AVG art. 28
Verwerkersovereenkomst (DPA)
Laatst bijgewerkt: 16 augustus 2026
Versie: 1.0 (concept)
Partijen: Verwerkingsverantwoordelijke = Klant (studio); Verwerker = Siemon Basstanie
Taal: u/uw
Disclaimer
Template / werkdocument. [ADVOCAAT-REVIEW] vóór gebruik als bindende DPA (art. 28 AVG). Stem af op uw concrete processing activities.
Dit document geldt wanneer Studio Desk namens de Klant persoonsgegevens van deelnemers/eindgebruikers verwerkt (o.a. boekingen, wachtlijst, nieuwsbriefcontacten, contactformulieren van de studiosite).
Samenvatting voor niet-juristen (1 pagina)
- U (studio) bepaalt waarom deelnemersdata worden verwerkt; wij verwerken die alleen voor de Dienst volgens uw instructies.
- Wij maggen subprocessors inschakelen (hosting, e-mail, Mollie metadata indien relevant) — lijst bijhouden.
- Bij datalek: snelle melding aan u.
- Op einde contract: data wissen of teruggeven, behoudens wettelijke plicht.
- U blijft verantwoordelijk voor uw privacyteksten richting deelnemers.
Artikel 1 — Voorwerp en duur
1.1. Deze Verwerkersovereenkomst (“DPA”) maakt deel uit van de overeenkomst tussen Klant en Siemon Basstanie (“Verwerker”) inzake Studio Desk.
1.2. Duur: zolang Verwerker persoonsgegevens namens Klant verwerkt in het kader van de Dienst.
1.3. Definities volgens AVG.
Artikel 2 — Rollen
2.1. Klant = verwerkingsverantwoordelijke voor Deelnemersgegevens.
2.2. Siemon Basstanie = verwerker.
2.3. Voor account-/facturatiegegevens van de Klant zelf is Siemon Basstanie doorgaans zelf verwerkingsverantwoordelijke (zie Privacyverklaring); die vallen buiten het “namens u”-regime van deze DPA.
Artikel 3 — Aard van de verwerking (bijlage A — samenvatting)
| Onderdeel | Invulling |
|---|---|
| Onderwerp | Hosting CMS, lessenplanning, reserveringen, wachtlijst, nieuwsbriefmodule, mediabestanden |
| Duur | Looptijd abonnement + korte afwikkeling |
| Aard | Opslaan, tonen, verzenden (e-mail), back-uppen, support |
| Doel | Leveren van Studio Desk-functionaliteit aan Klant |
| Categorieën betrokkenen | Deelnemers, prospecten, nieuwsbriefabonnees, websitebezoekers (formulieren) |
| Categorieën gegevens | Identiteit/contact, boekingsdetails, voorkeuren, communicatie-inhoud, technische logs gekoppeld aan gebruik |
| Bijzondere categorieën | Niet beoogd. Klant mag geen gezondheidsdata e.d. invoeren tenzij apart overeengekomen en rechtmatig |
Artikel 4 — Instructies
4.1. Verwerker verwerkt alleen op gedocumenteerde instructies van Klant: (a) deze DPA + AV; (b) configuratie/gebruik van de Dienst door Klant; (c) schriftelijke instructies (e-mail) die verenigbaar zijn met de Dienst.
4.2. Verwerker informeert Klant indien een instructie naar haar mening inbreuk maakt op de AVG.
4.3. Klant garandeert een geldige rechtsgrond en correcte informatieplichten t.o.v. betrokkenen (privacy policy op studiosite, toestemmingen nieuwsbrief, enz.).
Artikel 5 — Vertrouwelijkheid
5.1. Personen met toegang zijn tot geheimhouding gehouden (contractueel of wettelijk).
5.2. Toegang op need-to-know-basis (support, security, operations).
Artikel 6 — Beveiliging (art. 32 AVG)
Verwerker treft passende TOM’s, waaronder bijvoorbeeld:
- HTTPS / encryptie in transit;
- toegangsbeheer en authenticatie;
- logging van relevante beheeracties;
- backups / restore waar voorzien;
- scheiding van omgevingen waar redelijk;
- vendor due diligence voor subprocessors.
