Versie 1.0, 14 september 2026

Deze verwerkersovereenkomst maakt automatisch deel uit van elke overeenkomst tussen Uptick en een opdrachtgever, op het moment dat Uptick persoonsgegevens verwerkt in opdracht van die opdrachtgever. Je hoeft hem niet apart te ondertekenen. Wil je een ondertekend exemplaar, dan sturen we dat op verzoek toe.

Artikel 1. Definities

• Uptick: de onderneming ingeschreven bij de Kamer van Koophandel onder nummer 98730185, in deze overeenkomst de verwerker.
• Opdrachtgever: de wederpartij bij de overeenkomst met Uptick, in deze overeenkomst de verwerkingsverantwoordelijke.
• Overeenkomst: de overeenkomst tussen Uptick en opdrachtgever waar deze verwerkersovereenkomst deel van uitmaakt.
• AVG: de Algemene Verordening Gegevensbescherming.
• Persoonsgegevens: de persoonsgegevens die Uptick in opdracht van opdrachtgever verwerkt binnen de dienst, zoals beschreven in bijlage A.
• Betrokkene: de persoon op wie persoonsgegevens betrekking hebben.
• Subverwerker: een partij die Uptick inschakelt om persoonsgegevens te verwerken bij het uitvoeren van de dienst.

Artikel 2. Onderwerp en duur

• 2.1. Deze verwerkersovereenkomst regelt de verwerking van persoonsgegevens door Uptick in opdracht van opdrachtgever, en maakt deel uit van de overeenkomst.
• 2.2. Deze verwerkersovereenkomst volgt de duur van de overeenkomst. Eindigt de overeenkomst, dan eindigt deze verwerkersovereenkomst op hetzelfde moment, met uitzondering van de bepalingen die naar hun aard blijven gelden, zoals geheimhouding en artikel 12.

Artikel 3. Verwerking van persoonsgegevens

• 3.1. Uptick verwerkt persoonsgegevens uitsluitend op basis van de schriftelijke instructies van opdrachtgever, waaronder de instructies die volgen uit de overeenkomst en uit het gebruik van de dienst zelf.
• 3.2. De categorieën betrokkenen, categorieën gegevens en doeleinden staan in bijlage A.
• 3.3. Uptick gebruikt de persoonsgegevens nooit voor eigen doeleinden, en niet voor andere klanten dan opdrachtgever.
• 3.4. Is Uptick van mening dat een instructie van opdrachtgever in strijd is met de AVG of andere wetgeving over gegevensbescherming, dan meldt Uptick dat voordat de instructie wordt uitgevoerd.

Artikel 4. Verplichtingen van Uptick

• 4.1. Uptick houdt persoonsgegevens vertrouwelijk en verwerkt ze niet voor andere doeleinden dan waarvoor ze zijn verstrekt.
• 4.2. Uptick zorgt dat iedereen die bij Uptick toegang heeft tot de persoonsgegevens, gebonden is aan geheimhouding, hetzij door een arbeidsovereenkomst, hetzij door een aparte overeenkomst.
• 4.3. Uptick helpt opdrachtgever, voor zover redelijkerwijs mogelijk, bij het afhandelen van verzoeken van betrokkenen die hun rechten onder de AVG willen uitoefenen.
• 4.4. Uptick helpt opdrachtgever, voor zover redelijkerwijs mogelijk, bij het uitvoeren van een gegevensbeschermingseffectbeoordeling en bij eventueel vooroverleg met de Autoriteit Persoonsgegevens dat daaruit volgt.
• 4.5. Uptick houdt een register bij van de verwerkingen die het voor opdrachtgever uitvoert, zoals de AVG dat voorschrijft voor een verwerker.

Artikel 5. Subverwerkers

• 5.1. Opdrachtgever geeft Uptick algemene schriftelijke toestemming om subverwerkers in te schakelen voor het uitvoeren van de dienst.
• 5.2. De subverwerkers die Uptick op dit moment inschakelt, staan in bijlage B.
• 5.3. Wil Uptick een subverwerker toevoegen of vervangen, dan meldt Uptick dat minstens 30 dagen van tevoren. Opdrachtgever kan binnen die termijn gemotiveerd bezwaar maken tegen de wijziging.
• 5.4. Uptick legt iedere subverwerker dezelfde verplichtingen op als in deze verwerkersovereenkomst staan, voor zover die passen bij wat de subverwerker doet.

Artikel 6. Beveiliging

• 6.1. Uptick treft de technische en organisatorische maatregelen die in bijlage C staan, om persoonsgegevens te beveiligen tegen verlies en tegen onrechtmatige verwerking.
• 6.2. Uptick past deze maatregelen aan naarmate de techniek en de risico's veranderen, en houdt daarbij een beveiligingsniveau aan dat past bij het risico van de verwerking.

