Verwerkersovereenkomst

Kort gezegd. Jij beslist wat er met de gegevens van je bezoekers gebeurt; wij verwerken ze alleen om Nvivio aan jou te leveren. De data blijft in de EU, onze subverwerkers staan op een lijst en worden vooraf aangekondigd, we melden een inbreuk binnen 48 uur, en als je een site of je organisatie verwijdert, zijn haar events en dagtotalen binnen 24 uur weg.

1. Partijen en hoe deze overeenkomst geldt

1.1. Deze verwerkersovereenkomst (“overeenkomst”) is gesloten tussen de klant die Nvivio gebruikt (“je”, de verwerkingsverantwoordelijke) en Monto Bleu BV, [maatschappelijke zetel volgt], ondernemingsnummer 0543.842.970 (“we”, de verwerker).

1.2. Ze maakt deel uit van de algemene voorwaarden en geldt automatisch vanaf het moment dat je die aanvaardt, zonder handtekening. Heb je een ondertekend exemplaar nodig voor je administratie, schrijf dan naar support@nvivio.com met de naam en het adres van je organisatie; we sturen je deze overeenkomst, ondertekend door ons.

1.3. Voor alles over persoonsgegevens heeft deze overeenkomst voorrang op de algemene voorwaarden. Begrippen hebben hier de betekenis die ze hebben in de Algemene Verordening Gegevensbescherming (EU) 2016/679 (“AVG”), zoals persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene en inbreuk in verband met persoonsgegevens.

1.4. Deze overeenkomst gaat over de persoonsgegevens die we in jouw opdracht verwerken wanneer we Nvivio leveren: de gegevens over de bezoekers van je sites (“Bezoekersgegevens”), beschreven in bijlage 1. Ze gaat niet over de gegevens die we zelf als verwerkingsverantwoordelijke verwerken, zoals je account- en facturatiegegevens; die staan in onze privacyverklaring.

2. Je instructies

2.1. We verwerken Bezoekersgegevens alleen volgens je gedocumenteerde instructies. Je instructies zijn: de overeenkomst (de algemene voorwaarden en deze verwerkersovereenkomst), de instellingen die je in Nvivio kiest (zoals privacy- of cookiemodus, uitgesloten IP-adressen, bewaartermijn en delen) en wat jij of je gebruikers in het dashboard en via de API doen. Je mag schriftelijk verdere instructies geven, zolang ze bij de Dienst passen; een instructie die extra werk vraagt, mogen we aanrekenen, nadat we je dat lieten weten.

2.2. We verwerken Bezoekersgegevens alleen buiten je instructies als het Europese of Belgische recht dat vereist. We laten je dat dan eerst weten, tenzij dat recht het verbiedt.

2.3. Menen we dat een instructie de AVG of ander recht inzake gegevensbescherming schendt, dan laten we je dat meteen weten en mogen we wachten met uitvoeren tot je ze bevestigt of wijzigt.

2.4. We gebruiken Bezoekersgegevens niet voor onze eigen doeleinden. We verkopen ze niet, gebruiken ze niet voor reclame of om AI-modellen te trainen, combineren ze niet met data van andere klanten en proberen geen bezoekers te identificeren.

3. Jouw verantwoordelijkheden

3.1. Jij bent verantwoordelijk voor de rechtmatigheid van de verwerking: je hebt een rechtsgrond om je bezoekers te meten, je informeert ze in je privacyverklaring, en je vraagt toestemming waar de wet dat eist, in het bijzonder voordat de cookie van de cookiemodus wordt gezet (zie Heb ik een cookiebanner nodig?).

3.2. Je stuurt Nvivio alleen de gegevens waarvoor het bedoeld is. Stuur in events, eigenschappen, paginaadressen, paginatitels, labels of notities geen gegevens die een bezoeker rechtstreeks identificeren (zoals een naam, e-mailadres, telefoonnummer of klantnummer), geen bijzondere categorieën van persoonsgegevens (artikel 9 AVG) en geen gegevens over strafrechtelijke veroordelingen, tenzij je er een rechtsgrond voor hebt en het nodig is. Nvivio verwijdert onbekende parameters uit adressen en e-mailadressen uit paden, maar dat is een vangnet, geen vrijbrief. Het beleid voor aanvaardbaar gebruik geeft de details.

4. Vertrouwelijkheid

Iedereen bij Nvivio die toegang heeft tot Bezoekersgegevens, is contractueel of wettelijk tot geheimhouding verplicht, heeft alleen toegang wanneer dat voor zijn werk nodig is, en weet hoe met persoonsgegevens om te gaan.

