Verwerkersovereenkomst DIGS

Artikel 1. Partijen

1.1[DIGS B.V. / handelsnaam DIGS], gevestigd te [adres], KvK-nummer [ ... ], hierna "Verwerker" of "DIGS"; en

1.2de Klant die met DIGS een Overeenkomst voor het gebruik van de Dienst heeft gesloten, hierna "Verwerkingsverantwoordelijke" of "Klant".

1.3Deze Verwerkersovereenkomst maakt deel uit van de Overeenkomst en treedt in werking op het moment dat de Overeenkomst tot stand komt. Bij strijdigheid tussen deze Verwerkersovereenkomst en de Algemene voorwaarden gaat, voor zover het de verwerking van Persoonsgegevens betreft, deze Verwerkersovereenkomst voor.

Artikel 2. Definities

AVG: Verordening (EU) 2016/679 (Algemene verordening gegevensbescherming) en de Uitvoeringswet AVG.

Persoonsgegevens, Verwerking, Betrokkene, Verwerkingsverantwoordelijke, Verwerker, Subverwerker, Inbreuk in verband met persoonsgegevens (Datalek), Toezichthouder: hebben de betekenis die de AVG daaraan geeft.

Klantpersoonsgegevens: alle Persoonsgegevens die DIGS in het kader van de Dienst ten behoeve van Klant verwerkt, zoals nader omschreven in artikel 4.

Beveiligingsmaatregelen: de technische en organisatorische maatregelen beschreven in Bijlage 2.

Artikel 3. Onderwerp, duur, aard en doel van de verwerking

3.1Onderwerp. DIGS verwerkt Klantpersoonsgegevens uitsluitend in opdracht van en ten behoeve van Klant bij het leveren van de Dienst: het hosten, opslaan, beschikbaar stellen, delen (volgens de Datadelingsregel), exporteren, beveiligen, back-uppen en ondersteunen van de webapplicatie DIGS.

3.2Duur. De verwerking duurt zolang de Overeenkomst loopt, verlengd met de termijnen voor teruggave en wissen uit artikel 13.

3.3Aard. De verwerking omvat het verzamelen (via invoer door Gebruikers en via de API), vastleggen, opslaan, ordenen, raadplegen, beschikbaar stellen aan geautoriseerde Gebruikers van Klant en van Betrokken Partijen, verzenden van e-mailnotificaties, exporteren, back-uppen en wissen van Klantpersoonsgegevens.

3.4Doel. Het registreren, afhandelen, delen en analyseren van graafschades aan kabels en leidingen, de communicatie daarover tussen betrokken organisaties, het beheer van Gebruikers en rechten, en de beveiliging en aantoonbaarheid van het gebruik van de Dienst (auditlog).

3.5DIGS verwerkt Klantpersoonsgegevens niet voor eigen doeleinden. Uitgezonderd zijn (a) de verwerkingen waarvoor DIGS zelf verwerkingsverantwoordelijke is (beveiliging van de Dienst en van accounts, waaronder het auditlog, inlogpogingen en IP-adressen; support; facturatie; website) zoals beschreven in de Privacyverklaring, en (b) het gebruik van geaggregeerde en geanonimiseerde gegevens die geen Persoonsgegevens meer zijn, zoals bepaald in de Algemene voorwaarden. Voor de accountgegevens zelf (naam, e-mailadres, organisatie, rol en rechten) is DIGS verwerker.

Artikel 4. Categorieën betrokkenen en persoonsgegevens

DIGS verwerkt ten behoeve van Klant de volgende categorieën Persoonsgegevens van de volgende categorieën Betrokkenen:

4.1Bijzondere categorieën persoonsgegevens (artikel 9 AVG), gegevens over strafrechtelijke veroordelingen (artikel 10 AVG) en burgerservicenummers worden niet verwerkt en mogen door Klant niet in de Dienst worden ingevoerd. Klant ziet erop toe dat Gebruikers geen dergelijke gegevens in vrije tekstvelden of op foto's vastleggen.

4.2Klant is verantwoordelijk voor de rechtmatigheid van de invoer en van de deling van Klantpersoonsgegevens met Betrokken Partijen via de Datadelingsregel. Elke Organisatie die via de Dienst Klantpersoonsgegevens ontvangt, is voor haar eigen verdere verwerking zelfstandig verwerkingsverantwoordelijke. De Organisatie die een Melding indient, bepaalt met haar Datadelingsregel als enige of en met welke Betrokken Partijen de Melding wordt gedeeld, en is verwerkingsverantwoordelijke voor die verstrekking. Ontvangende Organisaties beslissen daar niet over mee; zij zijn daarom geen gezamenlijk verwerkingsverantwoordelijken in de zin van artikel 26 AVG.

