1. Partijen en toepassing
Deze overeenkomst geldt tussen de klant die in de serviceovereenkomst is geïdentificeerd (de verwerkingsverantwoordelijke) en de daarin geïdentificeerde contractspartij handelend onder de naam Web and Brand (de verwerker). De begrippen hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG).
De overeenkomst geldt alleen voor persoonsgegevens die Web and Brand namens de klant verwerkt bij de overeengekomen dienstverlening. Voor verwerkingen waarvoor Web and Brand zelf doel en middelen bepaalt, zoals de eigen administratie, geldt deze overeenkomst niet.
2. Opdracht en doeleinden
Web and Brand verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de klant en voor de afgesproken dienstverlening. Het kan gaan om het inrichten, hosten, onderhouden of ondersteunen van websites en digitale toepassingen. Welke werkzaamheden en doeleinden daadwerkelijk gelden, staat in de serviceovereenkomst of een korte bijlage.
Web and Brand gebruikt deze gegevens niet voor eigen marketing, verkoop of het trainen van AI-modellen. Aanvullende instructies worden schriftelijk vastgelegd. Als een wettelijke verplichting verwerking voorschrijft, informeert Web and Brand de klant vooraf, tenzij de wet dit verbiedt. Web and Brand meldt direct wanneer een instructie volgens haar in strijd is met de AVG of andere toepasselijke gegevensbeschermingsregels en schort die instructie op totdat deze rechtmatig kan worden uitgevoerd.
De klant bepaalt de rechtsgrond, zorgt voor correcte informatie aan betrokkenen en geeft alleen gegevens en instructies door die rechtmatig en noodzakelijk zijn.
3. Gegevens en klantbijlage
Afhankelijk van de opdracht kunnen naam- en contactgegevens, accountgegevens, formulierinzendingen, bestelgegevens en technische gegevens zoals IP-adressen en logbestanden worden verwerkt. Betrokkenen kunnen bijvoorbeeld bezoekers, klanten, medewerkers of contactpersonen van de klant zijn. Deze voorbeelden vormen geen toestemming voor iedere genoemde verwerking.
Vóór de verwerking leggen partijen in de serviceovereenkomst of korte bijlage vast:
- de identiteit en contactpersonen van beide partijen, inclusief het contact voor datalekken;
- het onderwerp, de aard, de doeleinden en de duur van de verwerking;
- de categorieën persoonsgegevens en betrokkenen;
- de toepasselijke beveiligingsmaatregelen, bewaartermijnen en back-upcycli;
- de subverwerkers, hun werkzaamheden en verwerkingslocaties, inclusief eventuele internationale doorgiften en waarborgen;
- de afspraken over teruggave en verwijdering bij beëindiging.
Bijzondere persoonsgegevens en strafrechtelijke gegevens vallen buiten de opdracht, tenzij partijen deze verwerking vooraf uitdrukkelijk vastleggen en passende aanvullende bescherming afspreken.
4. Beveiliging en geheimhouding
Web and Brand treft en onderhoudt passende technische en organisatorische maatregelen volgens artikel 32 AVG. Het beschermingsniveau sluit aan bij de aard van de gegevens, de verwerkingsrisico’s, de stand van de techniek en de uitvoeringskosten. De concrete maatregelen worden vóór aanvang in de klantbijlage vastgelegd en periodiek op doeltreffendheid beoordeeld.
Daarbij beoordelen partijen onder meer toegangsbeperking, veilige authenticatie, versleuteling waar passend, onderhoud en beveiligingsupdates, logging, back-ups, herstelmogelijkheden en incidentafhandeling. Toegang blijft beperkt tot bevoegde personen die deze nodig hebben voor hun werkzaamheden en tot geheimhouding zijn verplicht. Die geheimhouding blijft gelden na beëindiging.
5. Datalekken
Web and Brand informeert de klant zonder onredelijke vertraging zodra zij kennis heeft van een inbreuk op persoonsgegevens binnen deze opdracht. Zij wacht niet op een volledig onderzoek. De eerste melding gaat naar het afgesproken datalekcontact; aanvullende informatie volgt zodra die beschikbaar is.
De melding bevat voor zover bekend de aard van het incident, de betrokken gegevens en personen, de vermoedelijke gevolgen, genomen of voorgestelde maatregelen en een contactpunt. Web and Brand onderzoekt het incident, beperkt de gevolgen, documenteert de afhandeling en ondersteunt de klant bij diens meldplicht.
De klant beoordeelt en verzorgt de melding aan de toezichthouder en, waar nodig, betrokkenen. De wettelijke termijn van in beginsel 72 uur voor de klant is geen wachttijd voor Web and Brand. Partijen kunnen in de bijlage een kortere operationele meldtermijn afspreken.
6. Rechten, medewerking en controle
Web and Brand helpt de klant, rekening houdend met de aard van de verwerking, bij verzoeken om inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar. Een rechtstreeks ontvangen verzoek wordt zonder onredelijke vertraging doorgestuurd naar de klant. Web and Brand handelt het alleen op instructie van de klant af, tenzij de wet anders vereist.
Web and Brand ondersteunt de klant bij beveiliging, datalekmeldingen, gegevensbeschermingseffectbeoordelingen (DPIA) en voorafgaande raadpleging van de toezichthouder, rekening houdend met de aard van de verwerking en de beschikbare informatie.
