Verwerkersovereenkomst

Deze Verwerkersovereenkomst is van toepassing op alle diensten van Jan Everts Consultancy B.V. en maakt onlosmakelijk deel uit van de Algemene Voorwaarden en/of de Hoofdovereenkomst gesloten tussen:

1. De Klant/Opdrachtgever, hierna te noemen: ‘Verwerkingsverantwoordelijke’; en
2. Jan Everts Consultancy B.V., statutair gevestigd te Valkenburg aan de Geul, kantoorhoudende aan Hekerweg 6a, 6301 RH Valkenburg aan de Geul, ingeschreven in het Handelsregister van de Kamer van Koophandel onder nummer 42001674, hierna te noemen: ‘Verwerker’;

Gezamenlijk te noemen: ‘Partijen’ en elk afzonderlijk: ‘Partij’.

• Partijen een overeenkomst hebben gesloten inzake de levering van ActiveCampaign-softwarelicenties via het resellerschap van Verwerker en eventuele daarmee samenhangende consultancy-, inrichtings-, support- en adviesdiensten (hierna: de ‘Hoofdovereenkomst’);
• Verwerker in het kader van de uitvoering van de Hoofdovereenkomst persoonsgegevens verwerkt of kan verwerken ten behoeve van Verwerkingsverantwoordelijke;
• Verwerkingsverantwoordelijke wordt aangemerkt als verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 van de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679, hierna: ‘AVG’);
• Verwerker wordt aangemerkt als verwerker in de zin van artikel 4 lid 8 AVG;
• Partijen op grond van artikel 28 lid 3 AVG verplicht zijn hun rechtsverhouding omtrent de verwerking van persoonsgegevens schriftelijk vast te leggen.

1. In deze Verwerkersovereenkomst hebben de gebruikte termen de betekenis die daaraan wordt toegekend in de AVG.
2. Onder ‘Persoonsgegevens’ wordt verstaan alle informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon die Verwerker in het kader van de Hoofdovereenkomst verwerkt.
3. Onder ‘Datalek’ wordt verstaan een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte Persoonsgegevens.

1. Verwerker verwerkt de Persoonsgegevens uitsluitend in opdracht van en conform de schriftelijke instructies van Verwerkingsverantwoordelijke, waaronder begrepen instructies inzake doorgiften, tenzij een op Verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling hem tot verwerking verplicht.
2. De aard en doeleinden van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen zijn vastgelegd in de actuele Specificatie van de Verwerking (janeverts.com/juridisch/verwerkingsspecificatie/). Deze specificatie is onlosmakelijk verbonden met deze Verwerkersovereenkomst.
3. Indien Verwerker van mening is dat een instructie van Verwerkingsverantwoordelijke inbreuk maakt op de AVG of andere gegevensbeschermingsbepalingen, stelt Verwerker Verwerkingsverantwoordelijke daarvan onverwijld in kennis.

1. Verwerker waarborgt dat de personen die gemachtigd zijn om de Persoonsgegevens te verwerken (waaronder personeel en hulppersonen) zich tot geheimhouding hebben verplicht of door een passende wettelijke statutaire verplichting van geheimhouding zijn gebonden.
2. Verwerker houdt, voor zover vereist op grond van artikel 30 lid 2 AVG, een register bij van alle categorieën van verwerkingsactiviteiten die hij ten behoeve van Verwerkingsverantwoordelijke uitvoert.

1. Verwerkingsverantwoordelijke verleent Verwerker hierbij algemene schriftelijke toestemming om ter uitvoering van de Hoofdovereenkomst derden (subverwerkers) in te schakelen.
2. Een actueel overzicht van de door Verwerker ingeschakelde subverwerkers, inclusief de identiteit en locatie van de verwerking, wordt gepubliceerd op janeverts.com/juridisch/subverwerkers/. Verwerkingsverantwoordelijke stemt uitdrukkelijk in met de inzet van deze partijen.
3. Verwerker zal Verwerkingsverantwoordelijke informeren over voorgenomen wijzigingen betreffende de toevoeging of vervanging van subverwerkers, door dit op voornoemde webpagina te publiceren of per e-mail te communiceren. Verwerkingsverantwoordelijke heeft het recht om binnen 14 kalenderdagen na deze kennisgeving schriftelijk en gemotiveerd bezwaar te maken. Indien Verwerkingsverantwoordelijke bezwaar maakt en Partijen geen minnelijke oplossing bereiken, heeft Verwerkingsverantwoordelijke het recht de Hoofdovereenkomst op te zeggen tegen de datum waarop de nieuwe subverwerker in gebruik wordt genomen.
4. Verwerker legt aan elke subverwerker contractueel ten minste dezelfde verplichtingen inzake gegevensbescherming op als vastgelegd in deze Verwerkersovereenkomst. Indien de subverwerker zijn verplichtingen niet nakomt, blijft Verwerker jegens Verwerkingsverantwoordelijke aansprakelijk voor de nakoming van de verplichtingen van die subverwerker, met inachtneming van Artikel 10 van deze overeenkomst.

