Deze verwerkersovereenkomst is bedoeld als bijlage bij klantovereenkomsten van KDK Media V.O.F., handelend onder de naam KDK Design. De overeenkomst legt vast hoe KDK Design persoonsgegevens verwerkt namens klanten bij het bouwen, hosten, beheren en ondersteunen van klantwebsites. Klanten kunnen deze volledige tekst raadplegen via kdkdesign.com/dpa en aanvaarden door ondertekening van de beknopte verwerkersovereenkomst of door schriftelijk akkoord op de Hoofdovereenkomst.

Partijen

1. De Verwerker

2. De Verwerkingsverantwoordelijke

Onder "Verwerkingsverantwoordelijke" of "klant" wordt verstaan: de natuurlijke of rechtspersoon die met KDK Design een overeenkomst sluit voor het bouwen, hosten, beheren of ondersteunen van een website, zoals beschreven in de offerte, opdrachtbevestiging, beknopte verwerkersovereenkomst of andere schriftelijke vastlegging tussen partijen. De specifieke gegevens van de klant worden vastgelegd in het beknopte ondertekeningsformulier of de hoofdovereenkomst.

In aanmerking nemende dat

1. Verwerker en Verwerkingsverantwoordelijke (gezamenlijk: "Partijen") een overeenkomst hebben gesloten of zullen sluiten op grond waarvan Verwerker werkzaamheden verricht voor Verwerkingsverantwoordelijke, waaronder het ontwerpen, bouwen, hosten, beheren en onderhouden van een website (de "Hoofdovereenkomst");

2. Verwerker daarbij persoonsgegevens verwerkt namens Verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG / GDPR);

3. Partijen hun rechten en plichten over deze verwerking willen vastleggen conform artikel 28 AVG;

4. deze verwerkersovereenkomst een onlosmakelijk onderdeel vormt van de Hoofdovereenkomst en bij strijdigheid op het punt van privacy en persoonsgegevens voorgaat;

Komen Partijen het volgende overeen:

Artikel 1. Doel en rolverdeling

Deze verwerkersovereenkomst regelt hoe KDK Design persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke bij het bouwen, hosten, beheren, onderhouden en ondersteunen van websites van de klant.

Voor de eigen website kdkdesign.com, eigen marketing, eigen administratie en eigen klantcommunicatie is KDK Design zelf verwerkingsverantwoordelijke. Daarvoor geldt de privacyverklaring van KDK Design.

Voor persoonsgegevens die via de klantwebsite worden verwerkt, zoals gegevens uit contactformulieren, afsprakenmodules, logbestanden, content, testimonials of andere websitefuncties, bepaalt de klant het doel en de middelen van de verwerking. De klant is daarvoor Verwerkingsverantwoordelijke. KDK Design verwerkt deze gegevens alleen namens de klant en is dan Verwerker.

De klant blijft verantwoordelijk voor de rechtmatigheid van de verwerking, waaronder de juiste privacyverklaring, cookieverklaring, rechtsgrond, bewaartermijnen, inhoud van formulieren en informatie aan bezoekers van de klantwebsite.

Artikel 2. Opdracht en instructies

KDK Design verwerkt persoonsgegevens alleen voor zover dat nodig is voor de uitvoering van de overeenkomst met de klant of voor zover de klant daarvoor schriftelijk instructies geeft.

Onder schriftelijke instructies vallen ook instructies per e-mail, briefingformulier, opdrachtbevestiging, ticket, chatbericht of andere duidelijke digitale communicatie.

KDK Design hoeft geen instructies uit te voeren die volgens KDK Design onrechtmatig, onveilig, technisch onverantwoord of buiten de overeengekomen dienstverlening vallen. In dat geval meldt KDK Design dit aan de klant, tenzij wetgeving dit verbiedt.

Artikel 3. Aard en doel van de verwerking

Artikel 4. Soorten persoonsgegevens

Afhankelijk van de inrichting van de klantwebsite kan KDK Design onder meer de volgende persoonsgegevens verwerken:

• naam, bedrijfsnaam, functie en contactgegevens van de klant of contactpersonen;

• naam, e-mailadres, telefoonnummer en berichtinhoud van bezoekers die een formulier invullen;

• afspraakgegevens wanneer een agenda- of boekingskoppeling wordt gebruikt;

• IP-adressen, technische logs, browsergegevens en beveiligingsgegevens;

• testimonials, foto's, namen, functies of andere content die de klant aanlevert;

• gegevens in supportverzoeken, e-mails, briefingformulieren en overdrachtscommunicatie;

• overige gegevens die de klant via de website laat verzamelen of aan KDK Design verstrekt.

