Juridisch

Verwerkersovereenkomst BDCO

Versie 1.00 – oktober 2026

Artikel 1. Partijen en toepassing

1.1. Deze Verwerkersovereenkomst is van toepassing tussen de professionele klant die met BDCO een overeenkomst aangaat, hierna de “Klant” of “Verwerkingsverantwoordelijke”, en Bart Dewaersegger, handelend onder de handelsnaam BDCO, gevestigd te Veerlepad 58A, 2230 Herselt, ondernemingsnummer 0819.465.601, btw-nummer BE 0819.465.601, hierna “BDCO” of de “Verwerker”.

1.2. Deze Verwerkersovereenkomst is van toepassing voor zover BDCO in het kader van zijn dienstverlening persoonsgegevens verwerkt in opdracht en ten behoeve van de Klant in de zin van artikel 28 van de Algemene Verordening Gegevensbescherming (“AVG”).

1.3. De Verwerkersovereenkomst vormt in dat geval een integraal onderdeel van de overeenkomst tussen BDCO en de Klant.

1.4. Voor onderwerpen die niet specifiek in deze Verwerkersovereenkomst worden geregeld, blijven de hoofdovereenkomst en de Algemene Voorwaarden van BDCO van toepassing.

1.5. Indien deze Verwerkersovereenkomst en de hoofdovereenkomst of Algemene Voorwaarden elkaar tegenspreken met betrekking tot verplichtingen inzake de verwerking van persoonsgegevens door BDCO als verwerker, heeft deze Verwerkersovereenkomst voor dat specifieke privacyrechtelijke onderwerp voorrang. Deze voorrang wordt niet uitgelegd als een uitbreiding van de aansprakelijkheid, garanties of resultaatsverbintenissen van BDCO buiten hetgeen uit de AVG of andere dwingend toepasselijke wetgeving voortvloeit.

Artikel 2. Rollen en verantwoordelijkheden

2.1. De Klant bepaalt het doel van en de essentiële middelen voor de verwerking van persoonsgegevens en treedt voor deze verwerkingen op als Verwerkingsverantwoordelijke.

2.2. BDCO verwerkt persoonsgegevens namens de Klant en treedt voor deze verwerkingen op als Verwerker.

2.3. De Klant blijft verantwoordelijk voor onder meer:

de rechtmatigheid van de verwerking;
de aanwezigheid van een geldige rechtsgrond;
de informatieverstrekking aan betrokkenen;
privacyverklaringen;
cookiegebruik en eventuele toestemmingen;
bewaartermijnen;
de juistheid en rechtmatigheid van de aan BDCO verstrekte persoonsgegevens;
de rechtmatigheid van zijn bedrijfsprocessen, websites, applicaties en andere verwerkingen.

2.4. BDCO wordt door het uitvoeren van technische werkzaamheden, hosting, ontwikkeling, onderhoud of andere dienstverlening niet verantwoordelijk voor de algemene AVG-naleving van de Klant.

Artikel 3. Voorwerp, aard en doel van de verwerking

3.1. De verwerking kan, afhankelijk van de overeengekomen dienstverlening, betrekking hebben op het ontwikkelen, beschikbaar stellen, hosten, onderhouden, beveiligen en ondersteunen van onder meer:

websites;
webshops;
contentmanagementsystemen;
formulieren;
maatwerksoftware;
interne applicaties;
klantenportalen;
administratieve toepassingen;
databases;
hosting- en opslagdiensten;
e-mailfunctionaliteit;
technische integraties.

3.2. De verwerking kan onder meer bestaan uit verzamelen, ontvangen, invoeren, structureren, opslaan, raadplegen, wijzigen, beschikbaar stellen, verzenden, beveiligen, back-uppen, herstellen, exporteren, verwijderen en andere technisch noodzakelijke bewerkingen.

3.3. BDCO verwerkt uitsluitend persoonsgegevens voor zover dit noodzakelijk is voor de uitvoering van de overeengekomen dienstverlening of voor zover de Klant daartoe een geldige instructie geeft.

