Verwerkersovereenkomst

Versie 3 · 27 okt 2026

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van GunningRadar. Zij geldt zodra u die voorwaarden accepteert. U hoeft niets te tekenen. Wilt u toch een ondertekend exemplaar voor uw administratie? Mail dan naar info@gunningradar.nl met de naam van uw bedrijf. Wij sturen u dan een ondertekende pdf van deze tekst.

Wanneer geldt deze overeenkomst?

Voor de meeste gegevens in GunningRadar zijn wij zelf verantwoordelijk. Denk aan uw account, uw inloggegevens, uw abonnement en de facturen. Dat staat in de privacyverklaring. Ook de aanbestedingsdata (winnaars, opdrachtgevers, contactgegevens van bedrijven) is van ons; daarvoor zijn wij verantwoordelijk.

Soms zet u zelf persoonsgegevens in GunningRadar. U bepaalt dan wat erin komt en waarom. Dan bent u verwerkingsverantwoordelijke en zijn wij verwerker. Voor die gegevens geldt deze overeenkomst. Het gaat om:

e-mailadressen van collega's die u uitnodigt als gebruiker, en het beheer van hun toegang;
uw eigen lijsten, zoals volglijsten en zoekprofielen, als daar gegevens van personen in staan (bijvoorbeeld een eenmanszaak die u volgt);
andere gegevens over personen die u zelf in GunningRadar invoert of uploadt, ook via functies die later bijkomen, zoals notities of een import van een lijst uit uw CRM.

Exporteert u gegevens uit GunningRadar naar uw eigen systemen (bijvoorbeeld HubSpot of Pipedrive), dan bent u voor die kopie zelf verantwoordelijk. Zie artikel 11a van de algemene voorwaarden.

1. Partijen

Verwerker: State of the Art, eenmanszaak van Wietse Stienstra, handelend onder de naam GunningRadar, Van Slingelandtstraat 7, 9716 GJ Groningen, KvK 02067482. Hierna: "wij".
Verwerkingsverantwoordelijke: de klant die de algemene voorwaarden van GunningRadar heeft geaccepteerd. Hierna: "u".

2. Begrippen

Wij gebruiken de begrippen uit de Algemene verordening gegevensbescherming (AVG, Verordening (EU) 2016/679). Verder betekent:

Persoonsgegevens: de persoonsgegevens die wij voor u verwerken, zoals beschreven in artikel 5 en 6.
Hoofdovereenkomst: de overeenkomst tussen u en ons over het gebruik van GunningRadar, met de algemene voorwaarden.
Sub-verwerker: een andere partij die wij inschakelen en die daarbij persoonsgegevens voor u verwerkt.
Datalek: een inbreuk in verband met persoonsgegevens (artikel 4 punt 12 AVG).
Schriftelijk: ook per e-mail.

3. Onderwerp

Wij verwerken de persoonsgegevens alleen om GunningRadar aan u te leveren, zoals in de hoofdovereenkomst staat.
Wij gebruiken de persoonsgegevens niet voor eigen doelen. Wij verkopen ze niet en geven ze niet aan anderen, behalve aan de sub-verwerkers uit artikel 10 of als de wet ons dat verplicht.

4. Duur

Deze overeenkomst loopt zolang wij persoonsgegevens voor u verwerken. Dat is zolang u een account bij GunningRadar hebt, en daarna tot wij de gegevens hebben teruggegeven of gewist (artikel 16).
U kunt deze overeenkomst niet los van de hoofdovereenkomst opzeggen. Artikel 10 lid 5 is een uitzondering.

5. Aard en doel van de verwerking

Aard: opslaan, ordenen, tonen, doorzoeken, per e-mail versturen (bijvoorbeeld een uitnodiging), een back-up maken en wissen.
Doel: u en uw gebruikers toegang geven tot GunningRadar, uw eigen lijsten bewaren en tonen, en de gegevens veilig bewaren.

6. Soorten persoonsgegevens en betrokkenen

Soorten persoonsgegevens: e-mailadressen van gebruikers en uitgenodigde collega's; gegevens over hun toegang (rol, datum van uitnodiging en acceptatie); namen, adressen en bedrijfsgegevens van personen in uw eigen lijsten; en andere gegevens die u zelf invoert.
Betrokkenen: uw medewerkers en collega's die u uitnodigt; personen over wie u zelf gegevens invoert, zoals zakelijke contactpersonen of eenmanszaken.
GunningRadar is niet bedoeld voor bijzondere persoonsgegevens (zoals gezondheid of godsdienst), strafrechtelijke gegevens of het burgerservicenummer. Zet die er niet in.

