Verwerkersovereenkomst

Partijen en werking

Verwerkingsverantwoordelijke: jij, de opdrachtgever, verder de klant. Jij bepaalt waarom en hoe de gegevens van jouw klanten, leads en medewerkers worden verwerkt.

Verwerker: SocialNow, Amstelstraat 43G, 1017 DA Amsterdam, KVK 90877179, verder SocialNow. Wij verwerken die gegevens uitsluitend voor jou.

Deze overeenkomst gaat in op het moment dat je een account aanmaakt in SocialNow OS of een opdracht geeft waarbij wij persoonsgegevens namens jou verwerken, en loopt zolang die verwerking duurt. Hij gaat vóór de algemene voorwaarden waar die elkaar tegenspreken op het punt van persoonsgegevens.

Waar deze overeenkomst spreekt over de AVG bedoelen wij Verordening (EU) 2016/679, en waar zij spreekt over de toezichthouder bedoelen wij de Autoriteit Persoonsgegevens, of de toezichthouder van het land waar jij gevestigd bent.

1. Onderwerp, aard, doel en duur

Het onderwerp van de verwerking is het leveren van SocialNow OS en de diensten daaromheen: een werkruimte waarin je je website, klanten, content en advertenties beheert, gekoppeld aan de bronnen die je zelf aansluit.

De aard van de verwerking is het opslaan, ordenen, raadplegen, wijzigen, samenvoegen, tonen, versturen en wissen van gegevens, en het laten verwerken door de modellen en diensten in bijlage C, alles voor zover nodig om het OS voor jou te laten werken.

Het doel is uitsluitend het uitvoeren van de overeenkomst met jou. Wij bepalen zelf geen doel voor jouw gegevens.

De duur is gelijk aan de looptijd van jouw account of opdracht. Daarna geldt artikel 8.

De soorten persoonsgegevens en de categorieën betrokkenen staan in bijlage A.

2. Alleen op jouw instructie

Wij verwerken persoonsgegevens alleen op jouw gedocumenteerde instructie. Als instructie gelden: deze overeenkomst, de algemene voorwaarden, de handelingen die jij en je teamleden in het OS uitvoeren, en verzoeken die je ons per e-mail doet.

Wij verwerken de gegevens niet voor eigen doeleinden, verkopen ze niet, delen ze niet met andere klanten, en gebruiken ze niet voor advertenties van derden of voor profilering buiten jouw werkruimte.

Vinden wij dat een instructie in strijd is met de AVG of met andere wetgeving over gegevensbescherming, dan melden wij dat aan je voordat wij hem uitvoeren, en mogen wij de uitvoering opschorten tot je hem aanpast of bevestigt.

Verplicht een wet van de Unie of van een lidstaat ons tot een verwerking buiten jouw instructie, dan informeren wij je daarover vóór de verwerking, tenzij die wet dat om redenen van algemeen belang verbiedt.

Let op het onderscheid met artikel 17 van de algemene voorwaarden: daarin geef jij ons als klant toestemming om gegevens uit jouw werkruimte intern in te zien om het product te verbeteren. Die toestemming is een afspraak tussen jou en ons over jóuw gebruik. Voor persoonsgegevens van derden in jouw werkruimte geldt die toestemming alleen voor zover jij daar als verantwoordelijke zelf een grondslag voor hebt, en altijd binnen de grenzen van deze overeenkomst: intern, onder geheimhouding, zonder profilering en zonder verstrekking aan derden.

3. Geheimhouding

Iedereen die bij ons toegang heeft tot jouw gegevens is tot geheimhouding verplicht, schriftelijk of op grond van de wet. Dat geldt voor medewerkers, voor ingeschakelde specialisten en voor de beheerders van onze systemen.

Toegang wordt alleen gegeven aan wie hem voor zijn werk nodig heeft, en wordt ingetrokken zodra dat niet meer zo is. Beheerderstoegang tot een klantomgeving verloopt via een kortlevende, gelogde sessie; die toegang staat in een auditspoor dat wij bewaren.

De geheimhouding blijft gelden na afloop van deze overeenkomst en na het einde van een dienstverband of opdracht.

4. Beveiliging

Wij nemen passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking, en met de risico's voor de betrokkenen.

De maatregelen die wij op dit moment treffen staan beschreven in bijlage B. Die bijlage is een momentopname: wij mogen maatregelen vervangen door maatregelen die minstens zo beschermend zijn, en zullen het beschermingsniveau niet verlagen.

