Verwerkers­overeenkomst

Begrippen en rollen

• Klyo: de eenmanszaak Klyo, gevestigd te Enschede, Mekkelholtsweg 11, 7523 DB, KvK 94576733, BTW NL005092874B05. In deze overeenkomst treedt Klyo op als verwerker.
• Opdrachtgever: de partij die aan Klyo een opdracht verstrekt. Opdrachtgever bepaalt het doel en de middelen van de verwerking en is daarmee verwerkingsverantwoordelijke.
• Persoonsgegevens: alle gegevens over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals bedoeld in artikel 4 AVG.
• Verwerking: elke handeling met persoonsgegevens, waaronder inzien, opslaan, wijzigen, doorsturen en verwijderen.
• Sub-verwerker: een door Klyo ingeschakelde derde die namens Klyo persoonsgegevens verwerkt.
• AVG: de Algemene verordening gegevensbescherming (EU 2016/679).

Wanneer deze overeenkomst geldt

1. Deze verwerkersovereenkomst is van toepassing zodra Klyo bij de uitvoering van een opdracht toegang heeft of kan hebben tot persoonsgegevens waarvan opdrachtgever verwerkingsverantwoordelijke is.
2. Dat is onder meer het geval bij het inrichten, aanpassen of onderhouden van een webshop of platform waarin klantgegevens en bestellingen staan (zoals Shopify), bij toegang tot een CMS, e-mailsysteem, CRM of hostingomgeving van opdrachtgever, en bij het uitvoeren van migraties of imports.
3. Verwerkt Klyo uitsluitend gegevens waarvan Klyo zelf verwerkingsverantwoordelijke is — bijvoorbeeld de contactgegevens van opdrachtgever voor facturatie — dan geldt deze overeenkomst niet, maar het privacybeleid van Klyo.
4. Deze overeenkomst maakt onderdeel uit van de overeenkomst tussen partijen. Bij strijdigheid met de algemene voorwaarden Verwerkersovereenkomst gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

Onderwerp, aard en duur van de verwerking

1. Onderwerp en doel. Klyo verwerkt persoonsgegevens uitsluitend om de overeengekomen werkzaamheden uit te voeren: het bouwen, inrichten, testen, onderhouden en ondersteunen van de website, webshop of applicatie van opdrachtgever.
2. Aard van de verwerking. In de praktijk gaat het vrijwel altijd om inzien en — waar nodig voor test of migratie — tijdelijk kopiëren. Klyo verzamelt zelf geen gegevens van betrokkenen en gebruikt de gegevens nooit voor eigen doeleinden.
3. Categorieën betrokkenen. Afhankelijk van de opdracht: klanten en bezoekers van opdrachtgever, nieuwsbriefabonnees, en medewerkers van opdrachtgever met een account in het systeem.
4. Categorieën gegevens. Doorgaans naam, e-mailadres, telefoonnummer, adres- en bezorggegevens, bestel- en ordergegevens, accountgegevens en gebruiks- of loggegevens. Betaalgegevens worden verwerkt door de betaalprovider zelf; Klyo heeft daar geen toegang toe.
5. Bijzondere persoonsgegevens. Klyo verwerkt geen bijzondere categorieën persoonsgegevens, tenzij dit vooraf schriftelijk is vastgelegd inclusief de daarvoor benodigde aanvullende maatregelen.
6. Duur. Deze overeenkomst loopt zolang Klyo werkzaamheden voor opdrachtgever uitvoert of toegang heeft tot diens systemen, en eindigt zodra die toegang is beëindigd en artikel 12 is uitgevoerd.

Instructies van opdrachtgever

1. Klyo verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van opdrachtgever. De opdrachtbevestiging en deze overeenkomst gelden als zodanig.
2. Klyo verwerkt de gegevens niet voor eigen doeleinden, verstrekt ze niet aan derden en gebruikt ze niet om diensten of modellen te trainen of te verbeteren.
3. Meent Klyo dat een instructie in strijd is met de AVG of andere wetgeving, dan meldt Klyo dit onverwijld en mag Klyo de uitvoering van die instructie opschorten.
4. Is Klyo op grond van wetgeving verplicht gegevens te verstrekken, dan informeert Klyo opdrachtgever daarover vooraf, tenzij die wetgeving dat verbiedt.

