Verwerkersovereenkomst Sitejob CRM

Versie 1.0 – 29 september 2026. Deze verwerkersovereenkomst hoort bij de algemene voorwaarden Sitejob CRM. Klant gaat ermee akkoord bij het aanmaken van een account.

Partijen:

1. de onderneming of organisatie die een account voor Sitejob CRM aanmaakt, hierna: “Klant”, als verwerkingsverantwoordelijke; en

2. KGT van de Meulengraaf, handelend onder de naam SiteJob, Frederiklaan 10E, 5616 NH Eindhoven, KvK 78071399, hierna: “SiteJob”, als verwerker.

1. Onderwerp

1.1 SiteJob verwerkt persoonsgegevens in opdracht van Klant bij het leveren van Sitejob CRM (de “Dienst”). Deze overeenkomst regelt die verwerking zoals bedoeld in artikel 28 van de Algemene verordening gegevensbescherming (AVG).

1.2 Het onderwerp, de aard en het doel van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen staan in bijlage 1. De beveiligingsmaatregelen staan in bijlage 2 en de subverwerkers in bijlage 3.

1.3 Deze overeenkomst geldt zolang SiteJob persoonsgegevens voor Klant verwerkt.

2. Instructies

2.1 SiteJob verwerkt de persoonsgegevens alleen op basis van schriftelijke instructies van Klant, tenzij een wettelijke verplichting SiteJob tot verwerking dwingt. In dat geval informeert SiteJob Klant vooraf, tenzij de wet dat verbiedt.

2.2 De overeenkomst, de instellingen die Klant in de Dienst kiest en de handelingen van Klant en zijn gebruikers in de Dienst gelden als instructies van Klant.

2.3 SiteJob meldt het Klant direct als een instructie naar het oordeel van SiteJob in strijd is met de AVG of andere regelgeving.

2.4 SiteJob gebruikt de persoonsgegevens niet voor eigen doeleinden.

3. Verantwoordelijkheid van Klant

3.1 Klant bepaalt het doel en de middelen van de verwerking. Hij staat ervoor in dat de verwerking rechtmatig is, dat hij betrokkenen informeert en dat de persoonsgegevens niet inbreuk maken op rechten van derden.

3.2 Klant legt bijzondere persoonsgegevens, strafrechtelijke gegevens en het burgerservicenummer alleen vast als dat wettelijk is toegestaan en noodzakelijk is, en in overleg met SiteJob als daar aanvullende maatregelen voor nodig zijn.

4. Geheimhouding

4.1 SiteJob houdt de persoonsgegevens geheim. Alleen personen die voor SiteJob werken en toegang nodig hebben voor de Dienst of voor ondersteuning op verzoek van Klant, krijgen toegang. Zij zijn tot geheimhouding verplicht.

5. Beveiliging

5.1 SiteJob neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten en de risico’s. De maatregelen staan in bijlage 2.

5.2 SiteJob mag de maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.

5.3 Klant is verantwoordelijk voor de maatregelen binnen zijn eigen invloed, waaronder het geheimhouden van inloggegevens, het toekennen van passende rechten aan gebruikers en het gebruik van tweestapsverificatie.

6. Subverwerkers

6.1 Klant geeft SiteJob algemene toestemming om de subverwerkers in bijlage 3 in te schakelen.

6.2 SiteJob meldt een nieuwe of vervangende subverwerker ten minste 30 dagen vooraf per e-mail aan de accounteigenaar en werkt bijlage 3 bij. Klant kan binnen die termijn gemotiveerd bezwaar maken. Komen partijen er niet uit, dan mag Klant het abonnement kosteloos opzeggen per de datum waarop de subverwerker wordt ingeschakeld.

6.3 SiteJob legt aan iedere subverwerker ten minste dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover Klant verantwoordelijk voor de nakoming daarvan.

