Verwerkersovereenkomst

Via je website, webshop en e-mail komen persoonsgegevens binnen van jouw klanten en bezoekers. Die gegevens staan op onze systemen. Voor die gegevens ben jij de verwerkingsverantwoordelijke en zijn wij de verwerker, zoals bedoeld in de Algemene Verordening Gegevensbescherming (AVG). In deze verwerkersovereenkomst leggen we vast hoe wij daarmee omgaan.

Deze verwerkersovereenkomst is onderdeel van onze algemene voorwaarden en geldt automatisch zodra je een dienst bij ons afneemt waarbij wij persoonsgegevens voor je verwerken. Je hoeft hem niet apart te ondertekenen. Wil je toch een getekende versie, of werk je met een eigen model, neem dan contact op.

Partijen

• Jij (verwerkingsverantwoordelijke): het bedrijf of de organisatie die bij ons een dienst afneemt.
• Wij (verwerker): MD Webbureau V.O.F., Computerweg 22, 3542 DR Utrecht, KvK 99884941.

Artikel 1. Waar het over gaat

1. Wij verwerken persoonsgegevens alleen om de afgesproken diensten te leveren: het bouwen, hosten, beheren en aanpassen van je website of webshop, en het leveren van e-mail op je domein.
2. Om welke gegevens en personen het gaat, staat in bijlage 1. Dat hangt af van wat er op jouw website staat en wat jij met je e-mail doet.
3. Jij bepaalt waarom en hoe de gegevens worden verwerkt. Jij zorgt ervoor dat je dat mag, bijvoorbeeld omdat je bezoekers goed informeert in je eigen privacyverklaring en zo nodig toestemming vraagt.

Artikel 2. Alleen op jouw instructie

1. Wij verwerken de persoonsgegevens alleen op jouw instructie. De overeenkomst en jouw verzoeken via WhatsApp, e-mail of het klantportaal gelden als instructie.
2. Wij gebruiken de gegevens niet voor onszelf, verkopen ze niet en geven ze niet aan anderen, tenzij jij daarom vraagt of de wet ons daartoe verplicht. In dat laatste geval laten we het je vooraf weten, tenzij de wet dat verbiedt.
3. Vinden wij dat een instructie in strijd is met de AVG, dan laten we je dat direct weten.

Artikel 3. Geheimhouding

Iedereen die bij ons toegang heeft tot de persoonsgegevens, is tot geheimhouding verplicht. Toegang krijgen alleen mensen die dat voor hun werk nodig hebben.

Artikel 4. Beveiliging

1. Wij nemen passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen. De belangrijkste staan in bijlage 2.
2. Wij passen die maatregelen aan als de techniek of de risico’s daarom vragen. Wij garanderen niet dat beveiliging onder alle omstandigheden werkt, maar zorgen voor een niveau dat past bij de risico’s.
3. Jij zorgt zelf voor de beveiliging van wat jij beheert, zoals je wachtwoorden, je eigen apparaten en de accounts die je aan anderen geeft.

Artikel 5. Subverwerkers

1. Je geeft ons algemene toestemming om andere partijen in te schakelen die ons helpen bij de diensten, zoals datacenters en leveranciers van software. De subverwerkers die we nu gebruiken staan in bijlage 3.
2. Gaan we een nieuwe subverwerker inschakelen of een bestaande vervangen, dan laten we je dat minstens 2 weken van tevoren weten. Je kunt binnen die 2 weken met redenen bezwaar maken. Komen we er samen niet uit, dan mag je de betreffende dienst opzeggen.
3. Wij leggen aan elke subverwerker minstens dezelfde verplichtingen op als in deze verwerkersovereenkomst staan, en blijven tegenover jou verantwoordelijk voor hun werk.

Artikel 6. Waar de gegevens staan

1. De websites, webshops en mailboxen staan op servers in Nederland.
2. Wij geven persoonsgegevens alleen door naar een land buiten de Europese Economische Ruimte als daarvoor een geldige grondslag in de AVG is, zoals een adequaatheidsbesluit van de Europese Commissie, waaronder het EU-VS Data Privacy Framework, of de standaardcontractbepalingen van de Europese Commissie.

