Verwerkersovereenkomst

Verwerkersovereenkomst

Deze overeenkomst hoort bij artikel 9.4 van de algemene voorwaarden en regelt hoe wij omgaan met de persoonsgegevens die u in PRO Planning zet. Hij geldt zodra u een overeenkomst met ons aangaat; u hoeft er niets apart voor te tekenen, maar wilt u een ondertekend exemplaar voor uw eigen AVG-dossier, dan sturen we dat toe.

Versie 1.0, 3 augustus 2026.

Partijen

Verwerker: PRO Everything on Time B.V., Spinnekop 2, 1444 GN Purmerend, ingeschreven bij de Kamer van Koophandel onder nummer 84440252, btw-nummer NL863211859B01, hierna "PRO".
Verwerkingsverantwoordelijke: de klant die met PRO een overeenkomst heeft gesloten voor PRO Planning en/of PRO Team, hierna "Klant".

Deze verwerkersovereenkomst maakt onlosmakelijk deel uit van die overeenkomst. Wijkt hij af van de algemene voorwaarden, dan gaat deze verwerkersovereenkomst voor waar het de verwerking van persoonsgegevens betreft.

Artikel 1. Begrippen

De begrippen persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene, inbreuk in verband met persoonsgegevens en toezichthoudende autoriteit hebben de betekenis die de Algemene Verordening Gegevensbescherming (AVG) eraan geeft. Onder Klantgegevens verstaan wij alle gegevens die Klant of zijn gebruikers in de Dienst invoeren of laten invoeren.

Artikel 2. Rolverdeling en instructies

2.1 Klant is verwerkingsverantwoordelijke voor de persoonsgegevens in de Klantgegevens. PRO is verwerker en verwerkt uitsluitend in opdracht van Klant.
2.2 PRO verwerkt de persoonsgegevens alleen op basis van schriftelijke instructies van Klant. De overeenkomst, deze verwerkersovereenkomst en het normale gebruik van de Dienst gelden als zodanige instructie.
2.3 PRO gebruikt de persoonsgegevens niet voor eigen doeleinden, verkoopt ze niet, gebruikt ze niet voor advertenties en gebruikt ze niet om diensten aan derden te verbeteren.
2.4 Meent PRO dat een instructie in strijd is met de AVG of andere wetgeving, dan meldt PRO dat onverwijld aan Klant en mag PRO de uitvoering opschorten totdat Klant de instructie bevestigt of aanpast.
2.5 Is PRO op grond van wetgeving verplicht tot een verwerking waarvoor Klant geen instructie gaf, dan meldt PRO dat vooraf aan Klant, tenzij die wetgeving dat verbiedt.

Artikel 3. Onderwerp, duur en aard van de verwerking

3.1 Onderwerp en doel van de verwerking staan in bijlage A.
3.2 De verwerking duurt zolang de overeenkomst tussen partijen loopt, aangevuld met de termijnen uit artikel 9.
3.3 PRO verwerkt niet meer persoonsgegevens dan nodig is om de Dienst te leveren.

Artikel 4. Vertrouwelijkheid

4.1 PRO houdt de persoonsgegevens geheim en verleent alleen toegang aan personen voor wie dat noodzakelijk is om de Dienst te leveren.
4.2 Die personen zijn tot geheimhouding verplicht, hetzij op grond van hun arbeidsovereenkomst, hetzij op grond van een afzonderlijke geheimhoudingsverklaring.
4.3 PRO raadpleegt de inhoud van uw omgeving niet, tenzij dat noodzakelijk is voor het oplossen van een storing of een vraag waarvoor u ons expliciet benadert, of tenzij een wettelijke verplichting daartoe dwingt.

Artikel 5. Beveiliging

5.1 PRO treft passende technische en organisatorische maatregelen zoals bedoeld in artikel 32 AVG. Die maatregelen staan beschreven in bijlage B en op de pagina beveiliging.
5.2 De maatregelen zijn afgestemd op de aard van de gegevens en de stand van de techniek, en kunnen worden aangepast zolang het beschermingsniveau daardoor niet daalt.
5.3 PRO beschikt op dit moment niet over een ISO 27001-certificering. Klant is daarvan uitdrukkelijk op de hoogte bij het aangaan van de overeenkomst.
5.4 Klant is zelf verantwoordelijk voor het beheer van accounts binnen zijn organisatie, voor de toekenning van rechten en voor zorgvuldig gebruik van inloggegevens.

