Verwerkersovereenkomst

Laatst bijgewerkt: 1 november 2026 · Versie 1.0

Deze verwerkersovereenkomst ("Verwerkersovereenkomst") maakt deel uit van de Gebruiksvoorwaarden tussen de klant die AutoFeed gebruikt (de "Klant") en AG IT-Solutions, handelsnaam AGITS, legal form, met maatschappelijke zetel te registered office address en ondernemingsnummer enterprise number ("AGITS"). Ze is automatisch van toepassing wanneer de Klant de Voorwaarden aanvaardt en voldoet aan de vereisten van artikel 28 van Verordening (EU) 2016/679 (de "AVG").

1. Rollen en toepassingsgebied

1.1 Voor persoonsgegevens in Klantcontent (zoals gedefinieerd in de Voorwaarden) en gegevens die uit de gekoppelde socialemedia-accounts van de Klant worden opgehaald, is de Klant de verwerkingsverantwoordelijke en AGITS de verwerker.

1.2 Voor account-, facturatie-, beveiligings- en websitegegevens treedt AGITS op als zelfstandige verwerkingsverantwoordelijke, zoals beschreven in het privacybeleid. Deze Verwerkersovereenkomst is niet van toepassing op die verwerking.

1.3 Begrippen zoals "persoonsgegevens", "verwerking", "betrokkene", "inbreuk in verband met persoonsgegevens" en "toezichthoudende autoriteit" hebben de betekenis uit de AVG.

1.4 Zijn deze Verwerkersovereenkomst en de Voorwaarden tegenstrijdig, dan heeft deze Verwerkersovereenkomst voorrang wat de verwerking van persoonsgegevens betreft.

2. Beschrijving van de verwerking

3. Verplichtingen van AGITS

AGITS zal:

1. persoonsgegevens enkel verwerken op basis van schriftelijke instructies van de Klant, ook wat doorgiften naar derde landen betreft, tenzij een Unierechtelijke of lidstatelijke bepaling haar tot verwerking verplicht; in dat geval brengt AGITS de Klant vooraf op de hoogte, tenzij de wet dat verbiedt. De Voorwaarden, deze Verwerkersovereenkomst en de manier waarop de Klant de Dienst gebruikt en instelt, vormen de volledige instructies van de Klant;
2. de Klant onmiddellijk inlichten als een instructie volgens haar inbreuk maakt op de AVG of andere regels inzake gegevensbescherming;
3. ervoor zorgen dat de personen die gemachtigd zijn om persoonsgegevens te verwerken tot geheimhouding gehouden zijn;
4. de technische en organisatorische maatregelen uit Bijlage 1 nemen;
5. de voorwaarden voor het inschakelen van subverwerkers uit artikel 5 naleven;
6. rekening houdend met de aard van de verwerking de Klant met passende maatregelen bijstaan bij het beantwoorden van verzoeken van betrokkenen (art. 12–22 AVG). Ontvangt AGITS zelf een verzoek, dan bezorgt ze het zonder onredelijke vertraging aan de Klant en beantwoordt ze het niet zelf, behalve om de betrokkene naar de Klant te verwijzen;
7. de Klant bijstaan bij het nakomen van de verplichtingen uit art. 32–36 AVG (beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging), rekening houdend met de informatie waarover AGITS beschikt;
8. alle informatie ter beschikking stellen die nodig is om de naleving van artikel 28 AVG aan te tonen, en audits mogelijk maken zoals beschreven in artikel 8;
9. persoonsgegevens in Klantcontent niet voor eigen doeleinden gebruiken, waaronder het trainen van AI-modellen, marketing of profilering.

4. Verplichtingen van de Klant

De Klant:

1. is verantwoordelijk voor de rechtmatigheid van de verwerking, waaronder een geldige rechtsgrond en het informeren van betrokkenen (bijvoorbeeld personen die afgebeeld staan op afbeeldingen die hij uploadt of publiceert);
2. zorgt dat hij over de nodige rechten en toestemmingen beschikt voor Klantcontent en voor het koppelen van zijn socialemedia-accounts;
3. stelt de Dienst correct in (bijvoorbeeld het beheer van Leden en hun rollen) en houdt zijn aanmeldgegevens veilig;
4. erkent dat content die hij publiceert openbaar wordt op platformen van derden (Meta), die als zelfstandige verwerkingsverantwoordelijken optreden.

5. Subverwerkers

5.1 De Klant geeft AGITS een algemene schriftelijke toestemming om subverwerkers in te schakelen. De actuele lijst staat op Subverwerkers en wordt geacht goedgekeurd te zijn.

