Verwerkersovereenkomst

CONCEPT — juridische review in behandeling. Dit document is een zorgvuldig opgesteld concept en is nog niet beoordeeld door een advocaat. Aan deze versie kunnen geen rechten worden ontleend totdat de definitieve versie is gepubliceerd.

Versie 1 (concept) — 13 juli 2026

Deze verwerkersovereenkomst ("Verwerkersovereenkomst") maakt onderdeel uit van de overeenkomst tussen Picked B.V. ("Verwerker", "Picked") en de klant die een workspace op picked.nl gebruikt ("Verwerkingsverantwoordelijke", de "Klant"), zoals bedoeld in artikel 28 lid 3 van de Algemene Verordening Gegevensbescherming (AVG).

Deze Verwerkersovereenkomst is door Picked vooraf ondertekend (zie artikel 12). De Klant aanvaardt haar digitaal in het portaal; die aanvaarding wordt vastgelegd met workspace, gebruiker, documentversie en tijdstip en geldt als ondertekening door de Klant.

1. Onderwerp en duur

1.1. Picked verwerkt in opdracht van de Klant persoonsgegevens die de Klant in de dienst Picked invoert of laat invoeren ("Klantdata"), uitsluitend voor het leveren van de dienst zoals beschreven in de Algemene Voorwaarden.

1.2. Deze Verwerkersovereenkomst duurt zolang de hoofdovereenkomst duurt, en daarna zolang Picked Klantdata onder zich heeft.

2. Aard, doel en categorieën (Bijlage A)

De aard en het doel van de verwerking, de categorieën betrokkenen en de categorieën persoonsgegevens zijn beschreven in Bijlage A. De Klant garandeert dat hij een geldige grondslag heeft voor de verwerking van de Klantdata en dat de instructie tot verwerken rechtmatig is.

3. Instructies

3.1. Picked verwerkt Klantdata uitsluitend op basis van schriftelijke instructies van de Klant. Het gebruik van de dienst (inclusief configuratie in het portaal en API-aanroepen) geldt als instructie.

3.2. Picked verwerkt Klantdata niet voor eigen doeleinden en traint er geen modellen op. Geaggregeerde, niet tot personen of de Klant herleidbare statistieken vallen buiten het begrip Klantdata.

3.3. Als Picked meent dat een instructie in strijd is met de AVG, informeert Picked de Klant daarover onverwijld.

4. Vertrouwelijkheid

Personen die onder gezag van Picked Klantdata verwerken zijn gebonden aan vertrouwelijkheid. Toegang tot Klantdata is beperkt tot wat noodzakelijk is voor het leveren en ondersteunen van de dienst.

5. Beveiliging (Bijlage B)

Picked treft passende technische en organisatorische maatregelen zoals beschreven in Bijlage B. Picked mag deze maatregelen actualiseren, mits het beschermingsniveau niet wezenlijk daalt.

6. Sub-verwerkers (Bijlage C)

6.1. De Klant geeft algemene toestemming voor het inschakelen van sub-verwerkers. De actuele lijst staat op picked.nl/legal/sub-processors en is als Bijlage C onderdeel van deze Verwerkersovereenkomst.

6.2. Bij een voorgenomen toevoeging of vervanging werkt Picked de lijst bij en informeert Picked de Klant (via het portaal of e-mail) ten minste 30 dagen vooraf. De Klant kan binnen die termijn gemotiveerd bezwaar maken; komen partijen er niet uit, dan mag de Klant de hoofdovereenkomst opzeggen tegen de datum waarop de wijziging ingaat.

6.3. Picked legt aan sub-verwerkers verplichtingen op die gelijkwaardig zijn aan deze Verwerkersovereenkomst en blijft jegens de Klant verantwoordelijk voor hun nakoming.

6.4. Magazijndata wordt standaard opgeslagen in Nederland. Voor sub-verwerkers buiten de EER worden passende waarborgen getroffen (zoals EU-standaardcontractbepalingen); de bijzonderheden staan per sub-verwerker in Bijlage C.

