Verwerkersovereenkomst

Laatst gewijzigd: 11 november 2026 · Versie: 2026-11

Deze verwerkersovereenkomst geldt tussen Wiwi Websolutions (eenmanszaak, KvK 09152354, Prof. Molkenboerstraat 14, 6524 RP Nijmegen; hierna "Wiwi", de Verwerker) en de Klant (de Verwerkingsverantwoordelijke).

Artikel 1. Definities

1.1. AVG (GDPR): de Algemene Verordening Gegevensbescherming.

1.2. Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.

1.3. Verwerking: een bewerking of geheel van bewerkingen met betrekking tot Persoonsgegevens.

1.4. Betrokkene: de natuurlijke persoon op wie een Persoonsgegeven betrekking heeft.

1.5. Verwerkingsverantwoordelijke: degene die het doel van en de middelen voor de Verwerking vaststelt (in deze overeenkomst: de Klant).

1.6. Verwerker: degene die ten behoeve van de Verwerkingsverantwoordelijke Persoonsgegevens verwerkt (in deze overeenkomst: Wiwi).

1.7. Subverwerker: een derde die door Wiwi wordt ingeschakeld voor het uitvoeren van (een deel van) de Verwerking.

1.8. Datalek: een inbreuk in verband met Persoonsgegevens.

1.9. Diensten: de diensten die Wiwi levert, zoals beschreven in de overeenkomst en de algemene voorwaarden.

1.10. Klant: de wederpartij van Wiwi zoals bedoeld in de algemene voorwaarden.

1.11. Klantdata: alle Persoonsgegevens die door of namens de Klant worden opgeslagen, verzonden, geüpload, gegenereerd of anderszins verwerkt via de Diensten.

Artikel 2. Rolverdeling

2.1. Wiwi als Verwerkingsverantwoordelijke. Voor zover Wiwi Persoonsgegevens verwerkt voor de eigen bedrijfsvoering (zoals het beheren van klantaccounts, facturatie en contactbeheer), treedt Wiwi op als Verwerkingsverantwoordelijke. Die verwerkingen vallen buiten deze verwerkersovereenkomst en zijn beschreven in de privacyverklaring van Wiwi.

2.2. Wiwi als Verwerker. Voor de verwerking van Klantdata via de Diensten treedt de Klant op als Verwerkingsverantwoordelijke en bepaalt het doel en de middelen. Wiwi verwerkt de Klantdata uitsluitend als Verwerker, ten behoeve van de Klant en op basis van deze verwerkersovereenkomst.

2.3. Wiwi als Subverwerker. Neemt de Klant de Diensten af ten behoeve van derden (bijvoorbeeld als reseller of bureau) en treedt de Klant daarbij zelf op als Verwerker richting zijn eigen klanten, dan verwerkt Wiwi de Klantdata als Subverwerker van de Klant.

Artikel 3. Doeleinden van de verwerking

3.1. Wiwi verbindt zich om, onder de voorwaarden van deze verwerkersovereenkomst, in opdracht van de Klant Persoonsgegevens te verwerken.

3.2. De Persoonsgegevens die Wiwi verwerkt en de categorieën Betrokkenen zijn opgenomen in artikel 6.

3.3. Wiwi verwerkt de Persoonsgegevens niet voor enig ander doel dan door de Klant is vastgesteld. Wiwi gebruikt Klantdata nooit voor eigen doeleinden, analyse, profilering of marketing.

3.4. De Klant stelt Wiwi op de hoogte van de verwerkingsdoeleinden voor zover die niet reeds in deze overeenkomst zijn genoemd.

3.5. De in opdracht te verwerken Persoonsgegevens blijven eigendom van de Klant en/of de betreffende Betrokkenen.

3.6. Wiwi verwerkt de Persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Klant, ook wat betreft doorgiften van gegevens naar een derde land, tenzij een op Wiwi van toepassing zijnde wettelijke bepaling haar tot verwerking verplicht. In dat geval stelt Wiwi de Klant vóór de verwerking in kennis van dat wettelijke voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.

Artikel 4. Verplichtingen van Wiwi

4.1. Wiwi draagt zorg voor de naleving van de toepasselijke wet- en regelgeving op het gebied van de bescherming van Persoonsgegevens, waaronder de AVG.

