Verwerkersovereenkomst

Versie 1.0, laatst gewijzigd op 5 november 2026

Deze verwerkersovereenkomst hoort bij de Algemene voorwaarden Vendorfy. Ze geldt voor elke opdracht waarbij Vendorfy persoonsgegevens verwerkt namens de klant. Wil de klant de overeenkomst ook ondertekenen, dan kan dat op verzoek.

Partijen: de klant, als verwerkingsverantwoordelijke, en Vendorfy, handelsnaam van SecMads, ingeschreven bij de Kamer van Koophandel onder nummer 97694398, als verwerker.

1. Begrippen

1.1 Begrippen als persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis die de Algemene verordening gegevensbescherming (AVG) eraan geeft.

1.2 Subverwerker: een partij die Vendorfy inschakelt om persoonsgegevens te verwerken voor de opdracht.

1.3 Overige begrippen met een hoofdletter hebben de betekenis uit de Algemene voorwaarden Vendorfy.

2. Onderwerp en duur

2.1 Vendorfy verwerkt persoonsgegevens namens de klant om de opdracht uit te voeren. Bijlage 1 beschrijft welke gegevens, van wie, waarvoor en hoe lang.

2.2 Deze overeenkomst geldt zolang Vendorfy persoonsgegevens voor de klant verwerkt, ook als de opdracht al is afgelopen.

3. Instructies van de klant

3.1 Vendorfy verwerkt de persoonsgegevens alleen op schriftelijke instructie van de klant. De opdracht, de Algemene voorwaarden, deze overeenkomst en instructies per e-mail gelden als schriftelijke instructies.

3.2 Vindt Vendorfy dat een instructie in strijd is met de AVG, dan laat zij dat de klant direct weten.

3.3 Moet Vendorfy gegevens verwerken omdat de wet dat verplicht, dan meldt zij dat vooraf aan de klant, tenzij de wet dat verbiedt.

4. Geheimhouding

Vendorfy en iedereen die namens Vendorfy toegang heeft tot de persoonsgegevens, zijn tot geheimhouding verplicht. Toegang is beperkt tot wie die nodig heeft voor de opdracht.

5. Beveiliging

5.1 Vendorfy neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beschermen, zoals bedoeld in artikel 32 AVG. Bijlage 2 beschrijft deze maatregelen.

5.2 Vendorfy mag de maatregelen aanpassen, zolang het beschermingsniveau niet lager wordt.

6. Subverwerkers

6.1 De klant geeft Vendorfy algemene toestemming om subverwerkers in te schakelen. Bijlage 3 noemt de subverwerkers die Vendorfy nu gebruikt.

6.2 Vendorfy meldt een nieuwe subverwerker minimaal 30 dagen voordat zij die inschakelt. De klant kan binnen die termijn met redenen bezwaar maken. Vinden partijen geen oplossing, dan mag de klant het deel van de opdracht waarvoor de subverwerker nodig is opzeggen.

6.3 Vendorfy legt subverwerkers ten minste dezelfde verplichtingen op als in deze overeenkomst staan en blijft tegenover de klant verantwoordelijk voor hun werk.

7. Doorgifte buiten de EER

Vendorfy geeft persoonsgegevens alleen door aan een land buiten de Europese Economische Ruimte als daarvoor een passende waarborg geldt, zoals een adequaatheidsbesluit van de Europese Commissie (waaronder het EU-US Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie.

8. Rechten van betrokkenen

8.1 Krijgt Vendorfy een verzoek van een betrokkene, bijvoorbeeld om inzage of verwijdering, dan stuurt zij dat zo snel mogelijk door naar de klant. De klant handelt het verzoek af.

8.2 Vendorfy helpt de klant waar dat redelijk is om aan zulke verzoeken te voldoen.

9. Datalekken

9.1 Ontdekt Vendorfy een datalek dat de persoonsgegevens van de klant raakt, dan meldt zij dat zonder onredelijke vertraging aan de klant, en zo mogelijk binnen 48 uur na ontdekking.

9.2 Vendorfy geeft daarbij de informatie die zij heeft: wat er is gebeurd, welke gegevens en betrokkenen het raakt, de waarschijnlijke gevolgen en de maatregelen die zij heeft genomen of voorstelt. Ontbreekt informatie nog, dan vult Vendorfy die aan zodra die bekend is.

9.3 De klant beslist of het datalek wordt gemeld bij de Autoriteit Persoonsgegevens of aan betrokkenen. Vendorfy meldt een datalek van de klant niet zelf, tenzij de klant daarom vraagt.

10. Bijstand

Vendorfy helpt de klant waar dat redelijk is bij een gegevensbeschermingseffectbeoordeling (DPIA) of een voorafgaande raadpleging van de Autoriteit Persoonsgegevens, voor zover het om de verwerking door Vendorfy gaat. Kost dat meer dan een paar uur, dan mag Vendorfy de redelijke kosten in rekening brengen na overleg met de klant.