De klant mag geen bijzondere persoonsgegevens, strafrechtelijke gegevens, medische gegevens, betaalgegevens, identiteitsdocumenten of grootschalige gevoelige data via de website of aan KDK Design laten verwerken, tenzij Partijen daarover vooraf duidelijke schriftelijke afspraken hebben gemaakt en passende aanvullende maatregelen zijn genomen.

Artikel 5. Categorieën betrokkenen

De verwerking kan betrekking hebben op:

• de klant en medewerkers of contactpersonen van de klant;

• bezoekers van de klantwebsite;

• leads, potentiële klanten en bestaande klanten van de klant;

• personen die genoemd worden in testimonials, cases, foto's, blogs of andere klantcontent;

• leveranciers, partners of andere zakelijke relaties van de klant voor zover zij via de website of content voorkomen.

Artikel 6. Beveiliging

KDK Design neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies, misbruik, onbevoegde toegang, onbevoegde wijziging en onbevoegde openbaarmaking.

De beveiligingsmaatregelen worden afgestemd op de aard van de dienstverlening, de stand van de techniek, de uitvoeringskosten, de risico's en het beperkte karakter van de websites die KDK Design standaard bouwt.

De belangrijkste maatregelen staan in Bijlage 2. KDK Design mag beveiligingsmaatregelen wijzigen als dit nodig of wenselijk is voor veiligheid, techniek, kosten, prestaties of continuïteit, zolang het beveiligingsniveau redelijk passend blijft.

Artikel 7. Vertrouwelijkheid

KDK Design zorgt ervoor dat personen die onder haar verantwoordelijkheid toegang hebben tot persoonsgegevens deze vertrouwelijk behandelen.

Toegang tot persoonsgegevens wordt beperkt tot personen en partijen voor wie toegang nodig is voor uitvoering van de overeenkomst, support, beveiliging, beheer, ontwikkeling, administratie of wettelijke verplichtingen.

Artikel 8. Subverwerkers en leveranciers

De klant geeft KDK Design algemene toestemming om subverwerkers en leveranciers in te schakelen die nodig of wenselijk zijn voor hosting, domeinbeheer, e-mail, formulieren, planning, bestandsdeling, ontwikkeling, AI-ondersteuning, beveiliging, back-ups en versiebeheer, support en andere onderdelen van de dienstverlening.

KDK Design is vrij om subverwerkers te vervangen of toe te voegen als dat nodig of wenselijk is voor veiligheid, prestaties, beschikbaarheid, kosten, technische inrichting, continuïteit of verbetering van de dienstverlening.

Wanneer een subverwerker persoonsgegevens verwerkt namens de klant, zorgt KDK Design ervoor dat met die partij passende afspraken worden gemaakt over privacy, beveiliging en vertrouwelijkheid. Waar de AVG dit vereist, legt KDK Design vergelijkbare verplichtingen op aan de subverwerker als in deze verwerkersovereenkomst zijn opgenomen.

De actuele categorieën en bekende leveranciers staan in Bijlage 3. KDK Design mag deze lijst actualiseren. Als een wijziging waarschijnlijk een wezenlijk privacyrisico voor de klant oplevert, informeert KDK Design de klant waar redelijkerwijs mogelijk vooraf of zo snel mogelijk daarna.

De klant kan gemotiveerd bezwaar maken tegen een nieuwe subverwerker als de klant aannemelijk maakt dat deze subverwerker een concreet en wezenlijk privacyrisico oplevert. Partijen overleggen dan over een redelijke oplossing. Als geen redelijke oplossing mogelijk is, kan KDK Design de betreffende dienst beperken, aanpassen of beëindigen voor zover dat nodig is.

Artikel 9. Doorgifte buiten de EER

KDK Design probeert persoonsgegevens waar redelijkerwijs mogelijk binnen de Europese Economische Ruimte te laten verwerken. Sommige professionele software-, hosting-, formulier-, agenda-, e-mail-, bestandsdeling- of AI-leveranciers kunnen echter buiten de EER zijn gevestigd of toegang vanuit een land buiten de EER mogelijk maken.

