Verwerkersovereenkomst (DPA) UTEQ

Verwerker UTEQ, Wolkammersstraat 6c, 8601 VB Sneek Eenmanszaak, KvK 53331540, BTW NL003362950B45 Contact: [email protected]

Verwerkingsverantwoordelijke {{naam Opdrachtgever}} {{adres}} {{KvK-nummer}} Contact: {{e-mail contactpersoon privacy}}

Versie 1.0, ingangsdatum 1 april 2026

Considerans

A. UTEQ verleent aan Verwerkingsverantwoordelijke diensten op grond van een Hoofdovereenkomst, bestaande uit een offerte of opdrachtbevestiging waarop de Algemene Voorwaarden UTEQ versie 1.1 en, voor zover van toepassing, de SaaS-Voorwaarden UTEQ versie 1.1 van toepassing zijn.

B. Bij de uitvoering van de Hoofdovereenkomst verwerkt UTEQ persoonsgegevens namens Verwerkingsverantwoordelijke. UTEQ kwalificeert daarbij als verwerker en Verwerkingsverantwoordelijke als verwerkingsverantwoordelijke in de zin van artikel 4 AVG.

C. Partijen wensen op grond van artikel 28 lid 3 AVG de wederzijdse rechten en verplichtingen schriftelijk vast te leggen in deze Verwerkersovereenkomst (hierna: DPA).

D. Deze DPA maakt integraal onderdeel uit van de Hoofdovereenkomst. Bij strijdigheid tussen deze DPA en andere documenten geldt de rangorde uit artikel 2.4 van de Algemene Voorwaarden UTEQ; deze DPA prevaleert op de Algemene Voorwaarden en de SaaS-Voorwaarden voor zover het de verwerking van persoonsgegevens betreft.

Artikel 1. Definities

1.1 De begrippen in deze DPA hebben de betekenis die de AVG (Verordening (EU) 2016/679) daaraan toekent. Aanvullend geldt:

• AVG: Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679).
• Hoofdovereenkomst: de tussen partijen gesloten overeenkomst tot dienstverlening, waaronder maar niet beperkt tot maatwerksoftware, AI-implementatie, hosting, beheer of SaaS-toegang.
• Persoonsgegevens: alle gegevens betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, die UTEQ in het kader van de Hoofdovereenkomst verwerkt namens Verwerkingsverantwoordelijke.
• Subverwerker: een door UTEQ ingeschakelde derde partij die in opdracht van UTEQ Persoonsgegevens verwerkt, waaronder hostingproviders, AI-providers en authenticatieproviders.
• Datalek: een inbreuk in verband met persoonsgegevens als bedoeld in artikel 4 lid 12 AVG.
• Bijlage A: de actuele Subverwerkerlijst, die als Bijlage A bij deze DPA is gevoegd.
• Bijlage B: de beveiligingsmaatregelen (TOM's), die als Bijlage B bij deze DPA zijn gevoegd.
• Bijlage C: de specificatie van de verwerking (aard, doel, categorieën gegevens en betrokkenen, bewaartermijnen), die als Bijlage C bij deze DPA is gevoegd.

Artikel 2. Onderwerp en duur

2.1 UTEQ verwerkt Persoonsgegevens uitsluitend ten behoeve van Verwerkingsverantwoordelijke en alleen voor zover dat noodzakelijk is voor de uitvoering van de Hoofdovereenkomst. De aard, het doel, de categorieën Persoonsgegevens en de categorieën betrokkenen zijn beschreven in Bijlage C.

2.2 Deze DPA treedt in werking op het moment dat de Hoofdovereenkomst tot stand komt en eindigt zodra UTEQ in het kader van de Hoofdovereenkomst geen Persoonsgegevens meer verwerkt of houdt.

2.3 Verplichtingen die naar hun aard voortduren (waaronder geheimhouding, teruggave en verwijdering, en aansprakelijkheid voor reeds bestaande inbreuken) blijven na beëindiging van toepassing.

