Verwerkersovereenkomst

Gepubliceerd contractueel kader. Dit kader geldt voor een klant pas wanneer het is opgenomen in de aanvaarde schriftelijke overeenkomst en aangevuld met de verwerkingen, waarborgen en toegestane leveranciers van dat project. De beschikbaarheid op deze website betekent op zichzelf niet dat een overeenkomst is gesloten.

Webility SRL, Welleplein 12, 9473 Welle, België, ondernemingsnummer 1026.663.836, btw BE1026663836, treedt op als verwerker wanneer zij persoonsgegevens verwerkt op gedocumenteerde instructies van een klant. Dit kader regelt die diensten volgens artikel 28 AVG en het toepasselijke Belgische gegevensbeschermingsrecht. De eigen website, werving en bedrijfsadministratie van Webility vallen onder het Privacybeleid.

1. Rollen van de partijen

Voor persoonsgegevens die worden verwerkt om diensten aan de klant te leveren:

Partij	Rol volgens de AVG	Omvang
Klant	Verwerkingsverantwoordelijke	Bepaalt de doelen en rechtsgrond voor de verwerking van persoonsgegevens die aan Webility worden verstrekt.
Webility	Verwerker	Verwerkt persoonsgegevens uitsluitend om de afgesproken diensten te leveren en de gedocumenteerde instructies van de Klant te volgen.
Subverwerkers van Webility	Subverwerkers	Verwerken persoonsgegevens alleen wanneer zij onder deze overeenkomst zijn ingeschakeld en gebonden zijn aan schriftelijke gegevensbeschermingsvoorwaarden.

Webility blijft een zelfstandige verwerkingsverantwoordelijke voor de eigen bedrijfsadministratie, waaronder facturatie, leveranciersbeheer, wettelijke verplichtingen, websitestatistieken en rechtstreekse communicatie met zakelijke contacten. Die activiteiten vallen onder ons Privacybeleid.

2. Samenhang en voorrang van afspraken

Deze verwerkersovereenkomst vult de toepasselijke commerciële overeenkomst aan, waaronder een voorstel, opdrachtomschrijving, algemene voorwaarden, hostingovereenkomst of ondersteuningsovereenkomst.

Bij tegenstrijdigheid geldt:

Deze overeenkomst gaat voor bij gegevensbeschermingsverplichtingen voor diensten als verwerker.
De ondertekende commerciële overeenkomst gaat voor inzake commerciële omvang, prijzen, levering, betaling en aansprakelijkheid, tenzij zij uitdrukkelijk anders bepaalt.
Een strengere schriftelijke instructie die beide partijen goedkeuren, gaat voor bij de specifieke verwerking waarop zij betrekking heeft.

3. Beschrijving van de verwerking

Het onderwerp, de duur, de aard, het doel, de categorieën persoonsgegevens en de categorieën betrokkenen staan in bijlage A.

Webility verwerkt niet bewust bijzondere categorieën persoonsgegevens, gegevens over strafbare feiten, gezondheidsgegevens, gegevens van kinderen of zeer gevoelige financiële gegevens, tenzij de Klant deze duidelijk schriftelijk benoemt en Webility de verwerking aanvaardt in de toepasselijke opdrachtomschrijving of schriftelijke instructie.

4. Instructies van de Klant

Webility verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructies van de Klant, waaronder instructies in de commerciële overeenkomst, projecttickets, intakeformulieren, ondersteuningsvragen, e-mails en goedgekeurde systeeminstellingen.

Webility verkoopt geen persoonsgegevens van de Klant en gebruikt ze niet voor niet-gerelateerde reclame of voor het trainen van openbare AI-modellen, tenzij de Klant uitdrukkelijk schriftelijk toestemming geeft voor een specifieke toepassing.

Als Webility meent dat een instructie in strijd is met de AVG, het Belgische gegevensbeschermingsrecht of ander toepasselijk gegevensbeschermingsrecht van de EU of een lidstaat, informeert zij de Klant zonder onnodige vertraging, tenzij dat wettelijk verboden is.

5. Verantwoordelijkheden van de Klant

De Klant is verantwoordelijk voor:

Een rechtsgrond voor het verzamelen en delen van persoonsgegevens met Webility.
Het verstrekken van de vereiste privacyinformatie aan betrokkenen.
De juistheid, relevantie en beperking tot het noodzakelijke van de aangeleverde persoonsgegevens.
Duidelijke instructies en een tijdig antwoord op gegevensbeschermingsvragen van Webility.
Passende beveiliging van accounts, apparaten, wachtwoorden en beheerders onder zijn controle.
Het beoordelen en goedkeuren van privacy- en cookieverklaringen, toestemmingsinstellingen en website-inhoud vóór publicatie.

