Verwerkersovereenkomst

Conceptversie 1.0 — 24 juli 2026 · sjabloon in de zin van artikel 28 AVG · Verwerker: Van der Giessen B.V.

Partijen

Deze verwerkersovereenkomst (hierna: Verwerkersovereenkomst) is gesloten tussen:

1. De verwerkingsverantwoordelijke — [naam zakelijke afnemer], gevestigd te [adres], KVK [nummer], hierna Verantwoordelijke. Dit is de zakelijke afnemer (bijvoorbeeld een woningcorporatie, gemeente, EP-adviseur of ander bedrijf) die QASTEEL zakelijk inzet, bijvoorbeeld voor de wijkscan.
2. De verwerker — hieronder Verwerker:

Verantwoordelijke en Verwerker worden hierna samen ook Partijen genoemd. Deze Verwerkersovereenkomst hoort bij en maakt deel uit van de onderliggende overeenkomst tussen Partijen over het zakelijke gebruik van QASTEEL (hierna: Hoofdovereenkomst). Bij strijd tussen beide gaat deze Verwerkersovereenkomst voor op het punt van de verwerking van persoonsgegevens.

1. Begrippen

De begrippen persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker, (sub)verwerker en datalek hebben de betekenis die de Algemene verordening gegevensbescherming (AVG / EU 2016/679) daaraan geeft. QASTEEL is de door Verwerker geleverde dienst die van een adres een digitaal woningdossier maakt (3D-model uit openbare registraties, berekeningen, verbeter- en installatieadvies), inclusief de wijkscan waarmee Verantwoordelijke meerdere adressen tegelijk laat verwerken.

2. Onderwerp, aard en doel van de verwerking

• Onderwerp. Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de uitvoering van de Hoofdovereenkomst en de daarin overeengekomen dienst(en).
• Aard. Het ophalen, structureren, verrijken met openbare bronnen, berekenen, opslaan, tonen en rapporteren van woning- en adresgegevens die Verantwoordelijke aanlevert of selecteert (o.a. via de wijkscan), en het beschikbaar stellen daarvan aan Verantwoordelijke.
• Doel. Het genereren van indicatieve woningdossiers en wijkoverzichten (warmteverlies, energie, verbetermaatregelen, kosten, installatie- en zonneadvies) voor het zakelijke gebruik van Verantwoordelijke jegens diens eigen doelgroep. Verwerker gebruikt de persoonsgegevens niet voor eigen doeleinden.

3. Duur

Deze Verwerkersovereenkomst geldt zolang de Hoofdovereenkomst loopt en zolang Verwerker daarna nog persoonsgegevens van Verantwoordelijke onder zich heeft. De verplichtingen die naar hun aard doorlopen (o.a. geheimhouding, teruggave/verwijdering) blijven na afloop van kracht.

4. Categorieën betrokkenen en persoonsgegevens

Afhankelijk van de context (met name de wijkscan in corporatie- of gemeenteverband) kan Verwerker de volgende persoonsgegevens namens Verantwoordelijke verwerken:

Verwerker verwerkt geen bijzondere categorieën persoonsgegevens (AVG art. 9) en vraagt daar ook niet om. Levert Verantwoordelijke die toch aan, dan gebeurt dat op eigen verantwoordelijkheid en buiten de bedoeling van deze Verwerkersovereenkomst.

5. Instructies van Verantwoordelijke

• Verwerker verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke (waaronder elektronische) instructies van Verantwoordelijke, zoals vastgelegd in de Hoofdovereenkomst en deze Verwerkersovereenkomst, tenzij een wettelijke verplichting anders bepaalt; in dat geval meldt Verwerker dat vooraf, tenzij die wet dat verbiedt.
• Verantwoordelijke staat ervoor in dat er een geldige grondslag is voor het aanleveren en laten verwerken van de adressen/persoonsgegevens en dat betrokkenen conform de AVG zijn geïnformeerd. Verantwoordelijke is de verwerkingsverantwoordelijke in de zin van de AVG.
• Meent Verwerker dat een instructie in strijd is met de AVG of andere privacywetgeving, dan meldt hij dat aan Verantwoordelijke.

6. Geheimhouding

Verwerker houdt de persoonsgegevens geheim en verplicht personen die onder zijn gezag toegang tot de persoonsgegevens hebben tot geheimhouding (via arbeids- of andere overeenkomst dan wel een wettelijke plicht). Toegang is beperkt tot wie die nodig heeft voor de uitvoering van de Hoofdovereenkomst (need-to-know).