1. Voor ActiveCampaign-accounts die vanaf 1 januari 2026 zijn aangemaakt, vindt de primaire opslag en hosting van Persoonsgegevens plaats op servers en datacenters binnen de Europese Economische Ruimte (EER). Voor accounts die vóór 1 januari 2026 zijn aangemaakt, vindt de primaire opslag en hosting plaats in de Verenigde Staten, met inachtneming van lid 3 van dit artikel.
2. In het kader van technisch onderhoud, monitoring, platformondersteuning en supportdiensten kunnen geautoriseerde medewerkers van subverwerkers (waaronder ActiveCampaign, LLC) vanaf locaties buiten de EER (waaronder de Verenigde Staten) toegang verkrijgen tot de systemen en gegevens.
3. Voor zover er sprake is van toegang, doorgifte of verwerking vanuit landen buiten de EER die niet beschikken over een adequaatheidsbesluit van de Europese Commissie, geschiedt dit met inachtneming van Hoofdstuk V van de AVG op basis van het EU-VS Data Privacy Framework (DPF), waaronder de betreffende subverwerkers gecertificeerd zijn; en/of door de Europese Commissie vastgestelde Standaardcontractbepalingen (Standard Contractual Clauses – SCC’s).

1. Verwerker treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, conform artikel 32 AVG. Deze maatregelen zijn publiek toegankelijk en nader beschreven op janeverts.com/juridisch/beveiliging/.
2. Partijen erkennen dat de software en serverinfrastructuur primair worden gehost en beheerd door ActiveCampaign, LLC en dat de technische beveiliging van het platform wordt ontleend aan de door ActiveCampaign geïmplementeerde standaarden (waaronder SOC 2 Type II compliance).
3. Verwerkingsverantwoordelijke is zelf verantwoordelijk voor een passende beveiliging van de door hem gebruikte apparatuur, netwerken, inloggegevens en autorisaties binnen het ActiveCampaign-account.

1. Verwerker stelt Verwerkingsverantwoordelijke zonder onredelijke vertraging, en voor zover mogelijk uiterlijk binnen 48 uur nadat Verwerker zelf kennis heeft genomen van een Datalek dat betrekking heeft op de Persoonsgegevens van Verwerkingsverantwoordelijke, op de hoogte.
2. Verwerker verschaft Verwerkingsverantwoordelijke de redelijkerwijs benodigde informatie waarover hij beschikt om Verwerkingsverantwoordelijke in staat te stellen aan haar eventuele wettelijke meldplichten jegens toezichthouders en betrokkenen te voldoen.
3. Het melden van een Datalek aan de Autoriteit Persoonsgegevens en eventuele betrokkenen is te allen tijde de exclusieve verantwoordelijkheid van Verwerkingsverantwoordelijke. Verwerker zal nimmer zelfstandig melding doen, tenzij Verwerker hiertoe wettelijk verplicht is.
4. De meldplicht van Verwerker geldt niet indien het incident uitsluitend te wijten is aan handelen of nalaten van Verwerkingsverantwoordelijke of diens geautoriseerde gebruikers.

1. Voor zover mogelijk en rekening houdend met de aard van de verwerking, biedt Verwerker Verwerkingsverantwoordelijke redelijke bijstand bij het vervullen van diens verplichting om verzoeken van betrokkenen tot uitoefening van hun AVG-rechten (zoals inzage, rectificatie, wissing en dataportabiliteit) af te handelen.
2. Indien een betrokkene zich rechtstreeks tot Verwerker wendt met een verzoek, stuurt Verwerker dit verzoek zo spoedig mogelijk door naar Verwerkingsverantwoordelijke.
3. Verwerker biedt Verwerkingsverantwoordelijke redelijke ondersteuning bij het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) en eventuele voorafgaande raadpleging van de toezichthouder, uitsluitend voor zover deze betrekking hebben op de specifieke dienstverlening van Verwerker. De hieraan verbonden kosten kunnen door Verwerker op basis van nacalculatie tegen de gebruikelijke uurtarieven in rekening worden gebracht.

