Verwerkersovereenkomst
Ingangsdatum: 22 juli 2026
1. Partijen
Verwerker: Malkovich MB (hierna – "Verwerker"), exploitant van het Awarda-platform op www.awarda.eu.
Verwerkingsverantwoordelijke: De rechtspersoon of natuurlijke persoon die het Awarda-platform gebruikt (hierna – "Verwerkingsverantwoordelijke" of "Klant"), wiens gegevens worden verwerkt bij het leveren van de Dienst.
Deze overeenkomst wordt gesloten op grond van artikel 28, lid 3, van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 (GDPR).
2. Onderwerp en doel van de verwerking
De Verwerker verwerkt persoonsgegevens verstrekt door de Verwerkingsverantwoordelijke alleen voor zover noodzakelijk voor de volgende doeleinden:
- Levering van de Dienst (Awarda) op grond van de Algemene Voorwaarden;
- Beheer, authenticatie en beveiliging van gebruikersaccounts;
- Abonnements- en betalingsbeheer;
- Technische ondersteuning en foutoplossing;
- Verzending van e-mailmeldingen (overeengekomen waarschuwingen, facturering).
3. Categorieën persoonsgegevens en betrokkenen
| Gegevenscategorie | Voorbeelden | Betrokkenen |
|---|---|---|
| Identificatiegegevens | Naam, e-mail, account-ID | Gebruikers / medewerkers |
| Bedrijfsprofielgegevens | Bedrijfsnaam, CPV-codes, doellanden, contractwaardedrempel | Gebruikers |
| Factureringsgegevens | Naam rechtspersoon, adres, btw-nummer (opgeslagen in Stripe) | Bedrijfsvertegenwoordigers |
| Gebruiksgegevens | Aanmeldtijd, aantal verwerkte berichten | Gebruikers |
Wij verwerken geen bijzondere categorieën van persoonsgegevens (artikel 9 GDPR), zoals gezondheids-, biometrische of politieke-opiniegegevens.
4. Duur van de verwerking
Persoonsgegevens worden verwerkt zolang het account van de Gebruiker en de Dienstovereenkomst van kracht zijn. Bij beëindiging van de overeenkomst worden gegevens niet langer dan 3 jaar bewaard, tenzij toepasselijke wetgeving een langere bewaartermijn vereist (bijv. boekhoudkundige documenten — 10 jaar op grond van de Wet op de Boekhouding van de Republiek Litouwen). Daarna worden gegevens veilig verwijderd of geanonimiseerd.
5. Verplichtingen van de Verwerker
De Verwerker verbindt zich ertoe:
- persoonsgegevens alleen te verwerken op basis van de gedocumenteerde instructies van de Verwerkingsverantwoordelijke en deze overeenkomst, behalve waar vereist door EU- of lidstaatrecht;
- ervoor te zorgen dat personen die persoonsgegevens verwerken zich tot geheimhouding hebben verbonden of onderworpen zijn aan een wettelijke geheimhoudingsplicht;
- alle vereiste technische en organisatorische beveiligingsmaatregelen te implementeren op grond van artikel 32 GDPR;
- de Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking, te helpen bij het voldoen aan de verplichting om te reageren op verzoeken van betrokkenen om hun rechten uit te oefenen;
- de Verwerkingsverantwoordelijke uiterlijk 72 uur na kennisneming op de hoogte te stellen van inbreuken op persoonsgegevens;
- bij beëindiging van de overeenkomst, naar keuze van de Verwerkingsverantwoordelijke, alle persoonsgegevens te verwijderen of terug te geven en bestaande kopieën te verwijderen, tenzij toepasselijke wetgeving anders bepaalt;
- de Verwerkingsverantwoordelijke alle informatie te verstrekken die nodig is om naleving van de in artikel 28 GDPR uiteengezette verplichtingen aan te tonen.
6. Beveiligingsmaatregelen
De Verwerker past de volgende technische en organisatorische beschermingsmaatregelen toe (artikel 32 GDPR):
- Gegevensoverdracht wordt versleuteld met TLS 1.2 / 1.3-protocol;
- De database is beveiligd met versleuteling in rust;
- Toegang tot systemen wordt gecontroleerd op basis van multi-factorauthenticatie;
- Regelmatig worden back-ups van de database gemaakt;
- Toegangsrechten worden alleen verleend aan medewerkers voor wie ze noodzakelijk zijn (need-to-know-basis);
- Dienstverleners van derden worden alleen geselecteerd als ze voldoen aan GDPR-vereisten.
7. Subverwerkers
De Verwerkingsverantwoordelijke verleent algemene toestemming voor het gebruik van subverwerkers. De volgende goedgekeurde subverwerkers worden momenteel gebruikt:
| Subverwerker | Doel | Gegevenslocatie |
|---|---|---|
| Stripe, Inc. | Betalingsverwerking | VS (EU-VS DPF) |
| Clerk, Inc. | Gebruikersauthenticatie | VS (EU-VS DPF) |
| Replit, Inc. | Cloudinfrastructuur en AI-diensten | VS (Standaard Contractbepalingen) |
| Resend, Inc. | E-mailbezorging | VS (EU-VS DPF) |
Wij zullen de Verwerkingsverantwoordelijke uiterlijk 14 dagen van tevoren op de hoogte stellen van geplande wijzigingen in subverwerkers, waarbij de mogelijkheid wordt geboden bezwaar te maken.
8. Doorgiften van gegevens naar derde landen
Gegevens kunnen worden doorgegeven aan de VS of andere niet-EU-landen in verband met subverwerkersdiensten. Dergelijke doorgiften worden alleen uitgevoerd onder een van de volgende mechanismen:
- EU-VS Data Privacy Framework;
- Standaard Contractbepalingen goedgekeurd door de Europese Commissie;
- Een adequaatheidsbesluit aangenomen door de Europese Commissie voor een specifiek land.
9. Rechten van betrokkenen
De Verwerker helpt de Verwerkingsverantwoordelijke bij het implementeren van de volgende GDPR-rechten van betrokkenen: het recht op toegang tot gegevens, het recht op rectificatie, het recht op gegevenswissing, het recht op beperking van de verwerking, het recht op gegevensoverdraagbaarheid en het recht van bezwaar. De Verwerkingsverantwoordelijke is verantwoordelijk voor het ontvangen van verzoeken van betrokkenen en het verstrekken van antwoorden; de Verwerker biedt binnen een redelijke termijn technische assistentie.
10. Geschillen en toepasselijk recht
Deze overeenkomst wordt beheerst door het recht van de Republiek Litouwen. Geschillen worden beslecht door de rechtbanken van de Republiek Litouwen. Deze overeenkomst laat GDPR-verplichtingen of -rechten onverlet.
11. Contact
Voor vragen over gegevensverwerking, neem contact op met: support@awarda.eu
Malkovich MB, Litouwen