6. Vertrouwelijkheid

Webility zorgt ervoor dat personen die persoonsgegevens mogen verwerken, gebonden zijn aan geheimhoudingsverplichtingen of een passende wettelijke geheimhoudingsplicht.

Toegang tot persoonsgegevens is beperkt tot medewerkers, opdrachtnemers en subverwerkers die die toegang nodig hebben om de afgesproken diensten te leveren.

7. Beveiligingsmaatregelen

Webility treft passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, verlies, wijziging, ongeoorloofde verstrekking of toegang.

De huidige beveiligingsmaatregelen staan in bijlage B. De maatregelen kunnen veranderen, zolang zij het algemene beschermingsniveau van persoonsgegevens niet wezenlijk verminderen.

8. Subverwerkers

De aanvaarde projectbijlage vermeldt elke toegestane subverwerker en of de toestemming specifiek of algemeen is. Een leverancierscategorie alleen geeft geen toestemming voor een niet-geïdentificeerde leverancier. Bij algemene schriftelijke toestemming meldt Webility voorgenomen toevoegingen of vervangingen vooraf, zodat de Klant bezwaar kan maken voordat de nieuwe leverancier de betrokken gegevens verwerkt.

Webility zal:

Subverwerkers uitsluitend gebruiken voor dienstverlening, ondersteuning, infrastructuur, samenwerking, communicatie, statistieken, betaling, hosting, AI of gespecialiseerde implementatietaken.
Hun schriftelijk gegevensbeschermingsverplichtingen opleggen die inhoudelijk gelijkwaardig zijn aan deze overeenkomst.
Tegenover de Klant verantwoordelijk blijven voor de uitvoering van de gegevensbeschermingsverplichtingen van subverwerkers.
Het projectspecifieke register met de namen van subverwerkers in bijlage C actueel houden.
De aangewezen contactpersoon van de Klant rechtstreeks schriftelijk informeren over voorgenomen toevoegingen of vervangingen, met hun identiteit, rol, locatie en toepasselijke waarborgen.

De Klant kan binnen 10 werkdagen na ontvangst van de kennisgeving op redelijke gegevensbeschermingsgronden bezwaar maken tegen een nieuwe subverwerker. Partijen zoeken te goeder trouw naar een oplossing. Als het bezwaar redelijkerwijs niet kan worden opgelost, mag Webility de betrokken dienst zonder boete opschorten of beëindigen. Een eventuele terugbetaling wordt volgens de toepasselijke commerciële overeenkomst afgehandeld.

9. Internationale doorgiften

Voor klantprojecten kunnen wij hosting uitsluitend binnen de EU/EER regelen wanneer dat nodig is. Vóór de verwerking leggen de definitieve opdracht en verwerkersbijlage de gekozen leveranciers, locaties, back-ups, supporttoegang, doorgiftewaarborgen en geografische beperkingen vast. Wij kiezen een leverancier en configuratie die bij die afspraken passen; zulke beperkingen gelden niet automatisch voor elke dienst.

Bij doorgifte van persoonsgegevens buiten de EU of EER gebruikt Webility een passend doorgiftemechanisme, zoals:

Een adequaatheidsbesluit dat door de Europese Commissie is erkend.
Door de Europese Commissie goedgekeurde standaardcontractbepalingen.
Het EU–US Data Privacy Framework, waar van toepassing.
Een ander rechtmatig doorgiftemechanisme dat de AVG toestaat.

De Klant machtigt Webility om namens hem doorgiftewaarborgen met subverwerkers overeen te komen wanneer dat nodig is voor de dienstverlening.

10. Verzoeken van betrokkenen

Rekening houdend met de aard van de verwerking biedt Webility redelijke ondersteuning aan de Klant bij verzoeken van betrokkenen die hun AVG-rechten uitoefenen, waaronder inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar en intrekking van toestemming.

Als een betrokkene Webility rechtstreeks benadert over persoonsgegevens die namens de Klant worden verwerkt, stuurt Webility het verzoek door naar de Klant of verwijst zij de betrokkene naar de Klant, voor zover wettelijk toegestaan.

11. Beveiligingsincidenten en inbreuken in verband met persoonsgegevens

Webility informeert de Klant zonder onnodige vertraging nadat zij kennis heeft genomen van een inbreuk op persoonsgegevens die namens de Klant worden verwerkt. De eerste informatie wordt snel verstrekt en waar nodig in fasen aangevuld. Interne bevestigingsprocedures mogen de melding niet uitstellen nadat een inbreuk bekend is geworden.

