Auftragsverarbeitungsvertrag

Version 1.10, Oktober 2026

Dieser Auftragsverarbeitungsvertrag gilt für jede Organisation, die Stiqqo nutzt. Eine Unterschrift ist nicht nötig: der Vertrag ist Teil unserer allgemeinen Geschäftsbedingungen. Ein unterzeichnetes Exemplar ist auf Anfrage über privacy@stiqqo.com erhältlich.

Deze verwerkersovereenkomst ("Verwerkersovereenkomst") is van toepassing tussen Impactio B.V., handelend onder de naam Stiqqo, gevestigd te Bussum, KvK-nummer 42002895, hierna: "Verwerker" of "Stiqqo", en iedere organisatie die met Verwerker een overeenkomst sluit voor het gebruik van Stiqqo, hierna: "Verwerkingsverantwoordelijke". Die overeenkomst heet hierna de "Hoofdovereenkomst".

Artikel 1. Onderwerp en duur

1.1 Verwerker verwerkt in opdracht van Verwerkingsverantwoordelijke persoonsgegevens ten behoeve van het leveren van de Stiqqo-dienst, zoals gespecificeerd in Bijlage 1.

1.2 Deze Verwerkersovereenkomst duurt zolang de Hoofdovereenkomst duurt. Verplichtingen die naar hun aard voortduren, waaronder geheimhouding en de afwikkeling van artikel 11, blijven na afloop van kracht.

1.3 Deze Verwerkersovereenkomst maakt deel uit van de Hoofdovereenkomst. Verwerkingsverantwoordelijke aanvaardt haar door het aangaan van de Hoofdovereenkomst, door akkoord te gaan met de algemene voorwaarden van Stiqqo of door de dienst in gebruik te nemen, al naar gelang wat het eerst plaatsvindt. Ondertekening is niet vereist. Deze elektronische aanvaarding geldt als schriftelijke vastlegging in de zin van artikel 28, lid 9, AVG.

1.4 Op verzoek ontvangt Verwerkingsverantwoordelijke een door Verwerker ondertekend exemplaar van de op dat moment geldende versie. De inhoud daarvan is gelijk aan de gepubliceerde versie.

1.5 Verwerkt Verwerkingsverantwoordelijke de persoonsgegevens zelf als verwerker namens een derde, zoals een werkgever van deelnemers, dan geldt deze Verwerkersovereenkomst tussen partijen als subverwerkersovereenkomst. Verwerkingsverantwoordelijke staat ervoor in dat die derde heeft ingestemd met de inschakeling van Verwerker en van de subverwerkers in Bijlage 2, en dat hij met die derde een verwerkersovereenkomst heeft gesloten. Verwerker heeft geen rechtstreekse verplichtingen jegens die derde. Verwerkingsverantwoordelijke is in dat geval het enige aanspreekpunt van Verwerker: mededelingen, verzoeken en instructies van of aan die derde lopen via Verwerkingsverantwoordelijke.

Artikel 2. Rolverdeling en instructies

2.1 Verwerker verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke, waaronder deze Verwerkersovereenkomst, ook wat betreft doorgiften naar derde landen, tenzij een Unierechtelijke of lidstaatrechtelijke bepaling tot verwerking verplicht; in dat geval stelt Verwerker Verwerkingsverantwoordelijke voorafgaand aan de verwerking van dat wettelijke voorschrift in kennis, tenzij die wetgeving deze kennisgeving verbiedt.

2.2 Verwerker informeert Verwerkingsverantwoordelijke onmiddellijk indien een instructie naar zijn oordeel inbreuk maakt op de AVG of andere gegevensbeschermingsbepalingen.

2.3 Uitgezonderd van dit instructieregime zijn de verwerkingen waarvoor Verwerker zelfstandig verwerkingsverantwoordelijke is, zoals beschreven in de privacyverklaring van Stiqqo (versie 1.4): (a) beveiliging en foutregistratie van de dienst; (b) certificaatverificatie gedurende twaalf maanden na uitgifte. Voor deze verwerkingen draagt Verwerker zelfstandig de verantwoordelijkheid onder de AVG.