Artikel 6. Subverwerkers

6.1 Klant geeft PRO algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat in bijlage C.
6.2 PRO legt elke subverwerker ten minste dezelfde verplichtingen op als in deze verwerkersovereenkomst zijn opgenomen.
6.3 Wil PRO een subverwerker toevoegen of vervangen, dan meldt PRO dat minimaal dertig dagen vooraf per e-mail aan het bij ons bekende contactadres. Maakt Klant binnen die termijn gemotiveerd bezwaar en komen partijen er niet uit, dan mag Klant de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat, zonder kosten.
6.4 PRO blijft jegens Klant volledig aansprakelijk voor het handelen van zijn subverwerkers.

Artikel 7. Doorgifte buiten de Europese Economische Ruimte

7.1 PRO slaat de Klantgegevens op binnen de Europese Unie en geeft ze niet door aan landen buiten de Europese Economische Ruimte.
7.2 Bij ondersteunende diensten van internationale aanbieders (zie bijlage C) kan incidentele doorgifte niet volledig worden uitgesloten. In dat geval steunt de doorgifte op een adequaatheidsbesluit van de Europese Commissie of op standaardcontractbepalingen.
7.3 Blijkt een doorgiftegrondslag te vervallen, dan zoekt PRO in overleg met Klant een alternatief of beëindigt PRO de betreffende doorgifte.

Artikel 8. Datalekken

8.1 PRO meldt een inbreuk in verband met persoonsgegevens binnen 48 uur na ontdekking aan Klant, per e-mail aan het bij ons bekende contactadres.
8.2 Die melding bevat ten minste: de aard van de inbreuk, de betrokken categorieën en aantallen personen en gegevens voor zover bekend, de waarschijnlijke gevolgen, de getroffen en voorgenomen maatregelen, en een contactpersoon voor nadere informatie.
8.3 Is nog niet alle informatie beschikbaar, dan meldt PRO wat wel bekend is en vult dat onverwijld aan.
8.4 Melden bij de Autoriteit Persoonsgegevens en het informeren van betrokkenen is de verantwoordelijkheid van Klant. PRO verleent daarbij de redelijkerwijs benodigde medewerking en doet zelf geen melding namens Klant, tenzij partijen dat afzonderlijk afspreken.
8.5 PRO houdt een registratie bij van inbreuken en stelt die op verzoek beschikbaar.

Artikel 9. Teruggave en verwijdering

9.1 Klant kan de Klantgegevens gedurende de looptijd op elk moment zelf exporteren.
9.2 Bij het einde van de overeenkomst levert PRO op verzoek een volledige export in een gangbaar, machineleesbaar formaat.
9.3 PRO verwijdert de Klantgegevens binnen dertig dagen na het einde van de overeenkomst uit de productieomgeving.
9.4 Uit back-ups verdwijnen de gegevens zodra de bewaartermijn van de betreffende back-up verstrijkt. Gedurende die periode blijven de verplichtingen uit deze overeenkomst gelden.
9.5 Rust op PRO een wettelijke bewaarplicht, dan bewaart PRO uitsluitend wat die plicht vereist en uitsluitend voor de duur ervan.

Artikel 10. Rechten van betrokkenen

10.1 Wendt een betrokkene zich rechtstreeks tot PRO met een verzoek tot inzage, correctie, verwijdering, beperking, bezwaar of overdraagbaarheid, dan verwijst PRO de betrokkene door naar Klant en informeert PRO Klant daarover.
10.2 PRO verleent Klant de redelijkerwijs benodigde medewerking om binnen de wettelijke termijnen aan zo'n verzoek te voldoen. Voor het merendeel van de verzoeken kan Klant dat zelfstandig afhandelen in de Dienst.
10.3 Vergt de medewerking meer dan beperkte inspanning, dan mag PRO daarvoor redelijke kosten in rekening brengen, na voorafgaande opgave.

