Verwerkers­overeenkomst

Partijen

1. De klant: de organisatie die een overeenkomst heeft met Compass Digital voor een of meer diensten van YZR stack. Hierna: "verwerkingsverantwoordelijke".
2. Compass Digital, handelend onder de namen YZR stack, Sityzr, Brandyzr, Adlyzr, Contyzr, Socialyzr, Domainyzr, Scoutyzr, Tagyzr, Translyzr en Mailyzr. De Bloemen 62, 1902 GX Castricum, KvK 90013603. Hierna: "verwerker".

1. De verwerker verwerkt persoonsgegevens namens de verwerkingsverantwoordelijke, voor zover dat nodig is om de diensten te leveren die partijen hebben afgesproken. Bijlage 1 beschrijft per dienst de aard en het doel van de verwerking, de soorten persoonsgegevens, de categorieën betrokkenen en de bewaartermijn.
2. Deze overeenkomst loopt zolang de verwerker persoonsgegevens namens de verwerkingsverantwoordelijke verwerkt.

1. De verwerker verwerkt de persoonsgegevens alleen op schriftelijke instructie van de verwerkingsverantwoordelijke. Instellingen en opdrachten die de klant in de dienst geeft, gelden als zulke instructies. Dat geldt ook voor doorgifte naar een land buiten de EER, tenzij een wettelijke plicht de verwerker anders verplicht. In dat geval meldt de verwerker die plicht vooraf, tenzij de wet dat verbiedt.
2. Vindt de verwerker dat een instructie in strijd is met de AVG, dan meldt hij dat direct.
3. De verwerker gebruikt de persoonsgegevens niet voor eigen doeleinden. Hij gebruikt ze ook niet om algemene AI-modellen te trainen. Daarop is één uitzondering: de suppressielijst van artikel 14. Daarvoor is de verwerker zelf verwerkingsverantwoordelijke, op grond van gerechtvaardigd belang.

Iedereen die bij de verwerker toegang heeft tot de persoonsgegevens, heeft een geheimhoudingsplicht.

De verwerker neemt passende technische en organisatorische maatregelen. Bijlage 3 beschrijft ze. Hij mag die maatregelen aanpassen, zolang het beschermingsniveau niet daalt.

1. De verwerkingsverantwoordelijke geeft algemene toestemming voor de subverwerkers in bijlage 2. De actuele lijst staat op /subverwerkers.
2. Een nieuwe of andere subverwerker kondigt de verwerker minstens 30 dagen vooraf aan, per e-mail of in de dienst. De verwerkingsverantwoordelijke kan binnen die termijn bezwaar maken op redelijke gronden. Komen partijen er niet uit, dan kan de verwerkingsverantwoordelijke de betreffende dienst opzeggen, zonder kosten.
3. De verwerker legt elke subverwerker dezelfde verplichtingen op als in deze overeenkomst. Hij blijft tegenover de verwerkingsverantwoordelijke aansprakelijk voor die subverwerker.

De verwerker helpt de verwerkingsverantwoordelijke om verzoeken van betrokkenen af te handelen: inzage, verbetering, verwijdering, beperking, overdraagbaarheid en bezwaar. Waar mogelijk doet hij dat met functies in de dienst. Krijgt de verwerker zo'n verzoek direct, dan stuurt hij het binnen 5 werkdagen door en handelt hij het niet zelf af.

De verwerker helpt de verwerkingsverantwoordelijke met beveiliging, datalekmeldingen, een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging van de toezichthouder. Hij doet dat voor zover het om zijn eigen verwerking gaat en de informatie die hij heeft.

1. Ontdekt de verwerker een inbreuk op de beveiliging die de persoonsgegevens raakt, dan meldt hij die zonder onredelijke vertraging, en uiterlijk binnen 36 uur, aan het contactadres van de verwerkingsverantwoordelijke.
2. De melding bevat wat dan bekend is: de aard van het lek, de soorten en het geschatte aantal betrokkenen en records, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen, en een contactpersoon. Wat later bekend wordt, vult hij aan.
3. De verwerkingsverantwoordelijke beslist of het lek gemeld wordt bij de Autoriteit Persoonsgegevens en bij de betrokkenen.

Eindigt de dienst, dan kan de verwerkingsverantwoordelijke de persoonsgegevens binnen 30 dagen exporteren. Daarna verwijdert de verwerker ze binnen 30 dagen, ook uit back-ups bij de eerstvolgende rotatie, en uiterlijk binnen 90 dagen. Gegevens die de wet hem verplicht te bewaren, verwijdert hij niet. Op verzoek bevestigt hij de verwijdering schriftelijk.

