klant van de dienst, als verwerkingsverantwoordelijke (de Verantwoordelijke),

en Atelier Exemple, 10 rue de l'Exemple, 75002 Paris, France, contact@exemple-saas.example (de Verwerker).

Deze overeenkomst geldt wanneer de Verwerker persoonsgegevens verwerkt voor de Verantwoordelijke voor de dienst op https://exemple-saas.example. Zij dekt geen verwerking waarvan de aanbieder zelf verwerkingsverantwoordelijke is.

1. Voorwerp, aard, duur

De Verwerker host, bewaart en toont de gegevens die nodig zijn om de dienst te leveren, en maakt de bestanden die het product maakt. Duur: de overeenkomst, daarna wissing of teruggave zoals in artikel 8, tenzij een regel die op de Verwerker van toepassing is een langer archief eist.

2. Gedocumenteerde instructies

De Verwerker handelt alleen op gedocumenteerde instructies van de Verantwoordelijke, met inbegrip van deze overeenkomst, tenzij Unierecht of lidstatelijk recht anders eist. Dan informeert de Verwerker de Verantwoordelijke vóór de verwerking, tenzij de wet die informatie verbiedt.

3. Vertrouwelijkheid

Personen die gemachtigd zijn de gegevens te verwerken, zijn aan geheimhouding gebonden.

4. Beveiliging

De aanbieder treft technische en organisatorische maatregelen die passend zijn onder artikel 32 AVG (toegangsbeheer, HTTPS, minimale gegevensverwerking, professionele dienstverleners), zonder te beloven dat er geen restrisico overblijft. ISO 27001 en SOC 2 zijn niet aangevinkt: geen van beide certificeringen wordt beweerd.

5. Subverwerkers

De Verantwoordelijke machtigt de subverwerkers van bijlage 3. De Verwerker informeert de Verantwoordelijke vóór een toevoeging of vervanging. De Verantwoordelijke kan binnen 30 dagen bezwaar maken. Als het bezwaar niet wordt opgelost, kan de Verantwoordelijke de betrokken verwerking stoppen.

6. Bijstand

De Verwerker staat de Verantwoordelijke bij, voor zover mogelijk, bij verzoeken van betrokkenen, beveiliging, meldingen van inbreuken en effectbeoordelingen, rekening houdend met de aard van de verwerking.

7. Inbreuk

De Verwerker meldt de Verantwoordelijke een inbreuk in verband met persoonsgegevens zonder onnodige vertraging nadat hij ervan kennis heeft gekregen. Het model verzint geen vast aantal uren.

8. Wissing en teruggave

Aan het einde van de dienst wist of geeft de Verwerker de gegevens terug, naar keuze van de Verantwoordelijke, en wist hij resterende kopieën tenzij de wet bewaring eist.

9. Audits

De Verantwoordelijke mag auditen, ook via een gemandateerde controleur gebonden aan geheimhouding, met een redelijke kennisgeving, niet vaker dan eenmaal per jaar tenzij er een inbreuk is of een verzoek van een autoriteit. De Verwerker mag een controleur weigeren die een concurrent is.

10. Doorgiften

Doorgiften buiten de EU/EER gebruiken een mechanisme van hoofdstuk V AVG. Bijlage 3 herhaalt wat de aanbieder publiceert. Zij voegt geen mechanisme toe dat de fiche als niet meegedeeld markeert.

11. Aansprakelijkheid

Artikel 82 AVG geldt jegens betrokkenen. Het contract schuift de eigen boete van een partij niet door naar de andere. Er wordt geen nationale forfaitaire vergoeding toegevoegd.

Bijlage 1 — Beschrijving

• Voorwerp: de dienst op https://exemple-saas.example.
• Verrichtingen: hosting, authenticatie indien gebruikt, opslag, aanmaak van bestanden, support, logs.
• Personen: de gebruikers van de Verantwoordelijke en het personeel van de Verantwoordelijke. Verdere categorieën worden door dit model niet meegedeeld.

Bijlage 2 — Beveiliging

De aanbieder treft technische en organisatorische maatregelen die passend zijn onder artikel 32 AVG (toegangsbeheer, HTTPS, minimale gegevensverwerking, professionele dienstverleners), zonder te beloven dat er geen restrisico overblijft. ISO 27001 en SOC 2 zijn niet aangevinkt: geen van beide certificeringen wordt beweerd.

Bijlage 3 — Gemachtigde subverwerkers

1. Scaleway, S.A.S. (Scaleway) — European Union — Cloud (compute, storage, databases). The DPA covers data uploaded to a service ordered through the account. A more detailed list is not published. The DPA (1 June 2024) says services are located in the European Union by default. Scaleway is not registered under the Data Privacy Framework.

1. Stripe Payments Europe, Limited (Stripe) — Ierland (groep Stripe, Inc., Verenigde Staten) — Betaling en facturering. Betaalgegevens, transactie-id’s, factuur-e-mail. De aanbieder bewaart geen volledige kaartnummers. Stripe Payments Europe is verwerkingsverantwoordelijke of verwerker naargelang de stroom; intragroepdoorgifte via SCB’s.

1. Resend, Inc. (Resend) — Verenigde Staten — Transactionele e-mail. E-mailadressen van ontvangers, onderwerp en inhoud, verzendlogs. Doorgifte buiten de EU gedekt door SCB’s.

1. Plausible Insights OÜ (Plausible) — Estland — Publieksmeting zonder cookies. Geaggregeerde pageviews, bij benadering land, user-agent, verwijzer. Geen advertentiecookie. Verwerking in de EU (Estland). Controleer de hosting van uw account.

Mededeling. Dit bestand is een model dat StackLégal heeft gemaakt uit wat u hebt ingevuld. Het is geen juridisch advies en geen conformiteitsattest. Lees het na. Bij hoog risico (gezondheid, financiën, minderjarigen, gevoelige gegevens, enterprise-klanten) laat u het nalezen door een jurist.

Model van 6 October 2026. Alleen de structuur: Verordening (EU) 2016/679, in het bijzonder de artikelen 12 tot 14, 28, 32 en 82; Richtlijn 2011/83/EU over herroeping als er een consument is; Verordening (EU) 2022/2065 (DSA) als gebruikers inhoud publiceren. Geen nationale wet wordt geciteerd alsof zij overal geldt.

Model ingevuld voor: Atelier Exemple — https://exemple-saas.example