Verwerkersovereenkomst

1. Onderwerp en duur

KlarComply levert aan de klant de in de abonnementsovereenkomst beschreven diensten (compliance-dashboard, online training, bewijsvoering conform Verordening (EU) 2024/1689). Daarbij verwerkt KlarComply persoonsgegevens in opdracht van de klant. Deze overeenkomst geldt voor de duur van het abonnement en eindigt met de beëindiging daarvan; artikel 7 (verwijdering) blijft onverlet.

2. Aard, doel en omvang van de verwerking

Opslag, organisatie en analyse van gegevens van de medewerkers van de klant ten behoeve van trainingsbeheer, certificaatbeheer, bewijsvoering (AI-register, beleidsgegevens, kennisnemingslogs) en toegangsbeheer. Details: bijlage 1.

3. Instructiebevoegdheid

KlarComply verwerkt de gegevens uitsluitend op gedocumenteerde instructie van de klant (art. 28 lid 3 sub a AVG); het gebruik van de platformfuncties door de klant geldt als instructie. Acht KlarComply een instructie onrechtmatig, dan informeert zij de klant onverwijld en mag zij de uitvoering opschorten.

4. Vertrouwelijkheid en beveiliging

1. Tot verwerking bevoegde personen zijn tot vertrouwelijkheid verplicht (art. 28 lid 3 sub b).
2. KlarComply treft de technische en organisatorische maatregelen van bijlage 2 (art. 32 AVG) en past deze aan de stand van de techniek aan zonder het beschermingsniveau te verlagen.

5. Subverwerkers

De klant verleent algemene toestemming voor de inzet van de in bijlage 3 genoemde subverwerkers. KlarComply informeert over voorgenomen wijzigingen; de klant kan binnen 14 dagen op zwaarwegende privacygronden bezwaar maken. Met alle subverwerkers bestaan overeenkomsten conform art. 28 AVG.

6. Ondersteuningsplichten

KlarComply ondersteunt de klant binnen het redelijke bij het beantwoorden van verzoeken van betrokkenen (art. 12–23), bij de beveiliging van de verwerking, bij gegevensbeschermingseffectbeoordelingen en bij meldplichten (art. 32–36). Inbreuken in verband met persoonsgegevens die in opdracht verwerkte gegevens betreffen, meldt KlarComply onverwijld aan de klant, uiterlijk binnen 24 uur na kennisneming. De melding bevat de op grond van art. 33 lid 3 AVG vereiste gegevens voor zover die beschikbaar zijn; zijn die niet volledig beschikbaar, dan mogen zij op grond van art. 33 lid 4 AVG in fasen worden nagezonden. De melding dient ter ondersteuning van de klant bij diens eigen meldplicht en houdt geen erkenning van schuld in.

7. Verwijdering en teruggave

Na beëindiging van het abonnement verwijdert KlarComply alle in opdracht verwerkte persoonsgegevens binnen 30 dagen, tenzij een wettelijke bewaarplicht bestaat. De klant kan zijn gegevens vooraf via de export-/printfuncties van het dashboard veiligstellen. Uitgegeven certificaten blijven voor openbare verificatie opgeslagen (gerechtvaardigd belang van de certificaathouders); de klant kan om verwijdering verzoeken.

8. Verantwoording en controles

KlarComply stelt de klant de voor het aantonen van de verplichtingen uit art. 28 AVG benodigde informatie ter beschikking en maakt — na aankondiging en ten hoogste eenmaal per jaar, behoudens concrete aanleiding — controles mogelijk. Verantwoording kan geschieden via actuele attesten/certificeringen van de subverwerkers (bijv. SOC 2, ISO 27001).

9. Doorgifte naar derde landen

De verwerking vindt plaats in datacenters in de EU (regio Frankfurt, Duitsland). Voor zover subverwerkers buiten de EU worden ingezet (bijlage 3), vindt een eventuele doorgifte plaats op basis van EU-standaardcontractbepalingen dan wel een adequaatheidsbesluit (bijv. EU-US Data Privacy Framework).

10. Slotbepalingen

Het recht dat op de abonnementsovereenkomst van toepassing is, geldt ook hier. Bij tegenstrijdigheden gaat deze overeenkomst in privacykwesties voor. Mocht een bepaling ongeldig zijn, dan blijven de overige bepalingen van kracht.

Bijlage 1 — Gegevens en betrokkenen

Betrokkenen	Medewerkers, contactpersonen en eventueel externe krachten van de klant
Gegevenscategorieën	Naam, zakelijk e-mailadres, rol; trainingsvoortgang en -resultaten (procenten); certificaatgegevens (naam, bedrijf, datum, controle-ID); kennisnemingslogs (wie, wat, wanneer); door de klant beheerde gegevens (AI-register, contactpersoon, regels)
Geen verwerking van	bijzondere categorieën conform art. 9 AVG; zulke gegevens mogen niet in het platform worden ingevoerd
Aard van de verwerking	Verzamelen, opslaan, organiseren, analyseren en verwijderen in het kader van de exploitatie van het platform. Aanvullend op afzonderlijk verzoek van de klant: handmatige doorlichting en vakinhoudelijke beoordeling van de door de klant beheerde compliancedocumentatie door getrainde medewerkers van KlarComply („expertcheck“).

