Jouw gegevens, zorgvuldig vastgelegd.

Deze verwerkersovereenkomst geldt als Merkbaar™ persoonsgegevens verwerkt namens een opdrachtgever, bijvoorbeeld bij hosting, websitebeheer of het bouwen van een website met formulieren. Ze hoort bij de opdracht en bij de algemene voorwaarden van Merkbaar™. Op de punten waar deze overeenkomst iets anders regelt, gaat deze overeenkomst voor.

Partijen
De opdrachtgever, hierna: de verwerkingsverantwoordelijke.
Merkbaar Creatieve Reclamemakers, gevestigd in Apeldoorn, KVK 08139248, hierna: Merkbaar™ of de verwerker.

Artikel 1. Begrippen

1.1 Begrippen als persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG).
1.2 Subverwerker: een derde die Merkbaar™ inschakelt en die daarbij persoonsgegevens van de verwerkingsverantwoordelijke verwerkt, zoals een hostingpartij.
1.3 Opdracht: de overeenkomst tussen partijen waarvoor Merkbaar™ persoonsgegevens verwerkt.

Artikel 2. Onderwerp en instructies

2.1 De verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking. Bijlage A beschrijft welke gegevens Merkbaar™ verwerkt, van wie, waarvoor en hoe lang.
2.2 Merkbaar™ verwerkt de persoonsgegevens alleen voor de uitvoering van de opdracht en volgens schriftelijke instructies van de verwerkingsverantwoordelijke. Vindt Merkbaar™ een instructie in strijd met de AVG, dan meldt Merkbaar™ dat direct.
2.3 De verwerkingsverantwoordelijke staat ervoor in dat de verwerking rechtmatig is en geen inbreuk maakt op rechten van derden. Hij meldt wijzigingen in de verwerking binnen 10 werkdagen.
2.4 Heeft Merkbaar™ alleen toegang tot persoonsgegevens, bijvoorbeeld bij onderhoud van een website, zonder ze zelf te verwerken, dan gaat Merkbaar™ er net zo zorgvuldig mee om.

Artikel 3. Verplichtingen van Merkbaar™

3.1 Merkbaar™ bewaart de persoonsgegevens binnen de Europese Economische Ruimte. Voor de registratie van sommige domeinnamen kan een registry gegevens buiten de EER nodig hebben. Merkbaar™ geeft dan alleen door wat die registry vereist.
3.2 Iedereen die namens Merkbaar™ bij de verwerking betrokken is, heeft een geheimhoudingsplicht.
3.3 Merkbaar™ houdt een register bij van de verwerkingen die het namens de verwerkingsverantwoordelijke uitvoert.
3.4 Merkbaar™ helpt de verwerkingsverantwoordelijke, voor zover redelijk, bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij vragen van de Autoriteit Persoonsgegevens.
3.5 Merkbaar™ houdt alle informatie van de verwerkingsverantwoordelijke en zijn klanten geheim, ook na afloop van deze overeenkomst. Dat geldt niet als informatie al openbaar is, of als de wet of een rechter Merkbaar™ verplicht om haar te verstrekken.

Artikel 4. Subverwerkers

4.1 De verwerkingsverantwoordelijke geeft Merkbaar™ algemene toestemming om subverwerkers in te schakelen. De subverwerkers die Merkbaar™ nu gebruikt, staan in bijlage A.
4.2 Wil Merkbaar™ een subverwerker toevoegen of vervangen, dan meldt Merkbaar™ dat minstens 14 dagen vooraf. De verwerkingsverantwoordelijke kan binnen die termijn met redenen bezwaar maken. Komen partijen er samen niet uit, dan mag hij de betreffende dienst kosteloos opzeggen.
4.3 Merkbaar™ legt subverwerkers dezelfde verplichtingen op als in deze overeenkomst staan, en blijft aanspreekpunt voor de verwerkingsverantwoordelijke.
4.4 Voor domeinnaamregistraties gelden de voorwaarden van de registrar en de registry. Afhankelijk van de extensie kunnen gegevens van de houder openbaar worden, bijvoorbeeld in de WHOIS.

Artikel 5. Beveiliging en datalekken

5.1 Merkbaar™ neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking. Bijlage B beschrijft die maatregelen. Een absolute garantie tegen inbreuken van buitenaf is niet mogelijk.
5.2 De verwerkingsverantwoordelijke beveiligt zijn eigen systemen, accounts en inloggegevens.
5.3 Vraagt de verwerkingsverantwoordelijke extra maatregelen, zoals aanvullende versleuteling, dan werkt Merkbaar™ daaraan mee. Extra kosten daarvan zijn voor de verwerkingsverantwoordelijke.
5.4 Ontdekt Merkbaar™ een datalek, dan meldt Merkbaar™ dat zonder onnodige vertraging en uiterlijk binnen 48 uur aan de verwerkingsverantwoordelijke. Merkbaar™ vermeldt wat er is gebeurd, de mogelijke gevolgen en de genomen maatregelen.
5.5 Een melding aan de Autoriteit Persoonsgegevens of aan betrokkenen doet de verwerkingsverantwoordelijke. Merkbaar™ levert daarvoor de informatie die het heeft.

