Verwerkersovereenkomst

Dit is een vertaling ter informatie. Alleen de Engelse versie is bindend; bij verschil of tegenstrijdigheid gaat de Engelse tekst voor.

Studio Primary · Versie 2026-10-13 · Ingangsdatum 13 oktober 2026

Deze Verwerkersovereenkomst ("Verwerkersovereenkomst") maakt deel uit van de overeenkomst tussen Studio Primary, handelend onder de naam Studio Primary, KvK 82701237, Eindhoven, The Netherlands ("Verwerker"), en de klant die deze in de Dienst aanvaardt ("Verwerkingsverantwoordelijke"), bestaande uit de Algemene Voorwaarden en deze Verwerkersovereenkomst (de "Overeenkomst"). Zij voldoet aan de vereisten van artikel 28 lid 3 van de Algemene Verordening Gegevensbescherming (EU) 2016/679 ("AVG"). Begrippen die in de Algemene Voorwaarden of in de AVG zijn gedefinieerd, hebben hier dezelfde betekenis.

Voor zover de Verwerkingsverantwoordelijke zelf optreedt als verwerker ten behoeve van zijn eigen klanten, treedt de Verwerker op als diens subverwerker, en staat de Verwerkingsverantwoordelijke ervoor in dat zijn instructies en deze Verwerkersovereenkomst in overeenstemming zijn met zijn eigen overeenkomsten met die klanten.

1. Onderwerp en instructies

1.1 De Verwerker verwerkt Persoonsgegevens ten behoeve van de Verwerkingsverantwoordelijke uitsluitend om de Dienst te leveren zoals beschreven in de Overeenkomst en in bijlage 1, en uitsluitend op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke. De Overeenkomst, de door de Verwerkingsverantwoordelijke ingestelde configuratie van zijn werkomgeving en de handelingen en goedkeuringen van zijn Geautoriseerde Gebruikers in de Dienst vormen tezamen de volledige schriftelijke instructies van de Verwerkingsverantwoordelijke, mede ten aanzien van doorgiften naar derde landen.

1.2 De Verwerker mag Persoonsgegevens slechts anderszins verwerken indien een op hem van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling hem daartoe verplicht; in dat geval stelt hij de Verwerkingsverantwoordelijke voorafgaand aan de verwerking in kennis van dat wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.

1.3 De Verwerker stelt de Verwerkingsverantwoordelijke onmiddellijk in kennis indien een instructie naar zijn oordeel inbreuk maakt op de AVG of op andere wetgeving inzake gegevensbescherming. De Verwerker is niet verplicht instructies aan een volledig juridisch onderzoek te onderwerpen.

1.4 De Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid van de verwerking, waaronder het beschikken over een rechtsgrond, het informeren van betrokkenen en het verkrijgen van toestemmingen (waaronder voor elektronische marketing), alsmede voor de juistheid van de Persoonsgegevens. De Verwerkingsverantwoordelijke geeft geen instructie tot verwerking van bijzondere categorieën van persoonsgegevens (artikel 9 AVG) of van persoonsgegevens betreffende strafrechtelijke veroordelingen (artikel 10 AVG), noch van persoonsgegevens van kinderen, tenzij uitdrukkelijk schriftelijk overeengekomen.

2. Geheimhouding

2.1 De Verwerker waarborgt dat de personen die gemachtigd zijn om Persoonsgegevens te verwerken, tot geheimhouding zijn gehouden of door een passende wettelijke verplichting tot geheimhouding zijn gebonden, en dat zij Persoonsgegevens uitsluitend verwerken voor zover nodig voor het leveren van de Dienst.

3. Beveiliging

3.1 De Verwerker treft de in bijlage 2 beschreven technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, zoals vereist door artikel 32 AVG. De Verwerker mag deze maatregelen aanpassen, mits het algehele beveiligingsniveau daardoor niet afneemt.

3.2 De Verwerkingsverantwoordelijke is verantwoordelijk voor de beveiligingsmaatregelen die binnen zijn eigen invloedssfeer liggen, waaronder het beheer van gebruikers, rollen, wachtwoorden en toegangsgegevens, het goedkeuren van wijzigingen, en de beveiliging van de systemen en accounts bij derden die hij koppelt.