7. Beveiligingsmaatregelen

Verwerker treft passende technische en organisatorische maatregelen (AVG art. 32), afgestemd op de aard van de gegevens en de stand van de techniek, waaronder ten minste:

• Hosting en opslag binnen de EU (STRATO, EU-datacenters); accounts en dossiers staan buiten de webroot.
• Versleutelde verbindingen (TLS/HTTPS) voor alle toegang tot de dienst.
• Wachtwoordloos inloggen via passkey (KOPPELQ-SSO); geen opslag van wachtwoorden.
• Toegangsbeheer op need-to-know-basis, dossier-isolatie per account en rate-limiting/logging voor misbruikpreventie.
• Server-side rekenkern en scrapebescherming; geen advertentie- of trackingtechnologie.

De actuele maatregelen kunnen in een bijlage bij deze Verwerkersovereenkomst nader worden gespecificeerd ([Bijlage — beveiligingsmaatregelen]).

8. Subverwerkers

Verantwoordelijke geeft algemene toestemming voor het inschakelen van subverwerkers. Verwerker legt aan iedere subverwerker minimaal dezelfde verplichtingen op als in deze Verwerkersovereenkomst en blijft jegens Verantwoordelijke aansprakelijk voor hun handelen. Bij een voorgenomen wijziging (nieuwe of vervangende subverwerker) informeert Verwerker Verantwoordelijke, die daar op redelijke gronden bezwaar tegen kan maken.

De openbare bronnen (BAG, 3D BAG, EP-Online, CBS, PVGIS) leveren gebouwgegevens en zijn geen subverwerkers in de zin van de AVG. Het persoonsgegeven ontstaat doordat Verantwoordelijke bepaalt welke (bewoonde) adressen worden bevraagd; die selectie/koppeling is de verwerking waarvoor deze Verwerkersovereenkomst geldt.

9. Bijstand aan Verantwoordelijke

• Verwerker helpt Verantwoordelijke, voor zover redelijkerwijs mogelijk, bij het voldoen aan verzoeken van betrokkenen (inzage, correctie, verwijdering, beperking, overdraagbaarheid, bezwaar). Ontvangt Verwerker zo'n verzoek rechtstreeks, dan stuurt hij het door en beantwoordt het niet zelf, tenzij Verantwoordelijke daartoe opdracht geeft.
• Verwerker verleent redelijke bijstand bij een eventuele gegevensbeschermingseffectbeoordeling (DPIA) en bij voorafgaande raadpleging van de toezichthouder (AVG art. 35–36).

10. Meldplicht datalekken

Verwerker informeert Verantwoordelijke zonder onredelijke vertraging, en waar mogelijk binnen [48 uur] na ontdekking, over een inbreuk in verband met persoonsgegevens (datalek). De melding bevat ten minste de aard van de inbreuk, de betrokken categorieën en aantallen, de waarschijnlijke gevolgen en de genomen/voorgestelde maatregelen. Melding bij de Autoriteit Persoonsgegevens en aan betrokkenen is de verantwoordelijkheid van Verantwoordelijke; Verwerker ondersteunt daarbij.

11. Teruggave en verwijdering na afloop

Na beëindiging van de Hoofdovereenkomst verwijdert Verwerker, naar keuze van Verantwoordelijke, alle persoonsgegevens of geeft hij die terug, en verwijdert bestaande kopieën — tenzij een wettelijke bewaarplicht anders bepaalt (bijvoorbeeld de fiscale bewaarplicht van 7 jaar voor factuurgegevens). Verwerker bevestigt de verwijdering desgevraagd schriftelijk.

12. Audit

Verwerker stelt Verantwoordelijke de informatie ter beschikking die nodig is om naleving van AVG art. 28 aan te tonen, en maakt audits mogelijk — al dan niet door een door Verantwoordelijke ingeschakelde onafhankelijke auditor die tot geheimhouding is gehouden. Audits worden vooraf aangekondigd (redelijke termijn), vinden ten hoogste [eenmaal per jaar] plaats (behoudens een concreet incident of instructie van een toezichthouder), verstoren de bedrijfsvoering zo min mogelijk en de kosten daarvan komen voor rekening van Verantwoordelijke, tenzij de audit een materiële tekortkoming van Verwerker aantoont.

13. Aansprakelijkheid en toepasselijk recht

Op de aansprakelijkheid onder deze Verwerkersovereenkomst is de aansprakelijkheidsregeling uit de Hoofdovereenkomst van toepassing. Op deze Verwerkersovereenkomst is Nederlands recht van toepassing; geschillen worden voorgelegd aan de bevoegde Nederlandse rechter.

Ondertekening

Aldus overeengekomen en in tweevoud ondertekend:

Privacyverklaring → · Algemene voorwaarden → · ← Terug naar QASTEEL