Geheimhouding

1. Klyo houdt alle persoonsgegevens geheim en deelt ze niet met derden, behalve met de sub-verwerkers uit artikel 07 of wanneer een wettelijke verplichting daartoe dwingt.
2. Klyo is een eenmanszaak; feitelijke toegang tot de gegevens ligt bij Steven Groeneveld. Schakelt Klyo personeel of hulppersonen in, dan legt Klyo hun een gelijkwaardige geheimhoudingsplicht op.
3. De geheimhoudingsplicht blijft bestaan na afloop van de overeenkomst.

Beveiliging

1. Klyo treft passende technische en organisatorische maatregelen zoals bedoeld in artikel 32 AVG, afgestemd op de aard van de gegevens en de stand van de techniek.
2. Concreet betekent dat in elk geval: toegang uitsluitend via persoonlijke accounts met tweefactorauthenticatie waar het platform dat ondersteunt, versleutelde verbindingen (TLS) en versleutelde opslag op apparatuur, wachtwoordbeheer via een wachtwoordmanager, en toegang beperkt tot wat voor de opdracht noodzakelijk is.
3. Klyo maakt geen kopieën van productiedata buiten wat voor test of migratie strikt nodig is, en verwijdert dergelijke kopieën zodra ze niet langer nodig zijn.
4. Opdrachtgever is verantwoordelijk voor de beveiligingsinstellingen binnen zijn eigen platform en accounts, waaronder het intrekken van toegang van medewerkers die vertrekken.

Sub-verwerkers

1. Opdrachtgever geeft Klyo algemene toestemming om sub-verwerkers in te schakelen die noodzakelijk zijn voor de dienstverlening.
2. Klyo legt aan iedere sub-verwerker schriftelijk minimaal dezelfde verplichtingen op als in deze overeenkomst, en blijft jegens opdrachtgever verantwoordelijk voor hun handelen.
3. Welke sub-verwerkers worden ingezet, hangt af van het project. Bij een Shopify-webshop is dat doorgaans Shopify zelf; bij een op maat gebouwde website of applicatie kunnen dat partijen als Vercel, Supabase, Clerk, Stripe, Resend of Anthropic zijn. De actuele lijst voor het betreffende project wordt op verzoek verstrekt.
4. Wil Klyo een nieuwe sub-verwerker inschakelen die persoonsgegevens van opdrachtgever verwerkt, dan meldt Klyo dat vooraf. Opdrachtgever kan daartegen op redelijke gronden bezwaar maken; komen partijen er niet uit, dan mag opdrachtgever de betreffende werkzaamheden beëindigen.
5. Platformen die opdrachtgever zelf heeft afgesloten en waarvoor opdrachtgever zelf de contractspartij is — zoals een eigen Shopify-abonnement — zijn geen sub-verwerkers van Klyo. Opdrachtgever sluit daarmee zelf een verwerkersovereenkomst.

Doorgifte buiten de EER

1. Klyo verwerkt persoonsgegevens bij voorkeur binnen de Europese Economische Ruimte.
2. Vindt doorgifte naar een land buiten de EER plaats — bijvoorbeeld omdat een platform of dienst daar servers heeft — dan gebeurt dat uitsluitend op basis van een geldig doorgiftemechanisme, zoals een adequaatheidsbesluit van de Europese Commissie of de Standard Contractual Clauses.
3. Opdrachtgever kan op verzoek inzage krijgen in welk mechanisme voor welke dienst geldt.

Rechten van betrokkenen

1. Betrokkenen hebben recht op inzage, correctie, verwijdering, beperking, bezwaar en dataportabiliteit. Het afhandelen van die verzoeken is de verantwoordelijkheid van opdrachtgever.
2. Ontvangt Klyo rechtstreeks een verzoek van een betrokkene, dan behandelt Klyo dit niet zelf maar stuurt het onverwijld door naar opdrachtgever.
3. Klyo verleent opdrachtgever redelijke medewerking bij het afhandelen van dergelijke verzoeken, voor zover opdrachtgever dat niet zelf in het platform kan doen. Vergt dat meer dan incidentele inspanning, dan mag Klyo daarvoor het in de offerte genoemde uurtarief in rekening brengen.

