Verwerkersovereenkomst

Versie 1.0. Laatst bijgewerkt: 26 juli 2026. Contracko-contact: [email protected].

1. Partijen, rollen en verhouding tot de hoofdovereenkomst

Deze Verwerkersovereenkomst ("DPA") maakt deel uit van en is opgenomen in de overeenkomst tussen de Klant ("Verwerkingsverantwoordelijke" of "Klant") en Velocity Ventures B.V., Van Imhoffplein 19, 2595 SK Den Haag, Netherlands (KvK 87321432) ("Verwerker" of "Contracko"), op grond waarvan Contracko de Contracko-dienst ("Dienst") levert - namelijk de Common Paper Cloud Service Agreement (Standard Terms v2.1) zoals aanvaard door de Klant of zoals uiteengezet in een ondertekend Voorblad (Cover Page) (de "Overeenkomst").

Voor persoonsgegevens die Contracko namens de Klant verwerkt bij het leveren van de Dienst is de Klant de verwerkingsverantwoordelijke en Contracko de verwerker. Waar Contracko gegevens voor eigen doeleinden verwerkt (bijvoorbeeld accountbeheer, facturering en beveiliging), treedt Contracko voor die beperkte verwerking op als zelfstandig verwerkingsverantwoordelijke, beheerst door het privacybeleid van Contracko.

In geval van tegenstrijdigheid is de rangorde: (1) de Standaardcontractbepalingen in Bijlage 3 (voor zover zij van toepassing zijn op een doorgifte met beperkingen), (2) deze DPA, (3) de Overeenkomst.

2. Definities

"persoonsgegevens", "verwerking", "betrokkene", "verwerkingsverantwoordelijke", "verwerker", "subverwerker" en "toezichthoudende autoriteit" hebben de betekenis die eraan wordt gegeven in de Algemene verordening gegevensbescherming van de EU (Verordening (EU) 2016/679, "AVG"). "Toepasselijke gegevensbeschermingswetgeving" betekent de AVG samen met de Nederlandse uitvoeringswet (UAVG) en, waar van toepassing, de UK GDPR en de Zwitserse FADP. "Doorgifte met beperkingen" betekent een doorgifte van persoonsgegevens naar een land buiten de EER dat niet valt onder een adequaatheidsbesluit.

3. Onderwerp, duur, aard en doel (art. 28(3))

• Onderwerp: verwerking van persoonsgegevens die zijn opgenomen in of verband houden met de contracten, documenten en accountgegevens die de Klant bij de Dienst indient.
• Duur: de looptijd van de Overeenkomst, plus de verwijderings-/teruggaveperiode in Sectie 11.
• Aard en doel: opslag, ordening, parsing, AI-ondersteunde analyse en extractie, opvraging, elektronische ondertekening en beheer van de contractgegevens van de Klant, uitsluitend om de Dienst te leveren.
• De volledige verwerkingsbijzonderheden zijn uiteengezet in Bijlage 1.

4. Soorten persoonsgegevens en categorieën betrokkenen

• Soorten (illustratief, door de Klant bepaald): namen, contactgegevens, handtekeningen, financiële en commerciële voorwaarden, arbeidsgerelateerde gegevens, en alle andere persoonsgegevens die de Klant opneemt in geüploade documenten en accountgegevens.
• Categorieën betrokkenen: de werknemers, klanten, leveranciers, wederpartijen van de Klant en andere personen die in de documenten van de Klant worden genoemd.

De Klant is verantwoordelijk voor het waarborgen dat hij een rechtsgrond heeft voor de persoonsgegevens die hij indient en voor de instructies die hij geeft. De Klant mag geen bijzondere categorieën van persoonsgegevens indienen, behalve wanneer deze incidenteel voorkomen in contractinhoud, en is verantwoordelijk voor dergelijke gegevens die hij ervoor kiest in te dienen.

