Artikel 28 AVG · standaardafspraken
Verwerkersovereenkomst
De afspraken wanneer OmgevingsPro projectpersoonsgegevens namens een opdrachtgever verwerkt. Een concrete opdracht krijgt vóór die verwerking een bevestigde projectbijlage.
Partijen, toepasselijkheid en rangorde
OmgevingsPro, Hudsonstraat 44, 4812 HC Breda, KvK 42150228, btw-id NL005538381B34. E-mail: omgevingspro@outlook.com. Telefoon: 06 14 46 35 84. OmgevingsPro is verwerker waar het projectpersoonsgegevens uitsluitend namens en volgens instructies van de opdrachtgever verwerkt. De opdrachtgever is dan verwerkingsverantwoordelijke. Deze standaardafspraken worden toepasselijk door uitdrukkelijke opname in de opdrachtbevestiging met een bevestigde projectbijlage. Alleen deze pagina bezoeken of een algemene intake insturen is geen ondertekende projectbijlage. Voor eigen offerte-, contact- en factuurgegevens is OmgevingsPro zelf verantwoordelijk volgens de privacyverklaring. Deze overeenkomst gaat bij strijd vóór de algemene voorwaarden voor de verwerking namens de opdrachtgever.
Onderwerp, duur en schriftelijke instructies
De verwerking dient uitsluitend het beoordelen, structureren en uitwerken van het afgesproken projectproduct en de daarbij overeengekomen ondersteuning. De projectbijlage bepaalt de concrete activiteiten, periode en bewaartermijn. OmgevingsPro handelt alleen volgens gedocumenteerde instructies, ook voor doorgifte. Een wettelijk verplichte afwijking wordt vooraf gemeld, tenzij de wet dat verbiedt. Een vermoedelijk onrechtmatige instructie wordt gemeld en de betrokken verwerking wordt zo nodig opgeschort totdat partijen een rechtmatige oplossing hebben vastgesteld.
Gegevens en betrokkenen
De projectbijlage noemt de noodzakelijke categorieën, zoals zakelijke contactgegevens, functies, stakeholderrollen, correspondentie, belangen en projectinformatie, en de betrokken categorieën personen. BSN, identiteitskopieën, medische, strafrechtelijke en andere bijzondere of zeer gevoelige gegevens zijn niet standaard toegestaan. Daarvoor zijn vooraf een uitdrukkelijke instructie, rechtmatige grondslag en passende aanvullende maatregelen nodig. De opdrachtgever staat in voor rechtmatigheid, informatie aan betrokkenen en dataminimalisatie van de aangeleverde gegevens.
Geheimhouding en bevoegdheden
Alleen personen die gegevens voor de opdracht nodig hebben krijgen passende toegang. Zij zijn gebonden aan geheimhouding of een toepasselijke wettelijke geheimhoudingsplicht en ontvangen passende instructies. Persoonlijke dossierlinks en toegangsgegevens worden afgeschermd. De opdrachtgever beperkt eigen gebruikersrechten en deelt bestanden via de afgesproken route.
Beveiligingsmaatregelen
Partijen stemmen maatregelen af op aard, omvang en risico. De huidige dossierroute gebruikt beveiligde transportverbindingen, versleutelde opslag, gescheiden dossiers, beperkte toegang en malwarecontrole voor uploads. De projectbijlage legt noodzakelijke extra maatregelen, herstelafspraken, toegangsbeheer, logging en verwijdering vast. OmgevingsPro beoordeelt de passende beveiliging gedurende de opdracht en meldt wezenlijke risico’s. Deze beschrijving is geen claim op een niet-aangetoonde certificering.
Subverwerkers en wijzigingen
De opdrachtgever geeft alleen algemene of specifieke toestemming voor de in de bevestigde projectbijlage omschreven categorieën en daadwerkelijk gebruikte subverwerkers. Cloudflare wordt momenteel gebruikt voor dossierinfrastructuur en EU-dossieropslag; Brevo voor noodzakelijke e-mailberichten voor zover die onder deze verwerking vallen. De bijlage vermeldt taken, locaties en waarborgen. Een nieuwe of vervangende subverwerker wordt in beginsel ten minste 14 kalenderdagen vooraf gemeld, zodat de opdrachtgever op redelijke gegevensbeschermingsgronden bezwaar kan maken. Partijen zoeken dan een passende oplossing; zolang een noodzakelijk bezwaar niet is opgelost wordt de betwiste nieuwe verwerking niet gestart. Subverwerkers krijgen relevante gelijkwaardige verplichtingen opgelegd; OmgevingsPro blijft tegenover de opdrachtgever verantwoordelijk voor hun nakoming binnen artikel 28 AVG.