3.4. Bijlage 1 beschrijft per dienst welke persoonsgegevens BDCO verwerkt. Welke diensten van toepassing zijn, volgt uit de offerte of opdrachtbevestiging. Voor een toepassing die specifiek voor één Klant wordt ontwikkeld, beschrijft de offerte de verwerking.

Artikel 4. Categorieën betrokkenen en persoonsgegevens

4.1. Afhankelijk van de dienstverlening kunnen persoonsgegevens worden verwerkt van onder meer:

klanten en potentiële klanten van de Klant;
contactpersonen;
werknemers;
medewerkers;
techniekers;
leveranciers;
gebruikers van websites, webshops of applicaties;
andere personen van wie gegevens door de Klant via de dienstverlening worden verwerkt.

4.2. De verwerking kan onder meer betrekking hebben op:

naam;
adresgegevens;
e-mailadres;
telefoonnummer;
bedrijfs- en contactgegevens;
klant- en referentienummers;
account- en gebruikersgegevens;
bestellingen;
afspraken;
werkbonnen;
factuur- en administratieve informatie;
IP-adressen;
log- en technische gegevens;
ingevoerde teksten;
geüploade bestanden;
foto's;
handtekeningen;
communicatiegegevens;
andere persoonsgegevens die de Klant zelf via de overeengekomen dienstverlening verwerkt.

4.3. De dienstverlening is standaard niet bedoeld voor de systematische verwerking van bijzondere categorieën persoonsgegevens of strafrechtelijke persoonsgegevens, tenzij dit vooraf uitdrukkelijk met BDCO is overeengekomen.

4.4. De Klant vermijdt het invoeren van dergelijke gevoelige gegevens wanneer dit voor het gebruik van de dienstverlening niet noodzakelijk is.

Artikel 5. Instructies van de Klant

5.1. BDCO verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Klant, tenzij BDCO op grond van Unierecht of toepasselijk nationaal recht tot een andere verwerking verplicht is. In dat geval stelt BDCO de Klant, voorafgaand aan de verwerking, in kennis van dat wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.

5.2. Als gedocumenteerde instructies kunnen onder meer gelden:

de hoofdovereenkomst;
een offerte of opdrachtbevestiging;
de overeengekomen functionaliteit van een toepassing;
schriftelijke of elektronisch aantoonbare instructies van de Klant.

5.3. Indien BDCO bij de uitvoering van een instructie van oordeel is dat deze instructie in strijd is met de AVG of andere toepasselijke bepalingen inzake gegevensbescherming, stelt BDCO de Klant daarvan zonder onredelijke vertraging in kennis.

5.4. Indien BDCO van oordeel is dat een instructie van de Klant in strijd is met de AVG of andere toepasselijke gegevensbeschermingswetgeving, mag BDCO de uitvoering van de betrokken instructie opschorten totdat de Klant deze bevestigt, verduidelijkt, wijzigt of intrekt. Indien de Klant volhardt in een kennelijk onrechtmatige instructie, mag BDCO de betrokken verwerking of dienstverlening opschorten of, indien noodzakelijk, beëindigen overeenkomstig de hoofdovereenkomst.

5.5. De meldingsplicht uit artikel 5.3 houdt geen algemene controle-, onderzoeks-, audit- of adviesplicht in.

5.6. BDCO is niet verplicht actief te onderzoeken of alle activiteiten, inhoud, bedrijfsprocessen, websites, applicaties, privacydocumentatie of andere verwerkingen van de Klant volledig aan alle toepasselijke wet- en regelgeving voldoen.

5.7. Het feit dat BDCO een mogelijke onrechtmatigheid, inbreuk of tekortkoming niet heeft vastgesteld of gemeld, vormt op zichzelf geen bevestiging dat de verwerking rechtmatig is en maakt BDCO daarvoor niet automatisch verantwoordelijk.

5.8. BDCO verstrekt in het kader van deze overeenkomst geen juridisch advies en treedt niet op als juridisch adviseur, privacy-auditor of functionaris voor gegevensbescherming van de Klant, tenzij dit uitdrukkelijk afzonderlijk werd overeengekomen.