4.2. Wiwi informeert de Klant op diens eerste verzoek over de maatregelen die zij heeft genomen ter nakoming van haar verplichtingen onder deze overeenkomst.

4.3. De verplichtingen van Wiwi gelden ook voor degenen die onder haar gezag Persoonsgegevens verwerken, waaronder werknemers.

4.4. Wiwi stelt de Klant onmiddellijk in kennis indien naar haar mening een instructie van de Klant in strijd is met de in 4.1 bedoelde wetgeving.

Artikel 5. Doorgifte van Persoonsgegevens

5.1. Wiwi verwerkt de Klantdata in beginsel binnen de Europese Economische Ruimte (EER). Onze servers en klantomgevingen draaien bij hostingpartners in Nederland (Theory7) en Duitsland (Hetzner).

5.2. In beginsel verwerkt Wiwi geen Klantdata buiten de EER. De eigen e-mailvoorziening van Wiwi (Proton, Zwitserland) — waaronder ook e-mail die de Klant zelf aan Wiwi stuurt — betreft de eigen correspondentie van Wiwi, die zij als verwerkingsverantwoordelijke verwerkt via de versleutelde e-mailomgeving van Proton (zie de privacyverklaring). Dit is geen Klantdata in de zin van deze overeenkomst (artikel 1.11) en valt daarbuiten.

5.3. Indien voor een specifiek onderdeel van de Diensten (bijvoorbeeld beveiligings- of supporttools) Klantdata buiten de EER wordt verwerkt, gebeurt dat uitsluitend indien is voldaan aan de voorwaarden voor internationale doorgifte onder Hoofdstuk V AVG.

5.4. Wiwi informeert de Klant op verzoek over de betrokken landen, (Sub)verwerkers en gehanteerde waarborgen.

5.5. Maakt de Klant gemotiveerd bezwaar tegen een specifieke Subverwerker of doorgifte buiten de EER (bijvoorbeeld vanwege compliance-eisen), dan treden partijen in overleg over een redelijk alternatief. Is dat er niet, dan kan de Klant het betreffende onderdeel van de Diensten opzeggen met inachtneming van een redelijke termijn.

Artikel 6. Te verwerken Persoonsgegevens

6.1. Wiwi verwerkt de Persoonsgegevens die door of namens de Klant via de Diensten worden opgeslagen, verzonden, geüpload of anderszins verwerkt (Klantdata). De aard en omvang van de Klantdata — en daarmee de categorieën Persoonsgegevens en Betrokkenen — worden bepaald door de Klant, afhankelijk van wat de Klant op zijn website, webshop, applicatie of e-mailomgeving verwerkt (bijvoorbeeld gegevens van websitebezoekers, webshopklanten of nieuwsbriefabonnees).

6.2. Wenst de Klant dat Wiwi andere Persoonsgegevens verwerkt dan bedoeld in 6.1, dan worden die in een aparte of aangevulde verwerkersovereenkomst opgenomen.

Artikel 7. Verdeling van verantwoordelijkheid

7.1. De toegestane verwerkingen worden door medewerkers van Wiwi uitgevoerd binnen een (grotendeels) geautomatiseerde omgeving.

7.2. Wiwi is uitsluitend verantwoordelijk voor de verwerking van de Persoonsgegevens onder deze overeenkomst, overeenkomstig de instructies van de Klant en onder de uitdrukkelijke eindverantwoordelijkheid van de Klant. Voor alle overige verwerkingen — waaronder het verzamelen van de gegevens door de Klant, verwerkingen voor niet aan Wiwi gemelde doeleinden, en verwerkingen door derden — is Wiwi uitdrukkelijk niet verantwoordelijk.

7.3. De Klant garandeert dat de inhoud, het gebruik en de opdracht tot verwerking van de Persoonsgegevens niet onrechtmatig zijn en geen inbreuk maken op rechten van derden.

7.4. AI Toepassingen en Automatiseringen. Geeft de Klant een AI Toepassing of Automatisering (artikel 24 van de algemene voorwaarden) toegang tot zijn gegevens, of laat hij Wiwi die koppeling inrichten, dan geldt dat als gedocumenteerde instructie van de Klant in de zin van artikel 28 lid 3 sub a AVG, ook voor de doorgifte naar een derde land die daarmee gepaard gaat. De aanbieder van de Toepassing is geen Subverwerker van Wiwi; artikel 8 is op hem niet van toepassing. Artikel 4.4 blijft onverkort gelden.

