Verwerkersovereenkomst (DPA) — concept smart-io

Status: AI-concept — geen juridisch advies; niet door een advocaat gecontroleerd.
Product: smart-io (handelsnaam) · Exploitant / verwerker: Smartio, Apeldoorn (eenmanszaak) · KvK 88025675 · btw-id NL004526686B93
Laatst bijgewerkt: concept 2026-10-28
Doel: bijlage bij de SaaS-overeenkomst / algemene voorwaarden tussen B2B-klant en Smartio

Rolverdeling (lees dit eerst)

smart-io is opgezet als informatie-lookup over Zvw/Wmo-hulpmiddelen zonder BSN, zonder patiëntnamen, zonder zorgverlening. Deze DPA geldt vooral wanneer de klant toch persoonsgegevens van anderen via de SaaS laat verwerken. Gebruik smart-io niet om patiënt-BSN of patiëntnamen in te voeren.

1. Partijen

Verwerkingsverantwoordelijke (“Klant”): de B2B-organisatie die smart-io afneemt.
Verwerker: Smartio, Apeldoorn (eenmanszaak), handelsnaam smart-io · KvK 88025675 · btw-id NL004526686B93 · Contact [volgt: e-mail].

2. Onderwerp en duur

2.1 Smartio verwerkt persoonsgegevens uitsluitend in het kader van de overeengekomen smart-io-dienst (accountbeheer, lookups, logging, beveiliging, support, facturatie waar van toepassing).

2.2 Deze overeenkomst loopt zolang Smartio persoonsgegevens voor de Klant verwerkt onder de SaaS-overeenkomst, en eindigt automatisch bij beëindiging daarvan, behoudens bewaarplichten.

3. Aard van de verwerking (voorstel)

• Soorten gegevens: accountgegevens van gebruikers; technische logs; zoektermen/lookup-metadata zonder BSN. Geen bijzondere categorieën beoogd. [OPEN] als klant toch andere gegevens invoert.
• Categorieën betrokkenen: medewerkers/gebruikers van de Klant; eventueel derden alleen als de Klant die invoert (niet beoogd).
• Doel: leveren en beveiligen van de SaaS; geen eigen marketing op klantgegevens van derden.

4. Instructies (AVG art. 28-stijl, plain language)

4.1 Smartio verwerkt persoonsgegevens alleen op gedocumenteerde instructie van de Klant, inclusief deze DPA en de productfunctionaliteit, tenzij een wettelijke verplichting anders eist (dan informeert Smartio de Klant vooraf, tenzij de wet dat verbiedt).

4.2 Smartio mag gegevens niet voor eigen doeleinden gebruiken buiten wat nodig is voor de dienst.

5. Geheimhouding

Personen die namens Smartio toegang hebben, zijn tot geheimhouding verplicht (contractueel of wettelijk).

6. Beveiliging

Smartio treft passende technische en organisatorische maatregelen (o.a. toegangsbeheer, versleuteling waar passend, logging, max. 1 sessie per gebruiker). Details op verzoek of in een bijlage [OPEN].

7. Subverwerkers

7.1 De Klant geeft algemene toestemming voor subverwerkers die nodig zijn voor hosting en infrastructuur, te beginnen met:

• Vercel (hosting);
• database-/infrastructuurleverancier [volgt: naam];
• overige [volgt].

7.2 Smartio sluit met subverwerkers afspraken die minstens hetzelfde beschermingsniveau bieden. Bij een voorgenomen wijziging van subverwerker informeert Smartio de Klant tijdig; de Klant mag bezwaar maken op redelijke gronden [OPEN: termijn, bijv. 14 dagen].

8. Assistentie bij rechten van betrokkenen

Smartio helpt de Klant, voor zover redelijk en technisch mogelijk, bij verzoeken van betrokkenen (inzage, wissing, enz.) die via de Klant binnenkomen.

9. Datalekken

Smartio meldt een inbreuk in verband met persoonsgegevens zo snel mogelijk aan de Klant nadat zij daarvan kennis heeft, met beschikbare informatie zodat de Klant haar AVG-plichten (o.a. eventuele melding aan de AP binnen 72 uur indien van toepassing) kan nakomen. Zie ook het interne incident-/datalekplan (niet openbaar).

10. Audits

Op schriftelijk verzoek en met redelijke kennisgeving verstrekt Smartio informatie waarmee de Klant kan controleren of deze DPA wordt nagekomen. Audits op locatie alleen als documentatie onvoldoende is, tijdens kantooruren, zonder verstoring van de dienst, en onder geheimhouding. [OPEN] frequentie/kosten.

11. Doorgifte buiten de EER

Geen doorgifte buiten de EER zonder passende waarborgen. Concrete regio’s en mechanismen: [VERIFY] bij livegang.

12. Teruggave en wissen

Na einde van de dienst wist of retourneert Smartio de persoonsgegevens van de Klant, behoudens wettelijke bewaarplicht of anonieme aggregaten. Lookup-logs: standaard 90 dagen, tenzij eerder gewist op verzoek.

13. Aansprakelijkheid

Aansprakelijkheid volgt de algemene voorwaarden, voor zover dwingend AVG-recht dat toelaat.

14. Rangorde

Bij strijd tussen deze DPA en de algemene voorwaarden prevaleert deze DPA voor zover het om verwerking van persoonsgegevens gaat.

15. Ondertekening [OPEN]

Concept 2026-10-28. Laat een privacy-/AVG-jurist meelezen vóór ondertekening met betalende klanten.