Laatst bijgewerkt: 29 september 2026
Deze verwerkersovereenkomst is van toepassing op alle verwerkingen van persoonsgegevens die automagisch, ingeschreven bij de Kamer van Koophandel onder nummer 84880112 (hierna: Verwerker), uitvoert in opdracht van een klant aan wie zij het platform automagisch ter beschikking stelt (hierna: Verwerkingsverantwoordelijke), op grond van de tussen Partijen gesloten overeenkomst. Die overeenkomst bestaat uit de algemene voorwaarden en het per administratie afgesloten abonnement (hierna samen: de Hoofdovereenkomst).
Deze verwerkersovereenkomst maakt deel uit van de Hoofdovereenkomst. Bij strijdigheid over de verwerking van persoonsgegevens gaat deze verwerkersovereenkomst voor op de algemene voorwaarden. Hoe Verwerker omgaat met de gegevens waarvoor zij zelf verwerkingsverantwoordelijke is, zoals accountgegevens en facturatie, staat in de privacyverklaring.
1.1 Verwerker verwerkt persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke en uitsluitend voor het ter beschikking stellen van het platform. Daaronder valt:
1.2 De categorieën betrokkenen en persoonsgegevens die Verwerker daarbij verwerkt, staan in Bijlage 1. Verwerker verwerkt de persoonsgegevens niet voor enig ander doel dan door Verwerkingsverantwoordelijke is vastgesteld en nooit voor eigen doeleinden. Verwerkingsverantwoordelijke stelt Verwerker op de hoogte van verwerkingsdoeleinden die niet al in deze verwerkersovereenkomst zijn genoemd.
1.3 De Hoofdovereenkomst, deze verwerkersovereenkomst en het gebruik dat Verwerkingsverantwoordelijke van het platform maakt, gelden samen als de instructies van Verwerkingsverantwoordelijke. Aanvullende instructies worden schriftelijk gegeven. Brengen zij voor Verwerker kosten mee die buiten de normale dienstverlening vallen, dan treden Partijen daarover vooraf in overleg.
1.4 Is Verwerker op grond van een wettelijke verplichting gehouden persoonsgegevens te verwerken buiten de instructies om, dan informeert zij Verwerkingsverantwoordelijke daarover vooraf, tenzij de wet dat verbiedt.
2.1 Verwerker draagt bij de in artikel 1 genoemde verwerkingen zorg voor de naleving van de toepasselijke wet- en regelgeving, waaronder in ieder geval de Algemene Verordening Gegevensbescherming (AVG).
2.2 Verwerker informeert Verwerkingsverantwoordelijke op diens eerste verzoek over de maatregelen die zij heeft genomen om aan haar verplichtingen uit deze verwerkersovereenkomst te voldoen.
2.3 De verplichtingen van Verwerker gelden ook voor iedereen die onder haar gezag persoonsgegevens verwerkt, waaronder haar medewerkers. Verwerker zorgt ervoor dat deze personen tot geheimhouding verplicht zijn en alleen toegang tot persoonsgegevens hebben voor zover dat voor hun werkzaamheden nodig is.
2.4 Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk in kennis als een instructie van Verwerkingsverantwoordelijke naar haar mening in strijd is met de in lid 1 bedoelde wetgeving.
2.5 Verwerker verleent, voor zover dat binnen haar macht ligt, bijstand aan Verwerkingsverantwoordelijke bij het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens. Vraagt die bijstand meer dan het beschikbaar stellen van informatie over het platform en de genomen maatregelen, dan mag Verwerker daarvoor een redelijke vergoeding in rekening brengen.
2.6 Verwerker houdt overeenkomstig artikel 30 lid 2 AVG een register bij van de categorieën verwerkingsactiviteiten die zij ten behoeve van Verwerkingsverantwoordelijke verricht en geeft Verwerkingsverantwoordelijke daar op verzoek inzage in.