Artikel 8. Inschakelen van derden (Subverwerkers)

8.1. Wiwi mag in het kader van de Diensten gebruikmaken van Subverwerkers. Het actuele overzicht staat in artikel 8.6; onze privacyverklaring verwijst voor deze lijst hiernaar.

8.2. Dit overzicht bevat per Subverwerker de aard van de dienstverlening, de categorieën Persoonsgegevens die kunnen worden verwerkt, de verwerkingslocatie en het doorgiftemechanisme indien sprake is van verwerking buiten de EER.

8.3. Wiwi mag het overzicht van tijd tot tijd wijzigen en informeert de Klant over wezenlijke wijzigingen. De Klant heeft het recht binnen een redelijke termijn gemotiveerd bezwaar te maken tegen een nieuwe of gewijzigde Subverwerker (zie 5.5).

8.4. Wiwi schakelt Subverwerkers uitsluitend in op basis van een schriftelijke of elektronisch aanvaarde overeenkomst waarin ten minste dezelfde gegevensbeschermingsverplichtingen worden opgelegd als in deze verwerkersovereenkomst, en die voldoende waarborgen biedt voor de bescherming van Persoonsgegevens.

8.5. Komt een Subverwerker zijn gegevensbeschermingsverplichtingen niet na, dan blijft Wiwi jegens de Klant volledig aansprakelijk voor de nakoming van die verplichtingen, alsof zij de betreffende verwerking zelf had uitgevoerd. Op deze aansprakelijkheid zijn de aansprakelijkheidsbeperkingen uit artikel 15 van de algemene voorwaarden van toepassing.

8.6. Overzicht. Wiwi maakt onderscheid tussen Subverwerkers (verwerken Klantdata namens Wiwi), overige ontvangers / zelfstandig verantwoordelijken (verwerken gegevens vanuit een eigen wettelijke of contractuele rol) en technische leveranciers zonder toegang tot Klantdata.

a. Subverwerkers (met toegang tot Klantdata)

• Theory7 b.v. — Land: Nederland; Aard van de dienst: Hosting, servers en beheer van klantomgevingen; domeinbeheer; Categorieën gegevens: Alle op de servers verwerkte Klantdata; Doorgifte: Binnen EER. Theory7 heeft een eigen verwerkersovereenkomst en subverwerkerslijst
• Hetzner Online GmbH — Land: Duitsland; Aard van de dienst: Hosting/servers waarop klantomgevingen draaien; Categorieën gegevens: Alle op deze servers verwerkte Klantdata; Doorgifte: Binnen EER. Hetzner biedt een eigen AVV/DPA en is ISO 27001-gecertificeerd
• Zenkit (Axonic GmbH) — Land: Duitsland; Aard van de dienst: Beperkte project- en werknotities met minimale persoonsgegevens; Categorieën gegevens: Basis contact-/projectnotities; Doorgifte: Binnen EER

N.B. Wiwi's eigen e-mailvoorziening (Proton, Zwitserland) verwerkt geen Klantdata en is daarom geen subverwerker onder deze overeenkomst; die verwerking staat beschreven in de privacyverklaring.

b. Overige ontvangers en zelfstandig verwerkingsverantwoordelijken

• Domeinregistries en registrars (o.a. SIDN voor .nl, via Theory7): verwerken houdergegevens (naam, adres, e-mail, telefoon) om het domeineigenaarschap vast te leggen. Zij handelen vanuit een eigen registratierechtelijke rol en worden niet als Subverwerker aangemerkt.
• Voor onze eigen administratie: Mollie B.V. (betalingen, zelfstandig verwerkingsverantwoordelijke), WeFact (Nmbrs Invoicing B.V., onderdeel van Nmbrs en de Visma groep; facturatie, onze verwerker) en onze externe boekhouder (via Exact Online). Zij ontvangen alleen onze eigen klant- en factuurgegevens, nooit Klantdata die wij voor de Klant als Verwerker verwerken.
• Let's Encrypt: uitgifte en beheer van SSL/TLS-certificaten vanuit een eigen certificeringsrechtelijke rol.

