Verwerkersovereenkomst Tegnest

Bijlage bij de algemene voorwaarden van Tegnest, versie DRAFT-2026-10-06.18. Deze afspraken volgen artikel 28 van de AVG.

Partijen

• Jij (de klant): de verwerkingsverantwoordelijke. Jij bepaalt waarom je website persoonsgegevens ontvangt.
• Dario Albers (eenmanszaak, handelsnaam Tegnest), Vlierstraat 196, 7544 GJ Enschede, KvK 42167593, hallo@tegnest.com: de verwerker. In deze overeenkomst heet dat "wij".

Je gaat akkoord met deze overeenkomst als je akkoord gaat met de algemene voorwaarden.

1. Waar gaat dit over?

Deze overeenkomst geldt alleen voor persoonsgegevens die wij voor jou verwerken via je website. Ze geldt niet voor gegevens over jou als klant (je account, betalingen, facturen, je domeinregistratie en de bedrijfsgegevens voor de AI). Voor die gegevens zijn wij zelf verantwoordelijk. Dat staat in onze privacyverklaring (https://app.tegnest.com/privacy).

2. Welke gegevens, van wie en waarvoor?

3. Jouw instructies

1. Wij verwerken de gegevens alleen voor de doelen hierboven en volgens jouw instructies. De instellingen die je in je account kiest, zijn ook instructies: bijvoorbeeld het aan- of uitzetten van het contactformulier, de vragen in je aanvraagformulier, de bewaartermijn van aanvragen, het e-mailadres voor meldingen en de ontvangstbevestiging, en voor afspraken je diensten, tijden, plekken en gesloten dagen, de bewaartermijn van afspraken, of afspraken meteen vaststaan, de annuleertermijn en de herinnering.
2. Moeten wij volgens de wet iets anders doen, dan laten we je dat vooraf weten, tenzij de wet dat verbiedt.
3. Vinden wij een instructie in strijd met de AVG, dan zeggen we dat direct.

4. Geheimhouding

Alleen wie de gegevens nodig heeft voor het werk, kan erbij. Iedereen die voor ons werkt, heeft een geheimhoudingsplicht.

5. Beveiliging

Wij nemen passende maatregelen (artikel 32 AVG), waaronder:

• versleutelde verbindingen (https/TLS) voor je website en ons platform;
• toegang alleen met een eigen account, inloggen met een eenmalige code per e-mail, en zo weinig mogelijk mensen met toegang; beheerders loggen daarnaast in met een code uit een authenticator-app, hun inlog verloopt na 12 uur en elke beheerdersinlog komt in het logboek;
• inloggegevens en sleutels alleen op de server, nooit in de browser;
• databases en opslag in de EU waar dat kan;
• updates en back-ups ([nog invullen: BACKUP_BELEID]);
• een logboek van wijzigingen in het platform.

6. Subverwerkers

1. Je geeft ons algemene toestemming om de subverwerkers uit de bijlage in te schakelen.
2. Komt er een nieuwe subverwerker bij, of vervangen we er een, dan melden we dat minstens 30 dagen vooraf per e-mail. Ben je het er niet mee eens, dan kun je bezwaar maken. Lukt het niet om samen een oplossing te vinden, dan kun je de hosting kosteloos opzeggen. Je krijgt dan het vooruitbetaalde geld terug voor de hele maanden die nog over zijn.
3. Wij leggen subverwerkers dezelfde plichten op als in deze overeenkomst staan. Wij blijven tegenover jou verantwoordelijk voor hen.

7. Gegevens buiten de EU

Sommige subverwerkers zijn Amerikaanse bedrijven. We kiezen een EU-regio waar dat kan. Gaan gegevens toch buiten de EER, dan gebeurt dat alleen met een geldige grondslag, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie. Per subverwerker staat dit in de bijlage.

8. Hulp aan jou

1. Vraagt iemand jou om inzage, correctie of verwijdering van zijn gegevens, dan helpen we je daarbij. Aanvragen kun je zelf in je account zoeken, bekijken, exporteren (als CSV-bestand) en verwijderen. Afspraken kun je in je agenda bekijken, exporteren (als CSV-bestand) en verwijderen. Foto's kun je in je account verwijderen. Komt zo'n verzoek bij ons binnen, dan sturen we het door naar jou.
2. Moet je een DPIA doen of heb je vragen van de Autoriteit Persoonsgegevens, dan geven we je de informatie die we hebben.
3. Kost die hulp meer dan een redelijke hoeveelheid tijd, dan bespreken we eerst de kosten met je.

9. Datalekken

1. Ontdekken wij een datalek dat jouw gegevens raakt, dan melden we dat zonder onnodige vertraging, en binnen 48 uur nadat we het ontdekten.
2. We vertellen je dan wat er gebeurd is, welke gegevens en hoeveel mensen het raakt, wat de gevolgen kunnen zijn en wat we eraan doen. Weten we nog niet alles, dan sturen we de rest zo snel mogelijk na.
3. Jij beslist of je het lek meldt bij de Autoriteit Persoonsgegevens of aan de betrokkenen. Dat doen wij niet zelf voor jou, tenzij je ons dat vraagt.

10. Controle

Op verzoek laten we zien hoe we aan deze overeenkomst voldoen, bijvoorbeeld met een schriftelijke uitleg. Is dat niet genoeg, dan mag je maximaal één keer per jaar een controle laten doen door een onafhankelijke deskundige die geheimhouding heeft. Je meldt dat minstens 30 dagen vooraf. De kosten daarvan betaal jij, tenzij de controle laat zien dat wij deze overeenkomst ernstig hebben geschonden.

11. Einde

1. Deze overeenkomst loopt zolang wij gegevens voor je verwerken.
2. Na het einde van de hosting kun je een export krijgen. Je aanvragen en afspraken kun je zelf als CSV downloaden in je account, tot 30 dagen na het einde van de hosting (daarna wordt je website gearchiveerd); daarna kun je tot het verwijderen bij ons een export van je website opvragen (aanvragen en afspraken zitten daar niet in). 90 dagen nadat je website is gearchiveerd, verwijderen we de gegevens, ook alle aanvragen, afspraken, je formulieren en je diensten en tijden voor afspraken. Ze blijven niet bij ons voor een bewaarplicht: die heb jij, en daarvoor is de export. Back-ups worden daarna in hun normale ronde overschreven, binnen [nog invullen: BACKUP_TERMIJN]. Verwijderde gegevens staan nog maximaal [nog invullen: NEON_HERSTELTERMIJN] in de hersteltijdlijn van de database (Neon point-in-time restore).
3. We bewaren alleen langer wat de wet verplicht.

12. Aansprakelijkheid en wat voorgaat

Voor aansprakelijkheid gelden de regels uit de algemene voorwaarden (artikel 13 en, voor consumenten, artikel B6). Gaat het over persoonsgegevens en spreken de voorwaarden deze overeenkomst tegen, dan gaat deze overeenkomst voor.

Bijlage — subverwerkers en andere partijen

Rol: SV = subverwerker voor jouw websitegegevens. V = verwerker voor onze eigen klantadministratie, niet voor jouw websitegegevens. ZV = zelfstandig verantwoordelijke.