11. Controle

11.1 Vendorfy geeft de klant op verzoek de informatie die nodig is om aan te tonen dat zij deze overeenkomst naleeft, bijvoorbeeld door een vragenlijst in te vullen.

11.2 Is dat niet voldoende, dan mag de klant maximaal één keer per jaar een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht. De klant kondigt de audit minimaal 30 dagen van tevoren aan en draagt de kosten. Een audit mag het werk voor andere klanten niet onnodig verstoren.

12. AI

12.1 Vendorfy gebruikt persoonsgegevens van de klant niet om AI-modellen te trainen of te verbeteren.

12.2 Vendorfy gebruikt AI-diensten alleen op zakelijke voorwaarden waarbij de aanbieder ingevoerde gegevens niet gebruikt om eigen modellen te trainen.

12.3 Vendorfy neemt geen besluiten over betrokkenen die alleen op geautomatiseerde verwerking zijn gebaseerd. Elke beoordeling wordt gecontroleerd en ondertekend door een security-expert.

13. Teruggave en verwijdering

13.1 Vendorfy bewaart het beoordelingsdossier tot 12 maanden na het einde van de opdracht of het jaarprogramma, zodat de klant het kan gebruiken richting de toezichthouder of een auditor. Daarna verwijdert Vendorfy de persoonsgegevens.

13.2 De klant kan op elk moment vragen om de gegevens eerder te verwijderen of terug te geven. Vendorfy bevestigt de verwijdering schriftelijk.

13.3 Vendorfy mag gegevens langer bewaren als de wet dat verplicht. Ook dan blijft deze overeenkomst daarvoor gelden.

14. Aansprakelijkheid

Voor de aansprakelijkheid van Vendorfy onder deze overeenkomst gelden de afspraken in artikel 14 van de Algemene voorwaarden Vendorfy, tenzij de AVG iets anders voorschrijft.

15. Slotbepalingen

15.1 Bij strijd tussen deze overeenkomst en de Algemene voorwaarden gaat deze overeenkomst voor, voor zover het om de verwerking van persoonsgegevens gaat.

15.2 Vendorfy kan deze overeenkomst aanpassen, bijvoorbeeld als de wet verandert. Wijzigingen die de bescherming van persoonsgegevens verminderen, voert Vendorfy niet zonder instemming van de klant door.

15.3 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Amsterdam (Rechtbank Amsterdam).

Bijlage 1. Beschrijving van de verwerking

• Doel: uitvoeren van leveranciersbeoordelingen en het jaarprogramma: bewijs opvragen en opvolgen bij leveranciers, het leveranciersregister bijhouden en rapporten opstellen.
• Betrokkenen: contactpersonen bij leveranciers van de klant, medewerkers van de klant die bij de opdracht betrokken zijn (zoals de eigenaar van een leverancierscontract) en personen die in bewijsdocumenten voorkomen (zoals ondertekenaars van een auditrapport).
• Persoonsgegevens: naam, functie, zakelijk e-mailadres, zakelijk telefoonnummer, correspondentie en namen die in bewijsdocumenten staan.
• Bijzondere persoonsgegevens: geen. De klant stuurt geen bijzondere persoonsgegevens, strafrechtelijke gegevens of identiteitsnummers mee.
• Aard van de verwerking: ontvangen, opslaan, raadplegen, analyseren (ook met AI), samenvatten in rapporten, e-mails versturen en verwijderen.
• Bewaartermijn: zie artikel 13.
• Locatie: binnen de EER, behalve bij de subverwerkers in Bijlage 3 die buiten de EER verwerken.

Bijlage 2. Beveiligingsmaatregelen

• Tweestapsverificatie op alle accounts waarin persoonsgegevens van klanten staan.
• Versleuteling van gegevens tijdens transport en bij opslag.
• Een aparte, afgeschermde map per klant; alleen de security-expert die de opdracht uitvoert heeft toegang.
• Werkapparaten met schijfversleuteling, automatische schermvergrendeling en actuele software.
• Logging van toegang en wijzigingen via Google Workspace.
• Persoonsgegevens worden verwijderd volgens artikel 13.

Bijlage 3. Subverwerkers

• Google (Google Workspace): e-mail, documentopslag en agenda. Locatie: EER en Verenigde Staten. Waarborg: EU-US Data Privacy Framework en standaardcontractbepalingen.
• Anthropic (Claude): AI voor het uitzoekwerk en het voorbereiden van rapporten. Locatie: Verenigde Staten. Waarborg: zoals beschreven in artikel 7.

Deze verwerkersovereenkomst is gebaseerd op een sjabloon van General Legal, PC (general.legal), beschikbaar onder CC0. General Legal heeft deze aangepaste versie niet beoordeeld.