Verwerkersovereenkomst.

1. Partijen, toepasselijkheid en rangorde

Deze verwerkersovereenkomst (DPA) maakt deel uit van de overeenkomst waarbij Amerged B.V., Op de Smelen 1, 5863 BN Blitterswijck, Nederland, KvK-nummer 42154221, btw-nummer NL869953308B01 (Amerged), diensten levert aan de klant die in de toepasselijke opdracht of werkomschrijving is vermeld (Klant). Zij geldt wanneer Amerged bij de dienstverlening persoonsgegevens namens de Klant verwerkt. De opdracht, werkomschrijving en Raamovereenkomst voor dienstverlening vormen samen de Overeenkomst.

Deze DPA wordt bindend wanneer zij is opgenomen in een door beide partijen aanvaarde Overeenkomst. Publicatie of downloaden alleen brengt geen overeenkomst tot stand. Deze versie geldt voor Overeenkomsten die haar van toepassing verklaren; een websitewijziging wijzigt een bestaande Overeenkomst niet met terugwerkende kracht.

Deze DPA en haar bijlagen gaan voor op strijdige bepalingen van de Overeenkomst over de verwerking van Persoonsgegevens van de Klant. Toepasselijke, rechtsgeldig overeengekomen standaardcontractbepalingen gaan bij tegenstrijdigheid voor op deze DPA. Dwingend gegevensbeschermingsrecht blijft onverlet. De Nederlandse tekst is bepalend; de Engelse en Duitse teksten zijn vertalingen ter ondersteuning. Deze taalregel wijzigt geen officiële SCC-tekst of dwingende rechten van betrokkenen.

2. Definities en rolverdeling

AVG betekent Verordening (EU) 2016/679. Toepasselijk gegevensbeschermingsrecht omvat de AVG en toepasselijke nationale uitvoerings- en aanvullende wetgeving. Persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene en inbreuk in verband met persoonsgegevens hebben de betekenis uit de AVG. Persoonsgegevens van de Klant zijn persoonsgegevens die Amerged onder de Overeenkomst namens de Klant verwerkt. Een Subverwerker is een andere verwerker die Amerged voor die verwerking inschakelt.

De Klant handelt als verwerkingsverantwoordelijke en Amerged als verwerker. Wanneer de Klant voor een andere verwerkingsverantwoordelijke als verwerker handelt, is Amerged haar subverwerker. De Klant moet bevoegd zijn om namens die verwerkingsverantwoordelijke Amerged aan te stellen, instructies te geven en verdere subverwerkers toe te staan. In beide situaties geldt hetzelfde materiële beschermingsniveau. De feitelijke activiteiten en het toepasselijke recht bepalen de verantwoordelijkheden, ongeacht contractuele benamingen.

Deze DPA geldt niet voor persoonsgegevens waarvoor Amerged zelfstandig verwerkingsverantwoordelijke is, zoals noodzakelijke zakelijke contactgegevens, contractadministratie en wettelijke boekhouding. Deze activiteiten staan in de Privacyverklaring. Een eigen verwerkingsdoel geeft Amerged geen recht om de inhoud van klantworkflows voor andere doeleinden te gebruiken.

3. Verantwoordelijkheden en instructies van de Klant

De Klant bepaalt de verwerkingsdoeleinden, rechtsgrond, vereiste informatieverstrekking en rechtmatigheid van aangeleverde gegevens. Zij beoordeelt of de diensten en overeengekomen waarborgen geschikt zijn voor de beoogde verwerking, beheert passende accountrechten en verstrekt informatie die nodig is om rechtmatige instructies uit te voeren. Haar verantwoordelijkheid ontslaat Amerged niet van eigen verplichtingen.

De Overeenkomst, deze DPA, de ingevulde opdracht en bevoegde dienstconfiguraties vormen gedocumenteerde instructies. Aanvullende instructies worden via de aangewezen contractuele contactpersoon van de Klant in duurzaam schriftelijke vorm verstrekt. Amerged mag de bevoegdheid van de afzender controleren. Instructies moeten de gewenste handeling voldoende beschrijven voor een veilige uitvoering. Wijzigingen in omvang, kosten of technische uitvoerbaarheid worden besproken en vastgelegd; dit proces mag verplichte bijstand of naleving niet vertragen.

