Verwerkersovereenkomst

1. Partijen en rollen

Verwerker is Katama, eenmanszaak, gevestigd aan Maaseikstraat 61, 4826 LR Breda, KVK 69778035. Verwerkingsverantwoordelijke is de opdrachtgever die met Katama een overeenkomst heeft voor hosting, websitebeheer, automatisering of een vergelijkbare dienst.

Opdrachtgever bepaalt het doel en de middelen van de verwerking. Katama verwerkt uitsluitend in opdracht en verwerkt de gegevens niet voor eigen doeleinden. Deze overeenkomst is de verwerkersovereenkomst zoals bedoeld in artikel 28 lid 3 van de AVG.

2. Onderwerp en duur

De verwerking vindt plaats in het kader van de dienstverlening en duurt zolang die dienstverlening loopt. Eindigt de overeenkomst, dan eindigt de verwerking, met inachtneming van artikel 9.

3. Soort gegevens en betrokkenen

Opdrachtgever plaatst geen bijzondere categorieën persoonsgegevens in de systemen zonder dat vooraf schriftelijk te melden, zodat er passende extra maatregelen getroffen kunnen worden. Onder bijzondere categorieën vallen onder meer gegevens over gezondheid, ras, religie en strafrechtelijke gegevens.

4. Instructies

Katama verwerkt de gegevens alleen op schriftelijke instructie van opdrachtgever. De overeenkomst, de offerte en deze verwerkersovereenkomst gelden als die instructie. Is een instructie naar het oordeel van Katama in strijd met de wet, dan meldt Katama dat direct aan opdrachtgever. De uitvoering mag dan worden opgeschort.

Verplicht de wet Katama tot een verwerking buiten de instructie om, dan wordt opdrachtgever daarover vooraf geïnformeerd, tenzij die wet dat verbiedt.

5. Beveiliging

Katama treft passende technische en organisatorische maatregelen, waaronder:

• versleutelde verbindingen naar servers en beheeromgevingen;
• tweefactorauthenticatie op accounts waar dat ondersteund wordt;
• unieke wachtwoorden, bewaard in een wachtwoordkluis;
• toegang alleen voor wie die nodig heeft voor de opdracht;
• back-ups volgens het pakket of de opdracht;
• tijdig doorvoeren van beveiligingsupdates;
• logging van beheerhandelingen op de server.

Tijdelijke kopieën voor een analyse worden bewaard op een plek zonder back-up of synchronisatie en na afloop gewist.

Het beschermingsniveau is afgestemd op de aard van de gegevens en op de stand van de techniek. Maatregelen kunnen wijzigen zolang het niveau gelijkwaardig blijft.

6. Geheimhouding

Katama houdt de persoonsgegevens geheim. Wordt er iemand ingeschakeld die toegang krijgt, dan is die aan een gelijkwaardige geheimhoudingsplicht gebonden.

7. Subverwerkers

Opdrachtgever geeft algemene toestemming voor het inschakelen van subverwerkers. Katama kiest alleen subverwerkers die passende waarborgen bieden. Katama legt hun bij overeenkomst in wezen dezelfde verplichtingen op als in deze overeenkomst staan. Bij grote leveranciers gebeurt dat via hun standaard-verwerkersafspraken, die Katama vooraf toetst op een gelijkwaardig beschermingsniveau. Katama blijft verantwoordelijk voor de keuze en voor het toezicht.

Katama blijft tegenover opdrachtgever verantwoordelijk voor de nakoming door subverwerkers. De bedragen uit artikel 13 van de algemene voorwaarden gelden. De uitsluitingen voor toeleveranciers en overmacht gelden niet voor een tekortkoming van een subverwerker bij de verwerking van persoonsgegevens. Wettelijke aanspraken van betrokkenen worden niet beperkt.

Op dit moment gaat het om de volgende soorten partijen:

Bij AI-diensten schakelt Katama het gebruik van gegevens voor modeltraining uit. Gaan gegevens daarbij naar een land buiten de EER, dan geldt artikel 8.

Katama verstrekt de actuele lijst van subverwerkers bij het sluiten van de overeenkomst en op verzoek via mail@katama.nl. De lijst noemt namen, adressen, werkzaamheden en landen, ook van verdere subverwerkers in de keten voor zover Katama die kent. Wijzigingen meldt Katama uit zichzelf. Wil Katama een subverwerker vervangen of toevoegen, dan wordt dat ten minste dertig dagen vooraf gemeld. Maakt opdrachtgever binnen die termijn gemotiveerd bezwaar en komen partijen er niet uit, dan mag opdrachtgever de betreffende dienst opzeggen zonder kosten voor de resterende looptijd.

8. Doorgifte buiten de Europese Economische Ruimte

Doorgifte buiten de EER vindt alleen plaats als er een geldige grondslag is: een adequaatheidsbesluit van de Europese Commissie, of de standaardcontractbepalingen, met aanvullende maatregelen waar een doorgiftetoets dat nodig maakt. Op verzoek laat Katama zien welke grondslag voor welke partij geldt.