5.9. Niets in dit artikel beperkt de wettelijke verplichtingen die rechtstreeks op BDCO rusten in zijn hoedanigheid van Verwerker.

Artikel 6. Vertrouwelijkheid

6.1. BDCO treft passende maatregelen om ervoor te zorgen dat personen die onder zijn gezag toegang hebben tot persoonsgegevens deze uitsluitend verwerken voor zover dit noodzakelijk is voor de uitvoering van hun werkzaamheden.

6.2. Personen die toegang hebben tot persoonsgegevens zijn gehouden tot passende vertrouwelijkheid.

6.3. De verplichting tot vertrouwelijkheid blijft gelden nadat hun werkzaamheden of de overeenkomst met de Klant zijn beëindigd.

Artikel 7. Beveiliging

7.1. BDCO neemt passende technische en organisatorische beveiligingsmaatregelen, rekening houdend met de stand van de techniek, uitvoeringskosten, aard, omvang, context en doeleinden van de verwerking en de waarschijnlijkheid en ernst van de risico's voor betrokkenen.

7.2. Afhankelijk van de concrete dienstverlening kunnen deze maatregelen onder meer bestaan uit:

beveiligde HTTPS/TLS-verbindingen;
toegangsbeheer;
beperking van beheerdersrechten;
sterke authenticatie;
tweefactorauthenticatie waar passend en beschikbaar;
beveiligde opslag;
passende back-up- en herstelmaatregelen;
software- en beveiligingsupdates;
bescherming van API-sleutels en andere secrets;
toegangsbeperkingen voor niet-publieke bestanden;
logging waar technisch relevant;
maatregelen voor incidentbeheer;
dataminimalisatie.

7.3. De concrete maatregelen worden afgestemd op de aard van de overeengekomen dienstverlening. Deze bepaling houdt geen garantie in dat ieder hierboven genoemd technisch middel bij iedere dienstverlening of externe leverancier wordt gebruikt.

7.4. De Klant blijft zelf verantwoordelijk voor de beveiliging van zijn eigen apparaten, accounts, wachtwoorden, mailboxen, toegangsmiddelen en systemen waarover BDCO geen feitelijke controle heeft.

7.5. De verplichting van BDCO tot het treffen van passende technische en organisatorische maatregelen houdt geen garantie in dat beveiligingsincidenten, ongeoorloofde toegang, gegevensverlies of andere inbreuken volledig kunnen worden uitgesloten. Dit doet geen afbreuk aan de verplichtingen die artikel 32 AVG rechtstreeks aan BDCO oplegt.

Artikel 8. Subverwerkers

8.1. De Klant verleent BDCO algemene toestemming om voor de uitvoering van de dienstverlening subverwerkers in te schakelen.

8.2. BDCO kan onder meer subverwerkers gebruiken voor:

hosting;
cloudinfrastructuur;
databases;
opslag;
back-ups;
e-mailverwerking;
netwerk- en DNS-diensten;
technische infrastructuur;
software voor ontwikkeling, beheer en ondersteuning, waaronder AI-ondersteunde hulpmiddelen, voor zover daarbij persoonsgegevens van de Klant worden verwerkt;
andere ondersteunende diensten die noodzakelijk zijn voor de overeengekomen dienstverlening.

8.3. Een actuele lijst van de voor de dienstverlening toepasselijke subverwerkers kan door de Klant worden opgevraagd via info@bdco.be.

8.4. BDCO legt aan ingeschakelde subverwerkers, voor zover van toepassing op de door hen uitgevoerde verwerking, de gegevensbeschermingsverplichtingen op die artikel 28 AVG en andere toepasselijke gegevensbeschermingswetgeving vereisen.