De melding bevat de informatie die Webility redelijkerwijs beschikbaar heeft, zoals:

De aard van de inbreuk.
De betrokken categorieën gegevens en personen, voor zover bekend.
De waarschijnlijke gevolgen, voor zover bekend.
De genomen of voorgestelde maatregelen om de inbreuk aan te pakken en de gevolgen te beperken.
Een contactpunt voor verdere vragen.

Webility kan informatie in fasen verstrekken als volledige details niet meteen beschikbaar zijn. De Klant blijft verantwoordelijk voor de beoordeling of een melding aan een toezichthouder of betrokkenen wettelijk verplicht is.

12. Ondersteuning bij naleving

Rekening houdend met de aard van de verwerking en de beschikbare informatie biedt Webility redelijke ondersteuning bij de naleving door de Klant van de AVG-artikelen 32 tot en met 36. Dit omvat beveiliging, beoordeling van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van een toezichthouder waar vereist.

Ondersteuning buiten de normale dienstomvang kan tegen de op dat moment geldende professionele tarieven van Webility worden aangerekend, tenzij zij nodig is door een tekortkoming van Webility onder deze overeenkomst.

13. Teruggave en verwijdering van persoonsgegevens

Na afloop van de diensten geeft Webility de namens de Klant verwerkte persoonsgegevens naar diens keuze terug of verwijdert zij deze, tenzij het toepasselijke recht bewaring vereist.

Tenzij de opdracht uitdrukkelijk een ander rechtmatig schema vastlegt, kiest de Klant uiterlijk bij het einde van de dienst voor teruggave of verwijdering. Webility levert de afgesproken standaardexport binnen 30 dagen en verwijdert actieve verwerkerskopieën binnen 30 dagen na bevestigde overdracht of verwijderingsinstructie. Beschermde resterende back-ups vervallen binnen 90 dagen na actieve verwijdering; een leveranciersbeperking die een andere termijn vereist wordt vóór de verwerking meegedeeld en overeengekomen. Zonder instructies vraagt Webility erom en bewaart zij de gegevens veilig, zonder verder gebruik, totdat de keuze is opgelost. Wettelijke uitzonderingen blijven beperkt tot noodzakelijke stukken en worden apart vastgelegd.

Wanneer EU-recht of het recht van een lidstaat bewaring vereist, benoemt Webility die verplichting en beperkt zij toegang en gebruik tot dat doel. Back-ups blijven beschermd en worden volgens de afgesproken, gedocumenteerde cyclus verwijderd. Zij worden niet opnieuw voor normaal gebruik ingezet, behalve voor noodzakelijk herstel, waarna de verwijderinstructie opnieuw wordt toegepast. Niet-gerelateerde bewaring voor het eigen gemak van Webility is niet toegestaan. Onafhankelijk verplichte bedrijfsdocumenten worden onderscheiden van de gegevens die voor de Klant worden verwerkt.

14. Informatie- en auditrechten

Webility stelt informatie beschikbaar die redelijkerwijs nodig is om naleving van deze overeenkomst aan te tonen.

Webility staat audits, waaronder inspecties, door de Klant of een door hem gemachtigde auditor toe en werkt eraan mee. Praktische afspraken mogen de informatie- en auditrechten van artikel 28 AVG niet verhinderen.

Audits moeten:

Schriftelijk ten minste 30 dagen vooraf worden aangevraagd, behalve in dringende omstandigheden.
Tijdens normale kantooruren plaatsvinden.
Verstoring van Webility en andere klanten vermijden.
Vertrouwelijke, beveiligingsgevoelige en aan derden toebehorende informatie beschermen.
Worden uitgevoerd door de Klant of een onafhankelijke auditor die aan geheimhouding is gebonden.

Partijen kunnen waar passend vragenlijsten, controlebewijzen, rapporten van derden of beoordelingen op afstand gebruiken, zonder een noodzakelijk inspectierecht weg te nemen. Webility informeert de Klant snel wanneer een instructie in strijd lijkt met toepasselijk gegevensbeschermingsrecht.

15. AI en geautomatiseerde hulpmiddelen

Webility kan AI-hulpmiddelen gebruiken ter ondersteuning van schrijven, ontwerp, ontwikkeling, ondersteuning, statistieken en automatisering, zoals beschreven in het Beleid voor AI en gegevens.

