Verwerkersovereenkomst

Verwerkersovereenkomst IedereDruppelTelt

Versie 2, 25 oktober 2026

Partijen

De gemeente die de licentie afneemt, hierna: Verwerkingsverantwoordelijke;
FluxBolwerk, eenmanszaak van Thys te Poele, handelend onder de naam IedereDruppelTelt, gevestigd aan Bolwerkweg 18, 7121LS, Aalten, KvK-nummer 86731769, hierna: Verwerker.

Samen: Partijen.

Overwegingen

Partijen hebben een licentieovereenkomst gesloten voor het gebruik van de regenwater-rekentool van IedereDruppelTelt, waarop de licentievoorwaarden van toepassing zijn (de Hoofdovereenkomst). Om de Hoofdovereenkomst uit te voeren verwerkt Verwerker persoonsgegevens in opdracht van Verwerkingsverantwoordelijke. In deze overeenkomst leggen Partijen de afspraken vast die artikel 28 van de Algemene Verordening Gegevensbescherming (AVG) vereist.

1. Definities

Begrippen uit de AVG, zoals persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker en inbreuk in verband met persoonsgegevens, hebben de betekenis die de AVG eraan geeft. Verder betekent:

Subverwerker: een andere partij die Verwerker inschakelt om persoonsgegevens te verwerken voor deze overeenkomst;
Datalek: een inbreuk in verband met persoonsgegevens (artikel 4 onder 12 AVG);
Bijlagen: Bijlage 1 (specificatie van de verwerking), Bijlage 2 (beveiligingsmaatregelen) en Bijlage 3 (subverwerkers), die deel uitmaken van deze overeenkomst.

2. Onderwerp en verhouding tot de Hoofdovereenkomst

Verwerker verwerkt de persoonsgegevens uit Bijlage 1 uitsluitend om de Hoofdovereenkomst uit te voeren. Deze overeenkomst maakt deel uit van de Hoofdovereenkomst. Bij strijd gaat deze overeenkomst voor op de Hoofdovereenkomst, voor zover het gaat om de verwerking van persoonsgegevens.

3. Inwerkingtreding en duur

Deze overeenkomst gaat in op het moment dat de Hoofdovereenkomst tot stand komt. Zij loopt zolang de Hoofdovereenkomst loopt en daarna totdat Verwerker alle persoonsgegevens heeft teruggegeven of verwijderd volgens artikel 14. Bepalingen die naar hun aard ook na het einde gelden, zoals geheimhouding, blijven gelden.

4. Omvang van de verwerkingsbevoegdheid

Verwerker verwerkt de persoonsgegevens alleen op schriftelijke instructie van Verwerkingsverantwoordelijke. De Hoofdovereenkomst, deze overeenkomst en de instellingen die Verwerkingsverantwoordelijke in het beheerportaal kiest, gelden als zulke instructies. Verwerker gebruikt de persoonsgegevens niet voor eigen doelen. Een wettelijke plicht om anders te verwerken meldt Verwerker vooraf, tenzij de wet dat verbiedt. Vindt Verwerker dat een instructie in strijd is met de AVG of andere privacywetgeving, dan meldt hij dat direct.

5. Beveiliging

Verwerker neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen, zoals bedoeld in artikel 32 AVG. De maatregelen staan in Bijlage 2. Verwerker gebruikt de Baseline Informatiebeveiliging Overheid (BIO2) als referentiekader bij het kiezen van deze maatregelen. Een onafhankelijke toetsing van de maatregelen tegen de BIO2 heeft nog niet plaatsgevonden. Verwerker houdt de maatregelen actueel en verlaagt het beveiligingsniveau niet zonder toestemming van Verwerkingsverantwoordelijke.

6. Geheimhouding

Verwerker houdt de persoonsgegevens geheim. Hij zorgt ervoor dat iedereen die onder zijn gezag toegang heeft tot de persoonsgegevens tot geheimhouding verplicht is, en dat alleen die personen toegang krijgen die dat voor hun werk nodig hebben. Dit geldt niet als de wet tot bekendmaking verplicht of als Verwerkingsverantwoordelijke schriftelijk toestemming geeft.

7. Subverwerkers

Verwerkingsverantwoordelijke geeft algemene schriftelijke toestemming voor de subverwerkers in Bijlage 3. Verwerker meldt een nieuwe of vervangende subverwerker ten minste 30 dagen vooraf schriftelijk. Verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken; Partijen zoeken dan samen een oplossing. Lukt dat niet, dan mag Verwerkingsverantwoordelijke de Hoofdovereenkomst zonder kosten opzeggen tegen de datum waarop de nieuwe subverwerker zou starten. Verwerker legt aan iedere subverwerker schriftelijk ten minste dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover Verwerkingsverantwoordelijke volledig verantwoordelijk voor de subverwerker.