8.5. BDCO informeert de Klant per e-mail minstens veertien kalenderdagen vooraf over een voorgenomen toevoeging of vervanging van een subverwerker die persoonsgegevens van de Klant zal verwerken. De Klant kan binnen die termijn schriftelijk en gemotiveerd bezwaar maken op grond van gegevensbescherming. Vinden partijen geen redelijke oplossing, dan kan de Klant de betrokken dienst opzeggen tegen de datum waarop de wijziging ingaat, zonder vergoeding voor vroegtijdige beëindiging en met evenredige terugbetaling van een vooruitbetaalde, ongebruikte periode.

8.6. Voor zover artikel 28, lid 4 AVG dit bepaalt, blijft BDCO tegenover de Klant verantwoordelijk voor de nakoming van de toepasselijke gegevensbeschermingsverplichtingen door een ingeschakelde subverwerker. Deze bepaling schept geen ruimere garantie, resultaatsverbintenis of contractuele aansprakelijkheid voor BDCO dan uit dwingend toepasselijk recht voortvloeit. Voor zover wettelijk toegestaan blijven de aansprakelijkheidsregeling en -beperkingen uit artikel 17, de hoofdovereenkomst en de Algemene Voorwaarden van BDCO van toepassing.

Artikel 9. Internationale doorgifte

9.1. Indien persoonsgegevens buiten de Europese Economische Ruimte worden verwerkt of toegankelijk worden gemaakt, ziet BDCO erop toe dat daarvoor, waar vereist, een rechtsgeldig doorgiftemechanisme overeenkomstig de AVG wordt toegepast.

9.2. Dit kan onder meer gebeuren op basis van:

een adequaatheidsbesluit;
toepasselijke standaardcontractbepalingen;
of een ander wettelijk toegestaan doorgiftemechanisme.

9.3. Het gebruik van een internationale leverancier betekent niet automatisch dat persoonsgegevens daadwerkelijk buiten de Europese Economische Ruimte worden verwerkt. De concrete verwerking hangt af van de betreffende dienst en configuratie.

9.4. Voor zover BDCO in zijn hoedanigheid van verwerker of gegevensexporteur op grond van hoofdstuk V AVG aanvullende beoordelingen, documentatie of maatregelen moet uitvoeren, neemt BDCO de maatregelen die overeenkomstig de toepasselijke wetgeving voor de betrokken verwerking vereist zijn.

9.5. De Klant blijft verantwoordelijk voor de verplichtingen die hoofdstuk V AVG aan hem als verwerkingsverantwoordelijke oplegt, waaronder waar toepasselijk de beoordeling van de door hem gekozen of goedgekeurde verwerkers, subverwerkers en doorgiftemechanismen.

Artikel 10. Datalekken en beveiligingsincidenten

10.1. Indien BDCO kennis krijgt van een inbreuk in verband met persoonsgegevens die BDCO namens de Klant verwerkt, stelt BDCO de Klant daarvan zonder onredelijke vertraging in kennis.

10.2. BDCO verstrekt, voor zover die informatie beschikbaar is, de informatie die de Klant redelijkerwijs nodig heeft om zijn wettelijke verplichtingen met betrekking tot het incident na te komen.

10.3. BDCO verleent redelijke medewerking aan het onderzoeken en beperken van het incident en aan passende herstelmaatregelen.

10.4. De Klant blijft als Verwerkingsverantwoordelijke verantwoordelijk voor de beoordeling of het incident moet worden gemeld aan de bevoegde toezichthoudende autoriteit of aan betrokkenen, tenzij toepasselijke wetgeving uitdrukkelijk anders bepaalt.

10.5. Ondersteuning die verder gaat dan wat op grond van de AVG en de normale overeengekomen dienstverlening redelijkerwijs van BDCO wordt vereist, en die niet noodzakelijk is geworden door een toerekenbare tekortkoming waarvoor BDCO moet instaan, kan als bijkomend werk worden aangerekend. Voor gevraagde ondersteuning geldt de vooraf overeengekomen prijsbasis uit de offerte of raamafspraak; een afzonderlijke prijsbevestiging per interventie is dan niet vereist. Wanneer geen passende prijsbasis is overeengekomen, worden daarover vooraf afspraken gemaakt voor zover dit de noodzakelijke incidentafhandeling niet vertraagt. Een prijsdiscussie rechtvaardigt geen vertraging van een wettelijke melding of andere verplichte incidentmaatregel.

