Verwerkers­overeen­komst (DPA)

• Partijen
• 1 Onderwerp, duur, aard en doel
• 2 Categorieën betrokkenen en persoonsgegevens
• 3 Instructies en verplichtingen van de verwerker
• 4 Beveiliging (art. 32 AVG)
• 5 Subverwerkers
• 6 Internationale doorgifte
• 7 Bijstand aan Klant
• 8 Datalekken
• 9 Einde van de verwerking
• 10 Audit
• 11 Aansprakelijkheid
• 12 Toepasselijk recht en geschillen
• Bijlage A: Subverwerkerslijst

Verwerkingsverantwoordelijke ("Klant"): zoals vastgelegd in de Overeenkomst tussen Plekk en Klant.
Verwerker ("Plekk"): Plekk, eenmanszaak van Luuk van der Poel, ingeschreven in het Handelsregister onder nummer 42050956 (vestigingsnummer 000065542088), gevestigd aan de Hoofdmanweg 11, 4871 LD Etten-Leur, bereikbaar via luuk@plekk.agency.

Overwegende dat Plekk en Klant een Overeenkomst hebben gesloten waarbij Plekk voor Klant een website bouwt en, afhankelijk van de Overeenkomst, host (Beheer door Plekk), het dashboard levert of Groei uitvoert; dat Plekk daarbij persoonsgegevens verwerkt waarvoor Klant verwerkingsverantwoordelijke is; en dat zij daarover afspraken maken zoals artikel 28 AVG vraagt;

komen overeen:

1. Plekk verwerkt persoonsgegevens alleen voor Klant en volgens de schriftelijke instructies van Klant, tenzij een wettelijke plicht Plekk tot iets anders dwingt; Plekk meldt dat dan vooraf, voor zover de wet dat toestaat.
2. Aard: opslaan, raadplegen, doorsturen, wijzigen en verwijderen, voor het bouwen, hosten en onderhouden van de website, het dashboard, de support en (bij Groei) het opzetten en bijhouden van campagnes.
3. Doel: de uitvoering van de Overeenkomst.
4. Duur: zolang de Overeenkomst loopt, plus de tijd die nodig is om gegevens te verwijderen of terug te geven (art. 9).
5. Deze overeenkomst geldt niet voor gegevens waarvoor Plekk zelf verwerkingsverantwoordelijke is, zoals de contactgegevens van Klant, de facturen en de inlog op het dashboard; daarvoor geldt de privacyverklaring.

1. Betrokkenen: bezoekers van de website van Klant die een formulier invullen of iets boeken; klanten en contacten van Klant in een klantenbestand dat Klant voor Groei aanlevert; mensen die op de website van Klant staan (zoals medewerkers en klanten met een citaat of foto).
2. Persoonsgegevens: naam, e-mailadres, telefoonnummer, adres, de inhoud van een bericht of boeking, foto's, en wat Klant verder aanlevert of op zijn website zet.
3. Plekk verwerkt geen bijzondere of strafrechtelijke persoonsgegevens, tenzij Klant en Plekk dat schriftelijk afspreken, met extra waarborgen.

1. De Overeenkomst en deze verwerkersovereenkomst zijn de instructie van Klant. Een nieuwe instructie geeft Klant per e-mail.
2. Plekk meldt het direct als een instructie volgens hem in strijd is met de AVG of andere privacywetgeving.
3. Plekk verplicht iedereen die onder zijn verantwoordelijkheid persoonsgegevens verwerkt tot geheimhouding.

1. Plekk neemt passende technische en organisatorische maatregelen, ten minste: versleutelde verbindingen (HTTPS/TLS), versleuteling van opgeslagen gegevens bij de leveranciers, tweestapsverificatie op de beheeraccounts, toegang alleen voor wie het nodig heeft, afgeschermde databasetabellen (row level security), een limiet op het aantal verzoeken per IP-adres, en het nalopen van logs.
2. Plekk geeft Klant op verzoek meer informatie over de maatregelen, voor zover dat de beveiliging niet schaadt.