5. Verplichtingen van de verwerker (art. 28(3)(a)–(h))

Contracko zal:

1. persoonsgegevens uitsluitend op basis van de gedocumenteerde instructies van de Klant verwerken (met inbegrip van doorgiften), die bestaan uit deze DPA, de Overeenkomst en het door de Klant geconfigureerde gebruik van de Dienst, tenzij wettelijk vereist - in welk geval Contracko de Klant vooraf informeert, tenzij de wet dit verbiedt;
2. ervoor zorgen dat personen die bevoegd zijn om persoonsgegevens te verwerken gebonden zijn aan vertrouwelijkheid;
3. de technische en organisatorische maatregelen in Bijlage 2 (TOM's) implementeren (art. 32);
4. de voorwaarden in Sectie 6 voor het inschakelen van subverwerkers naleven;
5. de Klant bijstaan, door passende technische en organisatorische maatregelen en voor zover mogelijk, bij verzoeken van betrokkenen (Sectie 7);
6. de Klant bijstaan bij beveiliging, melding van inbreuken in verband met persoonsgegevens, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging (Secties 8–9), rekening houdend met de aard van de verwerking en de aan Contracko beschikbare informatie;
7. naar keuze van de Klant persoonsgegevens verwijderen of teruggeven aan het einde van de Dienst (Sectie 11);
8. de informatie beschikbaar stellen die nodig is om naleving aan te tonen en audits mogelijk maken (Sectie 10); en
9. de persoonsgegevens van de Klant niet gebruiken om enig AI-model te trainen, en AI-subverwerkers uitsluitend inschakelen op voorwaarden die training op Klantgegevens uitsluiten en, waar aangeboden, zero data retention toepassen.

Onrechtmatige instructies. Contracko zal de Klant zonder onnodige vertraging informeren indien naar haar mening een instructie inbreuk maakt op Toepasselijke gegevensbeschermingswetgeving. De Klant heeft dan een redelijke periode (ten minste 30 dagen) om een herziene, rechtmatige instructie te geven. In afwachting van een oplossing kan Contracko de betrokken verwerking opschorten, en indien de Klant niet binnen die periode een rechtmatige instructie verstrekt, kan Contracko het betrokken deel van de Dienst zonder aansprakelijkheid beëindigen.

6. Subverwerkers (art. 28(2) en (4))

Algemene toestemming. De Klant verleent algemene schriftelijke toestemming aan Contracko om subverwerkers in te schakelen voor het verwerken van persoonsgegevens bij het leveren van de Dienst, in categorieën waaronder hosting en opslag, database, AI-ondersteunde analyse, elektronische ondertekening, e-mailbezorging, analytics en betalingen. De actuele, specifiek benoemde subverwerkerslijst is uiteengezet in Bijlage 1.

Kennisgeving van wijzigingen. Contracko onderhoudt een actuele, specifiek benoemde subverwerkerslijst. Ten minste veertien (14) dagen voordat een nieuwe subverwerker wordt gemachtigd om persoonsgegevens te verwerken, zal Contracko de lijst bijwerken en de Klant actief per e-mail op de hoogte stellen.

Bezwaar. De Klant kan bezwaar maken tegen een nieuwe subverwerker op redelijke gronden die verband houden met gegevensbescherming door middel van een schriftelijke kennisgeving binnen zeven (7) dagen na de kennisgeving. Indien de Klant niet binnen die periode bezwaar maakt, wordt de subverwerker geacht te zijn aanvaard. De nieuwe subverwerker zal de persoonsgegevens van de Klant niet verwerken voordat de kennisgevingsperiode van veertien (14) dagen is verstreken. Indien de Klant bezwaar maakt en Contracko niet binnen een redelijke termijn een commercieel redelijk alternatief beschikbaar kan stellen, is het enige rechtsmiddel van de Klant het beëindigen van het betrokken deel van de Dienst met een redelijke voorafgaande schriftelijke kennisgeving.

Doorwerking en aansprakelijkheid. Contracko legt aan elke subverwerker, bij schriftelijk contract, gegevensbeschermingsverplichtingen op die niet minder beschermend zijn dan die in deze DPA (in het bijzonder de maatregelen van art. 32), en blijft volledig aansprakelijk jegens de Klant voor de nakoming door elke subverwerker van zijn verplichtingen.

7. Rechten van betrokkenen (art. 28(3)(e))

Rekening houdend met de aard van de verwerking, zal Contracko de Klant door passende technische en organisatorische maatregelen, voor zover mogelijk, bijstaan bij het nakomen van de verplichting van de Klant om te reageren op verzoeken tot uitoefening van de rechten van betrokkenen (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar), onder meer via de zelfbedienings-export- en verwijderingsfuncties van de Dienst. Indien een betrokkene rechtstreeks contact opneemt met Contracko, zal Contracko hem verwijzen naar de Klant.