1. De verwerker stelt alle informatie beschikbaar die nodig is om aan te tonen dat hij zich aan art. 28 AVG houdt.
2. De verwerkingsverantwoordelijke mag een audit laten doen door een onafhankelijke deskundige met geheimhoudingsplicht, hooguit één keer per jaar en met 30 dagen aankondiging. Bij een datalek kan dat ook vaker. De kosten van de audit zijn voor de verwerkingsverantwoordelijke, tenzij de audit een wezenlijke tekortkoming laat zien.

De verwerker geeft persoonsgegevens alleen door naar een land buiten de EER als daarvoor een geldige waarborg is: een adequaatheidsbesluit (zoals het EU-US Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie. Bijlage 2 noemt per subverwerker de waarborg.

Koppelt de verwerkingsverantwoordelijke een account bij Google, Meta, LinkedIn, TikTok, Microsoft of een ander platform, dan geeft de verwerker op diens instructie persoonsgegevens door aan dat platform. Denk aan gehashte klantenlijsten voor een doelgroep, conversiegegevens of berichten. Dat platform is dan geen subverwerker van de verwerker. De verwerkingsverantwoordelijke regelt zelf de relatie met dat platform, en zorgt voor een geldige grondslag voor die doorgifte.

1. Voor aansprakelijkheid gelden de algemene voorwaarden. Wat de AVG dwingend regelt (art. 82), blijft gelden.
2. Spreekt deze overeenkomst de algemene voorwaarden tegen op het gebied van persoonsgegevens, dan gaat deze overeenkomst voor.
3. Op deze overeenkomst is Nederlands recht van toepassing.

1. Meldt een ontvanger van mail die via een dienst van YZR stack verstuurd wordt zich af, of geeft zijn adres een harde bounce of een klacht, dan zet de verwerker een pseudonieme code van dat adres op een suppressielijst. Die code is een sha256-hash van het e-mailadres. De verwerker gebruikt de lijst voor al zijn diensten.
2. Doel: voorkomen dat een adres dat geen mail meer wil, via een import toch weer een uitnodiging of campagne krijgt, ook niet van een andere klant. Meldt de ontvanger zich later zelf opnieuw aan en bevestigt hij dat (double opt-in), dan geldt die nieuwe toestemming voor de klant bij wie hij zich aanmeldde.
3. Voor deze lijst is Compass Digital, handelend onder de naam YZR stack, zelf verwerkingsverantwoordelijke. De grondslag is gerechtvaardigd belang: spam voorkomen en de bezorging voor alle klanten beschermen. Daarvoor zijn een belangenafweging en een vermelding in het verwerkingsregister vastgelegd. Een betrokkene kan bezwaar maken (art. 21 AVG) via privacy@yzrstack.com.
4. De lijst bevat geen namen of adressen. Er staan alleen de code, de reden (afgemeld, bounce, klacht of handmatig) en de datum in. De verwerker geeft de lijst niet aan klanten.
5. De codes zijn pseudonieme gegevens. Ze blijven bewaard zolang dat nodig is om nieuwe mail aan het adres te voorkomen. Die termijn herbeoordeelt de verwerker elk jaar.