5. Beveiliging

5.1. We nemen passende technische en organisatorische maatregelen om Bezoekersgegevens te beschermen, zoals artikel 32 AVG vraagt. Ze staan in bijlage 2 en bij Beveiliging.

5.2. We mogen de maatregelen bijwerken om de technologie en de risico’s bij te houden, zolang het algemene beschermingsniveau niet daalt.

6. Subverwerkers

6.1. Je geeft ons een algemene toestemming om subverwerkers in te schakelen. De huidige subverwerkers staan in bijlage 3 en bij Subverwerkers.

6.2. We laten je minstens 30 dagen vooraf weten dat we een subverwerker toevoegen of vervangen, per mail aan de eigenaars van je organisatie en op de pagina Subverwerkers. Je mag binnen die 30 dagen per mail bezwaar maken, op redelijke gronden die met gegevensbescherming te maken hebben. We zoeken dan te goeder trouw samen met jou naar een oplossing. Vinden we die niet, dan mag je de overeenkomst beëindigen voordat de wijziging ingaat, en betalen we het vooruitbetaalde bedrag terug voor de periode na het einde. Maak je geen bezwaar, dan is de nieuwe subverwerker toegestaan.

6.3. In een noodgeval, bijvoorbeeld als een subverwerker zijn dienst stopzet of een beveiligingsprobleem ons dwingt meteen over te stappen, mogen we een subverwerker sneller vervangen. We laten je dat dan zo snel mogelijk weten, en je recht op bezwaar en op beëindiging blijft gelden.

6.4. We leggen elke subverwerker contractueel dezelfde verplichtingen inzake gegevensbescherming op als in deze overeenkomst, in het bijzonder voldoende garanties voor passende beveiligingsmaatregelen. We blijven tegenover jou volledig verantwoordelijk voor de subverwerkers die we inschakelen.

6.5. Diensten die je zelf koppelt, zijn niet onze subverwerkers: een AI-assistent gekoppeld via de MCP-server, een tool die de API leest met je sleutel, een cookiebanner, of iedereen met wie je een dashboard of een rapport deelt. Wat zij krijgen, beslis jij.

7. Waar de data verwerkt wordt

7.1. Bezoekersgegevens worden bewaard en verwerkt in de Europese Economische Ruimte. De databank staat in Frankfurt (Duitsland); de wachtrij, de configuratie en de bestanden worden bij Cloudflare bewaard onder EU-jurisdictie.

7.2. Een verzoek van een bezoeker komt eerst aan in het Cloudflare-datacenter dat het dichtst bij hem ligt, wat voor bezoekers buiten de EU buiten de EU kan zijn; het IP-adres wordt daar alleen in het geheugen gebruikt en nooit bewaard. Sommige subverwerkers zijn gevestigd buiten de EER (zie bijlage 3). Een doorgifte buiten de EER gebeurt alleen met een waarborg uit hoofdstuk V van de AVG: een adequaatheidsbesluit, zoals het EU-VS-kader voor gegevensbescherming (Data Privacy Framework) voor gecertificeerde bedrijven, of de standaardcontractbepalingen van de Europese Commissie, met aanvullende maatregelen waar nodig.

7.3. Ben je gevestigd buiten de EER en geldt de AVG voor de doorgifte van Bezoekersgegevens van ons naar jou, dan gelden tussen ons de standaardcontractbepalingen (Uitvoeringsbesluit (EU) 2021/914 van de Commissie, module 4, van verwerker naar verwerkingsverantwoordelijke), die door verwijzing in deze overeenkomst zijn opgenomen.

8. Jou helpen

8.1. Rechten van betrokkenen. Met Nvivio handel je verzoeken zelf af: je kunt alle gegevens van één bezoeker exporteren of verwijderen vanuit het dashboard of de API, in een minuut. Neemt een bezoeker rechtstreeks contact met ons op, dan geven we het verzoek zonder onnodige vertraging aan jou door en beantwoorden we het niet zelf, tenzij je ons dat vraagt. Vraagt een verzoek meer dan het dashboard biedt, dan helpen we je binnen een redelijke termijn.

8.2. Andere verplichtingen. We helpen je, rekening houdend met de aard van de verwerking en de informatie die we hebben, met je verplichtingen uit de artikels 32 tot 36 AVG: beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van een toezichthoudende autoriteit. Deze pagina, Beveiliging en Heb ik een cookiebanner nodig? bevatten de informatie die de meeste klanten daarvoor nodig hebben.

9. Inbreuken in verband met persoonsgegevens

9.1. Worden we ons bewust van een inbreuk in verband met persoonsgegevens die Bezoekersgegevens raakt, dan melden we je dat zonder onnodige vertraging en in elk geval binnen 48 uur, per mail aan de eigenaars van je organisatie.

