Verwerkersovereenkomst

Deze verwerkersovereenkomst maakt onderdeel uit van en is onlosmakelijk verbonden met de Overeenkomst en de Algemene Voorwaarden tussen SolumFlow en de Klant. Bij strijdigheid met die documenten gaat, uitsluitend voor onderwerpen die de verwerking van persoonsgegevens betreffen, deze verwerkersovereenkomst voor.

1. Definities

Begrippen als “persoonsgegevens”, “verwerking”, “verwerkingsverantwoordelijke”, “verwerker”, “betrokkene”, “inbreuk in verband met persoonsgegevens” (datalek) en “sub-verwerker” hebben de betekenis die de Algemene verordening gegevensbescherming (AVG) daaraan geeft.

• Klant: de verwerkingsverantwoordelijke.
• SolumFlow: de verwerker.
• Platformleverancier: de externe technologieleverancier via wie het Platform wordt geleverd, die geldt als sub-verwerker.
• Klantpersoonsgegevens: de persoonsgegevens die SolumFlow in het kader van de Overeenkomst ten behoeve van de Klant verwerkt.

2. Rolverdeling en reikwijdte

2.1 De Klant is verwerkingsverantwoordelijke; SolumFlow is verwerker. Indien de Klant zelf als verwerker optreedt voor een derde, geldt SolumFlow als sub-verwerker en gelden de bepalingen van deze verwerkersovereenkomst overeenkomstig.

2.2 Onderwerp, aard, doel, duur, categorieën betrokkenen en soorten persoonsgegevens zijn opgenomen in Bijlage 1.

2.3 De Klant staat ervoor in dat er een rechtsgeldige verwerkingsgrondslag bestaat en dat de verstrekte instructies rechtmatig zijn.

3. Verwerking uitsluitend op instructie

3.1 SolumFlow verwerkt Klantpersoonsgegevens uitsluitend op basis van de gedocumenteerde instructies van de Klant, zoals vastgelegd in de Overeenkomst en deze verwerkersovereenkomst, tenzij een wettelijke verplichting anders vereist.

3.2 SolumFlow informeert de Klant indien een instructie naar haar oordeel in strijd is met de AVG of andere gegevensbeschermingswetgeving.

3.3 SolumFlow verwerkt de Klantpersoonsgegevens niet voor eigen doeleinden en verkoopt deze niet.

4. Geheimhouding

SolumFlow zorgt ervoor dat personen die zij bij de verwerking betrekt tot geheimhouding zijn verplicht en uitsluitend toegang tot de Klantpersoonsgegevens hebben voor zover noodzakelijk voor hun taak (need-to-know).

5. Beveiliging

5.1 SolumFlow treft passende technische en organisatorische maatregelen conform artikel 32 AVG, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard en risico’s van de verwerking. Deze maatregelen zijn beschreven in Bijlage 2.

5.2 De Klant erkent dat een belangrijk deel van de beveiliging van het Platform wordt geleverd door de Platformleverancier en dat SolumFlow in zoverre afhankelijk is van de door die leverancier getroffen maatregelen.

6. Sub-verwerkers

6.1 De Klant verleent SolumFlow algemene toestemming om sub-verwerkers in te schakelen. De op het moment van aangaan bekende sub-verwerkers zijn opgenomen in Bijlage 3.

6.2 SolumFlow informeert de Klant bij voorgenomen wijziging of toevoeging van een sub-verwerker. De Klant kan hiertegen binnen 30 dagen op redelijke, met de gegevensbescherming verband houdende gronden schriftelijk bezwaar maken. Bij uitblijven van bezwaar wordt de Klant geacht in te stemmen.

6.3 Bij gegrond bezwaar spannen partijen zich in voor een redelijke oplossing; komt die er niet, dan mag de Klant het betreffende deel van de Overeenkomst opzeggen.

6.4 SolumFlow legt elke sub-verwerker ten minste gelijkwaardige verplichtingen op als in deze verwerkersovereenkomst en blijft jegens de Klant verantwoordelijk voor de naleving door de sub-verwerker.

7. Bijstand bij rechten van betrokkenen

7.1 SolumFlow stelt de Klant zonder onredelijke vertraging op de hoogte van verzoeken van betrokkenen (zoals inzage, correctie, verwijdering, beperking, overdraagbaarheid of bezwaar) en beantwoordt deze niet zelfstandig, tenzij de Klant daartoe opdracht geeft of een wettelijke verplichting dit vereist.

7.2 SolumFlow verleent, rekening houdend met de aard van de verwerking en de haar beschikbare middelen, redelijke bijstand aan de Klant bij het afhandelen van deze verzoeken.

8. Datalekken

8.1 SolumFlow informeert de Klant zonder onredelijke vertraging, doch uiterlijk binnen 48 uur na ontdekking van een datalek dat Klantpersoonsgegevens betreft.

8.2 De melding bevat, voor zover bekend, de aard van het datalek, de betrokken categorieën en aantallen betrokkenen en gegevens, de vermoedelijke gevolgen en de getroffen of voorgestelde maatregelen.

8.3 SolumFlow verleent redelijke bijstand bij eventuele meldingen aan de Autoriteit Persoonsgegevens en betrokkenen. De melding houdt geen erkenning van schuld of aansprakelijkheid in.

8.4 De beoordeling of een datalek aan de Autoriteit Persoonsgegevens of betrokkenen moet worden gemeld, en die melding zelf, berust bij de Klant als verwerkingsverantwoordelijke.

9. Bijstand bij DPIA’s

SolumFlow verleent de Klant, rekening houdend met de aard van de verwerking en de haar beschikbare informatie, redelijke bijstand bij gegevensbeschermingseffectbeoordelingen (DPIA’s) en voorafgaande raadplegingen als bedoeld in de artikelen 35 en 36 AVG.