4. Subverwerkers

4.1 De Verwerkingsverantwoordelijke verleent de Verwerker algemene schriftelijke toestemming voor het inschakelen van subverwerkers. De subverwerkers die op de ingangsdatum zijn ingeschakeld, zijn opgenomen in bijlage 3.

4.2 De Verwerker informeert de Verwerkingsverantwoordelijke ten minste veertien (14) dagen van tevoren over iedere voorgenomen toevoeging of vervanging van subverwerkers, via de Dienst, per e-mail of door bijlage 3 bij te werken in een nieuwe versie van deze Verwerkersovereenkomst. De Verwerkingsverantwoordelijke kan binnen die termijn op redelijke gronden die verband houden met gegevensbescherming bezwaar maken. Indien partijen het bezwaar niet kunnen oplossen, kan de Verwerkingsverantwoordelijke, als enig rechtsmiddel, de Overeenkomst beëindigen voor zover deze betrekking heeft op de betreffende Dienst.

4.3 De Verwerker legt iedere subverwerker verplichtingen inzake gegevensbescherming op die in wezen gelijkwaardig zijn aan die in deze Verwerkersovereenkomst, en blijft jegens de Verwerkingsverantwoordelijke verantwoordelijk voor de nakoming door zijn subverwerkers overeenkomstig artikel 28 lid 4 AVG, met inachtneming van de aansprakelijkheidsbeperkingen in de Overeenkomst.

4.4 AI-aanbieders. Of een via OpenRouter bereikte aanbieder van AI-modellen Persoonsgegevens mag bewaren of mag gebruiken om zijn modellen te trainen of te verbeteren, hangt af van het gegevensbeleid van die aanbieder en van de instellingen voor gegevensbeleid van het gebruikte OpenRouter-account. Voor AI-toegang via het platform deelt de Verwerker de Verwerkingsverantwoordelijke op verzoek mee welke instellingen van toepassing zijn. De Verwerker doet geen toezegging dat gegevens van training of bewaring zijn uitgesloten. De Verwerkingsverantwoordelijke bepaalt welke Persoonsgegevens hij aan AI-functionaliteiten aanbiedt en biedt geen Persoonsgegevens aan waarvan hij de verwerking onder die instellingen niet aanvaardt; indien hij uitsluiting van training verlangt, gebruikt hij zijn eigen OpenRouter-sleutel met uitgeschakelde training en bewaring.

4.5 Door de Verwerkingsverantwoordelijke ingeschakelde derden zijn geen subverwerkers. Diensten van derden die de Verwerkingsverantwoordelijke met zijn eigen account of toegangsgegevens koppelt of configureert — waaronder Google, Meta, LinkedIn, Reddit, Microsoft, zijn eigen sleutel bij een AI-aanbieder, zijn eigen e-mailserver (SMTP) en iedere website waarop hij een script installeert — worden door de Verwerkingsverantwoordelijke ingeschakeld. Gegevens die met hen worden uitgewisseld, worden doorgegeven op instructie van de Verwerkingsverantwoordelijke en op grond van diens eigen overeenkomst met die partijen, en de Verwerker draagt geen verantwoordelijkheid voor hun verwerking.

5. Doorgifte naar derde landen

5.1 De Verwerker geeft Persoonsgegevens uitsluitend door naar een land buiten de Europese Economische Ruimte op instructie van de Verwerkingsverantwoordelijke (waaronder door het gebruik door de Verwerkingsverantwoordelijke van functionaliteiten die afhankelijk zijn van een in bijlage 3 genoemde subverwerker) en met inachtneming van hoofdstuk V AVG, op basis van een adequaatheidsbesluit (waaronder het EU-VS-kader voor gegevensbescherming (EU–US Data Privacy Framework) voor gecertificeerde ontvangers) of modelcontractbepalingen, zo nodig aangevuld met aanvullende maatregelen.