c. Technische leveranciers (in beginsel zonder toegang tot Klantdata)

• Datacenter-/colocatiepartijen van onze hostingpartners (Theory7 en Hetzner): leveren de fysieke infrastructuur en hebben in beginsel geen logische toegang tot Klantdata.
• Server-/beheersoftware (o.a. CloudLinux/Imunify360 voor beveiliging, webserver-/cachingsoftware): draait op door onze hostingpartners beheerde systemen; beveiligingssoftware kan hierbij technische log- en beveiligingsgegevens verwerken, maar heeft geen zelfstandige toegang tot Klantdata.

Krijgt een van deze technische leveranciers in een specifiek geval — bijvoorbeeld voor support of onderhoud — met onze uitdrukkelijke toestemming toch toegang tot Persoonsgegevens, dan is die partij gebonden aan geheimhouding en de toepasselijke gegevensbeschermingsverplichtingen, en beoordelen wij haar kwalificatie (subverwerker of overige ontvanger) opnieuw.

Artikel 9. Beveiliging

9.1. Wiwi neemt passende technische en organisatorische maatregelen om de Klantdata te beschermen tegen verlies of enige vorm van onrechtmatige verwerking (zoals onbevoegde kennisname, aantasting, wijziging of verstrekking).

9.2. Wiwi heeft in ieder geval de volgende maatregelen getroffen:

• versleuteling van verbindingen via TLS/SSL;
• beveiliging op serverniveau, met malware-, virus- en spamdetectie;
• toegang uitsluitend op basis van noodzaak, onder geheimhouding;
• gescheiden/geïsoleerde klantomgevingen;
• redundante infrastructuur en dagelijkse back-ups (mede afhankelijk van de afgenomen Dienst).

9.3. Alleen daartoe gemachtigde personen hebben toegang tot de Persoonsgegevens; zij zijn gebonden aan geheimhouding.

9.4. De omschreven maatregelen bieden, gelet op de stand van de techniek en de aard van de verwerking, een passend beveiligingsniveau. Wiwi kan geen absolute veiligheid garanderen; de getroffen maatregelen vormen een inspanningsverplichting gericht op een passend beveiligingsniveau. De Klant blijft eindverantwoordelijke voor de governance van zijn eigen gegevens.

Artikel 10. Meldplicht (datalekken)

10.1. De Klant is als Verwerkingsverantwoordelijke verantwoordelijk voor het melden van een Datalek aan de toezichthouder (Autoriteit Persoonsgegevens) en/of Betrokkenen. Om de Klant hiertoe in staat te stellen, stelt Wiwi de Klant zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat het Datalek bij Wiwi bekend is geworden, op de hoogte.

10.2. Een melding wordt alleen gedaan als het Datalek zich daadwerkelijk heeft voorgedaan.

10.3. De melding van Wiwi bevat in ieder geval: de aard van de inbreuk (waar mogelijk met categorieën en aantallen Betrokkenen), een contactpunt voor meer informatie, de waarschijnlijke gevolgen, en de genomen of voorgestelde maatregelen.

10.4. Wiwi meldt niet zelf aan de toezichthouder of Betrokkenen namens de Klant; die verantwoordelijkheid ligt bij de Klant. Wiwi kan de Klant adviseren over een melding, maar de beslissing om wel of niet te melden ligt uitsluitend bij de Klant. Besluit de Klant niet te melden, dan meldt Wiwi niet zelf. Dit laat de medewerkingsplicht van Wiwi jegens de Autoriteit Persoonsgegevens (artikel 31 AVG) onverlet.

Artikel 11. Afhandeling van verzoeken van Betrokkenen

11.1. Richt een Betrokkene een verzoek tot uitoefening van zijn wettelijke rechten (inzage, rectificatie, verwijdering, beperking, bezwaar, overdraagbaarheid) aan Wiwi, dan stuurt Wiwi het verzoek door aan de Klant. De Klant handelt het verzoek verder af. Wiwi verleent hierbij redelijke medewerking.

11.2. Wiwi verleent de Klant, rekening houdend met de aard van de verwerking en de haar beschikbare informatie, redelijke medewerking bij een gegevensbeschermingseffectbeoordeling (DPIA, art. 35 AVG) en een voorafgaande raadpleging van de toezichthouder (art. 36 AVG).

