Verwerkers­overeenkomst

Versie 1.0 – 16 oktober 2026. Bijlage 1 bij de Algemene voorwaarden van Reviewzorg.

Partijen

1. De Klant, de ondernemer die een abonnement op Reviewzorg afneemt, zoals vermeld bij aanmelding (hierna: Verwerkingsverantwoordelijke); en
2. DK Vision, eenmanszaak, handelend onder de naam Reviewzorg, Laan van Vollenhove 424, 3706 AA Zeist, KvK 75621673, hallo@reviewzorg.nl (hierna: Verwerker).

Overwegingen

• De Verwerker beantwoordt in opdracht van de Verwerkingsverantwoordelijke Google-reviews via beheerderstoegang tot diens Google Bedrijfsprofiel (de Hoofdovereenkomst).
• Daarbij verwerkt de Verwerker persoonsgegevens namens de Verwerkingsverantwoordelijke in de zin van artikel 28 van de Algemene Verordening Gegevensbescherming (AVG).
• Partijen leggen in deze overeenkomst hun afspraken daarover vast. De Klant aanvaardt deze overeenkomst elektronisch bij aanmelding (art. 28 lid 9 AVG).

Artikel 1 – Begrippen

Begrippen uit de AVG (zoals persoonsgegevens, verwerken, betrokkene, inbreuk in verband met persoonsgegevens) hebben dezelfde betekenis als in de AVG. Sub-verwerker: een derde die de Verwerker inschakelt voor verwerkingen namens de Verwerkingsverantwoordelijke.

Artikel 2 – Onderwerp en instructies

2.1 De Verwerker verwerkt de persoonsgegevens uitsluitend voor de doelen, op de wijze en voor de categorieën die in Bijlage A zijn beschreven, en op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke. De Hoofdovereenkomst, deze overeenkomst en instructies per e-mail gelden als zodanig.

2.2 De Verwerker verwerkt de persoonsgegevens niet voor eigen doeleinden. Hij gebruikt ze in het bijzonder niet om AI-modellen te trainen en laat ze ook niet door Sub-verwerkers daarvoor gebruiken.

2.3 Als een instructie naar het oordeel van de Verwerker in strijd is met de AVG of andere regels over gegevensbescherming, meldt de Verwerker dat direct (art. 28 lid 3 laatste volzin AVG).

2.4 Als een wettelijke plicht de Verwerker tot een verwerking dwingt, meldt hij dat vooraf aan de Verwerkingsverantwoordelijke, tenzij de wet die melding verbiedt.

Artikel 3 – Verantwoordelijkheden

3.1 De Verwerkingsverantwoordelijke staat ervoor in dat de verwerking rechtmatig is, dat hij een grondslag heeft (gerechtvaardigd belang bij het reageren op openbare reviews) en dat hij betrokkenen informeert, bijvoorbeeld in zijn eigen privacyverklaring.

3.2 De Verwerker zorgt ervoor dat hij de AVG naleeft bij de uitvoering.

Artikel 4 – Geheimhouding

4.1 De Verwerker houdt de persoonsgegevens geheim. Alleen personen die ze voor de dienst nodig hebben, krijgen toegang. Zij zijn gebonden aan een geheimhoudingsplicht (art. 28 lid 3 sub b AVG).

4.2 De geheimhouding blijft gelden na het einde van deze overeenkomst. Ze geldt niet voor zover de wet of een rechterlijke uitspraak tot verstrekking verplicht.

Artikel 5 – Beveiliging

5.1 De Verwerker neemt passende technische en organisatorische maatregelen (art. 32 AVG), zoals beschreven in Bijlage C.

5.2 De Verwerker mag de maatregelen aanpassen, mits het beschermingsniveau niet daalt.

Artikel 6 – Sub-verwerkers

6.1 De Verwerkingsverantwoordelijke geeft algemene toestemming voor het inschakelen van Sub-verwerkers. De Sub-verwerkers bij het aangaan van deze overeenkomst staan in Bijlage B.

6.2 De Verwerker meldt het toevoegen of vervangen van een Sub-verwerker minimaal 30 dagen vooraf per e-mail. De Verwerkingsverantwoordelijke kan binnen 14 dagen op redelijke gronden bezwaar maken. Komen partijen er niet uit, dan mag de Verwerkingsverantwoordelijke de Hoofdovereenkomst opzeggen tegen de datum van de wijziging, met terugbetaling van vooruitbetaalde bedragen voor de resterende periode.