Artikel 11. Rechten van betrokkenen

11.1. Indien BDCO rechtstreeks een verzoek ontvangt van een betrokkene met betrekking tot persoonsgegevens die namens de Klant worden verwerkt, verwijst BDCO het verzoek in beginsel door naar de Klant, tenzij de wet anders vereist.

11.2. BDCO verleent, rekening houdend met de aard van de verwerking, redelijke ondersteuning bij het behandelen van verzoeken van betrokkenen voor zover de Klant deze niet zelfstandig via de beschikbare functionaliteit kan uitvoeren.

11.3. Deze ondersteuning kan betrekking hebben op onder meer inzage, verbetering, verwijdering, beperking, overdraagbaarheid of bezwaar.

Artikel 12. Bijstand bij AVG-verplichtingen

12.1. Rekening houdend met de aard van de verwerking en de informatie waarover BDCO beschikt, verleent BDCO redelijke bijstand bij verplichtingen die rechtstreeks verband houden met de door BDCO verrichte verwerking, waaronder waar toepasselijk:

beveiliging van persoonsgegevens;
beoordeling van datalekken;
gegevensbeschermingseffectbeoordelingen (DPIA);
voorafgaand overleg met een toezichthoudende autoriteit.

12.2. Wanneer gevraagde ondersteuning aanzienlijk verder gaat dan de normale overeengekomen dienstverlening, kan BDCO die ondersteuning, voor zover wettelijk toegestaan, als bijkomend werk aanrekenen volgens de vooraf overeengekomen prijsbasis. Daarvoor is geen nieuwe prijsbevestiging per interventie vereist. Ontbreekt een passende prijsbasis, dan worden de bijkomende vergoeding en omvang vooraf afgesproken voor zover dit verenigbaar is met de toepasselijke wettelijke termijnen en verplichtingen. Werk dat noodzakelijk is wegens een toerekenbare tekortkoming waarvoor BDCO zelf moet instaan, wordt niet op die grond als bijkomend werk aangerekend.

Artikel 13. Informatie en audits

13.1. BDCO stelt de Klant de informatie ter beschikking die redelijkerwijs noodzakelijk is om naleving van de op BDCO rustende verplichtingen uit artikel 28 AVG aan te tonen.

13.2. Waar mogelijk wordt hiervoor in eerste instantie gebruikgemaakt van beschikbare documentatie, beveiligingsinformatie, leveranciersinformatie, certificeringen of andere relevante bewijsstukken.

13.3. Indien deze informatie redelijkerwijs onvoldoende is en een audit noodzakelijk is, kan de Klant zelf of via een onafhankelijke auditor een passende audit uitvoeren overeenkomstig de wettelijke vereisten.

13.4. Audits worden, behalve bij een ernstig incident, bindend verzoek van een toezichthouder of andere dringende wettelijke reden, vooraf aangekondigd en zodanig uitgevoerd dat de bedrijfsvoering van BDCO en de vertrouwelijkheid en beveiliging van andere klanten zo weinig mogelijk worden verstoord.

13.5. Een auditor is gehouden aan passende vertrouwelijkheid en krijgt geen toegang tot persoonsgegevens, systemen of vertrouwelijke informatie van andere klanten van BDCO.

13.6. Redelijke kosten van een audit of inspectie die uitsluitend op verzoek van de Klant plaatsvindt en verder gaat dan de normale informatieverstrekking door BDCO, kunnen aan de Klant worden aangerekend, voor zover wettelijk toegestaan en voor zover de audit geen wezenlijke tekortkoming van BDCO aan het licht brengt. Deze bepaling mag het wettelijke recht van de Klant om overeenkomstig artikel 28 AVG een noodzakelijke audit of inspectie uit te voeren niet feitelijk verhinderen.

