Verwerkersovereenkomst
Versie: 1.0
Ingangsdatum: 1 januari 2026
Algemeen
Deze Verwerkersovereenkomst (hierna: "Overeenkomst") vormt een integraal en onlosmakelijk onderdeel van de Hoofdovereenkomst voor dienstverlening tussen:
1. Pixcale (Eenmanszaak), gevestigd te Edmond Van Hoorebekestraat 126, 9050 Gent, België, ingeschreven in de Kruispuntbank van Ondernemingen (KBO) onder nummer 0727.918.187, hierna te noemen: "Verwerker";
en
2. De natuurlijke persoon of rechtspersoon die een overeenkomst heeft gesloten met Pixcale voor het afnemen van diensten, hierna te noemen: "Verwerkingsverantwoordelijke" of "Klant".
Hierna gezamenlijk te noemen "Partijen".
1. Definities
De in deze Overeenkomst gebruikte begrippen hebben de betekenis die daaraan wordt toegekend in artikel 4 van de AVG:
- Persoonsgegevens: Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon ("de Betrokkene").
- Verwerking: Een bewerking of een geheel van bewerkingen met betrekking tot Persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés.
- Datalek (Inbreuk in verband met persoonsgegevens): Een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens.
- Toezichthoudende Autoriteit: De Belgische Gegevensbeschermingsautoriteit (GBA).
2. Voorwerp van de Overeenkomst
2.1. Verwerker verbindt zich ertoe om in opdracht en ten behoeve van Verwerkingsverantwoordelijke Persoonsgegevens te verwerken. De verwerking vindt uitsluitend plaats in het kader van de uitvoering van de schriftelijk overeengekomen diensten, waaronder hosting, e-mailvoorziening, domeinregistratie, back-ups en managed services.
2.2. Verwerker zal de Persoonsgegevens niet voor enig ander doel verwerken dan zoals door Verwerkingsverantwoordelijke is vastgesteld, tenzij Verwerker hiertoe wettelijk verplicht is. In dat geval stelt Verwerker de Verwerkingsverantwoordelijke voorafgaand aan de verwerking op de hoogte.
2.3. De zeggenschap over de Persoonsgegevens berust te allen tijde bij de Verwerkingsverantwoordelijke. Verwerker verwerkt de gegevens louter facilitair.
3. Aard en Doel van de Verwerking
3.1. De verwerking door Verwerker betreft de opslag, doorvoer, beveiliging en back-up van digitale data op de infrastructuur van Pixcale.
3.2. De categorieën van Persoonsgegevens die verwerkt kunnen worden, worden bepaald door de Klant en omvatten doorgaans:
- NAW-gegevens, contactgegevens (e-mail, telefoon);
- Inloggegevens, IP-adressen, verbindingslogs;
- Financiële gegevens (indien opgeslagen in databases van de Klant);
- Inhoud van communicatie (e-mailboxen);
- Alle overige gegevens die de Klant of diens eindgebruikers op de servers plaatsen.
4. Verplichtingen Verwerker
4.1. Verwerker zal zorgdragen voor de naleving van de op hem als Verwerker rustende verplichtingen uit de AVG.
4.2. Verwerker zal Verwerkingsverantwoordelijke, op diens eerste verzoek daartoe, informeren over de door haar genomen maatregelen aangaande haar verplichtingen onder deze Overeenkomst.
4.3. De verplichtingen van de Verwerker gelden onverkort voor degenen die Persoonsgegevens verwerken onder het gezag van Verwerker, waaronder begrepen werknemers en ingeschakelde derden.
5. Doorgifte van Persoonsgegevens
5.1. Verwerker verwerkt de Persoonsgegevens in principe binnen de Europese Economische Ruimte (EER).
5.2. Gezien de aard van internetdiensten (bijvoorbeeld domeinregistraties bij internationale registers zoals ICANN/Verisign, of het gebruik van specifieke softwarelicenties uit de VS), erkent de Klant dat doorgifte naar derde landen noodzakelijk kan zijn.
5.3. Indien sprake is van doorgifte naar een land buiten de EER zonder adequaatheidsbesluit, garandeert Verwerker dat passende waarborgen worden getroffen (zoals Standard Contractual Clauses).
6. Verdeling van Verantwoordelijkheid
6.1. Verwerker stelt de technische infrastructuur (hardware, netwerk, basis-software) beschikbaar. De verantwoordelijkheid voor de inrichting, het gebruik en de inhoud van de gehoste omgeving ligt volledig bij de Verwerkingsverantwoordelijke.
6.2. Verwerkingsverantwoordelijke garandeert dat de inhoud, het gebruik en de opdracht tot verwerking van de Persoonsgegevens niet onrechtmatig zijn. De Klant vrijwaart Verwerker tegen alle rechtsvorderingen van derden die hieruit voortvloeien.
6.3. Verwerker is uitdrukkelijk niet verantwoordelijk voor het applicatiebeheer (bijvoorbeeld updates van WordPress, Joomla, plugins of thema's), tenzij dit expliciet schriftelijk is overeengekomen in een Managed Services contract.
7. Inschakelen van Derden (Subverwerkers)
7.1. Verwerkingsverantwoordelijke verleent hierbij algemene schriftelijke toestemming aan Verwerker om derden ("Subverwerkers") in te schakelen voor de uitvoering van de dienstverlening. Dit omvat onder meer datacenter-exploitanten en softwareleveranciers.
7.2. Verwerker draagt er zorg voor dat deze Subverwerkers schriftelijk ten minste dezelfde verplichtingen op zich nemen als overeengekomen in deze Overeenkomst.