Artikel 5. Instructies en verplichtingen van partijen

5.1DIGS verwerkt Klantpersoonsgegevens uitsluitend op basis van schriftelijke instructies van Klant. De Overeenkomst, deze Verwerkersovereenkomst en het gebruik van de functies van de Dienst door Klant (waaronder de instellingen van de Datadelingsregel, rollen en rechten, en exports) gelden als die instructies. Aanvullende instructies worden schriftelijk gegeven en mogen niet buiten de functionaliteit van de Dienst treden; DIGS mag redelijke kosten voor de uitvoering daarvan in rekening brengen.

5.2DIGS informeert Klant onverwijld als een instructie naar het oordeel van DIGS in strijd is met de AVG of andere wetgeving.

5.3DIGS verwerkt Klantpersoonsgegevens alleen buiten de instructies van Klant als een Unierechtelijke of Nederlandse wettelijke bepaling DIGS daartoe verplicht. In dat geval informeert DIGS Klant vooraf over die verplichting, tenzij de wet dit verbiedt.

5.4Klant is als Verwerkingsverantwoordelijke verantwoordelijk voor (a) de rechtsgrond voor de verwerking, (b) het informeren van Betrokkenen, (c) het uitvoeren van een eventuele gegevensbeschermingseffectbeoordeling (DPIA), (d) het instrueren van haar Gebruikers over dataminimalisatie (geen onnodige persoonsgegevens in foto's, omschrijvingen en berichten), en (e) het beheer van accounts, rollen, rechten en de Datadelingsregel.

5.5DIGS ondersteunt Klant, voor zover redelijkerwijs mogelijk en rekening houdend met de aard van de verwerking, bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG (beveiliging, datalekmelding, DPIA en voorafgaande raadpleging).

5.6Vereist een verwerking waarvoor DIGS zelf verwerkingsverantwoordelijke is een gegevensbeschermingseffectbeoordeling (DPIA), dan voert DIGS die tijdig uit en informeert zij Klant over de uitkomst voor zover die Klant raakt. DIGS informeert Klant ook als zij redelijkerwijs verwacht dat het gebruik van de Dienst door Klant een DPIA vereist.

Artikel 6. Geheimhouding

6.1DIGS houdt Klantpersoonsgegevens geheim en verstrekt deze niet aan derden, behoudens aan Subverwerkers volgens artikel 8, aan Betrokken Partijen volgens de Datadelingsregel van Klant, of op grond van een wettelijke verplichting.

6.2DIGS zorgt ervoor dat personen die onder haar gezag Klantpersoonsgegevens verwerken (medewerkers, beheerders, ingeschakelde ontwikkelaars) zich tot geheimhouding hebben verbonden of een passende wettelijke geheimhoudingsplicht hebben, en dat zij alleen toegang hebben tot Klantpersoonsgegevens voor zover nodig voor hun taak.

6.3DIGS houdt een actueel overzicht bij van de personen met beheertoegang tot de productieomgeving en verstrekt dit op verzoek aan Klant. [Aanbeveling uit de KPN-toets: personen met beheertoegang benoemen en toegang persoonlijk maken (geen gedeelde beheeraccounts).]

Artikel 7. Beveiliging

7.1DIGS treft, rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard, omvang, context en doeleinden van de verwerking en de risico's voor Betrokkenen, passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen (artikel 32 AVG). De maatregelen zijn beschreven in Bijlage 2.

7.2DIGS mag de Beveiligingsmaatregelen aanpassen en verbeteren, mits het beveiligingsniveau daardoor niet wezenlijk lager wordt. DIGS informeert Klant op verzoek over de actuele stand van de maatregelen.

7.3Klant is verantwoordelijk voor de beveiliging aan haar zijde: een veilig wachtwoordbeleid en het gebruik van 2FA door haar Gebruikers, het tijdig blokkeren van accounts, het zorgvuldig beheren van API-sleutels en de beveiliging van de apparaten en netwerken waarmee de Dienst wordt gebruikt.

7.4Klant heeft de Beveiligingsmaatregelen beoordeeld en acht deze, gelet op de aard van de Klantpersoonsgegevens, passend. Wenst Klant aanvullende maatregelen, dan treden partijen in overleg; DIGS mag daarvoor een aanvullende vergoeding vragen.