6. Bijstand

6.1 Verzoeken van betrokkenen. Rekening houdend met de aard van de verwerking verleent de Verwerker de Verwerkingsverantwoordelijke door middel van passende technische en organisatorische maatregelen bijstand bij het beantwoorden van verzoeken van betrokkenen die hun rechten op grond van hoofdstuk III AVG uitoefenen. De Dienst stelt de Verwerkingsverantwoordelijke in staat de door hem beheerde Persoonsgegevens in te zien, te corrigeren, te exporteren en te verwijderen. De Verwerker stuurt ieder verzoek dat hij rechtstreeks van een betrokkene ontvangt en dat betrekking heeft op gegevens van de Verwerkingsverantwoordelijke, zonder onredelijke vertraging door aan de Verwerkingsverantwoordelijke en beantwoordt het niet zelf, behoudens om de betrokkene naar de Verwerkingsverantwoordelijke te verwijzen.

6.2 Overige verplichtingen. De Verwerker verleent de Verwerkingsverantwoordelijke bijstand bij het doen nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG (beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging), rekening houdend met de aard van de verwerking en de informatie waarover de Verwerker beschikt.

6.3 Bijstand die verder gaat dan wat de Dienst standaard biedt, kan tegen de gebruikelijke tarieven van de Verwerker in rekening worden gebracht, tenzij de bijstand noodzakelijk is vanwege een schending van deze Verwerkersovereenkomst door de Verwerker.

7. Inbreuken in verband met persoonsgegevens

7.1 De Verwerker stelt de Verwerkingsverantwoordelijke zonder onredelijke vertraging, en indien mogelijk binnen 48 uur, in kennis nadat hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens die betrekking heeft op Persoonsgegevens van de Verwerkingsverantwoordelijke.

7.2 De kennisgeving omschrijft, voor zover bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en betrokken gegevensrecords, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. Informatie kan gefaseerd worden verstrekt.

7.3 De Verwerkingsverantwoordelijke is verantwoordelijk voor de beoordeling of de toezichthoudende autoriteit en betrokkenen in kennis moeten worden gesteld. De Verwerker meldt een inbreuk die betrekking heeft op gegevens van de Verwerkingsverantwoordelijke niet namens de Verwerkingsverantwoordelijke aan de toezichthoudende autoriteit of aan betrokkenen zonder instructie van de Verwerkingsverantwoordelijke, tenzij de wet dit vereist.

8. Verwijdering en teruggave

8.1 Bij het einde van de Overeenkomst kan de Verwerkingsverantwoordelijke zijn Persoonsgegevens binnen dertig (30) dagen exporteren met gebruikmaking van de exportfunctionaliteiten van de Dienst. Na het verstrijken van die termijn verwijdert de Verwerker de Persoonsgegevens, tenzij Unierechtelijke of lidstaatrechtelijke bepalingen opslag ervan voorschrijven. Back-ups worden in de reguliere back-upcyclus overschreven (ten hoogste 35 dagen). Gegevens die de Verwerkingsverantwoordelijke gedurende de Overeenkomst in de Dienst verwijdert, kunnen ten hoogste zes (6) maanden in een prullenbak waaruit zij kunnen worden hersteld worden bewaard alvorens definitief te worden verwijderd, tenzij de Verwerkingsverantwoordelijke deze eerder definitief verwijdert.

9. Informatie en audits

9.1 De Verwerker stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die redelijkerwijs nodig is om de nakoming van artikel 28 AVG aan te tonen, primair door middel van deze Verwerkersovereenkomst, de bijlagen daarbij en schriftelijke antwoorden op redelijke vragen.

9.2 Indien die informatie aantoonbaar ontoereikend is, kan de Verwerkingsverantwoordelijke ten hoogste eenmaal per jaar, na een schriftelijke aankondiging van ten minste dertig (30) dagen, een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte auditor, tijdens normale kantooruren, zonder verstoring van de Dienst en zonder toegang tot gegevens van andere klanten of tot vertrouwelijke informatie over de beveiliging van de Verwerker waardoor de Dienst in gevaar zou worden gebracht. De kosten van de audit komen voor rekening van de Verwerkingsverantwoordelijke, tenzij uit de audit een wezenlijke schending van deze Verwerkersovereenkomst door de Verwerker blijkt. Audits die door een toezichthoudende autoriteit worden verlangd, zijn altijd toegestaan.

