Deze Verwerkersovereenkomst ("Overeenkomst") maakt integraal onderdeel uit van de overeenkomst tussen de Verwerkingsverantwoordelijke (Klant) en Invoker B.V., handelend onder de naam CPI (Verwerker).
Artikel 1 – Definities
Waar in deze Overeenkomst begrippen worden gebruikt die zijn gedefinieerd in de Algemene Verordening Gegevensbescherming (AVG), hebben deze dezelfde betekenis als in de AVG.
Artikel 2 – Onderwerp en duur
Deze Overeenkomst ziet op de verwerking van persoonsgegevens door CPI in opdracht van Klant. De Overeenkomst geldt zolang CPI persoonsgegevens verwerkt in het kader van de dienstverlening.
Artikel 3 – Aard en doel van de verwerking
CPI verwerkt persoonsgegevens uitsluitend ten behoeve van:
- het verzenden van feedback- en review-uitnodigingen;
- het verzamelen, tonen en analyseren van klantfeedback;
- rapportages en inzichten voor Klant;
- technische en functionele ondersteuning van het CPI-platform.
CPI verwerkt persoonsgegevens niet voor eigen doeleinden.
Artikel 4 – Categorieën persoonsgegevens
Afhankelijk van het gebruik van het platform kunnen onder meer de volgende persoonsgegevens worden verwerkt:
- naam (optioneel)
- e-mailadres
- telefoonnummer
- review- of feedbackinhoud
- verzendmomenten en communicatiekanaal
- technische metadata (zoals IP-adres, user agent, tijdstip)
Artikel 5 – Verplichtingen van CPI
- CPI verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van Klant.
- CPI waarborgt dat personen die toegang hebben tot persoonsgegevens een geheimhoudingsplicht hebben.
- CPI neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies, misbruik en onbevoegde toegang.
- CPI verleent Klant medewerking bij verzoeken van betrokkenen, datalekmeldingen en AVG-compliance verplichtingen.
Artikel 6 – Subverwerkers
CPI mag subverwerkers inschakelen voor de uitvoering van haar dienstverlening (zoals hosting-, e-mail- of SMS-providers).
CPI draagt er zorg voor dat met subverwerkers vergelijkbare privacy- en beveiligingsverplichtingen worden overeengekomen.
Een actueel overzicht van subverwerkers kan op verzoek worden verstrekt.
Artikel 7 – Datalekken
CPI meldt een beveiligingsincident of datalek onverwijld na ontdekking aan Klant.
De melding bevat, voor zover bekend:
- aard van het incident;
- getroffen gegevens;
- getroffen of voorgestelde maatregelen.
CPI zal geen melding doen bij toezichthouders zonder voorafgaand overleg met Klant, tenzij wettelijk verplicht.
Artikel 8 – Rechten van betrokkenen
Indien CPI een verzoek ontvangt van een betrokkene, zal zij dit onverwijld doorsturen naar Klant.
CPI handelt dergelijke verzoeken niet zelfstandig af, tenzij wettelijk verplicht.
Artikel 9 – Bewaartermijnen en beëindiging
CPI bewaart persoonsgegevens niet langer dan noodzakelijk voor de uitvoering van de dienstverlening.
Na beëindiging van de overeenkomst zal CPI, naar keuze van Klant, persoonsgegevens verwijderen of deze aan Klant retourneren, tenzij wettelijke bewaarplichten anders vereisen.
Artikel 10 – Audit en controle
Klant heeft het recht om, na voorafgaande aankondiging, redelijke controles uit te voeren op naleving van deze Overeenkomst.
Controles beperken zich tot documentatie en verklaringen, tenzij zwaarwegende omstandigheden anders vereisen.
Artikel 11 – Aansprakelijkheid
De aansprakelijkheid van CPI is beperkt conform de bepalingen in de hoofdovereenkomst.
CPI is niet aansprakelijk voor schade als gevolg van instructies van Klant die in strijd zijn met wet- of regelgeving.
Artikel 12 – Slotbepalingen
- Op deze Overeenkomst is Nederlands recht van toepassing.
- Geschillen worden voorgelegd aan de bevoegde rechter in Nederland.
- Deze Overeenkomst treedt automatisch in werking bij gebruik van het CPI-platform.
Bijlage 1 – Beveiligingsmaatregelen (samenvatting)
CPI past onder meer de volgende maatregelen toe:
- versleutelde verbindingen (TLS/SSL)
- toegangsbeheer en rolverdeling
- logging en monitoring
- regelmatige updates en beveiligingspatches
- dataminimalisatie
Laatste update: december 2025