Verwerkersovereenkomst

Versie 1.0 · 20 oktober 2026

Partijen

  1. De klant, zoals vermeld bij het account ("Verwerkingsverantwoordelijke");
  2. De ContentKapitein, handelend onder de naam Qontivo, Ommelseweg 55, 5721 WT Asten, KvK 80298435 ("Verwerker").

De klant gaat akkoord met deze overeenkomst bij het aanmelden; welke versie, wanneer en vanaf welk IP-adres leggen wij vast.

1. Definities

Begrippen als persoonsgegevens, verwerking, betrokkene, inbreuk in verband met persoonsgegevens (datalek) en subverwerker hebben de betekenis uit de AVG. "Overeenkomst" is de overeenkomst voor het gebruik van Qontivo, met de algemene voorwaarden.

2. Onderwerp

  1. Verwerker verwerkt persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke en voor het leveren van Qontivo, zoals beschreven in de specificatie hieronder.
  2. Verwerker verwerkt de persoonsgegevens niet voor eigen doeleinden.
  3. Verwerkingsverantwoordelijke staat ervoor in dat de verwerking rechtmatig is en dat zij een grondslag heeft voor de persoonsgegevens die zij in Qontivo zet of laat ophalen.

3. Verplichtingen van Verwerker

  1. Verwerker volgt de schriftelijke instructies van Verwerkingsverantwoordelijke; het gebruik van Qontivo volgens de Overeenkomst en de instellingen in de omgeving gelden als instructie.
  2. Verwerker meldt het als een instructie naar zijn oordeel in strijd is met de AVG.
  3. Verwerker helpt Verwerkingsverantwoordelijke binnen redelijke grenzen bij een gegevensbeschermingseffectbeoordeling en een voorafgaande raadpleging.

4. Doorgifte

  1. Verwerker verwerkt de persoonsgegevens binnen de Europese Economische Ruimte, tenzij hieronder anders staat.
  2. Doorgifte buiten de EER gebeurt alleen met een passende waarborg (een adequaatheidsbesluit, zoals het EU-VS Data Privacy Framework, of standaardcontractbepalingen).

5. Verdeling van verantwoordelijkheid

Verwerker is verantwoordelijk voor de verwerking binnen Qontivo. Verwerkingsverantwoordelijke is verantwoordelijk voor de gegevens die zij invoert of laat ophalen, voor koppelingen die haar gebruikers zelf leggen (zoals met hun eigen mailbox of agenda, telefonie, WhatsApp, het boekhoudpakket of de dienst voor marketingmail) en voor de instellingen in haar omgeving.

6. Subverwerkers

  1. Verwerkingsverantwoordelijke geeft algemene toestemming voor de subverwerkers hieronder en op Subverwerkers.
  2. Verwerker kondigt een nieuwe of andere subverwerker minstens 30 dagen vooraf aan, per e-mail en op die pagina. Verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken; komen partijen er niet uit, dan mag zij de Overeenkomst opzeggen per de datum van de wijziging.
  3. Verwerker legt subverwerkers minstens dezelfde verplichtingen op als in deze overeenkomst.

7. Beveiliging

Verwerker neemt passende technische en organisatorische maatregelen, beschreven op Beveiliging. Hij mag ze aanpassen, zolang het beveiligingsniveau niet omlaag gaat.

8. Meldplicht bij een datalek

  1. Verwerker meldt een datalek dat de persoonsgegevens van Verwerkingsverantwoordelijke treft zonder onredelijke vertraging en uiterlijk binnen 24 uur na ontdekking, zodat Verwerkingsverantwoordelijke zelf binnen 72 uur kan melden bij de Autoriteit Persoonsgegevens.
  2. De melding bevat, voor zover bekend: de aard van het lek, de betrokken gegevens en betrokkenen, de waarschijnlijke gevolgen, de maatregelen en een contactpersoon.
  3. Verwerkingsverantwoordelijke beslist of het lek wordt gemeld bij de Autoriteit Persoonsgegevens en aan betrokkenen.

9. Rechten van betrokkenen

Verwerker helpt bij verzoeken van betrokkenen. Qontivo biedt daarvoor in de omgeving een export per relatie (inzage en overdraagbaarheid), correctie en definitief verwijderen. Een verzoek dat Verwerker rechtstreeks ontvangt, stuurt hij door.

10. Geheimhouding

Verwerker en ieder die onder zijn gezag werkt, houden de persoonsgegevens geheim, tenzij de wet tot bekendmaking verplicht.

11. Audit

Verwerkingsverantwoordelijke mag de naleving eenmaal per jaar laten controleren door een onafhankelijke deskundige met geheimhoudingsplicht, na aankondiging minstens vier weken vooraf. Een geldig certificaat of rapport van een externe auditor kan daarvoor in de plaats komen. De kosten zijn voor Verwerkingsverantwoordelijke, tenzij blijkt dat Verwerker deze overeenkomst wezenlijk niet nakomt.

