Verwerkersovereenkomst voor consulting

Versie 0.1 · 17 oktober 2026 · Onderdelen tussen [vierkante haken] worden nog afgerond. Een ondertekenbaar exemplaar van deze overeenkomst is op verzoek verkrijgbaar via de contactpagina. De klant aanvaardt haar door het bijbehorende vakje op het contactformulier aan te vinken wanneer hij consulting aanvraagt (artikel 15).

Bij verschillen tussen de Nederlandse en de Engelse tekst geldt de Nederlandse tekst.

1. Partijen en rollen

Deze overeenkomst wordt gesloten tussen de klant die consultingwerkzaamheden bij ons afneemt (de verwerkingsverantwoordelijke) en [naam en rechtsvorm van de Matso-entiteit], KvK [KvK-nummer], [adres], Nederland (de verwerker, "wij"). Zij is van toepassing op alle persoonsgegevens die wij namens de klant verwerken bij het uitvoeren van die werkzaamheden (de opdracht). Zij geldt niet voor het gebruik van onze software; daarvoor geldt de afzonderlijke verwerkersovereenkomst.

2. Welke verwerking hieronder valt

• Onderwerp: consultingwerkzaamheden voor de klant — bijvoorbeeld het bouwen of beoordelen van rapportages, datamodellen en KPI-definities — die wij uitvoeren binnen de eigen omgeving van de klant, zoals Power BI of Microsoft Fabric.
• Duur: de looptijd van de opdracht, tot het einde van onze toegang zoals beschreven in artikel 11.
• Aard en doel: het bekijken en analyseren van gegevens en het bouwen of wijzigen van rapportages en modellen, binnen de rechten die de klant geeft aan het gastaccount (artikel 4), uitsluitend om de opdracht uit te voeren.
• Soorten persoonsgegevens: de persoonsgegevens in het deel van de omgeving van de klant waartoe het gastaccount toegang heeft — bijvoorbeeld namen, zakelijke e-mailadressen en rollen van de mensen van de klant, en persoonsgegevens in de datasets achter de rapportages. De klant bepaalt die inhoud en bepaalt waartoe het gastaccount toegang heeft.
• Categorieën van betrokkenen: de medewerkers van de klant en andere gebruikers van zijn omgeving; en personen van wie de klant gegevens bewaart in de datasets waarmee wij werken.

3. Instructies

Wij verwerken persoonsgegevens uitsluitend op basis van schriftelijke instructies van de klant: zijn verzoek om de opdracht en zijn latere schriftelijke instructies (e-mail volstaat). Wij gebruiken de gegevens alleen om de opdracht uit te voeren, niet voor eigen doeleinden. Wij stellen de klant op de hoogte als een instructie naar ons oordeel inbreuk maakt op de AVG of op andere toepasselijke wetgeving inzake gegevensbescherming.

4. Werken in de omgeving van de klant

• Wij werken uitsluitend binnen de eigen omgeving van de klant, via een gastaccount op naam van de persoon die aan de opdracht werkt (het gastaccount), dat de klant aanmaakt en beheert. De klant bepaalt wat het gastaccount mag zien en doen en kan het op elk moment blokkeren of verwijderen.
• Er verlaten geen kopieën of uittreksels van persoonsgegevens de omgeving van de klant — niet naar onze eigen apparaten, niet naar onze eigen systemen en niet naar elders — behalve wat de klant ons schriftelijk vraagt te maken.
• Een kopie waar de klant schriftelijk om vraagt, wordt alleen voor de opdracht gebruikt en aan het einde van de opdracht verwijderd (artikel 11).

5. Geheimhouding

Iedereen die onder ons gezag aan de opdracht werkt, is gebonden aan een geheimhoudingsplicht en heeft alleen toegang tot persoonsgegevens voor zover dat voor de opdracht nodig is. Wij raadplegen persoonsgegevens in de omgeving van de klant uitsluitend om de opdracht uit te voeren of wanneer de wet dat vereist.