1. Klant geeft Plekk algemene toestemming om de subverwerkers uit Bijlage A in te schakelen. Diensten die alleen de website van één Klant gebruikt (zoals een formulierdienst, een agenda of een betaalprovider) staan in het Voorstel aan die Klant, met op wiens naam ze komen; staan ze op naam van Plekk, dan zijn ze subverwerker voor die Klant.
2. Plekk meldt een nieuwe of andere subverwerker ten minste 14 dagen vooraf per e-mail. Klant kan binnen die termijn gemotiveerd bezwaar maken; is er geen alternatief, dan mogen Plekk en Klant de Overeenkomst beëindigen.
3. Geeft een subverwerker Plekk zelf een kortere termijn voor een wijziging in zijn keten, dan stuurt Plekk die melding binnen 2 werkdagen door; de bezwaartermijn is dan de termijn die Plekk kreeg, min 2 werkdagen. Plekk zegt er duidelijk bij dat die kortere termijn geldt.
4. Plekk legt elke subverwerker minstens dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover Klant aansprakelijk voor hun werk (art. 28 lid 4 AVG).

1. Gaan persoonsgegevens naar een land buiten de Europese Economische Ruimte, dan gebeurt dat op basis van een adequaatheidsbesluit (zoals het EU-US Data Privacy Framework voor een gecertificeerde partij) of de standaardcontractbepalingen van de Europese Commissie (Besluit (EU) 2021/914). Klant kan de bepalingen op verzoek inzien.

1. Plekk helpt Klant, voor zover redelijk en passend bij de verwerking, bij:
   • de verplichtingen van artikel 32 tot en met 36 AVG;
   • verzoeken van betrokkenen (artikel 15 tot en met 22 AVG);
   • een beoordeling van de gevolgen voor de privacy (DPIA, art. 35 AVG).
2. Voor werk dat verder gaat dan gewone support kan Plekk kosten rekenen, na afspraak vooraf per e-mail.

1. Plekk meldt Klant elke inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot persoonsgegevens, zonder onredelijke vertraging en uiterlijk 48 uur nadat Plekk ervan weet. De melding noemt ten minste de aard van de inbreuk, het (vermoedelijke) aantal betrokkenen, de soorten gegevens, de gevolgen en de maatregelen.
2. Plekk helpt Klant bij een melding aan de Autoriteit Persoonsgegevens (art. 33 AVG) en, waar nodig, aan de betrokkenen (art. 34 AVG).

1. Eindigt de Overeenkomst, dan verwijdert Plekk binnen 60 dagen na de laatste dag van levering of support alle persoonsgegevens, of geeft ze terug, naar keuze van Klant, tenzij een wettelijke bewaarplicht geldt. Bij een overdracht van de website gaan de gegevens in de repository mee naar Klant.
2. Plekk bevestigt de verwijdering per e-mail.

1. Klant mag hooguit één keer per kalenderjaar, na een schriftelijk verzoek van ten minste 30 dagen vooraf, een onafhankelijke audit laten doen naar de naleving van deze overeenkomst. De kosten zijn voor Klant, tenzij de audit wezenlijke tekortkomingen bij Plekk vindt.
2. Plekk mag in plaats daarvan recente certificeringen of rapporten van externe auditors (zoals die van zijn leveranciers) beschikbaar stellen.

1. De aansprakelijkheid uit de Overeenkomst en de algemene voorwaarden geldt ook hier, onverminderd artikel 82 AVG.

1. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen gaan naar de bevoegde rechter in Breda, onverminderd artikel 79 AVG (de keuze van een betrokkene).

Stand 11 oktober 2026. Welke van deze partijen voor jouw site meedoen, hangt af van de Overeenkomst: bij hosting op eigen naam staan GitHub en Vercel op jouw naam en zijn ze jouw eigen leveranciers, niet de mijne.

Ondertekening. Deze verwerkersovereenkomst geldt als aanvaard zodra Klant de Overeenkomst met Plekk aangaat en de algemene voorwaarden aanvaardt. Op verzoek stuurt Plekk een ondertekende versie, digitaal of op papier.