Verwerkersovereenkomst

Deze verwerkersovereenkomst geeft uitvoering aan artikel 28 AVG en hoort als bijlage bij de overeenkomst tussen AxiOps en de opdrachtgever. Zij regelt hoe AxiOps persoonsgegevens verwerkt in opdracht van de opdrachtgever. Verwerker is AxiOps, Doornhoek 3745A, 5465 TA Veghel, KvK 96972912. Verwerkingsverantwoordelijke is de opdrachtgever. Versie 1.0, ingangsdatum 22 augustus 2026.

Artikel 1. Partijen, definities en rangorde

1.1 In deze verwerkersovereenkomst hebben de begrippen uit de AVG de betekenis die de AVG daaraan geeft. Onder overeenkomst verstaan wij de hoofdovereenkomst: de ondertekende offerte met het bijbehorende scope-document en de algemene voorwaarden. Onder systeem verstaan wij de door AxiOps ontwikkelde of beheerde oplossing zoals in de overeenkomst omschreven. Een subverwerker is een door AxiOps ingeschakelde derde die in dit kader persoonsgegevens verwerkt. Een gekoppelde dienst is een systeem of dienst van een derde die de opdrachtgever zelf heeft gekozen of gecontracteerd en die op zijn verzoek aan het systeem is gekoppeld. Een externe databron zijn persoonsgegevens die de opdrachtgever van een derde betrekt en in het systeem laat invoeren, waaronder aangekochte leadbestanden.

1.2 De opdrachtgever is verwerkingsverantwoordelijke, AxiOps is verwerker. AxiOps verwerkt persoonsgegevens uitsluitend ten behoeve van de opdrachtgever en niet voor eigen doeleinden. Het onderwerp, de duur, de aard, het doel en de categorieën betrokkenen en gegevens worden per opdrachtgever gespecificeerd in bijlage 1 bij de eigen overeenkomst.

1.3 Bij tegenstrijdigheid tussen deze verwerkersovereenkomst en de overeenkomst of de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

Artikel 2. Verwerking en instructies

2.1 AxiOps verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de opdrachtgever, ook wat betreft doorgiften aan derde landen of internationale organisaties, tenzij een Unierechtelijke of lidstaatrechtelijke bepaling AxiOps tot verwerking verplicht. In dat geval stelt AxiOps de opdrachtgever voorafgaand aan de verwerking in kennis van dat wettelijk voorschrift, tenzij die wetgeving die kennisgeving verbiedt.

2.2 De overeenkomst, deze verwerkersovereenkomst en het normale gebruik van het systeem gelden als de gedocumenteerde instructies. Aanvullende instructies worden schriftelijk overeengekomen; leiden zij tot extra werkzaamheden, dan geldt de meerwerkregeling uit de overeenkomst.

2.3 AxiOps stelt de opdrachtgever onmiddellijk in kennis als een instructie naar haar oordeel in strijd is met de AVG of andere gegevensbeschermingsbepalingen, en mag de uitvoering van die instructie opschorten totdat partijen overeenstemming hebben bereikt.

2.4 Personen die onder gezag van AxiOps toegang hebben tot persoonsgegevens zijn gebonden aan een geheimhoudingsplicht, contractueel of uit hoofde van hun functie.

Artikel 3. Verantwoordelijkheden van de opdrachtgever

3.1 De opdrachtgever staat ervoor in dat de verwerking van persoonsgegevens in het systeem rechtmatig is. Daaronder valt in ieder geval: het bestaan van een geldige verwerkingsgrondslag, het informeren van betrokkenen, het naleven van de beginselen van artikel 5 AVG, het bijhouden van het verwerkingsregister, het uitvoeren van DPIA's waar vereist, en het afhandelen van verzoeken en bezwaren van betrokkenen.

3.2 De opdrachtgever voert geen bijzondere categorieën van persoonsgegevens, strafrechtelijke gegevens of nationale identificatienummers in het systeem in, tenzij partijen dat uitdrukkelijk schriftelijk zijn overeengekomen en passende aanvullende maatregelen zijn getroffen.

