Verwerkersovereenkomst (DPA)

Wat is een DPA? Een DPA legt afspraken vast over data. Simpel gezegd: hoe gaan we met gegevens om? Klinkt zwaar. Is het niet. Lees gewoon mee. Hieronder staan de gewone afspraken. Een verwerkersovereenkomst (ook wel DPA, Data Processing Agreement) legt vast hoe Altena Digital persoonsgegevens van een opdrachtgever verwerkt wanneer dat in opdracht gebeurt — bijvoorbeeld bij maatwerksoftware, SaaS-platformen of hosting van applicaties waarin gebruikersdata wordt opgeslagen.

Deze pagina geeft de standaardbepalingen van de verwerkersovereenkomst van Altena Digital weer. Voor concrete opdrachten waarin persoonsgegevens worden verwerkt, wordt een ondertekende exemplaar opgesteld op basis van onderstaand model. Aanpassingen op verzoek van de opdrachtgever zijn bespreekbaar.

1. Partijen en definities

Deze verwerkersovereenkomst geldt tussen:

Verwerkingsverantwoordelijke: de opdrachtgever die Altena Digital een opdracht verstrekt waarin persoonsgegevens worden verwerkt.
Verwerker: Altena Software Development & IT Management, handelend onder de naam Altena Digital (KvK 98829106).

De gebruikte begrippen sluiten aan op de definities in de Algemene Verordening Gegevensbescherming (AVG, EU 2016/679).

2. Doel en aard van de verwerking

Altena Digital verwerkt uitsluitend persoonsgegevens die noodzakelijk zijn voor de uitvoering van de overeengekomen opdracht. De aard van de verwerking, de soort persoonsgegevens en de betrokken categorieën personen worden in de bijbehorende projectovereenkomst gespecificeerd.

Verwerking vindt plaats binnen de Europese Economische Ruimte (EER), tenzij vooraf schriftelijk anders overeengekomen.

3. Verplichtingen van de verwerker

Altena Digital:

Verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijke;
Zorgt dat personen die toegang hebben tot de gegevens vertrouwelijkheid waarborgen;
Treft passende technische en organisatorische maatregelen om de gegevens te beveiligen;
Ondersteunt de verwerkingsverantwoordelijke bij verzoeken van betrokkenen (inzage, correctie, verwijdering);
Meldt datalekken zonder onredelijke vertraging, en in elk geval binnen 48 uur na ontdekking;
Verleent medewerking aan audits met inachtneming van een redelijke voorafgaande aankondiging.

4. Beveiligingsmaatregelen

Altena Digital hanteert standaard de volgende beveiligingsmaatregelen:

Versleutelde communicatie (HTTPS/TLS) tussen alle systemen;
Versleuteling van gevoelige gegevens bij opslag waar van toepassing;
Multi-factor authenticatie voor administratieve toegang;
Toegangscontrole op basis van rollen en het need-to-know-principe;
Logging van administratieve handelingen voor traceerbaarheid;
Reguliere security-updates en dependency-audits;
Geautomatiseerde back-ups met retentie-beleid;
Monitoring en alerting op verdachte activiteit.

5. Sub-verwerkers

Voor de uitvoering van bepaalde diensten kunnen sub-verwerkers worden ingeschakeld — bijvoorbeeld cloudhosting, transactionele e-mail of monitoring. De huidige sub-verwerkers worden op verzoek schriftelijk gedeeld.

Inschakeling van een nieuwe sub-verwerker wordt vooraf gemeld aan de verwerkingsverantwoordelijke, die het recht heeft daartegen schriftelijk bezwaar te maken op zwaarwegende gronden.

6. Doorgifte buiten de EER

Persoonsgegevens worden in beginsel niet doorgegeven aan landen buiten de EER. Mocht dit voor een specifieke dienst toch noodzakelijk zijn, dan vindt dit alleen plaats onder de passende waarborgen van artikel 46 AVG (zoals Standard Contractual Clauses).

7. Datalekken

Bij een (vermoedelijk) datalek wordt de verwerkingsverantwoordelijke onmiddellijk geïnformeerd, met daarbij minimaal:

De aard en omvang van het lek;
De categorieën betrokken personen en gegevens;
De waarschijnlijke gevolgen;
De genomen of voorgestelde maatregelen.

De verwerkingsverantwoordelijke is zelf verantwoordelijk voor de eventuele melding bij de Autoriteit Persoonsgegevens en/of de betrokkenen.

8. Bewaartermijn en teruggave

Persoonsgegevens worden bewaard zolang de verwerkingsovereenkomst van kracht is en de gegevens nodig zijn voor de uitvoering daarvan. Na beëindiging worden de gegevens naar keuze van de verwerkingsverantwoordelijke teruggegeven, gemigreerd of vernietigd, tenzij er een wettelijke bewaarplicht geldt.

9. Aansprakelijkheid

De aansprakelijkheid van Altena Digital in het kader van deze verwerkersovereenkomst sluit aan op de aansprakelijkheidsbepalingen in de algemene voorwaarden en is gelimiteerd tot het in de drie maanden voorafgaand aan de schadeveroorzakende gebeurtenis gefactureerde bedrag in het betreffende project.

10. Toepasselijk recht en geschillen

Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden bij voorkeur in onderling overleg opgelost. Komen partijen er niet uit, dan wordt het geschil voorgelegd aan de bevoegde rechter in het arrondissement van de vestigingsplaats van Altena Digital.

Verwerkersovereenkomst aanvragen

Bovenstaande bepalingen worden voor een concreet project vastgelegd in een ondertekend document. Een ondertekend exemplaar kan worden aangevraagd via info@altena.digital — bij voorkeur met een korte beschrijving van de soort gegevens en het beoogde gebruik.

Laatst bijgewerkt: mei 2026