7.5DIGS realiseert de maatregelen uit Bijlage 4 uiterlijk op de daar genoemde data. Verwacht DIGS een datum niet te halen, dan meldt zij dit vooraf aan Klant, met de reden, een nieuwe datum en de tijdelijke maatregelen die het risico beperken. Is een maatregel 30 dagen na de datum in Bijlage 4 nog niet gerealiseerd, dan mag Klant (a) het gebruik van de Dienst opschorten, zonder vergoeding verschuldigd te zijn over de periode van opschorting, of (b) de Overeenkomst met onmiddellijke ingang schriftelijk beëindigen, zonder tot schadevergoeding gehouden te zijn. Vooruitbetaalde vergoedingen voor de periode na beëindiging worden terugbetaald.

Artikel 8. Subverwerkers

8.1Klant geeft DIGS algemene toestemming om Subverwerkers in te schakelen voor de verwerking van Klantpersoonsgegevens. De bij het aangaan van de Overeenkomst ingeschakelde Subverwerkers staan in Bijlage 3.

8.2DIGS informeert Klant schriftelijk (per e-mail aan de Beheerders) ten minste 30 dagen vóór het inschakelen van een nieuwe of het vervangen van een bestaande Subverwerker die Klantpersoonsgegevens verwerkt. Klant kan binnen die termijn schriftelijk en gemotiveerd bezwaar maken op grond van redelijke, met gegevensbescherming verband houdende bezwaren.

8.3Bij bezwaar treden partijen in overleg over een oplossing. Wordt binnen 30 dagen na het bezwaar geen oplossing gevonden, dan mag Klant de Overeenkomst opzeggen tegen de datum waarop de nieuwe Subverwerker wordt ingeschakeld, zonder tot schadevergoeding gehouden te zijn; vooruitbetaalde vergoedingen voor de periode daarna worden terugbetaald.

8.4DIGS legt aan elke Subverwerker bij overeenkomst dezelfde verplichtingen inzake gegevensbescherming op als in deze Verwerkersovereenkomst, in het bijzonder ten aanzien van beveiliging, geheimhouding en doorgifte. DIGS blijft jegens Klant volledig aansprakelijk voor het nakomen van de verplichtingen van de Subverwerker.

8.5Subverwerkers zijn gevestigd in de EER en verwerken Klantpersoonsgegevens binnen de EER, tenzij artikel 12 is nageleefd.

Artikel 9. Inbreuken in verband met persoonsgegevens (datalekken)

9.1DIGS informeert Klant zonder onredelijke vertraging en uiterlijk binnen 24 uur nadat DIGS een Datalek heeft ontdekt dat Klantpersoonsgegevens (mogelijk) raakt. De melding gaat naar het door Klant opgegeven contactpunt [e-mailadres/telefoonnummer van de functionaris gegevensbescherming of security-contact van Klant]; als dat ontbreekt, naar de Beheerders van Klant.

9.2De eerste melding bevat ten minste de informatie die DIGS op dat moment beschikbaar heeft: de aard van het Datalek, de (vermoedelijke) categorieën en aantallen Betrokkenen en gegevens, de waarschijnlijke gevolgen, de getroffen en voorgenomen maatregelen en een contactpunt bij DIGS. Informatie die nog niet beschikbaar is, wordt zonder onredelijke vertraging nageleverd.

9.3DIGS treft onverwijld alle redelijke maatregelen om het Datalek te beëindigen, de gevolgen te beperken en herhaling te voorkomen, en documenteert het Datalek, de gevolgen en de getroffen maatregelen in een incidentregister dat Klant op verzoek mag inzien voor zover het haar gegevens betreft.

9.4De beoordeling of een Datalek moet worden gemeld aan de Autoriteit Persoonsgegevens (artikel 33 AVG) en aan Betrokkenen (artikel 34 AVG) is de verantwoordelijkheid van Klant. DIGS verleent daarbij alle redelijke medewerking en meldt een Datalek niet zelf aan de Toezichthouder of Betrokkenen namens Klant, tenzij Klant daarom schriftelijk verzoekt of de wet DIGS daartoe verplicht.

9.5Omdat een Datalek meerdere Organisaties tegelijk kan raken, mag DIGS alle getroffen Organisaties op dezelfde wijze informeren, zonder daarbij vertrouwelijke informatie van de ene Klant aan de andere te verstrekken.

