Verwerkersovereenkomst zakelijke SaaS-klanten
VERSIE: CONCEPT 2026-11-10
CONCEPT — NIET BINDEND IN GEBRUIK NEMEN. OPENSTAAND: zakelijke keuzes bevestigen en definitieve juridische beoordeling vóór toepassing op klanten. Geen abonnements- of dienstverleningsovereenkomst ontstaat door deze concepten te bekijken.

Concept op basis van de structuur van artikel 28 AVG. Niet bestemd als bewijs dat productiehosting, subverwerkers of maatregelen al zijn goedgekeurd. Alle bijlagen moeten bij een daadwerkelijke klantovereenkomst worden ingevuld.

1. Partijen en samenhang
M.P.L. BV — Strijmaden 15, 4703 RG Roosendaal — KvK 78327369 — btw NL812625665B01 — info@mplbv.com. De zakelijke klant wordt als verwerkingsverantwoordelijke geïdentificeerd in een ondertekende opdrachtbevestiging. M.P.L. is uitsluitend verwerker voor de in bijlage A omschreven verwerking namens klant. Voor eigen website-, factuur- en relatiebeheer kunnen andere rollen gelden. Deze overeenkomst wordt vóór klantgegevensverwerking vastgesteld. OPENSTAAND: klantgegevens, tekenbevoegden, datum, looptijd en rangorde ten opzichte van hoofdcontract en SLA.

2. Onderwerp en gedocumenteerde instructies
M.P.L. verwerkt de omschreven persoonsgegevens voor de overeengekomen SaaS-dienst op gedocumenteerde instructies van klant, inclusief instructies over doorgiften. Als wetgeving verwerking verplicht, wordt klant vooraf geïnformeerd tenzij de wet dat om zwaarwegende redenen verbiedt. Bij een vermoedelijk onrechtmatige instructie wordt klant daarop gewezen. Andere eigen doeleinden zijn niet door deze overeenkomst toegestaan.

3. Personen en vertrouwelijkheid
Personen die namens M.P.L. toegang krijgen tot klantpersoonsgegevens moeten bevoegd zijn en aan geheimhouding gebonden zijn. Toegang wordt afgestemd op hun taak. OPENSTAAND: feitelijke autorisatiematrix, roltoewijzing, opleidings- en intrekkingsproces en bewijs van toepassing.

4. Beveiliging
Passende technische en organisatorische maatregelen worden op het risico afgestemd en in bijlage B vastgelegd. De benodigde beoordeling houdt rekening met aard, omvang, context en doeleinden van de verwerking. OPENSTAAND: geverifieerde maatregelen, testbewijs en verantwoordelijkheidsverdeling. Deze overeenkomst vult geen onbekende encryptie-, back-up- of beschikbaarheidsgaranties in. Operationele details kunnen in een vertrouwelijke bijlage worden opgenomen.

5. Subverwerkers
Inzet van subverwerkers vraagt de toepasselijke voorafgaande schriftelijke toestemming van klant en passende doorlegging van verplichtingen. OPENSTAAND: specifieke of algemene toestemming, kennisgevingswijze, redelijke bezwaarbehandeling, vervangingsprocedure en actuele lijst in bijlage C. Voor doorgifte aan een andere verwerker blijft M.P.L. binnen de toepasselijke AVG-verantwoordelijkheden aanspreekbaar. Er wordt geen onbeperkte toestemming verondersteld.

6. Rechten van betrokkenen
M.P.L. ondersteunt klant, rekening houdend met de aard van de verwerking, bij verzoeken van betrokkenen voor zover mogelijk met passende maatregelen. Een rechtstreeks ontvangen verzoek wordt volgens de afgesproken procedure aan klant doorgegeven; inhoudelijke afhandeling vindt plaats volgens diens instructies of een wettelijke verplichting. OPENSTAAND: veilige contactroute, praktische procedure en eventuele vergoeding voor aanvullende ondersteuning zonder wettelijke verplichtingen uit te sluiten.

7. Incidenten en datalekken
Een inbreuk in verband met klantpersoonsgegevens wordt zonder onredelijke vertraging na kennisname aan klant gemeld. Beschikbare informatie over aard, gevolgen en maatregelen wordt gedeeld en kan waar nodig worden aangevuld. Klant beoordeelt zijn meldplicht aan toezichthouder of betrokkenen, met ondersteuning van M.P.L. Voor M.P.L. is geen eigen harde urentermijn verzonnen. OPENSTAAND: incidentcontacten, veilig kanaal, inhoud van het meldingsformulier en eventuele overeengekomen strengere termijn. Een wettelijke termijn voor klant wordt niet als generieke verwerker-SLA gebruikt.