2.4 Het anonimiseren van persoonsgegevens overeenkomstig artikel 11.1 geldt als verwerking op instructie van Verwerkingsverantwoordelijke, die hierbij tot deze anonimisering instrueert. Na voltooiing van de anonimisering zijn de resulterende samengevoegde statistieken niet langer herleidbaar tot personen en vormen zij geen persoonsgegevens in de zin van de AVG. Verwerker mag deze niet-herleidbare statistieken vervolgens zelfstandig gebruiken, waaronder voor rapportage en verbetering van de dienst.

2.5 Verwerker gebruikt de persoonsgegevens niet voor eigen doeleinden. De enige uitzonderingen zijn de in artikel 2.3 genoemde verwerkingen en het gebruik van niet-herleidbare statistieken volgens artikel 2.4. Verwerker verkoopt geen persoonsgegevens en gebruikt ze niet voor het trainen van AI-modellen.

2.6 De Hoofdovereenkomst, deze Verwerkersovereenkomst en het gebruik van de dienst volgens de functionaliteit daarvan vormen de volledige en definitieve instructies van Verwerkingsverantwoordelijke. Aanvullende instructies gelden alleen als partijen die schriftelijk overeenkomen. Verwerker kan voor de uitvoering daarvan een vergoeding vragen volgens artikel 8.3.

Artikel 3. Rechten en verplichtingen van Verwerkingsverantwoordelijke

3.1 Verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking en is verantwoordelijk voor de naleving van de AVG, waaronder het beschikken over een geldige grondslag voor de verwerking.

3.2 Verwerkingsverantwoordelijke informeert deelnemers over de verwerking overeenkomstig de artikelen 13 en 14 AVG, waaronder de mededeling dat hij verwerkingsverantwoordelijke is en hoe deelnemers hem kunnen bereiken voor privacyvragen.

3.3 Verwerkingsverantwoordelijke staat in voor de juistheid en de rechtmatige verkrijging van de persoonsgegevens die hij aanlevert, waaronder deelnemerslijsten. Hij staat er ook voor in dat via de dienst geen bijzondere persoonsgegevens en geen strafrechtelijke persoonsgegevens worden verwerkt, en draagt de gevolgen als dat toch gebeurt. Verwerker beveiligt zulke gegevens op dezelfde wijze als de overige persoonsgegevens.

3.4 Verwerkingsverantwoordelijke beoordeelt of voor de verwerking een gegevensbeschermingseffectbeoordeling (DPIA) vereist is en voert deze zo nodig uit. Verwerker verleent daarbij bijstand volgens artikel 8.2.

3.5 Verwerkingsverantwoordelijke heeft het recht om instructies te geven, om vooraf geïnformeerd te worden over wijzigingen in subverwerkers (artikel 6), om onverwijld geïnformeerd te worden over datalekken (artikel 9) en om audits te laten uitvoeren (artikel 10).

3.6 Verwerkingsverantwoordelijke wijst een contactpersoon aan voor privacyzaken en geeft wijzigingen daarvan schriftelijk door aan Verwerker. Zolang geen contactpersoon is opgegeven, geldt de beheerder van het account van Verwerkingsverantwoordelijke als contactpersoon. Mededelingen op grond van deze Verwerkersovereenkomst, waaronder meldingen over subverwerkers en datalekken, gaan naar die contactpersoon.

3.7 Verwerkingsverantwoordelijke is verantwoordelijk voor de beveiliging van wat onder zijn eigen beheer valt, waaronder de inloggegevens en apparaten van zijn gebruikers, het beheer van wie toegang heeft tot zijn omgeving, en persoonsgegevens die hij uit de dienst exporteert of downloadt.

Artikel 4. Geheimhouding

4.1 Verwerker waarborgt dat personen die onder zijn gezag persoonsgegevens verwerken zich tot geheimhouding hebben verbonden of onder een passende wettelijke geheimhoudingsplicht vallen.

Artikel 5. Beveiliging

5.1 Verwerker treft de passende technische en organisatorische maatregelen zoals beschreven in Bijlage 3, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking, alsook met de risico's voor de rechten en vrijheden van betrokkenen.

