Verwerkersovereenkomst

Standaard verwerkersovereenkomst (AVG artikel 28) bij de dienstverlening van Voxigo. Versie 1.0, november 2026.

Partijen

1. De klant die met Voxigo een overeenkomst voor dienstverlening heeft gesloten, hierna: "Verwerkingsverantwoordelijke".

2. Fit4Phones B.V., handelend onder de naam Voxigo, gevestigd aan de Dr. J. Wasscherstraat 6, 1432 PS Aalsmeer, ingeschreven bij de Kamer van Koophandel onder nummer 51628627, hierna: "Verwerker".

Overwegingen

a) Verwerker levert aan Verwerkingsverantwoordelijke diensten op het gebied van telefonie, mobiele telefonie, internet, netwerken, beveiliging en IT-beheer, zoals vastgelegd in de offerte, de service order en de Algemene Voorwaarden Dienstverlening van Voxigo (samen: de "Hoofdovereenkomst").

b) Bij het uitvoeren van de Hoofdovereenkomst verwerkt Verwerker persoonsgegevens in opdracht van Verwerkingsverantwoordelijke.

c) Partijen leggen in deze verwerkersovereenkomst vast welke afspraken daarvoor gelden, zoals bedoeld in artikel 28 van de Algemene Verordening Gegevensbescherming (AVG).

Artikel 1. Definities

Begrippen in deze overeenkomst hebben de betekenis die de AVG eraan geeft, zoals persoonsgegevens, verwerking, betrokkene, subverwerker en inbreuk in verband met persoonsgegevens (datalek).

Artikel 2. Onderwerp en duur

1. Verwerker verwerkt persoonsgegevens uitsluitend voor het uitvoeren van de Hoofdovereenkomst en volgens de schriftelijke instructies van Verwerkingsverantwoordelijke. Deze overeenkomst en de Hoofdovereenkomst gelden als die instructies.

2. Bijlage 1 beschrijft de verwerkingen: doeleinden, soorten persoonsgegevens, categorieën betrokkenen en bewaartermijnen.

3. Deze overeenkomst geldt zolang Verwerker persoonsgegevens verwerkt voor Verwerkingsverantwoordelijke en eindigt automatisch wanneer de Hoofdovereenkomst eindigt en alle persoonsgegevens zijn teruggegeven of verwijderd.

Artikel 3. Verplichtingen van Verwerker

1. Verwerker verwerkt de persoonsgegevens niet voor eigen doeleinden en niet anders dan nodig is voor de Hoofdovereenkomst, tenzij een wettelijke plicht dat vereist. In dat geval informeert Verwerker Verwerkingsverantwoordelijke vooraf, tenzij de wet dat verbiedt.

2. Verwerker meldt het direct als een instructie volgens hem in strijd is met de AVG of andere wetgeving.

3. Verwerker zorgt dat medewerkers en andere personen die toegang hebben tot de persoonsgegevens tot geheimhouding verplicht zijn.

4. Verwerker houdt een register bij van de verwerkingen die hij voor Verwerkingsverantwoordelijke uitvoert, voor zover de AVG dat vereist.

Artikel 4. Beveiliging

1. Verwerker neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en tegen elke vorm van onrechtmatige verwerking, zoals bedoeld in artikel 32 AVG. Daarbij houdt Verwerker rekening met de stand van de techniek, de kosten en de risico's van de verwerking.

2. Bijlage 3 beschrijft de maatregelen die Verwerker in ieder geval neemt.

3. Verwerker mag de maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.

Artikel 5. Subverwerkers

1. Verwerkingsverantwoordelijke geeft Verwerker algemene toestemming om subverwerkers in te schakelen. De subverwerkers die Verwerker op dit moment inschakelt, staan in Bijlage 2.

2. Verwerker informeert Verwerkingsverantwoordelijke vooraf over het toevoegen of vervangen van een subverwerker. Verwerkingsverantwoordelijke kan binnen 14 dagen met redenen bezwaar maken. Partijen overleggen dan over een oplossing; komen zij er niet uit, dan mag Verwerkingsverantwoordelijke het betreffende deel van de dienstverlening beëindigen.

3. Verwerker legt subverwerkers ten minste dezelfde verplichtingen op als in deze overeenkomst staan en blijft tegenover Verwerkingsverantwoordelijke verantwoordelijk voor hun werk.

Artikel 6. Doorgifte buiten de Europese Economische Ruimte

Verwerker verwerkt persoonsgegevens bij voorkeur binnen de Europese Economische Ruimte (EER). Worden persoonsgegevens buiten de EER verwerkt, dan gebeurt dat alleen met passende waarborgen zoals de AVG die voorschrijft, bijvoorbeeld een adequaatheidsbesluit van de Europese Commissie (zoals het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie.

Artikel 7. Rechten van betrokkenen

Verwerker helpt Verwerkingsverantwoordelijke, voor zover redelijkerwijs mogelijk, bij het afhandelen van verzoeken van betrokkenen, zoals een verzoek om inzage, correctie of verwijdering. Krijgt Verwerker zo'n verzoek rechtstreeks, dan stuurt Verwerker het zonder onnodige vertraging door naar Verwerkingsverantwoordelijke.

Artikel 8. Datalekken

1. Verwerker meldt een datalek dat betrekking heeft op de persoonsgegevens van Verwerkingsverantwoordelijke zonder onredelijke vertraging, en zo mogelijk binnen 48 uur nadat Verwerker het heeft ontdekt.

2. De melding bevat, voor zover bekend: wat er is gebeurd, welke persoonsgegevens en betrokkenen het betreft, de waarschijnlijke gevolgen en de maatregelen die zijn of worden genomen.

