Verwerkersovereenkomst

1. Partijen en toepasselijkheid

Deze verwerkersovereenkomst geldt tussen u als verwerkingsverantwoordelijke en Mergelweb als verwerker, en maakt onderdeel uit van de overeenkomst voor het bouwen, hosten en onderhouden van uw website.

Mergelweb, een handelsnaam van Ariki, gevestigd te Nieuwwijkstraat 22, 6451 GB Schinveld, Nederland, KvK 65127552. Contact voor privacyzaken: [email protected].

Bij tegenstrijdigheid gaat deze verwerkersovereenkomst voor op de algemene voorwaarden, voor zover het de verwerking van persoonsgegevens betreft.

2. Wat ik voor u verwerk

Doel: het hosten, beschikbaar houden en onderhouden van uw website, inclusief het doorsturen van berichten uit uw contactformulier.

Aard van de verwerking: opslaan, doorsturen, beveiligen, back-uppen en op uw verzoek verwijderen.

Betrokkenen: bezoekers van uw website, en personen die uw contactformulier invullen.

Categorieën gegevens:

• Gegevens uit uw contactformulier: naam, e-mailadres, telefoonnummer en de inhoud van het bericht
• Technische bezoekgegevens in de serverlogboeken: opgevraagd adres, tijdstip, browsertype en een verkort IP-adres
• Persoonsgegevens die u zelf op de website plaatst, bijvoorbeeld namen en foto's van medewerkers

Er worden geen bijzondere categorieën persoonsgegevens verwerkt, tenzij u die zelf op de website plaatst. Doet u dat, meld het dan vooraf, zodat we kunnen bekijken of extra maatregelen nodig zijn.

Duur: zolang de overeenkomst loopt, plus de termijnen genoemd in artikel 8.

3. Mijn verplichtingen

• Ik verwerk persoonsgegevens uitsluitend op uw schriftelijke instructie, en niet voor eigen doeleinden.
• Ik gebruik uw gegevens nooit voor analyse, profilering, training van modellen of commerciële doeleinden.
• Ik meld het u direct als een instructie naar mijn oordeel in strijd is met de AVG.
• Ik werk alleen zelf aan uw site. Zijn er ooit anderen bij betrokken, dan zijn die gebonden aan geheimhouding.
• Ik verleen u redelijke medewerking bij verzoeken van betrokkenen, bij een gegevensbeschermingseffectbeoordeling en bij overleg met de Autoriteit Persoonsgegevens.

4. Beveiliging

Ik neem passende technische en organisatorische maatregelen, waaronder in elk geval:

• Uw website bestaat uit statische bestanden: er draait geen database, geen CMS en geen plugins waarin persoonsgegevens kunnen blijven staan of die gehackt kunnen worden.
• Al het verkeer verloopt versleuteld via HTTPS; onversleutelde verbindingen worden geweigerd.
• De website staat op hardware in Nederland, in mijn eigen beheer, met versleutelde opslag.
• De server is niet rechtstreeks vanaf het internet bereikbaar; verkeer loopt via een uitgaande beveiligde tunnel.
• IP-adressen in de logboeken worden ingekort voordat ze worden weggeschreven, en logboeken worden na veertien dagen verwijderd.
• Back-ups worden dagelijks gemaakt, versleuteld opgeslagen en periodiek getest op terugzetbaarheid.
• Beheertoegang is beperkt tot mij persoonlijk en beveiligd met tweefactorauthenticatie.
• De website bevat geen trackers, advertentiescripts of externe lettertypen die bezoekgegevens naar derden sturen.

5. Subverwerkers

U geeft toestemming voor het inschakelen van de volgende subverwerkers:

Wil ik een subverwerker toevoegen of vervangen, dan meld ik dat minstens dertig dagen vooraf. Maakt u binnen die termijn gemotiveerd bezwaar, dan mag u de overeenkomst kosteloos beëindigen.

Voor de betaling van mijn eigen facturen schakel ik Stripe in. Dat betreft mijn administratie van u als klant, niet de gegevens van uw websitebezoekers, en valt daarom buiten deze verwerkersovereenkomst.

6. Doorgifte buiten de EER

Uw websitegegevens en de serverlogboeken blijven in Nederland. Doorgifte buiten de Europese Economische Ruimte vindt alleen plaats via de subverwerkers in artikel 5, en uitsluitend op basis van de standaardcontractbepalingen van de Europese Commissie.

7. Datalekken

Word ik bekend met een inbreuk in verband met persoonsgegevens, dan meld ik dat zonder onredelijke vertraging en uiterlijk binnen 24 uur bij u, per e-mail en telefonisch. Ik geef daarbij de aard van de inbreuk, de betrokken categorieën gegevens, de vermoedelijke gevolgen en de genomen maatregelen.

De melding bij de Autoriteit Persoonsgegevens en aan betrokkenen doet u als verwerkingsverantwoordelijke; ik lever u alle informatie die u daarvoor nodig heeft.

8. Bewaren, teruggeven en verwijderen

Bij het einde van de overeenkomst krijgt u op verzoek alle bestanden van uw website in een bruikbaar formaat aangeleverd. Daarna verwijder ik uw gegevens van mijn systemen binnen dertig dagen, en uit de back-ups binnen negentig dagen, tenzij ik wettelijk verplicht ben ze langer te bewaren.

Berichten uit uw contactformulier worden niet op mijn server opgeslagen; die gaan rechtstreeks naar uw eigen mailbox.

9. Controle

U mag eenmaal per jaar, en verder na een datalek, controleren of ik me aan deze afspraken houd. Ik beantwoord uw vragen daarover schriftelijk en geef op verzoek inzage in de getroffen maatregelen. Wilt u een audit door een onafhankelijke deskundige, dan is dat mogelijk, met een aankondiging van dertig dagen en op uw kosten, tenzij uit de audit blijkt dat ik in gebreke was.

10. Aansprakelijkheid en recht

Op deze verwerkersovereenkomst is de aansprakelijkheidsregeling uit de algemene voorwaarden van toepassing, met dien verstande dat wettelijke aansprakelijkheid op grond van artikel 82 AVG daardoor niet wordt beperkt. Nederlands recht is van toepassing.

Versie 1.0, 1 september 2026. Deze overeenkomst wordt van kracht bij het aangaan van de hostingovereenkomst. Wilt u een ondertekend exemplaar, vraag het gerust aan.