7. Uw instructies

Wij verwerken de persoonsgegevens alleen op uw schriftelijke instructie. Ook voor doorgifte naar een land buiten de Europese Economische Ruimte (EER).
De hoofdovereenkomst, deze verwerkersovereenkomst en wat u in GunningRadar instelt of doet, gelden samen als uw instructie. Andere instructies geeft u per e-mail.
Vindt u een instructie volgens ons in strijd met de AVG of een andere regel over gegevensbescherming, dan zeggen wij dat direct. Wij mogen die instructie dan niet uitvoeren tot u haar hebt aangepast of bevestigd en wij overtuigd zijn dat zij wettig is.
Moeten wij van de wet (Unierecht of Nederlands recht) persoonsgegevens anders verwerken, dan zeggen wij u dat vooraf. Behalve als die wet ons dat om gewichtige redenen van algemeen belang verbiedt.
U bent er verantwoordelijk voor dat u de persoonsgegevens rechtmatig in GunningRadar zet en dat uw instructies aan de wet voldoen.

8. Geheimhouding

Alleen mensen die het voor hun werk nodig hebben, krijgen toegang tot de persoonsgegevens.
Iedereen die bij ons toegang heeft, heeft zich schriftelijk tot geheimhouding verplicht of is wettelijk tot geheimhouding verplicht. Die plicht blijft gelden na het einde van het werk voor ons.
Wij geven de persoonsgegevens niet aan anderen, behalve aan sub-verwerkers (artikel 10) of als de wet ons dat verplicht. In dat laatste geval zeggen wij u dat vooraf, als dat mag.

9. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om de persoonsgegevens te beschermen, zoals artikel 32 AVG eist. Wij houden daarbij rekening met de stand van de techniek, de kosten, de aard van de gegevens en de risico's voor de betrokkenen.
De maatregelen staan in Bijlage 1. Wij mogen ze aanpassen, maar het niveau van beveiliging gaat er nooit op achteruit.
Wij controleren de maatregelen minstens eens per jaar en na elke grote wijziging van GunningRadar.
Geen beveiliging is volmaakt. Wij beloven passende maatregelen, geen garantie dat er nooit iets misgaat.

10. Sub-verwerkers

U geeft ons algemene schriftelijke toestemming om sub-verwerkers in te schakelen. Op dit moment zijn dat:

Sub-verwerker	Wat doet deze partij	Waar staan de gegevens	Waarborg bij doorgifte
Hetzner Online GmbH, Gunzenhausen (Duitsland)	Server en databases waarop GunningRadar draait	Datacenter in Duitsland of Finland (EU)	Niet nodig: alles binnen de EU
Cloudflare, Inc. (Verenigde Staten)	Opslag van back-ups (R2), DNS en het doorsturen van e-mail aan ons adres	Back-ups: opslaglocatie West-Europa. Cloudflare noemt die locatie een voorkeur, geen garantie. DNS en e-mail: wereldwijd netwerk van Cloudflare	EU-VS Data Privacy Framework of standaardcontractbepalingen
Stripe Payments Europe Ltd, Dublin (Ierland), met Stripe, Inc. (Verenigde Staten)	Betalingen en facturen	EU, met doorgifte naar de Verenigde Staten	EU-VS Data Privacy Framework of standaardcontractbepalingen
Plus Five Five, Inc., handelend als Resend (Verenigde Staten)	Versturen van e-mail, zoals uitnodigingen aan collega's	Verzending kan vanuit Ierland. De gegevens van verstuurde e-mail (adres, onderwerp, logboek) slaat Resend altijd op in de Verenigde Staten	Standaardcontractbepalingen (Besluit (EU) 2021/914), opgenomen in de verwerkersovereenkomst van Resend

Stripe verwerkt in de praktijk geen gegevens die onder deze overeenkomst vallen. Stripe ziet alleen betaal- en factuurgegevens, en daarvoor zijn wij zelf verantwoordelijk. Wij noemen Stripe hier zodat u het volledige overzicht hebt.

