Verwerkersovereenkomst voor hosting en beheer.

Laatst bijgewerkt op 9 oktober 2026.

Deze overeenkomst hoort bij de algemene voorwaarden van Borgman Digital en geldt voor klanten met Beheer Basis, Beheer Plus of hosting en onderhoud van een Laravel-systeem.

Partijen

1. De klant, hierna: de verwerkingsverantwoordelijke.
2. Borgman Digital, eenmanszaak van Wesley Borgman, gevestigd in Amsterdam, KvK 42088485, hierna: de verwerker.

Artikel 1 – Begrippen

Begrippen als persoonsgegevens, verwerking, betrokkene, subverwerker en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis die de Algemene verordening gegevensbescherming (AVG) eraan geeft.

Artikel 2 – Onderwerp

1. Voor het beheer van de website of het systeem van de verwerkingsverantwoordelijke verwerkt de verwerker persoonsgegevens namens de verwerkingsverantwoordelijke.
2. Bijlage 1 beschrijft welke gegevens het betreft, van wie en waarvoor.
3. De verwerkingsverantwoordelijke blijft verantwoordelijk voor de vraag of hij de gegevens mag verwerken.

Artikel 3 – Instructies

1. De verwerker verwerkt de gegevens alleen op schriftelijke instructie van de verwerkingsverantwoordelijke, tenzij een wettelijke plicht iets anders vereist. In dat geval meldt de verwerker die plicht vooraf, tenzij de wet dat verbiedt.
2. Vindt de verwerker dat een instructie in strijd is met de AVG, dan meldt hij dat direct.

Artikel 4 – Geheimhouding

De verwerker houdt de persoonsgegevens geheim. Alleen Wesley Borgman heeft toegang. Schakelt de verwerker toch iemand anders in, dan legt hij diegene dezelfde geheimhouding op.

Artikel 5 – Beveiliging

De verwerker neemt passende technische en organisatorische maatregelen om de gegevens te beveiligen, passend bij het risico (artikel 32 AVG). Bijlage 2 beschrijft deze maatregelen.

Artikel 6 – Subverwerkers

1. De verwerkingsverantwoordelijke geeft algemene toestemming voor de subverwerkers in bijlage 3.
2. De verwerker meldt een nieuwe of vervangende subverwerker minimaal 30 dagen vooraf. De verwerkingsverantwoordelijke mag daartegen bezwaar maken. Kunnen partijen geen oplossing vinden, dan mag de verwerkingsverantwoordelijke het beheer kosteloos beëindigen.
3. De verwerker legt iedere subverwerker minimaal dezelfde verplichtingen op als in deze overeenkomst staan.

Artikel 7 – Doorgifte buiten de EER

De website en de database staan in een datacenter in de Europese Unie. Kunnen gegevens toch buiten de Europese Economische Ruimte worden ingezien of verwerkt, bijvoorbeeld door een subverwerker uit de Verenigde Staten, dan gebeurt dat alleen met passende waarborgen, zoals het EU-VS Data Privacy Framework of standaardcontractbepalingen van de Europese Commissie.

Artikel 8 – Rechten van betrokkenen

De verwerker helpt de verwerkingsverantwoordelijke bij verzoeken van betrokkenen, zoals een verzoek om inzage of verwijdering. Krijgt de verwerker zo’n verzoek rechtstreeks, dan stuurt hij het direct door. Hulp die meer dan een kwartier kost, mag de verwerker rekenen tegen het uurtarief.

Artikel 9 – Datalekken

1. De verwerker meldt een datalek zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat hij het heeft ontdekt.
2. De melding bevat, voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het betreft, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.
3. De verwerkingsverantwoordelijke beslist of hij het datalek meldt bij de Autoriteit Persoonsgegevens en bij betrokkenen. De verwerker doet dat niet zelf, tenzij partijen dat afspreken.

Artikel 10 – Controle

De verwerker geeft de verwerkingsverantwoordelijke alle informatie die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd. De verwerkingsverantwoordelijke mag maximaal één keer per jaar een controle laten uitvoeren, met een aankondiging van minimaal 30 dagen. De kosten zijn voor de verwerkingsverantwoordelijke, tenzij de controle laat zien dat de verwerker deze overeenkomst niet naleeft.

Artikel 11 – Duur en einde

1. Deze overeenkomst geldt zolang de verwerker beheer uitvoert voor de verwerkingsverantwoordelijke.
2. Na het einde krijgt de verwerkingsverantwoordelijke een complete kopie van de website en de gegevens. De verwerker verwijdert de gegevens uiterlijk 30 dagen na het einde. Reservekopieën bij de hostingpartij verdwijnen volgens de bewaartermijn van die partij.

Artikel 12 – Aansprakelijkheid en recht

Voor aansprakelijkheid gelden de algemene voorwaarden van Borgman Digital, voor zover de wet dat toestaat. Op deze overeenkomst is Nederlands recht van toepassing.

Bijlage 1 – Beschrijving van de verwerking

• Doel: hosting, onderhoud, updates, beveiliging, reservekopieën en (bij Beheer Plus) kleine wijzigingen aan de website.
• Betrokkenen: bezoekers van de website, mensen die een formulier invullen, klanten of leden van de verwerkingsverantwoordelijke en gebruikers met een account op de website.
• Persoonsgegevens: IP-adressen en technische gegevens in server- en beveiligingslogboeken, gegevens uit formulieren (zoals naam, e-mailadres, telefoonnummer en bericht), accountgegevens van gebruikers en andere gegevens die de verwerkingsverantwoordelijke via de website verzamelt.
• Bijzondere persoonsgegevens: niet de bedoeling. Verzamelt de website die wel (bijvoorbeeld gezondheidsgegevens), dan meldt de verwerkingsverantwoordelijke dat vooraf.
• Bewaartermijn: zolang het beheer loopt, en daarna zoals in artikel 11.

Bijlage 2 – Beveiligingsmaatregelen

• Versleutelde verbinding (HTTPS) voor de website en voor het beheer.
• Toegang tot het beheer alleen voor Wesley Borgman, met een sterk, uniek wachtwoord en tweestapsverificatie.
• Updates van WordPress, het thema en plugins.
• Automatische reservekopieën.
• Beveiligingssoftware (WPMU DEV Defender) met een scan op schadelijke bestanden en blokkering van verdachte inlogpogingen.
• Controle op bereikbaarheid van de website.

Bijlage 3 – Subverwerkers

• Incsub, LLC (WPMU DEV), Verenigde Staten – hosting, reservekopieën en beheersoftware. De website en de database staan in het datacenter in Amsterdam (EU). Incsub is gecertificeerd onder het EU-VS Data Privacy Framework.
• De infrastructuurpartij die WPMU DEV voor het datacenter in Amsterdam gebruikt – serverruimte in de EU.