Sint Hill Technology B.V. als verwerker - versie 1.0, geldig vanaf 1 november 2026

Download PDF | English version

Partijen:

1. de opdrachtgever met wie Sint Hill Technology B.V. de Hoofdovereenkomst heeft gesloten, zoals genoemd in die Hoofdovereenkomst, hierna: "Verwerkingsverantwoordelijke";

2. Sint Hill Technology B.V., statutair gevestigd te Amersfoort, kantoorhoudende aan de Van Asch van Wijckstraat 55, 3811 LP Amersfoort, ingeschreven bij de Kamer van Koophandel onder nummer 42181319, hierna: "Verwerker";

hierna samen: "Partijen".

Overwegende dat:

1. Partijen een of meer overeenkomsten zijn aangegaan waarbij Verwerker diensten verricht voor Verwerkingsverantwoordelijke, waaronder offertes, opdrachtbevestigingen en statements of work, met de daarop toepasselijke algemene voorwaarden van Verwerker (samen de "Hoofdovereenkomst"). Bij de uitvoering daarvan verwerkt Verwerker persoonsgegevens namens Verwerkingsverantwoordelijke;
2. artikel 28 van de Algemene verordening gegevensbescherming ("AVG") vereist dat Partijen hierover afspraken vastleggen;
3. Partijen die afspraken in deze verwerkersovereenkomst (de "Overeenkomst") willen vastleggen;
4. deze Overeenkomst van toepassing is als Partijen haar ondertekenen, of, als Partijen geen andere verwerkersovereenkomst hebben gesloten, op grond van de algemene voorwaarden van Verwerker;
5. Partijen elkaar over en weer tijdig alle informatie verstrekken die nodig is voor een goede naleving van de AVG.

Komen het volgende overeen:

Artikel 1 - Definities

1. Begrippen in deze Overeenkomst hebben de betekenis die de AVG daaraan geeft, waaronder persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker en inbreuk in verband met persoonsgegevens ("Datalek").
2. Subverwerker: een andere verwerker die Verwerker inschakelt voor specifieke verwerkingsactiviteiten namens Verwerkingsverantwoordelijke.
3. Bijlage 1: de specificatie van de verwerking: onderwerp, aard, doel, soorten persoonsgegevens, categorieën betrokkenen, bewaartermijnen en de goedgekeurde Subverwerkers.
4. Bijlage 2: de technische en organisatorische beveiligingsmaatregelen van Verwerker.

Artikel 2 - Onderwerp en instructies

1. Verwerker verwerkt persoonsgegevens alleen namens Verwerkingsverantwoordelijke, voor zover dat nodig is voor de uitvoering van de Hoofdovereenkomst en volgens de schriftelijke instructies van Verwerkingsverantwoordelijke zoals vastgelegd in deze Overeenkomst, de Hoofdovereenkomst en Bijlage 1. Een verwerking die op grond van Unierecht of lidstatelijk recht verplicht is, valt hier niet onder. Verwerker informeert Verwerkingsverantwoordelijke dan vooraf, tenzij dat recht dat verbiedt.
2. Verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking. Verwerker neemt geen beslissingen over het gebruik van persoonsgegevens voor eigen doeleinden.
3. Is een instructie naar het oordeel van Verwerker in strijd met de AVG of andere regelgeving, dan meldt Verwerker dat direct. Verwerker mag de uitvoering van die instructie opschorten totdat Verwerkingsverantwoordelijke de instructie heeft bevestigd of aangepast.
4. Aanvullende of gewijzigde instructies die verder gaan dan de overeengekomen dienstverlening, voert Verwerker uit tegen vergoeding van de daarmee gemoeide redelijke kosten volgens de dan geldende tarieven.
5. Verwerkingsverantwoordelijke staat ervoor in dat:
   • de verwerking rechtmatig is en een geldige grondslag heeft;
   • betrokkenen voldoende zijn geïnformeerd;
   • de verstrekte persoonsgegevens en instructies geen inbreuk maken op rechten van derden.

Artikel 3 - Geheimhouding

1. Verwerker treft passende maatregelen om de geheimhouding van de persoonsgegevens te waarborgen. Verwerker legt dezelfde geheimhoudingsplicht op aan personen die namens hem persoonsgegevens verwerken, waaronder ingeschakelde derden en Subverwerkers, tenzij zij al onder een passende wettelijke geheimhoudingsplicht vallen.
2. De geheimhoudingsplicht geldt niet voor zover Verwerkingsverantwoordelijke toestemming heeft gegeven om gegevens aan een derde te verstrekken, of voor zover verstrekking wettelijk verplicht is.