5.2 AGITS meldt elke geplande toevoeging of vervanging van een subverwerker minstens 30 dagen vooraf aan de Klant, per e-mail aan de eigenaar van de Werkruimte en door de lijst bij te werken.

5.3 De Klant kan binnen die termijn van 30 dagen om redelijke redenen die verband houden met gegevensbescherming bezwaar maken via privacy@agits.be. De partijen bespreken het bezwaar te goeder trouw. Kan AGITS redelijkerwijs niet aan het bezwaar tegemoetkomen, dan kan de Klant het betrokken abonnement opzeggen voor de wijziging ingaat en krijgt hij de vooruitbetaalde vergoeding voor de resterende periode pro rata terug.

5.4 AGITS legt elke subverwerker bij schriftelijke overeenkomst gegevensbeschermingsverplichtingen op die minstens hetzelfde beschermingsniveau bieden als deze Verwerkersovereenkomst, en blijft tegenover de Klant volledig aansprakelijk voor de nakoming van de verplichtingen van haar subverwerkers.

6. Doorgifte buiten de EER

6.1 AGITS slaat Klantcontent hoofdzakelijk op in de EU (AWS-regio eu-west-1, Ierland).

6.2 Worden persoonsgegevens doorgegeven aan een land buiten de EER zonder adequaatheidsbesluit, dan zorgt AGITS voor een passende waarborg volgens hoofdstuk V AVG, in het bijzonder de standaardcontractbepalingen van de Europese Commissie (Uitvoeringsbesluit (EU) 2021/914, module 3 verwerker-naar-verwerker waar van toepassing) gesloten met de betrokken subverwerker, of certificering onder het EU-VS-gegevensprivacykader, waar nodig aangevuld met bijkomende maatregelen.

6.3 Gepubliceerde mediabestanden worden wereldwijd door het contentleveringsnetwerk gecachet, zodat sociale platformen ze kunnen ophalen; de Klant geeft daartoe de instructie door te kiezen voor publicatie.

7. Inbreuken in verband met persoonsgegevens

7.1 AGITS meldt de Klant een inbreuk in verband met persoonsgegevens die Klantcontent treft zonder onredelijke vertraging en in elk geval binnen 48 uur nadat ze er kennis van kreeg.

7.2 De melding bevat, voor zover beschikbaar: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en registraties, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een contactpunt. De informatie kan in fasen worden verstrekt.

7.3 AGITS neemt redelijke maatregelen om de inbreuk in te dijken en te herstellen en staat de Klant bij voor meldingen aan de toezichthoudende autoriteit en aan betrokkenen. Het melden van een inbreuk is geen erkenning van een fout.

8. Audits

8.1 Op verzoek bezorgt AGITS de Klant de informatie die redelijkerwijs nodig is om de naleving van deze Verwerkersovereenkomst aan te tonen, zoals een beschrijving van haar beveiligingsmaatregelen en beschikbare certificeringen en rapporten van derden over haar subverwerkers (bijvoorbeeld de ISO 27001- en SOC 2-rapporten van AWS).

8.2 Volstaat die informatie niet, of eist een toezichthoudende autoriteit het, dan kan de Klant eenmaal per 12 maanden een audit uitvoeren, met een schriftelijke aankondiging van minstens 30 dagen, tijdens de kantooruren, zonder de werking te verstoren en met inachtneming van geheimhouding. De audit kan worden uitgevoerd door de Klant of door een onafhankelijke auditor die tot geheimhouding gehouden is en geen concurrent van AGITS is.

8.3 Elke partij draagt haar eigen kosten. Voor audits van de infrastructuurleveranciers van AGITS wordt gesteund op hun certificeringen en rapporten.

9. Aansprakelijkheid

De aansprakelijkheidsbepalingen van de Voorwaarden gelden voor deze Verwerkersovereenkomst, onverminderd artikel 82 AVG over de aansprakelijkheid tegenover betrokkenen.

10. Duur, teruggave en verwijdering

10.1 Deze Verwerkersovereenkomst geldt zolang AGITS persoonsgegevens verwerkt in opdracht van de Klant.

10.2 Voor de beëindiging kan de Klant zijn media downloaden en een export van de content van zijn Werkruimte in een gestructureerd formaat aanvragen (zie de Gebruiksvoorwaarden).

10.3 Na het verwijderen van een Werkruimte of Account, of bij het einde van de Dienst, verwijdert AGITS de Klantcontent binnen 30 dagen. Kopieën in roterende back-ups worden binnen 35 dagen overschreven. AGITS mag gegevens enkel bewaren als het Unierecht of lidstatelijk recht opslag verplicht; die gegevens blijven dan beschermd volgens deze Verwerkersovereenkomst.

