Verwerkersovereenkomst

Bijlage bij de Algemene Voorwaarden · van kracht vanaf 2026-10-06 · Nederlandse vertaling; de Tsjechische versie is doorslaggevend

Deze overeenkomst op grond van art. 28 van Verordening (EU) 2016/679 (de “AVG”) wordt gesloten tussen de Organisatie die het platform Negotiq gebruikt (de “Verwerkingsverantwoordelijke”) en SynQflows, s.r.o., ID-nr. 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 (de “Verwerker”), en maakt deel uit van de Algemene Voorwaarden. Zij wordt gesloten door aanvaarding van de Algemene Voorwaarden en geldt voor de duur van de Overeenkomst. Begrippen met een hoofdletter hebben de betekenis die daaraan in de Algemene Voorwaarden wordt gegeven.

1. Onderwerp en omvang van de verwerking

Onderwerp	verwerking van persoonsgegevens die de Verwerkingsverantwoordelijke of zijn Gebruikers op het Platform plaatsen of die het Platform op hun instructie ontvangt of verzendt: Gebruikersinhoud (Aanvragen, specificaties, bijlagen, prijslijsten, gegevens van collega’s en contactpersonen), berichten die naar het Ontvangstadres worden gestuurd, toegangsgegevens voor gekoppelde systemen en daaruit opgehaalde gegevens, en gegevens die naar de Webhooks van de Verwerkingsverantwoordelijke worden verzonden
Aard en doel	opslag, terbeschikkingstelling aan bevoegde personen en aan wederpartijen bij onderhandelingen, import en conversie van prijslijsten, ontvangst en beoordeling van e-mailberichten, ophalen van gegevens uit gekoppelde systemen, export van bestellingen, verzending van meldingen naar Webhooks, back-ups en overige technische verwerking die nodig is voor het verlenen van het Platform
Categorieën betrokkenen	werknemers en medewerkers van de Verwerkingsverantwoordelijke; contactpersonen van zijn zakenpartners; afzenders van berichten naar het Ontvangstadres; personen wier gegevens zijn opgenomen in een prijslijst die uit een gekoppeld systeem is opgehaald
Categorieën gegevens	identificatie- en contactgegevens (naam, zakelijk e-mailadres, telefoonnummer, functie); gegevens over e-mailberichten (afzender, geadresseerde, onderwerp, tijdstip van ontvangst, resultaten van de verificatie van de afzender) en hun bijlagen; inloggegevens voor gekoppelde systemen; overige gegevens die de Verwerkingsverantwoordelijke in de inhoud opneemt. De Verwerkingsverantwoordelijke plaatst geen bijzondere categorieën van persoonsgegevens en geen persoonsgegevens betreffende strafrechtelijke veroordelingen
Duur	voor de duur van de Overeenkomst en tot de wissing overeenkomstig artikel 8; berichten die op het Ontvangstadres zijn ontvangen 90 dagen vanaf de ontvangst; registraties van de bezorging van Webhooks ten hoogste 90 dagen