Artikel 14. Duur, bewaring, verwijdering en teruggave

14.1. Deze Verwerkersovereenkomst geldt zolang BDCO namens de Klant persoonsgegevens verwerkt.

14.2. Persoonsgegevens worden niet langer bewaard dan noodzakelijk voor de uitvoering van de overeengekomen dienstverlening, behoudens wettelijke verplichtingen, overeengekomen bewaartermijnen of geldige instructies van de Klant.

14.3. Na het einde van de relevante verwerkingsdiensten worden de persoonsgegevens naar keuze van de Klant terugbezorgd of verwijderd. Bij teruggave worden de bestaande kopieën vervolgens verwijderd, tenzij een wettelijke verplichting verdere bewaring vereist. Partijen kunnen de keuze en praktische instructies al in de offerte vastleggen. Het ontbreken van een afzonderlijke maatwerkexport maakt de verplichte teruggave niet vrijblijvend. De afwikkeling wordt uitgevoerd volgens de toepasselijke wettelijke termijnen en gedocumenteerde instructies.

14.4. Voor kopieën in back-ups gelden de vooraf beschreven retentie- en verwijderingsprocedures, voor zover deze verenigbaar zijn met de toepasselijke verwijderingsverplichtingen. Gegevens die niet meteen afzonderlijk uit een back-up kunnen worden verwijderd, worden tot de toegelaten definitieve verwijdering afgeschermd van gewoon gebruik. Een back-up vormt geen grond voor onbeperkte bewaring. Bij herstel worden eerder uitgevoerde verwijderingen opnieuw toegepast waar dat noodzakelijk is.

14.5. Gedurende die periode worden deze gegevens niet opnieuw voor andere doeleinden gebruikt, behoudens voor zover dit technisch noodzakelijk is voor herstel of wettelijk verplicht is.

14.6. Teruggave gebeurt via de overeengekomen export of een passend gangbaar formaat waarmee de betrokken persoonsgegevens daadwerkelijk kunnen worden ontvangen. Nieuwe conversie, herstructurering, import in een andere toepassing of aanvullende begeleiding kan afzonderlijk worden overeengekomen en aangerekend voor zover dit geen onderdeel is van een reeds verschuldigde of wettelijk kosteloze afwikkeling. Een betalingsvoorwaarde of discussie over optioneel maatwerk blokkeert de verplichte teruggave niet. Toepasselijke overstapverplichtingen uit de Data Act blijven gelden.

Artikel 15. Verplichtingen van de Klant

15.1. De Klant staat ervoor in dat:

de aan BDCO gegeven instructies rechtmatig zijn;
persoonsgegevens rechtmatig zijn verzameld;
voor de verwerking een geldige rechtsgrond bestaat;
betrokkenen correct worden geïnformeerd;
de verwerking via de overeengekomen dienstverlening voor zijn doeleinden wettelijk is toegestaan.

15.2. De Klant gebruikt de dienstverlening niet voor de verwerking van persoonsgegevens die een wezenlijk ander of hoger risico meebrengen dan redelijkerwijs uit de overeengekomen dienstverlening kon worden verwacht, zonder BDCO daar vooraf over te informeren.

15.3. Indien de Klant bijzondere categorieën persoonsgegevens, strafrechtelijke gegevens of andere uitzonderlijk gevoelige gegevens wenst te verwerken, moet dit vooraf uitdrukkelijk met BDCO worden besproken.

Artikel 16. Wijziging van de dienstverlening

16.1. Wanneer de dienstverlening of verwerking wezenlijk wijzigt, kunnen de voor die verwerking relevante afspraken worden aangepast.

16.2. Een wijziging van deze Verwerkersovereenkomst heeft geen automatische terugwerkende kracht voor reeds gesloten overeenkomsten.

16.3. Nieuwe versies worden van toepassing overeenkomstig de regels voor contractswijzigingen uit de hoofdovereenkomst, de Algemene Voorwaarden en het toepasselijke recht.