Artikel 6. Betrokkenen, controle en verstrekking

6.1 Merkbaar™ helpt de verwerkingsverantwoordelijke, voor zover redelijk, bij verzoeken van betrokkenen, zoals inzage, correctie of verwijdering. Komt zo'n verzoek bij Merkbaar™ binnen, dan stuurt Merkbaar™ het door.
6.2 Merkbaar™ geeft de verwerkingsverantwoordelijke de informatie die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd. De verwerkingsverantwoordelijke mag dat eenmaal per jaar laten controleren door een onafhankelijke deskundige met geheimhoudingsplicht, na overleg over het moment. De kosten daarvan zijn voor de verwerkingsverantwoordelijke.
6.3 Merkbaar™ verstrekt persoonsgegevens alleen aan anderen als dat nodig is voor de opdracht of als de wet dat verplicht. Bij een wettelijke verplichting controleert Merkbaar™ eerst het verzoek, informeert Merkbaar™ de verwerkingsverantwoordelijke vooraf (als dat mag) en verstrekt Merkbaar™ niet meer dan nodig.

Artikel 7. Aansprakelijkheid

7.1 Voor de aansprakelijkheid van Merkbaar™ onder deze overeenkomst geldt artikel 10 van de algemene voorwaarden van Merkbaar™. De totale aansprakelijkheid is dus nooit hoger dan het factuurbedrag van de opdracht, met een maximum van € 1.000. Bij opzet of bewuste roekeloosheid gelden die beperkingen niet.
7.2 Merkbaar™ is niet aansprakelijk voor schade of boetes die het gevolg zijn van instructies van de verwerkingsverantwoordelijke, of van het niet nakomen van zijn eigen verplichtingen onder de AVG.
7.3 De verwerkingsverantwoordelijke vrijwaart Merkbaar™ voor aanspraken van betrokkenen en andere derden, tenzij die het directe gevolg zijn van een tekortkoming van Merkbaar™ onder deze overeenkomst.

Artikel 8. Duur, einde en slotbepalingen

8.1 Deze overeenkomst loopt zolang Merkbaar™ persoonsgegevens verwerkt voor de opdracht. Ze eindigt automatisch als de opdracht eindigt.
8.2 Na het einde levert Merkbaar™ de persoonsgegevens terug aan de verwerkingsverantwoordelijke en verwijdert Merkbaar™ ze binnen 30 dagen, tenzij de wet bewaren verplicht. Op verzoek verwijdert Merkbaar™ ze direct.
8.3 Geheimhouding, aansprakelijkheid en vrijwaring blijven ook na het einde gelden.
8.4 Wijzigingen gelden alleen als beide partijen ze schriftelijk hebben vastgelegd. Merkbaar™ mag bijlage A en B bijwerken volgens artikel 4.2.
8.5 Op deze overeenkomst is Nederlands recht van toepassing. Bij een geschil zoeken partijen eerst samen naar een oplossing. Lukt dat niet, dan beslist de bevoegde rechter van de rechtbank Gelderland.

Bijlage A. Verwerkingen en subverwerkers

Doel: hosting, onderhoud, beveiliging en back-up van de website van de verwerkingsverantwoordelijke, en de bouw en het testen ervan.

Betrokkenen en gegevens

• Websitebezoekers: IP-adres, browser- en apparaatgegevens, serverlogs.
• Mensen die een formulier invullen: naam, e-mailadres, telefoonnummer en wat ze in het formulier schrijven.
• Gebruikers van de website (accounts): naam, e-mailadres, gebruikersnaam en versleuteld wachtwoord.
• Medewerkers van de verwerkingsverantwoordelijke: naam, e-mailadres, inloggegevens.

Bijzondere persoonsgegevens, zoals gezondheidsgegevens, verwerkt Merkbaar™ alleen als dat apart is afgesproken.

Bewaartermijn: zolang de opdracht loopt, plus 30 dagen. Back-ups worden na afloop van hun bewaartermijn automatisch overschreven.

Subverwerkers: TransIP (hosting, servers en back-ups), Nederland. Staat de website bij een hostingprovider van de verwerkingsverantwoordelijke zelf, dan is die provider geen subverwerker van Merkbaar™. De verwerkingsverantwoordelijke regelt de afspraken met die provider dan zelf.

Bijlage B. Beveiligingsmaatregelen

• Alle websites en beheeromgevingen draaien via een versleutelde verbinding (SSL/TLS).
• Software, thema's en plugins worden regelmatig bijgewerkt via een centraal beheersysteem.
• Er worden automatisch back-ups gemaakt, opgeslagen bij de hostingpartij binnen Nederland.
• Beheeraccounts gebruiken sterke, unieke wachtwoorden uit een wachtwoordmanager en waar mogelijk tweestapsverificatie.
• Toegang tot persoonsgegevens is beperkt tot wat voor de opdracht nodig is.
• Wijzigingen worden waar mogelijk eerst op een testomgeving getest.
• Apparaten waarmee Merkbaar™ werkt, zijn versleuteld en beveiligd met een wachtwoord of biometrie.

Versie oktober 2026.