5.2 Verwerker mag deze maatregelen aanpassen, mits het beveiligingsniveau niet verslechtert.

Artikel 6. Subverwerkers

6.1 Verwerkingsverantwoordelijke verleent hierbij algemene schriftelijke toestemming voor het inschakelen van de subverwerkers vermeld in de Subverwerkerslijst (Bijlage 2).

6.2 Verwerker informeert Verwerkingsverantwoordelijke voorafgaand over beoogde toevoegingen of vervangingen van subverwerkers, door een bericht aan de contactpersoon (artikel 3.6) en door de bijgewerkte Subverwerkerslijst in het Platform te plaatsen. Verwerkingsverantwoordelijke kan binnen veertien dagen op redelijke, met gegevensbescherming verband houdende gronden bezwaar maken. Komen partijen niet tot een oplossing, dan mag Verwerkingsverantwoordelijke de Hoofdovereenkomst opzeggen voor het deel dat de betreffende subverwerker raakt. Opzegging is in dat geval het enige rechtsmiddel van Verwerkingsverantwoordelijke; reeds betaalde vergoedingen worden niet gerestitueerd.

6.3 Verwerker legt aan iedere subverwerker verplichtingen inzake gegevensbescherming op die in wezen gelijkwaardig zijn aan die in deze Verwerkersovereenkomst, en blijft jegens Verwerkingsverantwoordelijke aansprakelijk voor de nakoming door de subverwerker, binnen de grenzen van de Hoofdovereenkomst.

Artikel 7. Doorgifte buiten de EER

7.1 Verwerking vindt plaats binnen de Europese Unie, met uitzondering van de in Bijlage 2 vermelde subverwerkers en verwerkingen buiten de EER. Voor deze doorgiften gebruikt Verwerker een door de AVG toegestaan doorgiftemechanisme, zoals een adequaatheidsbesluit, het EU-US Data Privacy Framework voor gecertificeerde organisaties, of standaardcontractbepalingen, aangevuld met aanvullende maatregelen waar noodzakelijk.

Artikel 8. Bijstand aan Verwerkingsverantwoordelijke

8.1 Verwerker verleent, rekening houdend met de aard van de verwerking, redelijke bijstand bij het vervullen van de plicht van Verwerkingsverantwoordelijke om verzoeken van betrokkenen (inzage, correctie, verwijdering, beperking, dataportabiliteit, bezwaar) te beantwoorden. Verzoeken die Verwerker rechtstreeks bereiken, stuurt hij onverwijld door aan Verwerkingsverantwoordelijke.

8.2 Verwerker verleent redelijke bijstand bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG, te weten beveiliging, de meldplicht datalekken, de gegevensbeschermingseffectbeoordeling (DPIA) en de voorafgaande raadpleging van de Autoriteit Persoonsgegevens, rekening houdend met de aard van de verwerking en de hem beschikbare informatie.

8.3 Bijstand die verder gaat dan wat de standaardfunctionaliteit van de dienst biedt, waaronder medewerking aan een DPIA, audits en verzoeken van betrokkenen, brengt Verwerker in rekening tegen zijn dan geldende tarieven, na voorafgaande opgave aan Verwerkingsverantwoordelijke.

Artikel 9. Datalekken

9.1 Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging nadat Verwerker de inbreuk heeft vastgesteld, over een inbreuk in verband met persoonsgegevens, met de informatie die Verwerkingsverantwoordelijke nodig heeft voor een eventuele melding aan de toezichthouder of betrokkenen.

9.2 De melding bevat voor zover bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen, en een contactpunt bij Verwerker. Informatie die nog niet beschikbaar is, verstrekt Verwerker zodra die bekend is.

9.3 De melding aan de Autoriteit Persoonsgegevens en aan betrokkenen is de verantwoordelijkheid van Verwerkingsverantwoordelijke.

9.4 Mislukte pogingen of activiteiten die de beveiliging van persoonsgegevens niet aantasten, zoals mislukte inlogpogingen, pings, poortscans en aanvallen op de beschikbaarheid van de dienst, gelden niet als inbreuk in verband met persoonsgegevens.

