Verwerkersovereenkomst

Artikel 1 — Partijen en rollen

Deze verwerkersovereenkomst geldt tussen Junnect B.V. (‘Verwerker’) en de Klant (‘Verwerkingsverantwoordelijke’) voor alle persoonsgegevens die Verwerker in opdracht van de Klant verwerkt bij de uitvoering van de Overeenkomst.
Waar Junnect persoonsgegevens voor eigen doeleinden verwerkt, zoals accountgegevens van gebruikers van Junnect Studio en de eigen klantadministratie, is Junnect zelf verwerkingsverantwoordelijke en geldt deze overeenkomst niet.
Deze verwerkersovereenkomst maakt deel uit van de Overeenkomst. Bij strijdigheid over de verwerking van persoonsgegevens gaat deze verwerkersovereenkomst voor op de Algemene Voorwaarden.

Artikel 2 — Onderwerp en instructies

Onderwerp, aard, doel, soorten persoonsgegevens en categorieën betrokkenen staan per dienst in bijlage 1. De verwerking duurt zolang de Overeenkomst voor de betreffende dienst loopt.
Verwerker verwerkt persoonsgegevens uitsluitend op schriftelijke instructie van de Klant. De Overeenkomst en de in Junnect Studio gemaakte instellingen gelden als instructie.
Verwerker meldt het de Klant onverwijld als een instructie naar zijn oordeel in strijd is met de wet.
Hoe Verwerker AI inzet en gegevens gebruikt voor de verbetering van zijn systemen, staat in artikel 8a van de Algemene Voorwaarden. Voor merkoverstijgende verbetering worden geen persoonsgegevens gebruikt.

Artikel 3 — Geheimhouding

Verwerker zorgt dat iedereen die onder zijn gezag persoonsgegevens verwerkt, tot geheimhouding is verplicht.

Artikel 4 — Beveiliging

Verwerker neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen. De maatregelen staan in bijlage 3.
Verwerker mag de maatregelen aanpassen, mits het beveiligingsniveau niet daalt.

Artikel 5 — Subverwerkers

De Klant geeft Verwerker algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat op junnect.nl/subverwerkers (bijlage 2).
Verwerker informeert de Klant ten minste 30 dagen voordat een nieuwe subverwerker persoonsgegevens van de Klant gaat verwerken, per e-mail aan het bij Verwerker bekende adres.
De Klant kan binnen die termijn gemotiveerd bezwaar maken. Partijen zoeken dan in overleg naar een oplossing. Lukt dat niet, dan mag de Klant de betreffende dienst opzeggen per de datum waarop de subverwerker zou worden ingezet.
Verwerker legt subverwerkers dezelfde verplichtingen op als in deze verwerkersovereenkomst en blijft tegenover de Klant verantwoordelijk voor hun nakoming.

Artikel 6 — Doorgifte buiten de EER

Verwerker geeft persoonsgegevens alleen door aan landen buiten de Europese Economische Ruimte als daarvoor een passende grondslag bestaat, zoals een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie. De subverwerkerslijst vermeldt per subverwerker of doorgifte plaatsvindt.

Artikel 7 — Rechten van betrokkenen

Verwerker helpt de Klant, voor zover redelijkerwijs mogelijk, bij het afhandelen van verzoeken van betrokkenen. Een verzoek dat rechtstreeks bij Verwerker binnenkomt, stuurt Verwerker door aan de Klant.
Werkzaamheden die buiten de dienst vallen, worden als meerwerk in rekening gebracht (artikel 4 lid 9 van de Algemene Voorwaarden).

Artikel 8 — Inbreuken in verband met persoonsgegevens

Verwerker meldt een inbreuk in verband met persoonsgegevens van de Klant zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat hij die heeft vastgesteld.
De melding bevat, voor zover bekend: de aard van de inbreuk, de betrokken gegevens en betrokkenen, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.
De Klant beoordeelt of de inbreuk moet worden gemeld aan de Autoriteit Persoonsgegevens en aan betrokkenen, en doet die melding zelf. Hoofdstuk 2 artikel 6 van de Servicevoorwaarden blijft van toepassing.

