Verwerkersovereenkomst

Laatst bijgewerkt: 18 oktober 2026. Deze overeenkomst hoort bij de algemene voorwaarden.

Overzicht

Partijen

1. De klant, het bedrijf dat de overeenkomst voor Servaro heeft gesloten, hierna "verwerkingsverantwoordelijke" of "klant".
2. Netwerkplek IT B.V., handelend onder de naam Servaro, gevestigd aan de Veersedijk 59, 3341 LL Hendrik-Ido-Ambacht, KvK 85523968, hierna "verwerker" of "Servaro".

Waarom deze overeenkomst

A. De klant gebruikt Servaro om zijn werk te plannen en uit te voeren, zoals onderhoud, service en keuringen.

B. Daarbij verwerkt Servaro persoonsgegevens voor de klant. De klant bepaalt waarvoor en hoe. De klant is dus verwerkingsverantwoordelijke en Servaro is verwerker in de zin van de Algemene verordening gegevensbescherming (AVG).

C. De AVG (artikel 28) eist dat zij hierover afspraken maken. Die staan in deze overeenkomst.

Artikel 1. Begrippen

1.1 Woorden als persoonsgegevens, verwerken, betrokkene, verwerkingsverantwoordelijke, verwerker, subverwerker en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis uit de AVG.

1.2 Hoofdovereenkomst: de overeenkomst tussen de klant en Servaro over het gebruik van Servaro, met de algemene voorwaarden van Servaro.

1.3 Klantdata: zoals bedoeld in de algemene voorwaarden.

1.4 Werkdag: maandag tot en met vrijdag, behalve Nederlandse feestdagen.

Artikel 2. Onderwerp en looptijd

2.1 Deze overeenkomst gaat over de persoonsgegevens die Servaro voor de klant verwerkt bij het leveren van de dienst. Welke gegevens, van wie, waarvoor en hoe lang staat in bijlage 1.

2.2 Deze overeenkomst hoort bij de hoofdovereenkomst. Hij begint en eindigt op hetzelfde moment, ook tijdens een proefperiode. Artikelen die naar hun aard doorlopen, zoals artikel 4 (geheimhouding) en artikel 13 (einde), blijven na het einde gelden.

2.3 Als deze overeenkomst en de hoofdovereenkomst over persoonsgegevens iets anders zeggen, gaat deze overeenkomst voor.

Artikel 3. Instructies van de klant

3.1 Servaro verwerkt de persoonsgegevens alleen op schriftelijke instructie van de klant. De klant geeft de instructie door de hoofdovereenkomst, deze overeenkomst en de manier waarop hij de dienst instelt en gebruikt.

3.2 Servaro gebruikt de persoonsgegevens niet voor eigen doelen. Servaro gebruikt ze ook niet om AI-modellen te trainen.

3.3 Moet Servaro van de wet iets anders doen met de gegevens, dan meldt Servaro dat vooraf aan de klant, tenzij de wet dat verbiedt.

3.4 Vindt Servaro dat een instructie in strijd is met de AVG of een andere privacywet, dan meldt Servaro dat direct aan de klant. Servaro hoeft die instructie dan niet uit te voeren totdat de klant haar heeft aangepast of bevestigd.

3.5 De klant is ervoor verantwoordelijk dat hij de persoonsgegevens mag verwerken, met een geldige grondslag, en dat hij betrokkenen goed informeert. Dat geldt ook voor de locatiefunctie (GPS), die de klant alleen aanzet als hij dat mag.

3.6 De klant zet geen bijzondere persoonsgegevens, strafrechtelijke gegevens of burgerservicenummers (BSN) in de dienst. Merkt Servaro dat dit toch gebeurt, dan meldt Servaro dat aan de klant. De klant haalt die gegevens dan weg.

3.7 AI-functies doen alleen voorstellen. Een gebruiker van de klant controleert en keurt een voorstel goed voordat het wordt opgeslagen of verstuurd. De AI-functies nemen geen besluiten over personen.

Artikel 4. Geheimhouding

4.1 Servaro houdt de persoonsgegevens geheim.

4.2 Alleen medewerkers van Servaro die de gegevens nodig hebben voor hun werk, krijgen toegang. Zij hebben een geheimhoudingsplicht in hun arbeids- of opdrachtovereenkomst, of hebben een geheimhoudingsverklaring getekend.

4.3 Servaro kijkt alleen in de klantdata als dat nodig is voor ondersteuning op verzoek van de klant, voor het oplossen van een storing of voor de beveiliging. Servaro legt die inzage vast in het auditlog.

Artikel 5. Beveiliging

5.1 Servaro neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen, zoals artikel 32 AVG eist. Die maatregelen staan in bijlage 2.

