Verwerkersovereenkomst 2026.

Verwerkersovereenkomst

Deze Verwerkersovereenkomst geldt tussen Pin Voordeel B.V., handelend onder de naam Pin Vandaag, gevestigd te Tilburg (hierna: Verwerker) en de Klant (hierna: Verwerkingsverantwoordelijke), voor zover Verwerker in opdracht van de Klant persoonsgegevens verwerkt. Zij maakt als bijlage deel uit van de Overeenkomst en werkt artikel 16.4 van de Algemene Voorwaarden uit. Op verzoek van de Klant ondertekenen partijen deze Verwerkersovereenkomst ook afzonderlijk.

De transactieverwerking verloopt via vergunninghoudende betaaldienstverleners (Buckaroo en MultiSafepay). Zij zijn voor die verwerking zelf verwerkingsverantwoordelijke en bewaren transactiegegevens volgens hun eigen wettelijke bewaarplicht, in de regel zeven jaar. Die verwerking valt buiten deze Verwerkersovereenkomst. Zijn Verwerker en de Klant bij Betaaldiensten gezamenlijk verantwoordelijk (artikel 16.3b Algemene Voorwaarden), dan gelden de daarvoor vastgelegde Voorschriften.

1. Definities

Begrippen in deze Verwerkersovereenkomst hebben de betekenis uit artikel 4 AVG en uit de Algemene Voorwaarden van Pin Vandaag. Daarnaast geldt:

1.1 Persoonsgegevens: de gegevens uit bijlage 1 die Verwerker in opdracht van Verwerkingsverantwoordelijke verwerkt.

1.2 Datalek: een inbreuk in verband met persoonsgegevens als bedoeld in artikel 4 onder 12 AVG.

1.3 Subverwerker: een derde die Verwerker inschakelt voor de verwerking van Persoonsgegevens.

1.4 Betrokkene: degene op wie de Persoonsgegevens betrekking hebben, zoals medewerkers en klanten van Verwerkingsverantwoordelijke.

2. Onderwerp, duur en instructies

2.1 Verwerker verwerkt de Persoonsgegevens uitsluitend voor het uitvoeren van de Overeenkomst en op schriftelijke instructie van Verwerkingsverantwoordelijke, zoals beschreven in bijlage 1. Verwerkingsverantwoordelijke wordt geacht deze instructies bij het sluiten van de Overeenkomst te hebben gegeven.

2.2 Verwerker verwerkt de Persoonsgegevens niet voor eigen doeleinden. Geanonimiseerde of geaggregeerde gegevens over het gebruik en de werking van de diensten mag Verwerker gebruiken om de diensten te verbeteren.

2.3 Is Verwerker wettelijk verplicht tot een verwerking buiten de instructies, dan meldt Verwerker dat vooraf, tenzij de wet dat verbiedt.

2.4 Verwerker meldt het direct als een instructie naar zijn oordeel in strijd is met de AVG of andere privacywetgeving.

2.5 Deze Verwerkersovereenkomst loopt even lang als de Overeenkomst en eindigt van rechtswege wanneer die eindigt. Bepalingen die naar hun aard doorlopen, zoals geheimhouding en het verwijderen van gegevens, blijven daarna gelden.

2.6 Bij strijd tussen deze Verwerkersovereenkomst en de Algemene Voorwaarden gaat deze Verwerkersovereenkomst voor, voor zover het de verwerking van Persoonsgegevens betreft (artikel 2.2 Algemene Voorwaarden).

3. Verplichtingen van Verwerker

3.1 Geheimhouding. Verwerker houdt de Persoonsgegevens geheim. Alleen medewerkers die er voor hun werk toegang toe nodig hebben, krijgen die. Zij zijn gebonden aan een geheimhoudingsplicht.

3.2 Beveiliging. Verwerker neemt passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. Bijlage 2 beschrijft deze maatregelen. Verwerker mag ze aanpassen, zolang het beveiligingsniveau niet daalt. De maatregelen zijn passend, niet perfect: Verwerker staat er niet voor in dat ze onder alle omstandigheden doeltreffend zijn. Klantspecifieke maatregelen zijn alleen mogelijk als partijen dat schriftelijk afspreken.

3.3 Ondersteuning op afstand. Verwerker maakt alleen verbinding met systemen van Verwerkingsverantwoordelijke als dat nodig is voor een supportverzoek of onderhoud, en na toestemming van Verwerkingsverantwoordelijke of op een vooraf afgesproken moment.

3.4 Bijstand. Verwerker helpt Verwerkingsverantwoordelijke binnen redelijke grenzen bij een gegevensbeschermingseffectbeoordeling (DPIA), een voorafgaande raadpleging van de Autoriteit Persoonsgegevens en het nakomen van de verplichtingen uit artikel 32 tot en met 36 AVG.

3.5 Kosten. Bijstand die verder gaat dan wat redelijkerwijs bij de dienst hoort, mag Verwerker tegen het geldende uurtarief in rekening brengen, na voorafgaand overleg.

4. Subverwerkers en doorgifte buiten de EER

4.1 Verwerkingsverantwoordelijke geeft algemene toestemming voor het inschakelen van de Subverwerkers in bijlage 3.

4.2 Verwerker meldt een nieuwe of vervangende Subverwerker minstens 30 dagen vooraf. Verwerkingsverantwoordelijke kan binnen die termijn op redelijke gronden bezwaar maken. Komen partijen er niet uit, dan mag Verwerkingsverantwoordelijke de betreffende dienst opzeggen.