Datalekken

1. Constateert Klyo een inbreuk in verband met persoonsgegevens van opdrachtgever, dan meldt Klyo dit zonder onredelijke vertraging en uiterlijk binnen 24 uur na ontdekking aan opdrachtgever.
2. De melding bevat in elk geval: de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen, en een contactpersoon voor nadere informatie. Is nog niet alles bekend, dan meldt Klyo wat wél bekend is en vult later aan.
3. Het beoordelen of een lek gemeld moet worden bij de Autoriteit Persoonsgegevens of bij betrokkenen, en het doen van die meldingen, is de verantwoordelijkheid van opdrachtgever. Klyo verleent daarbij de redelijkerwijs benodigde medewerking.
4. Klyo doet geen mededelingen over een inbreuk aan derden zonder overleg met opdrachtgever, tenzij een wettelijke plicht daartoe dwingt.

Controle en informatie

1. Klyo stelt opdrachtgever op verzoek de informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit deze overeenkomst worden nagekomen.
2. Opdrachtgever mag ten hoogste eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden deskundige, mits dit ten minste vier weken van tevoren wordt aangekondigd en de bedrijfsvoering van Klyo niet onnodig wordt verstoord. Bij een concrete aanwijzing van een tekortkoming kan dit vaker.
3. De kosten van een audit komen voor rekening van opdrachtgever, tenzij daaruit blijkt dat Klyo tekortschiet in de nakoming van deze overeenkomst.
4. Klyo verleent redelijke medewerking aan een gegevensbeschermingseffectbeoordeling (DPIA) en aan voorafgaande raadpleging van de toezichthouder, voor zover die betrekking heeft op de verwerkingen die Klyo uitvoert.

Teruggave en verwijdering na afloop

1. Na beëindiging van de werkzaamheden verwijdert Klyo alle persoonsgegevens van opdrachtgever uit eigen systemen en beëindigt Klyo de eigen toegang tot de systemen van opdrachtgever, tenzij opdrachtgever schriftelijk om teruggave verzoekt.
2. Verwijdering vindt plaats binnen 30 dagen na beëindiging, of eerder als opdrachtgever daarom vraagt. Klyo bevestigt de verwijdering desgevraagd schriftelijk.
3. Bestaat er een wettelijke bewaarplicht, dan bewaart Klyo uitsluitend wat die plicht vereist en uitsluitend zolang die duurt.
4. Gegevens die zich uitsluitend in de systemen van opdrachtgever bevinden — zoals de klantendatabase in een eigen Shopify-omgeving — blijven daar staan; Klyo verwijdert in dat geval alleen de eigen toegang.

Aansprakelijkheid

1. Op de aansprakelijkheid van Klyo onder deze overeenkomst is de aansprakelijkheidsregeling uit de algemene voorwaarden van toepassing, met dien verstande dat een beperking nooit verder gaat dan wettelijk is toegestaan.
2. Opdrachtgever staat ervoor in dat er een geldige grondslag is voor de verwerkingen die hij aan Klyo opdraagt, dat betrokkenen daarover correct zijn geïnformeerd, en dat de aangeleverde gegevens rechtmatig zijn verkregen.
3. Opdrachtgever vrijwaart Klyo voor aanspraken van betrokkenen of derden die voortvloeien uit het ontbreken van een grondslag of uit instructies van opdrachtgever, tenzij de schade het gevolg is van een toerekenbare tekortkoming van Klyo.

Slotbepalingen

1. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Overijssel, locatie Almelo.
2. Wijzigingen zijn alleen geldig wanneer ze schriftelijk zijn overeengekomen. Wijzigt wetgeving of toezichthoudend beleid zodanig dat aanpassing nodig is, dan treden partijen in overleg.
3. Is een bepaling nietig of vernietigbaar, dan blijven de overige bepalingen van kracht en vervangen partijen de betreffende bepaling door een geldige bepaling die de bedoeling zo dicht mogelijk benadert.
4. De meest actuele versie van deze overeenkomst staat gepubliceerd op www.klyo.nl/verwerkersovereenkomst. Vraagt opdrachtgever om een ondertekend exemplaar, dan verstrekt Klyo dat op verzoek.
5. Vragen over gegevensbescherming: steven@klyo.nl of +31 6 51 84 77 93.