Verwerkersovereenkomst

Versie 1.016 september 2026

Dit is de verwerkersovereenkomst zoals bedoeld in artikel 28 van de AVG, tussen jou als opdrachtgever en Fourwrd V.O.F., De Nieuwe Erven 3, 5431 NV Cuijk, KvK 42087615 (“Fourwrd”, “wij”). Ze hoort bij elk hosting- en beheerpakket en bij elke opdracht waarbij wij een website of applicatie voor je draaien. Je hoeft niets te ondertekenen: door akkoord te gaan met onze algemene voorwaarden aanvaard je ook deze overeenkomst. Voor je eigen administratie kun je hem opslaan als pdf.

Opslaan als pdf of printen

1. Rollen en toepasselijkheid

Voor de persoonsgegevens van de bezoekers en klanten van jouw website of applicatie ben jij de verwerkingsverantwoordelijke: jij bepaalt welke gegevens worden gevraagd en waarvoor ze worden gebruikt. Wij zijn verwerker: wij draaien de site of applicatie, bewaren de gegevens op onze server en verwerken ze alleen zoals jij opdraagt.

Deze overeenkomst is integraal onderdeel van de overeenkomst tussen ons. Bij tegenstrijdigheid met de algemene voorwaarden gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft. Voor de gegevens die wij van jou als klant bijhouden (contactpersoon, facturen, klantportaal) zijn wij zelf verantwoordelijke; daarover gaat ons privacybeleid.

2. Onderwerp, aard, doel en duur

Wij verwerken persoonsgegevens uitsluitend om de afgesproken dienst te leveren: het hosten van je website of applicatie, het maken en bewaren van back-ups, het bijhouden van bezoekersstatistieken met Plausible, het uitvoeren van onderhoud en updates, het oplossen van storingen, en het tonen van cijfers over je site in het klantportaal.

Wat wij daarvoor met de gegevens doen: opslaan op onze server, tonen aan jou en aan wie jij toegang geeft, back-ups maken, en de gegevens verwijderen wanneer jij dat doet of wanneer de overeenkomst eindigt. Wij gebruiken de gegevens niet voor eigen doeleinden, niet voor marketing en verkopen ze niet.

De overeenkomst loopt zolang je pakket of opdracht loopt. De verplichtingen blijven gelden zolang wij daarna nog gegevens voor je bewaren, tot de verwijdering uit artikel 12 is afgerond.

3. Soorten gegevens en betrokkenen

• Betrokkenen: bezoekers van je website of applicatie, je klanten, en de mensen die jij toegang geeft tot je applicatie of het klantportaal.
• Gegevens die je website of applicatie zelf verzamelt, zoals wat bezoekers invullen in formulieren, accounts, boekingen of bestellingen. Welke dat precies zijn, hangt af van wat we voor je hebben gebouwd; dat staat in de offerte of de documentatie van je project.
• Technische gegevens die bij het hosten horen, zoals het IP-adres van een bezoeker tijdens het verzoek aan de server. Plausible slaat IP-adressen niet op en werkt zonder cookies; de statistieken zijn tellingen, geen profielen.
• Bijzondere categorieën persoonsgegevens (zoals medische gegevens) horen hier niet thuis, tenzij we dat uitdrukkelijk zo hebben afgesproken en daar maatregelen voor hebben getroffen.

4. Instructies

Jouw instructies zijn deze overeenkomst, de algemene voorwaarden, de afspraken in je offerte en wat je zelf doet in je applicatie of het klantportaal. Andere instructies geef je per e-mail.

Wij verwerken de gegevens alleen op basis van die instructies, ook als het gaat om doorgifte buiten de Europese Unie, tenzij een wettelijke verplichting ons tot iets anders dwingt. In dat geval melden wij dat vooraf, tenzij de wet dat verbiedt. Zijn wij van mening dat een instructie in strijd is met de AVG, dan laten wij je dat meteen weten.

5. Geheimhouding

Iedereen bij ons die toegang heeft tot de gegevens is tot geheimhouding verplicht. Toegang wordt alleen verleend voor zover nodig voor het werk en wordt ingetrokken zodra die noodzaak vervalt.

6. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om de gegevens te beschermen tegen verlies en onrechtmatige verwerking, afgestemd op de risico's. Daaronder vallen in elk geval:

• Versleutelde verbindingen (TLS) voor je website of applicatie, het klantportaal en ons werkportaal.
• Hosting op servers binnen de Europese Unie, achter een firewall; van buitenaf zijn alleen de websites bereikbaar, niet de database of andere interne diensten.
• Dagelijkse back-ups: 14 dagen op de server zelf en 30 dagen op een aparte opslag bij dezelfde leverancier, daarna automatisch verwijderd.
• Toegang tot ons werkportaal alleen voor ons eigen team, per onderdeel toegekend; wachtwoorden alleen als scrypt-hash opgeslagen; sleutels van koppelingen versleuteld opgeslagen (AES-256-GCM).
• Een limiet op het aantal inlogpogingen op het klantportaal en het werkportaal.
• Het bijhouden van server en software met beveiligingsupdates.