Web and Brand verstrekt alle informatie die nodig is om naleving van deze overeenkomst en artikel 28 AVG aan te tonen. Zij maakt audits en inspecties door de klant of diens onafhankelijke auditor mogelijk en werkt eraan mee. Partijen stemmen planning, geheimhouding en bescherming van andere klanten af; die afspraken mogen noodzakelijke controle niet verhinderen. Eventuele kostenafspraken beperken de wettelijke medewerking niet.
7. Subverwerkers
Web and Brand schakelt alleen subverwerkers in met voorafgaande specifieke of algemene schriftelijke toestemming van de klant. De klantbijlage vermeldt de toegestane partijen, hun rol en locaties. Een leverancier die de klant zelf rechtstreeks inschakelt, is niet automatisch een subverwerker van Web and Brand.
Bij algemene toestemming informeert Web and Brand de klant vooraf schriftelijk over een voorgenomen toevoeging of vervanging, met voldoende informatie en tijd om vóór inzet bezwaar te maken. Partijen proberen een onderbouwd privacybezwaar op te lossen. Totdat dit is opgelost of specifieke toestemming is gegeven, verwerkt de nieuwe partij geen klantgegevens. Als een oplossing ontbreekt, bespreken partijen een alternatief of beëindiging van het betrokken dienstonderdeel.
Web and Brand legt de subverwerker ten minste dezelfde gegevensbeschermingsverplichtingen op en blijft tegenover de klant verantwoordelijk voor de nakoming daarvan.
8. Internationale doorgiften
Verwerking buiten de Europese Economische Ruimte (EER), waaronder toegang vanuit een derde land, vindt alleen plaats op gedocumenteerde instructie van de klant en met naleving van hoofdstuk V AVG. De betrokken landen, ontvangers en waarborgen worden vooraf in de bijlage opgenomen.
Partijen beoordelen waar van toepassing een adequaatheidsbesluit of passende waarborgen, zoals standaardcontractbepalingen, de risico’s van de doorgifte en noodzakelijke aanvullende maatregelen. Toestemming voor een subverwerker is op zichzelf geen geldige doorgiftegrondslag. Als voldoende bescherming ontbreekt, vindt de doorgifte niet plaats of wordt zij opgeschort.
9. Duur en bewaartermijnen
Deze overeenkomst geldt gedurende de opgedragen verwerking en blijft van toepassing zolang Web and Brand nog persoonsgegevens voor de klant onder zich heeft. De klant bepaalt de bewaartermijnen; Web and Brand bewaart gegevens niet langer dan voor de opdracht of een wettelijke verplichting nodig is.
Partijen leggen per relevante gegevenscategorie de bewaartermijn of het criterium daarvoor vast, inclusief logbestanden en back-ups. Back-ups zijn alleen beschikbaar voor beveiliging en herstel, hebben beperkte toegang en worden volgens de overeengekomen cyclus overschreven. Na herstel worden eerder uitgevoerde verwijderingen opnieuw toegepast.
10. Teruggave en verwijdering
Na beëindiging geeft Web and Brand naar keuze van de klant de persoonsgegevens terug of verwijdert deze, en verwijdert bestaande kopieën, tenzij een wettelijke bewaarplicht dit verhindert. Formaat, overdrachtswijze en uitvoeringstermijn worden vooraf in de bijlage afgesproken. Teruggave vindt veilig en in een bruikbaar formaat plaats.
Als onmiddellijke verwijdering uit back-ups technisch niet mogelijk is, worden de gegevens buiten gebruik gesteld en volgens de vastgelegde back-upcyclus verwijderd. Bij wettelijke bewaring informeert Web and Brand de klant over grond en termijn, voor zover toegestaan, en beperkt zij de verwerking tot die verplichting. Op verzoek bevestigt Web and Brand de uitvoering schriftelijk.
11. Wijzigingen en rangorde
Een nieuwe websiteversie verandert bestaande afspraken niet automatisch. Web and Brand kondigt wijzigingen vooraf schriftelijk aan met versienummer, datum, inhoud en beoogde ingangsdatum. Wijzigingen gelden voor een bestaande klant pas na schriftelijke of elektronische aanvaarding, behoudens rechtstreeks geldende wettelijke verplichtingen. Zonder aanvaarding blijft de eerder overeengekomen versie gelden zolang deze rechtmatig uitvoerbaar is.
Voor persoonsgegevens gaat deze overeenkomst voor op strijdige algemene voorwaarden. De serviceovereenkomst of bijlage concretiseert de opdracht en kan uitdrukkelijk afwijkende of aanvullende afspraken bevatten, voor zover de AVG dit toestaat. Dwingend recht blijft leidend.
12. Aanvaarding en contact
Partijen aanvaarden deze overeenkomst schriftelijk of elektronisch, bijvoorbeeld in de serviceovereenkomst, met een uitdrukkelijke verwijzing naar versie 2.1 van 18 september 2026 en de bijbehorende klantbijlage. Beide partijen moeten de aanvaarde tekst duurzaam kunnen bewaren. Alleen het bezoeken van deze pagina of het afnemen van een dienst geldt niet als aanvaarding.
Vragen of instructies over deze overeenkomst kunnen naar info@webandbrand.nl. Voor incidenten gebruiken partijen het datalekcontact uit de serviceovereenkomst of bijlage.
Wettelijk kader: Algemene verordening gegevensbescherming, in het bijzonder artikelen 28, 32–36 en hoofdstuk V.