6.3 De Verwerker legt Sub-verwerkers ten minste dezelfde verplichtingen op als in deze overeenkomst (art. 28 lid 4 AVG) en blijft volledig aansprakelijk voor hun nakoming.

Artikel 7 – Doorgifte buiten de EER

7.1 De Verwerker geeft persoonsgegevens alleen door naar een land buiten de Europese Economische Ruimte als er een passende waarborg is in de zin van hoofdstuk V AVG. Dat is bijvoorbeeld een adequaatheidsbesluit, zoals het EU-US Data Privacy Framework voor gecertificeerde ontvangers, of de standaardcontractbepalingen van de Europese Commissie (Besluit (EU) 2021/914).

7.2 In Bijlage B staat per Sub-verwerker of er doorgifte plaatsvindt en op welke waarborg die berust.

Artikel 8 – Rechten van betrokkenen

8.1 De Verwerker helpt de Verwerkingsverantwoordelijke, voor zover redelijk, bij het beantwoorden van verzoeken van betrokkenen (inzage, rectificatie, wissen, beperking, bezwaar, overdraagbaarheid) (art. 28 lid 3 sub e AVG).

8.2 Krijgt de Verwerker zo'n verzoek rechtstreeks, dan stuurt hij het binnen 2 werkdagen door aan de Verwerkingsverantwoordelijke en beantwoordt hij het niet zelf, tenzij de Verwerkingsverantwoordelijke daartoe opdracht geeft.

8.3 Vraagt een reviewer om verwijdering van een reactie, dan meldt de Verwerker dat en verwijdert hij de reactie op instructie van de Verwerkingsverantwoordelijke. De review zelf kan alleen de reviewer of Google verwijderen.

Artikel 9 – Inbreuken in verband met persoonsgegevens (datalekken)

9.1 De Verwerker meldt een inbreuk zonder onredelijke vertraging, uiterlijk binnen 36 uur na ontdekking, per e-mail aan de Verwerkingsverantwoordelijke. Zo kan de Verwerkingsverantwoordelijke zo nodig binnen 72 uur melden bij de Autoriteit Persoonsgegevens (art. 33 AVG).

9.2 De melding bevat, voor zover bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen en een contactpersoon. Informatie die later bekend wordt, vult de Verwerker aan.

9.3 De Verwerker houdt een register bij van alle inbreuken.

9.4 Het melden aan de Autoriteit Persoonsgegevens en aan betrokkenen is de verantwoordelijkheid van de Verwerkingsverantwoordelijke. De Verwerker helpt daarbij.

Artikel 10 – Bijstand

De Verwerker helpt de Verwerkingsverantwoordelijke, voor zover redelijk en rekening houdend met de aard van de verwerking, bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG (beveiliging, datalekken, DPIA, voorafgaande raadpleging) (art. 28 lid 3 sub f AVG). Bijstand die meer dan 1 uur per jaar kost, mag de Verwerker in rekening brengen tegen een vooraf opgegeven redelijk uurtarief.

Artikel 11 – Audit en informatie

11.1 De Verwerker stelt alle informatie beschikbaar die nodig is om de naleving aan te tonen, en werkt mee aan audits (art. 28 lid 3 sub h AVG).

11.2 Een audit vindt hooguit eenmaal per jaar plaats, na een aankondiging van minimaal 30 dagen en tijdens kantooruren. De Verwerker mag eerst een schriftelijke verklaring of documentatie leveren. Een audit kan door een onafhankelijke deskundige met geheimhoudingsplicht. De kosten zijn voor de Verwerkingsverantwoordelijke, tenzij de audit een wezenlijke tekortkoming van de Verwerker aantoont.

Artikel 12 – Duur, teruggave en verwijdering

12.1 Deze overeenkomst geldt zolang de Hoofdovereenkomst loopt en zolang de Verwerker daarna nog persoonsgegevens namens de Verwerkingsverantwoordelijke verwerkt.

12.2 Na het einde van de Hoofdovereenkomst verwijdert de Verwerker binnen 5 werkdagen zijn beheerderstoegang tot het Google Bedrijfsprofiel. Binnen 3 maanden verwijdert hij alle persoonsgegevens (reviewteksten, namen, concepten), tenzij de wet langer bewaren voorschrijft (art. 28 lid 3 sub g AVG). Op verzoek levert de Verwerker vóór de verwijdering een export (CSV) van de reviews en reacties.