2.7 Medewerkers van Verwerker krijgen alleen toegang tot de gegevens in een administratie van Verwerkingsverantwoordelijke voor zover dat nodig is om een door Verwerkingsverantwoordelijke gemelde storing of vraag op te lossen, om support te verlenen, of om het platform te beveiligen en beschikbaar te houden. Daarvoor kunnen zij tijdelijk inloggen als een gebruiker van Verwerkingsverantwoordelijke, zodat zij zien wat die gebruiker ziet.
3.1 Treedt Verwerkingsverantwoordelijke bij de verwerking van persoonsgegevens onder deze verwerkersovereenkomst zelf op als verwerker voor een derde partij, bijvoorbeeld een verzekeraar of gevolmachtigd agent (hierna: de Onderliggende Verwerkingsverantwoordelijke), op grond van een tussen hen gesloten verwerkersovereenkomst (hierna: de Onderliggende Overeenkomst), en bevat die Onderliggende Overeenkomst verplichtingen die strenger zijn dan, aanvullend zijn op, of anderszins afwijken van deze verwerkersovereenkomst, dan gelden die verplichtingen ook voor Verwerker. Dat geldt uitsluitend voor zover Verwerkingsverantwoordelijke deze verplichtingen schriftelijk aan Verwerker heeft meegedeeld, bijvoorbeeld door de relevante bepalingen van de Onderliggende Overeenkomst bij te voegen of te specificeren.
3.2 Het voorgaande geldt in het bijzonder, maar niet uitsluitend, voor:
3.3 Bij twijfel over de vraag of, en in hoeverre, een verplichting uit de Onderliggende Overeenkomst van toepassing is, geldt de voor de bescherming van persoonsgegevens strengste verplichting.
3.4 Verwerker is niet gebonden aan verplichtingen uit een Onderliggende Overeenkomst die haar niet overeenkomstig lid 1 schriftelijk zijn meegedeeld. Brengen meegedeelde verplichtingen kosten mee die buiten de normale dienstverlening vallen, dan treden Partijen daarover vooraf in overleg.
4.1 Verwerker verwerkt de persoonsgegevens uitsluitend binnen de Europese Economische Ruimte. De servers, database en bestandsopslag van het platform draaien bij TransIP in datacenters in Nederland.
4.2 Verwerker geeft persoonsgegevens alleen door naar een land buiten de Europese Economische Ruimte met voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke, en alleen als voor die doorgifte een passend beschermingsniveau is gewaarborgd, bijvoorbeeld door een adequaatheidsbesluit van de Europese Commissie of door standaardcontractbepalingen.
4.3 Koppelt Verwerkingsverantwoordelijke zelf een externe dienst aan het platform, zoals een Microsoft 365-postvak of een Snelstart-administratie, dan haalt Verwerker uitsluitend op instructie van Verwerkingsverantwoordelijke gegevens uit die dienst op, respectievelijk stuurt zij gegevens naar die dienst. De verwerking door die dienst zelf, en een eventuele doorgifte die daar plaatsvindt, valt onder de overeenkomst tussen Verwerkingsverantwoordelijke en die dienst en niet onder deze verwerkersovereenkomst.
5.1 Verwerker stelt het platform ter beschikking als middel waarmee Verwerkingsverantwoordelijke de in artikel 1 genoemde verwerkingen zelf uitvoert. Verwerkingsverantwoordelijke bepaalt welke persoonsgegevens worden ingevoerd, met wie zij worden gedeeld (bijvoorbeeld een verzekeraar, een herstelbedrijf of de politie) en wanneer zij worden verwijderd.
5.2 Verwerker is uitsluitend verantwoordelijk voor de verwerking van persoonsgegevens onder deze verwerkersovereenkomst, overeenkomstig de instructies van Verwerkingsverantwoordelijke en onder diens uitdrukkelijke eindverantwoordelijkheid. Voor de overige verwerkingen, waaronder in ieder geval het verzamelen van de persoonsgegevens door Verwerkingsverantwoordelijke, verwerkingen voor doeleinden die niet aan Verwerker zijn gemeld en verwerkingen door derden, is Verwerker uitdrukkelijk niet verantwoordelijk.