Artikel 4 - Beveiliging

1. Verwerker treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. Daarbij houdt hij rekening met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking, en met de waarschijnlijkheid en ernst van de risico's voor de rechten en vrijheden van betrokkenen. De maatregelen staan in Bijlage 2.
2. Verwerkingsverantwoordelijke informeert Verwerker over de beveiligingseisen die op de verwerking van toepassing zijn. Verwerkingsverantwoordelijke heeft de maatregelen in Bijlage 2 beoordeeld en acht ze passend voor de risico's van de verwerking.
3. Verwerker mag de maatregelen aanpassen aan nieuwe ontwikkelingen, mits het beveiligingsniveau niet daalt.
4. Wenst Verwerkingsverantwoordelijke aanvullende maatregelen boven Bijlage 2, dan kan Verwerker die uitvoeren tegen vergoeding van de redelijke kosten. Uitvoering vindt pas plaats na schriftelijk akkoord van Partijen.
5. Verwerkt Verwerker persoonsgegevens in systemen of omgevingen van Verwerkingsverantwoordelijke, dan is Verwerkingsverantwoordelijke verantwoordelijk voor de beveiliging van die systemen en omgevingen.

Artikel 5 - Subverwerkers

1. Verwerkingsverantwoordelijke geeft Verwerker algemene schriftelijke toestemming om Subverwerkers in te schakelen. De Subverwerkers op de datum van ondertekening staan in Bijlage 1 en zijn hierbij goedgekeurd.
2. Verwerker informeert Verwerkingsverantwoordelijke ten minste veertien (14) dagen vooraf over een voorgenomen toevoeging of vervanging van een Subverwerker. Verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd en op redelijke gronden bezwaar maken. Vinden Partijen geen oplossing, dan mag elke Partij de betreffende dienstverlening schriftelijk beëindigen, zonder schadevergoeding. Wat al geleverd is, blijft verschuldigd.
3. Verwerker legt aan iedere Subverwerker schriftelijk in wezen dezelfde verplichtingen inzake gegevensbescherming op als in deze Overeenkomst. Komt een Subverwerker zijn verplichtingen niet na, dan blijft Verwerker daarvoor tegenover Verwerkingsverantwoordelijke aansprakelijk binnen de grenzen van artikel 11.
4. Voor standaarddiensten van grote aanbieders (zoals Microsoft) gelden hun eigen standaardvoorwaarden voor gegevensverwerking. Verwerkingsverantwoordelijke stemt ermee in dat die voorwaarden voldoen aan lid 3.

Artikel 6 - Doorgifte buiten de EER

1. Verwerker verwerkt persoonsgegevens in beginsel in de Europese Economische Ruimte. Een doorgifte naar een land buiten de EER, waaronder toegang door een Subverwerker vanuit dat land, vindt alleen plaats als aan hoofdstuk V AVG is voldaan. Dat kan bijvoorbeeld via een adequaatheidsbesluit, zoals het EU-US Data Privacy Framework voor gecertificeerde ontvangers, of via de standaardcontractbepalingen van de Europese Commissie (2021/914).
2. Verwerkingsverantwoordelijke stemt in met de doorgiften die in Bijlage 1 zijn genoemd.

Artikel 7 - Datalekken

1. Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging, en waar mogelijk binnen vierentwintig (24) uur nadat hij kennis heeft genomen van een Datalek. De melding gaat naar het contactadres van Verwerkingsverantwoordelijke in Bijlage 1.
2. Verwerker verstrekt, voor zover bekend en zo nodig in fasen, de informatie die Verwerkingsverantwoordelijke nodig heeft om aan artikel 33 en 34 AVG te voldoen:
   • de aard van het Datalek;
   • de (vermoedelijke) categorieën en het aantal betrokkenen en gegevens;
   • de waarschijnlijke gevolgen;
   • de genomen en voorgestelde maatregelen;
   • een contactpersoon.
3. Verwerker neemt redelijke maatregelen om de gevolgen te beperken en herhaling te voorkomen.
4. Verwerkingsverantwoordelijke beslist of een Datalek wordt gemeld aan de Autoriteit Persoonsgegevens en/of betrokkenen, en doet die melding zelf. Verwerkingsverantwoordelijke informeert Verwerker vooraf over zo'n melding, voor zover dat mogelijk is. Verwerker meldt niet zelf, tenzij hij daartoe wettelijk verplicht is.
5. Een melding of medewerking op grond van dit artikel is geen erkenning van schuld of aansprakelijkheid. Kosten van medewerking die niet het gevolg zijn van een toerekenbare tekortkoming van Verwerker, komen voor rekening van Verwerkingsverantwoordelijke.

