# Verwerkersovereenkomst_DPA_ID2Bytes_2026.1 *Versie 2026.1, vastgesteld 16 augustus 2026. Vervangt versie 2025.1 van 22 november 2025.* --- VERWERKERSOVEREENKOMST DATA PROCESSING AGREEMENT ID2Bytes® Conform Artikel 28 AVG / GDPR Versie 2026.1 | Ingangsdatum 16 augustus 2026 BELANGRIJK: Deze Verwerkersovereenkomst is een integraal onderdeel van de Algemene Voorwaarden van ID2Bytes en is verplicht van toepassing bij alle diensten waarbij ID2Bytes persoonsgegevens verwerkt in opdracht van de Verwerkingsverantwoordelijke. PARTIJEN 1. VERWERKINGSVERANTWOORDELIJKE (Controller) Naam: _______________________________________________ Adres: _______________________________________________ Postcode/Plaats: _______________________________________________ KvK nummer: _______________________________________________ Contactpersoon: _______________________________________________ E-mail: _______________________________________________ Hierna te noemen: "Verwerkingsverantwoordelijke" of "Klant" 2. VERWERKER (Processor) ID2Bytes® Adres: van Leeuwenhoeklaan 14 Postcode/Plaats: 4904 KR Oosterhout, Nederland KvK nummer: 51879344 BTW nummer: NL001110508B90 Contactpersoon Privacy: ID2Bytes E-mail: privacy@id2bytes.com Hierna te noemen: "Verwerker" of "ID2Bytes" Verwerkingsverantwoordelijke en Verwerker hierna gezamenlijk te noemen: "Partijen" OVERWEGENDE DAT  Verwerkingsverantwoordelijke diensten afneemt van Verwerker op basis van een overeenkomst (hierna: "Hoofdovereenkomst");  In het kader van deze dienstverlening Verwerker persoonsgegevens verwerkt in opdracht van en ten behoeve van Verwerkingsverantwoordelijke;  Artikel 28 van de Algemene Verordening Gegevensbescherming (AVG/GDPR) vereist dat de verwerking door een verwerker wordt geregeld in een overeenkomst die de verwerker bindt aan de verwerkingsverantwoordelijke;  Partijen uitvoering willen geven aan deze wettelijke verplichting en hun rechten en verplichtingen ten aanzien van de verwerking van persoonsgegevens contractueel willen vastleggen;  Deze Verwerkersovereenkomst een integraal onderdeel vormt van de Hoofdovereenkomst en de Algemene Voorwaarden van ID2Bytes; KOMEN PARTIJEN HET VOLGENDE OVEREEN: ARTIKEL 1. DEFINITIES In deze Verwerkersovereenkomst worden de volgende termen gebruikt met de hieronder aangegeven betekenis: AVG: de Algemene Verordening Gegevensbescherming (EU) 2016/679. Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon zoals bedoeld in artikel 4 lid 1 AVG. Verwerking: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens zoals bedoeld in artikel 4 lid 2 AVG, waaronder in ieder geval het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken, verspreiden of op een andere wijze ter beschikking stellen, aligneren, combineren, afschermen, wissen of vernietigen van gegevens. Verwerkingsverantwoordelijke: de natuurlijke persoon of rechtspersoon die, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt zoals bedoeld in artikel 4 lid 7 AVG. Verwerker: de natuurlijke persoon of rechtspersoon die ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt zoals bedoeld in artikel 4 lid 8 AVG. Subverwerker: een andere verwerker die door de Verwerker wordt ingeschakeld voor het uitvoeren van specifieke verwerkingsactiviteiten namens de Verwerkingsverantwoordelijke. Betrokkene: een geïdentificeerde of identificeerbare natuurlijke persoon zoals bedoeld in artikel 4 lid 1 AVG. Datalek: een inbreuk in verband met persoonsgegevens zoals bedoeld in artikel 4 lid 12 AVG, leidend tot de accidentele of onrechtmatige vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking of toegang. Toezichthoudende Autoriteit: de Autoriteit Persoonsgegevens of een andere bevoegde autoriteit zoals bedoeld in artikel 51 AVG. Derde Land: een land buiten de Europese Economische Ruimte (EEA). Standard Contractual Clauses (SCC's): de door de Europese Commissie goedgekeurde modelbepalingen voor gegevensoverdracht zoals bedoeld in artikel 46 lid 2 sub c AVG (Uitvoeringsbesluit (EU) 2021/914). Diensten: de diensten die Verwerker levert aan Verwerkingsverantwoordelijke, waaronder maar niet beperkt tot: Maatwerk Software Ontwikkeling, SaaS Applicaties, AI Agents & Intelligente Automatisering, en Support & Consultancy. ARTIKEL 2. VOORWERP EN TOEPASSELIJKHEID 2.1 Voorwerp Deze Verwerkersovereenkomst regelt de verwerking van persoonsgegevens door Verwerker in opdracht van Verwerkingsverantwoordelijke in het kader van de levering van Diensten conform de Hoofdovereenkomst. 2.2 Toepasselijkheid Deze Verwerkersovereenkomst is van toepassing op alle verwerkingen van persoonsgegevens die Verwerker uitvoert voor Verwerkingsverantwoordelijke in het kader van de Dienstverlening, ongeacht of deze verwerkingen plaatsvinden binnen of buiten de Europese Economische Ruimte. 