3.3 Betrekt de opdrachtgever persoonsgegevens van derden, zoals aangekochte leadbestanden of gehuurde adresbestanden, en worden deze in het systeem ingevoerd, dan staat de opdrachtgever ervoor in dat er voor die gegevens een geldige grondslag bestaat, dat de betrokkenen conform artikel 14 AVG tijdig zijn geïnformeerd, dat bezwaren, afmeldingen en opt-outs worden gerespecteerd en verwerkt, en dat de herkomst van de gegevens is gedocumenteerd. Het invoeren of laten invoeren van een externe databron geldt als een gedocumenteerde instructie. AxiOps is niet gehouden en niet in staat de rechtmatigheid van externe databronnen te beoordelen.

3.4 Bij een concrete en gemotiveerde aanwijzing dat een externe databron onrechtmatig is verkregen of verwerkt, mag AxiOps om een onderbouwing vragen en, als die uitblijft, de verwerking van de betreffende gegevens opschorten totdat de rechtmatigheid is toegelicht. AxiOps is niet aansprakelijk voor schade als gevolg van een dergelijke redelijke opschorting.

3.5 De opdrachtgever vrijwaart AxiOps tegen aanspraken van betrokkenen, toezichthouders of andere derden, waaronder boetes en dwangsommen, voor zover die voortvloeien uit het handelen of nalaten van de opdrachtgever als verwerkingsverantwoordelijke. Deze vrijwaring geldt niet voor zover de aanspraak voortvloeit uit een tekortkoming van AxiOps of uit opzet of bewuste roekeloosheid van AxiOps.

Artikel 4. Subverwerkers en gekoppelde diensten

4.1 De opdrachtgever verleent AxiOps een algemene toestemming voor het inschakelen van subverwerkers. De bij ingang ingeschakelde subverwerkers staan in bijlage 2 bij de eigen overeenkomst. Standaard zijn dat Scaleway SAS voor hosting en infrastructuur inclusief back-ups (Parijs, Frankrijk), Hetzner Online GmbH voor uitwijk- en back-upinfrastructuur (Duitsland) en Microsoft Ireland Operations Limited voor e-mail, agenda en bestandsopslag (Ierland). Waar advertenties onderdeel zijn van de dienstverlening komt daar Meta Platforms Ireland Limited bij, voor advertenties en leadformulieren waaruit aanvragen in het systeem binnenkomen (Ierland).

4.2 AxiOps informeert de opdrachtgever ten minste dertig dagen voorafgaand aan het toevoegen of vervangen van een subverwerker. De opdrachtgever kan binnen die termijn schriftelijk en gemotiveerd bezwaar maken op redelijke, aan gegevensbescherming gerelateerde gronden. Partijen zoeken dan in overleg naar een redelijke oplossing; lukt dat niet, dan mag de opdrachtgever het betreffende onderdeel van de diensten opzeggen tegen de datum waarop de wijziging ingaat.

4.3 AxiOps legt aan iedere subverwerker verplichtingen op die gelijkwaardig zijn aan die in deze verwerkersovereenkomst, waaronder passende beveiligingsmaatregelen. Schiet een subverwerker tekort in de nakoming daarvan, dan blijft AxiOps jegens de opdrachtgever verantwoordelijk voor die nakoming.

4.4 Kiest of contracteert de opdrachtgever zelf een systeem of dienst van een derde, zoals een leadleverancier, boekhoudpakket of marketingtool, en wordt die op zijn verzoek aan het systeem gekoppeld, dan is die derde geen subverwerker van AxiOps. De opdrachtgever is voor de verwerking door die gekoppelde dienst zelf verantwoordelijk, sluit waar nodig zelf een verwerkersovereenkomst met die derde en staat in voor de rechtmatigheid van de gegevensuitwisseling. Het laten inrichten van zo'n koppeling geldt als een gedocumenteerde instructie.