7. Subverwerkers

Je geeft ons algemene toestemming om subverwerkers in te schakelen. Met elke subverwerker hebben wij een overeenkomst die hem ten minste dezelfde verplichtingen oplegt als deze overeenkomst ons oplegt. Komt een subverwerker die verplichtingen niet na, dan blijven wij tegenover jou verantwoordelijk voor de nakoming, binnen de grenzen van artikel 15. Dit is de actuele lijst:

Google Search Console en Google PageSpeed Insights (klantportaal) ontvangen alleen de URL van je website en leveren cijfers over de site; daarbij verwerken zij geen persoonsgegevens van jouw bezoekers namens ons. Heeft je applicatie zelf een koppeling met een externe dienst (bijvoorbeeld een betaalprovider), dan sluit jij daarmee je eigen overeenkomst; dat staat dan in je offerte.

8. Wijziging van subverwerkers

Voegen wij een subverwerker toe of vervangen wij er een, dan informeren wij je vooraf per e-mail. Heb je daartegen een gemotiveerd bezwaar, laat het dan binnen veertien dagen weten. Komen wij er samen niet uit, dan mag je je pakket opzeggen tegen de datum waarop de wijziging ingaat.

9. Doorgifte buiten de EU

Wij verwerken en bewaren de gegevens van jouw bezoekers en klanten binnen de Europese Unie. Van structurele doorgifte naar landen daarbuiten is geen sprake. Zou dat in de toekomst nodig zijn, dan doen wij dat alleen met een geldig doorgiftemechanisme onder de AVG en informeren wij je vooraf.

10. Datalekken

Ontdekken wij een inbreuk in verband met persoonsgegevens die jouw gegevens raakt, dan informeren wij je zonder onredelijke vertraging en in elk geval binnen 48 uur nadat wij de inbreuk hebben vastgesteld. Wij geven je daarbij de informatie die je nodig hebt om je eigen meldplicht na te komen: wat er is gebeurd, welke gegevens en betrokkenen het betreft, de waarschijnlijke gevolgen en de maatregelen die wij hebben genomen of voorstellen. Wat nog niet bekend is, vullen wij aan zodra wij het weten.

Melden bij de Autoriteit Persoonsgegevens en het informeren van betrokkenen doe jij, als verwerkingsverantwoordelijke. Wij ondersteunen je daarbij.

11. Rechten van betrokkenen

Krijg je een verzoek van een bezoeker of klant om inzage, correctie, verwijdering of overdracht, dan helpen wij je binnen een redelijke termijn met wat daarvoor aan onze kant nodig is, zodat je binnen de wettelijke termijn kunt antwoorden. Komt zo'n verzoek rechtstreeks bij ons binnen, dan handelen wij het niet zelf af maar verwijzen wij de betrokkene naar jou, en laten wij jou weten dat het verzoek is binnengekomen.

12. Teruggave en verwijdering van gegevens

Na het einde van de overeenkomst kun je dertig dagen lang een volledige kopie van je gegevens en bestanden opvragen. Die termijn geeft je de tijd om over te stappen of je administratie veilig te stellen.

Na die dertig dagen verwijderen wij de gegevens van onze server. Uit de back-ups verdwijnen ze zodra die volgens het schema uit artikel 6 verlopen; tot dat moment blijven ze daar staan en worden ze niet meer gebruikt. Gegevens die wij wettelijk moeten bewaren, zoals onze facturen aan jou, vallen buiten deze verwijdering.

13. Hulp bij je eigen verplichtingen

Rekening houdend met de aard van de verwerking en de informatie waarover wij beschikken, helpen wij je bij het nakomen van je verplichtingen rond beveiliging, datalekken, een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens. Gaat die hulp verder dan wat redelijkerwijs bij de dienst hoort, dan spreken wij vooraf met je af of en welke kosten wij daarvoor rekenen.

14. Audits en informatieplicht

Op verzoek geven wij je de informatie die je nodig hebt om aan te tonen dat wij onze verplichtingen nakomen. Wil je een audit laten uitvoeren, dan werken wij daaraan mee, mits deze vooraf wordt aangekondigd, ten hoogste eenmaal per jaar plaatsvindt, wordt uitgevoerd door een onafhankelijke en tot geheimhouding gehouden auditor, en de bedrijfsvoering niet onnodig verstoort. De kosten zijn voor jouw rekening, tenzij uit de audit een wezenlijke tekortkoming van ons blijkt.

15. Jouw verantwoordelijkheden en aansprakelijkheid

• Je hebt een geldige grondslag voor het verwerken van de gegevens van je bezoekers en klanten.
• Je informeert je bezoekers en klanten over de verwerking, bijvoorbeeld in je eigen privacyverklaring.
• Je instructies aan ons zijn in overeenstemming met de AVG.
• Je laat ons geen bijzondere categorieën persoonsgegevens verwerken zonder dat we dat vooraf hebben afgesproken.

De aansprakelijkheidsbepalingen uit de algemene voorwaarden gelden ook voor deze verwerkersovereenkomst, voor zover dwingend recht zich daar niet tegen verzet. Laat je ons gegevens verwerken waarvoor je geen geldige grondslag hebt, dan vrijwaar je ons voor de gevolgen daarvan.

16. Wijzigingen en akkoord

Wij kunnen deze overeenkomst aanpassen wanneer wet- of regelgeving daarom vraagt of wanneer de dienst verandert. Wezenlijke wijzigingen kondigen wij ten minste dertig dagen vooraf aan. Op deze overeenkomst is Nederlands recht van toepassing, net als op de algemene voorwaarden.

Vragen over deze overeenkomst? Mail contact@fourwrd.nl.

Contact

Fourwrd V.O.F.
De Nieuwe Erven 3, 5431 NV Cuijk
KvK 42087615 · Btw NL869652308B01
contact@fourwrd.nl · +31 85 369 7519 (ma–vr 10:00–17:00 uur)