Jij bent zelf verantwoordelijk voor de beveiliging aan jouw kant: sterke wachtwoorden of passkeys, tweestapsverificatie waar die beschikbaar is, het tijdig intrekken van toegang van vertrokken teamleden, en het zorgvuldig omgaan met de sleutels die je in het OS invoert.

5. Subverwerkers

Je geeft ons algemene toestemming om subverwerkers in te schakelen. De subverwerkers die wij nu gebruiken staan in bijlage C, met per partij waarvoor wij hem gebruiken en waar de gegevens staan.

Wij leggen elke subverwerker dezelfde verplichtingen op als wij tegenover jou hebben, in een schriftelijke overeenkomst. Komt een subverwerker die verplichtingen niet na, dan blijven wij tegenover jou volledig aansprakelijk.

Willen wij een subverwerker toevoegen of vervangen, dan melden wij dat minstens dertig dagen van tevoren per e-mail en op socialnow.nl/verwerkersovereenkomst. Heb je binnen die termijn een redelijk bezwaar dat de bescherming van persoonsgegevens betreft, dan zoeken wij samen naar een oplossing; komen wij daar niet uit, dan mag je de betrokken dienst opzeggen zonder opzegkosten, tegen terugbetaling van het vooruitbetaalde deel.

Partijen die jij zelf koppelt — je eigen Odoo, je eigen Meta-account, je eigen Google-property, je eigen socialkanalen — zijn geen subverwerkers van ons. Jij hebt met die partijen een eigen verhouding; wij lezen en schrijven daar alleen met de sleutel die jij ons geeft, en alleen binnen jouw werkruimte.

6. Rechten van betrokkenen

Krijgt een betrokkene bij ons een verzoek binnen dat eigenlijk voor jou bedoeld is — inzage, rectificatie, wissing, beperking, overdraagbaarheid of bezwaar — dan voeren wij dat niet zelf uit. Wij sturen het door naar jou en laten de betrokkene weten dat wij dat hebben gedaan.

Wij helpen je om zulke verzoeken te beantwoorden, met passende technische en organisatorische maatregelen en voor zover dat redelijkerwijs mogelijk is. In het OS kun je gegevens zelf inzien, aanpassen, exporteren en verwijderen; lukt dat niet, dan doen wij het op jouw verzoek.

Wij brengen voor deze hulp geen kosten in rekening, tenzij het gaat om herhaalde of buitensporige verzoeken die substantieel werk vragen; in dat geval melden wij de kosten vooraf.

7. Datalekken, DPIA en voorafgaande raadpleging

Ontdekken wij een inbreuk in verband met persoonsgegevens, dan melden wij dat zonder onredelijke vertraging en in elk geval binnen 24 uur na ontdekking bij jou, zodat jij binnen de 72 uur van artikel 33 AVG je eigen afweging kunt maken. Wij melden nooit zelf bij de toezichthouder namens jou, tenzij je ons daar schriftelijk om vraagt.

Onze melding bevat, voor zover bekend: wat er is gebeurd en wanneer, welke categorieën en hoeveel betrokkenen en records het vermoedelijk betreft, de waarschijnlijke gevolgen, de maatregelen die wij hebben genomen of voorstellen, en een contactpunt. Wat op dat moment nog niet bekend is, leveren wij na zodra wij het weten.

Wij houden een intern register bij van inbreuken, ook van die welke niet gemeld hoefden te worden, met de feiten, de gevolgen en de genomen maatregelen.

Moet jij een gegevensbeschermingseffectbeoordeling (DPIA) uitvoeren of de toezichthouder vooraf raadplegen, dan leveren wij de informatie over onze verwerking die je daarvoor nodig hebt.

8. Einde: teruggeven of wissen

Bij het einde van je account of opdracht kies jij wat er met de gegevens gebeurt: teruggeven in een gangbaar bestandsformaat, of wissen. Laat je binnen dertig dagen na het einde niets weten, dan wissen wij.

Wissen betekent bij ons: uit de actieve systemen binnen dertig dagen, en uit de back-ups zodra die volgens hun eigen cyclus aflopen, uiterlijk na negentig dagen. Zolang een gegeven nog in een back-up staat, wordt het niet meer gebruikt en niet meer getoond.

Wat een wet ons verplicht te bewaren, bewaren wij. Dat is in de praktijk de factuuradministratie, zeven jaar op grond van de Algemene wet inzake rijksbelastingen. Die gegevens worden alleen nog voor dat doel gebruikt.

Op jouw verzoek bevestigen wij het wissen schriftelijk.