Artikel 5. Beveiliging

5.1 AxiOps treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doelen van de verwerking. De maatregelen zijn afgestemd op de uitgangspunten van ISO/IEC 27001 en omvatten ten minste: versleuteld transport via TLS, rolgebaseerde toegang volgens het least-privilege-beginsel, meerfactorauthenticatie waar passend, periodiek patch- en updatebeheer, logging en monitoring van toegang tot productiesystemen, back-up- en herstelvoorzieningen met een regulier rotatieschema, geheimhouding voor iedereen met toegang, en een vastgelegde incident- en datalekprocedure met een incidentenregister. Het volledige overzicht staat op de pagina over security en AVG.

5.2 AxiOps mag de maatregelen van tijd tot tijd aanpassen aan technische en organisatorische ontwikkelingen, mits het beveiligingsniveau daardoor niet wezenlijk vermindert.

5.3 De opdrachtgever is zelf verantwoordelijk voor een veilig gebruik van het systeem aan zijn kant, waaronder het beheer van gebruikersaccounts en toegangsrechten, sterke wachtwoorden, het gebruik van beschikbare meerfactorauthenticatie en het tijdig intrekken van toegang van vertrokken medewerkers.

Artikel 6. Datalekken

6.1 AxiOps informeert de opdrachtgever zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, over een inbreuk in verband met persoonsgegevens die de door AxiOps beheerde systemen betreft. De melding bevat, voor zover op dat moment bekend: de aard van de inbreuk, de categorieën betrokkenen en gegevens, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. Informatie die later beschikbaar komt, wordt nagestuurd.

6.2 De beoordeling of een inbreuk moet worden gemeld aan de Autoriteit Persoonsgegevens of aan betrokkenen, en het doen van die meldingen, is de verantwoordelijkheid van de opdrachtgever. AxiOps meldt niet zelfstandig aan de toezichthouder of aan betrokkenen, tenzij een wettelijke plicht dat vereist of de opdrachtgever daarom schriftelijk verzoekt.

6.3 AxiOps verleent redelijke medewerking aan het onderzoeken, beperken en documenteren van de inbreuk en houdt een eigen incidentenregister bij.

Artikel 7. Rechten van betrokkenen en bijstand

7.1 Ontvangt AxiOps rechtstreeks een verzoek of klacht van een betrokkene over persoonsgegevens die zij voor de opdrachtgever verwerkt, dan stuurt zij dit zonder onredelijke vertraging door aan de opdrachtgever en handelt zij het verzoek niet zelfstandig inhoudelijk af.

7.2 AxiOps verleent de opdrachtgever redelijke bijstand bij het vervullen van diens plicht om verzoeken van betrokkenen te beantwoorden: inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar. Waar mogelijk verwijst AxiOps daarbij naar de zelfbedieningsfunctionaliteit van het systeem, waaronder de exportfunctie.

7.3 AxiOps verleent daarnaast redelijke bijstand bij de nakoming van de verplichtingen uit de artikelen 32 tot en met 36 AVG: beveiliging, datalekmeldingen, DPIA's en voorafgaande raadpleging.

7.4 Bijstand die verder gaat dan het gebruik van de standaardfunctionaliteit van het systeem, waaronder handmatige exports, zoekopdrachten of rapportages door AxiOps, geldt als meerwerk en wordt vergoed tegen het uurtarief uit de overeenkomst, tenzij de bijstand nodig is als gevolg van een tekortkoming van AxiOps.

Artikel 8. Doorgifte en audits

8.1 AxiOps verwerkt persoonsgegevens binnen de Europese Economische Ruimte, tenzij in bijlage 2 anders is vermeld of partijen anders zijn overeengekomen. Vindt doorgifte naar een land buiten de EER plaats, dan gebeurt dat uitsluitend met een geldig doorgiftemechanisme onder hoofdstuk V AVG, zoals een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie, waar nodig aangevuld met passende aanvullende maatregelen.

