Verwerkersovereenkomst AppNu

Zo sluit je hem af

Heb je persoonsgegevens van anderen in AppNu nodig (van je klanten of medewerkers), sluit dan eerst deze overeenkomst af, voordat je die gegevens in AppNu zet. Mail info@colorsone.com met als onderwerp “Verwerkersovereenkomst AppNu” en de naam van je onderneming. Je krijgt de overeenkomst terug om bijlage A in te vullen en te ondertekenen; Colorsone tekent daarna ook.

Partijen

1. Verwerkingsverantwoordelijke: de onderneming die AppNu afneemt, zoals vermeld bij de bestelling (hierna: Verantwoordelijke).
2. Verwerker: Daniel Jacobs, handelend onder de naam Colorsone, een eenmanszaak, Karmijn 22, 6645 BD Winssen, KvK 68901119, btw-nummer NL002227753B02, info@colorsone.com (hierna: Verwerker).

1. Definities en rangorde

1. Begrippen als persoonsgegevens, verwerking, betrokkene, subverwerker en inbreuk in verband met persoonsgegevens hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG).
2. Deze overeenkomst maakt onderdeel uit van de abonnementsvoorwaarden van AppNu. Voor zover het de verwerking van persoonsgegevens betreft, gaat deze overeenkomst voor.

2. Onderwerp en instructies

1. Verwerker verwerkt persoonsgegevens alleen om AppNu te leveren, te hosten, te onderhouden en te ondersteunen. De aard, het doel, de betrokkenen en de soorten persoonsgegevens staan in bijlage A.
2. Verwerker verwerkt alleen op schriftelijke instructie van Verantwoordelijke (deze overeenkomst en het gebruik van AppNu), tenzij een wettelijke verplichting anders bepaalt. Is een instructie volgens Verwerker in strijd met de AVG, dan meldt Verwerker dat.
3. Verantwoordelijke staat in voor een geldige grondslag, voor het informeren van betrokkenen en voor de afhandeling van hun verzoeken, voor zover Verwerker daar niet bij helpt (artikel 6).

3. Beveiliging en geheimhouding

1. Verwerker treft passende technische en organisatorische maatregelen. De maatregelen staan in bijlage C.
2. Personen die bij de persoonsgegevens kunnen, zijn tot geheimhouding gehouden.

4. Subverwerkers en doorgifte

1. Verantwoordelijke geeft Verwerker algemene toestemming subverwerkers in te schakelen. De subverwerkers bij het begin staan in bijlage B.
2. Verwerker legt elke subverwerker minstens dezelfde verplichtingen op en blijft daarvoor aansprakelijk jegens Verantwoordelijke. Een voorgenomen wijziging meldt Verwerker vooraf; Verantwoordelijke kan om redelijke gronden bezwaar maken.
3. Verwerker verwerkt persoonsgegevens in beginsel binnen de EER. Doorgifte buiten de EER of toegang vanuit een land buiten de EER gebeurt alleen met een geldig doorgiftemechanisme. Bij de subverwerkers in bijlage B zijn dat de standaardcontractbepalingen van de Europese Commissie in hun verwerkersovereenkomsten (gecontroleerd op 9 november 2026).

5. Rechten van betrokkenen

1. Verwerker helpt Verantwoordelijke, voor zover redelijkerwijs mogelijk, bij verzoeken van betrokkenen (inzage, correctie, verwijdering, beperking, overdraagbaarheid). Een verzoek dat Verwerker rechtstreeks ontvangt, stuurt hij door en handelt hij niet zelf af.

6. Inbreuken in verband met persoonsgegevens

1. Verwerker meldt een inbreuk zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking, met minstens de aard, de getroffen categorieën en aantallen, de waarschijnlijke gevolgen en de getroffen of voorgestelde maatregelen.
2. Verwerker werkt redelijk mee aan meldingen aan de Autoriteit Persoonsgegevens en aan betrokkenen. De verantwoordelijkheid voor die meldingen ligt bij Verantwoordelijke.

7. Naleving en audit

1. Verwerker geeft op verzoek de informatie die nodig is om naleving aan te tonen. Verantwoordelijke mag hoogstens één keer per jaar, of na een aangetoonde inbreuk, een audit laten uitvoeren, na redelijke aankondiging en zonder de bedrijfsvoering onnodig te verstoren. De redelijke kosten komen voor rekening van Verantwoordelijke.

8. Duur, einde, export en verwijdering

1. Deze overeenkomst geldt zolang Verwerker persoonsgegevens voor Verantwoordelijke verwerkt.
2. Na het einde van het abonnement kan Verantwoordelijke tot dertig dagen daarna via info@colorsone.com een export van de appgegevens aanvragen. Daarna verwijdert Verwerker de persoonsgegevens uit de actieve app, uiterlijk negentig dagen na die termijn, behoudens een wettelijke bewaarplicht. Back-ups verlopen daarna volgens hun bewaartermijn.

9. Aansprakelijkheid en toepasselijk recht

1. Voor de aansprakelijkheid geldt de regeling in de abonnementsvoorwaarden van AppNu. Op deze overeenkomst is Nederlands recht van toepassing; geschillen gaan naar de bevoegde rechter van de rechtbank Gelderland.

Bijlage A: omschrijving van de verwerking

1. Aard en doel: levering, hosting, onderhoud en ondersteuning van de AppNu-app(s) die Verantwoordelijke gebruikt.
2. Categorieën betrokkenen en soorten persoonsgegevens: door Verantwoordelijke in te vullen vóór hij persoonsgegevens van anderen in AppNu zet (bijvoorbeeld klanten of medewerkers; naam, e-mailadres, telefoonnummer, gegevens die hij zelf in de app invoert). Zonder invulling verwerkt Verwerker alleen de accountgegevens van Verantwoordelijke zelf.
3. Bijzondere categorieën persoonsgegevens: geen, tenzij uitdrukkelijk schriftelijk overeengekomen.
4. Bewaartermijn: zolang het abonnement loopt en daarna volgens artikel 8.

Bijlage B: subverwerkers

1. Supabase: database, inloggen en opslag van AppNu. Verwerking in Frankfurt (EU); standaardcontractbepalingen in de verwerkersovereenkomst van Supabase.
2. Vercel: hosting en uitvoering van de app. Functies draaien in Frankfurt (EU); volgens zijn verwerkersovereenkomst vindt de verwerking van Vercel hoofdzakelijk in de Verenigde Staten plaats, met standaardcontractbepalingen als doorgiftemechanisme (zie artikel 4).
3. De facturatie en betalingen (LeadFlow, Mollie en Resend) zijn geen verwerking voor Verantwoordelijke maar een eigen verwerking van Colorsone als verantwoordelijke; zie de privacytekst.

Bijlage C: beveiligingsmaatregelen

1. Versleutelde verbindingen (TLS) tussen gebruiker, app en database.
2. Gegevens van elke onderneming zijn in de database van elkaar gescheiden (rijniveau-beveiliging per onderneming); een gebruiker ziet alleen de eigen onderneming.
3. Inloggen met een wachtwoord van minstens twaalf tekens. Beheer vereist daarnaast een tweede inlogstap en is beperkt tot de beheerder.
4. Begrenzing van het aantal pogingen op inloggen, intake en afrekenen, en een auditspoor van beheeracties en abonnementswijzigingen.
5. Geheimen staan alleen op de server; de app gebruikt geen analyse- of trackingcode.
6. Dagelijkse back-ups van de database, zeven dagen bewaard; beveiligings- en systeemupdates met voorrang voor kritieke updates.