Details kunnen in een security annex of op verzoek samengevat worden. Geen absolute garantie tegen alle incidenten.
Artikel 7 — Subprocessors
7.1. Klant geeft algemene schriftelijke toestemming tot het inschakelen van subprocessors die nodig zijn voor de Dienst.
7.2. Actuele lijst (placeholders): Vercel (hosting), Neon (database), Mollie (betalingen), Cloud86 (e-mail) + rol + land.
7.3. Bij vervanging/toevoeging: kennisgeving via [URL / e-mail] met bezwaartermijn van [14] dagen om zwaarwegende redenen. Geen bezwaar = toestemming. Als bezwaar de Dienst onmogelijk maakt, kunnen partijen opzeggen.
7.4. Verwerker legt aan subprocessors verplichtingen op die minstens gelijkwaardig zijn aan deze DPA.
Artikel 8 — Internationale doorgiften
8.1. Doorgiften buiten EER alleen met geldig doorgiftemechanisme (adequaatheid of SCCs e.d.).
Artikel 9 — Assistentie aan Klant
9.1. Verwerker assisteert Klant redelijkerwijs bij:
- verzoeken van betrokkenen (rechten AVG);
- DPIA’s en consultatie GBA, voor zover relevant voor de Dienst;
- nakoming van art. 32–36 AVG.
9.2. Klant blijft eerste aanspreekpunt voor betrokkenen. Verzoeken die Verwerker rechtstreeks ontvangt, worden — waar herkenbaar — doorgestuurd naar Klant, tenzij wettelijk anders.
9.3. Onredelijk frequente of zware assistentie buiten standaard support mag tegen redelijke fee.
Artikel 10 — Datalekken
10.1. Na ontdekking van een inbreuk in verband met persoonsgegevens informeert Verwerker Klant zonder onredelijke vertraging (streefdoel: binnen [48] uur), met beschikbare info: aard, categorieën/aantallen (indien bekend), waarschijnlijke gevolgen, genomen maatregelen.
10.2. Klant beslist over melding aan GBA/betrokkenen, tenzij Verwerker zelfstandig meldplicht heeft.
10.3. Verwerker documenteert incidenten intern.
Artikel 11 — Audit
11.1. Verwerker stelt redelijke informatie beschikbaar om naleving aan te tonen (vragenlijst, security summary, certificeringen indien aanwezig).
11.2. On-site of diepgaande audits: max. 1× per 12 maanden, met [30] dagen aankondiging, tijdens kantooruren, zonder verstoring van beveiliging/andere klanten, op kosten van Klant tenzij een materieel gebrek blijkt. Alternatief: rapport van onafhankelijke auditor.
[ADVOCAAT-REVIEW] audit-scope.
Artikel 12 — Einde verwerking
12.1. Bij einde van de Dienst verwijdert of retourneert Verwerker Deelnemersgegevens binnen [30] dagen, naar keuze van Klant (export waar technisch voorzien), en wist bestaande kopieën, behoudens:
- wettelijke bewaarplicht;
- backups met beperkte retentie die vanzelf verlopen;
- anonimisering.
12.2. Schriftelijke bevestiging van wissing op verzoek, binnen redelijke termijn.
Artikel 13 — Aansprakelijkheid
13.1. Aansprakelijkheid volgt de AV / Disclaimer, onverminderd dwingende AVG-bepalingen (o.a. art. 82) jegens betrokkenen. [ADVOCAAT-REVIEW]
Artikel 14 — Slot
14.1. Belgisch recht. Forum: zie AV.
14.2. Bij strijd tussen AV en DPA over gegevensbeschermingsverplichtingen prevaleert de DPA.
Ondertekening (template)
| Verwerker | Verwerkingsverantwoordelijke | |
|---|---|---|
| Naam | Siemon Basstanie | [KLANT_NAAM] |
| Vertegenwoordiger | [NAAM] | [NAAM] |
| Datum | ____ | ____ |
| Handtekening | ____ | ____ |
(Of: elektronische aanvaarding bij checkout / admin “Ik aanvaard de DPA”.)
Einde DPA-template (concept).