Verwerkersovereenkomst

Deze Verwerkersovereenkomst (hierna: VWO) is een aanvulling op de algemene voorwaarden en de overeenkomst tussen Ekkora (de Verwerker) en de Klant (de Verwerkingsverantwoordelijke). Zij voldoet aan artikel 28 AVG en geldt automatisch zodra Ekkora bij het leveren van haar diensten persoonsgegevens verwerkt namens de Klant.

Bij strijdigheid tussen deze VWO en de overige onderdelen van de overeenkomst prevaleert deze VWO op gegevensbeschermingsonderwerpen.

1. Begrippen

De begrippen persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene, datalek en doorgifte hebben de betekenis die de AVG (Verordening (EU) 2016/679) daaraan geeft. Sub-verwerker betekent een derde die de Verwerker inschakelt voor het verwerken van persoonsgegevens namens de Verwerkingsverantwoordelijke.

2. Onderwerp en duur

Onderwerp van deze VWO is de verwerking van persoonsgegevens door Ekkora ten behoeve van de levering van de dienst Ekkora BI aan de Klant. De VWO geldt zolang Ekkora persoonsgegevens namens de Klant verwerkt en treedt — net als de hoofdovereenkomst — buiten werking bij beëindiging daarvan, met inachtneming van artikel 13 van deze VWO.

3. Aard, doel en categorieën

De aard van de verwerking is geautomatiseerde analyse van bedrijfsdata uit de bronsystemen van de Klant. Doel is het opleveren van rapporten en aanbevelingen die de Klant helpen om operationele knelpunten zichtbaar te maken.

De categorieën persoonsgegevens en categorieën betrokkenen staan in Bijlage C.

4. Instructies

Ekkora verwerkt persoonsgegevens uitsluitend op grond van schriftelijke instructies van de Klant, waaronder begrepen de hoofdovereenkomst en deze VWO. Ekkora informeert de Klant onverwijld wanneer een instructie naar haar oordeel in strijd is met de AVG of andere toepasselijke wetgeving inzake gegevensbescherming.

Ekkora gebruikt de persoonsgegevens niet voor eigen doeleinden, met uitzondering van het verbeteren van de dienst op basis van geanonimiseerde, geaggregeerde inzichten zoals beschreven in de algemene voorwaarden.

5. Geheimhouding

Ekkora waarborgt dat alle personen die zij betrekt bij de verwerking, gebonden zijn aan geheimhouding op grond van arbeids- of opdrachtovereenkomst dan wel wettelijk. Toegang tot persoonsgegevens is beperkt tot personen die deze nodig hebben voor het uitvoeren van hun taken (need-to-know).

6. Beveiligingsmaatregelen

Ekkora neemt passende technische en organisatorische maatregelen (TOM's) om de persoonsgegevens te beschermen tegen verlies en tegen iedere vorm van onrechtmatige verwerking. Deze maatregelen zijn beschreven in Bijlage A en worden periodiek herzien op basis van stand der techniek, omvang en context van de verwerking en het risicoprofiel.

7. Anonimisering vóór externe modelaanroep

Als aanvullende technische maatregel geldt dat persoonsgegevens vóór elke aanroep van een extern taalmodel (Anthropic Claude) door de anonimiseringslaag van Ekkora worden gehaald. Deze laag vervangt directe en gangbare indirecte identificatoren (zie Bijlage A § 4) door deterministische tokens; het externe model ontvangt uitsluitend deze tokens. De koppeling tussen token en oorspronkelijke waarde wordt uitsluitend als SHA-256 hash opgeslagen en vervalt automatisch 90 dagen na laatste gebruik.

Deze maatregel is geïmplementeerd in de codebase (api/services/anonymization_service.py) en wordt geborgd door een geautomatiseerde testsuite die de build doet falen wanneer ergens in de code een modelaanroep is opgenomen die niet via deze laag of een expliciet gedocumenteerde uitzondering loopt.

8. Sub-verwerkers

De Klant verleent met deze VWO algemene toestemming aan Ekkora om de in Bijlage B vermelde sub-verwerkers in te schakelen, alsmede vervangers en aanvullingen daarop, mits Ekkora:

• de Klant minstens dertig dagen vóór inschakeling van een nieuwe sub-verwerker informeert (per e-mail of via deze pagina), zodat de Klant binnen die termijn bezwaar kan maken;
• met elke sub-verwerker een schriftelijke overeenkomst sluit die de sub-verwerker bindt aan ten minste gelijkwaardige verplichtingen als die in deze VWO, in het bijzonder ten aanzien van beveiliging en doorgifte;
• jegens de Klant volledig aansprakelijk blijft voor het nakomen van de verplichtingen door de sub-verwerker.

Wanneer de Klant op redelijke gegevensbeschermingsgronden bezwaar maakt tegen een nieuwe sub-verwerker, treden partijen in overleg. Komen zij er niet uit, dan heeft de Klant het recht de hoofdovereenkomst kosteloos op te zeggen per de ingangsdatum van de inschakeling.