2.3 Relatie tot Hoofdovereenkomst Deze Verwerkersovereenkomst vormt een integraal onderdeel van de Hoofdovereenkomst en de Algemene Voorwaarden van ID2Bytes. In geval van tegenstrijdigheid tussen deze Verwerkersovereenkomst en de Algemene Voorwaarden prevaleren de bepalingen van deze Verwerkersovereenkomst voor zover het de verwerking van persoonsgegevens betreft. 2.4 Wijzigingen AVG Indien wijzigingen in de AVG of andere privacywetgeving aanpassingen van deze Verwerkersovereenkomst vereisen, zullen Partijen te goeder trouw overleggen over noodzakelijke aanpassingen. Verwerker zal dergelijke wijzigingen minimaal 30 dagen vooraf aan Verwerkingsverantwoordelijke mededelen. ARTIKEL 3. DOEL EN AARD VAN DE VERWERKING 3.1 Verwerkingsdoeleinden Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de volgende doeleinden:  Dienstverlening: Het leveren van de overeengekomen Diensten (SaaS applicaties, maatwerk software, AI agents, support en consultancy)  Account Management: Beheer van gebruikersaccounts, authenticatie en autorisatie  Technische Ondersteuning: Het verlenen van support, troubleshooting en incident management  Facturering: Administratieve verwerking in verband met betalingen (beperkt tot noodzakelijke contactgegevens)  AI Services (indien van toepassing): Verstrekken van context aan AI agents voor het uitvoeren van taken, waarbij gegevens tijdelijk worden verwerkt (zie artikel 3.5)  Service Verbetering: Geaggregeerde en geanonimiseerde analyse voor kwaliteitsverbetering (zonder identificeerbare persoonsgegevens)  Beveiliging: Monitoring en detectie van security threats, fraud prevention  Wettelijke Verplichtingen: Nakoming van wettelijke verplichtingen van Verwerker BELANGRIJK: Verwerker mag persoonsgegevens NIET verwerken voor andere doeleinden dan hierboven vermeld, tenzij Verwerkingsverantwoordelijke hier voorafgaand schriftelijk toestemming voor heeft gegeven of dit wettelijk is vereist. 3.2 Aard van de Verwerking De verwerking bestaat uit de volgende verwerkingsactiviteiten:  Verzamelen van persoonsgegevens via applicaties en systemen  Opslaan van persoonsgegevens in databases en systemen  Raadplegen en gebruiken van persoonsgegevens voor dienstverlening  Wijzigen en bijwerken van persoonsgegevens op verzoek  Verstrekken van persoonsgegevens aan geautoriseerde gebruikers (binnen organisatie Verwerkingsverantwoordelijke)  Verstrekken aan subverwerkers (conform artikel 7)  Tijdelijk verwerken door AI systemen (indien van toepassing, zie artikel 3.5)  Archiveren en bewaren conform bewaartermijnen  Verwijderen en vernietigen van persoonsgegevens 3.3 Duur van de Verwerking De verwerking duurt zolang de Hoofdovereenkomst van kracht is, vermeerderd met de periode benodigd voor afwikkeling, archivering conform wettelijke termijnen, en het verlenen van post-contractuele support zoals overeengekomen. Na beëindiging worden persoonsgegevens verwijderd conform artikel 15. 3.4 Categorieën van Betrokkenen De persoonsgegevens hebben betrekking op de volgende categorieën van betrokkenen:  Werknemers, medewerkers en/of vertegenwoordigers van Verwerkingsverantwoordelijke  Klanten en/of relaties van Verwerkingsverantwoordelijke  Leveranciers en/of contactpersonen van leveranciers van Verwerkingsverantwoordelijke  Overige personen waarvan Verwerkingsverantwoordelijke gegevens verwerkt via de Diensten 3.5 AI-Specifieke Verwerking (indien van toepassing) Indien Verwerkingsverantwoordelijke gebruik maakt van AI Agent diensten:  Tijdelijke Verwerking: Persoonsgegevens worden tijdelijk verwerkt door AI systemen om context te bieden voor het uitvoeren van taken (bijv. analyse, genereren van content, beantwoorden van vragen)  Geen Training: Persoonsgegevens worden niet gebruikt voor het trainen of afstemmen van AI-modellen. Wenst Verwerkingsverantwoordelijke dat wel, dan wordt dat afzonderlijk schriftelijk overeengekomen en in Bijlage A bij deze Verwerkersovereenkomst vastgelegd  Bewaartermijn AI Context: Input prompts en queries worden maximaal 7 dagen bewaard voor debugging doeleinden. Generated outputs worden maximaal 30 dagen bewaard tenzij Verwerkingsverantwoordelijke deze zelf opslaat  AI-diensten van derden: Voor AI-functionaliteit maakt Verwerker gebruik van subverwerkers. Welke dat zijn, staat in Bijlage B. Zij verwerken persoonsgegevens uitsluitend voor het leveren van de AI-dienst en niet voor eigen doeleinden (zie artikel 7 en Bijlage B)  Data Isolatie: Scheiding van gegevens per klant, langs de weg die is beschreven in Bijlage C en die per opdracht in Bijlage A is benoemd ARTIKEL 4. CATEGORIEËN VAN