Verwerkersovereenkomst

Versie 1.0 — laatst bijgewerkt op 27 augustus 2026.

Artikel 1 — Partijen en toepasselijkheid

1. Verwerker: , , KvK .
2. Verwerkingsverantwoordelijke: de organisatie die een zakelijke overeenkomst met ons sluit voor het gebruik van het platform.
3. Deze overeenkomst maakt onderdeel uit van die zakelijke overeenkomst en voldoet aan artikel 28 lid 3 AVG. Bij strijdigheid gaat deze verwerkersovereenkomst voor op de algemene voorwaarden, voor zover het de verwerking van persoonsgegevens betreft.

Artikel 2 — Onderwerp en duur

1. Wij verwerken persoonsgegevens uitsluitend ten behoeve van het aanbieden en onderhouden van het cursusplatform en de daarbij horende functies.
2. De verwerking duurt zolang de zakelijke overeenkomst loopt, plus de periode die nodig is om de gegevens terug te geven of te verwijderen.

Artikel 3 — Aard van de verwerking

Artikel 4 — Instructies

1. We verwerken persoonsgegevens uitsluitend op schriftelijke instructie van de verantwoordelijke. Het gebruik van het platform en de instellingen die de verantwoordelijke daarin kiest, gelden als die instructie.
2. Zijn wij op grond van Unierecht of Nederlands recht verplicht anders te verwerken, dan melden we dat vooraf, tenzij die wet dat verbiedt.
3. Menen we dat een instructie in strijd is met de AVG, dan melden we dat onmiddellijk.
4. We verwerken de gegevens niet voor eigen doeleinden, verkopen ze niet en gebruiken ze niet voor het trainen van modellen van derden.

Artikel 5 — Beveiliging

1. We nemen passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. Daaronder in elk geval: versleuteld transport (HTTPS), gehashte wachtwoorden, toegang op basis van rollen, ondertekende en kortlopende links voor media, en logging van inlogpogingen.
2. Personen die onder ons gezag toegang hebben tot de gegevens zijn tot geheimhouding verplicht.
3. Op verzoek geven we de verantwoordelijke de informatie die nodig is om deze maatregelen te beoordelen.

Artikel 6 — Subverwerkers

1. De verantwoordelijke geeft algemene toestemming voor het inschakelen van subverwerkers. De actuele lijst staat in hoofdstuk 5 van de privacyverklaring.
2. Vervangen of toevoegen van een subverwerker melden we minimaal dertig dagen vooraf. De verantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken; komen we er niet uit, dan kan de verantwoordelijke de zakelijke overeenkomst opzeggen voor het deel dat de wijziging raakt.
3. We leggen elke subverwerker dezelfde verplichtingen op als in deze overeenkomst staan, en blijven jegens de verantwoordelijke aansprakelijk voor hun handelen.

Artikel 7 — Doorgifte buiten de EER

Doorgifte naar landen buiten de Europese Economische Ruimte vindt alleen plaats op basis van een geldig mechanisme uit hoofdstuk V AVG: een adequaatheidsbesluit, het EU-VS Data Privacy Framework, of de standaardcontractbepalingen van de Europese Commissie, aangevuld met passende maatregelen.

Artikel 8 — Rechten van betrokkenen

1. Krijgen wij rechtstreeks een verzoek van een betrokkene, dan verwijzen we die door naar de verantwoordelijke en melden we het verzoek.
2. We helpen de verantwoordelijke met passende maatregelen om aan verzoeken te voldoen, onder meer via de export- en verwijderfuncties in het platform.
3. Kost die hulp aanzienlijk meer werk dan wat het platform zelf al biedt, dan mogen we daar redelijke kosten voor rekenen, na overleg vooraf.

Artikel 9 — Datalekken

1. We melden een inbreuk in verband met persoonsgegevens onverwijld aan de verantwoordelijke, en in elk geval binnen achtenveertig uur nadat we ervan op de hoogte zijn.
2. De melding bevat wat we weten over de aard van de inbreuk, de betrokken categorieën gegevens, de vermoedelijke gevolgen en de maatregelen die we nemen.
3. De verantwoordelijke beslist over melding aan de Autoriteit Persoonsgegevens en aan betrokkenen. Wij melden niet zelf, tenzij de wet ons daartoe verplicht.
4. We helpen de verantwoordelijke bij die meldingen en bij een eventuele gegevensbeschermingseffectbeoordeling (DPIA).

Artikel 10 — Audits

1. De verantwoordelijke mag maximaal eens per jaar een audit laten uitvoeren naar de naleving van deze overeenkomst, en daarnaast na een datalek dat de eigen gegevens raakt.
2. De audit wordt minimaal dertig dagen vooraf aangekondigd, uitgevoerd door een onafhankelijke deskundige met geheimhoudingsplicht, en zo ingericht dat onze dienstverlening en de gegevens van andere klanten niet worden geraakt.
3. De kosten van de audit zijn voor de verantwoordelijke, tenzij eruit blijkt dat wij deze overeenkomst wezenlijk niet nakomen.

Artikel 11 — Teruggave en verwijdering

1. Na afloop van de zakelijke overeenkomst verwijderen we de persoonsgegevens, of geven we ze terug in een gangbaar bestandsformaat als de verantwoordelijke daar binnen dertig dagen om vraagt.
2. We verwijderen bestaande kopieën, tenzij de wet ons verplicht ze te bewaren — bijvoorbeeld de fiscale bewaarplicht voor facturen.
3. Reservekopieën verdwijnen mee in de normale rotatie, uiterlijk binnen dertig dagen.

Artikel 12 — Aansprakelijkheid en slotbepalingen

1. Op deze overeenkomst is de aansprakelijkheidsregeling uit de zakelijke overeenkomst van toepassing, met dien verstande dat de wettelijke aansprakelijkheid uit artikel 82 AVG onverlet blijft.
2. Op deze overeenkomst is Nederlands recht van toepassing.
3. Wil je deze overeenkomst ondertekend ontvangen, of heb je aanvullende eisen vanuit je eigen organisatie? Mail en we regelen het.

← Terug naar het juridische overzicht