10. Teruggave en verwijdering

10.1 Na afloop van de Overeenkomst verwijdert of retourneert SolumFlow, naar keuze van de Klant, alle Klantpersoonsgegevens, tenzij wettelijke bewaarplichten anders vereisen.

10.2 De Klant is zelf verantwoordelijk voor het tijdig exporteren van gegevens vóór het einde van de Overeenkomst. Verwijdering vindt plaats conform de bewaartermijnen van de Platformleverancier (thans circa 90 dagen), waarna gegevens onherroepelijk kunnen worden verwijderd. Gegevens in beveiligde back-ups worden geïsoleerd van verdere verwerking tot zij volgens de back-upcyclus worden overschreven.

11. Audits

11.1 SolumFlow stelt de Klant de informatie ter beschikking die redelijkerwijs nodig is om naleving van artikel 28 AVG aan te tonen.

11.2 De Klant mag, ten hoogste eenmaal per jaar en na redelijke aankondiging (ten minste 30 dagen), een audit (laten) uitvoeren, waarbij bestaande rapportages, certificeringen of verklaringen van de Platformleverancier zoveel mogelijk als uitgangspunt dienen. Redelijke kosten van SolumFlow voor medewerking komen voor rekening van de Klant, behoudens bij een aangetoonde tekortkoming van SolumFlow.

12. Doorgifte buiten de EER

12.1 De Klant erkent dat Klantpersoonsgegevens worden verwerkt op de infrastructuur van de Platformleverancier, waarbij (mede) doorgifte naar de Verenigde Staten plaatsvindt.

12.2 Voor die doorgifte wordt gebruikgemaakt van een geldig doorgiftemechanisme onder de AVG, waaronder het EU-U.S. Data Privacy Framework en/of de door de Europese Commissie vastgestelde modelcontractbepalingen (Standard Contractual Clauses), die bij deze door verwijzing van toepassing zijn. Bij herziening van dat mechanisme geldt het dan geldende mechanisme.

13. Aansprakelijkheid

De aansprakelijkheid onder deze verwerkersovereenkomst is onderworpen aan de uitsluitingen en beperkingen van aansprakelijkheid zoals opgenomen in de Algemene Voorwaarden en de Overeenkomst. Dwingendrechtelijke aansprakelijkheid onder artikel 82 AVG jegens betrokkenen of toezichthouders blijft onverlet.

14. Duur, wijziging en slotbepalingen

14.1 Deze verwerkersovereenkomst geldt zolang SolumFlow Klantpersoonsgegevens verwerkt.

14.2 Wijzigingen die noodzakelijk zijn wegens gewijzigde wet- of regelgeving kan SolumFlow met inachtneming van een redelijke termijn doorvoeren.

14.3 Op deze verwerkersovereenkomst is Nederlands recht van toepassing; geschillen worden beslecht door de bevoegde rechter in het arrondissement waar SolumFlow is gevestigd.

Bijlage 1 — Beschrijving van de verwerking

• Onderwerp: levering van de Diensten (SaaS-omgeving, marketing- en CRM-functionaliteit) onder de Overeenkomst.
• Aard en doel: verzamelen, vastleggen, opslaan, raadplegen, verzenden en beheren van gegevens ten behoeve van marketing, communicatie, klantrelatiebeheer en automatisering, op instructie van de Klant.
• Duur: zolang de Klant het Platform gebruikt onder de Overeenkomst.
• Categorieën betrokkenen: de Klant zelf, medewerkers van de Klant, en de (potentiële) klanten/relaties/eindgebruikers van de Klant.
• Soorten persoonsgegevens: contact- en identificatiegegevens (naam, e-mail, telefoon, adres), communicatie- en interactiegegevens, en overige gegevens die de Klant zelf invoert. Bijzondere categorieën persoonsgegevens zijn niet voorzien; verwerkt de Klant deze toch, dan meldt hij dit vooraf en treffen partijen passende aanvullende waarborgen.

Bijlage 2 — Technische en organisatorische maatregelen

Op het niveau van SolumFlow

• Toegang op need-to-know-basis met rolgebaseerde autorisatie (RBAC) en tweefactorauthenticatie voor beheeraccounts.
• Versleutelde verbindingen (TLS 1.2+) bij toegang tot het Platform.
• Geheimhoudingsverplichtingen voor betrokken personen.
• Beperkte toegang tot beheeromgevingen en periodieke controle van autorisaties.

Op platformniveau (geleverd door de Platformleverancier)

• Versleuteling in rust (AES-256) en tijdens transport (TLS 1.2+).
• Rolgebaseerde toegangscontrole, logging en audit trails van gebruikersacties.
• Back-ups op beheerde cloudinfrastructuur (AWS/Google Cloud) met korte hersteltijden.
• Periodieke kwetsbaarheidsscans en jaarlijkse penetratietests door derden.

Bijlage 3 — Sub-verwerkers

De actuele lijst van sub-verwerkers is beschikbaar op solumflow.com/sub-verwerkers. Op het moment van aangaan betreft dit:

• GoHighLevel LLC (Platformleverancier) — levering en hosting van de SaaS-/platforminfra­ structuur. Locatie: Verenigde Staten (EU-U.S. Data Privacy Framework + SCC’s).
• Onderliggende cloudleveranciers van de Platformleverancier (o.a. AWS, Google Cloud) — onderliggende cloudinfrastructuur, via het doorgiftemechanisme van de Platformleverancier.
• SupportPal (gehost bij Zentic) — klantsupport- en ticketsoftware, door SolumFlow zelf gehost op serverinfrastructuur van Zentic. Locatie: Europese Unie.