PERSOONSGEGEVENS 4.1 Verwerkte Categorieën Afhankelijk van de specifieke Diensten kunnen de volgende categorieën persoonsgegevens worden verwerkt: Categorie Voorbeelden Bijzonder* Identificatiegegevens Naam, geboortedatum, geslacht Nee Contactgegevens E-mailadres, telefoonnummer, adres Nee Account gegevens Gebruikersnaam, wachtwoord (hashed), IP-adres Nee Bedrijfsgegevens Functie, afdeling, werkgever Nee Financiële gegevens Factuurgegevens, BTW nummer (geen betaalkaartgegevens) Nee Gebruiksgegevens Logs, tijdstempels, acties in systeem Nee Communicatie E-mails, support tickets, chat berichten Mogelijk** Content data Data ingevoerd in applicaties/AI agents Mogelijk** * Bijzondere persoonsgegevens zoals bedoeld in artikel 9 AVG (ras, etnische afkomst, politieke opvattingen, religieuze overtuigingen, gezondheid, seksuele gerichtheid, etc.) ** Afhankelijk van wat Verwerkingsverantwoordelijke invoert in applicaties. Verwerkingsverantwoordelijke dient zo min mogelijk bijzondere persoonsgegevens te verwerken via de Diensten. 4.2 Bijzondere Persoonsgegevens Verwerking van bijzondere persoonsgegevens zoals bedoeld in artikel 9 AVG is NIET toegestaan, tenzij:  Verwerkingsverantwoordelijke heeft voorafgaand schriftelijk bevestigd dat verwerking noodzakelijk is  Er een rechtmatige grondslag bestaat conform artikel 9 lid 2 AVG  Extra beveiligingsmaatregelen zijn getroffen zoals overeengekomen tussen Partijen  Dit expliciet is vermeld in Bijlage A (Verwerkingsdetails) Verwerkingsverantwoordelijke verklaart en garandeert dat:  Zij verantwoordelijk is voor het vaststellen of verwerking van bijzondere persoonsgegevens via de Diensten plaatsvindt  Zij een rechtmatige grondslag heeft voor dergelijke verwerking  Zij Verwerker onmiddellijk informeert indien bijzondere persoonsgegevens worden verwerkt 4.3 Persoonsgegevens van Minderjarigen Indien persoonsgegevens van minderjarigen (personen jonger dan 16 jaar) worden verwerkt, is Verwerkingsverantwoordelijke verantwoordelijk voor het verkrijgen van toestemming van ouders/voogd waar wettelijk vereist en het informeren van Verwerker hierover. ARTIKEL 5. VERPLICHTINGEN VAN DE VERWERKER 5.1 Verwerking Conform Instructies Verwerker verwerkt persoonsgegevens uitsluitend: a) Op basis van gedocumenteerde instructies van Verwerkingsverantwoordelijke, zoals vastgelegd in deze Verwerkersovereenkomst en de Hoofdovereenkomst; of b) Indien en voor zover dit wettelijk is vereist; in dat geval stelt Verwerker de Verwerkingsverantwoordelijke vooraf op de hoogte van deze wettelijke verplichting, tenzij dit wettelijk is verboden. 5.2 Kennisgeving Onrechtmatige Instructies Indien Verwerker van mening is dat een instructie van Verwerkingsverantwoordelijke in strijd is met de AVG of andere privacywetgeving, stelt Verwerker de Verwerkingsverantwoordelijke hiervan onmiddellijk op de hoogte. Verwerker heeft in dat geval het recht de uitvoering van de betreffende instructie op te schorten totdat deze is gewijzigd of bevestigd door Verwerkingsverantwoordelijke. 5.3 Vertrouwelijkheid Verwerker garandeert dat alle personen die toegang hebben tot persoonsgegevens:  Zijn onderworpen aan een passende geheimhoudingsplicht (contractueel of wettelijk)  Uitsluitend toegang hebben tot persoonsgegevens voor zover dit noodzakelijk is voor hun werkzaamheden  Adequaat zijn geïnstrueerd over de vertrouwelijke behandeling van persoonsgegevens  Passende training hebben ontvangen over gegevensbescherming en informatiebeveiliging 5.4 Beveiliging (Artikel 32 AVG) Rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard, omvang, context en verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen, treft Verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. Deze maatregelen omvatten in ieder geval:  Encryptie: Encryptie van persoonsgegevens in transit (TLS 1.2+) en at rest (AES-256 of equivalent)  Toegangsbeveiliging: Role-Based Access Control (RBAC), Multi-Factor Authentication (MFA) voor administratieve toegang, sterke wachtwoordeisen  Pseudonimisering: Waar redelijkerwijs mogelijk en technisch haalbaar  Netwerk beveiliging: Firewalls, intrusion detection/prevention, DDoS protection  Logging en Monitoring: Security event logging, anomaly detection, 24/7 monitoring van kritieke systemen  Scheiding van gegevens: Logische isolatie van persoonsgegevens van verschillende klanten  Back-ups: Reguliere back-ups met encryptie en geografisch verspreide opslag  Disaster Recovery: Gedocumenteerd disaster recovery plan met RTO/RPO  Patch Management: Tijdige installatie van security patches en updates  Secure Development: Secure Software Development Lifecycle (SSDLC) voor maatwerk ontwikkeling Een gedetailleerde beschrijving van de beveiligingsmaatregelen is opgenomen in Bijlage C - Technische en Organisatorische Maatregelen. 