Verwerkersovereenkomst

Versie 0.5 — 31 oktober 2026

Artikel 1 — Partijen en toepasselijkheid

1. Deze verwerkersovereenkomst is gesloten tussen de klant als verwerkingsverantwoordelijke en de eenmanszaak CyberVelvet, ingeschreven bij de Kamer van Koophandel onder nummer 92348726, btw-identificatienummer NL004951006B06, gevestigd op het adres dat in het Handelsregister staat (hierna: CyberVelvet), als verwerker.
2. Deze overeenkomst geldt voor de verwerking van persoonsgegevens die CyberVelvet namens de klant uitvoert bij de diensten die de klant afneemt. Welke diensten dat zijn, volgt uit de offerte of overeenkomst. Per dienstcategorie (hosting, website en software, e-mail, support) hoort bij deze overeenkomst een afzonderlijke dienstbijlage. Die beschrijft het onderwerp, de aard en het doel van de verwerking, de betrokkenen en de soorten persoonsgegevens. De klant aanvaardt de bijlage van iedere categorie die hij afneemt.
3. Persoonsgegevens die CyberVelvet voor eigen doeleinden verwerkt, zoals klantadministratie en facturatie, vallen onder de privacyverklaring van CyberVelvet en niet onder deze overeenkomst.
4. Bij strijdigheid gaat deze overeenkomst voor op de algemene voorwaarden van CyberVelvet, voor zover het de verwerking van persoonsgegevens betreft. Afwijkende afspraken over persoonsgegevens in een geaccepteerde offerte gaan voor op een dienstbijlage.
5. Wie deze overeenkomst namens de klant aanvaardt, verklaart daartoe bevoegd te zijn. Aanvaarding kan elektronisch plaatsvinden; CyberVelvet legt daarbij de versie, het tijdstip en de aanvaardende persoon vast.
6. Bij registratie, verlenging of verhuizing van een domeinnaam geeft CyberVelvet de gegevens van de houder door aan de registrar (zoals Openprovider of TransIP) en de registry van de betreffende extensie (zoals SIDN voor .nl). Registrars en registries verwerken die gegevens als zelfstandige verwerkingsverantwoordelijke onder hun eigen voorwaarden en registratieregels. Zij zijn geen subverwerker van CyberVelvet in de zin van deze overeenkomst.

Artikel 2 — Instructies en doeleinden

1. CyberVelvet verwerkt persoonsgegevens uitsluitend op schriftelijke instructie van de klant. De overeengekomen dienstverlening, zoals beschreven in de offerte en de dienstbijlage, geldt als instructie. Dat geldt ook voor doorgifte naar landen buiten de Europese Economische Ruimte (EER).
2. CyberVelvet gebruikt de persoonsgegevens niet voor eigen doeleinden.
3. Als CyberVelvet op grond van Unierecht of Nederlands recht tot een andere verwerking verplicht is, meldt zij dat vooraf aan de klant, tenzij de wet dat verbiedt.
4. Als CyberVelvet van mening is dat een instructie in strijd is met de AVG of andere privacywetgeving, meldt zij dat direct aan de klant.
5. Instructies die buiten de overeengekomen dienst vallen, voert CyberVelvet uit na overleg over haalbaarheid en eventuele kosten.

Artikel 3 — Geheimhouding

1. CyberVelvet en iedereen die onder haar gezag toegang heeft tot de persoonsgegevens, is tot geheimhouding verplicht.
2. Op dit moment heeft alleen de eigenaar van CyberVelvet toegang tot systemen van klanten. Krijgt een andere persoon toegang, dan gebeurt dat alleen na een schriftelijke geheimhoudingsverplichting en alleen voor zover nodig voor de dienst.

Artikel 4 — Beveiliging

1. CyberVelvet treft passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen, zoals bedoeld in artikel 32 AVG. De maatregelen staan in Bijlage C.
2. CyberVelvet mag maatregelen aanpassen, zolang het beveiligingsniveau niet omlaag gaat.
3. De klant is verantwoordelijk voor de beveiliging van systemen en accounts die buiten de dienst van CyberVelvet vallen.

Artikel 5 — Verplichtingen van de klant

1. De klant staat ervoor in dat hij een rechtmatige grondslag heeft voor de verwerking en dat zijn instructies in overeenstemming zijn met de AVG.
2. De klant meldt vooraf wanneer CyberVelvet bijzondere persoonsgegevens, strafrechtelijke gegevens of gegevens van kinderen zal verwerken die niet in de dienstbijlage staan.
3. De klant geeft een contactpersoon op voor privacyzaken en datalekken en houdt die gegevens actueel.

Artikel 6 — Subverwerkers

1. De klant geeft algemene toestemming voor de inschakeling van de subverwerkers in Bijlage B, voor zover die nodig zijn voor de diensten die hij afneemt.
2. CyberVelvet meldt minimaal 30 dagen vooraf per e-mail aan de klant wanneer zij een subverwerker toevoegt of vervangt.
3. De klant kan binnen 14 dagen na die melding gemotiveerd bezwaar maken. Partijen zoeken dan in overleg een oplossing. Lukt dat niet, dan mag de klant de betrokken dienst kosteloos opzeggen per de datum waarop de wijziging ingaat.
4. CyberVelvet legt subverwerkers ten minste dezelfde verplichtingen op als in deze overeenkomst. CyberVelvet blijft tegenover de klant volledig verantwoordelijk voor de nakoming door haar subverwerkers.