12.3 Geplaatste reacties op Google blijven staan. Die vallen onder het beheer van de Verwerkingsverantwoordelijke.

12.4 Kopieën in back-ups worden overschreven volgens de normale back-upcyclus, uiterlijk binnen 90 dagen.

Artikel 13 – Aansprakelijkheid

13.1 Voor de aansprakelijkheid van de Verwerker, ook op grond van deze overeenkomst, geldt de regeling van artikel 13 van de Algemene voorwaarden: beperkt tot het bedrag dat de Klant in de maand vóór de gebeurtenis heeft betaald, met een maximum van €250 per kalenderjaar in totaal, en geen aansprakelijkheid voor indirecte schade.

13.2 Deze beperking laat onverlet (a) de aansprakelijkheid jegens betrokkenen op grond van artikel 82 AVG en (b) boetes die een toezichthouder aan een partij oplegt; zo'n boete draagt de partij aan wie zij is opgelegd. Verhaal op de andere partij is alleen mogelijk voor zover de boete of schade het gevolg is van een aan die partij toerekenbare schending van de AVG of van deze overeenkomst, en valt dan onder de beperking van artikel 13.1.

13.3 De beperkingen gelden niet bij opzet of bewuste roekeloosheid.

Artikel 14 – Slotbepalingen

14.1 Bij strijdigheid gaat deze overeenkomst voor de Hoofdovereenkomst, voor zover het om de verwerking van persoonsgegevens gaat.

14.2 Wijzigingen gaan op dezelfde manier als wijzigingen van de Algemene voorwaarden (aankondiging 30 dagen vooraf, opzegrecht bij wezenlijk nadeel).

14.3 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de rechtbank Midden-Nederland.

Bijlage A – Beschrijving van de verwerking (art. 28 lid 3 AVG)

Bijlage B – Sub-verwerkers

Status van de DPA's en waarborgen per 16 oktober 2026.

Mollie B.V. (Amsterdam, NL) verwerkt betaalgegevens van de Klant zelf. Dat is geen verwerking namens de Klant en Mollie valt daarom buiten deze bijlage; zie de privacyverklaring. FormSubmit wordt alleen gebruikt voor websiteformulieren van prospects, niet voor reviewdata.

Bijlage C – Beveiligingsmaatregelen (art. 32 AVG)

1. Toegang: de Google-toegang verloopt uitsluitend via de beheerdersrol (geen wachtwoorden van de Klant). Accounts zijn beveiligd met tweestapsverificatie (Google, e-mail, hosting, OpenAI, Mollie). Er is een sterk, uniek wachtwoord per dienst, beheerd in een wachtwoordmanager. Medewerkers krijgen alleen toegang op need-to-know-basis.
2. Versleuteling: alle verbindingen via TLS (HTTPS). Opslag bij leveranciers is versleuteld at rest.
3. Minimalisatie: naar AI-software gaan alleen de gegevens die nodig zijn voor de reactie. Er worden geen e-mailadressen of telefoonnummers van reviewers verwerkt. API-sleutels staan in secrets en niet in de code.
4. Menselijke controle: reacties worden gecontroleerd. Reacties op 1–3 sterren worden pas geplaatst na akkoord van de Klant.
5. Logging: er wordt vastgelegd welke reactie wanneer is geplaatst en op basis van welk akkoord.
6. Apparaten: apparaten zijn versleuteld en worden automatisch vergrendeld. Updates worden tijdig geïnstalleerd en er is antivirus/firewall.
7. Leveranciers: er worden alleen leveranciers met een DPA en een passende waarborg gebruikt. Hun beveiligingsniveau wordt jaarlijks gecontroleerd.
8. Incidenten: er is een datalekprocedure (melding aan de Klant binnen 36 uur) en een datalekregister.
9. Continuïteit: back-ups van configuratie en instructies. Bij het einde van de overeenkomst wordt de toegang verwijderd binnen 5 werkdagen.
10. Evaluatie: de maatregelen worden jaarlijks geëvalueerd en daarnaast bij elke nieuwe sub-verwerker of wezenlijke wijziging.