Verwerkersovereenkomst

Versie 1.0. Laatst bijgewerkt: 23 oktober 2026.

Deze verwerkersovereenkomst hoort bij iedere overeenkomst met Klappe Development (Klappe Hosting) en maakt onderdeel uit van de algemene voorwaarden. Je hoeft niets te tekenen: de overeenkomst geldt vanaf het moment dat je klant wordt. Wil je een eigen ondertekend exemplaar, vraag het ons.

Artikel 1. Definities en rollen

1.1 Klant: wie bij Klappe Development een pakket of een add-on afneemt. Verwerker: Klappe Development, gevestigd aan Boersenserf 10, 3871 RK Hoevelaken. KvK-nummer: 71434577.

1.2 De begrippen persoonsgegevens, verwerken, verwerkingsverantwoordelijke, verwerker, betrokkene, datalek en subverwerker hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG).

1.3 Voor persoonsgegevens die de klant op onze diensten plaatst of via onze diensten verwerkt, is de klant verwerkingsverantwoordelijke (of, als hij dat zelf namens een opdrachtgever doet, verwerker) en zijn wij verwerker (of subverwerker). Dit geldt niet voor onze eigen klantadministratie: daarvoor zijn wij zelf verantwoordelijk, zie de privacyverklaring.

Artikel 2. Onderwerp en duur

2.1 Wij verwerken persoonsgegevens uitsluitend om de overeengekomen dienst te leveren: websites hosten, mail ontvangen, opslaan, doorsturen en bezorgen, back-ups maken en support geven.

2.2 Het gaat om de soorten gegevens en betrokkenen uit de bijlage. De klant bepaalt welke gegevens hij zelf op de dienst zet.

2.3 De overeenkomst geldt zolang wij persoonsgegevens voor de klant verwerken, dus zolang de hostingovereenkomst loopt en tot de gegevens zijn teruggegeven of verwijderd (artikel 11).

Artikel 3. Instructies van de klant

3.1 We verwerken persoonsgegevens alleen op basis van schriftelijke instructies van de klant. De overeenkomst, de algemene voorwaarden en deze verwerkersovereenkomst vormen de instructies. Aanvullende instructies geeft de klant schriftelijk, we voeren die redelijkerwijs uit.

3.2 Zijn wij van mening dat een instructie in strijd is met de AVG, dan melden wij dat direct.

3.3 De klant zorgt dat hij een grondslag heeft voor zijn verwerkingen, dat betrokkenen zijn geïnformeerd (bijvoorbeeld via zijn eigen privacyverklaring en cookiebanner) en dat hij zijn eigen verplichtingen uit de AVG nakomt. Wij verwerken geen gegevens voor eigen doeleinden.

Artikel 4. Beveiliging

4.1 Wij nemen passende technische en organisatorische maatregelen, gelet op de stand van de techniek, de kosten en het risico. Daaronder vallen in ieder geval:

• versleutelde verbindingen (TLS) voor websites, het paneel en mail;
• afgeschermde servers, toegang alleen voor wie dat nodig heeft, met sterke wachtwoorden of sleutels en tweestapsverificatie waar mogelijk;
• aparte accounts per klant, zodat klanten elkaars bestanden niet kunnen zien;
• regelmatige updates van serversoftware en beveiligingspatches, bij Onderhoud ook van WordPress, plugins en thema's;
• bescherming tegen aanvallen via Cloudflare, zoals een firewall en bescherming tegen DDoS;
• back-ups op een aparte locatie buiten de server zelf, naar beste vermogen;
• logging van beheerhandelingen en monitoring van misbruik;
• fysieke beveiliging bij het datacenter, verzorgd door onze hostingpartner;
• vertrouwelijkheid van medewerkers en ingeschakelde helpers (artikel 7).

4.2 Beveiliging is een inspanningsverplichting. Wij kunnen niet garanderen dat gegevens nooit verloren gaan of in handen van onbevoegden komen. De klant is zelf verantwoordelijk voor de beveiliging van zijn website (zoals sterke wachtwoorden, actuele plugins als hij geen Onderhoud afneemt, en veilige code).

4.3 We evalueren de maatregelen regelmatig en passen ze aan als het risico verandert. Een significante verlaging van het beschermingsniveau doen we niet zonder de klant te informeren.

Artikel 5. Subverwerkers

5.1 De klant geeft ons algemene toestemming om de volgende subverwerkers in te schakelen:

5.2 We leggen aan iedere subverwerker dezelfde verplichtingen op over gegevensbescherming als in deze overeenkomst, voor zover redelijkerwijs mogelijk. Bij grote leveranciers gaat dat vaak via hun standaardverwerkersvoorwaarden. Wij blijven jegens de klant verantwoordelijk voor de nakoming door onze subverwerkers.

5.3 Willen wij een subverwerker toevoegen of vervangen, dan informeren wij de klant ten minste 1 maand van tevoren schriftelijk. De klant kan binnen 14 dagen redelijke bezwaren indienen. Komen we er niet uit, dan mag de klant de overeenkomst opzeggen per de datum waarop de wijziging ingaat.

5.4 De lijst op deze pagina is de actuele lijst. De datum bovenaan laat zien wanneer ze voor het laatst is bijgewerkt.

Artikel 6. Doorgifte buiten de EU

6.1 We verwerken persoonsgegevens zoveel mogelijk binnen de Europese Economische Ruimte. Een deel van onze subverwerkers (met name Cloudflare en Meta) is gevestigd in de Verenigde Staten of kan daar gegevens verwerken.

6.2 Voor die doorgifte gelden waarborgen zoals het EU-US Data Privacy Framework, voor zover de subverwerker daarvoor is gecertificeerd, en anders de modelcontractbepalingen van de Europese Commissie, aangevuld met passende maatregelen.