Artikel 8 - Rechten van betrokkenen en overige bijstand

1. Ontvangt Verwerker een verzoek van een betrokkene (artikelen 15 tot en met 22 AVG), dan stuurt hij dat onverwijld door aan Verwerkingsverantwoordelijke. Verwerker handelt het verzoek niet zelf af.
2. Verwerker verleent Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking en de informatie waarover hij beschikt, redelijke bijstand bij:
   • het afhandelen van verzoeken van betrokkenen;
   • de verplichtingen uit artikel 32 tot en met 36 AVG, waaronder een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging.
3. De redelijke kosten van bijstand volgens dit artikel komen voor rekening van Verwerkingsverantwoordelijke, volgens de dan geldende tarieven.

Artikel 9 - Informatie en audit

1. Verwerker stelt alle informatie beschikbaar die nodig is om aan te tonen dat hij aan artikel 28 AVG voldoet. Dat doet hij in eerste instantie via schriftelijke informatie, een ingevulde vragenlijst, relevante certificeringen of auditrapporten van Verwerker of zijn Subverwerkers.
2. Is die informatie onvoldoende, dan mag Verwerkingsverantwoordelijke maximaal één keer per kalenderjaar een audit (laten) uitvoeren, en daarnaast na een Datalek bij Verwerker. De audit wordt uitgevoerd door Verwerkingsverantwoordelijke of een door hem aangewezen, tot geheimhouding verplichte auditor die geen concurrent is van Verwerker, onder deze voorwaarden:
   • aankondiging ten minste dertig (30) dagen vooraf;
   • tijdens kantooruren;
   • zonder onevenredige verstoring van de bedrijfsvoering;
   • zonder toegang tot gegevens van andere klanten.
3. Een audit komt voor rekening van Verwerkingsverantwoordelijke, inclusief de tijd die Verwerker eraan besteedt volgens de dan geldende tarieven. Blijkt uit de audit een wezenlijke tekortkoming van Verwerker, dan draagt Verwerker de kosten van herstel van die tekortkoming.
4. Verwerker verleent redelijke medewerking aan onderzoeken van de Autoriteit Persoonsgegevens voor zover die op de verwerking betrekking hebben, en informeert Verwerkingsverantwoordelijke daarover, voor zover dat is toegestaan.

Artikel 10 - Duur, beëindiging en teruggave

1. Deze Overeenkomst geldt zolang Verwerker persoonsgegevens voor Verwerkingsverantwoordelijke verwerkt. Zij eindigt van rechtswege wanneer de Hoofdovereenkomst eindigt en de gegevens zijn teruggegeven of verwijderd. Tussentijdse opzegging los van de Hoofdovereenkomst is niet mogelijk.
2. Na het einde van de dienstverlening doet Verwerker, naar keuze van Verwerkingsverantwoordelijke, het volgende met de persoonsgegevens: hij geeft ze terug in een gangbaar formaat, of hij verwijdert ze. Verwerkingsverantwoordelijke maakt die keuze binnen dertig (30) dagen; anders verwijdert Verwerker de gegevens. Gegevens die op grond van Unierecht of lidstatelijk recht moeten worden bewaard, vallen hier niet onder. Verwerker bevestigt de verwijdering op verzoek schriftelijk.
3. Gegevens in back-ups worden verwijderd volgens de gangbare back-upcyclus van Verwerker en blijven tot dat moment onder deze Overeenkomst vallen.
4. Teruggave in een ander formaat of aanvullende werkzaamheden worden tegen de geldende tarieven in rekening gebracht.
5. Bepalingen die naar hun aard bedoeld zijn om na beëindiging door te werken, blijven gelden. Dat zijn in ieder geval geheimhouding, aansprakelijkheid en toepasselijk recht.