8. Inbreuk in verband met persoonsgegevens (art. 33)

Contracko zal de Klant zonder onnodige vertraging op de hoogte stellen nadat zij kennis heeft genomen van een inbreuk in verband met persoonsgegevens die van invloed is op de persoonsgegevens van de Klant, en de redelijkerwijs beschikbare informatie verstrekken om de eigen meldingsverplichtingen van de Klant te ondersteunen, waaronder, waar beschikbaar, de aard van de inbreuk, de categorieën en het geschatte aantal getroffen betrokkenen en registraties, de waarschijnlijke gevolgen, en de genomen of voorgestelde maatregelen. Waar de informatie niet in één keer kan worden verstrekt, kan zij in fasen worden gegeven zonder onnodige verdere vertraging. Als verwerker stelt Contracko de toezichthoudende autoriteit of betrokkenen niet op de hoogte; die verplichting rust op de Klant als verwerkingsverantwoordelijke.

9. Beveiliging, DPIA's en voorafgaande raadpleging (art. 32, 35–36)

Contracko implementeert en onderhoudt de maatregelen in Bijlage 2, rekening houdend met de stand van de techniek, de uitvoeringskosten, en de aard, omvang, context en het risico van de verwerking. Contracko garandeert niet dat deze maatregelen onder alle omstandigheden doeltreffend zijn; in overeenstemming met artikel 82(2) AVG is Contracko alleen aansprakelijk waar schade voortvloeit uit het niet nakomen door Contracko van verplichtingen die specifiek aan verwerkers zijn opgelegd onder Toepasselijke gegevensbeschermingswetgeving, of van de rechtmatige instructies van de Klant. Contracko staat de Klant bij, rekening houdend met de aard van de verwerking en de aan haar beschikbare informatie, bij gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthoudende autoriteit waar vereist. Contracko kan een redelijke vergoeding in rekening brengen voor bijstand onder Secties 7 tot en met 9 die de gewone functionaliteit van de Dienst materieel overstijgt, behalve waar de bijstand vereist is als gevolg van een schending door Contracko van deze DPA.

10. Audits (art. 28(3)(h))

Contracko zal aan de Klant de informatie beschikbaar stellen die nodig is om naleving van deze DPA aan te tonen. Contracko kan aan auditverzoeken voldoen door haar beschikbare auditrapporten van derden, certificeringen of zelfbeoordelingen (zoals ISO 27001, SOC 2 of CSA STAR, voor zover Contracko deze bezit) en haar TOM's te verstrekken, die de Klant aanvaardt als voldoend aan het auditrecht waar zij het verzoek redelijkerwijs behandelen. Waar deze redelijkerwijs niet toereikend zijn, kan de Klant (of een gemandateerde auditor die aan vertrouwelijkheid is gebonden en geen concurrent van Contracko is) een inspectie uitvoeren niet meer dan één keer per jaar, met ten minste 30 dagen voorafgaande schriftelijke kennisgeving, tijdens kantooruren, zonder onredelijke verstoring, en op kosten van de Klant.

11. Teruggave en verwijdering (art. 28(3)(g))

Bij beëindiging van de Dienst zal Contracko, naar keuze van de Klant, alle persoonsgegevens verwijderen of teruggeven en bestaande kopieën verwijderen, tenzij bewaring wettelijk vereist is. Contracko voltooit de verwijdering zonder onnodige vertraging en in ieder geval binnen 90 dagen na beëindiging of na een geverifieerd verwijderingsverzoek; resterende kopieën in back-ups worden op de normale back-upcyclus opgeruimd.

12. Internationale doorgiften (AVG hoofdstuk V)

De hosting en primaire opslag van Contracko bevinden zich in de EU. De verhouding Klant-tot-Contracko is intra-EER en houdt op zichzelf geen doorgifte met beperkingen in. Waar het leveren van de Dienst een Doorgifte met beperkingen naar een subverwerker buiten de EER inhoudt, wordt die doorgifte uitgevoerd onder een passend doorgiftemechanisme, toegepast in de volgende volgorde: (a) een adequaatheidsbesluit of, waar de ontvanger gecertificeerd is, het EU-US Data Privacy Framework; anders (b) de EU-Standaardcontractbepalingen (Uitvoeringsbesluit (EU) 2021/914 van de Commissie), Module Drie voor verdere doorgiften van Verwerker naar Subverwerker (en Module Twee waar de Klant de gegevensexporteur is), samen met het UK International Data Transfer Addendum en Zwitserse aanpassingen waar relevant, en eventuele aanvullende maatregelen die vereist zijn na een doorgifte-effectbeoordeling. De locatie van elke subverwerker wordt vastgelegd in de subverwerkerslijst (Bijlage 1). De SCC's worden door verwijzing opgenomen en prevaleren, waar zij van toepassing zijn, boven deze DPA (Bijlage 3 legt de gekozen modules en ingevulde appendices vast).