Artikel 3. Instructies van Verwerkingsverantwoordelijke

3.1 UTEQ verwerkt Persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke, waaronder begrepen de Hoofdovereenkomst, de offerte, deze DPA en redelijke aanvullende instructies die in het verlengde daarvan worden gegeven.

3.2 UTEQ informeert Verwerkingsverantwoordelijke onmiddellijk indien een instructie naar het oordeel van UTEQ in strijd is met de AVG of andere toepasselijke privacywetgeving.

3.3 Als UTEQ op grond van Unie- of lidstatelijk recht verplicht wordt om Persoonsgegevens te verwerken op een wijze die afwijkt van de instructies van Verwerkingsverantwoordelijke, stelt UTEQ Verwerkingsverantwoordelijke daarvan vooraf in kennis, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.

Artikel 4. Geheimhouding

4.1 UTEQ waarborgt dat tot het verwerken van Persoonsgegevens gemachtigde personen zich tot geheimhouding hebben verbonden of door een passende wettelijke geheimhoudingsplicht zijn gebonden.

4.2 De geheimhoudingsplicht blijft van kracht na beëindiging van deze DPA en de Hoofdovereenkomst.

Artikel 5. Beveiliging van de verwerking

5.1 UTEQ treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, conform artikel 32 AVG. De op het moment van inwerkingtreding van deze DPA geldende maatregelen zijn beschreven in Bijlage B.

5.2 UTEQ evalueert de in Bijlage B beschreven maatregelen periodiek en past deze aan op basis van veranderende risico's en de stand van de techniek. Wezenlijke wijzigingen worden in een actualisering van Bijlage B gepubliceerd; UTEQ informeert Verwerkingsverantwoordelijke over wijzigingen die het beveiligingsniveau materieel raken.

5.3 Verwerkingsverantwoordelijke is verantwoordelijk voor adequaat eigen beveiligingsbeheer aan zijn zijde, waaronder accountbeheer, sterke wachtwoorden, multi-factor authenticatie waar beschikbaar en het tijdig intrekken van toegangsrechten van vertrokken gebruikers.

Artikel 6. Subverwerkers

6.1 Verwerkingsverantwoordelijke verleent UTEQ algemene schriftelijke toestemming als bedoeld in artikel 28 lid 2 AVG voor het inschakelen van de Subverwerkers die zijn opgenomen in Bijlage A. UTEQ publiceert de actuele Subverwerkerlijst op uteq.nl/subverwerkers; de daar gepubliceerde versie geldt als de actuele Bijlage A bij deze DPA.

6.2 UTEQ kondigt toevoeging of vervanging van een Subverwerker die de datalocatie of dataverwerking materieel raakt minimaal 14 dagen voor inwerkingtreding aan op uteq.nl/subverwerkers en per e-mail aan het bij UTEQ bekende contactadres van Verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke heeft het recht binnen die termijn schriftelijk gemotiveerd bezwaar te maken via [email protected].

6.3 Indien partijen er bij gemotiveerd bezwaar niet in onderling overleg uitkomen, kan Verwerkingsverantwoordelijke de Hoofdovereenkomst voor het betreffende deel beëindigen tegen de datum van inwerkingtreding van de wijziging, met restitutie van vooruitbetaalde, nog niet verbruikte bedragen.

6.4 UTEQ legt aan iedere Subverwerker ten minste dezelfde verplichtingen op als die in deze DPA zijn vastgelegd, in het bijzonder ten aanzien van beveiliging en geheimhouding.

6.5 UTEQ blijft jegens Verwerkingsverantwoordelijke volledig aansprakelijk voor het nakomen van de verplichtingen van Subverwerkers.