Artikel 10. Rechten van betrokkenen

10.1Als DIGS een verzoek van een Betrokkene ontvangt over de uitoefening van diens rechten (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar) met betrekking tot Klantpersoonsgegevens, stuurt DIGS dat verzoek onverwijld door aan Klant en behandelt het niet zelf, behalve als Klant daarom verzoekt of als het verzoek betrekking heeft op gegevens waarvoor DIGS zelf verwerkingsverantwoordelijke is.

10.2DIGS verleent Klant, rekening houdend met de aard van de verwerking, bijstand bij het beantwoorden van verzoeken van Betrokkenen door binnen 5 Werkdagen na een schriftelijk verzoek van Klant de benodigde informatie, exports of correcties te leveren die Klant niet zelf via de functies van de Dienst kan uitvoeren.

10.3Klant kan de meeste verzoeken zelf afhandelen via de Dienst: Gebruikersgegevens inzien en wijzigen, Meldingen en berichten inzien, wijzigen en verwijderen, en gegevens exporteren (CSV, PDF, JSON). Voor bijstand die daarbuiten valt en meer dan [4] uur werk vergt, mag DIGS het overeengekomen uurtarief in rekening brengen.

Artikel 11. Audits en verantwoording

11.1DIGS stelt Klant op verzoek alle informatie ter beschikking die nodig is om aan te tonen dat aan de verplichtingen van artikel 28 AVG en deze Verwerkersovereenkomst wordt voldaan, waaronder een beschrijving van de Beveiligingsmaatregelen, de lijst van Subverwerkers, en (indien beschikbaar) rapporten van onafhankelijke beveiligingstesten of certificeringen.

11.2Klant mag maximaal eenmaal per jaar, en daarnaast na een Datalek dat haar gegevens heeft geraakt of op verzoek van een Toezichthouder, een audit laten uitvoeren om de naleving van deze Verwerkersovereenkomst te controleren. De audit wordt uitgevoerd door Klant zelf of door een onafhankelijke, aan geheimhouding gebonden auditor die geen concurrent van DIGS is.

11.3Klant kondigt een audit ten minste [30] dagen vooraf schriftelijk aan, met een beschrijving van de reikwijdte. Partijen stemmen datum, duur en werkwijze in redelijkheid af; de audit vindt plaats tijdens Werkdagen en verstoort de dienstverlening zo min mogelijk. Toegang tot systemen van andere Klanten of tot gegevens van andere Organisaties is uitgesloten.

11.4De kosten van de audit komen voor rekening van Klant, inclusief de redelijke kosten van de tijd die DIGS aan de audit besteedt tegen het overeengekomen uurtarief. Als de audit een wezenlijke tekortkoming van DIGS aantoont, draagt DIGS de eigen kosten en herstelt DIGS de tekortkoming binnen een redelijke termijn.

11.5DIGS mag in plaats van een audit een recent (niet ouder dan 12 maanden) rapport van een onafhankelijke auditor of een certificering (bijvoorbeeld ISO 27001 of een SOC 2-rapport van de hostingprovider) overleggen dat de reikwijdte van de audit dekt. [DIGS heeft op dit moment geen certificering; zie de KPN-toets.]

Artikel 12. Doorgifte buiten de EER

12.1DIGS verwerkt Klantpersoonsgegevens uitsluitend in Nederland of elders binnen de EER en geeft Klantpersoonsgegevens niet door aan een land buiten de EER of aan een internationale organisatie, en laat dit ook niet door Subverwerkers doen, zonder voorafgaande schriftelijke toestemming van Klant.

12.2Stemt Klant in met een doorgifte, dan zorgt DIGS ervoor dat deze plaatsvindt op basis van een adequaatheidsbesluit van de Europese Commissie, de standaardcontractbepalingen van de Europese Commissie (inclusief een doorgifte-effectbeoordeling) of een ander geldig doorgiftemechanisme uit hoofdstuk V AVG.

12.3Toegang op afstand tot Klantpersoonsgegevens vanuit een land buiten de EER, bijvoorbeeld voor beheer of support, geldt als doorgifte in de zin van dit artikel. [Let op: als de bouwer of beheerder buiten de EER werkt of reist, is dit relevant.]

Artikel 13. Teruggave en wissen bij het einde van de Overeenkomst

13.1Gedurende de looptijd van de Overeenkomst kan Klant Klantpersoonsgegevens op elk moment zelf exporteren via de Dienst (CSV, PDF, JSON/OData via de API).

13.2Gedurende 30 dagen na het einde van de Overeenkomst houdt DIGS de Klantpersoonsgegevens beschikbaar voor export en levert DIGS op verzoek van Klant eenmalig een volledige export van de gegevens van de Organisatie van Klant in CSV- en JSON-formaat, inclusief foto's als bestanden.