9.5 Een melding van of reactie op een inbreuk door Verwerker houdt geen erkenning van schuld of aansprakelijkheid in. Verwerker is niet verplicht de inhoud van persoonsgegevens te beoordelen om vast te stellen welke wettelijke eisen daarop van toepassing zijn.

Artikel 10. Audit en verantwoording

10.1 Verwerker stelt alle informatie ter beschikking die nodig is om de nakoming van artikel 28 AVG aan te tonen, en maakt audits mogelijk, waaronder inspecties door Verwerkingsverantwoordelijke of een door deze gemachtigde auditor.

10.2 Een audit vindt maximaal eenmaal per jaar plaats, na aankondiging van ten minste dertig dagen, tijdens kantooruren en zonder onevenredige verstoring van de bedrijfsvoering. Alle kosten van de audit, waaronder de tijd die Verwerker eraan besteedt tegen zijn dan geldende tarieven, komen voor rekening van Verwerkingsverantwoordelijke.

10.3 Verwerker toont nakoming in eerste instantie aan met schriftelijke informatie of een ingevulde vragenlijst. Een audit ter plaatse vindt alleen plaats als die informatie aantoonbaar onvoldoende is, door een onafhankelijke auditor die zich tot geheimhouding verplicht.

10.4 Reikwijdte, duur en geheimhoudingsafspraken van een audit worden vooraf schriftelijk overeengekomen. Verwerker kan bezwaar maken tegen een auditor die een concurrent van Verwerker is of niet voldoende onafhankelijk of deskundig is; Verwerkingsverantwoordelijke wijst dan een andere auditor aan.

Artikel 11. Bewaartermijnen, teruggave en verwijdering

11.1 Verwerker hanteert de volgende bewaartermijnen, gelijkluidend aan de privacyverklaring van Stiqqo (versie 1.4):

• Accountgegevens: tot 90 dagen na beëindiging van de deelname, tenzij Verwerkingsverantwoordelijke eerder om verwijdering verzoekt.
• Antwoorden, berichten aan de AI-coach en individuele resultaten: tot 90 dagen na het einde van de deelname; daarna geanonimiseerd overeenkomstig artikel 2.4, waarbij scores en onderwerpen uitsluitend in niet-herleidbare vorm bewaard blijven voor rapportage.
• Certificaatgegevens (naam, programma, datum, resultaat): twaalf maanden na uitgifte, ten behoeve van certificaatverificatie (verwerking waarvoor Verwerker zelfstandig verantwoordelijk is, zie artikel 2.3).
• E-mailgegevens (bezorgstatus, openen en klikken): 30 dagen.
• Beveiligings- en foutregistratiegegevens: maximaal 90 dagen.
• Back-ups: maximaal 30 dagen na verwijdering van de brongegevens.

11.2 Na afloop van de Hoofdovereenkomst verwijdert Verwerker de persoonsgegevens en bestaande kopieën, tenzij opslag Unierechtelijk of lidstaatrechtelijk verplicht is. Wil Verwerkingsverantwoordelijke de gegevens terugontvangen, dan meldt hij dat vóór het einde van de Hoofdovereenkomst; Verwerker levert de gegevens dan in een door Verwerker gekozen gangbaar formaat, tegen vergoeding volgens artikel 8.3. Back-ups worden verwijderd volgens de termijn in artikel 11.1.

Artikel 12. Opschorting en beëindiging bij niet-naleving

12.1 Komt Verwerker deze Verwerkersovereenkomst niet na, dan kan Verwerkingsverantwoordelijke Verwerker opdragen de verwerking op te schorten totdat de nakoming is hersteld.

12.2 Verwerkingsverantwoordelijke kan de Hoofdovereenkomst beëindigen voor zover die de verwerking betreft, indien de verwerking op grond van artikel 12.1 is opgeschort en de nakoming niet binnen een redelijke termijn, en in elk geval binnen een maand, is hersteld, of indien Verwerker deze Verwerkersovereenkomst wezenlijk of aanhoudend schendt.

12.3 Verwerker kan de Hoofdovereenkomst beëindigen voor zover die de verwerking betreft, indien Verwerkingsverantwoordelijke blijft vasthouden aan instructies waarvan Verwerker heeft gemeld dat zij in strijd zijn met de AVG.