Artikel 11. Medewerking en controle

11.1 PRO verleent Klant de medewerking die redelijkerwijs nodig is voor een gegevensbeschermingseffectbeoordeling (DPIA) en voor voorafgaande raadpleging van de toezichthouder.
11.2 PRO stelt Klant op verzoek de informatie beschikbaar die nodig is om aan te tonen dat aan de verplichtingen uit artikel 28 AVG wordt voldaan.
11.3 Klant mag maximaal eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden deskundige, op eigen kosten en met een aankondiging van minimaal dertig dagen. Partijen stemmen de reikwijdte vooraf af en de audit verstoort de dienstverlening niet onnodig.
11.4 Bij een gegrond vermoeden van een tekortkoming kan een audit ook tussentijds plaatsvinden, met een aankondiging van minimaal tien werkdagen.
11.5 Blijkt uit de audit een tekortkoming, dan herstelt PRO die op eigen kosten binnen een redelijke termijn.

Artikel 12. Aansprakelijkheid en slotbepalingen

12.1 De aansprakelijkheidsregeling uit de algemene voorwaarden is van overeenkomstige toepassing, met dien verstande dat dwingend recht, waaronder artikel 82 AVG, voorgaat.
12.2 Wijzigingen van deze verwerkersovereenkomst meldt PRO minimaal twee maanden vooraf. Is een wijziging in het nadeel van Klant, dan mag Klant opzeggen tegen de ingangsdatum.
12.3 Op deze verwerkersovereenkomst is Nederlands recht van toepassing.

---

Bijlage A. Wat er wordt verwerkt

Onderwerp en doel

Het leveren van PRO Planning en, indien afgenomen, PRO Team: het plannen van werk, het bewaken van deadlines en capaciteit, en het registreren van bestede tijd binnen de organisatie van Klant.

Categorieën betrokkenen

• Medewerkers, directie en ingehuurde krachten van Klant die de Dienst gebruiken of die in de planning worden opgenomen
• Contactpersonen bij cliënten of opdrachtgevers van Klant, voor zover Klant die in de Dienst vastlegt

Soorten persoonsgegevens

De Dienst is niet bedoeld voor het verwerken van bijzondere categorieën persoonsgegevens in de zin van artikel 9 AVG. Verzuim wordt uitsluitend als tijdsblok vastgelegd. Klant zorgt ervoor dat gebruikers geen gezondheids- of andere bijzondere gegevens in vrije tekstvelden invoeren.

---

Bijlage B. Beveiligingsmaatregelen

• Locatie. Alle Klantgegevens staan op servers binnen de Europese Unie, op infrastructuur die PRO zelf beheert.
• Versleuteling onderweg. Al het verkeer tussen apparaat en server verloopt via TLS.
• Toegangsbeheer. Toegang tot de productieomgeving is beperkt tot de beheerders van PRO en verloopt via sleutelauthenticatie, niet via wachtwoorden.
• Authenticatie van gebruikers. Inloggen kan via het Microsoft-werkaccount van Klant, waardoor het bestaande wachtwoord- en tweefactorbeleid van Klant van kracht blijft.
• Rechtenscheiding. Binnen de omgeving van Klant bepaalt Klant wie welke planning ziet; een medewerker ziet zijn eigen werk, een teamleider het team.
• Back-ups. Dagelijkse back-up van de database, versleuteld en gescheiden van de productieomgeving bewaard, met periodieke controle door terugzetten.
• Scheiding van omgevingen. De Dienst draait in een eigen omgeving met eigen database en eigen opslag, gescheiden van andere diensten van PRO.
• Logging. Handelingen in de applicatie worden gelogd; die logs worden 90 dagen bewaard.
• Actualiteit. Beveiligingsupdates van onderliggende software worden bijgehouden.
• Meldpunt. Kwetsbaarheden kunnen worden gemeld; PRO reageert binnen twee werkdagen en neemt geen juridische stappen tegen wie in redelijkheid meldt.

---

Bijlage C. Subverwerkers

Stand van 3 augustus 2026.

Wijzigingen in deze lijst melden wij minimaal dertig dagen vooraf, zoals beschreven in artikel 6. De actuele versie staat altijd op deze pagina.