13.3Na afloop van die 30 dagen wist DIGS alle Klantpersoonsgegevens uit de productieomgeving, waaronder de accounts van Gebruikers, de Meldingen die Klant heeft ingediend (met inachtneming van de regeling voor gedeelde Meldingen in de Algemene voorwaarden, artikel 12.3), berichten en API-sleutels. DIGS bevestigt de wissing op verzoek schriftelijk.

13.4Klantpersoonsgegevens in back-ups worden gewist volgens de reguliere rotatie van back-ups, uiterlijk [30] dagen na de wissing uit de productieomgeving; tot dat moment worden zij niet actief verwerkt en blijven de Beveiligingsmaatregelen van toepassing. Gegevens in het auditlog worden gewist na afloop van de bewaartermijn van 180 dagen.

13.5Gegevens die DIGS op grond van een wettelijke bewaarplicht moet bewaren (zoals facturatiegegevens), bewaart DIGS tot het einde van die plicht, met beperking van de verwerking tot dat doel.

Bewaartermijnen tijdens de looptijd van de Overeenkomst (standaardinstelling; afwijking op instructie van Klant mogelijk voor zover technisch haalbaar):

Artikel 14. Aansprakelijkheid

14.1De aansprakelijkheid van partijen voor schade als gevolg van een tekortkoming in de nakoming van deze Verwerkersovereenkomst of van de AVG is geregeld in en beperkt conform artikel 14 van de Algemene voorwaarden. [Keuze: aparte, hogere limiet voor datalekken en AVG-boetes; zie het kader bij artikel 14 van de Algemene voorwaarden.]

14.2Elke partij is zelf verantwoordelijk voor door een Toezichthouder aan haar opgelegde bestuurlijke boetes, voor zover die het gevolg zijn van haar eigen tekortkoming. Partijen vrijwaren elkaar tegen aanspraken van Betrokkenen en boetes die het gevolg zijn van een aan de andere partij toerekenbare schending van de AVG, binnen de grenzen van artikel 14 van de Algemene voorwaarden.

Artikel 15. Slotbepalingen

15.1Deze Verwerkersovereenkomst duurt zolang de Overeenkomst duurt en zolang DIGS daarna nog Klantpersoonsgegevens verwerkt. De verplichtingen die naar hun aard voortduren (geheimhouding, wissen, aansprakelijkheid) blijven daarna van kracht.

15.2Wijzigingen van deze Verwerkersovereenkomst zijn alleen geldig als zij schriftelijk zijn overeengekomen, met uitzondering van wijzigingen die nodig zijn door een wijziging van de AVG of van richtsnoeren van de Toezichthouders; DIGS kondigt die wijzigingen ten minste 30 dagen vooraf aan.

15.3Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de rechter die volgens de Algemene voorwaarden bevoegd is.

15.4Contactpunten. Voor DIGS: [naam, functie, e-mail, telefoon] (tevens contactpunt voor beveiligingsincidenten). Voor Klant: [naam, functie, e-mail, telefoon] en, indien aangesteld, de functionaris gegevensbescherming [naam, e-mail].

Ondertekening (alleen als Klant een afzonderlijk ondertekende versie wenst):

Bijlage 2. Beveiligingsmaatregelen

Deze bijlage beschrijft de technische en organisatorische maatregelen die DIGS heeft getroffen (status oktober 2026). Maatregelen die zijn gemarkeerd met [in te richten] zijn gepland maar nog niet operationeel; zij worden gerealiseerd op de data in Bijlage 4 en deze bijlage wordt dan bijgewerkt.

A. Toegang en authenticatie

B. Versleuteling en netwerk

C. Bestanden, invoer en logging

D. Continuïteit en organisatie

Bijlage 3. Subverwerkers

Lijst van Subverwerkers die DIGS inschakelt bij de verwerking van Klantpersoonsgegevens (status 10 september 2026). Wijzigingen worden aangekondigd volgens artikel 8.

Bijlage 4. Mijlpalentabel beveiliging

De maatregelen uit Bijlage 2 die nog niet volledig actief zijn, worden gerealiseerd op de data in de mijlpalentabel beveiliging (versie 0.1, oktober 2026). Die tabel maakt deel uit van deze Verwerkersovereenkomst; voor de gevolgen van een gemiste datum geldt artikel 7.5. [Bij ondertekening: de definitieve tabel hier opnemen.]