Artikel 7. Datalekken

• 7.1. Ontdekt Uptick een beveiligingsincident dat waarschijnlijk een datalek is bij persoonsgegevens die het voor opdrachtgever verwerkt, dan meldt Uptick dat aan opdrachtgever zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking.
• 7.2. Uptick geeft bij die melding de informatie die opdrachtgever nodig heeft om zelf, als dat moet, een melding te doen bij de Autoriteit Persoonsgegevens en aan betrokkenen.
• 7.3. Uptick meldt een datalek niet zelf bij de Autoriteit Persoonsgegevens of bij betrokkenen, tenzij partijen dat samen anders afspreken. Die melding is aan opdrachtgever als verwerkingsverantwoordelijke.

Artikel 8. Rechten van betrokkenen

• 8.1. Ontvangt Uptick rechtstreeks een verzoek van een betrokkene dat over persoonsgegevens van opdrachtgever gaat, dan stuurt Uptick dat verzoek binnen 5 werkdagen door naar opdrachtgever.
• 8.2. Uptick helpt opdrachtgever bij het afhandelen van zulke verzoeken. Vraagt dat om een uitgebreide inspanning, dan mag Uptick dat in rekening brengen tegen kostprijs.

Artikel 9. Audits

• 9.1. Opdrachtgever mag hoogstens een keer per jaar laten controleren of Uptick deze verwerkersovereenkomst naleeft.
• 9.2. Opdrachtgever kondigt een audit minstens 30 dagen van tevoren aan, en de audit vindt plaats tijdens kantoortijden, op een manier die de bedrijfsvoering van Uptick zo min mogelijk verstoort.
• 9.3. De kosten van een audit zijn voor opdrachtgever, tenzij de audit ernstige tekortkomingen aan het licht brengt. In dat geval zijn de kosten voor Uptick.
• 9.4. Uptick mag een audit eerst beantwoorden met een recent rapport van een onafhankelijke partij over zijn beveiliging, als dat de vraag van opdrachtgever redelijkerwijs beantwoordt.

Artikel 10. Doorgifte buiten de EER

• 10.1. Verwerkt Uptick of een subverwerker persoonsgegevens buiten de Europese Economische Ruimte, dan gebeurt dat alleen op basis van een adequaatheidsbesluit van de Europese Commissie of op basis van de standaardcontractbepalingen van de Europese Commissie.

Artikel 11. Aansprakelijkheid

• 11.1. De aansprakelijkheid van Uptick onder deze verwerkersovereenkomst volgt de beperking van aansprakelijkheid uit de algemene voorwaarden van Uptick.
• 11.2. Een boete die de Autoriteit Persoonsgegevens oplegt vanwege een tekortkoming van een partij, komt voor rekening van de partij die de tekortkoming heeft veroorzaakt.

Artikel 12. Einde

• 12.1. Na het einde van deze verwerkersovereenkomst verwijdert Uptick de persoonsgegevens, of geeft ze terug aan opdrachtgever, binnen 30 dagen, tenzij de wet Uptick verplicht om bepaalde gegevens langer te bewaren.
• 12.2. Uptick bevestigt de verwijdering op verzoek van opdrachtgever.

Artikel 13. Slotbepalingen

• 13.1. Wijkt deze verwerkersovereenkomst op het punt van gegevensbescherming af van de algemene voorwaarden, dan gaat deze verwerkersovereenkomst voor.
• 13.2. Op deze verwerkersovereenkomst is Nederlands recht van toepassing.
• 13.3. Wijzigingen van deze verwerkersovereenkomst zijn alleen geldig als partijen ze schriftelijk zijn overeengekomen.

Bijlage A. Verwerkingen

Bijlage B. Subverwerkers

Bijlage C. Beveiligingsmaatregelen

• Versleutelde verbindingen met TLS.
• Versleuteling van gegevens in opslag.
• Scheiding van klantgegevens in de database met row level security.
• Tweestapsverificatie voor accounts.
• Toegang op basis van rollen, iedereen krijgt alleen toegang tot wat nodig is voor het eigen werk.
• Logging en een audit trail van wie bij welke gegevens is geweest.
• Dagelijkse back-ups die binnen de EU worden bewaard.
• Gescheiden omgevingen voor ontwikkeling, testen en productie.
• Veilige ontwikkelpraktijken en het actueel houden van software-afhankelijkheden.
• Een vaste procedure voor het afhandelen van incidenten.