# Verwerkersovereenkomst (DPA) — concept smart-io

**Status:** AI-concept — **geen juridisch advies**; niet door een advocaat gecontroleerd.  
**Product:** smart-io (handelsnaam) · Exploitant / verwerker: **Smartio, Apeldoorn** (eenmanszaak) · KvK **88025675** · btw-id **NL004526686B93**  
**Laatst bijgewerkt:** concept 2026-10-28  
**Doel:** bijlage bij de SaaS-overeenkomst / algemene voorwaarden tussen B2B-klant en Smartio

---

## Rolverdeling (lees dit eerst)

| Situatie | Rol klant | Rol Smartio |
|----------|-----------|-------------|
| Alleen accounts van **eigen medewerkers** van de klant (naam, zakelijk e-mail, inlog) | Vaak **eigen** verantwoordelijke voor die HR-/accountgegevens; smart-io verwerkt ze als onderdeel van de dienst | Verwerkingsverantwoordelijke voor eigen dienstprocessen (zie privacybeleid) **of** verwerker voor klantaccounts — **[OPEN]** juridische kwalificatie laten bevestigen |
| Klant voert via smart-io **persoonsgegevens van derden** in (bijv. eindgebruikers, cliënten) | **Verwerkingsverantwoordelijke** | **Verwerker** (deze DPA) |

smart-io is opgezet als **informatie-lookup** over Zvw/Wmo-hulpmiddelen **zonder** BSN, zonder patiëntnamen, zonder zorgverlening. Deze DPA geldt vooral **wanneer** de klant toch persoonsgegevens van anderen via de SaaS laat verwerken. Gebruik smart-io niet om patiënt-BSN of patiëntnamen in te voeren.

---

## 1. Partijen

**Verwerkingsverantwoordelijke (“Klant”):** de B2B-organisatie die smart-io afneemt.  
**Verwerker:** Smartio, Apeldoorn (eenmanszaak), handelsnaam smart-io · KvK **88025675** · btw-id **NL004526686B93** · Contact **[volgt: e-mail]**.

## 2. Onderwerp en duur

2.1 Smartio verwerkt persoonsgegevens uitsluitend in het kader van de overeengekomen smart-io-dienst (accountbeheer, lookups, logging, beveiliging, support, facturatie waar van toepassing).

2.2 Deze overeenkomst loopt zolang Smartio persoonsgegevens voor de Klant verwerkt onder de SaaS-overeenkomst, en eindigt automatisch bij beëindiging daarvan, behoudens bewaarplichten.

## 3. Aard van de verwerking (voorstel)

- **Soorten gegevens:** accountgegevens van gebruikers; technische logs; zoektermen/lookup-metadata **zonder** BSN. Geen bijzondere categorieën beoogd. **[OPEN]** als klant toch andere gegevens invoert.  
- **Categorieën betrokkenen:** medewerkers/gebruikers van de Klant; eventueel derden alleen als de Klant die invoert (niet beoogd).  
- **Doel:** leveren en beveiligen van de SaaS; geen eigen marketing op klantgegevens van derden.

## 4. Instructies (AVG art. 28-stijl, plain language)

4.1 Smartio verwerkt persoonsgegevens **alleen** op gedocumenteerde instructie van de Klant, inclusief deze DPA en de productfunctionaliteit, tenzij een wettelijke verplichting anders eist (dan informeert Smartio de Klant vooraf, tenzij de wet dat verbiedt).

4.2 Smartio mag gegevens niet voor eigen doeleinden gebruiken buiten wat nodig is voor de dienst.

## 5. Geheimhouding

Personen die namens Smartio toegang hebben, zijn tot geheimhouding verplicht (contractueel of wettelijk).

## 6. Beveiliging

Smartio treft passende technische en organisatorische maatregelen (o.a. toegangsbeheer, versleuteling waar passend, logging, max. 1 sessie per gebruiker). Details op verzoek of in een bijlage **[OPEN]**.

## 7. Subverwerkers

7.1 De Klant geeft algemene toestemming voor subverwerkers die nodig zijn voor hosting en infrastructuur, te beginnen met:

- **Vercel** (hosting);  
- database-/infrastructuurleverancier **[volgt: naam]**;  
- overige **[volgt]**.

7.2 Smartio sluit met subverwerkers afspraken die minstens hetzelfde beschermingsniveau bieden. Bij een voorgenomen wijziging van subverwerker informeert Smartio de Klant tijdig; de Klant mag bezwaar maken op redelijke gronden **[OPEN: termijn, bijv. 14 dagen]**.

## 8. Assistentie bij rechten van betrokkenen

Smartio helpt de Klant, voor zover redelijk en technisch mogelijk, bij verzoeken van betrokkenen (inzage, wissing, enz.) die via de Klant binnenkomen.

## 9. Datalekken

Smartio meldt een **inbreuk in verband met persoonsgegevens** zo snel mogelijk aan de Klant nadat zij daarvan kennis heeft, met beschikbare informatie zodat de Klant haar AVG-plichten (o.a. eventuele melding aan de AP binnen **72 uur** indien van toepassing) kan nakomen. Zie ook het interne [incident-/datalekplan](./incident-datalekplan.md) (niet openbaar).

## 10. Audits

Op schriftelijk verzoek en met redelijke kennisgeving verstrekt Smartio informatie waarmee de Klant kan controleren of deze DPA wordt nagekomen. Audits op locatie alleen als documentatie onvoldoende is, tijdens kantooruren, zonder verstoring van de dienst, en onder geheimhouding. **[OPEN]** frequentie/kosten.

## 11. Doorgifte buiten de EER

Geen doorgifte buiten de EER zonder passende waarborgen. Concrete regio’s en mechanismen: **[VERIFY]** bij livegang.

## 12. Teruggave en wissen

Na einde van de dienst wist of retourneert Smartio de persoonsgegevens van de Klant, behoudens wettelijke bewaarplicht of anonieme aggregaten. Lookup-logs: standaard **90 dagen**, tenzij eerder gewist op verzoek.

## 13. Aansprakelijkheid

Aansprakelijkheid volgt de [algemene voorwaarden](./algemene-voorwaarden.md), voor zover dwingend AVG-recht dat toelaat.

## 14. Rangorde

Bij strijd tussen deze DPA en de algemene voorwaarden prevaleert deze DPA voor zover het om verwerking van persoonsgegevens gaat.

## 15. Ondertekening **[OPEN]**

| | Klant | Smartio |
|--|-------|---------------|
| Naam | | Jesper Braakman / Smartio |
| Functie | | Eigenaar |
| Datum | | |
| Handtekening | | |

---

*Concept 2026-10-28. Laat een privacy-/AVG-jurist meelezen vóór ondertekening met betalende klanten.*