Model verwerkersovereenkomst

Versie 1.0 – geldig vanaf 27 september 2026

Dit is het model van de verwerkersovereenkomst die iQonnect met haar klanten sluit, zoals vereist door artikel 28 van de Algemene Verordening Gegevensbescherming (AVG). De ondertekende versie per klant bevat de gegevens van de klant en de diensten die hij afneemt.

Partijen

1. Verwerkingsverantwoordelijke (de Klant): [naam onderneming], gevestigd te [adres], ondernemingsnummer [nummer], vertegenwoordigd door [naam en functie].
2. Verwerker (iQonnect): iQonnect, ingeschreven bij de Kruispuntbank van Ondernemingen onder nummer 1030899667, gevestigd aan de Mostert 10B te 3793 Voeren, België, met btw-nummer BE1030899667, vertegenwoordigd door Sander Besterveld.

Artikel 1 – Onderwerp en duur

1. iQonnect verwerkt persoonsgegevens uitsluitend om de diensten te leveren die de Klant bij iQonnect afneemt, volgens de overeenkomst en de algemene voorwaarden van iQonnect (samen: de Hoofdovereenkomst).
2. De soorten gegevens, categorieën betrokkenen en doeleinden per dienst staan in Bijlage 1.
3. Deze overeenkomst geldt zolang iQonnect persoonsgegevens voor de Klant verwerkt.
4. De Klant staat ervoor in dat de verwerking een geldige rechtsgrondslag heeft en dat hij de betrokkenen correct informeert.

Artikel 2 – Instructies

1. iQonnect verwerkt persoonsgegevens alleen op basis van Schriftelijke instructies van de Klant. De Hoofdovereenkomst en deze overeenkomst gelden als die instructies.
2. iQonnect verwerkt gegevens daarnaast alleen als een wettelijke verplichting dat vereist, en meldt dit vooraf aan de Klant, tenzij de wet dat verbiedt.
3. Is een instructie volgens iQonnect in strijd met de AVG of andere privacywetgeving, dan meldt iQonnect dit direct aan de Klant.
4. iQonnect gebruikt de persoonsgegevens niet voor eigen doeleinden.

Artikel 3 – Geheimhouding

1. iQonnect houdt de persoonsgegevens geheim en geeft alleen toegang aan personen die dit nodig hebben voor de uitvoering en die aan een geheimhoudingsplicht gebonden zijn.

Artikel 4 – Beveiliging

1. iQonnect neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking, rekening houdend met de aard van de gegevens, zoals salarisgegevens en het burgerservicenummer.
2. De maatregelen staan in Bijlage 2. iQonnect mag ze aanpassen, zolang het beveiligingsniveau niet daalt.

Artikel 5 – Subverwerkers

1. De Klant geeft iQonnect algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat op iqonnect.be/subverwerkers.
2. iQonnect meldt een nieuwe of vervangende subverwerker minstens 30 dagen vooraf per e-mail en werkt de lijst bij. De Klant kan binnen die termijn gemotiveerd bezwaar maken. Komen partijen er niet uit, dan mag de Klant de betrokken dienst opzeggen tegen de datum waarop de wijziging ingaat.
3. iQonnect legt subverwerkers ten minste dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover de Klant verantwoordelijk voor hun nakoming.
4. iQonnect verwerkt persoonsgegevens alleen binnen de Europese Economische Ruimte, tenzij de Klant vooraf Schriftelijk toestemming geeft en er passende waarborgen zijn volgens hoofdstuk V AVG.

Artikel 6 – Rechten van betrokkenen

1. iQonnect helpt de Klant, voor zover redelijk, bij het beantwoorden van verzoeken van betrokkenen om inzage, rectificatie, wissing, beperking of overdracht.
2. Ontvangt iQonnect zo’n verzoek rechtstreeks, dan stuurt iQonnect het binnen 5 werkdagen door naar de Klant en beantwoordt het niet zelf, tenzij de Klant daartoe opdracht geeft.

