Verwerkersovereenkomst Tegnest

Bijlage bij de algemene voorwaarden van Tegnest, versie 2026-10-14.4. Deze afspraken volgen artikel 28 van de AVG.

Partijen

• Jij (de klant): de verwerkingsverantwoordelijke. Jij bepaalt waarom je website persoonsgegevens ontvangt.
• Dario Albers (eenmanszaak, handelsnaam Tegnest), Vlierstraat 196, 7544 GJ Enschede, KvK 42167593, hallo@tegnest.com: de verwerker. In deze overeenkomst heet dat "wij".

Je gaat akkoord met deze overeenkomst als je akkoord gaat met de algemene voorwaarden. Upload je al foto's of ander materiaal vóórdat je bestelt, dan gelden deze afspraken vanaf die eerste upload. Je accepteert ze dan vóór die upload.

1. Waar gaat dit over?

Deze overeenkomst geldt alleen voor persoonsgegevens die wij voor jou verwerken via je website, ook in foto's en ander materiaal dat je aanlevert, vanaf je eerste upload. Ze geldt niet voor gegevens over jou als klant (je account, betalingen, facturen, je domeinregistratie en de bedrijfsgegevens voor de AI). Voor die gegevens zijn wij zelf verantwoordelijk. Dat staat in onze privacyverklaring (https://tegnest.com/nl/privacy).

2. Welke gegevens, van wie en waarvoor?

3. Jouw instructies

1. Wij verwerken de gegevens alleen voor de doelen hierboven en volgens jouw instructies. De instellingen die je in je account kiest, zijn ook instructies: bijvoorbeeld het aan- of uitzetten van het contactformulier, de vragen in je aanvraagformulier, de bewaartermijn van aanvragen, het e-mailadres voor meldingen en de ontvangstbevestiging, en voor afspraken je diensten, tijden, plekken en gesloten dagen, de bewaartermijn van afspraken, of afspraken meteen vaststaan, de annuleertermijn en de herinnering.
2. Moeten wij volgens de wet iets anders doen, dan laten we je dat vooraf weten, tenzij de wet dat verbiedt.
3. Vinden wij een instructie in strijd met de AVG, dan zeggen we dat direct.

4. Geheimhouding

Alleen wie de gegevens nodig heeft voor het werk, kan erbij. Iedereen die voor ons werkt, heeft een geheimhoudingsplicht.

5. Beveiliging

Wij nemen passende maatregelen (artikel 32 AVG), waaronder:

• versleutelde verbindingen (https/TLS) voor je website en ons platform;
• toegang alleen met een eigen account, inloggen met een eenmalige code per e-mail, en zo weinig mogelijk mensen met toegang; beheerders loggen in met hun Google-account (met tweestapsverificatie bij Google) of met een code per e-mail, hun inlog verloopt na 12 uur en elke beheerdersinlog komt in het logboek;
• inloggegevens en sleutels alleen op de server, nooit in de browser;
• databases en opslag in de EU waar dat kan;
• updates en back-ups (de database is op elk moment van de laatste 7 dagen terug te zetten (point-in-time herstel bij Neon), de hoofddatabase is beschermd tegen verwijderen, en we oefenen het terugzetten met een hersteltest);
• een logboek van wijzigingen in het platform.

6. Subverwerkers

1. Je geeft ons algemene toestemming om de subverwerkers uit de bijlage in te schakelen.
2. Komt er een nieuwe subverwerker bij, of vervangen we er een, dan melden we dat minstens 30 dagen vooraf per e-mail. Ben je het er niet mee eens, dan kun je bezwaar maken. Lukt het niet om samen een oplossing te vinden, dan kun je de hosting kosteloos opzeggen, met ingang vóór de nieuwe subverwerker begint. Je krijgt dan het vooruitbetaalde geld terug voor de dagen die nog over zijn (per dag).
3. Wij leggen subverwerkers dezelfde plichten op als in deze overeenkomst staan. Wij blijven tegenover jou verantwoordelijk voor hen.

7. Gegevens buiten de EU

Sommige subverwerkers zijn Amerikaanse bedrijven. We kiezen een EU-regio waar dat kan. Gaan gegevens toch buiten de EER, dan gebeurt dat alleen met een geldige grondslag, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie. Per subverwerker staat dit in de bijlage.