2. Instructies van de Verwerkingsverantwoordelijke

De Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijk vastgelegde instructies van de Verwerkingsverantwoordelijke, mede wat betreft doorgiften aan derde landen. De instructies worden gegeven door de Algemene Voorwaarden, deze overeenkomst en de instellingen van het Platform; door het instellen van een Integratie (Ontvangstadres, ERP-koppeling, Webhook, API-sleutel voor een agent van een derde) geeft de Verwerkingsverantwoordelijke instructie tot verwerking in de omvang die de Integratie vereist. Verdere instructies worden door de Beheerder van de Organisatie in tekstvorm gegeven.
Indien de Verwerker van mening is dat een instructie inbreuk oplevert op de AVG of andere bepalingen inzake gegevensbescherming, stelt hij de Verwerkingsverantwoordelijke daarvan onmiddellijk in kennis en hoeft hij de instructie niet uit te voeren totdat de Verwerkingsverantwoordelijke heeft gereageerd.
Indien een op de Verwerker van toepassing zijnde bepaling van Unierecht of lidstatelijk recht hem tot verwerking verplicht, stelt hij de Verwerkingsverantwoordelijke daarvan vooraf in kennis, tenzij die wetgeving dit verbiedt (art. 28, lid 3, onder a), AVG).
De Verwerker verwerkt de persoonsgegevens van de Verwerkingsverantwoordelijke niet voor eigen doeleinden. Geanonimiseerde en geaggregeerde statistieken (artikel 11 lid 2 van de Algemene Voorwaarden) bevatten geen persoonsgegevens. Vastleggingen in de Auditketen, Bevestigingen en AP2-records worden door de Verwerker verwerkt als zelfstandige verwerkingsverantwoordelijke overeenkomstig de Privacyverklaring, en niet op grond van deze overeenkomst.
De Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid van de verwerking, voor het informeren van de betrokkenen en ervoor dat hij gerechtigd is de persoonsgegevens op het Platform te plaatsen en toegang tot gekoppelde systemen te verlenen.

3. Verplichtingen van de Verwerker

De Verwerker waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid gebonden zijn.
De Verwerker neemt de in Bijlage 1 vermelde technische en organisatorische maatregelen overeenkomstig art. 32 AVG. Hij mag deze maatregelen wijzigen, mits het algehele beveiligingsniveau daardoor niet wordt verlaagd.
De Verwerker staat de Verwerkingsverantwoordelijke bij in het beantwoorden van verzoeken van betrokkenen, in de eerste plaats met de hulpmiddelen van het Platform (export van gegevens in JSON-formaat, rectificatie van gegevens, opheffing van het account van een Gebruiker of van de Organisatie). Een verzoek dat hij rechtstreeks van een betrokkene ontvangt, stuurt hij zonder onredelijke vertraging door naar de Verwerkingsverantwoordelijke en beantwoordt hij zelf niet inhoudelijk.
De Verwerker staat de Verwerkingsverantwoordelijke bij in het doen nakomen van de verplichtingen uit hoofde van de artikelen 32 tot en met 36 AVG (beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging), rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie.

4. Subverwerkers

De Verwerkingsverantwoordelijke verleent de Verwerker een algemene toestemming voor het inschakelen van subverwerkers. Actuele lijst:

Subverwerker	Activiteit	Locatie, waarborgen
Railway Corporation	hosting van de applicatie en de database, back-ups	VS / EU; modelcontractbepalingen (module 3) of het EU-U.S. Data Privacy Framework
Anthropic, PBC	conversie van ongestructureerde prijslijsten naar een tabel (alleen bij gebruik van de functie)	VS; modelcontractbepalingen (module 3); geen training van modellen met de gegevens
aanbieder van de ontvangst van e-mail (de concrete aanbieder wordt vóór de lancering van de functie aan deze lijst toegevoegd)	ontvangst van berichten die naar Ontvangstadressen worden gestuurd en het doorgeven ervan aan het Platform	wordt samen met de aanbieder vermeld; doorgifte buiten de EER uitsluitend met waarborgen overeenkomstig artikel 7
aanbieder van de e-maildienst (SMTP)	bezorging van facturen, aanmaningen en dienstberichten (adres van de ontvanger en inhoud van het bericht)	EU

De Verwerker informeert de Verwerkingsverantwoordelijke ten minste 14 dagen van tevoren op het Platform of per e-mail aan de Beheerder van de Organisatie over een voorgenomen toevoeging of vervanging van een subverwerker. Binnen die termijn kan de Verwerkingsverantwoordelijke om gegronde redenen die verband houden met de bescherming van persoonsgegevens bezwaar maken. De partijen trachten een oplossing te vinden; slagen zij daar niet in, dan kan de Verwerkingsverantwoordelijke de Overeenkomst zonder sanctie opzeggen met ingang van een datum vóór de inschakeling van de subverwerker.
De Verwerker legt subverwerkers bij overeenkomst dezelfde verplichtingen inzake gegevensbescherming op als die welke voor hem uit deze overeenkomst voortvloeien, met inbegrip van voldoende garanties met betrekking tot het toepassen van technische en organisatorische maatregelen, en blijft jegens de Verwerkingsverantwoordelijke aansprakelijk voor de nakoming van hun verplichtingen (art. 28, lid 4, AVG).
Systemen die de Verwerkingsverantwoordelijke zelf kiest (gekoppelde ERP-systemen, productfeeds, Webhook-eindpunten en agenten van derden), zijn geen subverwerkers van de Verwerker; de Verwerker geeft gegevens aan hen door op instructie van de Verwerkingsverantwoordelijke.