9.2. De melding beschrijft, voor zover we het op dat moment weten: wat er gebeurde, de categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de maatregelen die we namen of voorstellen, en een contactpunt voor meer informatie. Wat we nog niet weten, sturen we zodra we het weten.

9.3. We nemen meteen de nodige maatregelen om de inbreuk en haar gevolgen te beperken, houden een register bij van elke inbreuk, en helpen je de toezichthoudende autoriteit en de betrokkenen te informeren waar dat nodig is. Hen informeren is jouw beslissing; we doen het niet in jouw naam, tenzij je ons dat vraagt.

10. De data verwijderen

10.1. Tijdens de overeenkomst. Bezoeken, events en hun details worden automatisch verwijderd zodra ze ouder zijn dan de bewaartermijn van je plan of van de site (zie de prijspagina en Instellingen in het dashboard). Dagtotalen bevatten alleen tellingen, zonder iets dat ze aan een bezoeker of een bezoek koppelt; ze worden bewaard zolang je plan toelaat. Je kunt op elk moment de gegevens van één bezoeker, alle data van een site, of een site verwijderen.

10.2. Een site of de organisatie verwijderen. Verwijder je een site of je organisatie, dan verwijderen we al haar events en dagtotalen binnen 24 uur en bevestigen we dat per mail.

10.3. Op het einde van de overeenkomst. Eindigt de overeenkomst, dan verwijderen we alle Bezoekersgegevens binnen 24 uur na de verwijdering van je organisatie, tenzij het Europese of Belgische recht ons verplicht ze te bewaren. Voordien kun je je data exporteren met de exportfuncties en de API. Versleutelde back-ups van onze databankleverancier verlopen binnen 7 dagen; tot dan blijft verwijderde data erin, beschermd en ongebruikt.

11. Audits

11.1. We stellen je de informatie ter beschikking die je nodig hebt om aan te tonen dat artikel 28 AVG nageleefd wordt: deze overeenkomst, de beschrijving van onze maatregelen, de lijst van subverwerkers en, op vraag, schriftelijke antwoorden op redelijke vragen.

11.2. Volstaat dat niet, of vraagt een toezichthoudende autoriteit het, dan mag je een audit laten uitvoeren, hoogstens één keer per jaar, door jezelf of door een onafhankelijke auditor die tot geheimhouding verplicht is. Laat het ons minstens 30 dagen vooraf weten en spreek de reikwijdte met ons af. De audit vindt plaats op werkdagen, zonder onze werking te verstoren of de beveiliging en vertrouwelijkheid van de data van andere klanten in gevaar te brengen. Jij draagt de kosten, tenzij de audit aantoont dat we deze overeenkomst ernstig schonden. Audits bij onze subverwerkers gebeuren via de rapporten en certificeringen die zij publiceren.

12. Verzoeken van overheden

Vraagt een overheid ons om Bezoekersgegevens, dan verwijzen we haar waar mogelijk door naar jou. We laten je het verzoek weten, tenzij de wet dat verbiedt, en we maken alleen bekend wat we moeten, nadat we nagingen dat het verzoek rechtmatig is. Hebben we goede redenen om te denken dat een verzoek onrechtmatig is, dan betwisten we het.

13. Aansprakelijkheid en duur

13.1. De aansprakelijkheid van elke partij onder deze overeenkomst valt onder de grenzen van artikel 13 van de algemene voorwaarden, behalve waar artikel 82 AVG tegenover betrokkenen iets anders bepaalt. Elke partij draagt de boetes die haar worden opgelegd.

13.2. Deze overeenkomst geldt zolang we Bezoekersgegevens in jouw opdracht verwerken, en eindigt automatisch zodra die allemaal verwijderd zijn. Verplichtingen die naar hun aard daarna doorlopen, zoals de vertrouwelijkheid, blijven gelden.

13.3. We mogen deze overeenkomst op dezelfde manier wijzigen als de algemene voorwaarden (artikel 16), en alleen om de bescherming van de data te verbeteren, om de wet te volgen of om een wijziging van de Dienst te weerspiegelen. Wijzigingen van de subverwerkers volgen artikel 6.

13.4. Het Belgische recht is van toepassing op deze overeenkomst, en de rechtbanken genoemd in artikel 18 van de algemene voorwaarden zijn bevoegd.