8. DPIA, overleg en informatie
M.P.L. ondersteunt, met inachtneming van aard en beschikbare informatie, bij verplichtingen rond beveiliging, datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging. M.P.L. maakt de noodzakelijke informatie beschikbaar om de toepasselijke verplichtingen aan te tonen. OPENSTAAND: praktische contactpersonen, formats en inzet van klant en leverancier.

9. Controle en audit
Audits en inspecties door klant of een door hem gemachtigde controleur worden mogelijk gemaakt binnen de toepasselijke AVG-verplichtingen. Praktische afspraken beschermen de vertrouwelijkheid, beveiliging en gegevens van andere klanten zonder de wettelijke controlemogelijkheid uit te hollen. OPENSTAAND: meldwijze, planning, informatiebeveiliging, inzet van bestaande bewijsstukken en kostenverdeling; er is geen absolute beperking tot één audit of een onvoorwaardelijke vergoeding ingevuld.

10. Doorgifte
Verwerking buiten de overeengekomen locaties en doorgifte aan derde landen worden alleen uitgevoerd met geldige instructies en toepasselijke AVG-waarborgen. OPENSTAAND: landen, toegangsrisico’s, gekozen mechanisme, eventuele aanvullende maatregelen en hun beoordeling. Geen garantie op uitsluitend verwerking binnen de EER zonder feitelijk bewijs.

11. Einde en gegevensretour
Na afloop worden persoonsgegevens naar keuze van klant geretourneerd of verwijderd en bestaande kopieën verwijderd, tenzij toepasselijke wetgeving bewaring vereist. OPENSTAAND: exportvorm, veilige overdracht, uitvoertermijn, verificatie, behandeling van back-upcycli en eventuele kosten. Niet-direct-verwijderbare back-upgegevens vereisen een vastgelegde beperking van gebruik en verwijderprocedure; deze bijlage moet feitelijk uitvoerbaar zijn.

12. Aansprakelijkheid en samenwerking
Aansprakelijkheid en contractuele verhaalsafspraken worden samen met de hoofdvoorwaarden juridisch beoordeeld. Deze overeenkomst bevat geen onbevestigd aansprakelijkheidsmaximum en beperkt geen wettelijke rechten van betrokkenen. Wijzigingen worden schriftelijk vastgelegd. OPENSTAAND: rechtskeuze, geschillenregeling en inhoud van de definitieve ondertekende bijlagen.

Bijlage A — verwerkingsomschrijving, in te vullen
OPENSTAAND: klant en dienst, verwerkingsduur, doeleinden, aard van handelingen, gebruikte modules en instructies. OPENSTAAND: categorieën betrokkenen en persoonsgegevens per geactiveerde module. Denk uitsluitend waar van toepassing aan zakelijke contactpersonen, gebruikers, chauffeurs of medewerkers; deze voorbeelden staan geen verwerking automatisch toe. OPENSTAAND: uitsluiting of afzonderlijke toestemming voor bijzondere persoonsgegevens, BSN en strafrechtelijke gegevens; noodzakelijkheid en rechtmatigheid moeten afzonderlijk worden beoordeeld.

Bijlage B — technische en organisatorische maatregelen
OPENSTAAND, met bewijs per maatregel: tenantisolatie; gebruikers-/beheerdersrechten; authenticatiebeleid; versleuteling en sleutelbeheer; netwerk- en bestandstoegang; logging en bewaring; kwetsbaarheden en patches; incidenten; back-ups; herstelbaarheid; export/verwijdering; fysieke beveiliging; personele geheimhouding; continuïteitsprocedures. Noteer per onderwerp wie verantwoordelijk is, waar het draait en hoe werking is gecontroleerd. Geen demoresultaat als productiecertificering gebruiken.

Bijlage C — subverwerkers, locaties en contact
OPENSTAAND: statutaire naam en rol van iedere subverwerker, locatie/landen, gegevenscategorieën, toestemming en contractuele waarborgen. STRATO-mailgebruik op de website bewijst niet dat STRATO voor alle SaaS-klantgegevens subverwerker is. OPENSTAAND: privacy- en incidentcontacten van beide partijen en hun bereikbaarheid.

Bijlage D — exit en ondertekening
OPENSTAAND: exportformaat, overdrachtskanaal, termijnen, verwijderbevestiging, back-ups en wettelijke bewaarplichten. OPENSTAAND: naam/functie bevoegde vertegenwoordigers, plaats, datum en handtekeningen of gecontroleerde elektronische acceptatie. Een openbaar beschikbaar concept is geen getekende verwerkersovereenkomst.