5.5 Datalekken (Artikel 33-34 AVG) Meldingsplicht Verwerker: Verwerker meldt een datalek aan Verwerkingsverantwoordelijke zonder onredelijke vertraging en in ieder geval binnen 48 uur nadat Verwerker kennis heeft gekregen van het datalek. Deze melding bevat minimaal:  De aard van het datalek, inclusief, indien mogelijk, de categorieën en het geschatte aantal betrokkenen en de categorieën en het geschatte aantal betrokken persoonsgegevens  De naam en contactgegevens van de functionaris voor gegevensbescherming of een ander contactpunt waar meer informatie kan worden verkregen  Een beschrijving van de waarschijnlijke gevolgen van het datalek  Een beschrijving van de door Verwerker genomen of voorgestelde maatregelen om het datalek te verhelpen en, in voorkomend geval, maatregelen om de mogelijke nadelige gevolgen te beperken  Tijdlijn van gebeurtenissen en ontdekking Verantwoordelijkheid Meldingen:  Melding aan Autoriteit Persoonsgegevens: Verwerkingsverantwoordelijke is verantwoordelijk (binnen 72 uur na kennisname)  Melding aan Betrokkenen: Verwerkingsverantwoordelijke is verantwoordelijk (indien hoog risico voor betrokkenen)  Ondersteuning: Verwerker verleent alle redelijke medewerking aan Verwerkingsverantwoordelijke bij deze meldingen 5.6 Data Protection Impact Assessment (DPIA) Verwerker verleent redelijke medewerking aan Verwerkingsverantwoordelijke bij het uitvoeren van een Data Protection Impact Assessment (DPIA) indien de verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Deze medewerking omvat het verstrekken van:  Beschrijving van de verwerkingsactiviteiten en verwerkingsdoeleinden  Beoordeling van de noodzaak en evenredigheid van de verwerkingsactiviteiten  Beoordeling van de risico's voor de rechten en vrijheden van betrokkenen  Beschrijving van de getroffen beveiligingsmaatregelen ARTIKEL 6. RECHTEN VAN BETROKKENEN 6.1 Ondersteuning bij Uitoefening Rechten Verwerker verleent passende medewerking aan Verwerkingsverantwoordelijke bij het nakomen van diens verplichtingen om te voldoen aan verzoeken van betrokkenen tot uitoefening van hun rechten uit hoofde van de AVG, waaronder:  Recht van inzage (art. 15 AVG): Verwerker stelt binnen 10 werkdagen na verzoek de relevante persoonsgegevens ter beschikking aan Verwerkingsverantwoordelijke  Recht van rectificatie (art. 16 AVG): Verwerker wijzigt of vult aan op verzoek van Verwerkingsverantwoordelijke  Recht op verwijdering / 'recht op vergetelheid' (art. 17 AVG): Verwerker verwijdert persoonsgegevens binnen 10 werkdagen na verzoek, tenzij wettelijke bewaartermijnen van toepassing zijn  Recht op beperking van de verwerking (art. 18 AVG): Verwerker implementeert tijdelijke blokkade op verzoek  Recht op dataportabiliteit (art. 20 AVG): Verwerker levert persoonsgegevens in een gestructureerd, gangbaar en machinaal leesbaar formaat (JSON, CSV, XML)  Recht van bezwaar (art. 21 AVG): Verwerker staakt de verwerking op instructie van Verwerkingsverantwoordelijke  Geautomatiseerde besluitvorming (art. 22 AVG): Verwerker faciliteert menselijke tussenkomst en verschaft informatie over de logica van AI-systemen waar technisch mogelijk 6.2 Reactietermijn Verwerker reageert op verzoeken van Verwerkingsverantwoordelijke met betrekking tot rechten van betrokkenen binnen 10 werkdagen na ontvangst van het verzoek. Verwerkingsverantwoordelijke blijft verantwoordelijk voor het voldoen aan de 30-dagen termijn richting de betrokkene zoals vereist door de AVG. 6.3 Kosten Standaard verzoeken met betrekking tot rechten van betrokkenen worden zonder kosten afgehandeld. Indien verzoeken kennelijk ongegrond of buitensporig zijn (qua frequentie of omvang), kan Verwerker redelijke kosten in rekening brengen op basis van de werkelijke administratieve kosten. 6.4 Doorverwijzing Betrokkenen Indien een betrokkene zich rechtstreeks tot Verwerker wendt met een verzoek tot uitoefening van zijn/haar rechten, zal Verwerker de betrokkene doorverwijzen naar Verwerkingsverantwoordelijke en de Verwerkingsverantwoordelijke hierover informeren, tenzij dit wettelijk niet is toegestaan. ARTIKEL 7. INSCHAKELING VAN SUBVERWERKERS 7.1 Algemene Toestemming Verwerkingsverantwoordelijke geeft bij ondertekening van deze Verwerkersovereenkomst algemene toestemming aan Verwerker voor het inschakelen van subverwerkers voor de uitvoering van specifieke verwerkingsactiviteiten ten behoeve van Verwerkingsverantwoordelijke. 