Artikel 7. Datalekken

1. Ontdekken wij een inbreuk op de beveiliging die gevolgen heeft voor de persoonsgegevens, dan laten we je dat zonder onnodige vertraging weten, en waar mogelijk binnen 48 uur nadat we het ontdekten.
2. We geven je dan alle informatie die je nodig hebt om te beoordelen of je het lek moet melden bij de Autoriteit Persoonsgegevens of bij de betrokkenen. Die melding doe jij. Wij helpen je daarbij.
3. We nemen direct maatregelen om de gevolgen te beperken en herhaling te voorkomen.

Artikel 8. Hulp bij verzoeken en verplichtingen

1. Vraagt iemand jou om inzage, correctie of verwijdering van zijn gegevens, dan helpen wij je daar redelijkerwijs bij, voor zover jij dat niet zelf kunt. Komt zo’n verzoek bij ons binnen, dan sturen we het naar jou door.
2. Wij helpen je ook bij een gegevensbeschermingseffectbeoordeling (DPIA) of een vraag van de Autoriteit Persoonsgegevens, voor zover dat over onze verwerking gaat.
3. Kleine verzoeken doen we zonder kosten. Kost de hulp meer dan een uur, dan bespreken we vooraf de kosten tegen ons uurtarief.

Artikel 9. Controle

1. Op verzoek laten wij zien dat we ons aan deze verwerkersovereenkomst houden, bijvoorbeeld met een beschrijving van onze maatregelen of verklaringen van onze subverwerkers.
2. Heb je gegronde redenen om te denken dat wij ons er niet aan houden, dan mag je eens per jaar een audit laten doen door een onafhankelijke deskundige die tot geheimhouding verplicht is. We spreken het moment samen af, minstens 2 weken van tevoren. Jij betaalt de kosten van de audit, tenzij blijkt dat wij ons op belangrijke punten niet aan de afspraken hielden.

Artikel 10. Aansprakelijkheid

Voor de aansprakelijkheid geldt wat in de algemene voorwaarden staat, artikel 9. Elk van ons blijft aansprakelijk voor boetes die een toezichthouder aan hem oplegt.

Artikel 11. Looptijd en einde

1. Deze verwerkersovereenkomst loopt zolang wij voor jou persoonsgegevens verwerken.
2. Eindigt de dienst, dan kun je tot 30 dagen daarna een export van je website en mailboxen krijgen, zoals in de algemene voorwaarden staat. Daarna verwijderen wij de persoonsgegevens, inclusief de back-ups zodra die volgens het back-upschema verlopen. Moeten wij gegevens van de wet langer bewaren, dan doen we dat alleen daarvoor.
3. Op verzoek bevestigen we schriftelijk dat de gegevens zijn verwijderd.

Bijlage 1. Welke gegevens en welke personen

Dit hangt af van jouw website, webshop en e-mail. Gebruikelijk zijn:

Wij verwerken geen bijzondere persoonsgegevens, zoals gegevens over gezondheid, tenzij jij die via je website of e-mail laat verwerken. Doe je dat, laat het ons dan vooraf weten, zodat we kunnen nagaan of extra maatregelen nodig zijn.

Bijlage 2. Beveiligingsmaatregelen

• Versleutelde verbindingen (SSL) voor alle websites en voor e-mail
• Servers in beveiligde datacenters in Nederland
• Software, WordPress en plugins worden bijgewerkt, beveiligingsupdates zo snel mogelijk
• Dagelijkse back-ups, zodat we de website kunnen terugzetten na een storing of fout
• Firewall en bescherming tegen misbruik en aanvallen
• Toegang tot beheeromgevingen alleen voor wie dat nodig heeft, met sterke wachtwoorden en waar mogelijk tweestapsverificatie
• Wijzigingen worden gecontroleerd door een mens voordat ze live gaan
• Hulpmiddelen en AI zetten wij zo in dat persoonsgegevens van jouw klanten niet nodig zijn om een wijziging uit te voeren, en niet worden gebruikt om modellen te trainen

Bijlage 3. Subverwerkers

De volledige lijst met namen sturen we je op verzoek. Wijzigingen melden we volgens artikel 5.

MD Webbureau V.O.F., KvK 99884941. Versie 23 oktober 2026.