9. Informatie en audit

Wij stellen je alle informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit artikel 28 AVG worden nagekomen, en werken mee aan audits, waaronder inspecties, door jou of door een door jou gemachtigde controleur.

In de praktijk beantwoorden wij vragenlijsten en leveren wij op verzoek een overzicht van onze maatregelen, ons subverwerkersregister en onze auditsporen. Wil je een audit ter plaatse of door een externe partij, dan kondig je die minstens dertig dagen van tevoren aan, vindt hij plaats tijdens kantooruren, verstoort hij onze dienstverlening niet, en is de controleur tot geheimhouding gehouden. Ten hoogste één audit per kalenderjaar is voor onze rekening; een volgende audit in hetzelfde jaar, of een audit die geen tekortkoming aantoont, komt voor jouw rekening tegen ons gebruikelijke uurtarief.

Bij een audit tonen wij nooit gegevens van andere klanten. Waar het maar even kan werken wij met geanonimiseerde of geaggregeerde bewijsstukken.

10. Doorgifte buiten de EER

Wij bewaren en verwerken jouw gegevens bij voorkeur binnen de Europese Economische Ruimte. De regio verschilt per dienst. PostHog gebruikt de EU-regio; de huidige Vercel-appfuncties draaien in de Verenigde Staten. Onze dienstverlening is daarom niet uitsluitend Europees.

Is doorgifte naar een derde land onvermijdelijk — dat speelt bij een aantal Amerikaanse leveranciers van modellen en infrastructuur — dan doen wij dat alleen op basis van een geldig mechanisme uit hoofdstuk V AVG: een adequaatheidsbesluit van de Europese Commissie, of de standaardcontractbepalingen (uitvoeringsbesluit (EU) 2021/914), aangevuld met een beoordeling van de omstandigheden in dat land en met aanvullende maatregelen waar die nodig zijn, zoals versleuteling onderweg en in rust en het zo klein mogelijk houden van wat er heen gaat.

Per subverwerker staat in bijlage C waar de gegevens staan en welk mechanisme geldt. Wijzigt dat, dan werken wij die bijlage bij volgens artikel 5.

11. Aansprakelijkheid

De aansprakelijkheidsregeling uit de algemene voorwaarden geldt ook hier, met één uitzondering: die beperking geldt niet voor boetes en vorderingen die rechtstreeks voortvloeien uit opzet of bewuste roekeloosheid van onze kant, en niet waar de wet een beperking verbiedt.

Artikel 82 AVG blijft onverkort gelden tussen ons en betrokkenen. Wie onderling wat draagt, bepalen wij naar rato van ieders aandeel in de schade.

12. Slot

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement van onze vestigingsplaats.

Wijzigen wij deze overeenkomst, dan melden wij dat minstens dertig dagen van tevoren per e-mail en publiceren wij de nieuwe versie op socialnow.nl/verwerkersovereenkomst. Is de wijziging in jouw nadeel en ga je er niet mee akkoord, dan mag je binnen die dertig dagen opzeggen tegen terugbetaling van het vooruitbetaalde deel.

Vragen over deze overeenkomst, een datalek of een verzoek van een betrokkene: privacy@socialnow.nl.

Bijlage A: gegevens en betrokkenen

Categorieën betrokkenen waarvan wij namens jou gegevens verwerken:

jouw teamleden en de gebruikers van jouw werkruimte
jouw klanten, leads en relaties, zoals ze in jouw Odoo of in het CRM staan
mensen die reageren op je berichten, advertenties of formulieren
bezoekers van de websites die wij voor je bouwen of beheren, voor zover jij daar gegevens verzamelt

Soorten persoonsgegevens:

naam, functie, bedrijf, e-mailadres, telefoonnummer en adres
correspondentie: berichten, reacties, e-mails en gespreksverslagen die jij in het OS zet of laat binnenkomen
commerciële gegevens: offertes, orders, facturen, bedragen en statussen uit jouw Odoo
accountgegevens: inlognaam, rol, taal, tijdstempels van gebruik
technische gegevens: IP-adres, apparaat en browser, voor zover die bij een handeling worden vastgelegd
beeld en tekst die jij aanlevert of laat maken en waarin mensen herkenbaar kunnen zijn

Bijzondere categorieën persoonsgegevens als bedoeld in artikel 9 AVG en strafrechtelijke gegevens als bedoeld in artikel 10 horen niet in SocialNow OS. Zet je ze er toch in, dan doe je dat op eigen verantwoordelijkheid en buiten de bedoeling van deze overeenkomst; wij treffen voor zulke gegevens geen aanvullende maatregelen omdat wij er niet op rekenen dat ze er zijn.