Als persoonsgegevens buiten de EER worden verwerkt, zorgt KDK Design ervoor dat dit gebeurt op basis van een passend juridisch mechanisme, zoals een adequaatheidsbesluit, het EU-U.S. Data Privacy Framework, Standard Contractual Clauses of een ander geldig doorgiftemechanisme, voor zover KDK Design daarop invloed heeft.

De klant erkent dat volledige uitsluiting van internationale verwerking of toegang niet altijd mogelijk is wanneer professionele cloud- en ontwikkeltools worden gebruikt.

Artikel 10. AI-ondersteunde tools

KDK Design kan AI-ondersteunde tools gebruiken voor ontwerp, ontwikkeling, tekststructuur, code, analyse, debugging, optimalisatie en kwaliteitscontrole.

KDK Design probeert persoonsgegevens, vertrouwelijke informatie, inloggegevens, API-sleutels en andere gevoelige informatie daarbij te vermijden, te beperken of te anonimiseren. De klant verstrekt geen gevoelige of bijzondere persoonsgegevens voor AI-verwerking, tenzij dit vooraf uitdrukkelijk is afgesproken.

KDK Design bindt zich niet aan één specifieke AI-tool of leverancier. Gebruikte AI-tools kunnen wijzigen. Als via een AI-tool persoonsgegevens namens de klant worden verwerkt, behandelt KDK Design die leverancier als subverwerker voor zover de AVG dat vereist.

Artikel 11. Datalekken en beveiligingsincidenten

KDK Design meldt een datalek of beveiligingsincident dat betrekking heeft op persoonsgegevens van de klant zonder onredelijke vertraging aan de klant zodra KDK Design daarvan kennis heeft genomen en heeft vastgesteld dat het incident waarschijnlijk relevant is voor de klant.

De melding bevat, voor zover op dat moment bekend en redelijkerwijs beschikbaar:

• de aard van het incident;

• de vermoedelijke datum of periode;

• de betrokken systemen of gegevenscategorieën;

• de mogelijke gevolgen;

• de genomen of voorgestelde maatregelen;

• informatie die de klant redelijkerwijs nodig heeft om te beoordelen of melding aan de Autoriteit Persoonsgegevens of betrokkenen nodig is.

De klant blijft zelf verantwoordelijk voor het beoordelen en doen van eventuele meldingen aan toezichthouders of betrokkenen, tenzij Partijen schriftelijk anders afspreken.

KDK Design mag maatregelen nemen die nodig zijn om een incident te beperken of te herstellen, waaronder het tijdelijk offline halen van een website, blokkeren van formulieren, wijzigen van toegang of inschakelen van leveranciers.

Artikel 12. Rechten van betrokkenen

Als een betrokkene rechtstreeks bij KDK Design een verzoek indient over persoonsgegevens die KDK Design namens de klant verwerkt, stuurt KDK Design dit verzoek door naar de klant, tenzij wetgeving anders vereist.

KDK Design ondersteunt de klant redelijkerwijs bij verzoeken van betrokkenen, zoals inzage, correctie, verwijdering, beperking, overdraagbaarheid of bezwaar, voor zover dit binnen de dienstverlening en technische mogelijkheden valt.

Uitgebreide ondersteuning, export, onderzoek of maatwerk kan apart worden gefactureerd als aanvullende werkzaamheden, tenzij het verzoek voortkomt uit een aantoonbare fout van KDK Design.

Artikel 13. Medewerking aan AVG-verplichtingen

KDK Design werkt redelijkerwijs mee aan verplichtingen van de klant onder de AVG, voor zover de klant deze verplichtingen niet zelfstandig kan uitvoeren en de medewerking betrekking heeft op verwerking door KDK Design.

Dit kan onder meer gaan om beveiligingsinformatie, datalekonderzoek, privacy-impactbeoordelingen, informatie over subverwerkers of verwijdering en export van gegevens.

KDK Design is niet verantwoordelijk voor het opstellen, controleren of actueel houden van de privacyverklaring, cookieverklaring, toestemmingsmechanismen, verwerkingsregisters of juridische documentatie van de klant, tenzij dat uitdrukkelijk schriftelijk is overeengekomen.