7.2 Huidige Subverwerkers Een actuele lijst van subverwerkers is opgenomen in Bijlage B - Lijst van Subverwerkers en is te allen tijde beschikbaar op: id2bytes.com/subprocessors De in Bijlage B genoemde lijst is leidend en volledig. De onderstaande indeling geeft alleen de categorieën weer waarin subverwerkers worden ingezet:  Cloud Infrastructure  AI Model Providers  Payment Processing (alleen facturatiegegevens; creditcardgegevens worden niet bij Verwerker opgeslagen)  E-mail, communicatie en hosting  Monitoring & Analytics: Diverse monitoring en analytics tools (geanonimiseerd waar mogelijk) 7.3 Wijzigingen in Subverwerkers Verwerker informeert Verwerkingsverantwoordelijke minimaal 30 dagen vooraf over voorgenomen toevoegingen of vervanging van subverwerkers via:  E-mail naar het bij Verwerker bekende e-mailadres van Verwerkingsverantwoordelijke  Update van de subverwerkers lijst op id2bytes.com/subprocessors 7.4 Bezwaar tegen Subverwerkers Verwerkingsverantwoordelijke heeft het recht om binnen 30 dagen na kennisgeving bezwaar te maken tegen de inschakeling van een nieuwe subverwerker of vervanging van een bestaande subverwerker op grond van:  Gerechtvaardigde redenen met betrekking tot gegevensbescherming  Onvoldoende waarborgen voor bescherming van persoonsgegevens  Locatie in een land zonder adequaat beschermingsniveau Gevolgen bezwaar: Indien Verwerkingsverantwoordelijke een gerechtvaardigd bezwaar maakt, zullen Partijen te goeder trouw overleggen over een alternatieve oplossing. Indien geen alternatief kan worden gevonden, heeft Verwerkingsverantwoordelijke het recht de Hoofdovereenkomst te beëindigen zonder boete of kosten, mits binnen 30 dagen na kennisgeving van het bezwaar. 7.5 Verplichtingen Subverwerkers Verwerker garandeert dat:  Elke subverwerker onderworpen is aan dezelfde gegevensbeschermingsverplichtingen als die welke in deze Verwerkersovereenkomst zijn vastgelegd  Overeenkomsten met subverwerkers voldoen aan artikel 28 lid 3 en 4 AVG  Adequate contractuele waarborgen zijn getroffen, inclusief Standard Contractual Clauses waar noodzakelijk voor internationale doorgifte  Verwerker volledige aansprakelijkheid jegens Verwerkingsverantwoordelijke blijft dragen voor de prestaties van subverwerkers 7.6 Sub-subverwerkers Subverwerkers mogen alleen verdere subverwerkers (sub-subverwerkers) inschakelen indien zij voldoen aan dezelfde voorwaarden als in dit artikel 7 beschreven en mits Verwerker hierover vooraf is geïnformeerd en Verwerkingsverantwoordelijke kan bezwaar maken volgens dezelfde procedure. ARTIKEL 8. INTERNATIONALE DOORGIFTE VAN PERSOONSGEGEVENS 8.1 Doorgifte Buiten EEA Persoonsgegevens worden in eerste instantie verwerkt binnen de Europese Economische Ruimte (EEA). Echter, voor bepaalde Diensten (met name cloud services en AI services) kan doorgifte plaatsvinden naar Derde Landen, waaronder de Verenigde Staten. 8.2 Waarborgen voor Doorgifte Verwerker zorgt ervoor dat internationale doorgifte van persoonsgegevens uitsluitend plaatsvindt op basis van een van de volgende waarborgen conform Hoofdstuk V AVG:  Adequaatheidsbesluit (art. 45 AVG): Voor landen waarvoor de Europese Commissie heeft vastgesteld dat zij een adequaat beschermingsniveau bieden  Standard Contractual Clauses (art. 46 lid 2 sub c AVG): Gebruik van door de Europese Commissie goedgekeurde modelbepalingen (Uitvoeringsbesluit EU 2021/914)  EU-US Data Privacy Framework (DPF): Voor doorgifte naar gecertificeerde organisaties in de VS (indien van toepassing en gecertificeerd)  Binding Corporate Rules: Indien de subverwerker beschikt over goedgekeurde BCR's 8.3 Standard Contractual Clauses Voor zover doorgifte plaatsvindt naar Derde Landen zonder adequaatheidsbesluit, zijn de Standard Contractual Clauses (SCC's) zoals goedgekeurd door de Europese Commissie (Uitvoeringsbesluit EU 2021/914) van toepassing. De SCC's zijn opgenomen in Bijlage D - Standard Contractual Clauses en vormen een integraal onderdeel van deze Verwerkersovereenkomst. In geval van tegenstrijdigheid tussen deze Verwerkersovereenkomst en de SCC's prevaleren de SCC's. 8.4 Transfer Impact Assessment (TIA) Bij doorgifte naar een Derde Land zonder adequaatheidsbesluit beoordeelt Verwerker vooraf, conform de guidance van de Europese Toezichthouders, of een passend beschermingsniveau is gewaarborgd, rekening houdend met:  De aard van de verwerkte gegevens en het risico voor betrokkenen  De getroffen technische en organisatorische maatregelen (waaronder encryptie)  De contractuele waarborgen (SCC's)  De wetten en praktijken in het Derde Land De status en de reikwijdte van die beoordeling zijn beschreven in Bijlage D bij deze Verwerkersovereenkomst. Is een beoordeling afgerond, dan is een samenvatting daarvan op verzoek beschikbaar voor Verwerkingsverantwoordelijke (onder NDA). 