Dura ConnectR
Boek een demo

Verwerkersovereenkomst (DPA)

Versie v1.1Ingangsdatum: 21-07-2026Download PDF

Verwerkersovereenkomst (DPA)

Deze Verwerkersovereenkomst regelt de verwerking van persoonsgegevens door Dura ConnectR (Verwerker) namens de Klant (Verwerkingsverantwoordelijke), conform artikel 28 AVG. Dura ConnectR is een handelsnaam van New Start B.V.

Inhoud

Artikel 1 - Definities

1.1 Verwerkingsverantwoordelijke: de Klant die bepaalt welke persoonsgegevens worden verwerkt.

1.2 Verwerker: Dura ConnectR (New Start B.V.), die persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke.

1.3 Betrokkene: de natuurlijke persoon op wie de persoonsgegevens betrekking hebben.

1.4 Persoonsgegevens: alle informatie zoals omschreven in de AVG die betrekking heeft op een geidentificeerde of identificeerbare natuurlijke persoon.

1.5 Verwerking: elke handeling met persoonsgegevens binnen het Platform, waaronder verzamelen, opslaan, gebruiken, aanpassen en verwijderen.

1.6 Subverwerker: derde partij die door Verwerker wordt ingeschakeld voor verwerking van persoonsgegevens.

Artikel 2 - Doel van de verwerking en instructies

2.1 Verwerker verwerkt persoonsgegevens uitsluitend voor:

  • het leveren van het Platform
  • CRM- en leadbeheer
  • planning en installaties
  • documentgeneratie
  • AI-functionaliteiten
  • support en onderhoud

2.2 Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke, tenzij een wettelijke verplichting Verwerker tot verwerking noopt. In dat geval stelt Verwerker Verwerkingsverantwoordelijke voorafgaand aan de verwerking op de hoogte, tenzij die wetgeving deze kennisgeving verbiedt.

2.3 Verwerker stelt Verwerkingsverantwoordelijke onverwijld in kennis indien naar het oordeel van Verwerker een instructie in strijd is met de AVG of andere toepasselijke gegevensbeschermingswetgeving.

Artikel 3 - Soorten persoonsgegevens

Verwerker kan de volgende categorieen verwerken:

  • NAW-gegevens
  • contactgegevens (telefoon, e-mail)
  • bedrijfsgegevens
  • energieverbruik en voorkeuren (bijv. PV-systemen)
  • foto's uit schouw- en opleverapps
  • handtekeningen en ondertekeningsgegevens (e-signing)
  • IBAN en betalingsgegevens (indien aanwezig)
  • communicatiehistorie
  • project- en installatiegegevens

Het Platform is niet bestemd voor de verwerking van bijzondere categorieen persoonsgegevens als bedoeld in artikel 9 AVG. Verwerkingsverantwoordelijke voert dergelijke gegevens niet in het Platform in.

Artikel 4 - Doeleinden en beperkingen

4.1 Verwerker gebruikt persoonsgegevens uitsluitend voor uitvoering van de Overeenkomst.

4.2 Verwerker zal persoonsgegevens niet:

  • verkopen
  • delen buiten subverwerkers zonder grondslag
  • gebruiken voor eigen marketingdoeleinden

4.3 Verwerker is niet verantwoordelijk voor de juistheid van gegevens ingevoerd door Verwerkingsverantwoordelijke.

4.4 Verwerker mag geaggregeerde en geanonimiseerde gegevens gebruiken voor verbetering van het Platform, mits deze niet herleidbaar zijn tot Verwerkingsverantwoordelijke of Betrokkenen.

Artikel 5 - Beveiliging en geheimhouding

5.1 Verwerker treft passende technische en organisatorische maatregelen waaronder:

  • encryptie in transit en at rest
  • toegangsbeheer op basis van rollen en het beginsel van minimale rechten
  • logische scheiding van gegevens per organisatie
  • logging en monitoring
  • MFA (indien ingeschakeld)
  • beveiligde cloudomgevingen

5.2 Deze maatregelen worden periodiek geevalueerd en verbeterd.

5.3 Verwerker kan beveiligingsmaatregelen wijzigen indien nodig voor veiligheid of technologie, mits het beschermingsniveau daardoor niet wezenlijk afneemt.