Artikel 14. Audit en controle

De klant mag redelijke informatie opvragen om te controleren of KDK Design deze verwerkersovereenkomst naleeft.

Een fysieke of technische audit is alleen toegestaan als:

• de klant een concreet en redelijk belang heeft;

• de audit minimaal 30 dagen vooraf schriftelijk is aangekondigd;

• de audit plaatsvindt tijdens normale kantooruren;

• de audit geen verstoring veroorzaakt voor KDK Design of andere klanten;

• de vertrouwelijkheid, beveiliging en bedrijfsgeheimen van KDK Design en derden worden beschermd;

• de audit wordt uitgevoerd door een onafhankelijke deskundige die vooraf een geheimhoudingsverklaring tekent.

KDK Design mag een audit weigeren of beperken als deze onredelijk, disproportioneel, onveilig, te breed, concurrentiegevoelig of strijdig met verplichtingen tegenover andere klanten of leveranciers is.

Kosten van een audit, inclusief interne tijd van KDK Design, komen voor rekening van de klant, tenzij uit de audit blijkt dat KDK Design wezenlijk tekortschiet in haar verplichtingen.

Artikel 15. Verwijdering en teruggave na einde overeenkomst

Na beëindiging van de overeenkomst stopt KDK Design met het verwerken van persoonsgegevens namens de klant, behalve voor zover verdere verwerking nodig is voor overdracht, verwijdering, administratie, bewijs, beveiliging, wettelijke verplichtingen of geschillen.

Op verzoek levert KDK Design een redelijke export aan van klantcontent of gegevens die binnen haar technische mogelijkheden beschikbaar zijn. Broncode, projectbestanden, designbestanden, interne componenten, ontwikkelomgevingen, prompts, frameworks, knowhow en technische inrichting vallen hier niet onder, tenzij schriftelijk anders afgesproken.

KDK Design verwijdert of anonimiseert persoonsgegevens binnen een redelijke termijn na beëindiging. Waar mogelijk hanteert KDK Design een richttermijn van 30 dagen voor operationele verwijdering na beëindiging, tenzij een langere termijn nodig is voor overdracht, beveiliging, herstelpunten, bewijs, administratie, wettelijke verplichtingen of geschillen.

Gegevens kunnen tijdelijk aanwezig blijven in back-ups, logs, deploy history, versiebeheer of herstelpunten binnen de gebruikte hosting-, ontwikkel- of beheersystemen. Deze worden niet actief gebruikt, behalve voor herstel, beveiliging, bewijs of wettelijke verplichtingen.

Artikel 16. Beperking van verwerking

De klant zorgt ervoor dat de klantwebsite alleen persoonsgegevens verzamelt die nodig zijn voor het doel van de website. KDK Design is niet verantwoordelijk voor overmatige, onrechtmatige of onduidelijke gegevensverzameling die door de klant wordt gevraagd of goedgekeurd.

KDK Design mag weigeren om formulieren, velden, teksten, koppelingen of functionaliteiten te plaatsen als deze volgens KDK Design onnodig risicovol, onrechtmatig, onveilig of buiten de overeengekomen informatieve website-opzet vallen.

Artikel 17. Aansprakelijkheid

De aansprakelijkheid van KDK Design onder deze verwerkersovereenkomst is beperkt zoals bepaald in de Hoofdovereenkomst en algemene voorwaarden van KDK Design.

KDK Design is niet aansprakelijk voor schade, boetes, claims of kosten die voortkomen uit:

• onjuiste, onvolledige of onrechtmatige instructies van de klant;

• content, formulieren, cookies, tracking, rechtsgronden of bewaartermijnen van de klant;

• door de klant aangeleverde persoonsgegevens, testimonials, foto's of teksten;

• gebruik van externe tools of accounts die door de klant worden gekozen of beheerd;

• wijzigingen door de klant of derden;

• onvoldoende controle van de website door de klant vóór akkoord of livegang;

• verwerkingen waarvoor de klant verantwoordelijk is als verwerkingsverantwoordelijke.

Deze beperking geldt niet voor zover aansprakelijkheid wettelijk niet mag worden uitgesloten of beperkt.

Artikel 18. Duur en beëindiging

Deze verwerkersovereenkomst gaat in zodra KDK Design feitelijk persoonsgegevens namens de klant verwerkt, of zoveel eerder als Partijen schriftelijk overeenkomen.