5.2 Servaro houdt rekening met de stand van de techniek, de kosten, het soort gegevens en de risico's voor betrokkenen.

5.3 Servaro mag de maatregelen aanpassen, maar het beveiligingsniveau mag niet lager worden.

5.4 Servaro controleert regelmatig of de maatregelen nog goed werken en past ze aan als dat nodig is.

5.5 Geen beveiliging is perfect. Servaro garandeert niet dat er nooit iets misgaat, maar doet wat redelijkerwijs mogelijk is.

5.6 De klant is zelf verantwoordelijk voor de beveiliging aan zijn kant, zoals de apparaten van zijn gebruikers, het beheer van accounts en rechten, en het geheim houden van inloggegevens.

Artikel 6. Subverwerkers

6.1 De klant geeft Servaro algemene toestemming om subverwerkers in te schakelen. De subverwerkers die Servaro nu gebruikt, staan in bijlage 3.

6.2 Servaro legt aan elke subverwerker schriftelijk minstens dezelfde privacyplichten op als in deze overeenkomst staan.

6.3 Wil Servaro een subverwerker toevoegen of vervangen, dan meldt Servaro dat minstens 30 dagen vooraf per e-mail aan de contactpersoon van de klant. Servaro zet de nieuwe lijst ook op servaro.nl/subverwerkers.

6.4 De klant mag binnen die 30 dagen schriftelijk bezwaar maken, met redenen die met privacy of beveiliging te maken hebben. Servaro en de klant zoeken dan samen een oplossing. Lukt dat niet, dan mag de klant de hoofdovereenkomst kosteloos opzeggen per de datum dat de nieuwe subverwerker begint.

6.5 Moet Servaro een subverwerker snel vervangen, bijvoorbeeld omdat die failliet gaat of een ernstig beveiligingsprobleem heeft, dan mag Servaro de termijn van 30 dagen korter maken. Servaro meldt dit dan zo snel mogelijk en de klant houdt het recht uit artikel 6.4.

6.6 Servaro blijft tegenover de klant verantwoordelijk voor de subverwerkers.

6.7 Diensten die de klant zelf kiest en zelf afneemt, zoals inloggen via Microsoft Entra ID, zijn geen subverwerkers van Servaro. De klant regelt de afspraken met die leverancier zelf.

Artikel 7. Waar de gegevens worden verwerkt

7.1 Servaro verwerkt en bewaart de persoonsgegevens op eigen servers in Nederland.

7.2 Servaro geeft persoonsgegevens niet door naar landen buiten de Europese Economische Ruimte (EER), tenzij de klant daar vooraf schriftelijk toestemming voor geeft en de AVG het toestaat.

7.3 Sommige subverwerkers horen bij een bedrijf buiten de EER, ook als de verwerking in de EU gebeurt. Bijlage 3 noemt per subverwerker welke waarborgen er zijn.

Artikel 8. AI-verwerking

8.1 Voor AI-functies stuurt Servaro alleen de gegevens die nodig zijn voor het voorstel, bijvoorbeeld een spraakopname of de tekst van een werkbon.

8.2 Servaro gebruikt alleen AI-diensten waarbij de verwerking in de EU plaatsvindt en waarbij de leverancier de gegevens niet gebruikt om modellen te trainen.

8.3 De klant kan AI-functies voor zijn hele omgeving uitzetten in de instellingen. Er gaan dan geen gegevens meer naar AI-leveranciers.

Artikel 9. Rechten van betrokkenen

9.1 Een betrokkene kan de klant vragen om inzage, correctie, verwijdering, beperking, overdracht of bezwaar. De klant handelt dat af.

9.2 De klant kan de meeste verzoeken zelf in de dienst uitvoeren, bijvoorbeeld gegevens aanpassen, verwijderen of exporteren.

9.3 Kan de klant een verzoek niet zelf uitvoeren, dan helpt Servaro binnen redelijke grenzen.

9.4 Krijgt Servaro zelf een verzoek van een betrokkene, dan stuurt Servaro dat binnen 2 werkdagen door naar de klant. Servaro reageert niet zelf inhoudelijk, tenzij de klant daarom vraagt.

Artikel 10. Hulp bij beveiliging, DPIA en de toezichthouder

10.1 Servaro helpt de klant om te voldoen aan de plichten uit de artikelen 32 tot en met 36 AVG. Bijvoorbeeld met informatie voor een gegevensbeschermingseffectbeoordeling (DPIA) of als de klant vooraf de Autoriteit Persoonsgegevens moet raadplegen.

10.2 Gewone informatie over de dienst en de beveiliging geeft Servaro gratis. Kost de hulp meer dan 1 uur per kalenderjaar, dan mag Servaro de extra tijd tegen het gewone uurtarief rekenen, na een offerte vooraf.