Amerged verwerkt Persoonsgegevens van de Klant uitsluitend op gedocumenteerde instructies, waaronder instructies over doorgiften, tenzij Unierecht of lidstatelijk recht anders vereist. Amerged informeert de Klant vóór die verwerking over de wettelijke verplichting, tenzij dat recht kennisgeving om gewichtige redenen van algemeen belang verbiedt. Amerged informeert de Klant onverwijld als zij meent dat een instructie het toepasselijke gegevensbeschermingsrecht schendt en mag de betrokken handeling in afwachting van opheldering opschorten. Zij bepaalt geen zelfstandig nieuw doel en verkoopt geen Persoonsgegevens van de Klant.

4. Vertrouwelijkheid, personeel en beveiliging

Amerged zorgt dat personen die persoonsgegevens mogen verwerken gebonden zijn aan geheimhouding of een passende wettelijke geheimhoudingsplicht. Toegang blijft beperkt tot personeel dat deze voor zijn werkzaamheden nodig heeft en wordt ingetrokken zodra die noodzaak vervalt. Personeel krijgt passende instructies over veilig gegevensgebruik en incidentescalatie.

Amerged treft en onderhoudt passende technische en organisatorische maatregelen, rekening houdend met de stand van de techniek, uitvoeringskosten, verwerkingscontext en risico's voor personen. De contractuele minimummaatregelen staan in de Technische en organisatorische maatregelen, die Bijlage II bij deze DPA vormen. Zij omvatten toegangsbeheer, beveiliging van transport en opgeslagen gegevens, operationele beveiliging, herstel en incidentbeheer.

Amerged mag afzonderlijke maatregelen verbeteren of vervangen zonder de totale overeengekomen bescherming te verlagen. Materiële wijzigingen die overeengekomen waarborgen raken worden vastgelegd en meegedeeld. Aanvullende waarborgen voor ongebruikelijke verwerkingen of verwerkingen met een hoog risico worden overeengekomen voordat die verwerking begint. Deze DPA doet geen toezegging over certificering, onafhankelijke auditresultaten of een vast beschikbaarheidsniveau.

5. Subverwerkers

De Klant geeft algemene schriftelijke toestemming om Subverwerkers volgens dit artikel in te schakelen. De aanvankelijke toepasselijke aanbieders, functies en locatiegegevens staan in de Lijst van subverwerkers, die Bijlage III vormt. Een als optioneel vermelde aanbieder is voor een bepaalde Klant alleen toegestaan als de bijbehorende dienst uitdrukkelijk is besteld.

Amerged beoordeelt een aanbieder proportioneel vóór aanstelling en sluit een schriftelijke overeenkomst met inhoudelijk gelijkwaardige gegevensbeschermingsverplichtingen voor de toevertrouwde verwerking. Amerged blijft tegenover de Klant verantwoordelijk voor de naleving van deze verplichtingen door de Subverwerker. Zij houdt informatie over de verwerkingsketen bij en verstrekt op verzoek informatie die nodig is voor de nalevingsbeoordeling van de Klant.

Amerged informeert de aangewezen contractuele contactpersoon ten minste 30 dagen voordat een nieuwe of vervangende Subverwerker Persoonsgegevens van de Klant gaat verwerken, met vermelding van functie, verwerkingslocatie en relevante doorgiftewaarborgen. Alleen een openbare lijst bijwerken vervangt deze kennisgeving niet. De Klant kan binnen die termijn gemotiveerd bezwaar maken op gegevensbeschermingsgronden. Partijen zoeken te goeder trouw een oplossing, waaronder een andere aanbieder, configuratie of uitsluiting van de betrokken functie.

