Verwerkersovereenkomst

CONCEPT: deze tekst moet nog door een jurist worden nagekeken.

Versie: concept van 3 november 2026.

Deze overeenkomst hoort bij de algemene voorwaarden van Keursnel. Ze regelt hoe Keursnel persoonsgegevens verwerkt voor een keuringsbureau. Zo voldoen het bureau en Keursnel aan artikel 28 van de Algemene verordening gegevensbescherming (AVG).

1. Partijen en rollen

• Het bureau: de organisatie die Keursnel gebruikt. Het bureau is verwerkingsverantwoordelijke. Het bepaalt waarom en hoe gegevens van klanten en woningen worden verwerkt.
• Keursnel: [BEDRIJFSNAAM], [ADRES], KvK-nummer [KVK-NUMMER]. Keursnel is verwerker. Keursnel verwerkt de gegevens alleen in opdracht van het bureau.

Voor de gegevens van gebruikers en van het bureau zelf is Keursnel zelf verantwoordelijk. Denk aan accounts, de organisatie en facturen. Dat staat in de privacyverklaring.

2. Waarvoor en hoe lang?

• Keursnel verwerkt gegevens om de app te leveren: keuringen vastleggen, foto's bewaren, rapporten maken en rapporten delen.
• Deze overeenkomst loopt zolang het bureau Keursnel gebruikt. Daarna geldt artikel 10.

3. Welke gegevens, en van wie?

Betrokkenen	Gegevens
Klanten van het bureau, zoals aanvragers, kopers en verkopers	naam, adres, e-mailadres, telefoon
Eigenaren en bewoners van de woning	adres, gegevens over de woning, foto's van de woning
Medewerkers van het bureau	naam, e-mailadres, rol, handtekening, en wat ze in de app doen (logboek)

Keursnel is niet bedoeld voor bijzondere persoonsgegevens, zoals gegevens over gezondheid. Het bureau zet die niet in een keuring. Let daarbij ook op foto's: zorg dat er geen personen of persoonlijke papieren op staan die niet nodig zijn.

4. Wat Keursnel doet

Keursnel:

• verwerkt de gegevens alleen op instructie van het bureau. Het gebruik van de app geldt als die instructie;
• gebruikt de gegevens niet voor eigen doelen, en verkoopt ze niet;
• zorgt dat iedereen die bij de gegevens kan, geheimhouding heeft afgesproken;
• helpt het bureau bij verzoeken van betrokkenen, zoals inzage of verwijdering;
• helpt het bureau bij een gegevensbeschermingseffectbeoordeling (DPIA), als die nodig is;
• geeft het bureau de informatie die nodig is om te laten zien dat deze afspraken worden nagekomen: [AFSPRAKEN OVER AUDITS].

Keursnel gebruikt geen AI, en maakt geen profielen van personen.

5. Beveiliging

Keursnel neemt passende technische en organisatorische maatregelen (artikel 32 AVG). Nu zijn dat onder meer:

• aanmelden met een bevestigd e-mailadres, teamleden alleen met een uitnodiging, en een wachtwoord van minstens acht tekens;
• een sessie in cookies die alleen de server leest;
• rijbeveiliging (RLS) op elke tabel; schrijven alleen via functies die nakijken wie er vraagt en wat die mag;
• drie rollen (hoofdadmin, beheerder en teamlid), met rechten die op de server staan;
• werk op het toestel versleuteld met AES-GCM, met een sleutel per gebruiker;
• werk op het toestel weg na verzenden, bij uitloggen en uiterlijk na 14 dagen;
• bestanden in een privé-opslag, met hoogstens 50 MB per bestand;
• een SHA-256-controlegetal per rapportversie en per foto;
• gedeelde rapporten met een geheime link die het bureau kan intrekken, zonder script en niet vindbaar in zoekmachines;
• geen trackers in de app, afgedwongen met een Content-Security-Policy.

Dit is nog niet geregeld: een reservekopie die het bureau zelf maakt, is niet versleuteld. Het bureau bewaart dat bestand zelf op een veilige plek.

Certificaten voor informatiebeveiliging: [CERTIFICATEN INFORMATIEBEVEILIGING].

Keursnel mag de maatregelen aanpassen, zolang de beveiliging niet minder wordt.

6. Subverwerkers

• Het bureau geeft toestemming voor de subverwerkers op de pagina Subverwerkers.
• Keursnel meldt een nieuwe subverwerker [TERMIJN VOORAF] vooraf. Het bureau kan binnen die termijn bezwaar maken: [GEVOLG VAN BEZWAAR].
• Keursnel legt elke subverwerker dezelfde plichten op als in deze overeenkomst. Keursnel blijft verantwoordelijk voor het werk van de subverwerkers.

7. Gegevens buiten de EER

De gegevens staan in [REGIO]. Gaan gegevens naar een land buiten de Europese Economische Ruimte? Dan alleen met een passende waarborg uit hoofdstuk V van de AVG, zoals een adequaatheidsbesluit of standaardcontractbepalingen: [WAARBORGEN DOORGIFTE].

8. Datalek

• Ontdekt Keursnel een datalek? Dan meldt Keursnel dat zonder onnodige vertraging aan het bureau, en uiterlijk binnen [AANTAL] uur.
• Keursnel geeft daarbij wat het bureau nodig heeft voor een melding. Dat is: wat er gebeurde, welke gegevens en hoeveel betrokkenen, de gevolgen en de maatregelen.
• Het bureau beslist over een melding bij de Autoriteit Persoonsgegevens en aan de betrokkenen. Het bureau meldt een lek zo mogelijk binnen 72 uur nadat het ervan weet (artikel 33 AVG).
• Keursnel houdt een overzicht bij van datalekken en de maatregelen.

9. Verzoeken van betrokkenen

Krijgt Keursnel een verzoek van een betrokkene over een keuring? Dan stuurt Keursnel dat door naar het bureau. Het bureau beantwoordt het verzoek. In de app kan het bureau gegevens inzien, verbeteren, exporteren als reservekopie en verwijderen.

10. Einde van de overeenkomst

• Het bureau kan zijn gegevens exporteren als reservekopie, per keuring of van de hele organisatie. Een kopie van de hele organisatie maakt alleen de hoofdadmin.
• Na het einde verwijdert Keursnel de gegevens binnen [TERMIJN], tenzij de wet bewaren verplicht.
• Reservekopieën van de database gaan weg volgens [BEWAARTERMIJN BACKUPS].

11. Aansprakelijkheid

[AFSPRAKEN OVER AANSPRAKELIJKHEID]

12. Recht

Op deze overeenkomst is Nederlands recht van toepassing. Een geschil leggen we voor aan [BEVOEGDE RECHTER].

Ondertekening

	Het bureau	Keursnel
Naam		[BEDRIJFSNAAM]
Datum
Handtekening