10.3 Valt de klant onder de Cyberbeveiligingswet, dan geeft Servaro op verzoek redelijke informatie over de beveiliging van de keten. Artikel 10.2 geldt dan ook.

Artikel 11. Datalekken

11.1 Ontdekt Servaro een datalek dat de persoonsgegevens van de klant raakt, dan meldt Servaro dat zonder onnodige vertraging aan de klant, en uiterlijk binnen 24 uur nadat Servaro het lek heeft ontdekt.

11.2 Servaro meldt het per e-mail en telefoon aan de contactpersoon die de klant daarvoor heeft opgegeven. Heeft de klant niemand opgegeven, dan gaat de melding naar de beheerder van het account.

11.3 Servaro geeft in de melding wat zij op dat moment weet:

• wat er is gebeurd en wanneer;
• welke soorten gegevens en betrokkenen het raakt, en ongeveer hoeveel;
• wat de waarschijnlijke gevolgen zijn;
• wat Servaro heeft gedaan en nog gaat doen om het lek te stoppen en de schade te beperken;
• wie de klant kan bellen voor meer informatie.

11.4 Weet Servaro nog niet alles, dan geeft Servaro de rest van de informatie zodra die bekend is.

11.5 De klant beslist of hij het datalek meldt bij de Autoriteit Persoonsgegevens en aan de betrokkenen. De klant moet dat bij de toezichthouder binnen 72 uur doen. Servaro helpt daarbij. Servaro meldt niet zelf namens de klant, tenzij de klant dat schriftelijk vraagt.

11.6 Servaro houdt een overzicht bij van alle datalekken, met de feiten, gevolgen en genomen maatregelen.

11.7 Servaro rekent geen kosten voor de hulp bij een datalek dat Servaro of haar subverwerker heeft veroorzaakt.

Artikel 12. Controle (audit)

12.1 Servaro geeft de klant op verzoek alle informatie die nodig is om te laten zien dat Servaro deze overeenkomst naleeft. Servaro kan dat ook doen met een recent rapport van een onafhankelijke partij, zoals een pentestrapport of certificaat van de laatste 12 maanden.

12.2 Is dat niet genoeg, dan mag de klant eenmaal per kalenderjaar een audit laten doen door een onafhankelijke, deskundige auditor met een geheimhoudingsplicht.

12.3 De klant meldt de audit minstens 4 weken vooraf, met een plan van wat wordt onderzocht. De audit gebeurt op werkdagen, verstoort de dienst zo weinig mogelijk en gaat alleen over deze verwerking. De auditor ziet geen gegevens van andere klanten.

12.4 De klant betaalt de kosten van de audit, ook de redelijke kosten van Servaro. Blijkt uit de audit dat Servaro deze overeenkomst op een belangrijk punt niet naleeft, dan betaalt Servaro de kosten van de audit en haar eigen kosten.

12.5 Na een datalek of als de toezichthouder erom vraagt, mag de klant ook buiten de grens van eenmaal per jaar een audit laten doen.

12.6 De klant geeft Servaro een kopie van het auditrapport. Servaro lost tekortkomingen die uit de audit blijken binnen een redelijke termijn op.

12.7 De klant mag niet zelf de systemen van Servaro testen, zoals met een pentest, zonder schriftelijke toestemming van Servaro.

Artikel 13. Einde: teruggeven en verwijderen

13.1 De klant kan zijn gegevens altijd zelf exporteren in CSV- en JSON-formaat, met de bestanden in hun oorspronkelijke formaat.

13.2 Na het einde van de hoofdovereenkomst heeft de klant 30 dagen om zijn gegevens te exporteren (exportperiode), zoals in de algemene voorwaarden staat.

13.3 Binnen 30 dagen na het einde van de exportperiode verwijdert Servaro de persoonsgegevens van de klant uit de productiesystemen. De klant kan ook eerder om verwijdering vragen.

13.4 Back-ups worden niet apart opgeschoond. De gegevens verdwijnen daaruit als de back-ups volgens het schema worden overschreven, uiterlijk 12 maanden na verwijdering. Tot die tijd blijven de back-ups beveiligd en worden ze alleen gebruikt om de dienst te herstellen.

13.5 Het auditlog is een uitzondering. Op instructie van de klant bewaart Servaro het auditlog minstens 7 jaar, zodat later kan worden nagegaan wie wat heeft gedaan. Het auditlog is niet te wijzigen. Na 2 jaar worden IP-adressen en apparaatgegevens in het auditlog gepseudonimiseerd. Na de bewaartermijn wordt het auditlog verwijderd.