5.3 Verwerkingsverantwoordelijke garandeert dat de inhoud, het gebruik en de opdracht tot de verwerkingen niet onrechtmatig zijn en geen inbreuk maken op enig recht van derden. Zij zorgt voor een geldige grondslag voor iedere verwerking en informeert de betrokkenen over de verwerking, waaronder de inschakeling van Verwerker.
5.4 Het platform is niet ontworpen voor bijzondere categorieën persoonsgegevens (artikel 9 AVG) of het burgerservicenummer en heeft daar geen velden voor. Van strafrechtelijke gegevens (artikel 10 AVG) legt het platform alleen vast wat nodig is voor de afhandeling van de schade en voor een melding van subrogatie aan de politie: of de politie ter plaatse was, of er aangifte is gedaan, het nummer van het proces-verbaal, de politieregio en een toelichting. Verwerkingsverantwoordelijke voert daarbuiten geen bijzondere categorieën persoonsgegevens, strafrechtelijke gegevens of burgerservicenummers in, ook niet in vrije tekstvelden, bijlagen of rapporten, tenzij dat voor het dossier strikt noodzakelijk is en zij daarvoor een wettelijke grondslag heeft. Doet zij dat toch, dan draagt zij daarvoor de volledige verantwoordelijkheid.
6.1 Verwerker mag voor de uitvoering van deze verwerkersovereenkomst subverwerkers inschakelen. De subverwerkers die Verwerker bij het aangaan van deze verwerkersovereenkomst inschakelt, staan in Bijlage 2. Verwerkingsverantwoordelijke stemt met de inschakeling van deze subverwerkers in.
6.2 Wil Verwerker een nieuwe subverwerker inschakelen of een bestaande vervangen, dan meldt zij dat ten minste dertig dagen van tevoren per e-mail aan de eigenaar van de administratie. Verwerkingsverantwoordelijke kan binnen die termijn schriftelijk en gemotiveerd bezwaar maken. Partijen treden dan in overleg. Leidt dat niet tot een oplossing, dan mag Verwerkingsverantwoordelijke de Hoofdovereenkomst opzeggen tegen de datum waarop de wijziging ingaat.
6.3 Verwerker zorgt ervoor dat iedere subverwerker schriftelijk ten minste dezelfde verplichtingen op zich neemt als tussen Verwerkingsverantwoordelijke en Verwerker zijn overeengekomen.
6.4 Verwerker staat in voor de naleving van deze verwerkersovereenkomst door haar subverwerkers en is voor hun fouten aansprakelijk alsof zij die zelf heeft begaan.
7.1 Verwerker neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en tegen enige vorm van onrechtmatige verwerking, zoals onbevoegde kennisname, aantasting, wijziging of verstrekking, rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard van de gegevens en de risico's van de verwerking.
7.2 Verwerker heeft in ieder geval de volgende maatregelen genomen:
7.3 Verwerker staat er niet voor in dat de beveiliging onder alle omstandigheden doeltreffend is. Voor zover een uitdrukkelijk omschreven maatregel ontbreekt, spant Verwerker zich in de beveiliging te laten voldoen aan een niveau dat, gelet op de stand van de techniek, de gevoeligheid van de persoonsgegevens en de kosten van de maatregelen, niet onredelijk is.
7.4 Verwerkingsverantwoordelijke is zelf verantwoordelijk voor het beheer van de leden van haar administratie, waaronder het tijdig intrekken van de toegang van vertrokken medewerkers, voor het zorgvuldig omgaan met wachtwoorden en herstelcodes, en voor de beveiliging van de externe diensten die zij aan het platform koppelt.
8.1 Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, over iedere inbreuk in verband met persoonsgegevens die de gegevens van Verwerkingsverantwoordelijke raakt. Onder een inbreuk wordt verstaan: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van, of de ongeoorloofde toegang tot, persoonsgegevens. De melding gaat per e-mail naar de eigenaar van de administratie.
8.2 Verwerkingsverantwoordelijke is verantwoordelijk voor de beoordeling of de inbreuk gemeld moet worden aan de Autoriteit Persoonsgegevens en aan de betrokkenen, en voor die meldingen zelf. Verwerker doet die meldingen niet, tenzij Partijen dat afspreken of de wet Verwerker daartoe verplicht.