3. Verwerkingsverantwoordelijke beslist of het datalek wordt gemeld aan de Autoriteit Persoonsgegevens en/of aan betrokkenen. Verwerker verleent daarbij de redelijke hulp die nodig is.

Artikel 9. Controle en audit

1. Verwerker geeft Verwerkingsverantwoordelijke op verzoek de informatie die nodig is om aan te tonen dat Verwerker zich aan deze overeenkomst houdt.

2. Verwerkingsverantwoordelijke mag, na een aankondiging van ten minste 30 dagen en maximaal één keer per jaar, een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht. De kosten van de audit zijn voor Verwerkingsverantwoordelijke, tenzij uit de audit blijkt dat Verwerker deze overeenkomst op wezenlijke punten niet nakomt.

Artikel 10. Aansprakelijkheid

Voor de aansprakelijkheid van Partijen geldt wat in de Hoofdovereenkomst en de Algemene Voorwaarden Dienstverlening van Voxigo is afgesproken, voor zover de wet dat toestaat.

Artikel 11. Einde van de overeenkomst

1. Na het einde van de Hoofdovereenkomst geeft Verwerker de persoonsgegevens op verzoek terug aan Verwerkingsverantwoordelijke, of verwijdert Verwerker ze binnen 30 dagen, tenzij een wettelijke bewaarplicht geldt.

2. Gegevens die Verwerker op grond van een wettelijke plicht moet bewaren, zoals de administratie, worden na afloop van de bewaartermijn verwijderd.

3. Verplichtingen die naar hun aard ook na het einde gelden, zoals geheimhouding, blijven van kracht.

Artikel 12. Slotbepalingen

1. Bij strijdigheid tussen deze overeenkomst en de Hoofdovereenkomst gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

2. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de rechter die volgens de Hoofdovereenkomst bevoegd is.

3. Wijzigingen zijn alleen geldig als Partijen ze schriftelijk (ook per e-mail of digitale ondertekening) zijn overeengekomen.

Bijlage 1. Beschrijving van de verwerkingen

Doeleinden

• Leveren, inrichten en beheren van telefonie (vast, VoIP en mobiel), internet, netwerken, beveiliging en IT-diensten
• Nummerportering en het aanmaken van gebruikers, toestellen en accounts
• Ondersteuning, storingen oplossen en tickets afhandelen
• Facturatie van gebruik, zoals gesprekskosten
• Optioneel en alleen als de klant de dienst afneemt: opnemen, uitschrijven en samenvatten van gesprekken (AI-telefonie) en camerabewaking

Soorten persoonsgegevens

• Contactgegevens: naam, e-mailadres, telefoonnummer, functie
• Gebruikers- en accountgegevens: gebruikersnamen, toestelgegevens, extensienummers
• Verkeersgegevens: gesprekgegevens zoals datum, tijd, duur en gekozen nummer (call detail records), IP-adressen en logbestanden
• Inhoud van communicatie, alleen als de klant dat afneemt: gespreksopnames, transcripties, voicemailberichten
• Camerabeelden, alleen bij camerabewaking
• Gegevens die de klant zelf opslaat in beheerde systemen, zoals e-mail en bestanden in Microsoft 365

Categorieën betrokkenen

• Medewerkers van Verwerkingsverantwoordelijke
• Klanten, leveranciers en andere contactpersonen van Verwerkingsverantwoordelijke
• Bellers en gebelde personen
• Bezoekers van locaties met camerabewaking

Bewaartermijnen

• Verkeers- en factuurgegevens: zolang nodig voor facturatie en de wettelijke fiscale bewaarplicht (7 jaar)
• Gespreksopnames, transcripties en camerabeelden: volgens de termijn die Verwerkingsverantwoordelijke instelt, niet langer dan nodig
• Overige gegevens: zolang de Hoofdovereenkomst loopt, daarna volgens artikel 11

Bijlage 2. Subverwerkers

• Gamma Communications Nederland B.V.: platform voor telefonie, internet en mobiele diensten (Nederland)
• KPN B.V. en Odido Netherlands B.V.: mobiele netwerken en verbindingen (Nederland)
• Cisco (Webex): telefonie- en samenwerkingsapps
• Microsoft: Microsoft 365 en Teams, voor klanten die deze diensten via Voxigo afnemen
• Google (Google Workspace): e-mail en agenda van Voxigo
• Anthropic: AI-ondersteuning bij klantadministratie en het afhandelen van tickets

Verwerker houdt deze lijst actueel. De actuele lijst is op te vragen via laurens@fit4phones.nl.

Bijlage 3. Beveiligingsmaatregelen

• Versleutelde verbindingen (SSL/TLS)
• Toegangsbeheer: alleen medewerkers die het nodig hebben voor hun werk hebben toegang
• Tweefactorauthenticatie waar mogelijk
• Sterke wachtwoorden en het periodiek bijwerken van systemen en toestellen
• Firewall- en netwerkbeveiliging, en gescheiden netwerken voor telefonie, camera's en gasten
• Logging en monitoring van systemen
• Beveiligde back-ups
• Geheimhoudingsplicht voor medewerkers

Ondertekening

Deze verwerkersovereenkomst maakt deel uit van de Hoofdovereenkomst. Door ondertekening van de service order of de offerte, of door ondertekening van dit document, gaan Partijen akkoord met deze verwerkersovereenkomst.

Wilt u een ondertekend exemplaar voor uw eigen administratie? Mail naar laurens@fit4phones.nl of bel 085 210 3150; wij sturen u het document toe om digitaal te ondertekenen.