5.4 Verwerker draagt er zorg voor dat personen die onder haar gezag toegang hebben tot de persoonsgegevens, zijn gebonden aan een geheimhoudingsplicht, hetzij op grond van een wettelijke verplichting, hetzij op grond van een overeenkomst.

Artikel 6 - Subverwerkers

6.1 Verwerkingsverantwoordelijke verleent Verwerker algemene toestemming voor het inschakelen van subverwerkers.

6.2 Subverwerkers mogen worden toegevoegd, vervangen of verwijderd met inachtneming van artikel 6.5.

6.3 De huidige subverwerkers zijn:

  • Supabase (via Lovable Cloud) - database, authenticatie en opslag
  • Cloudflare - CDN, netwerkbeveiliging en DNS
  • Resend (via Amazon SES) - verzending van transactionele e-mail
  • Google - AI-functionaliteit en Gmail-koppeling
  • Microsoft (365) - koppeling met e-mail, contacten en agenda
  • CM.com - SMS- en WhatsApp-berichten

Een actueel overzicht van subverwerkers is beschikbaar op de subverwerkerspagina van Dura ConnectR.

6.4 Verwerker blijft jegens Verwerkingsverantwoordelijke verantwoordelijk voor naleving van deze DPA door subverwerkers.

6.5 Verwerker kondigt een voorgenomen toevoeging of vervanging van een subverwerker ten minste dertig (30) dagen voor de ingangsdatum aan. Verwerkingsverantwoordelijke kan binnen dertig (30) dagen na de aankondiging schriftelijk en gemotiveerd bezwaar maken via privacy@duraconnectr.nl. Komen partijen er niet uit, dan kan Verwerkingsverantwoordelijke de Overeenkomst opzeggen tegen de ingangsdatum van de wijziging.

6.6 Verwerker legt aan iedere subverwerker bij overeenkomst dezelfde verplichtingen op als in deze DPA zijn opgenomen, voor zover van toepassing op de door die subverwerker uitgevoerde verwerking.

Artikel 7 - Doorgifte buiten de EER

7.1 Persoonsgegevens worden primair binnen de Europese Economische Ruimte verwerkt. Voor bepaalde functionaliteiten kunnen persoonsgegevens buiten de EER worden verwerkt.

7.2 Dit betreft met name Google ten behoeve van AI-functionaliteit en de Gmail-koppeling, en Microsoft ten behoeve van de koppeling met e-mail, contacten en agenda.

7.3 Voor zover verwerking buiten de EER plaatsvindt, zorgt Verwerker voor passende waarborgen zoals:

  • Standard Contractual Clauses (SCC's)
  • adequaatheidsbesluiten
  • aanvullende beveiligingsmaatregelen

Artikel 8 - Bewaartermijnen

8.1 Persoonsgegevens worden niet langer bewaard dan noodzakelijk voor de doeleinden.

8.2 Na beeindiging van de Overeenkomst verwijdert of anonimiseert Verwerker de persoonsgegevens conform artikel 13.

8.3 Back-ups kunnen tijdelijk langer bewaard blijven voor hersteldoeleinden en worden verwijderd conform de in artikel 13 genoemde termijn.

Artikel 9 - Rechten van betrokkenen en bijstand

9.1 Verwerker ondersteunt Verwerkingsverantwoordelijke bij verzoeken van betrokkenen zoals:

  • inzage
  • correctie
  • verwijdering
  • beperking en bezwaar
  • dataportabiliteit

9.2 Verzoeken worden alleen uitgevoerd op schriftelijke instructie van Verwerkingsverantwoordelijke. Ontvangt Verwerker een verzoek rechtstreeks van een Betrokkene, dan verwijst Verwerker de Betrokkene naar Verwerkingsverantwoordelijke en informeert Verwerkingsverantwoordelijke daarover.