6.4 Diensten die Klant zelf afneemt en aan de Dienst koppelt, zoals Microsoft 365, Mollie, Stripe (betaallinks) en de WhatsApp Business-account van Klant bij Meta, zijn geen subverwerkers van SiteJob. Klant heeft daarvoor een eigen overeenkomst met die aanbieder. De Dienst wisselt gegevens met die diensten uit in opdracht van Klant.

7. Doorgifte buiten de Europese Economische Ruimte

7.1 De Dienst en de back-ups draaien in datacenters in de Europese Unie. Een subverwerker in bijlage 3 kan persoonsgegevens buiten de EER verwerken. SiteJob zorgt dan dat de doorgifte voldoet aan hoofdstuk V van de AVG, bijvoorbeeld via het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.

8. Rechten van betrokkenen

8.1 De Dienst bevat functies waarmee Klant verzoeken van betrokkenen zelf kan afhandelen, waaronder het inzien, wijzigen, exporteren en anonimiseren van alle gegevens van een relatie.

8.2 Ontvangt SiteJob een verzoek van een betrokkene dat over de gegevens van Klant gaat, dan stuurt SiteJob dat zonder onredelijke vertraging door naar Klant en handelt het niet zelf af. Waar nodig helpt SiteJob Klant redelijkerwijs bij het beantwoorden.

9. Datalekken

9.1 SiteJob meldt een inbreuk in verband met persoonsgegevens die de gegevens van Klant betreft, zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat SiteJob die heeft ontdekt, aan de accounteigenaar van Klant.

9.2 SiteJob verstrekt daarbij, zodra bekend, de informatie die Klant nodig heeft voor een melding aan de Autoriteit Persoonsgegevens en aan betrokkenen: de aard van de inbreuk, de betrokken soorten gegevens en betrokkenen, de waarschijnlijke gevolgen en de genomen en voorgestelde maatregelen.

9.3 Klant beslist zelf over een melding aan de Autoriteit Persoonsgegevens en aan betrokkenen. SiteJob neemt direct maatregelen om de inbreuk te beperken en herhaling te voorkomen, en documenteert de inbreuk.

10. Bijstand en controle

10.1 SiteJob helpt Klant redelijkerwijs bij een gegevensbeschermingseffectbeoordeling en bij voorafgaande raadpleging van de Autoriteit Persoonsgegevens, voor zover dat de verwerking in de Dienst betreft.

10.2 SiteJob stelt Klant op verzoek de informatie ter beschikking die nodig is om aan te tonen dat SiteJob deze overeenkomst nakomt. Is die informatie onvoldoende, dan mag Klant ten hoogste eenmaal per jaar een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht, na ten minste 30 dagen aankondiging en zonder de bedrijfsvoering van SiteJob onevenredig te verstoren. Klant draagt de kosten van de audit, tenzij de audit een wezenlijke tekortkoming van SiteJob aantoont.

11. Einde van de verwerking

11.1 Na het einde van de overeenkomst, of van een proefperiode zonder abonnement, kan Klant nog 30 dagen inloggen om zijn gegevens te exporteren.

11.2 Daarna verwijdert SiteJob het account en de persoonsgegevens van Klant binnen 30 dagen, tenzij een wettelijke plicht tot bewaren geldt. Versleutelde back-ups worden binnen 13 maanden overschreven en worden in de tussentijd niet gebruikt, behalve voor herstel na een calamiteit.

11.3 Op verzoek bevestigt SiteJob de verwijdering schriftelijk.

12. Aansprakelijkheid en rangorde

12.1 Voor de aansprakelijkheid van partijen geldt artikel 15 van de algemene voorwaarden Sitejob CRM, voor zover de AVG niet dwingend anders bepaalt.

12.2 Bij strijdigheid tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor als het om de verwerking van persoonsgegevens gaat.

12.3 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de rechtbank Oost-Brabant.