8.5 Documentatie en Transparantie Verwerker documenteert:  Welke persoonsgegevens worden overgedragen  Naar welke landen doorgifte plaatsvindt  Op basis van welke waarborgen (SCC's, adequaatheidsbesluit, DPF)  Welke subverwerkers betrokken zijn bij doorgifte Deze informatie is opgenomen in Bijlage B (Lijst Subverwerkers) en wordt actueel gehouden. ARTIKEL 9. AUDITS EN INSPECTIES 9.1 Auditrechten Verwerkingsverantwoordelijke heeft het recht om, of door een onafhankelijke door haar aangestelde auditor te laten, een audit uit te voeren met betrekking tot de naleving door Verwerker van deze Verwerkersovereenkomst en de AVG. 9.2 Frequentie en Aankondiging  Frequentie: Maximaal één keer per jaar, tenzij er sprake is van een datalek of ernstige niet-naleving  Aankondiging: Minimaal 30 dagen voorafgaand aan de geplande audit  Tijdstip: Tijdens reguliere kantooruren (maandag-vrijdag, 09:00-17:00 CET)  Locatie: Op locatie bij Verwerker of remote (afhankelijk van scope en aard audit) 9.3 Scope Audit De audit kan betrekking hebben op:  Technische en organisatorische beveiligingsmaatregelen  Verwerkingsactiviteiten en procedures  Naleving van instructies Verwerkingsverantwoordelijke  Subverwerkers en hun naleving  Incident management en datalek procedures  Documentatie en logging 9.4 Kosten Audit  Standaard audit: Kosten zijn voor rekening van Verwerkingsverantwoordelijke (inclusief auditor, reistijd, etc.)  Indien non-compliance: Bij constatering van ernstige tekortkomingen aan de zijde van Verwerker, draagt Verwerker de auditkosten  Verstrekken tijd Verwerker: Redelijke medewerking wordt kosteloos verleend. Buitensporige tijdsinvestering (>8 uur) kan tegen consultancy rates in rekening worden gebracht 9.5 Alternatief: Documentatie in plaats van On-site Audit Verwerker is een eenmanszaak en beschikt niet over een ISO 27001-, NEN 7510- of SOC 2-certificering, zoals ook vermeld in de inleiding van Bijlage C. Zij kan een dergelijk certificaat dus ook niet overleggen. In plaats van een on-site audit kan Verwerker, ter keuze van Verwerkingsverantwoordelijke, de volgende documenten verstrekken:  Bijlage C (Technische en Organisatorische Maatregelen) in de op dat moment geldende versie  De certificeringen en auditrapportages van de subverwerkers, waaronder ISO 27001 en SOC 2 van Microsoft Azure. Deze gelden voor het platform en niet voor de toepassingen die Verwerker daarop bouwt en beheert  Schriftelijke beantwoording van een security-vragenlijst van Verwerkingsverantwoordelijke  Rapportage van een penetratietest, voor zover die voor de betreffende dienst is uitgevoerd (onder NDA) 9.6 Geheimhouding Alle informatie verkregen tijdens een audit is strikt vertrouwelijk. Verwerkingsverantwoordelijke en eventuele auditors ondertekenen een geheimhoudingsverklaring (NDA) voorafgaand aan de audit. Informatie mag niet worden gedeeld met derden zonder voorafgaande schriftelijke toestemming van Verwerker, behalve indien wettelijk vereist. 9.7 Toezichthoudende Autoriteiten Bij inspectie door een Toezichthoudende Autoriteit (zoals de Autoriteit Persoonsgegevens) verleent Verwerker volledige medewerking. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte van een dergelijke inspectie, tenzij dit wettelijk verboden is. ARTIKEL 10. BEWAARTERMIJNEN EN VERWIJDERING 10.1 Bewaartermijnen Tijdens Overeenkomst Verwerker bewaart persoonsgegevens niet langer dan noodzakelijk voor de doeleinden waarvoor zij worden verwerkt. De volgende bewaartermijnen zijn van toepassing: Type Gegevens Bewaartermijn Reden Account gegevens Zolang account actief + 30 dagen Dienstverlening + afwikkeling SaaS applicatie data During subscription + 30 dagen Dienstverlening + export mogelijkheid AI prompts/queries 7 dagen Debugging en troubleshooting AI generated outputs 30 dagen Recovery mogelijkheid Support tickets 2 jaar Klantenservice en kwaliteit Logs (security) 90 dagen Security monitoring Logs (access) 30 dagen Compliance en security Facturatie gegevens 7 jaar Wettelijke verplichting (fiscaal) Afwijkende bewaartermijnen: Indien Verwerkingsverantwoordelijke specifieke afwijkende bewaartermijnen wenst, worden deze schriftelijk overeengekomen en gedocumenteerd in Bijlage A. 10.2 Verlenging Bewaartermijn Bewaartermijnen kunnen worden verlengd in de volgende gevallen:  Bij lopend geschil of juridische procedure: opschorting verwijdering tot oplossing  Wettelijke verplichting tot langere bewaring (bijv. fiscale administratie)  Op schriftelijk verzoek van Verwerkingsverantwoordelijke (tegen eventuele meerkosten) 10.3 Automatische Verwijdering Verwerker heeft geautomatiseerde processen ingericht voor het verwijderen van persoonsgegevens na afloop