Verwerkersovereenkomst Staurio

Versie 1.0 — geldig vanaf 23 juli 2026.
Deze verwerkersovereenkomst (artikel 28 lid 3 AVG) maakt onlosmakelijk deel uit van de Overeenkomst tussen Buzzware, handelend onder de naam Staurio, KvK 74261312 ("Verwerker") en de klant ("Verwerkingsverantwoordelijke").

Artikel 1 — Onderwerp, aard en doel van de verwerking

1. Verwerker verwerkt persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke voor het leveren van de Staurio-dienst: klant- en relatiebeheer, ticketing inclusief e-mailafhandeling, werkbonnen en planning, urenregistratie, agenda-synchronisatie, voorraadbeheer en koppelingen met boekhoudpakketten.
2. De verwerking duurt zolang de Overeenkomst loopt, plus de afwikkelingstermijn van artikel 8.
3. Verwerker verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke (waaronder de Overeenkomst en het gebruik van de functies van de dienst), tenzij een wettelijke verplichting tot verwerking dwingt; in dat geval informeert Verwerker de Verwerkingsverantwoordelijke vooraf, tenzij dat wettelijk verboden is.

Artikel 2 — Soorten persoonsgegevens en categorieën betrokkenen

Er worden in beginsel geen bijzondere categorieën persoonsgegevens (art. 9 AVG) verwerkt. Verwerkingsverantwoordelijke ziet erop toe dat dergelijke gegevens niet in vrije-tekstvelden worden opgenomen.

Artikel 3 — Beveiliging

1. Verwerker treft passende technische en organisatorische maatregelen (art. 32 AVG), waaronder in elk geval:
   • strikte tenant-isolatie: elke klantomgeving in een eigen databaseschema, met server-side afgedwongen tenant-context;
   • versleuteling van gegevens tijdens transport (TLS) en versleutelde opslag van gevoelige velden en wachtwoorden (bcrypt);
   • toegangsbeveiliging met rolgebaseerde autorisatie, ondersteuning voor meerfactorauthenticatie en single sign-on;
   • logging van beheer- en mutatiehandelingen (audit-trail);
   • dagelijkse back-ups met beperkte bewaartermijn en gescheiden opslag;
   • hosting in een datacenter binnen de EU;
   • toegang tot productiegegevens beperkt tot geautoriseerde personen met een geheimhoudingsplicht.
2. Verwerker evalueert deze maatregelen periodiek en past ze aan aan de stand van de techniek.

Artikel 4 — Subverwerkers

1. Verwerkingsverantwoordelijke verleent hierbij een algemene schriftelijke toestemming voor het inschakelen van de subverwerkers vermeld op de actuele subverwerkerslijst: app.staurio.nl/legal/subverwerkers.html.
2. Verwerker kondigt voorgenomen toevoegingen of vervangingen van subverwerkers minimaal dertig (30) dagen vooraf aan via de dienst of per e-mail. Verwerkingsverantwoordelijke kan binnen die termijn schriftelijk en gemotiveerd bezwaar maken; partijen treden dan in overleg. Leidt het overleg niet tot een oplossing, dan mag Verwerkingsverantwoordelijke de Overeenkomst opzeggen tegen de datum waarop de wijziging ingaat.
3. Verwerker legt aan elke subverwerker verplichtingen op die gelijkwaardig zijn aan deze verwerkersovereenkomst en blijft jegens Verwerkingsverantwoordelijke volledig aansprakelijk voor de nakoming door subverwerkers.

Artikel 5 — Doorgifte buiten de EER

1. Verwerking vindt plaats binnen de EER. Voor zover een subverwerker persoonsgegevens buiten de EER verwerkt of daartoe toegang heeft (zie de subverwerkerslijst), gebeurt dat uitsluitend op basis van een geldig doorgiftemechanisme uit hoofdstuk V AVG (zoals een adequaatheidsbesluit, waaronder het EU-VS Data Privacy Framework, of standaardcontractbepalingen).

Artikel 6 — Bijstand en rechten van betrokkenen

1. Verwerker verleent, rekening houdend met de aard van de verwerking, redelijke bijstand bij het vervullen van de verplichtingen van Verwerkingsverantwoordelijke onder art. 32 t/m 36 AVG, waaronder bij een gegevensbeschermingseffectbeoordeling (DPIA).
2. Verzoeken van betrokkenen (inzage, rectificatie, wissing, overdraagbaarheid e.d.) die Verwerker rechtstreeks bereiken, stuurt Verwerker onverwijld door aan Verwerkingsverantwoordelijke. De dienst biedt export- en anonimiseringsfuncties waarmee Verwerkingsverantwoordelijke dergelijke verzoeken zelf kan afhandelen.
3. Personen die onder gezag van Verwerker persoonsgegevens verwerken zijn gebonden aan geheimhouding.

Artikel 7 — Datalekken

1. Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging, en uiterlijk binnen achtenveertig (48) uur na ontdekking, over een inbreuk in verband met persoonsgegevens (art. 33 lid 2 AVG), via de bij Verwerker bekende contactgegevens van Verwerkingsverantwoordelijke.
2. De melding bevat ten minste: de aard van de inbreuk, de (vermoedelijk) getroffen gegevens en betrokkenen, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.
3. De melding aan de Autoriteit Persoonsgegevens en aan betrokkenen is de verantwoordelijkheid van Verwerkingsverantwoordelijke; Verwerker verleent daarbij redelijke bijstand.

Artikel 8 — Teruggave en verwijdering (exit)

1. Na het einde van de Overeenkomst stelt Verwerker op verzoek van Verwerkingsverantwoordelijke binnen dertig (30) dagen een volledige export van alle persoonsgegevens beschikbaar in een gangbaar, machineleesbaar en gestructureerd formaat (JSON, en waar beschikbaar CSV), via een beveiligde downloadkoppeling. Hiervoor worden geen kosten gerekend.
2. Verwerkingsverantwoordelijke kiest bij het einde van de Overeenkomst tussen teruggave (lid 1) gevolgd door verwijdering, of directe verwijdering.
3. Verwerker verwijdert alle persoonsgegevens uiterlijk negentig (90) dagen na het einde van de Overeenkomst, inclusief verwijdering uit back-ups binnen de reguliere back-up-rotatie, behoudens wettelijke bewaarplichten van Verwerker. Op verzoek bevestigt Verwerker de verwijdering schriftelijk.

Artikel 9 — Audit en verantwoording

1. Verwerker stelt op verzoek alle informatie ter beschikking die redelijkerwijs nodig is om nakoming van art. 28 AVG aan te tonen.
2. Verwerkingsverantwoordelijke mag maximaal eenmaal per jaar, na redelijke aankondiging van minimaal dertig (30) dagen en onder geheimhouding, een audit (laten) uitvoeren gericht op de naleving van deze verwerkersovereenkomst. Ieder van partijen draagt de eigen kosten; de audit verstoort de dienstverlening niet onnodig.

Artikel 10 — Slotbepalingen

1. Bij strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor wat betreft de verwerking van persoonsgegevens.
2. De aansprakelijkheidsregeling uit de algemene voorwaarden is van overeenkomstige toepassing, onverminderd dwingend recht (waaronder art. 82 AVG).
3. Op deze verwerkersovereenkomst is Nederlands recht van toepassing.