Webility verstrekt geen persoonsgegevens onder controle van de Klant aan AI-leveranciers, tenzij:

De Klant de verwerking heeft toegestaan via de projectomvang, een schriftelijke instructie of de systeeminstellingen.
Het gebruik noodzakelijk is voor de afgesproken dienst met AI.
Passende contractuele en doorgiftewaarborgen aanwezig zijn waar vereist.

De Klant mag geen gevoelige persoonsgegevens voor AI-verwerking aanleveren, tenzij dit gebruik uitdrukkelijk schriftelijk is goedgekeurd.

16. Aansprakelijkheid

Elke partij blijft aansprakelijk voor haar eigen verplichtingen onder de AVG en het toepasselijke gegevensbeschermingsrecht.

Tenzij een ondertekende overeenkomst anders bepaalt, is de aansprakelijkheid onder deze overeenkomst onderworpen aan de beperkingen, uitsluitingen en rechtsmiddelen in de toepasselijke commerciële overeenkomst tussen partijen.

Niets in deze overeenkomst beperkt aansprakelijkheid waar het toepasselijke recht dat verbiedt.

17. Kennisgevingen en contact

Kennisgevingen over gegevensbescherming onder deze overeenkomst worden gericht aan:

Webility SRL

Welleplein 12, 9473 Welle, België E-mail: legal@webility.be

De Klant vermeldt zijn contactpersoon voor gegevensbescherming in de projectovereenkomst, het intakeformulier of een schriftelijke instructie.

18. Toepasselijk recht

Op deze overeenkomst is Belgisch recht van toepassing. De rechtbanken van Brussel zijn bevoegd, tenzij dwingend gegevensbeschermingsrecht een betrokkene of toezichthouder een ander recht of een andere bevoegde instantie toekent.

Bijlage A — Beschrijving van de verwerking

Onderdeel	Beschrijving
Onderwerp	Levering van websites, SEO, hosting, automatisering, AI, statistieken, onderhoud, ondersteuning en digitale diensten aan de Klant.
Duur	De looptijd van de toepasselijke dienstenovereenkomst, vermeerderd met noodzakelijke bewaartermijnen voor back-ups, overdracht, wettelijke, fiscale, boekhoudkundige of geschildoeleinden.
Aard van de verwerking	Verzamelen, vastleggen, ordenen, structureren, opslaan, aanpassen, opvragen, raadplegen, gebruiken, doorgeven, hosten, toegang voor ondersteuning, testen, verwijderen en teruggeven.
Doel	Diensten aan de Klant leveren, verbeteren, beveiligen, ondersteunen, hosten, onderhouden en documenteren.
Betrokkenen	Medewerkers en gebruikers van de Klant, websitebezoekers, prospects, klanten, leveranciers, opdrachtnemers, sollicitanten en andere personen van wie de Klant gegevens verstrekt of toegankelijk maakt.
Categorieën persoonsgegevens	Namen, e-mailadressen, telefoonnummers, bedrijfsgegevens, functietitels, websiteformulieren, ondersteuningsberichten, projectinhoud, accountidentificatoren, IP-adressen, statistiekevents, CRM- of marketinggegevens en andere persoonsgegevens in systemen of inhoud van de Klant.
Bijzondere categorieën	Niet voorzien, tenzij uitdrukkelijk schriftelijk goedgekeurd.
Verwerkingslocaties	Vastgelegd in de aanvaarde opdracht: leveranciers, regio’s, toegang, back-ups en doorgiftewaarborgen; uitsluitend EU/EER waar uitdrukkelijk afgesproken.