7. Bijstand aan de Klant

7.1. Picked ondersteunt de Klant, rekening houdend met de aard van de verwerking, bij het beantwoorden van verzoeken van betrokkenen (inzage, rectificatie, verwijdering, overdraagbaarheid). Voor een groot deel kan dit self-service: gegevens zijn in het portaal in te zien en te corrigeren, en een volledige export is beschikbaar via Instellingen → Data & privacy.

7.2. Picked ondersteunt de Klant bij verplichtingen uit artikelen 32 t/m 36 AVG (beveiliging, meldplicht, DPIA), voor zover de benodigde informatie bij Picked berust.

8. Datalekken

Picked informeert de Klant zonder onredelijke vertraging nadat Picked een inbreuk in verband met persoonsgegevens heeft vastgesteld die (mogelijk) Klantdata raakt, met de informatie die de Klant nodig heeft voor de eigen meldplicht (aard van de inbreuk, betrokken categorieën, waarschijnlijke gevolgen, genomen maatregelen). De melding aan de Autoriteit Persoonsgegevens en aan betrokkenen is de verantwoordelijkheid van de Klant als verwerkingsverantwoordelijke.

9. Audit

9.1. Picked stelt op verzoek informatie beschikbaar die redelijkerwijs nodig is om naleving van deze Verwerkersovereenkomst aan te tonen, waaronder de beveiligingsbeschrijving op picked.nl/security en Bijlage B.

9.2. Maximaal eenmaal per jaar, na 30 dagen aankondiging, mag de Klant (of een onafhankelijke, aan vertrouwelijkheid gebonden auditor die geen concurrent van Picked is) een audit uitvoeren, tijdens kantooruren en zonder onevenredige verstoring. Ieder draagt de eigen kosten.

10. Verwijdering en teruggave

10.1. Gedurende de overeenkomst kan de Klant Klantdata exporteren via het portaal (JSON/CSV).

10.2. Na het einde van de hoofdovereenkomst geldt een herstelperiode van 30 dagen waarin de Klant nog een export kan opvragen. Daarna verwijdert Picked alle Klantdata definitief: databaserecords en bestanden worden gewist en gebeurtenisregistraties worden onomkeerbaar geanonimiseerd. Gewiste gegevens kunnen tot 90 dagen aanwezig blijven in versleutelde reservekopieën, waarna ze automatisch verlopen; reservekopieën worden nooit gebruikt om gewiste gegevens terug te zetten in productiesystemen. Van de verwijdering wordt een controleerbaar logboek-artefact bewaard dat zelf geen persoonsgegevens bevat.

10.3. Wettelijke bewaarplichten (zoals fiscale bewaring van facturen) blijven onverlet.

11. Aansprakelijkheid

Voor aansprakelijkheid onder deze Verwerkersovereenkomst geldt de aansprakelijkheidsregeling uit de Algemene Voorwaarden, voor zover dwingend recht (waaronder artikel 82 AVG) niet anders bepaalt.

12. Ondertekening

Vooraf ondertekend namens Picked B.V.:

Namens de Klant: digitale aanvaarding in het portaal (vastgelegd met workspace, gebruiker, documentversie en tijdstip) geldt als ondertekening.

Bijlage A — Verwerkingsdetails

Bijlage B — Technische en organisatorische maatregelen

• Versleutelde verbindingen (TLS) voor alle verkeer; versleutelde opslag van koppelings- en toegangsgegevens.
• Strikte tenant-isolatie, afgedwongen in de applicatielaag en continu bewaakt met geautomatiseerde (architectuur)tests.
• Toegangsbeheer op basis van rollen en rechten; tweefactorauthenticatie beschikbaar voor alle accounts.
• Logging van beheer- en beveiligingsrelevante handelingen (audit log, in het portaal inzichtelijk voor de Klant).
• Infrastructuur in Nederland (TransIP), met gescheiden productieomgeving en geheimenbeheer buiten de broncode.
• Foutrapportage met verwijdering van persoonsgegevens vóór verzending (PII-scrubbing).
• Kwetsbaarhedenbeleid en gecoördineerde melding via picked.nl/security en security.txt.
• Verwijderings- en anonimiseringsprocedure bij offboarding (zie artikel 10), inclusief media en exports.

Bijlage C — Sub-verwerkers

De actuele lijst op picked.nl/legal/sub-processors geldt als Bijlage C. Wijzigingen verlopen volgens artikel 6.