van de bewaartermijn. Deze processen omvatten:  Automatische purge van gegevens na bewaartermijn  Logging van verwijdering voor audit trail  Verwijdering uit alle systemen inclusief back-ups (binnen 90 dagen) NOTA BIJ DE NUMMERING. Deze overeenkomst gaat van artikel 10 naar artikel 15. De nummers 11 tot en met 14 zijn niet in gebruik en er is geen tekst weggelaten. De verplichtingen die men daar zou verwachten zijn opgenomen in artikel 5: beveiliging conform art. 32 AVG in 5.4, melding van datalekken conform art. 33-34 AVG in 5.5, en bijstand bij een DPIA conform art. 35 AVG in 5.6. De nummering blijft ongewijzigd omdat reeds verstrekte exemplaren ernaar verwijzen. ARTIKEL 15. TERUGGAVE EN VERWIJDERING NA BEËINDIGING 15.1 Keuze Verwerkingsverantwoordelijke Na beëindiging van de Hoofdovereenkomst heeft Verwerkingsverantwoordelijke de keuze tussen: a) Teruggave van alle persoonsgegevens aan Verwerkingsverantwoordelijke; of b) Verwijdering van alle persoonsgegevens door Verwerker Verwerkingsverantwoordelijke dient deze keuze uiterlijk 14 dagen voor beëindiging schriftelijk kenbaar te maken aan Verwerker. Bij gebreke van een keuze wordt automatisch overgegaan tot verwijdering conform artikel 15.4. 15.2 Teruggave van Persoonsgegevens Indien gekozen voor teruggave:  Export: Verwerkingsverantwoordelijke heeft tot 30 dagen na beëindiging recht op export van de persoonsgegevens. Waar de applicatie self-service exportfunctionaliteit biedt, kan hij die zelf gebruiken; waar die ontbreekt, levert Verwerker de export op verzoek binnen 10 werkdagen  Formaat: Gestructureerd, gangbaar en machinaal leesbaar formaat (JSON, CSV, XML, Excel)  Completeness: Inclusief metadata en attachments waar technisch mogelijk  Assisted export: Op verzoek en tegen kosten kan Verwerker assisteren bij complexe export (database dumps, custom formats)  Termijn: Export mogelijkheid blijft 30 dagen beschikbaar na einddatum contract 15.3 Verwijdering van Persoonsgegevens Indien gekozen voor verwijdering OF na 30 dagen geen export:  Termijn: Verwijdering binnen 30 dagen na beëindiging (of na afloop export periode)  Methode: Secure deletion conform NIST 800-88 of equivalent standaard  Omvang: Alle persoonsgegevens uit alle systemen, inclusief: - Productie databases - Development/test omgevingen - Logs en archives - Back-ups (binnen 90 dagen)  Uitzondering wettelijke bewaarplicht: Gegevens die Verwerker wettelijk verplicht is te bewaren (bijv. fiscale administratie: 7 jaar) worden geanonimiseerd waar mogelijk 15.4 Certificaat van Verwijdering Op schriftelijk verzoek van Verwerkingsverantwoordelijke verstrekt Verwerker binnen 14 dagen na voltooiing van de verwijdering een Certificaat van Verwijdering waarin wordt bevestigd dat alle persoonsgegevens zijn verwijderd conform deze Verwerkersovereenkomst. 15.5 Bewaren Kopieën Na teruggave of verwijdering bewaart Verwerker GEEN kopieën van persoonsgegevens, behalve:  Voor zover wettelijk vereist (geanonimiseerd waar mogelijk)  In back-ups voor maximaal 90 dagen (waarna ook deze worden verwijderd)  Aggregated en geanonimiseerde data voor statistische doeleinden (zonder identificeerbare persoonsgegevens) ARTIKEL 16. AANSPRAKELIJKHEID 16.1 Aansprakelijkheid Conform Hoofdovereenkomst De aansprakelijkheidsbeperkingen zoals opgenomen in de Algemene Voorwaarden van ID2Bytes (artikel 13) zijn onverminderd van toepassing op deze Verwerkersovereenkomst. 16.2 Aansprakelijkheid Subverwerkers Verwerker is volledig aansprakelijk jegens Verwerkingsverantwoordelijke voor de naleving door subverwerkers van hun verplichtingen uit hoofde van deze Verwerkersovereenkomst, als ware het de eigen naleving van Verwerker. 16.3 Schade Betrokkenen (Art. 82 AVG) Conform artikel 82 AVG:  Betrokkenen hebben recht op vergoeding van materiële of immateriële schade als gevolg van inbreuk op de AVG  Verwerker is aansprakelijk voor schade veroorzaakt door verwerking die niet in overeenstemming is met de AVG of de instructies van Verwerkingsverantwoordelijke  Verwerker is niet aansprakelijk indien aangetoond kan worden dat de gebeurtenis die tot schade heeft geleid op geen enkele wijze aan Verwerker kan worden toegerekend ARTIKEL 17. GEHEIMHOUDING Alle persoonsgegevens en overige vertrouwelijke informatie die Partijen in het kader van deze Verwerkersovereenkomst met elkaar delen, worden vertrouwelijk behandeld. Deze geheimhoudingsplicht blijft van kracht na beëindiging van deze Verwerkersovereenkomst. ARTIKEL 18. DUUR EN BEËINDIGING 18.1 Duur Deze Verwerkersovereenkomst treedt in werking op het moment van ondertekening en blijft van kracht zolang de Hoofdovereenkomst van kracht is en Verwerker persoonsgegevens verwerkt in opdracht van Verwerkingsverantwoordelijke. 