6. Beveiliging (artikel 32)

Wij treffen passende technische en organisatorische maatregelen voor onze toegang tot de omgeving van de klant. Wij volgen de beveiligingsinstellingen die de omgeving van de klant op het gastaccount toepast, bijvoorbeeld meerfactorauthenticatie. Op de beveiligingspagina staat hoe wij met toegang tot de omgeving van de klant omgaan.

7. Subverwerkers

Wij schakelen voor consultingwerkzaamheden geen subverwerkers in; daarom is er geen vermeld. Wij kondigen elke voorgenomen toevoeging ten minste 30 dagen van tevoren aan, zodat de klant daartegen bezwaar kan maken. De platforms waarop de omgeving van de klant draait en de eigen leveranciers van de klant zijn niet onze subverwerkers.

8. Rechten van betrokkenen

Als een betrokkene rechtstreeks contact met ons opneemt over gegevens die wij voor de klant verwerken, sturen wij het verzoek zonder onredelijke vertraging door naar de klant. Rekening houdend met de aard van de verwerking helpen wij de klant met passende maatregelen; omdat de gegevens in de omgeving van de klant blijven, vormen de eigen hulpmiddelen van de klant de eerste lijn van die bijstand.

9. Datalekken (inbreuken in verband met persoonsgegevens)

Wij informeren de klant zonder onredelijke vertraging nadat wij kennis hebben genomen van een inbreuk in verband met persoonsgegevens die de gegevens van de klant betreft, en verstrekken de informatie die de klant redelijkerwijs nodig heeft voor zijn eigen meldplichten op grond van de artikelen 33 en 34 AVG: de aard van de inbreuk, de betrokken categorieën en geschatte aantallen, de waarschijnlijke gevolgen en de genomen maatregelen.

10. Bijstand bij DPIA's

Wij verlenen redelijke bijstand bij gegevensbeschermingseffectbeoordelingen (DPIA's) en bij voorafgaande raadplegingen van de toezichthoudende autoriteit, voor zover die betrekking hebben op de verwerking in de opdracht.

11. Einde van de opdracht

Aan het einde van de opdracht, of eerder als de klant erom vraagt, eindigt onze toegang: wij stoppen met het gebruik van het gastaccount en geven het terug aan de klant, die het verwijdert. Wij verwijderen elke kopie die op schriftelijk verzoek van de klant is gemaakt. Op verzoek bevestigen wij schriftelijk dat de toegang is beëindigd en dat de kopieën zijn verwijderd.

12. Audits

Wij stellen de informatie beschikbaar die redelijkerwijs nodig is om aan te tonen dat deze overeenkomst wordt nageleefd. De klant mag de naleving ten hoogste eenmaal per jaar controleren, na een aankondiging van 30 dagen, tijdens kantooruren, zonder de bedrijfsvoering te verstoren, op eigen kosten en onder geheimhouding. Wij mogen aan een auditverzoek voldoen met een recent onafhankelijk rapport, als dat er is.

13. Internationale doorgifte

Persoonsgegevens blijven in de eigen omgeving van de klant, en de klant bepaalt waar die omgeving wordt gehost. Wij geven persoonsgegevens alleen door aan een land buiten de EER — ook door ze vanuit zo'n land te raadplegen — op schriftelijke instructie van de klant.

14. Aansprakelijkheid en toepasselijk recht

De aansprakelijkheid onder deze overeenkomst volgt de aansprakelijkheidsbepalingen die voor de opdracht schriftelijk zijn overeengekomen. Op deze overeenkomst is Nederlands recht van toepassing; geschillen worden voorgelegd aan de bevoegde rechter te [Amsterdam].

15. Aanvaarding en versies

De klant aanvaardt deze overeenkomst door het bijbehorende vakje op het contactformulier aan te vinken wanneer hij consulting aanvraagt, of door een exemplaar te ondertekenen. Wie het vakje aanvinkt, bevestigt dat hij of zij namens de klant mag aanvaarden. Wij leggen de aanvaarde versie vast bij het verzoek. Een latere versie geldt alleen voor een opdracht waarvoor de klant die aanvaardt.