Bijlage 1a — Expertcheck (handmatige doorlichting op verzoek)

Deze verwerking vindt uitsluitend plaats wanneer de klant daar in zijn dashboard uitdrukkelijk om verzoekt. Het verzoek wordt met tijdstip en verzoekende persoon opgeslagen en geldt als gedocumenteerde instructie in de zin van art. 29 AVG. Zonder een dergelijk verzoek vindt geen handmatige inzage plaats.

Onderwerp van de doorlichting	Uitsluitend bedrijfsgerelateerde gegevens: AI-register (tools, aanbieders, gebruiksdoelen, risicoklassen met motivering), intern AI-beleid, kenmerkingsregel volgens art. 50, geblokkeerde toepassingen, gegevens van de contactpersoon en de door de klant meegedeelde vraagstelling
Uitdrukkelijk niet inbegrepen	Medewerkerslijsten, trainingsstatus en toetsresultaten van individuele personen, certificaatgegevens, kennisnemingslogs, facturatie- en betaalgegevens
Doel	Vakinhoudelijke terugkoppeling aan de klant in de vorm van een schriftelijk rapport met geprioriteerde aanbevolen maatregelen, alsmede het beantwoorden van vervolgvragen daarover gedurende 30 dagen
Uitvoerende personen	Medewerkers van KlarComply die vooraf de interne vaktraining hebben afgerond en een geheimhoudingsverklaring conform art. 28 lid 3 sub b AVG hebben ondertekend. Hiervoor worden geen subverwerkers ingezet.
Logging	Elke leestoegang in het kader van een controleopdracht wordt gelogd met persoon, tijdstip en betrokken klant (verantwoordingsplicht conform art. 5 lid 2 AVG). De klant kan de over hem opgeslagen controleopdrachten in zijn dashboard inzien.
Bewaartermijn	Controleopdracht en rapport worden voor de duur van de contractuele relatie bewaard en daarna overeenkomstig het artikel over verwijdering (artikel 7) behandeld. Toegangslogs worden 24 maanden bewaard.

Bijlage 2 — Technische en organisatorische maatregelen (art. 32)

• Locatie: gegevensopslag uitsluitend in de EU (AWS eu-central-1, Frankfurt)
• Versleuteling: transport TLS 1.2+; opslag versleuteld (encryption at rest)
• Scheiding van klanten: row-level security op databaseniveau — elk bedrijf ziet alleen eigen gegevens
• Toegangscontrole: wachtwoordloze aanmelding via magic link; beheerderstoegang rolgebaseerd; interne toegang tot productiedata alleen door de eigenaar, gelogd
• Invoercontrole: wijzigings- en kennisnemingslogs met tijdstempel
• Beschikbaarheid: dagelijkse back-ups door de hostingprovider; herstelprocedures
• Dataminimalisatie: alleen de voor training/bewijs noodzakelijke gegevens worden verzameld

Bijlage 3 — Subverwerkers

Dienstverlener	Doel	Vestiging / regio
Supabase Inc.	Database, authenticatie, serverfuncties	VS · gegevensopslag EU (AWS Frankfurt) · SCC/DPF
Cloudflare Inc.	Hosting van de website, CDN, beveiliging	VS · EU-uitlevering · SCC/DPF
Google Ireland Ltd.	Google Workspace — verzenden en ontvangen van e-mails aan gebruikers (aanmeldlinks, cursus- en certificaatberichten, opzeggingsbevestigingen)	Ierland (EU) · moedermaatschappij VS · SCC/DPF
MailerLite (UAB)	Nieuwsbriefverzending aan geïnteresseerden (alleen contact-e-mail) — momenteel niet in gebruik	Litouwen (EU)

Let op: betaalgegevens verwerkt Stripe Payments Europe Ltd. als zelfstandige verwerkingsverantwoordelijke — zij vallen niet onder deze verwerkersovereenkomst.

Bijlage 4 — Wijzigingshistorie

Versie	Stand	Wijziging
1.3	september 2026	Aanduiding van de verwerker: „Patrick de Kathen (KlarComply)“ in plaats van „(eenmanszaak)“ — de rechtsvorm wordt pas na de inschrijving vermeld. Geen inhoudelijke wijziging van de verplichtingen.
1.2	augustus 2026	Artikel 6: vaste meldtermijn van 24 uur voor de eerste melding van een inbreuk in verband met persoonsgegevens, met uitdrukkelijke nazending conform art. 33 lid 4 AVG. Voorheen stond daar alleen „onverwijld“ zonder getal.
1.1	augustus 2026	Bijlage 3: Google Ireland Ltd. (Google Workspace) als subverwerker voor de e-mailverzending opgenomen — deze was in gebruik maar niet vermeld. MailerLite als momenteel niet in gebruik gemarkeerd.
1.0	juli 2026	Eerste versie.

Bestaande klanten worden over wijzigingen van de subverwerkers conform artikel 5 geïnformeerd; het bezwaarrecht bedraagt 14 dagen. De bij het sluiten van de overeenkomst aanvaarde versie blijft maatgevend totdat de klant een nieuwe aanvaardt.

Aanvaarding

Deze overeenkomst wordt elektronisch gesloten (art. 28 lid 9 AVG). De aanvaarding vindt plaats in het KlarComply-dashboard door de tekenbevoegde persoon van de klant; tijdstip, naam en contractversie worden controleerbaar gelogd. Bindend is de Duitse versie 1.3 (zie klarcomply.com/avv).