5. Inbreuk in verband met persoonsgegevens

De Verwerker meldt een inbreuk in verband met persoonsgegevens aan de Verwerkingsverantwoordelijke zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat hij er kennis van heeft genomen, per e-mail aan de Beheerder van de Organisatie en op het Platform.
De melding bevat de informatie bedoeld in art. 33, lid 3, AVG waarover de Verwerker beschikt (aard van de inbreuk, categorieën en bij benadering het aantal betrokkenen en registraties, contactpunt, waarschijnlijke gevolgen en genomen of voorgestelde maatregelen); informatie die nog niet bekend is, wordt stapsgewijs verstrekt.
De Verwerker neemt onverwijld maatregelen om de inbreuk te verhelpen en de gevolgen ervan te beperken, werkt samen met de Verwerkingsverantwoordelijke en documenteert de inbreuk. Een melding houdt geen erkenning van aansprakelijkheid in.

6. Informatie en audits

De Verwerker stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de nakoming van de verplichtingen uit hoofde van art. 28 AVG aan te tonen, in de eerste plaats door middel van het document Beveiliging en vertrouwen en antwoorden op een redelijke beveiligingsvragenlijst.
Indien deze informatie niet volstaat, maakt de Verwerker een audit mogelijk door de Verwerkingsverantwoordelijke of door een onafhankelijke auditor die tot geheimhouding is verplicht en geen concurrent van de Verwerker is, na een aankondiging van ten minste 30 dagen, ten hoogste eenmaal per kalenderjaar (behalve bij een inbreuk of op verzoek van een toezichthoudende autoriteit), op kosten van de Verwerkingsverantwoordelijke, zonder toegang tot gegevens van andere klanten en zonder de beveiliging daarvan in gevaar te brengen.
De onderzoeksbevoegdheden van de toezichthoudende autoriteiten blijven onverlet.

7. Doorgifte buiten de EER

Doorgifte aan derde landen vindt uitsluitend plaats met waarborgen overeenkomstig hoofdstuk V AVG.
Indien de Verwerker persoonsgegevens doorgeeft aan een subverwerker in een derde land waarvoor geen adequaatheidsbesluit bestaat (of indien de ontvanger niet gecertificeerd is onder het EU-U.S. Data Privacy Framework), sluit hij met deze subverwerker de modelcontractbepalingen overeenkomstig Uitvoeringsbesluit (EU) 2021/914 van de Commissie, module 3 (doorgifte van verwerker aan verwerker), beoordeelt hij de juridische omgeving van het land van de ontvanger en neemt hij aanvullende maatregelen (met name versleuteling tijdens de overdracht en in opgeslagen toestand en minimale gegevensverwerking).
De Verwerkingsverantwoordelijke staat dergelijke doorgiften hierbij toe. De Verwerker verstrekt de Verwerkingsverantwoordelijke op verzoek een kopie van de waarborgen; commerciële bepalingen kunnen daarin onleesbaar worden gemaakt.