Artikel 7. Internationale doorgifte

7.1 UTEQ verwerkt Persoonsgegevens binnen de Europese Economische Ruimte (EER) waar de gekozen leverancier dat aanbiedt.

7.2 Doorgifte naar een derde land buiten de EER vindt uitsluitend plaats op basis van een geldige grondslag conform hoofdstuk V AVG, in het bijzonder op grond van:

• een adequaatheidsbesluit van de Europese Commissie (artikel 45 AVG);
• door de Europese Commissie vastgestelde modelcontractbepalingen, ook bekend als Standard Contractual Clauses (artikel 46 lid 2 sub c AVG);
• het EU-VS Data Privacy Framework, voor gecertificeerde Amerikaanse Subverwerkers; of
• een andere passende waarborg conform artikel 46 AVG.

7.3 De van toepassing zijnde grondslag per Subverwerker is vermeld in Bijlage A.

Artikel 8. Bijstand aan Verwerkingsverantwoordelijke

8.1 UTEQ verleent Verwerkingsverantwoordelijke redelijke bijstand bij:

a. het beantwoorden van verzoeken van betrokkenen tot uitoefening van hun rechten op grond van hoofdstuk III AVG (waaronder inzage, rectificatie, verwijdering, beperking, dataportabiliteit en bezwaar);

b. het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) als bedoeld in artikel 35 AVG en de eventuele voorafgaande raadpleging van de toezichthouder als bedoeld in artikel 36 AVG;

c. het naleven van de meldplichten bij Datalekken jegens de toezichthouder en betrokkenen (artikel 33 en 34 AVG); en

d. het nakomen van de overige verplichtingen van Verwerkingsverantwoordelijke onder de AVG, voor zover redelijkerwijs van UTEQ kan worden verwacht.

8.2 UTEQ stuurt verzoeken van betrokkenen die rechtstreeks bij UTEQ binnenkomen onverwijld door naar Verwerkingsverantwoordelijke en geeft deze niet zelf inhoudelijk gevolg, tenzij Verwerkingsverantwoordelijke hiertoe schriftelijk opdracht geeft.

8.3 UTEQ mag voor de bijstand op grond van dit artikel een redelijke vergoeding in rekening brengen, behoudens voor zover de bijstand voortvloeit uit een toerekenbare tekortkoming van UTEQ.

Artikel 9. Datalekken

9.1 UTEQ informeert Verwerkingsverantwoordelijke onverwijld en in elk geval binnen 24 uur nadat UTEQ kennis heeft genomen van een Datalek dat Persoonsgegevens van Verwerkingsverantwoordelijke betreft.

9.2 De melding van UTEQ bevat ten minste:

• de aard van het Datalek;
• de categorieën en het geschatte aantal betrokkenen;
• de categorieën en het geschatte aantal Persoonsgegevens;
• de waarschijnlijke gevolgen van het Datalek;
• de maatregelen die UTEQ heeft genomen of voornemens is te nemen om het Datalek aan te pakken en de eventuele negatieve gevolgen te beperken;
• de contactgegevens van een persoon bij UTEQ waar nadere informatie kan worden verkregen.

9.3 UTEQ ondersteunt Verwerkingsverantwoordelijke op verzoek bij de meldplicht aan de Autoriteit Persoonsgegevens (artikel 33 AVG) en, waar van toepassing, aan de betrokkenen (artikel 34 AVG). UTEQ doet zelf geen melding aan de toezichthouder of betrokkenen, tenzij Verwerkingsverantwoordelijke daartoe schriftelijk opdracht geeft.

9.4 UTEQ documenteert ieder Datalek conform artikel 33 lid 5 AVG en bewaart deze documentatie tijdens de looptijd van de DPA en gedurende ten minste drie jaar daarna.

Artikel 10. Audit en informatieplicht

10.1 UTEQ stelt Verwerkingsverantwoordelijke op verzoek alle informatie ter beschikking die nodig is om de naleving van de in artikel 28 AVG en deze DPA neergelegde verplichtingen aan te tonen.

10.2 UTEQ maakt audits, met inbegrip van inspecties door Verwerkingsverantwoordelijke of een door Verwerkingsverantwoordelijke gemachtigde controleur, mogelijk en draagt eraan bij. UTEQ kan in plaats daarvan rapportages van een onafhankelijke deskundige (zoals een ISO 27001-, SOC 2- of vergelijkbare certificering) overleggen, indien deze de gevraagde informatie afdoende dekken.