Artikel 9 — Ondersteuning en audit

Verwerker helpt de Klant, voor zover redelijkerwijs mogelijk, bij een gegevensbeschermingseffectbeoordeling en een voorafgaande raadpleging van de toezichthouder.
Verwerker stelt de informatie beschikbaar die nodig is om naleving van deze verwerkersovereenkomst aan te tonen.
De Klant mag ten hoogste eenmaal per jaar, met een aankondiging van ten minste 30 dagen, een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht. De kosten zijn voor de Klant, tenzij de audit een wezenlijke tekortkoming van Verwerker aantoont.

Artikel 10 — Einde

Na afloop van de dienst verwijdert Verwerker de persoonsgegevens van de Klant, of geeft hij ze op verzoek terug, binnen 30 dagen. Gegevens in back-ups verdwijnen volgens de normale back-upcyclus (bijlage 3).
Dit geldt niet voor gegevens die Verwerker op grond van de wet moet bewaren.

Artikel 11 — Aansprakelijkheid

Op de aansprakelijkheid van partijen is artikel 16 van de Algemene Voorwaarden van toepassing.

Bijlage 1 — Verwerkingen per dienst

Dienst	Wat Junnect doet	Soorten persoonsgegevens	Betrokkenen
Digital Infrastructure (hosting, websites, onderhoud, Vulnerability Management)	Hosten, beveiligen, bijwerken en herstellen van websites en mailboxen	Alles wat de Klant op de website of in mailboxen opslaat: formulierinzendingen, bestellingen, klantgegevens, e-mails; bezoekerslogs (IP-adres); beheerdersaccounts	Websitebezoekers, klanten van de Klant, medewerkers van de Klant, correspondenten
Studio — Social	Plannen, maken, laten goedkeuren en publiceren van content; reacties beheren	Content en beeld (herkenbare personen mogelijk), namen van reageerders en vermelde personen, accountgegevens van gekoppelde platforms	Medewerkers van de Klant, volgers en reageerders, afgebeelde personen
Studio — Ads	Campagnes opzetten, meten en optimaliseren; server-side tagging	Gebeurtenissen en cookie-ID’s van websitebezoekers, conversie- en bestelgegevens	Websitebezoekers, klanten van de Klant
Studio — SEO	Website analyseren en verbeteren; content schrijven en plaatsen	Websitecontent (namen mogelijk), geaggregeerde zoekgegevens	Auteurs en personen genoemd op de website
Studio — Mail	Nieuwsbrieven en automations opzetten en versturen in het e-mailplatform van de Klant	Namen, e-mailadressen, segmenten en interactiegegevens van abonnees	Abonnees
Content creation en Campagnes	Foto- en videoproductie, ontwerp, drukwerk, events	Beeld en geluid van personen, namen en contactgegevens van deelnemers	Afgebeelde personen, deelnemers, medewerkers van de Klant

Bijzondere persoonsgegevens worden niet verwerkt, tenzij de Klant die zelf op zijn website of in zijn content plaatst.

Bijlage 2 — Subverwerkers

De actuele lijst: junnect.nl/subverwerkers.

Bijlage 3 — Beveiligingsmaatregelen

Hosting in Nederland bij Rootnet, in een ISO 27001-gecertificeerd datacenter; dagelijkse back-ups naar een tweede Nederlands datacenter, 31 dagen bewaard.
Versleutelde verbindingen (TLS) en een firewall (Cloudflare) voor Studio, Agency SSO en websites die achter Cloudflare staan.
Toegangsgegevens van gekoppelde platforms versleuteld opgeslagen (AES-256).
Medewerkers loggen in via centraal accountbeheer (Microsoft Entra ID) met tweestapsverificatie; toegang tot klantwebsites via Agency SSO, met auditlog.
Toegang op basis van noodzaak; toegangsgegevens van klanten in een wachtwoordmanager.
Wijzigingen aan websites vanuit Studio worden vooraf door een mens beoordeeld, ondertekend, vastgelegd en kunnen worden teruggedraaid.
Doorlopende controle op bekende kwetsbaarheden en malware op de hostingomgeving; beveiligingsupdates volgens hoofdstuk 6 van de Servicevoorwaarden (Vulnerability Management).
Bewaking van de eigen systemen met een externe watchdog en meldingen aan de dienstdoende medewerker.