8.2 AxiOps stelt de opdrachtgever op verzoek alle informatie ter beschikking die redelijkerwijs nodig is om de nakoming van artikel 28 AVG en deze verwerkersovereenkomst aan te tonen, waaronder beschrijvingen van de getroffen maatregelen en, indien beschikbaar, certificeringen of auditrapportages van AxiOps of haar subverwerkers.

8.3 Volstaat die informatie aantoonbaar niet, dan mag de opdrachtgever maximaal eenmaal per twaalf maanden een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden deskundige, met een aankondigingstermijn van ten minste dertig dagen, tijdens kantooruren en zonder onnodige verstoring van de bedrijfsvoering van AxiOps. Bij een concreet vermoeden van een datalek of een wezenlijke tekortkoming kan een audit op kortere termijn plaatsvinden.

8.4 Ieder der partijen draagt de eigen kosten van een audit. Blijkt uit de audit een wezenlijke tekortkoming van AxiOps, dan draagt AxiOps de redelijke kosten ervan en herstelt zij de geconstateerde tekortkomingen binnen een redelijke termijn.

Artikel 9. Aansprakelijkheid

9.1 Op de aansprakelijkheid van partijen onder deze verwerkersovereenkomst is de aansprakelijkheidsregeling uit de overeenkomst en de algemene voorwaarden van toepassing, met inbegrip van de daarin opgenomen beperkingen en uitsluitingen.

9.2 In de onderlinge verhouding draagt iedere partij de administratieve boetes en schadevergoedingen die het gevolg zijn van haar eigen niet-nakoming van de AVG in haar eigen rol: de opdrachtgever als verwerkingsverantwoordelijke, AxiOps als verwerker.

9.3 Niets in deze verwerkersovereenkomst beperkt de aansprakelijkheid van een partij jegens betrokkenen voor zover artikel 82 AVG of ander dwingend recht die beperking niet toestaat, en evenmin de aansprakelijkheid voor schade als gevolg van opzet of bewuste roekeloosheid.

Artikel 10. Duur, beëindiging en verwijdering

10.1 Deze verwerkersovereenkomst treedt in werking op de ingangsdatum en duurt zolang AxiOps persoonsgegevens voor de opdrachtgever verwerkt. Beëindiging van de overeenkomst geldt als beëindiging van deze verwerkersovereenkomst, met dien verstande dat bepalingen die naar hun aard voortduren, waaronder geheimhouding en dit artikel, van kracht blijven.

10.2 Na beëindiging geeft AxiOps, ter keuze van de opdrachtgever, de persoonsgegevens terug of verwijdert deze, tenzij een wettelijke plicht opslag vereist. De opdrachtgever kan gegevens tot de einddatum zelf exporteren via de exportfunctie; een teruggave-actie door AxiOps kan als meerwerk in rekening worden gebracht conform de overeenkomst.

10.3 Persoonsgegevens die niet zijn teruggevraagd, worden uiterlijk negentig dagen na beëindiging verwijderd uit de actieve systemen. Persoonsgegevens in back-ups worden niet afzonderlijk verwijderd, maar overschreven of vernietigd conform het reguliere back-uprotatieschema van AxiOps of haar hostingpartij; tot dat moment blijven zij beveiligd opgeslagen, worden zij niet actief verwerkt en blijft deze verwerkersovereenkomst daarop onverkort van toepassing.

Artikel 11. Slotbepalingen

11.1 Wijzigingen van deze verwerkersovereenkomst zijn alleen geldig als ze schriftelijk zijn overeengekomen. Is een bepaling ongeldig, dan blijft de rest van kracht en vervangen partijen die bepaling door een geldige variant met dezelfde strekking.

11.2 Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de rechtbank Oost-Brabant, locatie 's-Hertogenbosch.

Vragen over deze verwerkersovereenkomst? Mail naar info@axiops.nl; wij reageren doorgaans binnen één werkdag.

Vraag de ondertekende versie op