7.3. Verwerker zal op verzoek een lijst van actieve Subverwerkers verstrekken. Bij wijzigingen in deze lijst zal Verwerker de Klant informeren. De Klant heeft het recht om binnen 14 dagen na kennisgeving bezwaar te maken.
8. Beveiliging
8.1. Verwerker spant zich in om passende technische en organisatorische maatregelen te nemen om de Persoonsgegevens te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking (conform art. 32 AVG).
8.2. De maatregelen omvatten onder meer:
- Fysieke beveiliging van serverruimtes (uitbesteed aan gecertificeerde datacenters);
- Logische toegangscontrole (wachtwoorden, 2FA, firewalls);
- Versleuteling van data tijdens transport (SSL/TLS);
- Periodieke back-ups en restore-tests.
8.3. Verwerkingsverantwoordelijke is zich ervan bewust dat aan het verzenden van persoonsgegevens via internet risico's verbonden zijn en dat een 100% beveiliging nooit gegarandeerd kan worden.
9. Meldplicht Datalekken
9.1. In het geval van een ontdekking van een Datalek dat betrekking heeft op de Persoonsgegevens van de Klant, zal Verwerker de Verwerkingsverantwoordelijke zonder onredelijke vertraging en uiterlijk binnen 48 uur na vaststelling informeren.
9.2. De melding omvat, voor zover bekend, de aard van de inbreuk, de oorzaak, de getroffen gegevens en de reeds genomen maatregelen.
9.3. De beoordeling of er gemeld moet worden aan de Toezichthoudende Autoriteit en/of Betrokkenen, is de exclusieve verantwoordelijkheid van de Verwerkingsverantwoordelijke.
10. Rechten van Betrokkenen
10.1. Indien een Betrokkene een verzoek tot uitoefening van zijn wettelijke rechten richt aan Verwerker, zal Verwerker dit verzoek onverwijld doorsturen aan Verwerkingsverantwoordelijke. Verwerker zal het verzoek niet zelfstandig afhandelen.
10.2. Verwerker zal medewerking verlenen aan Verwerkingsverantwoordelijke om aan de verzoeken te voldoen. Voor deze bijstand is Verwerker gerechtigd redelijke kosten in rekening te brengen op basis van zijn geldende uurtarieven.
11. Geheimhouding
11.1. Op alle Persoonsgegevens die Verwerker van Verwerkingsverantwoordelijke ontvangt, rust een geheimhoudingsplicht jegens derden. Verwerker zorgt ervoor dat zijn personeel gebonden is aan deze geheimhouding.
11.2. Deze geheimhoudingsplicht geldt niet indien Verwerker verplicht is tot verstrekking op grond van een wettelijk voorschrift of een rechterlijke uitspraak.
12. Audit
12.1. De Klant heeft het recht om de naleving van deze Overeenkomst te controleren. Gezien de aard van de dienstverlening (shared hosting/cloud), stemt de Klant ermee in dat audits in eerste instantie worden uitgevoerd door beoordeling van beschikbare certificaten (bv. ISO 27001) en auditrapporten.
12.2. Indien de Klant een fysieke audit op locatie wenst uit te voeren, gelden de volgende voorwaarden:
- De audit moet minstens 30 werkdagen vooraf schriftelijk worden aangekondigd;
- De auditor moet een onafhankelijke professional zijn die een geheimhoudingsverklaring tekent;
- De Klant draagt alle kosten van de audit, inclusief de interne kosten van Verwerker voor begeleiding (tegen het geldende uurtarief).
13. Aansprakelijkheid
13.1. De totale cumulatieve aansprakelijkheid van Verwerker uit hoofde van deze Overeenkomst is beperkt tot de vergoeding van directe schade tot maximaal het bedrag dat door de Klant aan Verwerker is betaald in de 12 maanden voorafgaand aan de schadeveroorzakende gebeurtenis, met een absoluut maximum van €2.500.
13.2. Onder directe schade wordt uitsluitend verstaan: de redelijke kosten ter vaststelling van de schadeoorzaak en de kosten voor herstel (bv. restore van back-up).
13.3. Aansprakelijkheid van Verwerker voor indirecte schade is uitdrukkelijk uitgesloten. Onder indirecte schade wordt verstaan: gevolgschade, gederfde winst, gemiste besparingen, reputatieschade en verlies van data.
13.4. De beperkingen van aansprakelijkheid gelden niet in geval van opzet of bewuste roekeloosheid van de bedrijfsleiding van Verwerker.
14. Duur en Beëindiging
14.1. Deze Overeenkomst is aangegaan voor de duur van de Hoofdovereenkomst en eindigt van rechtswege zodra de dienstverlening stopt.
14.2. Opzegging van deze Overeenkomst afzonderlijk van de Hoofdovereenkomst is niet mogelijk.
15. Gevolgen van Beëindiging (Exit)
15.1. Bij beëindiging zal Verwerker, naar keuze van de Klant, alle Persoonsgegevens vernietigen of retourneren.
15.2. Verwerker zal de gegevens verwijderen na een standaard 'grace period' van 30 dagen na beëindiging van het contract, tenzij anders overeengekomen. Na deze periode zijn de gegevens onherstelbaar verwijderd.
16. Wijzigingen
16.1. Verwerker is gerechtigd deze Overeenkomst eenzijdig te wijzigen, bijvoorbeeld in geval van wetswijzigingen. Wijzigingen worden minimaal 30 dagen voor inwerkingtreding bekendgemaakt.
17. Slotbepalingen
17.1. Op deze Overeenkomst is uitsluitend het Belgisch recht van toepassing.
17.2. Alle geschillen die tussen Partijen mochten ontstaan, zullen bij uitsluiting worden voorgelegd aan de bevoegde rechtbanken van het arrondissement Gent.