10.3 Een audit op grond van dit artikel:

• vindt maximaal eenmaal per 12 maanden plaats, behoudens bij gerede twijfel of een Datalek;
• wordt minimaal 30 dagen vooraf schriftelijk aangekondigd;
• vindt plaats tijdens kantooruren en met zo min mogelijk verstoring van de bedrijfsvoering;
• is voor rekening van Verwerkingsverantwoordelijke, tenzij de audit een toerekenbare tekortkoming van UTEQ aantoont, in welk geval de redelijke kosten voor rekening van UTEQ komen.

10.4 De controleur tekent vooraf een geheimhoudingsverklaring jegens UTEQ.

Artikel 11. Teruggave en verwijdering

11.1 Bij beëindiging van de Hoofdovereenkomst, of zoveel eerder als Verwerkingsverantwoordelijke daarom verzoekt, worden Persoonsgegevens op keuze van Verwerkingsverantwoordelijke aan Verwerkingsverantwoordelijke geretourneerd of door UTEQ verwijderd.

11.2 De retournering of verwijdering vindt plaats binnen de termijnen die in de Hoofdovereenkomst of, voor SaaS-diensten, in artikel 5 van de SaaS-Voorwaarden zijn vastgelegd. Bij gebreke daarvan geldt een termijn van 90 dagen na beëindiging.

11.3 Verwijdering uit back-ups vindt plaats volgens het reguliere back-up rotatieschema, met een maximumtermijn van 12 maanden. Tot het moment van definitieve verwijdering blijven de beveiligings- en geheimhoudingsverplichtingen van toepassing.

11.4 Op verzoek bevestigt UTEQ schriftelijk dat retournering of verwijdering heeft plaatsgevonden.

11.5 In afwijking van artikel 11.1 mag UTEQ Persoonsgegevens bewaren voor zover een wettelijke bewaarplicht dat vereist; UTEQ informeert Verwerkingsverantwoordelijke over de aard en duur van die bewaring.

Artikel 12. Aansprakelijkheid

12.1 Op de aansprakelijkheid van UTEQ onder deze DPA zijn de aansprakelijkheidsbepalingen van artikel 12 van de Algemene Voorwaarden UTEQ van toepassing.

12.2 De beperkingen in artikel 12 van de Algemene Voorwaarden gelden niet ten aanzien van bestuursrechtelijke boetes die rechtstreeks aan UTEQ worden opgelegd door een toezichthouder wegens een toerekenbare tekortkoming van UTEQ in de naleving van de AVG.

12.3 Verwerkingsverantwoordelijke vrijwaart UTEQ voor aanspraken van betrokkenen of toezichthouders die voortvloeien uit het niet-naleven van de op Verwerkingsverantwoordelijke rustende verplichtingen onder de AVG, voor zover die niet mede voortvloeien uit een toerekenbare tekortkoming van UTEQ. Bij samenlopende oorzaak wordt de vrijwaring beperkt naar evenredigheid.

Artikel 13. Slotbepalingen

13.1 Op deze DPA is uitsluitend Nederlands recht van toepassing.

13.2 Geschillen worden bij uitsluiting voorgelegd aan de Rechtbank Noord-Nederland, locatie Leeuwarden, tenzij dwingend recht een andere bevoegde rechter aanwijst.

13.3 Wijzigingen of aanvullingen op deze DPA zijn alleen geldig indien schriftelijk overeengekomen door beide partijen. Actualiseringen van Bijlage A en Bijlage B kunnen door UTEQ eenzijdig worden doorgevoerd, met inachtneming van artikel 6.2 (Subverwerkers) en artikel 5.2 (beveiligingsmaatregelen).

13.4 Indien een bepaling uit deze DPA nietig of vernietigbaar blijkt, blijven de overige bepalingen onverminderd van kracht. Partijen vervangen de getroffen bepaling door een geldige bepaling die het doel zo dicht mogelijk benadert.