Bijlage B: beveiligingsmaatregelen

Toegang en identiteit:

inloggen op je account gaat via een identiteitsdienst met tweestapsverificatie; beheerderstoegang van SocialNow gaat via een passkey en een tijdgebonden code
toegang van een beheerder tot een klantomgeving verloopt via een briefje dat twee minuten geldig is en alleen dat ene systeem opent; het briefje zelf wordt nooit gelogd, de uitgifte wel
rechten worden per werkruimte toegekend en bij vertrek ingetrokken

Versleuteling en sleutels:

al het verkeer loopt over TLS; HTTP-verkeer wordt afgedwongen doorgestuurd naar HTTPS
gegevens staan versleuteld op de opslag van onze leveranciers
sleutels die jij invoert voor Odoo, Meta, Google of je socialkanalen worden versleuteld opgeslagen, nooit teruggetoond en nooit in logregels geschreven
geheimen staan uitsluitend in de omgeving van de hostingleverancier, niet in de broncode

Scheiding en afscherming:

elke klant heeft een eigen werkruimte; verzoeken worden per verzoek gecontroleerd op werkruimte en rol
voor klanten met een eigen systeem draait een eigen omgeving met eigen geheimen, gescheiden van de andere
de beheeromgeving is niet publiek bereikbaar en staat op noindex
een strikt Content Security Policy beperkt welke scripts, stijlen en verbindingen een pagina mag gebruiken

Logging en detectie:

handelingen met gevolgen — toegang verlenen, een systeem openen, een sleutel wijzigen — komen in een auditspoor met wie, wat en wanneer
foutmeldingen en waarschuwingen worden centraal verzameld; persoonsgegevens worden daarin niet meegeschreven
de bereikbaarheid en de inlogbeveiliging van elk klantsysteem worden doorlopend automatisch gecontroleerd

Continuïteit:

opslag en herstel verlopen volgens de mogelijkheden van de gebruikte leverancier; frequentie, bewaartermijn en herstelbaarheid worden per gegevensbron vastgelegd
de code staat in versiebeheer; elke publicatie is herleidbaar tot een commit en kan worden teruggedraaid
voor publicatie draait een geautomatiseerde testsuite; een rode suite betekent niet publiceren

Organisatie:

wie toegang heeft is een korte, bekende kring, allemaal onder geheimhouding
nieuwe leveranciers worden beoordeeld op waar zij gegevens opslaan en op welke voorwaarden
er is een vaste route voor het melden van kwetsbaarheden: security@socialnow.nl

Deze lijst beschrijft wat er op 19 september 2026 staat. Wij vervangen een maatregel alleen door een maatregel die minstens zo beschermend is.

Bijlage C: subverwerkers

Infrastructuur en opslag:

Vercel Inc. (Verenigde Staten; regio afhankelijk van de dienst, appfuncties momenteel VS): hosting van het OS en de API
Google Ireland Limited / Google LLC: Firebase voor de opslag van werkruimten en accounts
Hostinger International Ltd (Litouwen): hosting van websites, domeinen en e-mail

Identiteit en communicatie:

Google Ireland Limited: inloggen met een Google-account
Hostinger International Ltd: verzending van e-mail vanuit het OS, waaronder inlogcodes

Meten:

PostHog Inc., EU-datacentrum in Frankfurt: meten van gebruik van het OS, alleen na toestemming van de gebruiker, zonder schermopnames

Modellen voor tekst en beeld, alleen voor wat jij laat maken:

Google Ireland Limited / Google LLC: Gemini voor tekst en beeld
OpenAI Ireland Ltd: modellen voor tekst en beeld
Anthropic PBC (Verenigde Staten): modellen voor tekst
Higgsfield: beeld en film
Bij al deze partijen is contractueel uitgesloten dat jouw invoer wordt gebruikt om hun modellen te trainen.

Publiceren op sociale kanalen:

Zernio: het koppelen aan en publiceren op jouw eigen socialkanalen, met de sleutel die jij zelf aansluit

Wij hebben met elk van deze partijen een verwerkersovereenkomst of gelijkwaardige voorwaarden. Bij partijen buiten de EER berust de doorgifte op de standaardcontractbepalingen van de Europese Commissie, en waar van toepassing op het EU-VS Data Privacy Framework.

Deze lijst geldt op 19 september 2026. Wijzigingen worden dertig dagen vooraf aangekondigd volgens artikel 5.