De verwerkersovereenkomst blijft gelden zolang KDK Design persoonsgegevens namens de klant verwerkt.

De verwerkersovereenkomst eindigt automatisch wanneer de hoofdrelatie tussen Partijen eindigt en alle persoonsgegevens namens de klant zijn verwijderd, teruggegeven of niet langer door KDK Design worden verwerkt, behalve voor zover bepalingen naar hun aard blijven gelden, zoals vertrouwelijkheid, aansprakelijkheid, beveiliging, bewijs en geschillen.

Artikel 19. Wijzigingen

KDK Design mag deze verwerkersovereenkomst wijzigen als dat nodig of wenselijk is door wetgeving, techniek, beveiliging, leveranciers, dienstverlening of bedrijfsvoering.

Bij inhoudelijke wijzigingen die relevant zijn voor lopende klantrelaties informeert KDK Design de klant binnen een redelijke termijn. Als een wijziging voor de klant aantoonbaar een wezenlijk privacyrisico oplevert, overleggen Partijen over een redelijke oplossing.

De meest actuele versie staat altijd op kdkdesign.com/dpa.

Artikel 20. Toepasselijk recht en bevoegde rechter

Op deze verwerkersovereenkomst is Nederlands recht van toepassing.

Geschillen worden voorgelegd aan de bevoegde rechter van het arrondissement waar KDK Media V.O.F. is gevestigd, tenzij dwingend recht een andere rechter aanwijst.

Bijlage 1. Verwerkingsdetails

Bijlage 2. Technische en organisatorische maatregelen

KDK Design past, voor zover relevant en redelijk binnen de dienstverlening, onder meer de volgende maatregelen toe:

• gebruik van professionele hosting-, domein-, e-mail-, ontwikkel- en beheersystemen;

• SSL/TLS-versleuteling voor websites waar mogelijk;

• beperkte toegang tot accounts en systemen op basis van noodzaak;

• gebruik van sterke wachtwoorden en waar mogelijk tweefactorauthenticatie;

• scheiding tussen klantomgevingen voor zover technisch en organisatorisch passend;

• periodieke technische updates en onderhoud waar dit binnen de beheerde website-inrichting valt;

• beperking van persoonsgegevens in formulieren en systemen waar mogelijk;

• geen bewuste verwerking van bijzondere persoonsgegevens zonder aparte afspraken;

• zorgvuldige omgang met inloggegevens, API-sleutels en klantmateriaal;

• gebruik van herstelpunten, deploy history of versies binnen gebruikte systemen waar beschikbaar;

• beperking of anonimisering van persoonsgegevens bij gebruik van AI-ondersteunde tools waar mogelijk;

• vertrouwelijke behandeling van klantinformatie;

• incidentrespons bij beveiligingsproblemen of datalekken;

• verwijdering of beperking van toegang na beëindiging van de klantrelatie waar redelijkerwijs mogelijk.

KDK Design geeft geen absolute garantie dat systemen altijd foutloos, zonder onderbreking of volledig vrij van beveiligingsrisico's zijn.

Bijlage 3. Subverwerkers en leveranciers

KDK Design gebruikt of kan gebruikmaken van de volgende categorieën leveranciers. De concrete leveranciers kunnen wijzigen. Deze lijst is bedoeld als actuele en flexibele beschrijving, niet als beperking tot uitsluitend de genoemde partijen.

Bijlage 4. Afbakening verantwoordelijkheden

Ondertekening

Deze verwerkersovereenkomst kan op verschillende manieren rechtsgeldig worden aanvaard:

• door ondertekening van de beknopte verwerkersovereenkomst van KDK Design, waarin de klant verwijst naar de volledige tekst zoals deze beschikbaar is op kdkdesign.com/dpa;

• door schriftelijk akkoord op de Hoofdovereenkomst of een offerte waarin naar deze verwerkersovereenkomst wordt verwezen;

• door directe ondertekening van dit volledige document, indien partijen daar de voorkeur aan geven.

Voor directe ondertekening kunnen onderstaande velden worden gebruikt. Digitale handtekening of per e-mail bevestigd akkoord geldt als rechtsgeldig.

Plaats en datum

Plaats: ______________________________ Datum: __________________