Amerged begint de betwiste verwerking niet zolang een tijdig, gemotiveerd bezwaar onopgelost blijft. Is vóór de geplande wijziging geen redelijke oplossing beschikbaar, dan kan iedere partij de betrokken dienst schriftelijk beëindigen zonder vergoeding wegens vroegtijdige beëindiging van die dienst. Amerged betaalt vooruitbetaalde bedragen voor de ongebruikte periode terug en ondersteunt teruggave of verwijdering volgens artikel 10. Overige diensten blijven bestaan. Een door de Klant gekozen onafhankelijke integratie wordt niet enkel door aansluiting op de dienst een Subverwerker van Amerged; Amerged blijft verantwoordelijk voor aanbieders die zij daadwerkelijk inschakelt.

6. Locaties en internationale doorgiften

De overeengekomen basis voor de hosting van kernapplicaties van klanten is Contabo-infrastructuur in München, Duitsland. De opdracht of een gedocumenteerd infrastructuuroverzicht vermeldt de implementatie en eventuele afzonderlijk overeengekomen locatie. Back-ups en ondersteuning worden bij de locatiebeoordeling betrokken. Een andere locatie voor kernhosting vereist voorafgaande gedocumenteerde overeenstemming; alleen de statutaire vestigingsplaats van een aanbieder bewijst geen serverlocatie.

Cloudflare beschermt internettoegankelijke diensten en kan de openbare website via haar edgenetwerk leveren. Afhankelijk van de configuratie verwerkt Cloudflare verbindingsgegevens, beveiligingsgebeurtenissen en verkeer via het beschermde toegangspunt. Haar wereldwijde activiteiten kunnen verwerking buiten de Europese Economische Ruimte (EER) meebrengen; deze DPA belooft geen uitsluitend Europese Cloudflare-verwerking.

Voor uitdrukkelijk bestelde AI-diensten gebruikt Amerged AI Act-conforme modellen via Orq.ai op in de EU gehoste infrastructuur, met modelinferentie binnen de EU. Dit is een bindende selectie- en inzetverplichting voor de voor die dienst goedgekeurde modellen: Amerged controleert de eisen van Verordening (EU) 2024/1689 die gelden voor het model, de aanbieder, de rol van Amerged en de overeengekomen toepassing. Vóór activering documenteert Amerged de modelaanbieders, de onderbouwing van die beoordeling, EU-eindpunten en EU-terugvalroutes. Aanvullende toepassingseisen worden overeengekomen en vervuld voordat de betrokken verwerking begint. Alleen een EU-gateway volstaat niet. Afwijking van de overeengekomen EU-inferentie vereist een uitdrukkelijke wijziging van de toepasselijke opdracht die beide partijen aanvaarden; een gewone verwerkingsinstructie alleen volstaat niet. Afzonderlijk toegestane doorgiften voor ondersteuning of telemetrie blijven onderworpen aan de toepasselijke doorgiftewaarborgen en staan geen inferentie buiten de EU toe. Deze verplichting certificeert niet ieder model in de catalogus van Orq.ai.

Amerged verricht geen doorgifte waarvoor hoofdstuk V AVG waarborgen vereist zonder geldig juridisch mechanisme en noodzakelijke aanvullende maatregelen. Waar passend gebruikt zij een toepasselijk adequaatheidsbesluit, waaronder geldige en relevante deelname van de ontvanger aan een erkend kader, of rechtsgeldig overeengekomen SCC's. Modules en bijlagen moeten aansluiten op de werkelijke exporteur, importeur en rollen; bij verwerker-naar-subverwerkerdoorgiften is doorgaans Module 3 nodig wanneer die SCC's toepasselijk zijn. Amerged beoordeelt de omstandigheden en herbeoordeelt materiële wijzigingen. Kan passende bescherming niet worden gehandhaafd, dan wordt de doorgifte opgeschort of vervangen. Het SCC- en doorgiftekader beschrijft de documentatie; een verwijzing maakt niet iedere denkbare doorgifte ondertekend of toegestaan.