9. Teruggave en verwijdering

Bij het einde van de dienstverlening geeft Katama de persoonsgegevens terug als opdrachtgever daarom vraagt. Zo'n verzoek moet binnen dertig dagen na beëindiging binnen zijn. De gegevens blijven gedurende de verzoektermijn van dertig dagen beschikbaar, tenzij opdrachtgever eerder verwijdering vraagt. Komt er op tijd een verzoek om teruggave, dan wist Katama de gegevens pas na de teruggave.

Na de termijn of na de teruggave verwijdert Katama de gegevens, behalve wat op grond van de wet bewaard moet blijven. Dat geldt voor alle kopieën bij Katama en bij subverwerkers. Op verzoek bevestigt Katama de verwijdering schriftelijk.

Back-ups vormen hierop één uitzondering. Ze zijn beveiligd tegen wissen, zodat een aanval ze niet kan vernietigen, en verdwijnen vanzelf uiterlijk dertig dagen nadat ze zijn gemaakt. Tot dan gebruikt Katama een back-up alleen om een website na een storing of incident te herstellen. Zet een herstel gegevens terug die eerder op verzoek zijn verwijderd, dan verwijdert Katama die opnieuw.

Teruggave en verwijdering van persoonsgegevens hangen niet af van openstaande facturen. Dat geldt ook bij wanbetaling. Dit gaat voor op artikel 16 van de algemene voorwaarden en op de hostingvoorwaarden.

10. Datalekken

Bij een inbreuk in verband met persoonsgegevens informeert Katama de opdrachtgever zonder onnodige vertraging, en in elk geval binnen 24 uur na ontdekking. De melding bevat, voor zover bekend: wat er gebeurd is, welke categorieën gegevens en betrokkenen het betreft, de vermoedelijke gevolgen en de genomen of voorgestelde maatregelen. Ontbreekt informatie, dan volgt die zo snel mogelijk na.

Melden bij de Autoriteit Persoonsgegevens en bij betrokkenen is de verantwoordelijkheid van opdrachtgever. Katama meldt niet zelfstandig namens opdrachtgever, tenzij dat schriftelijk is afgesproken, en verleent de medewerking die voor die meldingen nodig is.

11. Rechten van betrokkenen

Krijgt Katama rechtstreeks een verzoek van een betrokkene, bijvoorbeeld om inzage of verwijdering, dan wordt dat verzoek doorgestuurd naar opdrachtgever en niet zelf afgehandeld. Katama helpt bij het beantwoorden van alle verzoeken van betrokkenen, ook als opdrachtgever het verzoek zelf ontvangt. Kost die hulp substantieel tijd, dan wordt die tegen het uurtarief in rekening gebracht, na overleg vooraf. Dat overleg vertraagt de wettelijke termijnen niet.

12. Audits

Katama stelt alle informatie beschikbaar die nodig is om naleving van deze overeenkomst aan te tonen. Opdrachtgever mag eens per kalenderjaar controleren of Katama zich aan deze overeenkomst houdt, en vaker als daar concrete aanleiding voor is. Een audit wordt ten minste dertig dagen vooraf aangekondigd en verstoort de dienstverlening niet onnodig. Bij een datalek of een andere spoedeisende situatie geldt die termijn van dertig dagen niet. Katama beantwoordt eerst een schriftelijke vragenlijst; blijkt dat onvoldoende, dan volgt een audit ter plaatse of door een onafhankelijke deskundige met geheimhoudingsplicht. Bij spoed mag opdrachtgever de vragenlijst overslaan. De controle vindt dan zo snel als redelijkerwijs mogelijk plaats. De kosten zijn voor opdrachtgever, tenzij uit de audit een wezenlijke tekortkoming van Katama blijkt.

13. Medewerking bij verplichtingen van opdrachtgever

Katama helpt opdrachtgever bij de verplichtingen uit artikel 32 tot en met 36 van de AVG. Het gaat om beveiliging, het melden van datalekken, een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging van de toezichthouder. Katama houdt daarbij rekening met de aard van de verwerking en met de informatie die Katama heeft. De hulp geldt voor de verwerkingen die Katama voor opdrachtgever uitvoert.

14. Aansprakelijkheid

Onverminderd artikel 7 geldt de aansprakelijkheidsregeling uit de algemene voorwaarden ook voor deze overeenkomst, voor zover de wet dat toestaat. De aansprakelijkheid voor bestuurlijke boetes die aan opdrachtgever worden opgelegd, komt alleen voor rekening van Katama voor zover die boete rechtstreeks het gevolg is van een toerekenbare tekortkoming van Katama.

15. Slotbepalingen

Bij tegenstrijdigheid tussen deze verwerkersovereenkomst en de overige afspraken gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft. Wijzigingen worden ten minste dertig dagen vooraf aangekondigd. Op deze overeenkomst is Nederlands recht van toepassing.

Deze versie geldt voor opdrachten die vanaf 11 november 2026 worden gesloten. Voor bestaande overeenkomsten geldt deze versie vanaf de ingangsdatum die Katama aan opdrachtgever aankondigt, maar niet eerder dan dertig dagen na die aankondiging, met behoud van het opzegrecht uit artikel 18 van de algemene voorwaarden en het bezwaarrecht bij een nieuwe subverwerker uit artikel 7. De vorige versie (1.6) en versie 1.5 blijven hier te lezen zolang zij voor bestaande overeenkomsten gelden.

Wil je een ondertekend exemplaar op papier of als pdf, vraag het aan via mail@katama.nl.