Met elke sub-verwerker hebben wij een schriftelijke overeenkomst. Daarin staan voor de sub-verwerker dezelfde plichten voor gegevensbescherming als in deze overeenkomst, vooral passende beveiliging. Komt een sub-verwerker zijn plichten niet na, dan blijven wij tegenover u volledig aansprakelijk, binnen de grenzen van artikel 18.
Willen wij een sub-verwerker toevoegen of vervangen, dan melden wij dat minstens 30 dagen vooraf per e-mail aan de eigenaar van uw account. In de e-mail staat wie de nieuwe partij is, wat zij doet en waar de gegevens komen te staan.
U kunt binnen die 30 dagen bezwaar maken, per e-mail en met een redelijke reden. Wij zoeken dan samen met u naar een oplossing. Wij schakelen de nieuwe sub-verwerker voor uw gegevens niet in zolang wij over uw bezwaar in gesprek zijn.
Lossen wij uw bezwaar niet op vóór de datum van de wijziging, dan mag u de hoofdovereenkomst en deze overeenkomst opzeggen, met ingang van die datum. Wij betalen dan het deel van de betaalde periode terug dat u nog niet hebt gebruikt.
Is een snelle vervanging nodig om de dienst of de beveiliging te redden (bijvoorbeeld als een leverancier plots stopt), dan melden wij dat zo snel mogelijk. U houdt dan hetzelfde recht op bezwaar en opzegging.
Onze sub-verwerkers hebben zelf ook sub-verwerkers. Die staan op hun eigen websites. Krijgen wij van een sub-verwerker bericht over een wijziging in die lijst, dan geven wij dat aan u door. Op uw verzoek sturen wij u het actuele overzicht.

11. Doorgifte buiten de EER

Wij geven persoonsgegevens alleen door naar een land buiten de EER als daarvoor een geldige waarborg is (hoofdstuk V AVG, artikel 44 tot en met 46). Dat is een adequaatheidsbesluit van de Europese Commissie (zoals het EU-VS Data Privacy Framework, als de ontvanger daarbij is aangesloten) of de standaardcontractbepalingen van de Europese Commissie (Besluit (EU) 2021/914).
In de tabel van artikel 10 staat per sub-verwerker welke waarborg geldt.
U geeft met deze overeenkomst opdracht tot de doorgiften die in die tabel staan.

12. Hulp bij de rechten van betrokkenen

Vraagt een betrokkene om inzage, correctie, verwijdering, beperking, overdracht of bezwaar, dan helpt u dat verzoek te beantwoorden. Wij helpen u daarbij, voor zover dat kan gezien de aard van de verwerking.
Veel kunt u zelf in GunningRadar: gebruikers verwijderen, lijsten aanpassen of wissen. Wat u niet zelf kunt, doen wij op uw verzoek binnen 5 werkdagen.
Krijgen wij zelf een verzoek van een betrokkene over gegevens onder deze overeenkomst, dan sturen wij dat binnen 5 werkdagen naar u door. Wij beantwoorden het niet zelf, tenzij u ons dat vraagt.

13. Hulp bij beveiliging, datalekken, DPIA en de toezichthouder

Wij helpen u bij uw plichten uit artikel 32 tot en met 36 AVG: beveiliging, melden van datalekken, een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging van de toezichthouder. Wij geven u daarvoor de informatie die wij hebben.
Wij werken mee als de Autoriteit Persoonsgegevens of een andere toezichthouder vragen stelt over de verwerking.
Wij rekenen niets voor hulp die weinig tijd kost. Kost een verzoek veel werk, dan zeggen wij dat vooraf en spreken wij een redelijke vergoeding af. Hulp bij een datalek dat wij hebben veroorzaakt, is altijd gratis.

14. Datalek

Ontdekken wij een datalek dat de persoonsgegevens raakt, dan melden wij dat aan u zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking. Wij mailen naar de eigenaar van uw account. Dan hebt u genoeg tijd voor uw eigen melding aan de Autoriteit Persoonsgegevens, binnen 72 uur.
In de melding staat, voor zover wij het weten:
1. wat er is gebeurd, welke soorten gegevens en welke groepen betrokkenen het raakt, en ongeveer hoeveel betrokkenen en gegevens;
2. wie u bij ons kunt bereiken voor meer informatie;
3. de waarschijnlijke gevolgen;
4. welke maatregelen wij hebben genomen of voorstellen om het lek te dichten en de schade te beperken.
Weten wij nog niet alles, dan sturen wij eerst wat wij weten en de rest zo snel mogelijk daarna.
U beslist of het datalek gemeld wordt aan de toezichthouder en aan betrokkenen. Wij melden het niet zelf namens u, tenzij u ons dat vraagt.
Wij houden een register bij van alle datalekken die de persoonsgegevens raken: de feiten, de gevolgen en de maatregelen.

