Verwerkersovereenkomst

Versie van 14 oktober 2026 · onderdeel van de overeenkomst en de algemene voorwaarden

1. Partijen en rollen

Deze overeenkomst is tussen de klant die HPG Performance gebruikt (de verwerkingsverantwoordelijke, hierna "de Klant") en Artificial Studio, gevestigd op Ondernemingsweg 107, 1422 DZ Uithoorn, ingeschreven bij de Kamer van Koophandel onder nummer 86527223, btw-nummer NL004262210B94, bereikbaar via info@artificialstudio.io (contactpersoon: Jaimy Roof) (de verwerker, hierna "HPG"). De Klant gaat hiermee akkoord samen met de algemene voorwaarden.

2. Onderwerp, duur, aard en doel

1. HPG verwerkt persoonsgegevens alleen om de Dienst te leveren: weekrapporten en analyses, roosterplanning, medewerkersportaal, schoonmaakregistratie, koppelingen en de beveiliging daarvan.
2. Deze overeenkomst loopt zo lang HPG persoonsgegevens voor de Klant verwerkt.
3. Welke gegevens en van wie, staat in bijlage A.

3. Alleen op instructie (art. 28 lid 3 sub a)

HPG verwerkt de gegevens alleen op schriftelijke instructie van de Klant. Het gebruik van de Dienst volgens de overeenkomst geldt als zo'n instructie. Vindt HPG een instructie in strijd met de AVG, dan meldt HPG dat direct. Moet HPG op grond van de wet gegevens verstrekken, dan meldt HPG dat vooraf, tenzij de wet dat verbiedt.

4. Geheimhouding (sub b)

Iedereen die bij HPG toegang heeft tot de gegevens, is tot geheimhouding verplicht. Het platformbeheer van HPG ziet bewust geen omzet, rooster-, personeels- of schoonmaakgegevens van klanten; alleen wat nodig is voor accounts, koppelingen en beveiliging.

5. Beveiliging (sub c, art. 32)

HPG neemt in ieder geval deze maatregelen:

• Versleutelde verbindingen (https met HSTS) en versleutelde opslag van gevoelige velden.
• Scheiding van klanten in de database zelf (Row Level Security), met automatische tests.
• Wachtwoorden alleen als hash, controle op gelekte wachtwoorden, tweestapsverificatie, blokkade na herhaalde mislukte pogingen en een blokkeerlijst voor aanvallers.
• Rechten per rol en vestiging, korte sessies voor accounts met veel rechten.
• Een beveiligingslog van inloggen en wijzigingen, 180 dagen bewaard.
• Automatische controle op kwetsbare software en uitgelekte sleutels bij elke wijziging.

6. Subverwerkers (sub d)

1. De Klant geeft algemene toestemming voor de subverwerkers in bijlage B. HPG legt hun dezelfde verplichtingen op als in deze overeenkomst en blijft verantwoordelijk voor hen.
2. Een nieuwe of andere subverwerker meldt HPG ten minste 30 dagen vooraf. De Klant kan binnen die termijn met redenen bezwaar maken; komen partijen er niet uit, dan mag de Klant de overeenkomst opzeggen tegen de datum van de wijziging.

7. Hulp bij rechten van betrokkenen (sub e)

HPG helpt de Klant bij verzoeken om inzage, correctie, verwijdering, beperking, bezwaar en dataportabiliteit. Elke gebruiker kan zelf een kopie van de eigen gegevens downloaden en de Klant kan gegevens in de app aanpassen en medewerkers op inactief zetten. Volledig wissen van een medewerker of account doet HPG op verzoek van de Klant binnen een maand. Komt een verzoek van een betrokkene bij HPG binnen, dan stuurt HPG het door naar de Klant.

8. Datalekken en overige hulp (sub f)

1. HPG meldt een inbreuk op de beveiliging die persoonsgegevens raakt zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat HPG ervan weet, met wat er bekend is: wat er gebeurd is, welke gegevens en betrokkenen, de gevolgen en de genomen maatregelen. Zo kan de Klant binnen 72 uur melden bij de Autoriteit Persoonsgegevens als dat nodig is.
2. HPG helpt de Klant waar redelijk bij een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging van de toezichthouder.

9. Einde: teruggeven en verwijderen (sub g)

Na het einde van de overeenkomst kan de Klant binnen 30 dagen een export van zijn gegevens opvragen. Daarna verwijdert HPG de gegevens binnen 60 dagen, ook bij subverwerkers, tenzij de wet langer bewaren verplicht. Back-ups worden volgens de cyclus van de databaseleverancier overschreven.

10. Informatie en audits (sub h)

HPG geeft de Klant alle informatie die nodig is om naleving aan te tonen. De Klant mag eenmaal per jaar, of na een datalek, een audit laten doen door een onafhankelijke deskundige met geheimhoudingsplicht, na 30 dagen aankondiging en op eigen kosten.

11. Doorgifte buiten de EER

Gegevens worden opgeslagen in de EU. Waar een subverwerker buiten de Europese Economische Ruimte zit of daarvandaan toegang heeft, gelden de standaardcontractbepalingen van de Europese Commissie of een ander geldig doorgiftemechanisme.

12. Aansprakelijkheid

Voor aansprakelijkheid gelden de afspraken in de algemene voorwaarden, voor zover de AVG daar geen dwingende regels over geeft.

Bijlage A: gegevens en betrokkenen

Bijzondere persoonsgegevens worden niet verwerkt, behalve dat iemand ziek is gemeld. De Klant zorgt dat er nooit een diagnose of reden van ziekte in de app wordt gezet.

Bijlage B: subverwerkers

Contact over privacy en datalekken: info@artificialstudio.io.