12. Aansprakelijkheid

De aansprakelijkheid van partijen is geregeld in de Overeenkomst en de algemene voorwaarden.

13. Duur en einde

  1. Deze overeenkomst loopt zolang Verwerker persoonsgegevens verwerkt onder de Overeenkomst.
  2. Na het einde van het abonnement of de proef staat de omgeving op slot en kan de beheerder 30 dagen lang een volledige export maken: een zip met de gegevens als CSV-bestanden per onderdeel, en alle bestanden.
  3. Daarna verwijdert Verwerker de omgeving volledig: database, bestanden, domein en de tokens van koppelingen, en bevestigt dat per mail. Uit de back-ups verdwijnen de gegevens binnen 90 dagen.

14. Overig

Bij strijdigheid gaat deze overeenkomst voor op de Overeenkomst, voor zover het om persoonsgegevens gaat. Nederlands recht is van toepassing.

Specificatie

Betrokkenen en gegevens

  • Relaties van de klant (klanten, prospects, contactpersonen, eindklanten in het klantportaal): naam, adres, e-mail, telefoon, functie, bedrijfsgegevens, notities, gesprekken, mail, afspraken, werkbonnen, offertes, facturen, reserveringen, objecten, bestanden, toestemmingen voor marketing en WhatsApp.
  • Medewerkers van de klant: naam, e-mail, rol, inloggegevens (hash), tweestapsverificatie, beveiligingslogboek, uren, verlof en ziekte, gekoppelde mailbox en agenda.
  • Bellers en websitebezoekers: telefoonnummer en gegevens van gesprekken, opnames en samenvattingen als de klant dat aanzet; ingevulde formulieren.

Bijzondere persoonsgegevens: Qontivo is daar niet voor bedoeld. Verwerkingsverantwoordelijke zet ze er niet in, tenzij anders afgesproken.

Bewaartermijnen

  • Een omgeving na het einde van het abonnement of de proef: Direct op slot; de beheerder kan 30 dagen lang alles exporteren. Daarna wordt de omgeving definitief verwijderd, met waarschuwingen per mail 14, 7 en 1 dag vooraf.
  • Back-ups: Elke nacht een versleutelde back-up; bewaard: 30 dagelijkse, 8 wekelijkse en 3 maandelijkse, nooit ouder dan 90 dagen. Daarnaast hooguit 10 momentopnamen van de opslag bij Hetzner, binnen dezelfde termijn. Verwijderde gegevens verdwijnen dus binnen 90 dagen ook uit de back-ups.
  • Definitief verwijderde relaties, werkbonnen en offertes: Direct uit de omgeving; binnen 90 dagen uit de back-ups. Na het terugzetten van een back-up worden ze opnieuw gewist.
  • Kopgegevens van mail en gesprekken zonder bekende relatie: 90 dagen
  • Ruwe formulierinzendingen: 7 dagen
  • Meldingen van de telefonie (Voys): 7 dagen
  • Gesprekken met de assistent: 30 dagen (instelbaar door de beheerder)
  • Beveiligingslogboek: 365 dagen (instelbaar 90 tot 3650)
  • Facturen en contractgegevens van Qontivo over de klant: 7 jaar (fiscale bewaarplicht)

Subverwerkers

  • Vimexx B.V.: De server waarop Qontivo draait: de databases van alle omgevingen, bestanden en back-ups. (Nederland; Altijd).
  • Hetzner: De back-ups: een Storage Box buiten de server, waarop elke nacht een versleutelde back-up van alle omgevingen komt. (Duitsland; Altijd).
  • Ploi: Beheer van de server: installeren, bijwerken en uitrollen. Heeft toegang tot de server. (Nederland; Altijd).
  • Cloudflare: DNS, en het doorgeven en beschermen van verkeer naar Qontivo. (Wereldwijd netwerk, met de EU; Altijd).
  • SMTP2GO: Het versturen van de mail van Qontivo zelf: bevestigingen, wachtwoorden, uitnodigingen, meldingen en de facturen van Qontivo. (EU (Amsterdam); Altijd).
  • Google Workspace: De mailboxen van Qontivo zelf: support@, privacy@ en security@qontivo.com. (EU en Verenigde Staten; Als je Qontivo mailt).
  • Mollie: Het betalen van de abonnementen op Qontivo: de eerste betaling en de automatische incasso. (Nederland; Als een klant een abonnement kiest).
  • Anthropic: De assistent "Vraag Qontivo", en de samenvatting van opgenomen gesprekken. (Verenigde Staten; Alleen als een beheerder de assistent of het samenvatten van gesprekken aanzet).
  • PDOK (Kadaster): Coördinaten bij een Nederlands adres, voor de planning en de kaart. (Nederland; Als een omgeving de planning of de kaart gebruikt).
  • GitHub (Microsoft): De broncode van Qontivo en het automatisch testen ervan. (Verenigde Staten; Altijd).