8. Datalekken

Verwerker meldt een Datalek aan Verwerkingsverantwoordelijke zonder onredelijke vertraging en uiterlijk binnen 72 uur na ontdekking, via de contactpersoon in Bijlage 1. Is de informatie dan nog niet compleet, dan doet Verwerker eerst een eerste melding en vult hij die zo snel mogelijk aan. Is Verwerker zelf niet bereikbaar, dan doet de tweede melder uit Bijlage 1 de melding.

De melding bevat, voor zover bekend:

wat er is gebeurd en wanneer;
de soorten en het geschatte aantal betrokkenen en gegevens;
de waarschijnlijke gevolgen;
de genomen en voorgestelde maatregelen;
een contactpersoon.

Verwerker neemt direct maatregelen om de gevolgen te beperken, houdt Verwerkingsverantwoordelijke op de hoogte en werkt mee aan meldingen aan de toezichthouder en betrokkenen. Verwerker doet zelf geen melding aan de toezichthouder of betrokkenen, tenzij de wet hem daartoe verplicht. Verwerker registreert alle Datalekken.

9. Rechten van betrokkenen

Verwerker helpt Verwerkingsverantwoordelijke met passende maatregelen bij het beantwoorden van verzoeken van betrokkenen (inzage, rectificatie, wissing, beperking, bezwaar en overdraagbaarheid). Krijgt Verwerker zelf een verzoek, dan stuurt hij het zonder vertraging door aan Verwerkingsverantwoordelijke en handelt hij het niet zelf af.

10. Doorgifte buiten de EER

Verwerker slaat de persoonsgegevens op binnen de Europese Unie: de database en de back-ups staan in de EU-jurisdictie van de hostingpartij. Een deel van de subverwerkers in Bijlage 3 maakt deel uit van een bedrijf in de Verenigde Staten. Bovendien kan de hostingpartij een verzoek verwerken in het datacenter dat het dichtst bij de bezoeker staat, ook buiten de EER. Voor die doorgifte gelden passende waarborgen volgens hoofdstuk V van de AVG: het EU-U.S. Data Privacy Framework en de standaardcontractbepalingen van de Europese Commissie, zoals vermeld in Bijlage 3. Met het ondertekenen van deze overeenkomst stemt Verwerkingsverantwoordelijke in met deze doorgifte. Voor elke andere doorgifte naar een land buiten de EER of naar een internationale organisatie is voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke nodig.

11. Overige verplichtingen van Verwerker

Verwerker helpt Verwerkingsverantwoordelijke bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG, waaronder een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging van de Autoriteit Persoonsgegevens. Verwerker houdt een register van verwerkingsactiviteiten bij volgens artikel 30 lid 2 AVG. Verwerker informeert Verwerkingsverantwoordelijke direct over:

een onderzoek of verzoek van een toezichthouder dat deze verwerking betreft;
wijzigingen in de dienst die gevolgen hebben voor de verwerking.

12. Audit

Verwerker stelt alle informatie beschikbaar die nodig is om aan te tonen dat hij deze overeenkomst nakomt. Verwerkingsverantwoordelijke mag de naleving laten controleren door een onafhankelijke deskundige die tot geheimhouding is verplicht. Dat mag maximaal één keer per jaar en na een aankondiging van ten minste 10 werkdagen. Bij een vermoeden van een ernstige tekortkoming mag het ook vaker. Verwerker werkt mee aan de audit.

Heeft Verwerker een geldige verklaring of certificering van een onafhankelijke deskundige, bijvoorbeeld een TPM-verklaring, dan kan die een audit vervangen, als die verklaring de te controleren onderdelen dekt.

Verwerkingsverantwoordelijke draagt de kosten van de audit, tenzij de audit een tekortkoming van Verwerker aan het licht brengt. Dan draagt Verwerker de kosten en herstelt hij de tekortkoming zo snel mogelijk.

13. Aansprakelijkheid

Voor de aansprakelijkheid van Partijen geldt de regeling in de Hoofdovereenkomst (artikel 12 van de licentievoorwaarden). De aansprakelijkheid van Partijen tegenover betrokkenen op grond van artikel 82 AVG blijft onverlet.

14. Beëindiging, teruggave en vernietiging

Na het einde van de Hoofdovereenkomst geeft Verwerker de persoonsgegevens terug in een gangbaar bestandsformaat, op verzoek van Verwerkingsverantwoordelijke. Dat verzoek moet binnen 30 dagen na het einde worden gedaan. Daarna gebeurt het volgende:

Verwerker verwijdert alle persoonsgegevens binnen 30 dagen na het verstrijken van die termijn, dus uiterlijk 60 dagen na het einde van de Hoofdovereenkomst.
Accounts van beheerders verwijdert Verwerker binnen 30 dagen na het einde.
Verwijderde gegevens staan daarna nog in de back-ups. Die verdwijnen automatisch: het terugzetpunt van de database na 30 dagen, de nachtelijke versleutelde export na 35 dagen.