8.3 De melding van Verwerker bevat, voor zover op dat moment bekend, in ieder geval:
Informatie die bij de eerste melding nog niet beschikbaar is, verstrekt Verwerker zonder onredelijke vertraging zodra zij bekend is.
8.4 Verwerker neemt onmiddellijk de maatregelen die redelijkerwijs nodig zijn om de inbreuk te beëindigen en de gevolgen te beperken, en werkt mee aan het onderzoek van Verwerkingsverantwoordelijke.
9.1 Verwerkingsverantwoordelijke handelt verzoeken van betrokkenen tot uitoefening van hun rechten (artikel 15 tot en met 22 AVG) zelf af. Het platform stelt haar daartoe in staat: de gegevens van verzekerden, tegenpartijen en andere betrokkenen kunnen door haar worden ingezien, gecorrigeerd en verwijderd.
9.2 Richt een betrokkene zo'n verzoek rechtstreeks aan Verwerker, dan stuurt Verwerker het binnen vijf werkdagen door aan Verwerkingsverantwoordelijke en verwijst zij de betrokkene naar Verwerkingsverantwoordelijke. Verwerker reageert niet zelf inhoudelijk op het verzoek.
9.3 Heeft Verwerkingsverantwoordelijke voor de afhandeling van een verzoek bijstand van Verwerker nodig die verder gaat dan wat het platform biedt, dan verleent Verwerker die bijstand tegen een redelijke vergoeding.
10.1 Op alle persoonsgegevens die Verwerker van Verwerkingsverantwoordelijke ontvangt of in het kader van deze verwerkersovereenkomst zelf verzamelt, rust een geheimhoudingsplicht jegens derden. Verwerker gebruikt deze gegevens niet voor een ander doel dan waarvoor zij ze heeft verkregen, ook niet als ze in een vorm zijn gebracht waarin ze niet tot betrokkenen herleidbaar zijn.
10.2 Deze geheimhoudingsplicht geldt niet voor zover Verwerkingsverantwoordelijke uitdrukkelijk toestemming heeft gegeven om de gegevens aan derden te verstrekken, voor zover verstrekking aan derden logischerwijs noodzakelijk is gezien de aard van de opdracht en de uitvoering van deze verwerkersovereenkomst, of voor zover een wettelijke verplichting tot verstrekking bestaat.
10.3 De geheimhoudingsplicht blijft na het einde van deze verwerkersovereenkomst van kracht.
11.1 Verwerkingsverantwoordelijke heeft het recht de naleving van deze verwerkersovereenkomst te laten controleren door een onafhankelijke, aan geheimhouding gebonden deskundige: ten hoogste eenmaal per twaalf maanden, en daarnaast bij een concreet vermoeden van niet-naleving of na een inbreuk in verband met persoonsgegevens.
11.2 Verwerker stelt eerst de informatie beschikbaar waarmee Verwerkingsverantwoordelijke de naleving zelf kan beoordelen, zoals een beschrijving van de genomen maatregelen en de certificeringen van haar subverwerkers. Een audit ter plaatse vindt alleen plaats als die informatie redelijkerwijs niet volstaat.
11.3 Een audit wordt ten minste dertig dagen van tevoren aangekondigd, vindt plaats tijdens kantooruren en verstoort de bedrijfsvoering van Verwerker zo min mogelijk. Verwerker werkt aan de audit mee en stelt alle redelijkerwijs relevante informatie, waaronder ondersteunende gegevens zoals systeemlogs, en medewerkers tijdig beschikbaar.
11.4 Partijen beoordelen de bevindingen van de audit in onderling overleg en bepalen samen welke verbeteringen worden doorgevoerd en door wie.
11.5 De kosten van de audit komen voor rekening van Verwerkingsverantwoordelijke.
12.1 Verwerker is jegens Verwerkingsverantwoordelijke uitsluitend aansprakelijk in geval van een toerekenbare tekortkoming in de nakoming van deze verwerkersovereenkomst en uitsluitend voor directe schade. Een reeks samenhangende gebeurtenissen geldt daarbij als één gebeurtenis.