10.4 Op verzoek bevestigt AGITS de verwijdering schriftelijk.

11. Toepasselijk recht

Op deze Verwerkersovereenkomst is het Belgisch recht van toepassing. Het bevoegdheidsbeding van de Voorwaarden geldt.

12. Taal

Deze Verwerkersovereenkomst bestaat in het Nederlands en het Engels. Beide taalversies hebben dezelfde rechtskracht.

Bijlage 1 – Technische en organisatorische maatregelen

Hosting en locatie

• Alle primaire gegevens worden opgeslagen bij Amazon Web Services, regio eu-west-1 (Ierland), in datacenters met ISO 27001-, ISO 27017-, ISO 27018- en SOC 2-certificering.
• Serverloze architectuur (Lambda, API Gateway, DynamoDB, S3): geen zelf beheerde servers die gepatcht moeten worden.

Versleuteling

• Tijdens transport: TLS 1.2 of hoger voor alle verbindingen tussen browsers, onze API, subverwerkers en sociale platformen. HTTP wordt omgeleid naar HTTPS.
• In opslag: databases, bestandsopslag, back-ups en logs worden versleuteld met AES-256 via door AWS beheerde sleutels (AWS KMS).
• Platformtokens: toegangstokens van Instagram en Facebook worden bijkomend op applicatieniveau versleuteld met Fernet (AES-128-CBC met HMAC-SHA256-authenticatie), met een sleutel die apart in een geheimenopslag wordt bewaard, en worden pas ontsleuteld op het moment van gebruik.
• AGITS bewaart nooit wachtwoorden; authenticatie gebeurt via Amazon Cognito, dat gesalte hashes van wachtwoorden bewaart.

Toegangsbeheer

• IAM volgens minimale rechten: elk onderdeel van de dienst heeft een eigen rol met enkel de rechten die het nodig heeft.
• Meervoudige authenticatie (MFA) verplicht voor alle beheerderstoegang tot de cloudomgeving.
• Beheerderstoegang beperkt tot een klein aantal bij naam gekende medewerkers van AGITS die ze voor hun functie nodig hebben, gebonden door geheimhouding.
• Klantgegevens zijn logisch gescheiden per Werkruimte; bij elk API-verzoek wordt het lidmaatschap en de rol van de gebruiker in de Werkruimte gecontroleerd.
• Aanmeldtokens met beperkte levensduur; rate limiting en misbruikpreventie bij registratie en aanmelding.

Logging en monitoring

• Logging van toegang en activiteit voor beheerdersacties in de cloudomgeving (AWS CloudTrail) en voor verzoeken aan de applicatie (CloudWatch).
• Applicatielogs worden maximaal 90 dagen bewaard en geminimaliseerd om geen content op te slaan.
• Automatische meldingen bij fouten en afwijkingen.

Beschikbaarheid en veerkracht

• Back-ups: point-in-time recovery voor DynamoDB met een doorlopend venster van 35 dagen; S3-opslag ontworpen voor een duurzaamheid van 99,999999999%.
• Infrastructuur vastgelegd als code, wat een reproduceerbaar herstel mogelijk maakt.
• Diensten verspreid over meerdere beschikbaarheidszones binnen de EU-regio.

Veilige ontwikkeling en beheer

• Code review en geautomatiseerde tests voor elke uitrol; afhankelijkheden worden up-to-date gehouden.
• Geheimen worden nooit in de broncode opgeslagen.
• Scheiding tussen ontwikkel- en productieomgevingen.
• Meldingen van kwetsbaarheden worden behandeld via security@agits.be.

Minimale gegevensverwerking en verwijdering

• Enkel gegevens die nodig zijn voor de Dienst worden verzameld; AI-aanbieders ontvangen enkel de context die voor het specifieke verzoek nodig is.
• De AI-aanbieder wordt gebruikt in een betalende versie waarbij prompts en resultaten niet worden gebruikt om modellen te trainen.
• Verwijdering van Klantcontent binnen 30 dagen na het verwijderen van een Werkruimte of Account; back-ups worden binnen 35 dagen overschreven.

Organisatie

• Geheimhoudingsverplichtingen voor alle medewerkers en contractanten met toegang tot gegevens.
• Procedure voor incidentrespons, met melding van inbreuken aan klanten binnen 48 uur.
• Periodieke evaluatie van deze maatregelen en van de subverwerkers.

Gerelateerde documenten: Gebruiksvoorwaarden · Privacybeleid · Subverwerkers