6.3 Overige doorgifte buiten de EER doen we alleen op basis van een instructie van de klant of een wettelijke verplichting, en met een passende waarborg uit hoofdstuk V van de AVG.

Artikel 7. Medewerkers en geheimhouding

7.1 Alleen personen die toegang nodig hebben om de dienst te leveren, mogen persoonsgegevens verwerken. Zij zijn gebonden aan geheimhouding.

7.2 We gaan alleen in de gegevens van de klant kijken als dat nodig is voor de dienst, zoals een storing, een verzoek van de klant, een back-up of misbruik.

7.3 We geven persoonsgegevens alleen aan derden als de klant dat heeft opgedragen of een wet of rechter dat eist. Als de wet dat toestaat, informeren we de klant daarvoor.

Artikel 8. Datalekken

8.1 Ontdekken wij een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot persoonsgegevens van de klant, dan melden wij dat zo snel mogelijk en uiterlijk binnen 48 uur nadat wij het hebben ontdekt aan de klant.

8.2 De melding gaat per e-mail en, waar dat kan, ook via WhatsApp naar het contactadres van de klant, en bevat zoveel mogelijk: de aard van de inbreuk, de betrokken gegevens en betrokkenen (ruwweg), de waarschijnlijke gevolgen, wat we hebben gedaan en wat de klant kan doen, en een contactpersoon. Ontbreekt informatie, dan vullen we die aan zodra we haar hebben.

8.3 De klant beoordeelt of hij de inbreuk moet melden bij de Autoriteit Persoonsgegevens (binnen 72 uur) en bij betrokkenen. Wij werken daaraan mee en nemen maatregelen om de inbreuk te beperken en herhaling te voorkomen.

8.4 Wij houden een overzicht bij van alle inbreuken op persoonsgegevens, met de feiten, de gevolgen en de genomen maatregelen.

8.5 Meldingen over een vermoeden van een datalek kan de klant doen via [email protected] of WhatsApp (ma t/m zo, 9:00 tot 21:00). Buiten die uren lezen we de melding de eerstvolgende dag, en deze 48 uur gaat dan lopen vanaf het moment dat wij ervan weten.

Artikel 9. Rechten van betrokkenen

9.1 Ontvangen wij een verzoek van een betrokkene (inzage, correctie, verwijdering, beperking, overdracht of bezwaar) over gegevens die wij voor de klant verwerken, dan beantwoorden wij dat niet zelf, maar verwijzen we de betrokkene naar de klant en informeren we de klant zonder onnodige vertraging.

9.2 We helpen de klant redelijkerwijs om dergelijke verzoeken te beantwoorden. Omvat die hulp meer dan een gering aantal uren, dan mogen we redelijke kosten in rekening brengen na overleg.

9.3 We helpen de klant redelijkerwijs ook met beveiliging, meldingen van datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthouder, voor zover dat onze dienst betreft en met de informatie die wij hebben.

Artikel 10. Audit en controle

10.1 Wij stellen de klant alle informatie ter beschikking die nodig is om aan te tonen dat wij deze overeenkomst nakomen. Dat doen we normaal gesproken schriftelijk, door vragen te beantwoorden en beschikbare documentatie te delen.

10.2 Is dat niet voldoende, dan mag de klant eens per jaar, of vaker bij een concrete aanleiding zoals een datalek, een audit laten uitvoeren door een onafhankelijke deskundige die gebonden is aan geheimhouding. De klant meldt dat ten minste 4 weken van tevoren schriftelijk. De audit verstoort onze dienst en andere klanten niet onredelijk en geeft geen toegang tot gegevens van andere klanten of tot beveiligingsgevoelige informatie van derden.

10.3 De kosten van de audit zijn voor de klant. Constateert de audit een wezenlijke tekortkoming van ons, dan herstellen wij die zo snel mogelijk, op onze kosten. Voor zover onze subverwerkers (zoals Contabo en Cloudflare) zelf worden gecontroleerd, kunnen wij verwijzen naar hun certificaten en auditrapporten.

Artikel 11. Teruggave en verwijdering

11.1 Na het einde van de overeenkomst kan de klant gedurende 30 dagen zijn gegevens exporteren, zoals bestanden, databases en mail (zie ook artikel 19 van de algemene voorwaarden). We helpen daarbij op verzoek.

11.2 Na die 30 dagen verwijderen wij de persoonsgegevens van de klant van onze systemen en laten we de subverwerkers dat ook doen, tenzij de wet bewaring vereist. Back-ups verdwijnen volgens hun eigen cyclus, uiterlijk binnen 90 dagen daarna.

11.3 Op verzoek bevestigen wij schriftelijk dat de gegevens zijn verwijderd.

11.4 Wil de klant dat we eerder verwijderen, dan kan dat op schriftelijk verzoek, op eigen risico van de klant als hij de gegevens nog nodig heeft.

Artikel 12. Aansprakelijkheid en slotbepalingen

12.1 Voor aansprakelijkheid onder deze overeenkomst gelden de bepalingen uit artikel 20 van de algemene voorwaarden, inclusief de beperkingen. Boetes die een toezichthouder aan de klant oplegt, zijn voor rekening van de klant, voor zover de wet dat toestaat en tenzij zij het gevolg zijn van opzet of bewuste roekeloosheid van ons.

12.2 Bij strijd tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het gaat om persoonsgegevens.

12.3 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter volgens artikel 25 van de algemene voorwaarden.

12.4 Wij mogen deze overeenkomst wijzigen volgens artikel 23 van de algemene voorwaarden, bijvoorbeeld door wetswijzigingen of een nieuwe subverwerker.

Bijlage: gegevens en betrokkenen