Verwerkersovereenkomst UNROTE Systems

Versie 1.0 · 31 augustus 2026 · unrote.nl/verwerkersovereenkomst

Deze Verwerkersovereenkomst bevat de voorwaarden waaronder UNROTE Systems, handelsnaam van Orange BOB B.V., KvK 70177341 ("UNROTE", "wij", Verwerker), persoonsgegevens verwerkt namens Klant ("u", "uw", Verwerkingsverantwoordelijke). Zij maakt integraal deel uit van de Overeenkomst.

1. Definities 1.1. Begrippen hebben de betekenis die de AVG daaraan geeft. Begrippen die de AVG niet definieert, worden uitgelegd naar de meest nabijgelegen AVG-definitie. Overige begrippen (Opdrachtbevestiging, Agent, Assessment, Schriftelijk, Werkdagen) hebben de betekenis uit de Algemene Voorwaarden UNROTE.

2. Onderwerp, aard en doel van de Verwerking 2.1. Wij verwerken Persoonsgegevens uitsluitend voor de uitvoering van de Overeenkomst en op basis van uw Schriftelijke instructies. 2.2. De Verwerking omvat, afhankelijk van de fase: het onderzoeken en testen op de door u aangeleverde historische data-export (Assessment), en het ontwerpen, hosten, onderhouden en operationeel houden van de Agent (Implementatie, Hosting en Beheer). De Verwerking begint zodra u de eerste data-export aan ons beschikbaar stelt. 2.3. De categorieën Betrokkenen en de soorten Persoonsgegevens worden per opdracht gespecificeerd in de Opdrachtbevestiging, die daarmee voor deze Verwerkersovereenkomst als specificatie geldt. 2.4. Wij bewaren Persoonsgegevens, inclusief kopieën en back-ups, niet langer dan noodzakelijk voor de uitvoering en verwijderen of anonimiseren deze uiterlijk zestig (60) dagen na het einde van de betreffende Opdrachtbevestiging, tenzij een wettelijke bewaarplicht of een Schriftelijke afspraak anders bepaalt. Back-ups worden volgens het reguliere schema overschreven en veilig vernietigd.

3. Instructies 3.1. Wij verwerken niet buiten uw instructies, tenzij Unierecht of Nederlands recht ons tot Verwerking verplicht. In dat geval informeren wij u vooraf over die verplichting, tenzij de wet dat verbiedt om redenen van zwaarwegend algemeen belang. 3.2. Achten wij een instructie in strijd met de AVG, dan melden wij dat zonder uitstel.

4. Naleving en ondersteuning 4.1. Beide partijen handelen conform de AVG en toekomstige regelgeving inzake gegevensbescherming. Vereist een wetswijziging aanpassing van deze Verwerkersovereenkomst, dan treden partijen in overleg. 4.2. Wij ondersteunen u, rekening houdend met de aard van de Verwerking en de informatie waarover wij beschikken, bij een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de toezichthouder. Omvangrijke ondersteuning vindt plaats tegen onze gebruikelijke tarieven, tenzij Schriftelijk anders afgesproken.

5. Beveiliging 5.1. Wij treffen passende technische en organisatorische maatregelen voor een beveiligingsniveau dat past bij het risico, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de Verwerking. 5.2. Een actuele beschrijving van de maatregelen staat op unrote.nl/maatregelen en geldt als bijlage bij de Opdrachtbevestiging. Wezenlijke wijzigingen delen wij Schriftelijk mee; eerdere versies zijn op verzoek beschikbaar. 5.3. Verwerking vindt uitsluitend plaats op infrastructuur binnen de EU (zie ook artikel 11). 5.4. Personen die onder onze verantwoordelijkheid toegang hebben tot Persoonsgegevens, verwerken deze uitsluitend op uw instructie, behoudens wettelijke verplichtingen.

6. Vertrouwelijkheid 6.1. Personen die onder onze verantwoordelijkheid Persoonsgegevens verwerken, zijn gebonden aan een passende contractuele of wettelijke geheimhoudingsplicht.

7. Controle door Klant 7.1. Wij verstrekken u op verzoek de informatie die redelijkerwijs nodig is om de naleving van deze Verwerkersovereenkomst aan te tonen. 7.2. U mag een audit laten uitvoeren door een onafhankelijke deskundige die aan geheimhouding is gebonden. Wij werken redelijkerwijs mee. 7.3. Een audit wordt ten minste tien (10) Werkdagen vooraf Schriftelijk aangekondigd en vindt plaats tijdens kantooruren, met zo min mogelijk verstoring van de bedrijfsvoering. 7.4. De kosten van de audit draagt u, tenzij de audit uitwijst dat wij onze verplichtingen niet adequaat zijn nagekomen; dan dragen wij de redelijke kosten en herstellen wij de tekortkomingen zo snel mogelijk.