Artikel 17. Aansprakelijkheid

17.1. Iedere Partij blijft verantwoordelijk voor de verplichtingen die de AVG en andere toepasselijke gegevensbeschermingswetgeving rechtstreeks aan haar eigen rol opleggen.

17.2. Voor aanspraken op schadevergoeding die rechtstreeks op artikel 82 AVG zijn gebaseerd, is BDCO als verwerker slechts aansprakelijk binnen de voorwaarden en grenzen die dat artikel aan de aansprakelijkheid van een verwerker stelt. Dit betreft in het bijzonder situaties waarin BDCO verplichtingen uit de AVG niet is nagekomen die specifiek aan verwerkers zijn opgelegd, of buiten of in strijd met rechtmatige instructies van de Klant heeft gehandeld.

17.3. Een inbreuk op de AVG leidt niet op zichzelf tot een recht op schadevergoeding. Voor een aanspraak op schadevergoeding gelden de vereisten inzake schade, causaal verband en overige toepasselijke voorwaarden zoals bepaald door de AVG en het toepasselijke recht.

17.4. Tussen BDCO en de Klant blijven de aansprakelijkheidsregeling, uitsluitingen, verweermiddelen en aansprakelijkheidsbeperkingen uit de hoofdovereenkomst en de Algemene Voorwaarden van BDCO van toepassing voor zover dit wettelijk is toegestaan.

17.5. Niets in deze overeenkomst beperkt rechten van betrokkenen, bevoegdheden van toezichthoudende autoriteiten of andere dwingendrechtelijke rechten of aanspraken die niet contractueel kunnen worden uitgesloten of beperkt.

17.6. Het bestaan van deze Verwerkersovereenkomst maakt BDCO niet verantwoordelijk voor de algemene juridische of AVG-conformiteit van de onderneming, website, webshop, applicatie, inhoud, bedrijfsprocessen of gegevensverwerkingen van de Klant buiten de verplichtingen die rechtstreeks op BDCO rusten.

Artikel 18. Einde van de overeenkomst

18.1. Deze Verwerkersovereenkomst eindigt wanneer BDCO niet langer persoonsgegevens namens de Klant verwerkt, onverminderd bepalingen die naar hun aard na beëindiging moeten blijven gelden.

18.2. Verplichtingen inzake vertrouwelijkheid, beveiligde verwijdering en wettelijke bewaarplichten blijven van toepassing zolang dat noodzakelijk is.

Artikel 19. Toepasselijk recht en geschillen

19.1. Op deze Verwerkersovereenkomst is Belgisch recht van toepassing.

19.2. Voor geschillen geldt de bevoegde rechtbank zoals bepaald in de hoofdovereenkomst en de Algemene Voorwaarden van BDCO.

Bijlage 1 – Verwerkingen per dienst

Deze bijlage beschrijft per dienst welke persoonsgegevens BDCO in opdracht van de Klant verwerkt. Alleen de diensten die in de offerte of opdrachtbevestiging staan, zijn van toepassing.

A. Voor alle diensten

Duur: zolang de betrokken dienst loopt.
Basisinstructie: BDCO verwerkt de persoonsgegevens alleen voor de werking, het beheer en de beveiliging van de dienst, en niet voor andere doeleinden.
Beveiliging: versleutelde verbindingen; medewerkers en freelancers krijgen alleen toegang wanneer en zolang dat voor hun werk nodig is. Tweefactorauthenticatie wordt voor accounts van de Klant aangeboden waar het systeem dat ondersteunt. Kiest de Klant ervoor die niet te gebruiken, dan blijft hij verantwoordelijk voor de beveiliging van die accounts (artikelen 4.8 tot 4.10 van de algemene voorwaarden).
Subverwerkers: een lijst is op verzoek beschikbaar via info@bdco.be.
Incidentcontact: de contactpersoon van de Klant uit de offerte, tenzij de Klant schriftelijk een andere persoon meedeelt.
Einde van de dienst: teruggave in een gangbaar formaat of verwijdering, naar keuze van de Klant (artikel 14.3). Kopieën in back-ups worden verwijderd wanneer de bewaartermijn van die back-ups verstrijkt (artikel 14.4).