Verwerker bevestigt de verwijdering op verzoek schriftelijk. Verwerker bewaart geen gegevens langer, tenzij de wet hem daartoe verplicht; dat meldt hij dan.

15. Wijziging

Wijzigingen van deze overeenkomst gelden alleen als Partijen ze schriftelijk zijn overeengekomen, behalve een wijziging van Bijlage 3 volgens artikel 7. Partijen passen deze overeenkomst aan als een wijziging van de wet of van de dienst dat nodig maakt.

16. Toepasselijk recht en geschillen

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden behandeld zoals in de Hoofdovereenkomst is bepaald.

Bijlage 1 – Specificatie van de verwerking

Doel en aard

Het doel is de Rekentool van Verwerkingsverantwoordelijke leveren en beheren. Daaronder vallen:

berekeningen en adres zoeken voor inwoners;
regels op een adres tonen;
gebruiksstatistiek voor de gemeente;
het beheerportaal en de beveiliging daarvan.

Verwerker slaat gegevens op, raadpleegt ze, geeft een zoekvraag door aan de bronnen in Bijlage 3 en verwijdert gegevens na de bewaartermijn.

Betrokkenen

Inwoners en andere bezoekers die de Rekentool van de gemeente gebruiken.
Medewerkers van de gemeente en andere personen die de gemeente als beheerder aanwijst.

Persoonsgegevens en bewaartermijnen

Gegevens	Bewaartermijn
Beheerders: e-mailadres, naam (optioneel), rol, wachtwoord (alleen als hash; leeg bij inloggen met Microsoft), tweestapsverificatie-geheim (versleuteld), bij inloggen met Microsoft het tenant-ID en object-ID, laatste inlog, aantal mislukte pogingen op rij en een eventuele blokkade	Zolang het account bestaat; uiterlijk 30 dagen na het einde van de licentie verwijderd
Inlogsessies van beheerders: sessiecode (alleen als hash), browser (user agent), verloopdatum	30 dagen na verlopen of intrekken
Mislukte inlogpogingen en blokkades: account-id en een ingekorte, versleutelde afgeleide (HMAC) van het IP-adres, nooit het IP-adres zelf	Tot het einde van de reeks of de blokkade
Audit-log: wie, wat en wanneer, met IP-adres; met een hashketen beveiligd tegen ongemerkte wijziging	730 dagen
Mail aan beheerders die niet verstuurd kon worden: ontvanger, onderwerp, inhoud en foutmelding	Inhoud 30 dagen, de registratie 180 dagen
Gebruiksstatistiek (gepseudonimiseerd): willekeurige code per browsertabblad, gemeente, aantal personen, dakoppervlak afgerond op 10 m², keuzes en uitkomsten; geen naam, adres of IP-adres. Per rekentool uit te zetten	730 dagen
Adres zoeken: adres, coördinaat, pand, bouwjaar en oppervlakte uit PDOK (niet gekoppeld aan een berekening of persoon)	Maximaal 30 dagen gebruikt, na 90 dagen verwijderd
Regels op adres: de locatie van het adres (een punt) gaat naar het DSO. Het antwoord staat in een cache onder een versleutelde sleutel, zonder de locatie	24 uur
Foutlogboek: alleen wat er misging, zonder IP-adres, coördinaten of tokens; e-mailadressen alleen als korte hash	7 dagen
Back-ups van bovenstaande gegevens	Terugzetpunt van de database 30 dagen; nachtelijke versleutelde export 35 dagen

Er worden geen bijzondere persoonsgegevens en geen burgerservicenummers verwerkt.

Locatie van de verwerking

De database en de back-ups staan bij Cloudflare in de EU-jurisdictie, in datacenters binnen de Europese Unie. Verzoeken van bezoekers verwerkt Cloudflare in het datacenter dat het dichtst bij de bezoeker staat (zie artikel 10). E-mail verloopt via Microsoft 365 binnen de EU Data Boundary van Microsoft.

Contactpersonen

Verwerker: Thys te Poele, thys@iederedruppeltelt.nl, ook voor meldingen van Datalekken.

Tweede melder voor Datalekken: aiwatwil (Sven Rietberg), sven@aiwatwil.nl.

Verwerkingsverantwoordelijke: de contactpersoon die bij de licentieaanvraag is opgegeven, of een andere contactpersoon (bijvoorbeeld de privacy officer of functionaris gegevensbescherming) die Verwerkingsverantwoordelijke schriftelijk doorgeeft.