8. Datalekken 8.1. Wij informeren u zonder onredelijke vertraging nadat wij kennis hebben genomen van een inbreuk in verband met Persoonsgegevens. 8.2. Wij verstrekken daarbij de informatie die u nodig heeft om te voldoen aan de meldplichten van artikel 33 en 34 AVG, houden u op de hoogte van het verloop en nemen redelijke maatregelen om de gevolgen te beperken en te herstellen. 8.3. Wij benaderen Betrokkenen of toezichthouders niet over een inbreuk, tenzij op uw instructie of met uw uitdrukkelijke Schriftelijke toestemming, of voor zover een wettelijke verplichting rechtstreeks op ons rust.

9. Subverwerkers 9.1. U verleent hierbij algemene Schriftelijke toestemming voor het inschakelen van Subverwerkers. Het actuele overzicht, met per Subverwerker de naam, de aard van de uitbestede Verwerking en de verwerkingslocatie, staat op unrote.nl/subverwerkers, voorzien van versie en datum; eerdere versies zijn op verzoek beschikbaar. 9.2. Een voorgenomen toevoeging of vervanging kondigen wij ten minste dertig (30) dagen vooraf per e-mail aan. U kunt binnen veertien (14) dagen gemotiveerd bezwaar maken; bij gerechtvaardigd bezwaar zoeken partijen een redelijke oplossing. Wordt die niet gevonden, dan mag u de betreffende Opdrachtbevestiging Schriftelijk opzeggen tegen de ingangsdatum van de wijziging. 9.3. Wij leggen Subverwerkers verplichtingen op die materieel gelijkwaardig zijn aan deze Verwerkersovereenkomst en blijven jegens u verantwoordelijk voor hun nakoming.

10. Verzoeken van Betrokkenen 10.1. U bent verantwoordelijk voor de afhandeling van verzoeken van Betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar). Wij ondersteunen u daarbij voor zover redelijkerwijs mogelijk; voor omvangrijke ondersteuning geldt ons gebruikelijke tarief, tenzij Schriftelijk anders afgesproken. 10.2. Wendt een Betrokkene zich rechtstreeks tot ons, dan reageren wij niet inhoudelijk en informeren wij u zonder onredelijke vertraging.

11. Geen doorgifte buiten de EER 11.1. Wij verwerken Persoonsgegevens uitsluitend binnen de EER. Doorgifte naar, opslag in of toegang vanuit een land buiten de EER vindt niet plaats. 11.2. Afwijking van artikel 11.1 is uitsluitend mogelijk met uw voorafgaande Schriftelijke toestemming én passende waarborgen conform hoofdstuk V AVG, of voor zover Unierecht of Nederlands recht ons daartoe verplicht; in dat laatste geval informeren wij u vooraf, tenzij de wet dat verbiedt.

12. Garanties en vrijwaring 12.1. U staat ervoor in dat de Verwerking die u ons opdraagt rechtmatig is, waaronder dat u bevoegd bent de Persoonsgegevens te verzamelen en te laten verwerken. 12.2. U vrijwaart ons tegen aanspraken van derden, waaronder Betrokkenen en toezichthouders, die verband houden met onrechtmatige Verwerking of schendingen die aan u toerekenbaar zijn. Wij vrijwaren u niet verder dan volgt uit de Overeenkomst.

13. Aansprakelijkheid 13.1. Deze Verwerkersovereenkomst maakt deel uit van de Overeenkomst. Onze totale aansprakelijkheid in verband met deze Verwerkersovereenkomst is beperkt conform de aansprakelijkheidsregeling in de Algemene Voorwaarden.

14. Looptijd en einde 14.1. Deze Verwerkersovereenkomst geldt vanaf de ingangsdatum van de Overeenkomst en zolang wij Persoonsgegevens namens u verwerken, en eindigt van rechtswege zodra alle Verwerking is beëindigd. 14.2. Na beëindiging stellen wij de Klantdata conform de exitregeling in de Algemene Voorwaarden aan u beschikbaar en verwijderen of anonimiseren wij de bij ons berustende Persoonsgegevens binnen de termijn van artikel 2.4, behoudens wettelijke bewaarplichten; in dat geval bewaren wij uitsluitend wat en zolang de wet vereist, passend beveiligd.

---

Verwerkingsoverzicht (artikel 28 lid 3 AVG)

Element	Vindplaats
Aard en doeleinden van de Verwerking	Artikel 2.2 en de toepasselijke Opdrachtbevestiging
Categorieën Betrokkenen en soorten Persoonsgegevens	Specificatie in de Opdrachtbevestiging (artikel 2.3)
Duur van de Verwerking	Looptijd Opdrachtbevestiging + 60 dagen (artikel 2.4)
Subverwerkers en verwerkingslocatie	unrote.nl/subverwerkers (artikel 9.1)
Beveiligingsmaatregelen	Bijlage bij de Opdrachtbevestiging (artikel 5.2)