Verwerkersovereenkomst

Versie 2026-10 · geldig vanaf 19 oktober 2026

1. Partijen en rollen

1. De klant (de organisatie in Mijn CloudVikings) is verwerkingsverantwoordelijke. CloudVikings, Kroon 18, 5406 DJ Uden (KvK 50535889), is verwerker in de zin van artikel 28 van de Algemene verordening gegevensbescherming (AVG).
2. Deze overeenkomst gaat over persoonsgegevens die de klant (of zijn leden, partners of eindgebruikers) in onze diensten opslaat of laat verwerken, zoals inhoud van websites, mailboxen, databases en DNS-records. Voor gegevens die wij voor onszelf verwerken (zoals je account en facturen) zijn wij zelf verantwoordelijk; zie de privacyverklaring.
3. Bij strijd tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

2. Onderwerp en instructies

1. Wij verwerken persoonsgegevens alleen om de dienst te leveren die de klant heeft afgenomen en volgens de schriftelijke instructies van de klant. De overeenkomst, de configuratie die de klant in het portaal kiest en deze verwerkersovereenkomst gelden als die instructies.
2. Zijn wij wettelijk verplicht gegevens anders te verwerken (bijvoorbeeld na een bevel van een bevoegde instantie), dan melden we dat vooraf aan de klant, tenzij de wet dat verbiedt.
3. Vinden wij een instructie in strijd met de AVG, dan laten we dat de klant direct weten.
4. Een beschrijving van de verwerking (soorten gegevens, betrokkenen, doelen) staat in de bijlage.

3. Geheimhouding

Iedereen die bij ons toegang heeft tot de persoonsgegevens, is gebonden aan geheimhouding. Medewerkers hebben alleen toegang voor zover dat nodig is voor hun werk. Elke toegang tot een klantomgeving via het portaal wordt gelogd en is zichtbaar in het activiteitenlog van de klant.

4. Beveiliging

1. Wij nemen passende technische en organisatorische maatregelen, rekening houdend met de stand van de techniek, de kosten en de risico's. Daaronder vallen in ieder geval:
   • verplichte tweestapsverificatie voor alle accounts en passkeys voor medewerkers;
   • opnieuw bevestigen met een tweede factor bij elke wijziging;
   • versleutelde verbindingen (TLS) en versleutelde opslag van geheimen;
   • een rechtenmodel per onderdeel en per resource, met optioneel vier-ogenprincipe;
   • een activiteitenlog dat via een hashketen beschermd is tegen achteraf aanpassen;
   • meekijken door medewerkers alleen lezend, met reden, tijdslimiet en melding; schrijven alleen met een code van de klant;
   • regelmatige back-ups op een andere locatie;
   • tijdige installatie van beveiligingsupdates en scheiding van klantomgevingen;
   • gebruik van datacenters met fysieke toegangsbeveiliging.
2. De klant is verantwoordelijk voor de beveiliging van wat hij zelf beheert, zoals zijn eigen software, wachtwoorden en de rechten die hij aan leden en partners geeft.
3. We kunnen maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.

5. Subverwerkers

1. De klant geeft algemene toestemming voor het inschakelen van de subverwerkers op de lijst van subverwerkers.
2. Nieuwe of andere subverwerkers kondigen we minstens 30 dagen vooraf aan via de lijst en per e-mail aan de eigenaren van organisaties. De klant kan binnen die termijn met redenen bezwaar maken. Komen we er samen niet uit, dan kan de klant de betreffende dienst kosteloos beëindigen.
3. We leggen subverwerkers ten minste dezelfde verplichtingen op als in deze overeenkomst. We blijven tegenover de klant verantwoordelijk voor hun nakoming.

6. Doorgifte buiten de EER

We verwerken persoonsgegevens in de Europese Economische Ruimte. Doorgifte naar een land daarbuiten doen we alleen als de AVG dat toestaat, bijvoorbeeld op basis van een adequaatheidsbesluit of standaardcontractbepalingen. De lijst van subverwerkers vermeldt waar zij gegevens verwerken.

7. Rechten van betrokkenen

Ontvangen wij een verzoek van een betrokkene over gegevens van de klant, dan sturen we dat door aan de klant en reageren we niet zelf inhoudelijk. We helpen de klant redelijkerwijs bij het beantwoorden van verzoeken, voor zover hij dat niet zelf in het portaal kan. Voor hulp die meer dan beperkte tijd kost, kunnen we redelijke kosten rekenen, na overleg vooraf.

8. Datalekken

1. Ontdekken we een inbreuk op de beveiliging die gevolgen heeft voor persoonsgegevens van de klant, dan melden we dat zonder onredelijke vertraging en uiterlijk binnen 36 uur na ontdekking aan de eigenaren van de organisatie, zodat de klant zijn eigen meldplicht (72 uur) kan nakomen.
2. De melding bevat, voor zover bekend: de aard van de inbreuk, de betrokken (soorten) gegevens en betrokkenen, de waarschijnlijke gevolgen en de maatregelen die we nemen of voorstellen. Informatie die nog niet bekend is, vullen we aan zodra we die hebben.
3. Het melden aan de Autoriteit Persoonsgegevens en aan betrokkenen is de verantwoordelijkheid van de klant. Wij helpen daarbij.

9. Bijstand en audits

1. We helpen de klant redelijkerwijs bij een gegevensbeschermingseffectbeoordeling (DPIA) en voorafgaande raadpleging van de toezichthouder.
2. We stellen de informatie beschikbaar die nodig is om naleving van deze overeenkomst aan te tonen. De klant kan eens per jaar, of vaker na een datalek of verzoek van een toezichthouder, een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding verplicht is, na een aankondiging van minstens 30 dagen. De audit verstoort onze bedrijfsvoering niet onredelijk en geeft geen toegang tot gegevens van andere klanten. De kosten van de audit zijn voor de klant, tenzij blijkt dat wij deze overeenkomst op wezenlijke punten niet nakomen.

10. Einde

1. Deze overeenkomst loopt zolang wij voor de klant persoonsgegevens verwerken.
2. Na het einde van de dienst kan de klant zijn gegevens nog ten minste 30 dagen downloaden of laten overzetten. Daarna verwijderen we ze, ook uit back-ups binnen de rotatietermijn, tenzij de wet ons verplicht ze te bewaren. Op verzoek bevestigen we de verwijdering.
3. Verplichtingen die naar hun aard doorlopen, zoals geheimhouding, blijven gelden.

11. Aansprakelijkheid en recht

Voor aansprakelijkheid geldt wat in de algemene voorwaarden staat, met inachtneming van artikel 82 AVG. Op deze overeenkomst is Nederlands recht van toepassing; de bevoegde rechter is die in het arrondissement Oost-Brabant.

Bijlage: beschrijving van de verwerking

Bijzondere persoonsgegevens en gegevens van strafrechtelijke aard verwerken wij alleen als de klant die zelf in zijn dienst opslaat. De klant beoordeelt of de gekozen dienst daarvoor passend is.