12.4 Bij beëindiging handelt Verwerker de persoonsgegevens af volgens artikel 11.2.

Artikel 13. Aansprakelijkheid

13.1 De aansprakelijkheid van partijen in verband met deze Verwerkersovereenkomst is geregeld in de Hoofdovereenkomst.

Artikel 14. Slotbepalingen

14.1 Bij strijdigheid tussen deze Verwerkersovereenkomst en de Hoofdovereenkomst prevaleert deze Verwerkersovereenkomst voor zover het de verwerking van persoonsgegevens betreft.

14.2 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.

14.3 Partijen trachten een geschil eerst in onderling overleg op te lossen. Leidt dat binnen dertig dagen na een schriftelijke melding niet tot een oplossing, dan leggen partijen het geschil voor aan mediation door een mediator die is ingeschreven in het register van de Mediatorsfederatie Nederland. Pas als mediation binnen zestig dagen na aanvang niet tot een oplossing leidt, kan het geschil worden voorgelegd aan de bevoegde rechter van de rechtbank Midden-Nederland. Dit staat niet in de weg aan het treffen van spoedeisende voorlopige voorzieningen.

14.4 Verwerker kan deze Verwerkersovereenkomst wijzigen. Een wijziging wordt ten minste dertig dagen voor de ingangsdatum aangekondigd aan de contactpersoon van Verwerkingsverantwoordelijke. Een wijziging die het beschermingsniveau van persoonsgegevens verlaagt, geldt alleen met instemming van Verwerkingsverantwoordelijke. Een wijziging van subverwerkers verloopt volgens artikel 6.2.

14.5 De actuele versie van deze Verwerkersovereenkomst is op te vragen via privacy@stiqqo.com.

Bijlage 1. Specificatie van de verwerking

Bijlage 2. Subverwerkers

2.1 De subverwerkers die Verwerker inschakelt, staan in een apart document: de Subverwerkerslijst. Daarin staan per subverwerker de functie, de locatie van de gegevens en het doorgiftemechanisme. De Subverwerkerslijst maakt deel uit van deze Verwerkersovereenkomst.

2.2 Verwerkingsverantwoordelijke kan de actuele Subverwerkerslijst inzien en downloaden in het Platform. Verwerker stuurt de Subverwerkerslijst op verzoek toe via privacy@stiqqo.com, ook voordat de Hoofdovereenkomst is gesloten.

2.3 Iedere subverwerker hanteert een eigen lijst van onderliggende subverwerkers, die via de betreffende subverwerker beschikbaar is. Wijzigingen in de Subverwerkerslijst verlopen volgens artikel 6.2.

Bijlage 3. Technische en organisatorische maatregelen

Versleuteling en pseudonimisering

• Versleutelde verbindingen (TLS) voor al het dataverkeer.
• Versleuteling in rust (AES-256) van database, back-ups en hostingomgeving, via de subverwerkers.
• Geen naam of e-mailadres meegestuurd naar de AI-dienstverlener bij automatische feedback; modeltraining op klantdata contractueel uitgesloten.
• Minimalisatie in foutregistratie: geen IP-adressen of locatiegegevens van gebruikers.

Toegang en vertrouwelijkheid

• Toegangsbeperking per gebruikersrol; beveiliging op databaseniveau (row level security), waarbij deelnemers uitsluitend eigen gegevens kunnen inzien en gebruikers van een organisatie uitsluitend gegevens van die organisatie.
• Authenticatie via Google-login of wachtwoord; geen wachtwoordopslag in eigen beheer bij Google-login.
• Toegang tot productiesystemen beperkt tot noodzakelijke personen.
• Scheiding van omgevingen (productie en test), met gescheiden databases.

Beschikbaarheid en herstel

• Hosting en database binnen de Europese Unie.
• Automatische back-ups van de database via de databaseleverancier.
• Foutregistratie en monitoring van de applicatie.

Impactio B.V., handelend onder de naam Stiqqo, KvK 42002895. Verwerkersovereenkomst versie 1.10, oktober 2026.

Frühere Versionen

Frühere Versionen sind auf Anfrage über privacy@stiqqo.com erhältlich.