Verwerkers­overeenkomst

Versie 1.1, geldig vanaf 17 september 2026

1. Partijen en rollen

1. Deze overeenkomst hoort bij de algemene voorwaarden en geldt tussen jou (verwerkingsverantwoordelijke) en ModernizeNow (Melle Melssen), Deventer, KvK-nummer 90712153 (verwerker).
2. Ze geldt automatisch zodra we voor De Bouw of Beheer persoonsgegevens voor jou verwerken, en zolang we dat doen. Een getekende versie kun je altijd bij ons opvragen.
3. Woorden als persoonsgegevens, verwerking en inbreuk op de beveiliging hebben de betekenis die de Algemene Verordening Gegevensbescherming (AVG) eraan geeft.

2. Wat we verwerken en waarom

1. Doel: het bouwen, testen, laten draaien en beheren van de automatisering die in het Automatiseringsplan en de opdrachtbevestiging is beschreven. Niets anders.
2. Soorten gegevens: de gegevens die in het betreffende proces voorkomen, meestal naam, contactgegevens, adres, bedrijfsgegevens en de inhoud van aanvragen, offertes, orders, werkbonnen of facturen. De precieze gegevens staan in het plan.
3. Betrokkenen: jouw klanten, leveranciers, relaties en medewerkers, voor zover zij in het proces voorkomen.
4. Bijzondere persoonsgegevens (zoals gezondheidsgegevens) of strafrechtelijke gegevens verwerken we alleen als we dat vooraf schriftelijk hebben afgesproken, met passende extra maatregelen.

3. Alleen op jouw instructie

1. We verwerken de gegevens alleen volgens jouw instructies. Het plan, de opdrachtbevestiging en schriftelijke afspraken daarna gelden als die instructies.
2. We gebruiken de gegevens nooit voor onze eigen doelen, ook niet om taalmodellen te trainen.
3. Vinden we dat een instructie in strijd is met de AVG, dan laten we je dat meteen weten.
4. Moeten we op grond van de wet gegevens verstrekken, dan melden we je dat vooraf, tenzij de wet dat verbiedt.

4. Geheimhouding

Iedereen die bij ons toegang heeft tot de gegevens, is tot geheimhouding verplicht. Op dit moment is dat alleen Melle Melssen.

5. Beveiliging

We nemen passende technische en organisatorische maatregelen. Op dit moment zijn dat onder meer:

• Verwerking op een server in de EU (Wenen, Oostenrijk), met het taalmodel op dezelfde server. Gegevens uit jouw proces gaan niet naar een externe AI-dienst.
• De beheeromgeving van de automatiseringen is niet vanaf het internet bereikbaar, alleen via een afgeschermd privénetwerk.
• Versleutelde verbindingen, een firewall, en toegang tot alleen de systemen die voor het proces nodig zijn.
• Dagelijkse back-ups, die 14 dagen bewaard blijven; losse kopieën bij wijzigingen maximaal 30 dagen.
• Technische verwerkingsgegevens van de automatiseringen worden na 7 dagen automatisch verwijderd.
• Een mens controleert het resultaat voordat er iets naar jouw klanten gaat (zie artikel 8 van de algemene voorwaarden).

Veranderen de maatregelen, dan wordt het beveiligingsniveau niet lager.

6. Subverwerkers

1. Je geeft ons toestemming om de volgende subverwerkers in te schakelen:

   Subverwerker	Waarvoor	Waar
   netcup GmbH	Hosting van de server waarop de automatisering draait	Wenen, Oostenrijk (EU)
   STRATO AG	Versturen van e-mail vanuit de automatisering, als die via ons mailadres loopt (bijvoorbeeld een offerte ter controle naar jou)	Duitsland (EU)
   Telegram	Korte meldingen aan ons over voortgang en storingen, met een kenmerk, soms een naam en een bedrag. E-mailadressen, telefoonnummers en adresregels worden er automatisch uit gehaald.	Buiten de EU, zonder adequaatheidsbesluit. Wil je dit niet, zeg het dan: dan krijgen we die meldingen alleen per e-mail.

2. Draait de automatisering in jouw eigen omgeving, of gebruikt ze systemen die jij al hebt (zoals je boekhoudpakket of mailbox), dan zijn dat jouw leveranciers en geen subverwerkers van ons.
3. Willen we een andere subverwerker inschakelen, dan melden we dat minstens vier weken vooraf. Je kunt daartegen bezwaar maken; komen we er niet uit, dan kun je de betreffende dienst beëindigen.
4. We leggen elke subverwerker dezelfde verplichtingen op als in deze overeenkomst, voor zover die partij dat contractueel mogelijk maakt, en we blijven tegenover jou verantwoordelijk voor hun nakoming. Bij de subverwerkers in de EU gelden daarnaast hun verwerkersvoorwaarden. Telegram, buiten de EU, biedt geen verwerkersovereenkomst; daarom beperken we de inhoud tot wat hierboven staat, en je kunt het altijd laten uitzetten. Andere doorgifte buiten de Europese Economische Ruimte doen we alleen met jouw voorafgaande toestemming en met de waarborgen die de AVG vraagt.

7. Hulp bij rechten van betrokkenen

Vraagt een van jouw klanten of medewerkers om inzage, correctie of verwijdering, dan helpen we je daarbij, voor zover het de gegevens in de automatisering betreft. Komt zo'n verzoek bij ons binnen, dan sturen we het direct naar jou door en handelen we het niet zelf af.

8. Datalekken

1. Ontdekken we een inbreuk op de beveiliging die jouw gegevens raakt, dan melden we dat zonder onnodige vertraging en uiterlijk binnen 24 uur na ontdekking, zodat jij binnen 72 uur kunt melden bij de Autoriteit Persoonsgegevens als dat nodig is.
2. We geven je daarbij wat we weten: wat er is gebeurd, welke gegevens en hoeveel mensen het raakt, de waarschijnlijke gevolgen en wat we hebben gedaan of gaan doen.
3. We helpen je ook bij een gegevensbeschermingseffectbeoordeling (DPIA) of voorafgaande raadpleging, als je die voor dit proces nodig hebt.

9. Controle

Je mag controleren of we ons aan deze overeenkomst houden. We geven je daarvoor de informatie die nodig is en werken mee aan een audit door jou of een onafhankelijke deskundige, na redelijke aankondiging en binnen werktijd. De kosten van een audit zijn voor jou, tenzij blijkt dat we ons niet aan deze overeenkomst hielden.

10. Einde

1. Stopt de dienst, dan geven we binnen 30 dagen, naar jouw keuze, de gegevens terug in een gangbaar bestandsformaat of verwijderen we ze, tenzij de wet ons verplicht ze te bewaren.
2. Back-ups met die gegevens worden binnen 30 dagen daarna vanzelf opgeruimd.
3. Op jouw verzoek bevestigen we schriftelijk dat de gegevens zijn verwijderd.

11. Aansprakelijkheid en overig

Voor aansprakelijkheid geldt artikel 12 van de algemene voorwaarden, voor zover de AVG dat toelaat. Op deze overeenkomst is Nederlands recht van toepassing. Staat er in deze overeenkomst iets anders dan in de algemene voorwaarden, dan gaat deze overeenkomst voor als het om persoonsgegevens gaat.