Artikel 7 – Inbreuken in verband met persoonsgegevens

1. iQonnect meldt een inbreuk die persoonsgegevens van de Klant treft zonder onredelijke vertraging, en uiterlijk binnen 24 uur nadat iQonnect die heeft ontdekt.
2. De melding bevat zoveel mogelijk de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.
3. De Klant beslist of de inbreuk wordt gemeld aan de bevoegde toezichthouder en aan de betrokkenen. iQonnect verleent daarbij de redelijke medewerking.
4. iQonnect documenteert alle inbreuken, ook als ze niet gemeld hoeven te worden.

Artikel 8 – Medewerking en controle

1. iQonnect verleent redelijke medewerking aan een gegevensbeschermingseffectbeoordeling of een voorafgaande raadpleging van de toezichthouder.
2. iQonnect stelt de Klant op verzoek de informatie ter beschikking die nodig is om naleving van deze overeenkomst aan te tonen.
3. De Klant mag maximaal eenmaal per jaar, of na een inbreuk, een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht, na aankondiging van minstens 14 dagen. De Klant draagt de kosten, tenzij de audit een wezenlijke tekortkoming van iQonnect aantoont.

Artikel 9 – Einde en teruggave

1. Bij het einde van de Hoofdovereenkomst levert iQonnect op verzoek een export van de persoonsgegevens in een gangbaar formaat.
2. Binnen 3 maanden na het einde verwijdert iQonnect de persoonsgegevens, ook bij subverwerkers, tenzij een wettelijke bewaarplicht voor iQonnect zelf geldt. iQonnect bevestigt de verwijdering op verzoek Schriftelijk.
3. De Klant blijft zelf verantwoordelijk voor het bewaren van zijn administratie gedurende de wettelijke bewaartermijnen.

Artikel 10 – Aansprakelijkheid

1. Voor de aansprakelijkheid van partijen geldt artikel 9 van Deel A van de algemene voorwaarden, tenzij de AVG dwingend anders bepaalt.
2. iQonnect is niet aansprakelijk voor schade doordat de Klant zich niet aan de AVG houdt, of doordat iQonnect een instructie van de Klant heeft opgevolgd.

Artikel 11 – Slotbepalingen

1. Bij strijd tussen deze overeenkomst en de Hoofdovereenkomst gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.
2. Op deze overeenkomst is hetzelfde recht van toepassing en is dezelfde rechter bevoegd als bij de Hoofdovereenkomst.

Bijlage 1 – Verwerkingen per dienst

Bijzondere categorieën van persoonsgegevens worden niet verwerkt, behalve waar de wet dit voor de loonadministratie vereist. Medische gegevens worden nooit verwerkt.

Bijlage 2 – Beveiligingsmaatregelen

• Toegang tot software, servers en beheeromgevingen alleen met persoonlijke accounts en tweestapsverificatie of sleutelgebaseerde aanmelding.
• Toegang volgens het need-to-know-principe; accounts worden ingetrokken zodra ze niet meer nodig zijn.
• Versleutelde verbindingen (TLS) voor alle overdracht van persoonsgegevens; geen loonstroken of salarisbestanden als onbeveiligde bijlage per e-mail.
• Versleutelde opslag op laptops en andere apparaten van iQonnect, met automatische vergrendeling en actuele beveiligingsupdates.
• Servers binnen de EER, met firewall, actuele updates en toegang alleen via versleutelde sleutels.
• Regelmatige, versleutelde back-ups op een afzonderlijke locatie, met geteste herstelprocedure.
• Wachtwoorden in een wachtwoordbeheerder, uniek per dienst.
• Logging van toegang tot persoonsgegevens voor zover de gebruikte software dit ondersteunt.
• Een vastgelegde procedure voor het melden en afhandelen van inbreuken.

Bijlage 3 – Subverwerkers

De actuele lijst van subverwerkers staat op iqonnect.be/subverwerkers.

Ondertekening