7. Bijstand en verzoeken van betrokkenen

Rekening houdend met de verwerking en beschikbare informatie helpt Amerged de Klant bij AVG-rechtenverzoeken, beveiligingsverplichtingen, beoordeling en melding van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van een toezichthouder. Bijstand omvat relevante verwerkingsinformatie en uitvoerbare technische of organisatorische ondersteuning.

Ontvangt Amerged een verzoek over Persoonsgegevens van de Klant, dan stuurt zij dit onverwijld naar de aangewezen contractuele contactpersoon. Zonder instructie reageert zij niet inhoudelijk, verstrekt zij geen gegevens en bepaalt zij niet de uitkomst, tenzij de wet dit vereist. De Klant controleert de identiteit en bepaalt de rechtmatige reactie. Amerged mag de ontvangst bevestigen en haar rol als verwerker toelichten.

Gebruikelijke bijstand die redelijkerwijs bij de dienstverlening hoort is inbegrepen. Omvangrijke extra werkzaamheden mogen tegen overeengekomen redelijke tarieven worden berekend nadat omvang en kosten zijn beschreven. Kosten, vooruitbetaling of een commercieel geschil mogen verplichte bijstand, toezichtmedewerking of tijdige bescherming van personen niet belemmeren. Amerged draagt bijstandskosten die voortkomen uit haar eigen schending van deze DPA.

8. Inbreuken in verband met persoonsgegevens

Amerged meldt een inbreuk die Persoonsgegevens van de Klant raakt zonder onredelijke vertraging nadat zij hiervan kennis heeft genomen. Haar operationele doel is een eerste melding binnen 48 uur na die kennisname. Dit doel is geen wachttijd, verlenging van de wettelijke norm of vervanging van de eigen meldingstermijnen van de Klant.

De melding beschrijft, zodra informatie beschikbaar is, de aard van de inbreuk, getroffen gegevens en betrokkenen, aantallen bij benadering, waarschijnlijke gevolgen, beperkende maatregelen en een contactpunt. Amerged mag informatie zonder onredelijke vertraging in fasen verstrekken en stelt de eerste melding niet uit uitsluitend omdat het onderzoek onvolledig is.

Amerged beperkt en onderzoekt het incident onverwijld, bewaart relevant bewijsmateriaal, documenteert haar beoordeling en werkt mee aan redelijke responsinstructies. De Klant bepaalt meldingen aan autoriteiten en betrokkenen, tenzij de wet rechtstreeks een plicht aan Amerged oplegt. Een eerste melding of bijstand vormt op zichzelf geen erkenning van schuld of aansprakelijkheid.

9. Verantwoording, informatie en audits

Amerged houdt de vereiste registers bij en verstrekt de Klant informatie die nodig is om naleving van deze DPA en artikel 28 AVG aan te tonen. Partijen gebruiken eerst proportionele documentatie, vragenlijsten en onderzoek op afstand waar deze middelen voldoende zijn.

De Klant of een door haar aangewezen onafhankelijke auditor mag een audit, waaronder inspectie, uitvoeren als dit nodig is om naleving te beoordelen. Routinematige audits zijn normaal beperkt tot eenmaal per 12 maanden, met redelijke voorafgaande aankondiging tijdens kantooruren. Deze beperking geldt niet bij een onderbouwde nalevingszorg, relevante persoonsgegevensinbreuk, materiële wijziging die verificatie vereist, verzoek van een toezichthouder of andere dwingende wettelijke eis.

Partijen spreken redelijke vertrouwelijkheids- en beveiligingsvoorwaarden af, beschermen gegevens van andere klanten en voorkomen onnodige verstoring. Deze afspraken mogen een doeltreffende audit of wettelijk vereiste toegang niet verhinderen. Amerged werkt mee, verhelpt onderbouwde tekortkomingen zonder onredelijke vertraging en geeft een proportioneel hersteloverzicht. Elke partij draagt normaal haar eigen routine-auditkosten; redelijke buitengewone bijstandskosten kunnen worden overeengekomen, maar mogen wettelijke auditrechten niet uithollen. Bevoegde toezichthouders behouden hun volledige bevoegdheden.