12.2 Iedere aansprakelijkheid van Verwerker voor andere schade is uitgesloten, waaronder indirecte schade, gevolgschade, gederfde omzet of winst, schade door verlies van gegevens en schade door overschrijding van termijnen als gevolg van gewijzigde omstandigheden.
12.3 De aansprakelijkheid van Verwerker is per gebeurtenis beperkt tot het bedrag dat haar aansprakelijkheidsverzekeraar in het betreffende geval uitkeert, vermeerderd met het eigen risico dat volgens de polis voor rekening van Verwerker komt.
12.4 De beperkingen in dit artikel gelden niet als de schade het gevolg is van opzet of bewuste roekeloosheid van Verwerker.
12.5 Een bestuurlijke boete die een toezichthouder aan een Partij oplegt voor een overtreding die aan die Partij zelf is toe te rekenen, blijft voor rekening van die Partij.
12.6 Aansprakelijkheid van Verwerker ontstaat slechts als Verwerkingsverantwoordelijke Verwerker direct en deugdelijk schriftelijk in gebreke stelt, met een redelijke termijn om de tekortkoming te herstellen, en Verwerker ook na die termijn toerekenbaar tekortschiet. De ingebrekestelling bevat een zo gedetailleerd mogelijke omschrijving van de tekortkoming. Een vordering tot schadevergoeding vervalt door verloop van vierentwintig maanden na het ontstaan ervan.
13.1 Deze verwerkersovereenkomst treedt in werking op het moment dat Verwerkingsverantwoordelijke de algemene voorwaarden accepteert of het platform in gebruik neemt, en geldt zolang de Hoofdovereenkomst voortduurt. Ondertekening is niet vereist.
13.2 Na het einde van de Hoofdovereenkomst blijven de gegevens in de administratie nog zes maanden beschikbaar, zodat Verwerkingsverantwoordelijke ze kan exporteren of opnieuw kan starten. Op verzoek stelt Verwerker in die periode een kopie van de persoonsgegevens beschikbaar in een gangbaar bestandsformaat. Verwerkingsverantwoordelijke kan ook om eerdere verwijdering vragen. Na afloop van de periode verwijdert Verwerker alle persoonsgegevens en kopieën daarvan, met uitzondering van gegevens die zij op grond van een wettelijke bewaarplicht moet bewaren.
13.3 Verwerker mag deze verwerkersovereenkomst van tijd tot tijd herzien. Zij kondigt wijzigingen een redelijke termijn van tevoren aan bij de eigenaar van de administratie, op dezelfde wijze als een wijziging van de algemene voorwaarden. Kan Verwerkingsverantwoordelijke niet met de wijzigingen instemmen, dan mag zij de Hoofdovereenkomst opzeggen tegen het einde van die termijn.
13.4 Bepalingen die naar hun aard bedoeld zijn om na het einde van deze verwerkersovereenkomst voort te duren, waaronder de artikelen 10 en 12, blijven na beëindiging van kracht.
14.1 Op deze verwerkersovereenkomst en de uitvoering daarvan is Nederlands recht van toepassing.
14.2 Geschillen die tussen Partijen ontstaan in verband met deze verwerkersovereenkomst worden voorgelegd aan de bevoegde rechter van het arrondissement waarin Verwerker is gevestigd.