• dienst: Sityzr · wat we voor je verwerken: je website, webshop en portal hosten; bestellingen, klantaccounts, formulieren, nieuwsbrief, chat, reviews; bestellingen uit een Microsoft 365-mailbox halen (als je dat koppelt) · betrokkenen: klanten, bezoekers en abonnees van de klant; medewerkers · soorten gegevens: naam, adres, e-mail, telefoon, bedrijfsgegevens, bestellingen, betaalstatus, berichten, IP/browser, cookiekeuze, mails en bijlagen in de gekoppelde mailbox · bewaartermijn: zolang de klant ze in de dienst laat staan; chatlogs volgens de ingestelde termijn
• dienst: Brandyzr · wat we voor je verwerken: een merkgids maken op basis van je aanvraag · betrokkenen: contactpersonen van de klant · soorten gegevens: naam, e-mail, adres, telefoon, uploads · bewaartermijn: zolang het account bestaat
• dienst: Adlyzr · wat we voor je verwerken: doelgroepen en conversies naar advertentieplatforms sturen · betrokkenen: klanten en websitebezoekers van de klant · soorten gegevens: klantenlijsten (gehasht, SHA-256), conversiegebeurtenissen, IP, user-agent, Meta-cookie-ID's · bewaartermijn: doelgroepleden: alleen hashes, tot de klant de doelgroep verwijdert
• dienst: Contyzr · wat we voor je verwerken: content maken en publiceren; leadformulieren · betrokkenen: leads van de klant · soorten gegevens: e-mail, gehasht IP, berichten · bewaartermijn: zolang de klant ze in de dienst laat staan
• dienst: Socialyzr · wat we voor je verwerken: berichten plannen en publiceren (nog niet beschikbaar) · betrokkenen: — · soorten gegevens: — · bewaartermijn: —
• dienst: Domainyzr · wat we voor je verwerken: domeinen registreren; mail hosten · betrokkenen: registranten en mailboxgebruikers van de klant, hun correspondenten · soorten gegevens: NAW, e-mail, telefoon van de registrant; mailinhoud, afzender, ontvanger, onderwerp; contacten · bewaartermijn: registrantgegevens zolang het domein loopt; mail zolang de mailbox bestaat
• dienst: Scoutyzr · wat we voor je verwerken: leads zoeken en verrijken uit openbare bronnen (KVK, websites) · betrokkenen: contactpersonen bij bedrijven · soorten gegevens: naam, functie, zakelijk e-mailadres en telefoon, LinkedIn-URL, KVK-gegevens · bewaartermijn: standaard 12 maanden, door de klant in te stellen
• dienst: Tagyzr · wat we voor je verwerken: server-side tagging en metingen voor de site van de klant · betrokkenen: bezoekers van de site van de klant · soorten gegevens: events, client-ID's, IP, user-agent, gehashte e-mail (indien geconfigureerd), cookiekeuze · bewaartermijn: volgens de instellingen van de klant; doorgestuurd naar de bestemmingen die de klant kiest
• dienst: Translyzr · wat we voor je verwerken: teksten en websites vertalen · betrokkenen: personen die in die teksten genoemd worden · soorten gegevens: wat in de te vertalen tekst staat · bewaartermijn: zolang het project bestaat
• dienst: Mailyzr · wat we voor je verwerken: e-mailmarketing: contacten en lijsten, aanmeldformulieren met double opt-in, campagnes en flows versturen, aflevering vastleggen · betrokkenen: abonnees en leads van de klant · soorten gegevens: e-mailadres, naam, extra velden die de klant toevoegt (geen bijzondere gegevens), voorkeuren, toestemmingsbewijs, aflevering, bounces en klachten · bewaartermijn: zolang de klant ze laat staan; 30 dagen na afmelden gewist, behalve de code op de suppressielijst (artikel 14). Details: de aanvulling voor Mailyzr

De subverwerkers voor deze dienst. De actuele lijst staat altijd op /subverwerkers.

• Partij: Hetzner Online GmbH · Waarvoor: Servers, database en opslag · Waar: Duitsland · Waarborg: Binnen de EER
• Partij: Cloudflare, Inc. · Waarvoor: Netwerk, DNS en beveiliging tegen misbruik · Waar: Wereldwijd netwerk · Waarborg: EU-VS Data Privacy Framework en standaardcontractbepalingen
• Partij: WebBuilds B.V. (Ploi) · Waarvoor: Serverbeheer · Waar: Nederland · Waarborg: Binnen de EER; verwerkersovereenkomst aangevraagd

• Partij: Amazon Web Services EMEA SARL (Amazon SES, Amazon SNS) · Waarvoor: Mail versturen; meldingen van aflevering, bounces en klachten (en van opens en kliks als het meten aan staat) · Waar: Duitsland (Frankfurt) · Waarborg: Binnen de EER; mogelijk naar het moederbedrijf in de VS: EU-VS Data Privacy Framework en standaardcontractbepalingen
• Partij: Anthropic PBC · Waarvoor: Onderwerpregels en teksten voorstellen, alleen als je AI-copy gebruikt · Waar: VS · Waarborg: EU-VS Data Privacy Framework en standaardcontractbepalingen
• Partij: OpenAI Ireland Ltd · Waarvoor: Onderwerpregels en teksten voorstellen, alleen als je AI-copy gebruikt · Waar: Ierland; verwerking ook in de VS · Waarborg: EU-VS Data Privacy Framework en standaardcontractbepalingen

De AI-leveranciers krijgen de tekst van de campagne en je merkstem, geen contactlijsten. Zet je zelf persoonsgegevens in een tekst die je door AI laat verbeteren, zoals een naam, dan gaan die mee. Ze gebruiken API-gegevens niet om modellen te trainen.

• Hosting in de EU (Hetzner, Duitsland/Finland), op gescheiden netwerken; databases niet publiek bereikbaar.
• Versleuteling: TLS 1.2+ voor alle verbindingen; toegangstokens van platformen versleuteld opgeslagen; wachtwoorden met een sterke hashfunctie.
• Scheiding tussen klanten: elke tenant heeft een eigen database of eigen rijbeveiliging (RLS).
• Toegang: alleen medewerkers die het nodig hebben; persoonlijke accounts, tweestapsverificatie, sleutels in een geheimenkluis; geen gedeelde wachtwoorden.
• Back-ups: dagelijks, versleuteld, buiten het productiecluster bewaard.
• Logging en monitoring van toegang en fouten; alerts bij afwijkingen.
• Wijzigingen via code-review en een geautomatiseerde test- en releasestraat; geheimenscan op elke wijziging.
• Een incidentprocedure met datalekregister.