Bijlage 2 – Beveiligingsmaatregelen

Referentiekader: de Baseline Informatiebeveiliging Overheid (BIO2), voor zover van toepassing op de dienst. Een onafhankelijke toetsing daartegen heeft nog niet plaatsgevonden.

Getroffen maatregelen

Verbindingen

Alle verbindingen gaan via HTTPS, met HSTS en beveiligingsheaders, waaronder een Content-Security-Policy.
Er zijn geen trackers of scripts van derden.

Inloggen

Tweestapsverificatie is verplicht voor beheerders. Bij inloggen met Microsoft weigert het platform een login zonder tweestapsverificatie. Een sessie via Microsoft duurt hooguit 12 uur.
Wachtwoorden staan alleen als hash opgeslagen, tweestapsverificatie-geheimen versleuteld.
Na herhaalde mislukte pogingen wordt een account tijdelijk geblokkeerd. Formulieren en het inloggen zijn begrensd per herkomst.

Toegang en logging

Toegang is rolgebaseerd: beheerders zien alleen de gegevens van hun eigen gemeente.
De audit-log heeft een hashketen, zodat een ongemerkte wijziging van het log te ontdekken is.

Platform

Het platform draait als geïsoleerde serverless toepassing (Cloudflare Workers), zonder eigen server of bestandssysteem.
Geheimen staan in de geheimenopslag van het platform, niet in de broncode.

Externe bronnen

Adres zoeken en regels op adres lopen via het platform. Daardoor zien PDOK en het DSO het IP-adres van de inwoner niet.
Het foutlogboek bevat geen IP-adressen.

Back-ups en bewaartermijnen

De database heeft een terugzetpunt van 30 dagen.
Daarnaast is er elke nacht een export die 35 dagen bewaard wordt. De export wordt versleuteld met een publieke sleutel. De sleutel om te ontsleutelen staat niet bij de hostingpartij.
Alle gegevens zijn bij de hostingpartij ook versleuteld opgeslagen.
Gegevens worden automatisch verwijderd na de bewaartermijnen uit Bijlage 1.

Beheertoegang

Alleen Verwerker en de subverwerkers voor technisch beheer uit Bijlage 3 hebben beheertoegang tot de hostingomgeving en de database. Zij doen dat met persoonlijke accounts met tweestapsverificatie.

Patch- en kwetsbaarhedenbeheer

Afhankelijkheden worden automatisch gecontroleerd op bekende kwetsbaarheden (Dependabot en npm audit).
De broncode wordt gecontroleerd op gelekte geheimen (gitleaks).
Een nieuwe versie wordt alleen uitgerold als alle geautomatiseerde tests slagen.

Beveiligingstests

Bij elke wijziging draait een geautomatiseerde beveiligingsscan (OWASP ZAP-baseline). Dat gebeurde voor het laatst bij versie 9.3.0 op 24 oktober 2026.
Aanvullende maatregelen volgen in de loop van 2027.

Bijlage 3 – Subverwerkers

Subverwerker	Dienst	Locatie en waarborgen
Cloudflare, Inc.	Hosting van het platform, de database en de back-ups	Database en back-ups in de EU-jurisdictie (EU). Verzoeken in het dichtstbijzijnde datacenter. Moederbedrijf in de VS: EU-U.S. Data Privacy Framework, met de standaardcontractbepalingen als aanvullende waarborg
Microsoft Ireland Operations Ltd.	Versturen van e-mail aan beheerders (uitnodigingen, wachtwoordherstel, meldingen) via Microsoft 365	Ierland, EU Data Boundary. Moederbedrijf in de VS: EU-U.S. Data Privacy Framework en de standaardcontractbepalingen
aiwatwil, eenmanszaak van Sven Rietberg (KvK 42192250)	Technisch beheer van het platform; tweede melder voor Datalekken	Lievelde, Nederland
Eekelder Tech, eenmanszaak van Bart Eekelder (KvK 42192166)	Technisch beheer van het platform	Beltrum, Nederland

Overige ontvangers (geen subverwerker)

PDOK (Kadaster) en het Digitaal Stelsel Omgevingswet (DSO, Omgevingsloket) zijn openbare overheidsbronnen. Zij ontvangen alleen de zoekvraag of de locatie van een adres. Dat gaat via het platform, dus zonder het IP-adres van de inwoner.
Inloggen met Microsoft loopt via de eigen Microsoft-omgeving van Verwerkingsverantwoordelijke. Het platform bewaart daarvan alleen het tenant-ID en het object-ID.
De bewakingsdiensten Healthchecks.io en Better Stack ontvangen alleen technische statusinformatie, geen persoonsgegevens.
Betalingen via Mollie horen niet bij deze verwerking.