13. Aansprakelijkheid en toepasselijk recht

De aansprakelijkheid van elke partij onder deze DPA is onderworpen aan de beperkingen en uitsluitingen van aansprakelijkheid in de Overeenkomst (Common Paper CSA Standard Terms v2.1), die van toepassing zijn op deze DPA. De Klant zal Contracko vrijwaren tegen vorderingen en verliezen van derden voor zover deze voortvloeien uit de onrechtmatige verwerkingsinstructies van de Klant, onrechtmatige Klantcontent, of de schending door de Klant van deze DPA of Toepasselijke gegevensbeschermingswetgeving. Deze DPA wordt beheerst door het recht van Nederland, en de rechtbanken van Den Haag of Amsterdam zijn bevoegd, in overeenstemming met de Overeenkomst, onverminderd dwingende bescherming van betrokkenen en enig toepasselijk recht/forum dat door de SCC's wordt vereist.

14. Taal

Deze DPA kan voor het gemak in vertaling beschikbaar worden gesteld. In geval van enige tegenstrijdigheid of inconsistentie tussen de Engelse versie en een vertaling, prevaleert de Engelse versie, behalve waar de Standaardcontractbepalingen anders vereisen.

Bijlagen

• Bijlage 1 - Verwerkingsbijzonderheden en subverwerkerslijst: de verwerkingsbijzonderheden in Secties 3 en 4, samen met de hieronder opgenomen subverwerkerslijst.
• Bijlage 2 - Technische en Organisatorische Maatregelen (TOM's): de actuele technische en organisatorische beveiligingsmaatregelen van Contracko, op verzoek aan de Klant beschikbaar gesteld.
• Bijlage 3 - Standaardcontractbepalingen: waar een Doorgifte met beperkingen zich baseert op de SCC's, zijn de EU-Standaardcontractbepalingen (Uitvoeringsbesluit (EU) 2021/914 van de Commissie) van toepassing, met Module Twee en Drie gekozen naargelang van toepassing, waarbij de bevoegde toezichthoudende autoriteit de Autoriteit Persoonsgegevens is waar Contracko de gegevensexporteur is (Module Drie) en de bevoegde toezichthoudende autoriteit van de Klant waar de Klant de gegevensexporteur is (Module Twee), en de maatregelen van Bijlage 2 dienen als de appendix met technische en organisatorische maatregelen.
• Bijlage 4 - Beveiligings- en verwerkingsdisclosure: een gestructureerde openbaarmaking van de beveiligingsstandaard, certificeringen, subverwerkers en bewaar- en verwijderingspraktijken van Contracko, op verzoek aan de Klant beschikbaar gesteld.

Bijlage 1 - Subverwerkerslijst

De subverwerkers die Contracko inschakelt om persoonsgegevens te verwerken bij het leveren van de Dienst. Wijzigingen worden gemeld conform Sectie 6.

Subverwerker	Doel	Locatie
Hetzner Cloud	Applicatiehosting en taakwachtrij	Duitsland (EU)
PlanetScale	Beheerde applicatiedatabase	EU
Cloudflare	Documentopslag, DNS, CDN en beveiliging	EU
Google (Gemini API)	AI-contractanalyse en -extractie	Verenigde Staten
Mistral AI	AI-analyse (zero data retention)	Frankrijk (EU)
OpenAI	AI-analyse als terugvaloptie (zero data retention)	Verenigde Staten
xAI (Grok)	AI-analyse (zero data retention)	Verenigde Staten
LlamaIndex (LlamaParse)	Documentparsing en tekstextractie	EU
DocuSeal	Verzoeken tot en uitvoering van elektronische ondertekening	EU
Mailgun	Import van inkomende e-mail	EU
Bento	Transactionele en lifecycle-e-mail, en support chat	Australië
Stripe	Betalingen en facturering	EU en Verenigde Staten
PostHog	Product- en website-analytics	EU

Attributie

Deze Verwerkersovereenkomst is aangepast, met wijzigingen, door Velocity Ventures B.V. van de Common Paper Data Processing Agreement, © Common Paper, gelicentieerd onder CC BY 4.0.