18.2 Beëindiging Deze Verwerkersovereenkomst eindigt automatisch bij beëindiging van de Hoofdovereenkomst, met dien verstande dat de verplichtingen uit artikel 15 (teruggave en verwijdering) blijven gelden tot deze zijn nagekomen. 18.3 Survival Na beëindiging blijven de volgende bepalingen van kracht:  Artikel 15: Teruggave en Verwijdering (tot nakoming)  Artikel 16: Aansprakelijkheid (voor claims ontstaan tijdens looptijd)  Artikel 17: Geheimhouding (onbeperkt)  Artikel 20: Geschillenbeslechting (voor geschillen ontstaan tijdens looptijd) ARTIKEL 19. WIJZIGINGEN 19.1 Wijzigingen Verwerkersovereenkomst Wijzigingen van deze Verwerkersovereenkomst zijn slechts geldig indien deze schriftelijk zijn overeengekomen en door beide Partijen zijn ondertekend. 19.2 Wijzigingen Wetgeving Indien wijzigingen in de AVG of andere privacywetgeving aanpassingen van deze Verwerkersovereenkomst noodzakelijk maken, zal Verwerker Verwerkingsverantwoordelijke hiervan in kennis stellen en een voorstel doen voor aanpassing. Partijen zullen te goeder trouw overleggen over de noodzakelijke wijzigingen. ARTIKEL 20. TOEPASSELIJK RECHT EN GESCHILLENBESLECHTING 20.1 Toepasselijk Recht Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. 20.2 Bevoegde Rechter Alle geschillen voortvloeiend uit of verband houdend met deze Verwerkersovereenkomst zullen worden voorgelegd aan de bevoegde rechter in het arrondissement waar Verwerker is gevestigd (Rechtbank Zeeland-West-Brabant, locatie Breda), tenzij dwingendrechtelijke bepalingen anders voorschrijven. 20.3 Overleg Alvorens een geschil aan de rechter voor te leggen, zullen Partijen te goeder trouw trachten het geschil in onderling overleg op te lossen. ONDERTEKENING Aldus overeengekomen en in tweevoud ondertekend: VERWERKINGSVERANTWOORDELIJKE Naam: _______________________________________ Functie: _______________________________________ Datum: _______________________________________ Handtekening: _______________________________________ VERWERKER (ID2BYTES®) Naam: _______________________________________ Functie: _______________________________________ Datum: _______________________________________ Handtekening: _______________________________________ BIJLAGEN De volgende bijlagen vormen een integraal onderdeel van deze Verwerkersovereenkomst. Elke bijlage wordt als afzonderlijk document bij deze Verwerkersovereenkomst geleverd; de opsomming hieronder is een inhoudsopgave en niet de bijlage zelf. Elke bijlage draagt een eigen revisieaanduiding in de vorm "Bijlage X, rev. JJJJ-MM-DD, behorend bij Verwerkersovereenkomst 2026.1". Een bijlage kan worden herzien zonder dat het versienummer van deze Verwerkersovereenkomst verandert, zodat de hoofdstuknummering waarnaar klantbijlagen verwijzen ongewijzigd blijft. Een verwijzing naar een bijlage vermeldt daarom zowel het versienummer van deze Verwerkersovereenkomst als de revisieaanduiding van de bijlage. Verwerker stelt Verwerkingsverantwoordelijke schriftelijk op de hoogte van een herziening van een bijlage die op de overeengekomen dienstverlening van toepassing is. Bijlage A - Verwerkingsdetails Specifieke details van de verwerking voor Verwerkingsverantwoordelijke:  Beschrijving specifieke diensten  Precieze categorieën persoonsgegevens verwerkt  Aantal betrokkenen (indicatie)  Eventuele afwijkende bewaartermijnen  Bijzondere verwerkingen (indien van toepassing) Deze bijlage wordt per klant specifiek ingevuld bij ondertekening. Bijlage B - Lijst van Subverwerkers Actuele lijst van subverwerkers met:  Naam en contactgegevens subverwerker  Locatie (land) waar verwerking plaatsvindt  Aard van de verwerking / dienstverlening  Waarborgen internationale doorgifte (SCC's, DPF, adequaatheidsbesluit) Actuele versie beschikbaar op: id2bytes.com/subprocessors Bijlage C - Technische en Organisatorische Maatregelen Gedetailleerde beschrijving van beveiligingsmaatregelen conform artikel 32 AVG:  Technische maatregelen (encryptie, access control, network security, etc.)  Organisatorische maatregelen (policies, procedures, training)  Fysieke beveiliging (datacenters)  Incident response procedures  Business continuity en disaster recovery Bijlage D - Standard Contractual Clauses (SCC's) Voor zover van toepassing: volledige tekst van Standard Contractual Clauses conform Uitvoeringsbesluit (EU) 2021/914 van de Europese Commissie voor internationale doorgifte van persoonsgegevens naar Derde Landen. De SCC's worden toegevoegd indien internationale doorgifte plaatsvindt naar landen zonder adequaatheidsbesluit. © 2026 ID2Bytes®. Alle rechten voorbehouden. Versie 2026.1 - Ingangsdatum 16 augustus 2026 ---