15. Informatie en audit

Wij geven u alle informatie die nodig is om te laten zien dat wij ons aan deze overeenkomst en artikel 28 AVG houden. Wij beginnen met schriftelijke informatie: de maatregelen uit Bijlage 1, de verwerkersovereenkomsten en certificaten van onze sub-verwerkers (zoals de ISO 27001-certificering van Hetzner) en antwoorden op uw vragen.
Is die informatie niet genoeg, dan mag u een audit laten doen, met een inspectie als dat nodig is. De audit doet u zelf of een onafhankelijke deskundige die u aanwijst. Die deskundige is tot geheimhouding verplicht en is geen concurrent van ons.
Een audit kondigt u minstens 30 dagen vooraf schriftelijk aan. Een audit kan hooguit eens per jaar. Dat geldt niet na een datalek of als een toezichthouder de audit eist.
De audit vindt plaats op werkdagen tijdens kantooruren en stoort de dienst zo weinig mogelijk. Systemen en gegevens van andere klanten blijven buiten de audit.
U betaalt de kosten van de audit. Blijkt uit de audit dat wij deze overeenkomst op een wezenlijk punt niet nakomen, dan betalen wij de redelijke kosten van de audit en lossen wij het probleem zo snel mogelijk op.
Alles wat u bij een audit over ons leert, houdt u vertrouwelijk. U gebruikt het alleen om te controleren of wij ons aan deze overeenkomst houden.

16. Einde: teruggeven en wissen

Eindigt de hoofdovereenkomst, of verwijdert u uw account, dan kiest u: wij geven de persoonsgegevens terug of wij wissen ze.
Teruggeven doen wij binnen 30 dagen, in een gangbaar bestandsformaat (CSV). Daarna wissen wij de gegevens.
Kiest u niets, dan wissen wij de persoonsgegevens uiterlijk 30 dagen na het einde. In die 30 dagen kunt u een verwijderd account nog herstellen.
Uit onze back-ups verdwijnen de persoonsgegevens uiterlijk 60 dagen nadat wij ze hebben gewist. Tot dan zijn de back-ups beveiligd zoals in Bijlage 1 staat, en gebruiken wij ze alleen om een storing te herstellen.
Moeten wij gegevens langer bewaren omdat de wet dat eist, dan bewaren wij alleen die gegevens, alleen zo lang als nodig, en gebruiken wij ze voor niets anders.
Op uw verzoek bevestigen wij schriftelijk dat wij de persoonsgegevens hebben gewist.

17. Uw verantwoordelijkheid

U zorgt ervoor dat u een geldige grondslag hebt voor de persoonsgegevens die u in GunningRadar zet, en dat u de betrokkenen informeert.
U vrijwaart ons voor boetes en claims die het gevolg zijn van uw instructies of van gegevens die u in strijd met de AVG in GunningRadar hebt gezet.

18. Aansprakelijkheid

Voor aansprakelijkheid onder deze overeenkomst geldt artikel 13 van de algemene voorwaarden. Daar staat ook de grens van het bedrag: hooguit wat u in de 12 maanden vóór de schade aan ons hebt betaald, en geen indirecte schade.
Die grens geldt niet bij opzet of bewuste roekeloosheid, en niet voor zover de wet dat anders bepaalt.
Deze regeling gaat alleen over u en ons. De rechten van betrokkenen en de regels over boetes in de AVG (artikel 82 en 83) blijven gelden.

19. Voorrang en wijzigingen

Spreken deze overeenkomst en de algemene voorwaarden elkaar tegen over persoonsgegevens, dan gaat deze overeenkomst voor.
Wij kunnen deze overeenkomst wijzigen op dezelfde manier als de algemene voorwaarden (artikel 18 van de algemene voorwaarden): minstens 30 dagen vooraf per e-mail. Een wijziging verlaagt nooit de bescherming van de persoonsgegevens, tenzij de wet dat eist.
Is een bepaling ongeldig, dan blijft de rest gelden. Wij vervangen die bepaling dan door een geldige die er zo dicht mogelijk bij komt.