9. Doorgifte buiten de EER

Ekkora geeft persoonsgegevens uitsluitend door buiten de Europese Economische Ruimte aan ontvangers in een land met een adequaatheidsbesluit, dan wel onder toepassing van de Standaardcontractbepalingen (SCC's) van de Europese Commissie en — waar van toepassing — onder het EU-US Data Privacy Framework. De anonimiseringslaag (artikel 7) geldt als aanvullende technische maatregel in de zin van EDPB-aanbeveling 01/2020.

10. Rechten van betrokkenen

Wanneer een betrokkene zich rechtstreeks tot Ekkora wendt met een verzoek inzake zijn AVG-rechten, verwijst Ekkora de betrokkene door naar de Klant, tenzij de Klant Ekkora schriftelijk machtigt om het verzoek namens hem af te handelen. Ekkora ondersteunt de Klant kosteloos met passende technische en organisatorische maatregelen bij het beantwoorden van dergelijke verzoeken, voor zover deze ondersteuning binnen de mogelijkheden van de dienst valt.

11. Datalekken

Ekkora meldt een datalek dat betrekking heeft op door haar verwerkte persoonsgegevens van de Klant zonder onnodige vertraging en in elk geval binnen achtenveertig (48) uur na ontdekking, aan een door de Klant opgegeven contactpunt. De melding bevat ten minste:

• de aard van het incident en, voor zover mogelijk, de getroffen categorieën en aantallen betrokkenen en persoonsgegevens;
• de waarschijnlijke gevolgen;
• de genomen en voorgenomen mitigerende maatregelen;
• contactgegevens voor verdere informatie.

Ekkora ondersteunt de Klant bij eventuele meldingsverplichtingen aan de Autoriteit Persoonsgegevens en aan betrokkenen. Ekkora doet zelfstandig geen melding aan toezichthouders of betrokkenen, tenzij zij daartoe wettelijk verplicht is.

12. Audit

De Klant heeft het recht om, met inachtneming van een redelijke aankondigingstermijn van veertien dagen en niet vaker dan eenmaal per kalenderjaar (behoudens gegronde aanleiding zoals een datalek), de naleving van deze VWO te (laten) auditen. Ekkora stelt redelijkerwijs medewerking ter beschikking. Een audit door een externe partij vereist dat die partij gebonden is aan geheimhouding en niet in concurrentie staat met Ekkora.

Ekkora mag haar audit-medewerking voldoen door overlegging van actuele rapportages of certificeringen (bijvoorbeeld pen-tests, beveiligingsrapportages) wanneer deze redelijkerwijs voldoende informatie geven om de naleving te beoordelen. De kosten van de audit zijn voor de Klant, tenzij uit de audit volgt dat Ekkora wezenlijk tekortschiet in haar verplichtingen.

13. Beëindiging en teruggave / vernietiging

Bij beëindiging van de hoofdovereenkomst verwijdert Ekkora binnen negentig (90) dagen alle bij haar in beheer zijnde persoonsgegevens van de Klant, met uitzondering van:

• gegevens die Ekkora wettelijk verplicht is te bewaren (zoals facturen);
• back-ups, waarvan de bewaartermijn aansluit op de bestaande back-uprotatie en die binnen 90 dagen volledig zijn overschreven.

Op verzoek van de Klant verstrekt Ekkora vóór verwijdering een export van de klantgegevens in een gangbaar gestructureerd formaat. Ekkora bevestigt de verwijdering desgewenst schriftelijk.

14. Aansprakelijkheid

De aansprakelijkheid van Ekkora voor schade die voortvloeit uit een tekortkoming in de nakoming van deze VWO is geregeld in artikel 11 van de algemene voorwaarden, met inachtneming van artikel 82 AVG. Beperkingen of uitsluitingen van aansprakelijkheid gelden niet voor zover dit op grond van artikel 82 AVG of ander dwingend recht niet is toegestaan.

15. Wijzigingen

Ekkora kan deze VWO en haar bijlagen wijzigen om aan veranderende wet- en regelgeving of aan organisatorische ontwikkelingen te voldoen. Materiële wijzigingen worden minstens dertig dagen voor inwerkingtreding aan de Klant gemeld; de Klant heeft dan het recht de hoofdovereenkomst kosteloos op te zeggen.

16. Toepasselijk recht en geschillen

Op deze VWO is uitsluitend Nederlands recht van toepassing. Geschillen worden bij uitsluiting voorgelegd aan de bevoegde rechter in het arrondissement Den Haag, behoudens dwingend recht.

Bijlage A — Technische en organisatorische maatregelen (TOM's)

A.1 Netwerk en toegang

• TLS 1.2+ voor alle data-in-transit; automatische certificaatuitgifte en -vernieuwing via Let's Encrypt.
• IP-allowlist op de productie-omgeving (private beta).
• Authenticatie via JWT met token-versionering; directe revocatie bij wachtwoordwijziging.
• Wachtwoorden gehasht met bcrypt; geen plaintext-wachtwoorden opgeslagen.
• Roluitsplitsing (admin / superadmin / klant-gebruiker) en tenant-isolatie op elk endpoint.

