Verwerkersovereenkomst

Deze Verwerkersovereenkomst ("VWO") is van toepassing op de verwerking van persoonsgegevens door Adbrains B.V. ("Verwerker") namens de Klant ("Verwerkingsverantwoordelijke") in het kader van de dienstverleningsovereenkomst.

Artikel 1, Definities

• AVG: Verordening (EU) 2016/679 (Algemene Verordening Gegevensbescherming)
• Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon
• Verwerking: elke bewerking van persoonsgegevens als bedoeld in de AVG
• Inbreuk: een inbreuk in verband met persoonsgegevens als bedoeld in art. 4 lid 12 AVG

Artikel 2, Doel & aard van de verwerking

Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van:

• Het beheren en optimaliseren van Google Ads campagnes namens Verwerkingsverantwoordelijke
• Het doorzenden van conversiedata naar Google Ads en eventueel Meta
• Het genereren van campagnerapportages en AI-analyses
• Het aanbieden van het klantportaal en dashboard

Categorieën betrokkenen: websitebezoekers en klanten van Verwerkingsverantwoordelijke.

Categorieën persoonsgegevens: IP-adressen, klikidentifiers (GCLID, fbclid), e-mailadressen, conversiedata.

Artikel 3, Verplichtingen verwerker

Verwerker verplicht zich tot:

• Verwerking uitsluitend conform schriftelijke instructies van Verwerkingsverantwoordelijke
• Geheimhouding van persoonsgegevens jegens derden
• Passende technische en organisatorische beveiligingsmaatregelen (art. 32 AVG)
• Geen inschakeling van subverwerkers zonder voorafgaande toestemming van Verwerkingsverantwoordelijke
• Medewerking aan rechten van betrokkenen

Artikel 4, Subverwerkers

Verwerkingsverantwoordelijke geeft toestemming voor inschakeling van de volgende subverwerkers:

• Google LLC, Google Ads API, Google Analytics, Google Cloud
• Anthropic, PBC, Claude AI API (geanonimiseerde campagnedata)
• Hosting providers, serverinfrastructuur (EU-gebaseerd)

Verwerker informeert Verwerkingsverantwoordelijke over wijzigingen in subverwerkers. Verwerkingsverantwoordelijke heeft het recht bezwaar te maken.

Artikel 5, Beveiliging (art. 32 AVG)

Verwerker implementeert en onderhoudt passende technische en organisatorische maatregelen:

• Versleuteling van persoonsgegevens in rust en in transit (AES-256, TLS 1.2+)
• Tweefactorauthenticatie voor toegang tot systemen
• Pseudonimisering van analytische data waar mogelijk
• Regelmatige beveiligingstests en toegangsreviews
• Procedures voor herstel na incidenten

Artikel 6, Datalekken & incidenten

Bij een inbreuk op persoonsgegevens informeert Verwerker Verwerkingsverantwoordelijke zo snel mogelijk en uiterlijk binnen 72 uur na ontdekking. De melding bevat: aard van de inbreuk, categorieën en aantallen betrokkenen, verwachte gevolgen en genomen maatregelen.

Artikel 7, Doorgifte buiten EER

Verwerker geeft persoonsgegevens niet door aan landen buiten de EER, tenzij dit noodzakelijk is (bijv. Google/Anthropic in de VS) en voldoet aan art. 46 AVG via Standard Contractual Clauses (SCC's) van de Europese Commissie.

Artikel 8, Rechten van betrokkenen

Verwerker verleent medewerking aan Verwerkingsverantwoordelijke bij het afhandelen van verzoeken van betrokkenen (inzage, rectificatie, verwijdering etc.) binnen een termijn die Verwerkingsverantwoordelijke in staat stelt de wettelijke termijn van 30 dagen te halen.

Artikel 9, Audit & controle

Verwerker stelt Verwerkingsverantwoordelijke in staat audits uit te voeren of te laten uitvoeren door een onafhankelijke derde, met inachtneming van een aankondigingstermijn van ten minste 30 dagen en onder geheimhoudingsplicht.

Artikel 10, Verwijdering & teruggave

Na beëindiging van de overeenkomst verwijdert Verwerker alle persoonsgegevens binnen 90 dagen, tenzij wettelijke bewaarplicht van toepassing is. Op verzoek levert Verwerker een schriftelijke bevestiging van verwijdering.

Artikel 11, Toepasselijk recht

Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter te Rotterdam.