Bijlage 1 – Beschrijving van de verwerking

Aard en doel. Het leveren van Sitejob CRM: het opslaan, ordenen, doorzoeken, weergeven en uitwisselen van gegevens voor het relatiebeheer, de verkoop, offertes en facturen, taken, projecten, digitale ondertekening, e-mail, agenda, WhatsApp-berichten, formulieren, automatiseringen en, als Klant die module gebruikt, AI-assistenten. Daarnaast hosting, back-ups, beveiliging, ondersteuning op verzoek van Klant en het oplossen van storingen.

Categorieën betrokkenen. Relaties, klanten en prospects van Klant en hun contactpersonen; medewerkers en andere gebruikers van Klant; personen die met Klant corresponderen per e-mail of WhatsApp; bezoekers die via een websiteformulier van Klant een aanvraag doen; ondertekenaars van documenten.

Soorten persoonsgegevens.

• identificatie- en contactgegevens: naam, organisatie, functie, e-mailadres, telefoon- en WhatsApp-nummer, adres;
• gegevens over de zakelijke relatie: dossiers en deals, notities, taken, afspraken, projecten, eigen velden die Klant aanmaakt;
• communicatie: e-mails en agenda-items uit een gekoppelde Microsoft 365-mailbox, aan dossiers gekoppelde e-mails, WhatsApp-berichten en -toestemmingen, formulierinzendingen;
• commerciële en financiële gegevens: offertes, facturen, creditnota’s, betaalstatussen en -referenties;
• ondertekeningsgegevens: naam, e-mailadres, verificatie, tijdstip en IP-adres van de ondertekenaar en een vingerafdruk van het ondertekende document;
• gebruikersgegevens van Klant: naam, e-mailadres, rol en rechten, inlog- en activiteitslogboeken;
• bij gebruik van AI-assistenten: de inhoud van gesprekken en de gegevens die de assistent daarvoor raadpleegt.

Bewaartermijnen in de Dienst.

• gegevens van relaties, dossiers, gekoppelde e-mails, offertes en facturen: zolang Klant ze in de Dienst bewaart, tot het einde van de overeenkomst (artikel 11);
• kopieën van e-mails uit een gekoppelde mailbox die niet bij een relatie of klantorganisatie van Klant horen: 6 maanden; bij het ontkoppelen van de mailbox direct;
• technische applicatielogboeken: 30 dagen;
• het auditlogboek van beheerhandelingen: 1 jaar;
• technische meldingen van betaal- en berichtproviders: 30 tot 90 dagen;
• versleutelde back-ups: dagelijks, en binnen 13 maanden overschreven.

Bijlage 2 – Beveiligingsmaatregelen

• De Dienst draait op servers van Hetzner in de Europese Unie. Productie-, test- en demo-omgevingen zijn van elkaar gescheiden; in test- en demo-omgevingen worden geen gegevens van Klant gebruikt.
• Alle verbindingen met de Dienst verlopen versleuteld via HTTPS met HSTS.
• Toegangssleutels van koppelingen, zoals API-sleutels van betaalproviders en tokens van Microsoft 365, en de inhoud van gesynchroniseerde e-mails worden versleuteld opgeslagen.
• Wachtwoorden worden alleen als cryptografische hash opgeslagen. Gebruikers kunnen tweestapsverificatie instellen; voor het beheer door SiteJob is tweestapsverificatie verplicht.
• Gegevens van verschillende klanten en bedrijven zijn in de applicatie van elkaar gescheiden. Binnen een account bepalen rollen en rechten per module en per pipeline wie wat mag zien en wijzigen.
• Inlogpogingen, aanmeldingen en gevoelige handelingen worden begrensd tegen misbruik en beheerhandelingen worden vastgelegd in een auditlogboek.
• Er worden dagelijks versleutelde back-ups gemaakt op een aparte opslaglocatie in Duitsland, en vóór iedere nieuwe versie van de Dienst een extra back-up. Het terugzetten van back-ups is getest.
• Nieuwe versies worden vóór livegang automatisch getest en eerst op aparte test- en acceptatieomgevingen gecontroleerd.
• Toegang tot de servers is beperkt tot de beheerder van SiteJob.

Bijlage 3 – Subverwerkers