13.6 Moet Servaro van de wet gegevens langer bewaren, dan doet Servaro dat alleen voor dat doel en zo kort als mogelijk.

13.7 Op verzoek bevestigt Servaro schriftelijk dat de gegevens zijn verwijderd.

13.8 Servaro rekent geen kosten voor de export of de verwijdering.

Artikel 14. Aansprakelijkheid

14.1 Voor de aansprakelijkheid van Servaro onder deze overeenkomst gelden de regels uit de algemene voorwaarden (artikel 19).

14.2 Boetes die de Autoriteit Persoonsgegevens aan de klant oplegt, kan de klant niet op Servaro verhalen, tenzij de boete komt door opzet of bewuste roekeloosheid van de directie of leidinggevenden van Servaro.

Artikel 15. Wijzigingen en slot

15.1 Servaro mag deze overeenkomst wijzigen, op dezelfde manier als de algemene voorwaarden: met 30 dagen bericht vooraf en een recht om op te zeggen. Een wijziging van bijlage 3 gaat volgens artikel 6.

15.2 Moet deze overeenkomst veranderen door een nieuwe wet of een besluit van de toezichthouder, dan passen partijen hem samen aan.

15.3 Op deze overeenkomst is Nederlands recht van toepassing. Een geschil gaat naar de rechtbank Rotterdam.

Bijlage 1. Wat Servaro verwerkt

Doelen

Servaro verwerkt persoonsgegevens alleen om de dienst aan de klant te leveren:

• werk plannen, monteurs inzetten en werkbonnen maken;
• service, onderhoud en keuringen vastleggen, met foto's, handtekeningen en resultaten;
• klanten van de klant informeren, per e-mail, sms en via het klantportaal;
• uren en, als de klant dat aanzet, locaties van monteurs vastleggen;
• bedrijfsgegevens opzoeken bij het invoeren van een klant;
• spraak en tekst omzetten in voorstellen met AI, die een mens goedkeurt;
• inloggen, beveiliging en het auditlog;
• ondersteuning op verzoek van de klant.

Betrokkenen en gegevens

Niet toegestaan: bijzondere persoonsgegevens, strafrechtelijke gegevens en burgerservicenummers (BSN).

Bewaartermijnen

Bijlage 2. Beveiligingsmaatregelen

Toegang

• Tweestapsverificatie is verplicht voor alle gebruikers en kan niet worden uitgezet.
• Toegang op basis van rollen: elke gebruiker ziet en doet alleen wat bij zijn rol hoort.
• Medewerkers van Servaro hebben alleen toegang als dat nodig is voor hun werk. Inzage in klantdata wordt vastgelegd in het auditlog.

Scheiding tussen klanten

• Elke klant heeft een eigen afgeschermde omgeving in dezelfde database.
• De database (PostgreSQL) dwingt deze scheiding zelf af met row-level security. De applicatie verbindt met een databasegebruiker zonder beheerrechten, die deze afscherming niet kan omzeilen.
• Automatische tests controleren bij elke wijziging dat een klant geen gegevens van een andere klant kan zien.

Versleuteling

• Al het verkeer tussen gebruikers, apps en servers is versleuteld met TLS.

Vastleggen

• Een auditlog legt vast wie wat heeft gedaan. Het auditlog is niet te wijzigen of te verwijderen door gebruikers of de applicatie.
• Serverlogs worden maximaal 14 dagen bewaard.

Back-ups en herstel

• Regelmatige back-ups van de database en bestanden.
• Herstel naar een eerder moment is mogelijk (point-in-time restore).
• Elk kwartaal zetten we een back-up terug op een aparte testomgeving om te controleren dat herstel werkt.

Uploads

• Geüploade bestanden, zoals foto's en bijlagen, worden gescand op virussen.

Ontwikkeling

• Elke wijziging in de software gaat door automatische beveiligingscontroles in de bouwstraat (CI), onder meer op geheimen in de code en op bekende zwakke plekken.
• Elke maand draait er een automatische beveiligingsscan, en Servaro laat elk jaar een externe penetratietest uitvoeren.

Organisatie

• Medewerkers en ingehuurde krachten met toegang tot klantdata hebben een geheimhoudingsplicht.
• Servaro heeft een procedure voor datalekken (zie artikel 11).
• De servers staan in Nederland, bij een hostingbedrijf met fysieke beveiliging van het datacenter.

Bijlage 3. Subverwerkers

Stand: 18 oktober 2026. Wijzigingen volgens artikel 6. De actuele lijst staat op servaro.nl/subverwerkers.

De AI-leveranciers Mistral en Anthropic (via AWS Bedrock) krijgen alleen gegevens als de AI-functies aan staan.

Geen subverwerker van Servaro, ter informatie

Akkoord

Deze verwerkersovereenkomst geldt zodra de klant haar accepteert bij het aanmelden of in de bestelling.