Verwerkersovereenkomst DGDH OS — Websitepakketten
Versie 1.0, 22 oktober 2026
Deze verwerkersovereenkomst hoort bij de algemene voorwaarden voor websitepakketten van DGDH OS. De Klant gaat ermee akkoord bij het bestellen van een pakket.
Partijen
- De Klant, de ondernemer die een websitepakket bestelt: de verwerkingsverantwoordelijke.
- De Goede Commercieel, handelend onder de naam DGDH OS, Tak van Poortvlietstraat 4, 3332 HZ Zwijndrecht, KvK 93259069: de verwerker.
Artikel 1. Onderwerp
- DGDH OS bouwt, host en onderhoudt de website van de Klant. Daarbij kan DGDH OS persoonsgegevens verwerken van bezoekers en klanten van de Klant. Dat doet DGDH OS namens de Klant, volgens artikel 28 AVG.
- De verwerking staat beschreven in Bijlage 1.
Artikel 2. Instructies
- DGDH OS verwerkt de gegevens alleen in opdracht van de Klant en alleen voor het hosten, onderhouden en laten werken van de website. De afspraken in de algemene voorwaarden en wijzigingsverzoeken van de Klant gelden als instructies.
- DGDH OS gebruikt de gegevens niet voor eigen doeleinden en verkoopt ze niet.
- Vindt DGDH OS dat een instructie in strijd is met de AVG, dan meldt DGDH OS dat direct aan de Klant.
Artikel 3. Geheimhouding
Iedereen die bij DGDH OS toegang heeft tot de gegevens is tot geheimhouding verplicht.
Artikel 4. Beveiliging
DGDH OS neemt passende technische en organisatorische maatregelen, waaronder:
- versleutelde verbindingen (HTTPS/TLS) op elke website;
- toegang tot systemen alleen voor wie het nodig heeft, met tweestapsverificatie op beheeraccounts;
- geheimen en sleutels in een afgeschermde kluis, niet in de code;
- updates van de software en dagelijkse back-ups waar de gegevens worden opgeslagen;
- formulier- en boekingsgegevens alleen zo lang bewaren als nodig.
Artikel 5. Subverwerkers
- De Klant geeft algemene toestemming voor de subverwerkers in Bijlage 2.
- Een nieuwe subverwerker meldt DGDH OS minstens 14 dagen van tevoren. De Klant kan binnen die termijn met redenen bezwaar maken. Komen partijen er niet uit, dan kan de Klant de overeenkomst kosteloos beëindigen.
- DGDH OS legt subverwerkers dezelfde verplichtingen op als in deze overeenkomst.
- Gegevens gaan alleen buiten de EER als daarvoor een geldig mechanisme is, zoals het EU-U.S. Data Privacy Framework of modelcontractbepalingen.
Artikel 6. Datalekken
- DGDH OS meldt een datalek dat gevolgen heeft voor de gegevens van de Klant zonder onnodige vertraging aan de Klant, en uiterlijk binnen 48 uur nadat DGDH OS het heeft ontdekt.
- DGDH OS geeft daarbij alle informatie die de Klant nodig heeft om zelf aan de meldplicht te voldoen: wat er gebeurd is, welke gegevens, hoeveel personen, de mogelijke gevolgen en de genomen maatregelen.
- Een melding aan de Autoriteit Persoonsgegevens en aan betrokkenen doet de Klant zelf.
Artikel 7. Rechten van betrokkenen en hulp
- Krijgt DGDH OS een verzoek van een betrokkene, dan stuurt DGDH OS dit door aan de Klant.
- DGDH OS helpt de Klant redelijkerwijs bij verzoeken van betrokkenen, een DPIA of vragen van de toezichthouder. Gaat het om meer dan een uur werk, dan maken partijen vooraf een prijsafspraak.
Artikel 8. Controle
De Klant kan informatie opvragen om te controleren of DGDH OS zich aan deze overeenkomst houdt. Een audit op locatie gebeurt alleen bij een concrete aanleiding, wordt minstens 14 dagen vooraf gemeld en is voor rekening van de Klant.
Artikel 9. Einde
- Deze overeenkomst loopt zolang DGDH OS gegevens voor de Klant verwerkt.
- Na het einde van het websitepakket verwijdert DGDH OS de gegevens binnen 30 dagen. Op verzoek binnen die termijn krijgt de Klant eerst een export. Gegevens die DGDH OS wettelijk moet bewaren vallen hier niet onder.
Artikel 10. Aansprakelijkheid en recht
- Voor aansprakelijkheid geldt artikel 12 van de algemene voorwaarden voor websitepakketten.
- Op deze overeenkomst is Nederlands recht van toepassing. Geschillen gaan naar de Rechtbank Rotterdam.
Bijlage 1. Beschrijving van de verwerking
| Onderdeel | Inhoud |
|---|---|
| Betrokkenen | Bezoekers van de website van de Klant, en klanten of prospects van de Klant die een formulier invullen of een boeking doen |
| Gegevens | Naam, e-mail, telefoonnummer, bericht, gekozen sessie, datum en tijd, en aanbetaling. Technische gegevens zoals IP-adres in serverlogs |
| Bijzondere gegevens | Geen. De Klant vraagt via de website geen bijzondere persoonsgegevens uit |
| Doel | De website hosten en onderhouden, formulieren en boekingen doorsturen naar de Klant, herinneringen versturen (Pro en Studio) |
| Bewaartermijn | Formulierberichten maximaal 12 maanden, serverlogs maximaal 30 dagen, alles verwijderd uiterlijk 30 dagen na het einde |
Bijlage 2. Subverwerkers
| Partij | Waarvoor | Locatie en doorgifte |
|---|---|---|
| Vercel Inc. | Hosting van de website | VS · EU-U.S. Data Privacy Framework |
| Cloudflare Inc. | Domein, DNS en bestandsopslag | VS · modelcontractbepalingen |
| Amazon Web Services (SES) | Versturen van formulier- en herinneringsmails | EU-regio · EU-U.S. Data Privacy Framework |
| Supabase Inc. | Opslag van formulier- en boekingsgegevens | EU-regio (Frankfurt) |
| Stripe | Aanbetalingen via iDEAL (Pro en Studio) | VS · EU-U.S. Data Privacy Framework |
| Hetzner Online GmbH | Servers voor onze systemen | EU (Duitsland) · geen doorgifte |
Gebruikt de Klant zelf een boekingstool, galerij of agenda van een andere partij (bijvoorbeeld Pixieset of Pic-Time), dan sluit de Klant daarvoor een eigen overeenkomst met die partij. Die partij is geen subverwerker van DGDH OS.