Artikel 11 - Aansprakelijkheid

1. De aansprakelijkheid van Partijen onder deze Overeenkomst volgt uit artikel 82 AVG en de Hoofdovereenkomst. Voor Verwerker geldt daarbij de aansprakelijkheidsbeperking uit de Hoofdovereenkomst en de daarop van toepassing zijnde algemene voorwaarden van Verwerker. Ontbreekt zo'n beperking, dan geldt het volgende. De aansprakelijkheid van Verwerker is beperkt tot vergoeding van directe schade. Zij bedraagt per gebeurtenis nooit meer dan het honorarium (exclusief btw) dat Verwerker in de twaalf (12) maanden vóór de schadeveroorzakende gebeurtenis onder de Hoofdovereenkomst heeft gefactureerd, met een maximum van EUR 1.000.000. Een reeks samenhangende gebeurtenissen geldt als één gebeurtenis. De totale aansprakelijkheid van Verwerker bedraagt per kalenderjaar nooit meer dan EUR 1.000.000. Keert de aansprakelijkheidsverzekering van Verwerker in het betreffende geval uit, dan is de aansprakelijkheid bovendien beperkt tot het uitgekeerde bedrag, vermeerderd met het eigen risico. Keert de verzekeraar om welke reden dan ook niet uit, dan geldt uitsluitend het voorgaande, met als grondslag ten minste het voor de opdracht overeengekomen honorarium.
2. Verwerker is niet aansprakelijk voor indirecte schade of gevolgschade. Daaronder valt in ieder geval:
   • gederfde winst;
   • bedrijfsstagnatie;
   • verlies van gegevens;
   • reputatieschade;
   • boetes of dwangsommen die aan Verwerkingsverantwoordelijke zijn opgelegd, waaronder door de Autoriteit Persoonsgegevens.
3. Verwerkingsverantwoordelijke vrijwaart Verwerker voor aanspraken van betrokkenen en derden die verband houden met de verwerking, en voor de redelijke kosten van verweer daartegen, behalve voor zover de schade is ontstaan doordat Verwerker de specifiek tot verwerkers gerichte verplichtingen van de AVG of de rechtmatige instructies van Verwerkingsverantwoordelijke niet is nagekomen (artikel 82 lid 2 AVG). Aan Verwerker zelf opgelegde boetes vallen niet onder deze vrijwaring.
4. Verwerker is niet aansprakelijk voor schade als gevolg van een schending van de AVG of andere wet- of regelgeving door Verwerkingsverantwoordelijke.
5. Blijft Verwerkingsverantwoordelijke na een melding van Verwerker handelen in strijd met de AVG of andere wet- of regelgeving, dan mag Verwerker deze Overeenkomst en de Hoofdovereenkomst met onmiddellijke ingang schriftelijk beëindigen, zonder tot schadevergoeding gehouden te zijn.
6. Boetebedingen ten laste van Verwerker in verband met de verwerking van persoonsgegevens zijn uitgesloten, ook als zij in andere documenten van Verwerkingsverantwoordelijke staan.
7. De beperkingen in dit artikel gelden niet bij opzet of bewuste roekeloosheid van de leidinggevenden van Verwerker.

Artikel 12 - Slotbepalingen

1. Bij strijdigheid tussen deze Overeenkomst en de Hoofdovereenkomst gaat deze Overeenkomst voor, maar alleen voor zover het de verwerking van persoonsgegevens betreft. Voor alle andere onderwerpen, waaronder aansprakelijkheid, gaat de Hoofdovereenkomst voor.
2. Wijzigingen van deze Overeenkomst en de bijlagen zijn alleen geldig als ze schriftelijk zijn overeengekomen. Verwerker mag Bijlage 1 (Subverwerkers) en Bijlage 2 bijwerken volgens artikel 4 lid 3 en artikel 5.
3. Is een bepaling nietig of vernietigbaar, dan blijven de overige bepalingen van kracht. Partijen vervangen de bepaling dan door een geldige bepaling die de bedoeling zo dicht mogelijk benadert.
4. Op deze Overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter van de rechtbank Midden-Nederland.
5. Deze Overeenkomst is opgesteld in het Nederlands en het Engels. Bij verschil tussen beide versies geldt de Nederlandse tekst.

Ondertekening (alleen als Partijen deze Overeenkomst afzonderlijk ondertekenen):

Bijlage 1 - Specificatie van de verwerking

Bijlage 2 - Technische en organisatorische maatregelen

1. Toegang: least privilege; afzonderlijke accounts per klant waar mogelijk; multifactorauthenticatie (phishing-resistent waar mogelijk) op alle zakelijke accounts; toegang wordt ingetrokken na afloop van de opdracht.
2. Endpoints: apparaten worden centraal beheerd (mobile device management), met volledige schijfversleuteling, toegangscode en automatische schermvergrendeling, actuele updates en endpoint protection.
3. Versleuteling: TLS voor gegevens in transport; versleuteling at rest in de gebruikte clouddiensten.
4. Gegevensminimalisatie: persoonsgegevens worden waar mogelijk in de omgeving van Verwerkingsverantwoordelijke verwerkt en niet gekopieerd naar eigen systemen; testdata wordt waar mogelijk geanonimiseerd. Persoonsgegevens worden niet ingevoerd in externe diensten die geen goedgekeurde Subverwerker zijn, zoals AI-diensten en online tools, tenzij ze eerst zijn gepseudonimiseerd of geaggregeerd.
5. Geheimen en sleutels: opslag in een wachtwoordmanager of key vault, nooit in code of documentatie.
6. Logging en monitoring: relevante beveiligingslogging en alerting op de zakelijke omgeving.
7. Incidentrespons: Datalekken worden beoordeeld en gemeld volgens artikel 7.
8. Personeel en derden: geheimhoudingsverplichting voor iedereen die namens Verwerker werkt; Subverwerkers volgens artikel 5.
9. Back-up en verwijdering: back-ups van eigen zakelijke gegevens; veilige verwijdering na afloop volgens artikel 10.