Verwerkersovereenkomst

Versie 0.3 · 14 oktober 2026 · Onderdelen tussen [vierkante haken] worden nog afgerond. Een ondertekenbaar exemplaar van deze overeenkomst is op verzoek verkrijgbaar via de contactpagina; het maakt deel uit van elke pilotovereenkomst.

Bij verschillen tussen de Nederlandse en de Engelse tekst geldt de Nederlandse tekst.

1. Partijen en rollen

Deze overeenkomst wordt gesloten tussen de klant die Normly gebruikt (de verwerkingsverantwoordelijke) en [naam en rechtsvorm van de Matso-entiteit], KvK [KvK-nummer], [adres], Nederland (de verwerker, "wij"). Zij is van toepassing op alle persoonsgegevens die wij bij het leveren van Normly namens de klant verwerken.

2. Welke verwerking hieronder valt

• Onderwerp: het leveren van de dienst Normly — een werkomgeving voor het invoeren, valideren en goedkeuren van zakelijke referentiegegevens.
• Duur: de looptijd van de pilot- of dienstverleningsovereenkomst, vermeerderd met de verwijderingstermijn uit artikel 10.
• Aard en doel: het hosten, opslaan, weergeven en valideren van gegevens die de gebruikers van de klant invoeren, en het uitvoeren van goedkeuringsworkflows over die gegevens.
• Soorten persoonsgegevens: accountgegevens van de gebruikers van de klant (naam, zakelijk e-mailadres, toegewezen rollen en de audittrail van wie gegevens heeft ingevoerd of goedgekeurd); en alle persoonsgegevens die de klant ervoor kiest in zijn tabellen op te slaan — de klant bepaalt die inhoud.
• Categorieën van betrokkenen: de medewerkers van de klant en andere gebruikers die hij uitnodigt; en personen van wie de klant gegevens in zijn tabellen opslaat.

3. Instructies

Wij verwerken persoonsgegevens uitsluitend op basis van schriftelijke instructies van de klant. Normaal gebruik van de dienst geldt als die instructies. Wij stellen de klant op de hoogte als een instructie naar ons oordeel inbreuk maakt op de AVG of op andere toepasselijke wetgeving inzake gegevensbescherming.

4. Geheimhouding

Alleen personen die onder ons gezag handelen en aan een geheimhoudingsplicht zijn gebonden, hebben toegang tot persoonsgegevens, en alleen voor zover dat nodig is om de dienst te leveren en te ondersteunen. Wij raadplegen de tabelgegevens van de klant niet, behalve voor ondersteuning met toestemming van de klant of wanneer de wet dat vereist.

5. Beveiliging (artikel 32)

Wij treffen de technische en organisatorische maatregelen die zijn beschreven op de beveiligingspagina, die wij actueel houden naarmate de maatregelen zich ontwikkelen. Daartoe behoren TLS-versleuteling tijdens transport, op rollen gebaseerde toegang met gescheiden rechten voor invoer en goedkeuring, en afscherming per bedrijf (tenant-isolatie).

6. Subverwerkers

De klant geeft toestemming voor de inschakeling van de hieronder genoemde subverwerkers. Wij kondigen elke voorgenomen toevoeging of vervanging ten minste 30 dagen van tevoren aan, zodat de klant daartegen bezwaar kan maken. De dienst en de database draaien op onze eigen server in het eigen gebouw van Matso in Nederland; daarom is er geen subverwerker voor hosting vermeld.

7. Rechten van betrokkenen

Als een betrokkene rechtstreeks contact met ons opneemt over gegevens die wij voor de klant verwerken, sturen wij het verzoek zonder onredelijke vertraging door naar de klant. Rekening houdend met de aard van de verwerking helpen wij de klant met passende maatregelen — de eigen export-, correctie- en verwijderfuncties van het product vormen de eerste lijn van die bijstand.

8. Datalekken (inbreuken in verband met persoonsgegevens)

Wij informeren de klant zonder onredelijke vertraging nadat wij kennis hebben genomen van een inbreuk in verband met persoonsgegevens die de gegevens van de klant betreft, en verstrekken de informatie die de klant redelijkerwijs nodig heeft voor zijn eigen meldplichten op grond van de artikelen 33 en 34 AVG: de aard van de inbreuk, de betrokken categorieën en geschatte aantallen, de waarschijnlijke gevolgen en de genomen maatregelen.

9. Bijstand bij DPIA's

Wij verlenen redelijke bijstand bij gegevensbeschermingseffectbeoordelingen (DPIA's) en bij voorafgaande raadplegingen van de toezichthoudende autoriteit, voor zover die betrekking hebben op de verwerking in Normly.

10. Verwijdering en teruggave

Tijdens de looptijd van de overeenkomst kan de klant zijn gegevens op elk moment exporteren. Na beëindiging heeft de klant 30 dagen om te exporteren; daarna verwijderen wij de persoonsgegevens van de klant binnen 30 dagen. Op verzoek bevestigen wij de verwijdering schriftelijk.

11. Audits

Wij stellen de informatie beschikbaar die redelijkerwijs nodig is om aan te tonen dat deze overeenkomst wordt nageleefd. De klant mag de naleving ten hoogste eenmaal per jaar controleren, na een aankondiging van 30 dagen, tijdens kantooruren, zonder de bedrijfsvoering te verstoren, op eigen kosten en onder geheimhouding. Wij mogen aan een auditverzoek voldoen met een recent onafhankelijk rapport, als dat er is.

12. Internationale doorgifte

Gegevens worden uitsluitend opgeslagen op onze eigen servers in Nederland. Het verkeer loopt via het netwerk van Cloudflare, dat het buiten de EER kan verwerken met de waarborgen die in artikel 6 zijn genoemd.

13. Aansprakelijkheid en toepasselijk recht

De aansprakelijkheid onder deze overeenkomst volgt de aansprakelijkheidsbepalingen van de servicevoorwaarden of de ondertekende pilotovereenkomst. Op deze overeenkomst is Nederlands recht van toepassing; geschillen worden voorgelegd aan de bevoegde rechter te [Amsterdam].