Bij artikel 2 (alleen op instructie). De verwerkingsverantwoordelijke zet geen bijzondere persoonsgegevens in de velden die hij zelf aanmaakt, zoals gezondheid, religie of politieke voorkeur (art. 9 AVG). Hij zet er ook geen strafrechtelijke gegevens of BSN in. De uitzondering voor de suppressielijst staat in artikel 14.

Bij artikel 6 (rechten van betrokkenen).

• Een ontvanger kan zich altijd zelf afmelden: met één klik, zonder in te loggen. Hij kan ook per lijst zijn voorkeuren aanpassen.
• Voor een verzoek om inzage open je het contact in de app. Het toestemmingslog laat zien wanneer, hoe en met welke tekst iemand toestemming gaf.
• Een verzoek om verwijdering of om een export stuur je naar privacy@yzrstack.com. We voeren het binnen 5 werkdagen uit.

Bij artikel 7 (hulp bij verplichtingen). Moet de verwerkingsverantwoordelijke een gegevensbeschermingseffectbeoordeling (DPIA) doen, bijvoorbeeld bij grootschalige profilering op basis van opens en kliks, dan levert de verwerker de informatie over de verwerking en de maatregelen.

Bij artikel 8 (datalekken). Meldtermijn 36 uur. Onder een datalek valt hier ook: mail die door een fout van de verwerker bij de verkeerde ontvangers terechtkwam, of waarin de verkeerde persoonsgegevens stonden.

• wat: contacten en lijsten beheren; aanmeldformulieren; double opt-in · betrokkenen: abonnees en leads van de klant · soorten gegevens: e-mailadres, naam, extra velden die de klant toevoegt (geen bijzondere gegevens), lijsten, voorkeuren, status · bewaartermijn: zolang de klant ze laat staan; 30 dagen na afmelden worden e-mail, naam en extra velden gewist, alleen de pseudonieme code en de status blijven
• wat: toestemming aantonen · betrokkenen: idem · soorten gegevens: tijdstip, actie, kanaal, lijst, tekstversie, IP-adres, browser; bij import de bron en datum van de toestemming of klantrelatie en wie die verklaarde · bewaartermijn: de keten zolang het contact bestaat; IP-adres en browser 30 dagen na afmelden gewist
• wat: onbevestigde aanmeldingen en uitnodigingen · betrokkenen: wie niet bevestigde · soorten gegevens: als hierboven · bewaartermijn: gewist 30 dagen na de aanmelding of de uitnodiging; de bevestigingslink is 7 dagen geldig
• wat: campagnes en flows versturen · betrokkenen: ontvangers · soorten gegevens: e-mailadres, naam, gegevens in merge-tags, inhoud van de mail · bewaartermijn: als de contacten
• wat: aflevering, bounces, klachten, afmeldingen vastleggen · betrokkenen: ontvangers · soorten gegevens: gebeurtenis en tijdstip · bewaartermijn: 13 maanden
• wat: opens en kliks meten, alleen met toestemming (standaard uit) · betrokkenen: ontvangers die toestemming gaven · soorten gegevens: geopend, geklikt (met link), tijdstip · bewaartermijn: 13 maanden
• wat: koppelingen (Sityzr-webshop, webhooks, API) · betrokkenen: klanten van de webshop van de klant · soorten gegevens: e-mailadres, naam, bestelgebeurtenissen die de klant laat doorsturen · bewaartermijn: als de contacten

• Hosting in de EU (Hetzner); mail via Amazon SES in de regio eu-central-1 (Frankfurt).
• Alle verbindingen via TLS. Elke klant verstuurt via een eigen SES-tenant en configuration set, zodat de reputatie per klant gescheiden is.
• Scheiding tussen klanten: elke rij in de database draagt de klant, en de app laat een gebruiker alleen rijen van zijn eigen klant zien en wijzigen.
• Inloggen via het accountsysteem van YZR stack; wachtwoorden alleen als hash; toegang per dienst.
• Het toestemmingslog kan alleen aangevuld worden: een databasetrigger staat geen wijziging toe, behalve het wissen van IP-adres en browser na de bewaartermijn.
• Afmeld-, bevestig- en voorkeurenlinks zijn ondertekend (HMAC).
• Sleutels staan in een afgeschermde geheimenkluis, niet in de code. Elke wijziging gaat door code-review, geautomatiseerde tests en een geheimenscan.
• Monitoring met alerts op klachtratio, bounces, wachtrij en worker.
• AI-aanroepen gaan alleen naar leveranciers op de subverwerkerslijst.