1. Verwerkingsverantwoordelijke heeft het recht om maximaal eenmaal per twaalf (12) maanden een audit te laten uitvoeren door een onafhankelijke, ter zake deskundige derde die aan geheimhouding is gebonden, om de naleving van deze Verwerkersovereenkomst door Verwerker te controleren.
2. Ten aanzien van de door ActiveCampaign, LLC beheerde systemen en datacenters volstaat Verwerker met het ter beschikking stellen van de door ActiveCampaign beschikbaar gestelde onafhankelijke auditrapportages (zoals actuele SOC 2-rapportages en certificeringen). Fysieke inspecties van datacenters van ActiveCampaign of diens cloudleveranciers zijn uitgesloten.
3. Een audit op de eigen systemen en procedures van Verwerker geschiedt na een schriftelijke aankondiging met een gedetailleerd auditplan, ingediend ten minste dertig (30) werkdagen voorafgaand aan de audit; tijdens de normale kantooruren van Verwerker en op zodanige wijze dat de bedrijfsvoering minimaal wordt verstoord; en onder de voorwaarde dat de auditor geen toegang krijgt tot gegevens van andere klanten van Verwerker.
4. Alle kosten die verband houden met de audit, inclusief de redelijke interne kosten die Verwerker moet maken voor de begeleiding daarvan, komen volledig voor rekening van Verwerkingsverantwoordelijke.

1. De totale aansprakelijkheid van Verwerker wegens een toerekenbare tekortkoming in de nakoming van deze Verwerkersovereenkomst of op welke juridische grondslag dan ook, is uitdrukkelijk beperkt tot de vergoeding van directe schade tot maximaal het bedrag dat Verwerkingsverantwoordelijke op grond van de Hoofdovereenkomst aan Verwerker heeft betaald over de periode van drie (3) maanden voorafgaand aan de schadeveroorzakende gebeurtenis.
2. Aansprakelijkheid van Verwerker voor indirecte schade, gevolgschade, gederfde winst, gemiste besparingen, reputatieschade en schade door bedrijfsstagnatie is in alle gevallen uitgesloten.
3. Verwerker is nimmer aansprakelijk voor schade veroorzaakt door handelen of nalaten van Verwerkingsverantwoordelijke, noch voor administratieve geldboetes die door de toezichthouder (zoals de Autoriteit Persoonsgegevens) aan Verwerkingsverantwoordelijke worden opgelegd.
4. Verwerkingsverantwoordelijke vrijwaart Verwerker tegen alle aanspraken van derden (waaronder betrokkenen en toezichthoudende autoriteiten) die voortvloeien uit het door Verwerkingsverantwoordelijke niet-naleven van de AVG of andere wet- en regelgeving.
5. De in dit artikel opgenomen beperkingen gelden niet indien en voor zover de schade het gevolg is van opzet of bewuste roekeloosheid van de bedrijfsleiding van Verwerker.

1. Deze Verwerkersovereenkomst treedt in werking op het moment dat Verwerkingsverantwoordelijke de Algemene Voorwaarden en/of offerte van Verwerker aanvaardt. Een afzonderlijke (digitale of fysieke) ondertekening van deze Verwerkersovereenkomst is derhalve niet vereist.
2. De Verwerkingsverantwoordelijke is primair zelf verantwoordelijk voor het tijdig exporteren van de gewenste Persoonsgegevens (bijvoorbeeld via CSV-export) uit het ActiveCampaign-account voorafgaand aan het einde van de abonnementsperiode.
3. Na beëindiging van de dienstverlening deactiveert Verwerker het account. Verwerker stelt Verwerkingsverantwoordelijke gedurende een periode van 12 maanden na de einddatum van het abonnement in staat om alsnog Persoonsgegevens te exporteren, mits het abonnement door Verwerkingsverantwoordelijke (tijdelijk) wordt geheractiveerd, met inachtneming van de daarvoor geldende tarieven.
4. Na afloop van voornoemde (heractivatie)periode, of zoveel eerder als dat Verwerkingsverantwoordelijke hier expliciet en schriftelijk om verzoekt, worden de Persoonsgegevens definitief verwijderd conform de opschoon- en back-upprocedures van de subverwerker (ActiveCampaign), uiterlijk 12 maanden na de laatste einddatum van het abonnement, tenzij een wettelijke verplichting opslag voor een langere periode vereist.
5. Verplichtingen die naar hun aard bestemd zijn om na beëindiging voort te duren (waaronder geheimhouding en aansprakelijkheid), blijven na het einde van deze overeenkomst van kracht.

1. Op deze Verwerkersovereenkomst is uitsluitend Nederlands recht van toepassing.
2. Alle geschillen die voortvloeien uit of verband houden met deze Verwerkersovereenkomst worden uitsluitend voorgelegd aan de bevoegde rechter van het arrondissement waarin Verwerker statutair is gevestigd (Rechtbank Limburg).