Ondertekening

Verwerkingsverantwoordelijke Naam: {{naam tekenbevoegde}} Functie: {{functie}} Datum: ___________________ Handtekening: ___________________

Verwerker (UTEQ) Naam: Nathan Jansen Functie: Eigenaar Datum: ___________________ Handtekening: ___________________

Bijlage A: Subverwerkerlijst

UTEQ schakelt de volgende Subverwerkers in voor het leveren van de Diensten. Deze lijst wordt gepubliceerd op uteq.nl/subverwerkers en is via dit pad ten alle tijde raadpleegbaar.

Versie Bijlage A: 2026-04-01

Niet alle Subverwerkers zijn voor iedere dienst van toepassing. De daadwerkelijk ingeschakelde Subverwerkers worden bepaald door de gekozen dienst en zijn op aanvraag specifiek opvraagbaar.

Bijlage B: Technische en organisatorische maatregelen

UTEQ treft de volgende beveiligingsmaatregelen, conform artikel 32 AVG.

Versie Bijlage B: 2026-04-01

Toegangsbeveiliging

• Multi-factor authenticatie (MFA) op alle administratieve accounts (server, hosting, e-mail, Git, AI-providers, payment).
• Wachtwoordbeheer via een vault; geen wachtwoorden in code, configuratie of logs.
• SSH-toegang tot servers uitsluitend via key-based authentication; password login uitgeschakeld.
• Principle of least privilege bij accountrechten; periodieke review van toegangsrechten.

Versleuteling

• Transport: TLS 1.2 of hoger voor alle dataverkeer (HTTPS-only, HSTS).
• Opslag: schijfencryptie op alle laptops en servers waar Persoonsgegevens worden verwerkt.
• Database: passwords gehashed met moderne hash-functies (bcrypt, argon2). Gevoelige velden waar passend encrypted-at-rest.
• Back-ups: encrypted opgeslagen.

Logging en monitoring

• Server- en applicatielogs met retentie conform doelbinding.
• Monitoring van uptime, foutmeldingen en abnormaal gedrag.
• Toegang tot logs gebonden aan need-to-know.

Back-up en herstel

• Periodieke back-ups van productiedata, met versleutelde opslag.
• Periodieke restore-tests om de werking van back-ups te verifiëren.
• Geografisch gespreide opslag van back-ups binnen de EER waar mogelijk.

Softwareveiligheid

• Updates van besturingssystemen, runtimes en frameworks volgens een onderhoudsritme; security patches binnen redelijke termijn.
• Dependency-scanning op kwetsbaarheden bij ontwikkeling en deploy.
• Code in een versiebeheersysteem met audit trail; geen directe productie-edits zonder commit.

Datasegregatie

• Multi-tenant SaaS: harde isolatie tussen tenants op database- en applicatieniveau.
• Geen klantdata in test- of ontwikkelomgevingen, tenzij geanonimiseerd of gepseudonimiseerd.

Personeel en organisatie

• Geheimhoudingsverklaringen voor alle medewerkers en ingehuurde derden die toegang hebben tot Persoonsgegevens.
• Bewustwordingsmaatregelen rond phishing, social engineering en datalekken.
• Datalek-protocol vastgelegd, met escalatieroute en 24-uurs meldtermijn aan Verwerkingsverantwoordelijke.

Subverwerkers

• Schriftelijke afspraken met iedere Subverwerker conform artikel 28 AVG, met minimaal het beveiligingsniveau van deze Bijlage B.
• Voorkeur voor Subverwerkers met onafhankelijke certificeringen (ISO 27001, SOC 2, of vergelijkbaar).

Incidentafhandeling

• Vastgelegd incidentresponseplan, inclusief rollen, communicatiekanalen en herstelstappen.
• Periodieke evaluatie en bijstelling.

Bijlage C: Specificatie van de verwerking

Versie Bijlage C: in te vullen per Hoofdovereenkomst

Versie 1.0, ingangsdatum 1 april 2026.