8. Hulp aan jou

1. Vraagt iemand jou om inzage, correctie of verwijdering van zijn gegevens, dan helpen we je daarbij. Aanvragen kun je zelf in je account zoeken, bekijken, exporteren (als CSV-bestand) en verwijderen. Afspraken kun je in je agenda bekijken, exporteren (als CSV-bestand) en verwijderen. Foto's kun je in je account verwijderen. Komt zo'n verzoek bij ons binnen, dan sturen we het door naar jou.
2. We helpen je ook bij je andere plichten uit de artikelen 32 tot en met 36 AVG: de beveiliging, het melden van een datalek aan de toezichthouder en aan de mensen om wie het gaat, een DPIA en een voorafgaande raadpleging van de toezichthouder. Heb je vragen van de Autoriteit Persoonsgegevens (of een andere toezichthouder), dan geven we je de informatie die we hebben.
3. Kost die hulp meer dan een redelijke hoeveelheid tijd, dan bespreken we eerst de kosten met je.

9. Datalekken

1. Ontdekken wij een datalek dat jouw gegevens raakt, dan melden we dat zonder onnodige vertraging, en uiterlijk 48 uur nadat we het ontdekten. Die 48 uur zijn een uiterste grens, geen wachttijd.
2. We vertellen je dan wat er gebeurd is, welke gegevens en hoeveel mensen het raakt, wat de gevolgen kunnen zijn en wat we eraan doen. Weten we nog niet alles, dan sturen we de rest zo snel mogelijk na.
3. Jij beslist of je het lek meldt bij de Autoriteit Persoonsgegevens of aan de betrokkenen. Dat doen wij niet zelf voor jou, tenzij je ons dat vraagt.

10. Controle

1. We geven je alle informatie die nodig is om te laten zien dat we ons aan artikel 28 AVG en deze overeenkomst houden.
2. Je mag controleren of we ons eraan houden, zelf of via een controleur die je aanwijst, ook met een inspectie. Wie controleert, houdt geheim wat hij ziet.
3. Voor een gewone controle spreken we samen een redelijke termijn af. Bij een datalek, een aanwijzing dat we ons niet aan deze overeenkomst houden, of een verzoek van een toezichthouder geldt geen vaste grens per jaar en geen wachttijd.
4. De kosten van je eigen controleur betaal jij, tenzij de controle laat zien dat wij deze overeenkomst ernstig hebben geschonden.

11. Einde

1. Deze overeenkomst loopt zolang wij gegevens voor je verwerken.
2. Na het einde kies jij: krijg je alle persoonsgegevens die we voor je verwerkten terug, of verwijderen we ze? Dat mag je ons altijd per e-mail laten weten, ook al eerder.
3. Kies je niets, dan geldt dit als jouw instructie: je kunt je aanvragen en afspraken zelf als CSV downloaden in je account, tot 30 dagen na het einde van de hosting (daarna wordt je website gearchiveerd); daarna kun je tot het verwijderen bij ons een export van je website én je aanvragen en afspraken (als CSV) opvragen; zolang wij de gegevens hebben, kun je ze terugkrijgen. 90 dagen nadat je website is gearchiveerd, verwijderen we de gegevens, ook alle aanvragen, afspraken, je formulieren en je diensten en tijden voor afspraken. Wil je dat we eerder verwijderen, of alles eerder terugkrijgen, mail ons dan; dan doen we dat.
4. Ze blijven niet bij ons voor een bewaarplicht: die heb jij, en daarvoor is de export. Kopieën en back-ups worden daarna in hun normale ronde overschreven, binnen 7 dagen. Verwijderde gegevens staan nog maximaal 7 dagen in de hersteltijdlijn van de database (Neon point-in-time restore).
5. We bewaren alleen langer wat een concrete wettelijke bewaarplicht van ons verplicht.

12. Aansprakelijkheid en wat voorgaat

Voor aansprakelijkheid tussen jou en ons gelden de regels uit de algemene voorwaarden: artikel 13 als je een zakelijke klant bent, en artikel B6 (de regels van de wet) als je consument bent. Niets in deze overeenkomst of in de voorwaarden beperkt de rechten van de mensen om wie het gaat, zoals hun recht op schadevergoeding (artikel 82 AVG). Gaat het over persoonsgegevens en spreken de voorwaarden deze overeenkomst tegen, dan gaat deze overeenkomst voor.

Bijlage — subverwerkers en andere partijen

Rol: SV = subverwerker voor jouw websitegegevens. V = verwerker voor onze eigen klantadministratie, niet voor jouw websitegegevens. ZV = zelfstandig verantwoordelijke.