A.2 Data at rest

• API-tokens van klantsystemen (Exact Online, n8n, e.d.) versleuteld met Fernet (AES-128-CBC + HMAC-SHA256).
• Database draait op Supabase (AWS [VERIFY: regio bevestigen]) met versleuteling at rest.
• Anonimiserings-mappings opgeslagen als SHA-256 hash, plaintext PII komt niet in de database.
• Sleutelbeheer: Fernet-sleutel in beveiligde omgevingsvariabele; rotatie via vastgelegde procedure.

A.3 Logging en monitoring

• Gestructureerde serverlogs met request-ID per verzoek.
• Logs uit serveromgevingen worden maximaal 30 dagen bewaard.
• Health checks en automatische restart bij processfouten.

A.4 Anonimisering — gedetecteerde categorieën

De anonimiseringslaag detecteert en vervangt in elk geval:

• E-mailadressen;
• IBAN-nummers;
• Nederlandse BTW-nummers (formaat NL…B…);
• KvK-nummers (achtcijferig);
• BSN (negencijferig, met elfproef-validatie);
• Nederlandse telefoonnummers;
• Nederlandse postcodes (formaat 1234 AB);
• IP-adressen;
• Nederlandse paspoort- en rijbewijsnummers (sleutelwoord-anker);
• Nederlandse persoonsnamen (op basis van een interne namenlijst).

A.5 Organisatorisch

• Toegang tot productiesystemen beperkt tot de oprichter; structureel uitgebreid naarmate de organisatie groeit.
• Alle codewijzigingen via versiebeheer (Git) en review; geen ad-hoc productie-aanpassingen.
• Geautomatiseerde dependency- en secret-scanning bij elke deploy.
• Incident-response procedure (intern document) met 48-uurs meldtermijn aan de Klant.
• Periodieke heroverweging van TOM's, minstens jaarlijks.

Bijlage B — Sub-verwerkers

Per mei 2026 zet Ekkora de volgende sub-verwerkers in:

• Hetzner Online GmbH — Duitsland (Falkenstein/Nürnberg) — hosting van applicatie en database; serverbeheer. Verwerkersovereenkomst op grond van art. 28 AVG aanwezig.
• Supabase Inc. — Verenigde Staten (moederonderneming), database op AWS [VERIFY: regio bevestigen, bij voorkeur eu-central-1] — managed PostgreSQL en authenticatie. SCC's + Article-28 DPA.
• Anthropic, PBC — Verenigde Staten — taalmodel (Claude) voor analyse. Ontvangt uitsluitend gepseudonimiseerde data (artikel 7 van deze VWO). SCC's + Article-28 DPA.
• Brave Software, Inc. — Verenigde Staten — zoekmachine, gebruikt voor publieke webresearch. Ontvangt geen klantdata.
• Resend Inc. — Verenigde Staten — verzending van transactionele e-mail. DPF-gecertificeerd, SCC's + DPA. [VERIFY: alleen vermelden wanneer Resend daadwerkelijk geconfigureerd is].
• Calendly LLC — Verenigde Staten — afsprakenagenda op de website. Verwerkt rechtstreeks de gegevens die de bezoeker invult, onder hun eigen privacybeleid.

De actuele lijst wordt op deze pagina gepubliceerd. Toevoegingen en vervangingen worden — overeenkomstig artikel 8 — minstens dertig dagen voor inwerkingtreding per e-mail aan de Klant gemeld.

Bijlage C — Categorieën persoonsgegevens en betrokkenen

C.1 Categorieën betrokkenen

• Medewerkers van het Klantkantoor (gebruikers en geregistreerde uren-/declaratiehouders).
• Eindklanten van het Klantkantoor, voor zover hun gegevens in de bronsystemen voorkomen.
• Contactpersonen van leveranciers van het Klantkantoor, voor zover van toepassing.

C.2 Categorieën persoonsgegevens

• Contactgegevens (naam, e-mail, telefoon, adres).
• Zakelijke identificatoren (KvK-nummer, BTW-nummer).
• Financiële gegevens (IBAN, factuurregels, openstaande posten).
• Urenregistratiegegevens (medewerker, datum, geboekte uren, project).
• Gebruikersgegevens binnen de dienst (inloggegevens, gebruiksstatistieken).
• Eventuele andere persoonsgegevens die in vrije tekstvelden in het bronsysteem voorkomen.

Ekkora verwerkt geen bijzondere categorieën van persoonsgegevensen heeft geen aanleiding deze in de bronsystemen aan te treffen; mocht dat onverwacht toch het geval zijn, dan brengt Ekkora de Klant onmiddellijk op de hoogte.