10. Aansprakelijkheid en duur

10.1 Op de aansprakelijkheid van ieder van de partijen uit hoofde van of in verband met deze Verwerkersovereenkomst zijn de beperkingen en uitsluitingen van aansprakelijkheid in de Algemene Voorwaarden van toepassing, voor zover toegestaan op grond van artikel 82 AVG en ander dwingend recht. De Verwerkingsverantwoordelijke vrijwaart de Verwerker voor aanspraken van betrokkenen, toezichthoudende autoriteiten en andere derden, voor zover deze voortvloeien uit de instructies van de Verwerkingsverantwoordelijke of uit diens schending van wetgeving inzake gegevensbescherming.

10.2 Deze Verwerkersovereenkomst is van toepassing zolang de Verwerker Persoonsgegevens ten behoeve van de Verwerkingsverantwoordelijke verwerkt, en blijft gedurende die tijd na beëindiging van de Overeenkomst van kracht.

10.3 In geval van strijdigheid tussen deze Verwerkersovereenkomst en de Algemene Voorwaarden met betrekking tot de verwerking van Persoonsgegevens, prevaleert deze Verwerkersovereenkomst. Op deze Verwerkersovereenkomst zijn de bepalingen inzake toepasselijk recht en bevoegde rechter van de Algemene Voorwaarden van toepassing.

---

Bijlage 1 — Beschrijving van de verwerking

Aard en doel. Het hosten, opslaan, opvragen, analyseren, genereren, ordenen, verzenden en verwijderen van gegevens ten behoeve van het leveren van de Dienst: het plannen, genereren, meten en beheren van marketingactiviteiten, advertentieaccounts, websites, content, e-mail, sociale media, beoordelingen en rapportages voor de Verwerkingsverantwoordelijke en diens klanten, met inbegrip van verwerking door AI-modellen en goedgekeurde wijzigingen in gekoppelde platforms.

Gedeelde kennis. Daarnaast voegt de Verwerker de gemeten resultaten van marketingacties in de werkomgeving van de Verwerkingsverantwoordelijke samen tot geanonimiseerde statistieken per branche, zoals beschreven in artikel 9.5 van de Algemene Voorwaarden. Alleen het soort actie, de branchegroep, de relatieve uitkomst en de maand worden in de statistieken bewaard. Identificatiegegevens worden tijdens de opbouw alleen kortstondig gebruikt om verschillende klanten en eindklanten te tellen en de drempels toe te passen, en worden nooit opgeslagen of getoond. Namen, contactgegevens, teksten, URL's en bedragen worden nooit opgenomen, en groepen die te klein zijn om anoniem te zijn, worden nooit getoond. De resulterende statistieken bevatten geen Persoonsgegevens. De Verwerkingsverantwoordelijke geeft opdracht tot deze verwerking door deze Verwerkersovereenkomst te aanvaarden en kan deelname op elk moment uitzetten in de instellingen van zijn werkomgeving. Vanaf de eerstvolgende opbouw blijven de gegevens van de Verwerkingsverantwoordelijke buiten alle nieuwe statistieken. Statistieken die daarvoor zijn opgebouwd, kunnen zichtbaar blijven als onderdeel van eerdere trends.

Duur. De looptijd van de Overeenkomst, vermeerderd met de bewaar- en verwijderingstermijnen in paragraaf 8.

Categorieën van betrokkenen.

• de Geautoriseerde Gebruikers van de Verwerkingsverantwoordelijke, in hun hoedanigheid van gebruikers van de werkomgeving van de Verwerkingsverantwoordelijke;
• contactpersonen van de klanten van de Verwerkingsverantwoordelijke;
• ontvangers van e-mailcampagnes en drips die door de Verwerkingsverantwoordelijke worden verzonden;
• schrijvers van klantbeoordelingen op gekoppelde bedrijfsvermeldingen;
• personen die voorkomen in afbeeldingen, video's en documenten die door de Verwerkingsverantwoordelijke worden geüpload;
• websitebezoekers van de klanten van de Verwerkingsverantwoordelijke, uitsluitend in geaggregeerde statistieken (analytics- en zoekgegevens worden als geaggregeerde gegevens ontvangen, niet als individuele profielen);
• personen die worden genoemd in content, briefings, berichten op sociale media, concurrentieonderzoek en ander materiaal dat de Verwerkingsverantwoordelijke invoert of laat genereren.