4.3 Verwerker legt iedere Subverwerker schriftelijk minstens dezelfde verplichtingen op als in deze Verwerkersovereenkomst. Verwerker blijft tegenover Verwerkingsverantwoordelijke aansprakelijk voor de Subverwerker.

4.4 Verwerker host software en data binnen de Europese Economische Ruimte (EER), zoals artikel 24.1 van de Algemene Voorwaarden bepaalt. Doorgifte daarbuiten gebeurt alleen met een passende waarborg uit hoofdstuk V AVG, zoals een adequaatheidsbesluit (waaronder het EU-US Data Privacy Framework) of de modelcontractbepalingen van de Europese Commissie.

5. Datalekken

5.1 Verwerker meldt een Datalek zo spoedig mogelijk en zonder onredelijke vertraging nadat Verwerker het ontdekt aan de contactpersoon van Verwerkingsverantwoordelijke. Zo kan Verwerkingsverantwoordelijke binnen 72 uur melden bij de Autoriteit Persoonsgegevens (artikel 33 AVG).

5.2 De melding bevat voor zover bekend: de aard van het lek, de betrokken categorieën en het geschatte aantal Betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen, en een contactpersoon. Ontbrekende informatie volgt zodra die er is.

5.3 Verwerker neemt direct redelijke maatregelen om het lek te stoppen en de gevolgen te beperken, en houdt Verwerkingsverantwoordelijke op de hoogte. Verdere bijstand, zoals bij een DPIA, kan Verwerker in rekening brengen, tenzij het Datalek aan Verwerker is toe te rekenen.

5.4 Verwerkingsverantwoordelijke beslist over een melding aan de Autoriteit Persoonsgegevens en aan Betrokkenen. Verwerker doet zelf geen melding, tenzij de wet dat vereist.

5.5 Verwerker legt alle Datalekken vast, met de feiten, de gevolgen en de genomen maatregelen.

6. Rechten van betrokkenen, audits en aansprakelijkheid

6.1 Rechten van betrokkenen. Krijgt Verwerker een verzoek van een Betrokkene (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid of bezwaar), dan stuurt Verwerker dit binnen 5 werkdagen door aan Verwerkingsverantwoordelijke. Verwerker helpt bij de afhandeling voor zover dat redelijk is.

6.2 Informatie. Verwerker stelt alle informatie beschikbaar die nodig is om aan te tonen dat de verplichtingen uit artikel 28 AVG worden nagekomen.

6.3 Audit. Verwerker toont naleving in eerste instantie aan met een rapport of verklaring van een onafhankelijke externe deskundige. Blijft daarna gerede twijfel bestaan, dan mag Verwerkingsverantwoordelijke een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht. De audit wordt minstens 4 weken vooraf aangekondigd en verstoort de bedrijfsvoering zo min mogelijk. De kosten zijn voor Verwerkingsverantwoordelijke, tenzij de audit ernstige tekortkomingen bij Verwerker aantoont.

6.4 Aansprakelijkheid. Voor de aansprakelijkheid van partijen geldt de regeling uit de Overeenkomst en de Algemene Voorwaarden. Die beperking geldt niet bij opzet of bewuste roekeloosheid.

6.5 Verwerkingsverantwoordelijke staat ervoor in dat de verwerking die hij Verwerker laat uitvoeren rechtmatig is.

7. Einde, teruggave en toepasselijk recht

7.1 Na het einde van de Overeenkomst kiest Verwerkingsverantwoordelijke binnen 30 dagen of Verwerker de Persoonsgegevens teruggeeft of verwijdert. Teruggave gebeurt elektronisch in het bestaande formaat; Verwerker kan daarvoor redelijke kosten in rekening brengen. Zonder keuze verwijdert Verwerker de gegevens na die termijn, voor zover dat mogelijk en redelijk is.

7.2 Verwerker verwijdert ook alle kopieën, tenzij de wet bewaring verplicht. Back-ups worden binnen 7 dagen in de normale cyclus overschreven.

7.3 Op verzoek bevestigt Verwerker schriftelijk dat de gegevens zijn verwijderd.

7.4 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Zeeland-West-Brabant.

7.5 Pin Vandaag kan deze Verwerkersovereenkomst wijzigen op de wijze die artikel 2.7 van de Algemene Voorwaarden beschrijft. Wordt een bepaling nietig, dan blijven de overige bepalingen gelden.

Bijlagen

Bijlage 1 · Specificatie van de verwerkingen

Bijlage 2 · Beveiligingsmaatregelen

Versleutelde verbindingen (TLS) voor portalen, API's en ondersteuning op afstand.

Toegang op basis van rollen en het minste-rechtenprincipe; persoonlijke accounts; tweestapsverificatie verplicht voor alle medewerkers en partners.

Ondersteuning op afstand via een door Pin Vandaag zelf beheerde server; alleen sessies op verzoek of na toestemming.

Hosting op VPS-servers bij OVHcloud in datacenters in Frankrijk en Duitsland; besturingssysteem, software en toegang worden volledig door Pin Vandaag beheerd.

Firewalls en netwerkscheiding; webverkeer via Cloudflare.

Regelmatige back-ups.

Tijdig bijwerken van servers, terminals en software.

Logging van toegang tot systemen met persoonsgegevens.

Geheimhoudingsplicht voor medewerkers; bij uitdiensttreding wordt toegang direct ingetrokken.

Betaalterminals volgens de PCI-eisen van de leverancier; Verwerker slaat geen volledige kaartnummers op.

Bijlage 3 · Subverwerkers