Artikel 7 — Doorgifte buiten de EER

CyberVelvet geeft persoonsgegevens alleen door naar een land buiten de EER als dat in Bijlage B staat of de klant daarvoor schriftelijk instructie geeft. Dat gebeurt alleen op basis van een adequaatheidsbesluit van de Europese Commissie, zoals het EU-VS Data Privacy Framework voor gecertificeerde partijen, of op basis van de standaardcontractbepalingen van de Europese Commissie.

Artikel 8 — Datalekken

1. CyberVelvet meldt een inbreuk in verband met persoonsgegevens die zij namens de klant verwerkt zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat zij die heeft ontdekt, aan de contactpersoon van de klant.
2. De melding bevat, voor zover bekend: de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. Informatie die nog ontbreekt, volgt zo snel mogelijk.
3. De klant beslist of hij de inbreuk meldt bij de Autoriteit Persoonsgegevens en de betrokkenen. CyberVelvet doet zelf geen melding namens de klant, tenzij de wet dat vereist.
4. CyberVelvet meldt via e-mail. De klant meldt incidenten en privacyvragen aan CyberVelvet via [email protected].

Artikel 9 — Bijstand

1. CyberVelvet helpt de klant, rekening houdend met de aard van de verwerking en de informatie waarover zij beschikt, bij:
   1. verzoeken van betrokkenen om inzage, correctie, verwijdering, beperking, overdraagbaarheid of bezwaar;
   2. de beveiliging en de afhandeling van datalekken;
   3. gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de Autoriteit Persoonsgegevens.
2. Een verzoek van een betrokkene dat rechtstreeks bij CyberVelvet binnenkomt, stuurt CyberVelvet door naar de klant.
3. Redelijke bijstand is inbegrepen. Uitzonderlijke inspanningen, zoals een audit op locatie of een volledige gegevensexport buiten de standaard exportmogelijkheden, rekent CyberVelvet tegen het geldende uurtarief, tenzij de oorzaak bij CyberVelvet ligt.

Artikel 10 — Informatie en audits

1. CyberVelvet stelt alle informatie beschikbaar die nodig is om aan te tonen dat zij deze overeenkomst en artikel 28 AVG nakomt.
2. CyberVelvet werkt mee aan audits en inspecties door de klant of een door de klant aangewezen onafhankelijke auditor die tot geheimhouding is verplicht. De klant kondigt een audit minimaal 14 dagen vooraf aan, behalve na een datalek of op verzoek van een toezichthouder.

Artikel 11 — Einde van de verwerking

1. Na afloop van een dienst levert CyberVelvet op verzoek van de klant de persoonsgegevens binnen 30 dagen na het einde terug in een gangbaar formaat.
2. Daarna verwijdert CyberVelvet de persoonsgegevens uit de productiesystemen, uiterlijk 60 dagen na het einde van de dienst.
3. Kopieën in back-ups worden niet afzonderlijk verwijderd, maar verlopen binnen de bewaartermijn van de back-ups uit Bijlage C. Tot die tijd blijven ze onder deze overeenkomst vallen.
4. Dit geldt niet voor zover de wet CyberVelvet verplicht gegevens langer te bewaren.

Artikel 12 — Duur, wijziging en aansprakelijkheid

1. Deze overeenkomst geldt zolang CyberVelvet persoonsgegevens namens de klant verwerkt. Bepalingen die naar hun aard doorlopen, zoals geheimhouding en artikel 11, blijven daarna gelden.
2. Een nieuwe versie van deze overeenkomst of van een dienstbijlage geldt voor een bestaande klant pas nadat die klant haar heeft aanvaard, met uitzondering van wijzigingen in Bijlage B volgens artikel 6.
3. Voor aansprakelijkheid geldt artikel 21 van de algemene voorwaarden van CyberVelvet.
4. Op deze overeenkomst is Nederlands recht van toepassing.

Bijlage B — Subverwerkers

Registrars en registries van domeinnamen zijn geen subverwerker; zie artikel 1 lid 6.

Bijlage C — Technische en organisatorische maatregelen

1. Toegang: alle beheeraccounts van CyberVelvet (servers, serverbeheer, DNS en Microsoft-partneraccount) zijn beveiligd met meervoudige authenticatie of passkeys.
2. Servers: toegang tot servers gaat alleen via SSH-sleutels; inloggen met een wachtwoord is uitgeschakeld.
3. Beperkte toegang: alleen de eigenaar van CyberVelvet heeft toegang tot systemen van klanten.
4. Versleutelde verbindingen: alle websites en applicaties die CyberVelvet host, zijn alleen bereikbaar via HTTPS.
5. Updates: CyberVelvet installeert beveiligingsupdates zo snel als redelijkerwijs mogelijk, met voorrang voor kritieke kwetsbaarheden.
6. Back-ups: back-ups staan bij Hetzner in de EU, gescheiden van de productieomgeving, en worden maximaal 30 dagen bewaard.
7. Beheerplatform: CyberVelvet beheert klantdiensten via een eigen beheeromgeving met sterke authenticatie, autorisatie per gebruiker en registratie van belangrijke handelingen. Wachtwoorden en sleutels van koppelingen worden versleuteld opgeslagen.
8. Incidenten: CyberVelvet registreert beveiligingsincidenten en handelt ze af volgens artikel 8.