Bijlage 1: beschrijving van de verwerking

Onderwerp	Webanalyse: bezoeken aan de websites en apps van de klant meten en ze tonen als statistieken, bezoeken, rapporten en antwoorden.
Aard van de verwerking	Verzamelen, opschonen, bewaren, samenvoegen tot bezoeken en dagtotalen, analyseren, tonen, exporteren en verwijderen.
Doel	Nvivio aan de klant leveren, met inbegrip van de beveiliging, de botfilter en support.
Duur	Zolang de overeenkomst loopt; elk gegeven gedurende de bewaartermijn van het plan of de site van de klant, of tot de klant het verwijdert.
Betrokkenen	Bezoekers van de websites en apps van de klant. Waar de klant labels of notities aan bezoeken toevoegt: de personen over wie die labels of notities gaan.
Categorieën van persoonsgegevens	Paginaadres (pad en alleen bekende campagne- en zoekparameters), paginatitel, verwijzende website en haar soort, campagnetags; een bezoekerscode: in privacymodus een hash van een dagsleutel, de site, het IP-adres en de browser, die elke dag verandert; in cookiemodus de willekeurige code uit de cookie _nvivio_sid; land, regio en stad afgeleid uit het IP-adres; netwerknaam (in privacymodus alleen van grote providers en relays); browser, besturingssysteem en soort toestel, browsertaal en schermbreedte; tijd op de pagina en scrolldiepte; tijdstip van elk event, eigen events en hun eigenschappen die de klant stuurt; labels en notities die de klant aan een bezoeker toevoegt. Het IP-adres wordt alleen in het geheugen gebruikt en nooit bewaard; de volledige user-agent wordt niet bewaard.
Bijzondere categorieën	Geen. De klant stuurt ze niet (artikel 3.2).
Bewaartermijn	Volgens het plan van de klant of de eigen bewaartermijn van de site, zoals op de prijspagina en in Instellingen. Verwijdering van een site of een organisatie: binnen 24 uur.

Bijlage 2: technische en organisatorische maatregelen

De maatregelen staan volledig bij Beveiliging. Samengevat:

• Minimale gegevens door het ontwerp: het IP-adres wordt nooit bewaard; de bezoekerscode verandert elke dag en de dagsleutel wordt na 26 uur verwijderd; de volledige user-agent wordt niet bewaard; onbekende URL-parameters worden verwijderd en e-mailadressen in paden vervangen; in privacymodus worden alleen namen van grote netwerken bewaard; Global Privacy Control wordt gerespecteerd.
• Locatie: opslag in de EU (Frankfurt, en Cloudflare onder EU-jurisdictie); het dashboard en de API draaien naast de databank in Frankfurt; er worden geen queryresultaten gecachet; er worden geen logs van verzoeken bewaard.
• Versleuteling: het script, het verzamelen van events, het dashboard en de API via HTTPS (TLS); data in rust versleuteld door onze leveranciers.
• Toegangsbeheer: rollen per organisatie en per site; inloggen met een eenmalige link per mail, zonder wachtwoorden; API-sleutels alleen als hash bewaard; de databank is vanaf het internet niet bereikbaar via REST of GraphQL, en elke tabel heeft beveiliging op rijniveau.
• Onze eigen toegang: ons beheer zit achter Cloudflare Access, en onze eigen code controleert dat opnieuw tegen een lijst van met naam gekende personen; elke wijziging vraagt een reden en wordt gelogd; personeel ziet de statistieken van een klant niet.
• Betrouwbaarheid: elk event heeft een unieke code zodat het één keer telt; een wachtrij met nieuwe pogingen en een dead-letter-wachtrij; dagelijkse back-ups door de databankleverancier.
• Incidenten: melding binnen 48 uur (artikel 9); een register van elk incident.
• Ontwikkeling: geautomatiseerde tests bij elke wijziging; productie alleen uitgerold vanaf de hoofdtak.

Bijlage 3: subverwerkers

De actuele lijst, met wat elke subverwerker doet, waar en met welke waarborg, staat bij Subverwerkers, die deel uitmaakt van deze bijlage. Op de datum van deze versie:

Subverwerker	Waarvoor	Waar de data is
Cloudflare, Inc. (VS)	Netwerk en bescherming, het script leveren, events verzamelen, wachtrij, configuratie, mail versturen	EU (opslag onder EU-jurisdictie); verzoeken in het datacenter dat het dichtst bij de bezoeker ligt
Supabase, Inc. (VS), op Amazon Web Services	Databank	Frankfurt, Duitsland
Amazon Web Services EMEA SARL (Luxemburg)	Taalmodel voor “Vraag het Nvivio” (Amazon Bedrock), zodra die aanstaat	Frankfurt, Duitsland

Versies

• 1.0, 25 oktober 2026: eerste versie.