Bijlage B — Technische en organisatorische maatregelen

Controlegebied	Maatregelen
Toegangscontrole	Toegang volgens het beginsel van minimale rechten, waar praktisch persoonlijke accounts, een wachtwoordmanager, sterke wachtwoorden en multifactorauthenticatie waar ondersteund.
Vertrouwelijkheid	Geheimhoudingsverplichtingen voor medewerkers en opdrachtnemers met toegang tot persoonsgegevens van de Klant.
Versleuteling	TLS voor gegevens tijdens transport waar ondersteund; versleuteling bij opslag waar de hosting-, cloud-, database-, opslag- of SaaS-leverancier dit biedt.
Omgaan met inloggegevens	Inloggegevens van de Klant worden alleen in goedgekeurde veilige systemen bewaard en waar vermijdbaar niet in leesbare vorm via chat gedeeld.
Hosting en infrastructuur	Gebruik van betrouwbare hosting- en cloudleveranciers met gedocumenteerde beveiligingsmaatregelen die bij de dienst passen.
Back-ups en herstel	Back-up- en herstelpraktijken passend bij het overeengekomen hosting- of onderhoudsplan.
Logging en monitoring	Beveiligings- en operationele logs waar het platform dit ondersteunt, met beperkte operationele bewaartermijnen.
Wijzigingsbeheer	Project-, deployment- en configuratiewijzigingen via gecontroleerde werkwijzen die bij de opdracht passen.
Kwetsbaarheidsbeheer	Updates, beoordeling van afhankelijkheden en herstelmaatregelen passend bij het onderhouds- en ondersteuningscontract.
Incidentafhandeling	Interne beoordeling, inperking, onderzoek, communicatie en herstel bij vermoedelijke beveiligingsincidenten.
Gegevensminimalisatie	Beperking tot persoonsgegevens die nodig zijn voor de afgesproken diensten waar Webility de implementatie beheert.
Beoordeling van subverwerkers	Commercieel redelijke beoordeling op basis van de gevoeligheid van de dienst, beschikbare documentatie en gegevensbeschermingsvoorwaarden.
Afvoer van gegevens	Verwijdering, teruggave of archivering van klantgegevens volgens de commerciële overeenkomst, schriftelijke instructies en het toepasselijke recht.

Bijlage C — Projectspecifiek register van subverwerkers

Vóór de verwerking begint, vermeldt de aanvaarde bijlage elke leverancier, zijn rechtspersoon, dienst, betrokken gegevens, verwerkingslanden, datum van toestemming en eventuele waarborgen voor internationale doorgifte. De volgende categorieën helpen bij het opstellen van dat register; zij zijn geen algemene toestemming of bewijs dat elke vermelde dienst wordt gebruikt:

Categorie	Gebruikelijk doel
Vercel, Hostinger, One.com — hosting	Websitehosting, databases, bestandsopslag, back-ups, contentlevering, DNS, deployment en monitoring.
E-mail en samenwerking	Projectcommunicatie, gedeelde documenten, agenda’s, interne notities en klantondersteuning.
Supabase	Afgeschermde projectstartformulieren, uitnodigingen, status van de verzendwachtrij en auditevents.
Resend	Projectstartmeldingen, ontvangstbevestigingen voor klanten, events over geweigerde e-mails en klachten.
Statistiek- en prestatietools	Websitestatistieken, diagnose, monitoring, SEO-metingen en prestatierapporten.
Betaling en facturatie	Betalingsverwerking, facturatie, boekhoudexports en financiële administratie.
Elektronische ondertekening en contracten	Voorstellen, contracten en goedkeuringsprocessen.
AI-leveranciers	Diensten met AI, ondersteuning bij inhoud en code, automatisering, classificatie, samenvattingen of door de Klant goedgekeurde AI-verwerkingen.
Gespecialiseerde opdrachtnemers	Ontwerp, ontwikkeling, SEO, tekst, beveiliging, ondersteuning of implementatie onder geheimhoudings- en gegevensbeschermingsverplichtingen.
Klantondersteuning en ticketing	Ontvangst en opvolging van ondersteuningsvragen, statusupdates en onderhoudscommunicatie.

Het ingevulde register wordt bij de projectovereenkomst verstrekt en blijft voor de Klant beschikbaar. Wijzigingen volgen artikel 8. Algemene verklaringen van leveranciers bewijzen niet dat een bepaald account een verwerkersovereenkomst heeft aanvaard of aan een doorgiftemechanisme voldoet.

Versiegeschiedenis

Versie	Datum	Samenvatting
v1.2	2026-10-16	Goedgekeurd kader: hostingkeuzes, projectwaarborgen en standaard exitplanning.

De projectbijlage invullen vóór ondertekening

Het ondertekende projectdossier vermeldt de juridische identiteit en privacycontactpersoon van de Klant; de dienst en duur; de werkelijke handelingen en doelen; de betrokken personen en gegevenscategorieën; goedgekeurde systemen en benoemde leveranciers; verwerkingslocaties en doorgiftewaarborgen; toegangsrollen en vertrouwelijkheid; beveiligingsmaatregelen en incidentcontacten; en het tijdschema voor teruggave, verwijdering en back-ups. Gevoelige gegevens, AI-verwerking en extra ontvangers vereisen een expliciete afbakening en instructies.

Bijlagen A en B zijn een kader dat aan deze feiten moet worden aangepast, geen bewijs dat elke maatregel is ingevoerd. Neem contact op via legal@webility.be om de toepasselijke bijlage voor te bereiden of te beoordelen. Publicatie maakt een websitebezoeker geen partij bij een verwerkersovereenkomst.