B. Hosting van een website

Doel: de website tonen en beveiligen.
Betrokkenen: bezoekers van de website.
Persoonsgegevens: technische gegevens van bezoeken, zoals IP-adres, browsergegevens, tijdstip en opgevraagde pagina.
Bewaring: technische gegevens worden na de standaardtermijn van de hostingprovider automatisch verwijderd. De code en bestanden van de website worden in versiebeheer bewaard.

C. Contactformulier

Doel: berichten die via het formulier worden verstuurd, aan de Klant bezorgen.
Betrokkenen: personen die het formulier invullen.
Persoonsgegevens: de velden van het formulier, zoals naam, e-mailadres, telefoonnummer en bericht, en het IP-adres.
Standaard: de berichten worden per e-mail aan de Klant doorgestuurd. BDCO bewaart de inzendingen zelf niet; de e-maildienst bewaart verzendgegevens alleen zolang nodig voor de aflevering.
Met opslag (alleen indien vermeld in de offerte): de inzendingen worden ook in een database bewaard, tot de Klant ze verwijdert of de dienst eindigt. De database kan worden hersteld naar een vroeger tijdstip binnen de ingestelde bewaarperiode; daarna worden oudere herstelpunten automatisch verwijderd.

D. Contentbeheersysteem (CMS)

Doel: de inhoud van de website beheren en publiceren.
Betrokkenen: gebruikers van het CMS en personen die in de inhoud worden vermeld.
Persoonsgegevens: accountgegevens van gebruikers (naam, e-mailadres, beveiligd opgeslagen wachtwoord), inhoud met persoonsgegevens en geüploade beelden.
Back-ups: het gebruikte CMS staat in de offerte. Daarvan hangt de back-upregeling af:
- CMS op een hostingpakket: back-ups door de hostingprovider volgens diens standaardregeling.
- Extern CMS-platform: versiegeschiedenis volgens het abonnement van dat platform; geen afzonderlijke volledige back-up, tenzij de offerte die vermeldt.
- CMS op maat: de database kan worden hersteld naar een vroeger tijdstip binnen de ingestelde bewaarperiode; daarna worden oudere herstelpunten automatisch verwijderd.

E. Webshop gehost door BDCO

Doel: bestellingen ontvangen en verwerken.
Betrokkenen: klanten van de Klant.
Persoonsgegevens: naam, adres, e-mailadres, telefoonnummer, bestellingen en betaalstatus. Betaalgegevens zoals kaartnummers worden door de betaalprovider verwerkt en niet door BDCO bewaard.
Back-ups: door de hostingprovider volgens diens standaardregeling.

F. Mailhosting

Doel: e-mail van de Klant ontvangen, versturen en bewaren.
Betrokkenen: gebruikers van de mailboxen en de personen met wie zij corresponderen.
Persoonsgegevens: inhoud van mailboxen, contactpersonen en agenda's.
Back-ups: de provider maakt dagelijks een back-up, die 14 dagen wordt bewaard. Die back-up dient om de dienst te herstellen na een storing of incident. BDCO kan er geen afzonderlijke e-mails, mappen of agenda-items uit terugzetten die de Klant of zijn gebruikers zelf hebben verwijderd.

G. Toegang tot systemen van de Klant

Wanneer de Klant BDCO toegang geeft tot een systeem dat hij zelf afneemt, zoals een webshopplatform, hostingaccount of beheeromgeving:

Doel: de gevraagde werkzaamheden uitvoeren, zoals onderhoud, configuratie of ondersteuning.
Persoonsgegevens: alleen de gegevens die BDCO voor die werkzaamheden moet raadplegen.
Bewaring: BDCO maakt geen kopieën, behalve wanneer dat voor de werkzaamheden nodig is; zulke kopieën worden verwijderd zodra de werkzaamheden klaar zijn.
Back-ups: vallen onder het systeem en de leverancier van de Klant. Die leverancier is geen subverwerker van BDCO.

Verwerkers­overeenkomst BDCO