10. Teruggave, bewaring en verwijdering

De Klant kan bij het einde van de diensten teruggave of verwijdering van Persoonsgegevens van de Klant instrueren en haar keuze vóór voltooiing wijzigen. Tenzij zij eerdere verwijdering instrueert, biedt Amerged gedurende 30 dagen na beëindiging of afloop een exportmogelijkheid. Export gebeurt in een redelijk bruikbaar, gangbaar ondersteund formaat passend bij de dienst. Maatwerk voor migratie kan afzonderlijk worden afgesproken.

Na deze periode verwijdert Amerged de gegevens binnen de volgende 30 dagen uit actieve systemen, uiterlijk 60 dagen na het einde van de diensten. Resterende back-upkopieën vervallen binnen 90 dagen na actieve verwijdering en uiterlijk 150 dagen na het einde van de diensten. Tot die tijd blijven zij afgeschermd, uitgesloten van normaal gebruik en uitsluitend beschikbaar voor herstel of beveiliging. Na herstel worden toepasselijke verwijderinstructies opnieuw uitgevoerd.

Beveiligings- en operationele logbestanden hebben normaal een maximale bewaartermijn van 180 dagen na aanmaak. Bevatten zij Persoonsgegevens van de Klant die namens de Klant worden verwerkt, dan gaat de eerdere toepasselijke verwijdertermijn na beëindiging voor. Partijen kunnen kortere dienstspecifieke termijnen overeenkomen. Amerged geeft verwijderinstructies door aan relevante Subverwerkers en bevestigt op redelijk verzoek de voltooiing.

Vereist Unierecht of lidstatelijk recht verdere opslag, dan vermeldt Amerged waar toegestaan de grondslag en duur, zondert zij noodzakelijke gegevens af, beperkt zij de verwerking tot dat wettelijke doel en verwijdert zij de gegevens wanneer de plicht eindigt. Een juridisch geschil is geen algemene uitzondering voor bewaring van dienstinhoud. Amerged mag strikt noodzakelijke stukken voor eigen rechtsvorderingen alleen op een afzonderlijke rechtmatige grondslag als verwerkingsverantwoordelijke bewaren, met beperkte toegang en proportionele termijnen; dit zet verwijderplichten als verwerker niet opzij.

11. Duur, aansprakelijkheid en contact

Deze DPA blijft gelden zolang Amerged Persoonsgegevens van de Klant verwerkt, ook tijdens toegestane teruggave, verwijdering en het vervallen van back-ups. Kan Amerged niet voldoen, dan informeert zij de Klant onverwijld, treft zij herstelmaatregelen en schort zij waar nodig de betrokken verwerking op. Voor wezenlijke schendingen gelden de remedies uit de Overeenkomst en dwingend recht.

De Overeenkomst regelt contractuele aansprakelijkheid voor zover rechtens toegestaan. Niets beperkt wettelijke rechten van betrokkenen, verantwoordelijkheden onder artikel 82 AVG of toezichtsbevoegdheden. Wijzigingen worden gedocumenteerd en mogen dwingende bescherming niet verminderen. Vragen, instructies en meldingen verlopen via de aangewezen contractuele contactpersonen. Klanten kunnen Amerged ook via het contactformulier bereiken; Amerged controleert waar nodig de bevoegdheid en regelt een veilig kanaal voor gevoelige details. Schriftelijke correspondentie kan als alternatief naar het adres in artikel 1 worden gestuurd, onder vermelding van “Gegevensbescherming”.

12. Bijlage I — Beschrijving van de verwerking

De opdracht beperkt of vult deze beschrijving aan wanneer het concrete project dat vereist. Zij mag niet ongemerkt gevoelige verwerking uitbreiden of een niet-goedgekeurde doorgifte invoeren. Bijlage II: TOMs en Bijlage III: Subverwerkers zijn integraal onderdeel van deze DPA.