Verwerker verwerkt in het kader van artikel 1 de volgende persoonsgegevens van de volgende categorieën betrokkenen, voor zover Verwerkingsverantwoordelijke ze in het platform invoert of laat inlezen:
| Categorie betrokkenen | Persoonsgegevens |
|---|---|
| Verzekerden | Naam, adres, telefoonnummers, e-mailadres, IBAN, notities, handtekening op een herstelbon of akte van cessie, antwoord op een akkoordverklaring, dossiergegevens (schadenummer, polisnummer, schadedatum, oorzaak en omschrijving van de schade, schadebedragen, eigen risico, dekkingsstatus), politiegegevens bij de schade (politie ter plaatse, aangifte, proces-verbaalnummer, politieregio), reisgegevens bij een reisrapport (bestemming, doel, reisdata, accommodatie en vervoer), foto's en documenten in bijlagen en rapporten, e-mailcorrespondentie. |
| Tegenpartijen | Naam, adres, telefoonnummers, e-mailadres, notities, gegevens over hun rol bij de schade, antwoord op een akkoordverklaring, correspondentie waaronder een eventuele aansprakelijkstelling of politiebrief. |
| Medereizigers | De gegevens over medereizigers die Verwerkingsverantwoordelijke in een reisrapport vastlegt, zoals naam en relatie tot de verzekerde. |
| Tussenpersonen | Naam, adres, telefoonnummers, e-mailadres, notities. |
| Opdrachtgevers en hun behandelaars | Bedrijfsnaam, adres, naam van de behandelaar, telefoonnummer, e-mailadres, notities. |
| Herstel- en lekdetectiebedrijven | Bedrijfsnaam, adres, contactpersoon, telefoonnummer, e-mailadres. |
| Afzenders van ingelezen e-mail | Naam, e-mailadres, onderwerp en inhoud van de e-mail en de bijlagen, bij een door Verwerkingsverantwoordelijke gekoppeld Microsoft 365-postvak. |
| Relaties in de gekoppelde Snelstart-administratie | Naam, adres, relatienummer en de boekingen op die relatie, zoals Snelstart ze aanlevert, bij een door Verwerkingsverantwoordelijke gekoppelde Snelstart-administratie. |
| Medewerkers en leden van Verwerkingsverantwoordelijke | Naam en e-mailadres zoals die in de tijdlijn, op rapporten en in verzonden e-mails verschijnen, en gewerkte uren op een rapport. Hun accountgegevens vallen onder deel A van de privacyverklaring. |
Het platform is niet bedoeld voor bijzondere categorieën persoonsgegevens of het burgerservicenummer, en voor strafrechtelijke gegevens alleen binnen de grenzen van artikel 5.4. Verwerkingsverantwoordelijke staat ervoor in dat deze bijlage voor haar gebruik van het platform volledig en juist is en vrijwaart Verwerker voor aanspraken die voortvloeien uit een onjuiste of onvolledige opgave.
Verwerker schakelt bij het aangaan van deze verwerkersovereenkomst de volgende subverwerkers in:
| Subverwerker | Doel | Vestiging en verwerkingslocatie |
|---|---|---|
| TransIP B.V. | Hosting van de servers, de database en de bestandsopslag van het platform | Nederland, datacenters in Nederland |
| Mailjet (Sinch Mailjet SAS) | Verzending van e-mails die vanuit het platform worden verstuurd, inclusief de e-mails die Verwerkingsverantwoordelijke vanuit een dossier stuurt | Frankrijk, verwerking binnen de Europese Unie |
De volgende diensten zijn geen subverwerkers van Verwerker. Verwerkingsverantwoordelijke koppelt ze zelf, met een eigen account, en Verwerker wisselt er uitsluitend op haar instructie gegevens mee uit (artikel 4.3):
| Dienst | Gegevensstroom |
|---|---|
| Microsoft 365 (Microsoft Ireland Operations Ltd.) | Het platform leest nieuwe e-mails uit een door Verwerkingsverantwoordelijke gekozen map van haar postvak en slaat de inhoud en bijlagen op in een dossier. Het platform verstuurt, verplaatst of wijzigt geen e-mail. |
| Snelstart (SnelStart Software B.V.) | Het platform haalt dagelijks de relaties, grootboeken, dagboeken, artikelen en boekingen uit de Snelstart-administratie van Verwerkingsverantwoordelijke op en stuurt op haar instructie relatiegegevens en boekingen terug. Een inkoopfactuur die Verwerkingsverantwoordelijke in een dossier uploadt, stuurt het platform door naar Snelstart, dat de factuur zelf uitleest en er een inkoopboeking van maakt. |