9.3 Verwerker verleent, rekening houdend met de aard van de verwerking en de haar beschikbare informatie, redelijke medewerking aan Verwerkingsverantwoordelijke bij het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) als bedoeld in artikel 35 AVG en bij een eventuele voorafgaande raadpleging van de toezichthouder als bedoeld in artikel 36 AVG.

Artikel 10 - Datalekken

10.1 Verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen achtenveertig (48) uur na ontdekking aan Verwerkingsverantwoordelijke.

10.2 Meldingen bevatten de op dat moment beschikbare informatie, waaronder:

  • aard van het incident en de betrokken categorieen gegevens
  • mogelijke gevolgen
  • genomen en voorgenomen maatregelen
  • contactgegevens voor nadere informatie

10.3 Verwerker verleent redelijke medewerking bij de beoordeling van het incident en bij een eventuele melding aan de Autoriteit Persoonsgegevens en aan Betrokkenen.

10.4 De beoordeling of een inbreuk gemeld moet worden aan de toezichthouder of aan Betrokkenen berust bij Verwerkingsverantwoordelijke.

Artikel 11 - Audit en controle

11.1 Verwerker stelt aan Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit artikel 28 AVG en deze DPA worden nagekomen.

11.2 Verwerkingsverantwoordelijke mag maximaal eenmaal per kalenderjaar een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden deskundige, na een redelijke aankondiging van ten minste dertig (30) dagen.

11.3 Audits mogen de continuiteit van het Platform niet verstoren en vinden plaats tijdens kantooruren. De kosten van de audit komen voor rekening van Verwerkingsverantwoordelijke, tenzij uit de audit blijkt dat Verwerker in ernstige mate tekortschiet.

11.4 Verwerker mag in plaats van een audit een actuele onafhankelijke rapportage of certificering overleggen, mits deze de naleving van deze DPA voldoende aantoont.

11.5 Bij een redelijk vermoeden van een ernstige tekortkoming kan een aanvullende audit plaatsvinden, ook binnen de in 11.2 genoemde frequentie.

Artikel 12 - Aansprakelijkheid

12.1 De aansprakelijkheid van Verwerker onder deze DPA is beperkt zoals opgenomen in de Algemene Voorwaarden.

12.2 Verwerker is niet aansprakelijk voor:

  • foutieve invoer door Klant
  • misbruik van accounts als gevolg van nalatigheid aan de zijde van Klant
  • storingen of tekortkomingen van externe integraties die niet door Verwerker als subverwerker zijn ingeschakeld

12.3 De beperkingen in dit artikel laten onverlet de rechten die Betrokkenen op grond van de AVG rechtstreeks jegens Verwerker kunnen uitoefenen.

Artikel 13 - Beeindiging, teruggave en verwijdering

13.1 Bij beeindiging van de Overeenkomst stopt de verwerking, behoudens voor zover voortzetting noodzakelijk is voor export of verwijdering.

13.2 Verwerkingsverantwoordelijke kan gedurende dertig (30) dagen na beeindiging een export van de persoonsgegevens opvragen in een gangbaar, machineleesbaar bestandsformaat.

13.3 Na afloop van de in 13.2 genoemde termijn verwijdert Verwerker de persoonsgegevens binnen negentig (90) dagen uit de productieomgeving en binnen honderdtachtig (180) dagen uit de back-ups, behoudens gegevens die Verwerker op grond van een wettelijke bewaarplicht langer moet bewaren.

13.4 Op verzoek van Verwerkingsverantwoordelijke verstrekt Verwerker een schriftelijke bevestiging van de verwijdering.

Artikel 14 - Slotbepalingen

14.1 Op deze DPA is Nederlands recht van toepassing.

14.2 Geschillen worden voorgelegd aan de rechtbank Rotterdam.

14.3 Indien bepalingen ongeldig zijn, blijven overige bepalingen van kracht.

14.4 Bij strijdigheid tussen deze DPA en de Algemene Voorwaarden prevaleert deze DPA voor zover het de verwerking van persoonsgegevens betreft.

Dura ConnectR is een handelsnaam van New Start B.V. · Sicilieboulevard 328, 3059 XT Rotterdam · KvK 91555213 · BTW NL865694382B01 · support@duraconnectr.nl