Categorieën van persoonsgegevens.

• namen, zakelijke contactgegevens, functietitels;
• e-mailadressen en de inschrijvings-/toestemmingsstatus van ontvangers van e-mail;
• namen van schrijvers van beoordelingen en de teksten van beoordelingen;
• afbeeldingen en video's waarin personen herkenbaar kunnen zijn;
• door gebruikers ingevoerde content, notities en berichten;
• identificatiegegevens en instellingen van advertentieaccounts;
• door het publiek ingevoerde zoektermen, zoals gerapporteerd door advertentie- en zoekplatforms (deze bevatten zelden persoonsgegevens);
• technische gegevens (IP-adressen, user agents) in logbestanden.

Bijzondere categorieën. Geen, en daartoe wordt geen instructie gegeven (zie paragraaf 1.4).

Bijlage 2 — Technische en organisatorische maatregelen

Toegangsbeveiliging

• Iedere werkomgeving (tenant) is op applicatieniveau strikt gescheiden. Ieder verzoek wordt geautoriseerd aan de hand van de werkomgeving van de ingelogde gebruiker, en toegang over werkomgevingen heen wordt automatisch getest.
• Op rollen gebaseerde toegang (viewer, editor, approver, admin), waarbij de beheerder van de werkomgeving zeggenschap heeft over gebruikers.
• Wachtwoorden worden uitsluitend opgeslagen als bcrypt-hashes, met een minimale lengte van 8 tekens. Voor het wijzigen van een wachtwoord is het huidige wachtwoord vereist. Herstellinks zijn eenmalig bruikbaar, worden gehasht opgeslagen en verlopen na één uur.
• Sessies worden bewaard in ondertekende HttpOnly-cookies.
• Beheerderstoegang tot productiesystemen is beperkt tot bevoegd personeel.

Versleuteling

• Al het verkeer wordt tijdens transport versleuteld met TLS.
• Opgeslagen toegangsgegevens van derden, API-sleutels en OAuth-tokens worden in rust versleuteld met AES-256-GCM. De sleutels worden gescheiden van de database bewaard.
• Geheimen worden uit foutlogs en foutmeldingen verwijderd.

Integriteit en verantwoording

• Een auditlog legt aanmaak, wijzigingen en verwijderingen in de werkomgeving vast, met vermelding van de handelende persoon en het tijdstip.
• Wijzigingen in gekoppelde advertentieplatforms doorlopen een uitdrukkelijke goedkeuringsstap die wordt vastgelegd, tenzij de Verwerkingsverantwoordelijke automatisering inschakelt.
• Aan vastleggingen van aanvaarding kan uitsluitend worden toegevoegd; zij zijn op databaseniveau beschermd tegen wijziging.

Beschikbaarheid en veerkracht

• Regelmatige back-ups van de database, die binnen ten hoogste 35 dagen worden overschreven.
• Monitoring van de gezondheid van systemen en van fouten.
• Achtergrondtaken worden opnieuw uitgevoerd en bij blijvend falen apart gezet (dead-letter), en verliezen nimmer ongemerkt gegevens.

Veilige ontwikkeling

• Geautomatiseerde tests, waaronder tests voor de scheiding tussen tenants.
• Validatie van alle invoer.
• Bescherming tegen server-side request forgery bij het ophalen van URL's.
• Afhankelijkheden worden actueel gehouden.

Dataminimalisatie

• Analytics- en zoekgegevens worden als geaggregeerde gegevens verwerkt.
• AI-verzoeken bevatten uitsluitend de gegevens die nodig zijn voor de gevraagde output.

Organisatie

• Personeel met toegang is tot geheimhouding verplicht.
• Afhandeling van incidenten overeenkomstig paragraaf 7.
• Subverwerkers worden beoordeeld voordat zij worden ingeschakeld.

Bijlage 3 — Subverwerkers

Diensten die de Verwerkingsverantwoordelijke met zijn eigen accounts of sleutels koppelt (Google, Meta, LinkedIn, Reddit, Microsoft, zijn eigen sleutel bij een AI-aanbieder, zijn eigen SMTP-server) zijn geen subverwerkers van de Verwerker; zie paragraaf 4.5.