Verwerkersovereenkomst (DPA)

Versie: 22 augustus 2026

Dit is de standaardverwerkersovereenkomst van Cleefio. Zij is hier ter informatie gepubliceerd en maakt onderdeel uit van de overeenkomst met iedere zakelijke klant, tenzij partijen schriftelijk een afzonderlijke verwerkersovereenkomst hebben gesloten.

Deze verwerkersovereenkomst maakt onderdeel uit van de overeenkomst tussen de zakelijke klant (de Verwerkingsverantwoordelijke) en Cleefio, handelsnaam van Haarlemmer Commercie (de Verwerker).

1. Rollen

  1. De klant bepaalt voor de in deze overeenkomst beschreven verwerkingen de doeleinden en, voor zover van toepassing, de middelen van de verwerking en treedt op als Verwerkingsverantwoordelijke.
  2. Cleefio verwerkt persoonsgegevens namens de klant voor zover dit noodzakelijk is voor de overeengekomen website- en hostingdiensten en treedt voor die verwerkingen op als Verwerker.

2. Onderwerp en duur

De verwerking betreft het technisch ontvangen, opslaan, beheren en doorgeven van persoonsgegevens die via de website van de klant worden verzameld. De verwerking duurt zolang Cleefio deze diensten voor de klant uitvoert en zolang na beëindiging nog een wettelijke of technische afwikkelingsperiode bestaat.

3. Categorieën betrokkenen

Afhankelijk van de door de klant gebruikte functies kunnen persoonsgegevens betrekking hebben op:

4. Persoonsgegevens

Afhankelijk van de door de klant geconfigureerde website kunnen dit onder meer zijn:

De klant bepaalt welke gegevens hij via zijn website laat verzamelen. De klant mag geen bijzondere persoonsgegevens verzamelen via Cleefio-functies wanneer dit niet vooraf passend is afgestemd en technisch/organisatorisch niet afdoende wordt ondersteund.

5. Instructies

  1. Cleefio verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructies van de klant, tenzij een wettelijke verplichting anders vereist.
  2. De klant is verantwoordelijk voor de rechtmatigheid van de verwerking, de doeleinden, de gekozen grondslag en de informatie aan betrokkenen.
  3. Cleefio zal de klant informeren wanneer een instructie naar haar redelijk oordeel in strijd is met toepasselijke privacywetgeving en kan uitvoering van een instructie opschorten wanneer dit noodzakelijk is om een ernstig juridisch of beveiligingsrisico te voorkomen.

6. Vertrouwelijkheid en toegang

Cleefio beperkt toegang tot persoonsgegevens tot personen en systemen die deze toegang nodig hebben voor de dienstverlening. Personen die toegang hebben tot persoonsgegevens zijn gehouden aan passende geheimhouding.

7. Beveiliging

Cleefio neemt passende technische en organisatorische maatregelen, waaronder toegangsbeperkingen, authenticatie, database policies, logische klantisolatie en beveiligingsmaatregelen bij de gebruikte infrastructuur.

8. Subverwerkers

De klant geeft Cleefio algemene voorafgaande toestemming om de externe dienstverleners op de actuele subverwerkerslijst in te schakelen voor zover deze noodzakelijk zijn voor de dienstverlening.

De actuele lijst wordt gepubliceerd via de subverwerkerspagina van Cleefio. Cleefio informeert de klant over relevante toevoegingen of vervangingen overeenkomstig de toepasselijke AVG-regels en biedt de klant, waar wettelijk vereist, een redelijke mogelijkheid om bezwaar te maken.

9. Hulp bij rechten van betrokkenen

Voor zover redelijk en noodzakelijk ondersteunt Cleefio de klant bij verzoeken van betrokkenen om inzage, correctie, verwijdering, beperking, dataportabiliteit of bezwaar, voor zover die verzoeken betrekking hebben op persoonsgegevens die Cleefio namens de klant verwerkt.

De klant blijft verantwoordelijk voor het inhoudelijk beoordelen en beantwoorden van verzoeken.

10. Datalekken en beveiligingsincidenten

Cleefio informeert de klant zonder onredelijke vertraging nadat zij een inbreuk in verband met persoonsgegevens heeft vastgesteld die betrekking heeft op persoonsgegevens die zij namens de klant verwerkt. Cleefio verstrekt, voor zover redelijk beschikbaar, informatie die de klant nodig heeft om zijn verplichtingen rond beoordeling en eventuele melding van het incident na te komen.

11. DPIA en beveiligingsverplichtingen

Wanneer de verwerking een hoog risico voor betrokkenen kan opleveren, werkt Cleefio binnen haar rol als verwerker redelijk mee aan de informatie die de klant nodig heeft voor een DPIA en andere privacyverplichtingen. De klant blijft verantwoordelijk voor het beoordelen of een DPIA verplicht is.

12. Verwijdering en teruggave

Na beëindiging van de dienstverlening zal Cleefio persoonsgegevens die zij namens de klant verwerkt verwijderen of teruggeven volgens de afspraken met de klant, behoudens gegevens die wettelijk moeten worden bewaard of die tijdelijk in reguliere back-ups aanwezig kunnen blijven. Back-ups worden volgens de normale technische cyclus overschreven of verwijderd.

13. Audits en informatie

Cleefio verstrekt redelijkerwijs noodzakelijke informatie om de klant in staat te stellen aan te tonen dat de verwerkingsverplichtingen worden nageleefd. Een audit of controle moet redelijk zijn, mag de dienstverlening niet onnodig verstoren en mag geen beveiligingsinformatie onthullen die niet noodzakelijk is voor de beoordeling.

14. Doorgiften buiten de EER

Wanneer een subverwerker of andere dienstverlener persoonsgegevens buiten de Europese Economische Ruimte verwerkt, wordt een geldige doorgiftemechanisme en passende waarborg toegepast wanneer dit wettelijk vereist is.

15. Verantwoordelijkheden van de klant

De klant:

16. Voorwaarden en rangorde

Deze DPA vormt een aanvulling op de Algemene voorwaarden van Cleefio. Bij tegenstrijdigheid tussen deze DPA en de Algemene voorwaarden prevaleert deze DPA voor zover de bepaling betrekking heeft op de verwerking van persoonsgegevens namens de klant.

17. Ondertekening / acceptatie

Door de overeenkomst met Cleefio aan te gaan, accepteert de klant deze verwerkersovereenkomst, tenzij partijen schriftelijk een afzonderlijke verwerkersovereenkomst hebben gesloten.