20. Recht en rechter

Op deze overeenkomst is Nederlands recht van toepassing.
Geschillen gaan naar de Rechtbank Noord-Nederland, tenzij dwingend recht anders bepaalt.

Bijlage 1: Technische en organisatorische maatregelen

Deze maatregelen gelden voor GunningRadar zoals het nu draait.

Hosting en fysieke beveiliging

GunningRadar draait op een server van Hetzner Online GmbH in een datacenter in Duitsland of Finland.
Hetzner is ISO 27001-gecertificeerd. Hetzner zorgt voor de fysieke beveiliging: elektronische toegangscontrole met logboek, cameratoezicht, een beleid voor bezoekers en een hek rond het datacenterpark.
Hetzner vernietigt opslagmedia die niet veilig te wissen zijn.

Server

Een firewall laat alleen verkeer door voor https, http (dat direct doorstuurt naar https) en beheer via SSH.
Inloggen op de server kan alleen met een SSH-sleutel. Inloggen met een wachtwoord staat uit.
Herhaalde mislukte inlogpogingen op de server leiden tot een automatische blokkade (fail2ban).
Beveiligingsupdates van het besturingssysteem worden automatisch geïnstalleerd.
De app draait onder een eigen systeemgebruiker zonder inlogrechten.

Verbinding

Alle verkeer met GunningRadar loopt via https (TLS). Het certificaat komt van Let's Encrypt.
De app stuurt HSTS mee, zodat browsers alleen nog https gebruiken. Ook een Content Security Policy en andere beveiligingsheaders staan aan.

Toegang tot de app

Wachtwoorden bewaren wij alleen als hash (scrypt, met een eigen salt per wachtwoord). Wij kunnen uw wachtwoord niet lezen.
Een wachtwoord moet minstens 10 tekens lang zijn.
Na 5 mislukte inlogpogingen binnen 15 minuten blokkeert de app nieuwe pogingen tijdelijk.
Elke gebruiker kan een tweede stap aanzetten (TOTP, een code uit een authenticator-app).
Sessiecookies zijn niet leesbaar voor scripts (HttpOnly), gaan alleen over https (Secure) en hebben SameSite=Lax. Een sessie verloopt na een periode zonder activiteit.
Formulieren zijn beschermd tegen cross-site request forgery (CSRF-token).
Links voor uitnodigen en wachtwoord herstellen zijn eenmalig en verlopen. Wij bewaren alleen een hash van die links.

Scheiding van gegevens

Alle gegevens van klanten hangen aan een account. De app toont ze alleen aan gebruikers van dat account.

Beheertoegang

Alleen de eigenaar van State of the Art heeft beheertoegang tot de server en de databases.
Iedereen die bij ons met persoonsgegevens werkt, is tot geheimhouding verplicht (artikel 8).
Beheeracties in de app worden vastgelegd in een logboek.

Back-ups en herstel

Elke dag maken wij een back-up van de databases. Wij controleren elke back-up automatisch op fouten voordat wij die bewaren.
Een kopie gaat naar Cloudflare R2, buiten de server. Het transport loopt via TLS. Cloudflare versleutelt alle opgeslagen bestanden (AES-256).
De sleutel waarmee de server back-ups uploadt, geeft alleen toegang tot die ene opslagplek.
Back-ups bewaren wij hooguit 60 dagen. Daarna worden ze automatisch gewist.
Hoe wij een back-up terugzetten, is vastgelegd. Een automatische controle waarschuwt als de laatste externe back-up ouder is dan 36 uur.

Zo min mogelijk gegevens

Wij vragen en bewaren alleen wat nodig is voor de dienst. Sessiegegevens en mislukte inlogpogingen wissen wij na 30 dagen.
Een verwijderd account wissen wij na 30 dagen.

Organisatie

Wij hebben een vaste werkwijze voor datalekken: vaststellen, dichten, vastleggen en u binnen 48 uur melden (artikel 14).
Wij controleren deze maatregelen minstens eens per jaar en na elke grote wijziging.
Met elke sub-verwerker hebben wij een verwerkersovereenkomst (artikel 10).

Gegevens van de verwerker

State of the Art handelt onder de naam GunningRadar.

State of the Art
Van Slingelandtstraat 7, 9716 GJ Groningen
KvK 02067482 · btw NL002316027B63
E-mail: info@gunningradar.nl