AI en internationale doorgifte
Canva of een AI-dienst is niet door het enkele noemen op de website voor alle projectgegevens goedgekeurd. Vóór gebruik worden de concrete dienst, taken, gegevens, instellingen en contractuele waarborgen in de projectbijlage vastgelegd. Klantinhoud wordt niet voor algemene modeltraining aangeboden. Doorgifte buiten de EER vindt alleen plaats op instructie en met een geldige doorgiftegrondslag en de vereiste beoordeling en aanvullende maatregelen. EU-opslag van dossierbestanden sluit verwerking van technische metadata of ondersteuning buiten de EER niet op zichzelf uit.
Datalekken en samenwerking
OmgevingsPro meldt een inbreuk op persoonsgegevens zonder onredelijke vertraging nadat deze bekend is geworden aan de door de opdrachtgever aangewezen contactpersoon. De eerste melding bevat de dan bekende aard, betrokken gegevens, waarschijnlijke gevolgen, genomen maatregelen en een contactpunt; ontbrekende informatie wordt gefaseerd aangevuld. OmgevingsPro ondersteunt onderzoek en beperking van gevolgen. De opdrachtgever beslist over eigen meldingen aan toezichthouder en betrokkenen; wettelijke zelfstandige verplichtingen blijven gelden.
Rechtenverzoeken, DPIA en toezicht
OmgevingsPro ondersteunt de opdrachtgever redelijkerwijs bij rechtenverzoeken, beveiligingsverplichtingen, datalekafhandeling, gegevensbeschermingseffectbeoordelingen en eventueel voorafgaand overleg met de toezichthouder, voor zover dat verband houdt met de afgesproken verwerking. Een rechtstreeks ontvangen verzoek wordt doorgeleid, tenzij een eigen wettelijke taak anders vereist. Aanvullende werkzaamheden en kosten worden vooraf besproken; wettelijke verplichte ondersteuning of rechten worden niet daardoor illusoir gemaakt.
Aantoonbaarheid en audits
OmgevingsPro verstrekt de informatie die nodig is om naleving van de toepasselijke verwerkersverplichtingen aan te tonen en maakt redelijke controles door de opdrachtgever of een onafhankelijke auditor mogelijk. Partijen spreken doel, planning, beveiliging en geheimhouding af en beschermen gegevens van andere opdrachtgevers. Beschikbare documentatie of passende onafhankelijke verklaringen kunnen een eerste stap zijn, zonder een noodzakelijke wettelijke audit uit te sluiten.
Bewaren, retourneren en verwijderen
De standaard operationele dossiertermijn is 90 dagen vanaf aanmaak van het dossier, tenzij vóór verwerking een andere concrete noodzakelijke termijn wordt bevestigd en ingericht. Partijen spreken af wanneer de opdrachtgever een export ontvangt of zelf veiligstelt. Na einde van de dienstverlening retourneert of verwijdert OmgevingsPro de projectpersoonsgegevens naar keuze van de opdrachtgever, behoudens een wettelijke bewaarplicht. Verwijdering van afgeschermde back-ups volgt de toepasselijke vastgelegde cyclus; gegevens daarin worden niet opnieuw voor andere doelen gebruikt. Persoonlijke downloadlinks kunnen eerder verlopen en zijn geen archiefvoorziening.
Verplichte projectbijlage en bevestiging
Vóór verwerking namens de opdrachtgever leggen partijen minimaal vast: de volledige identiteit en contactpersonen van beide partijen; dossier en projectproduct; begin, eind en bewaartermijn; aard, doelen en handelingen; gegevenscategorieën en betrokkenen; schriftelijke instructies en toegangsrollen; de daadwerkelijke subverwerkers, locaties en doorgiftewaarborgen; eventuele goedgekeurde AI-dienst en instellingen; extra beveiliging, herstel en incidentcontact; export, verwijdering en controleafspraken. De bijlage en deze standaardafspraken worden door beide partijen uitdrukkelijk bevestigd. Versie 19 oktober 2026. Vraag de projectspecifieke vastlegging aan via omgevingspro@outlook.com.