8. Wissing en teruggave van gegevens

Gedurende de looptijd van de Overeenkomst kan de Verwerkingsverantwoordelijke de gegevens van de Organisatie op elk moment in JSON-formaat exporteren en gegevens zelf wissen.
Na beëindiging van de Overeenkomst zal de Verwerker, naar keuze van de Verwerkingsverantwoordelijke, de persoonsgegevens binnen 30 dagen, met inbegrip van kopieën, terugbezorgen (export) of wissen, tenzij opslag ervan wettelijk verplicht is. Back-ups worden in de normale cyclus uiterlijk binnen 90 dagen overschreven; tot die tijd zijn zij beveiligd en worden zij niet gebruikt.
Berichten die op het Ontvangstadres zijn ontvangen, worden na 90 dagen automatisch gewist. De Verwerker staakt het gebruik van toegangsgegevens voor een gekoppeld systeem onmiddellijk na verwijdering van de koppeling en wist deze uiterlijk overeenkomstig lid 2.
Dit artikel is niet van toepassing op de vastleggingen bedoeld in artikel 2 lid 4, tweede en derde zin.

9. Aansprakelijkheid, voorrang en toepasselijk recht

De aansprakelijkheid van de partijen wordt beheerst door art. 82 AVG en de Algemene Voorwaarden, met inbegrip van de daarin opgenomen beperkingen voor zover de wet die toelaat. In aangelegenheden betreffende de bescherming van persoonsgegevens heeft deze overeenkomst voorrang boven de Algemene Voorwaarden. Op deze overeenkomst is het recht van de Tsjechische Republiek van toepassing.

Bijlage 1 — Technische en organisatorische maatregelen

Versleuteling en pseudonimisering: versleuteling van alle communicatie (TLS) en versleuteling van opgeslagen gegevens bij de hostingprovider; toegangsgegevens voor gekoppelde systemen en geheime sleutels van Webhooks versleuteld met AES-256-GCM; wachtwoorden als Argon2id-hash; herstelcodes, inlogsessies en API-sleutels uitsluitend als hash opgeslagen; pseudonimisering van vastleggingen in de Auditketen na opheffing van een account.
Toegangsbeheer: toegang op basis van rollen die door de Beheerder van de Organisatie worden beheerd; scheiding van de gegevens van de afzonderlijke Organisaties, afgedwongen op applicatieniveau; bijlagen uitsluitend voor bevoegde personen en altijd als download; toegang tot de productieomgeving uitsluitend voor gemachtigde personen van de Verwerker die tot geheimhouding zijn verplicht.
Beveiliging van accounts en sessies: cookies met HttpOnly, Secure en SameSite; controle van de herkomst (Origin) bij verzoeken die gegevens wijzigen; tijdelijke blokkering van het account na herhaalde mislukte inlogpogingen; een wachtwoordwijziging beëindigt alle sessies; limieten voor het aantal API-verzoeken.
Integriteit en verifieerbaarheid: Auditketen met cryptografisch gekoppelde vastleggingen, waarvan wijziging of verwijdering door een databasetrigger wordt geblokkeerd; handtekeningen van Mandaten, Bevestigingen en AP2-records met het algoritme Ed25519; Webhooks ondertekend met HMAC-SHA256.
Beschikbaarheid en herstel: regelmatige back-ups van de database; overschrijving van back-ups uiterlijk binnen 90 dagen.
Minimalisering en wissing: berichten op het Ontvangstadres 90 dagen; operationele logbestanden ten hoogste 90 dagen; bij potentiële leveranciers uitsluitend algemene bedrijfscontactgegevens; automatische import van e-mails uitsluitend van Geverifieerde Afzenders.
Veilige ontwikkeling: geautomatiseerde tests van beveiligingsinvarianten (scheiding van Organisaties, grenzen van Agenten, vertrouwelijkheid van limieten) bij elke wijziging; afhankelijkheden met vastgezette versies; Agenten behandelen de inhoud van bestanden niet als instructies.
Incidenten en evaluatie: procedure voor de afhandeling en melding van incidenten overeenkomstig artikel 5; een kanaal voor het melden van kwetsbaarheden; regelmatige evaluatie van de doeltreffendheid van de maatregelen.

Een uitgebreidere beschrijving is te vinden in het document Beveiliging en vertrouwen.