Artikel 12. Geheimhouding en vertrouwelijkheid

12.1. Op alle Persoonsgegevens die Wiwi van de Klant ontvangt en/of zelf verzamelt in het kader van deze overeenkomst rust een geheimhoudingsplicht jegens derden.

12.2. Deze geheimhoudingsplicht geldt niet voor zover de Klant uitdrukkelijk toestemming heeft gegeven, het verstrekken logischerwijs noodzakelijk is gezien de aard van de opdracht, of er een wettelijke verplichting bestaat om de informatie te verstrekken.

Artikel 13. Audit

13.1. De Klant heeft het recht een audit te laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden derde, ter controle van de naleving van deze overeenkomst. In eerste instantie kan Wiwi hieraan voldoen door een third-party-verklaring of auditrapport te verstrekken; dit laat het recht van de Klant op een audit, waaronder een inspectie ter plaatse, onverlet.

13.2. Een dergelijke audit kan eens per jaar plaatsvinden, alsook bij een concreet vermoeden van misbruik van Persoonsgegevens.

13.3. Wiwi werkt mee aan de audit en stelt de redelijkerwijs relevante informatie tijdig ter beschikking.

13.4. De kosten van de audit worden door de Klant gedragen.

Artikel 14. Aansprakelijkheid

14.1. De aansprakelijkheid van Wiwi voor schade als gevolg van een toerekenbare tekortkoming in deze verwerkersovereenkomst, of uit onrechtmatige daad of anderszins, is onderworpen aan de aansprakelijkheidsbeperkingen uit artikel 15 van de algemene voorwaarden.

14.2. Waar artikel 15 van de algemene voorwaarden spreekt over Wiwi, wordt daaronder tevens de Verwerker verstaan; waar het spreekt over de Klant, wordt daaronder tevens de Verwerkingsverantwoordelijke verstaan.

14.3. De uitsluitingen en beperkingen komen te vervallen voor zover de schade het gevolg is van opzet of bewuste roekeloosheid van Wiwi.

14.4. De aansprakelijkheidsbeperkingen in dit artikel gelden uitsluitend tussen Wiwi en de Klant en laten onverlet een eventuele directe aansprakelijkheid van Wiwi jegens Betrokkenen op grond van artikel 82 AVG.

Artikel 15. Aangaan, duur en beëindiging

15.1. Deze verwerkersovereenkomst is van toepassing indien en voor zover Wiwi bij de uitvoering van de overeenkomst Persoonsgegevens verwerkt in opdracht van de Klant, dan wel als (sub)verwerker voor de Klant.

15.2. Deze verwerkersovereenkomst maakt integraal onderdeel uit van de overeenkomst en wordt geacht te zijn aangegaan, en door de Klant te zijn aanvaard, op het moment van het aangaan van de overeenkomst of het gebruikmaken van de Diensten.

15.3. Ondertekening van deze verwerkersovereenkomst is niet vereist voor de geldigheid daarvan. Op verzoek stelt Wiwi een ondertekenbaar exemplaar beschikbaar.

15.4. Deze verwerkersovereenkomst geldt voor de duur van de overeenkomst tussen partijen en, bij gebreke daarvan, voor de duur van de samenwerking.

15.5. Bij beëindiging zal Wiwi, naar keuze van de Klant, alle bij haar aanwezige Persoonsgegevens in originele of kopievorm retourneren en/of verwijderen of vernietigen. Uitsluitend gegevens die Wiwi op grond van een wettelijke bewaarplicht moet bewaren, worden voor de duur van die plicht bewaard; contractuele bewaartermijnen doen niet af aan de keuze van de Klant tot teruggave of verwijdering.

15.6. Wiwi mag deze overeenkomst van tijd tot tijd herzien, met een aankondigingstermijn van minimaal twee maanden. Gaat de Klant niet akkoord, dan kan hij tegen het einde van die termijn opzeggen; anders gelden de wijzigingen als goedgekeurd.

Artikel 16. Toepasselijk recht en geschillen

16.1. Op deze verwerkersovereenkomst is Nederlands recht van toepassing.

16.2. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement waar Wiwi is gevestigd.