Verwerkersovereenkomst

Versie 1.0, ingangsdatum 18 september 2026

Als je Eclarion gebruikt, verwerken wij persoonsgegevens namens jouw organisatie: de accounts van je collega's, en wat gebruikers verder in het platform invoeren. Deze verwerkersovereenkomst (artikel 28 AVG) regelt hoe we daarmee omgaan. Ze is onderdeel van onze dienstverlening, geldt automatisch voor elke klant en is voor iedereen gelijk. Je hoeft er niets voor te tekenen. Voor je leveranciersdossier staat elke versie onderaan deze pagina als door ons ondertekende PDF.

Wie is wie?

Jouw organisatie is de verwerkingsverantwoordelijke: jij bepaalt welke persoonsgegevens in Eclarion worden gezet en waarvoor. Wij zijn de verwerker: Eclarion B.V., ingeschreven onder Kamer van Koophandel nummer 62087282, gevestigd aan de Nieuwstad 70 C, 6811 BM te Arnhem. Deze verwerkersovereenkomst hoort bij je overeenkomst voor het gebruik van Eclarion. Die komt tot stand zodra jouw organisatie een account aanmaakt en onze algemene voorwaarden accepteert, ook tijdens een proefperiode.

Wat verwerken we, en waarvoor?

Onderwerp	Het functioneren van het Eclarion-platform voor jouw organisatie
Duur	Zolang jouw organisatie Eclarion gebruikt, plus 3 maanden na beëindiging waarin je gegevens kunt exporteren
Aard en doel	Authenticatie en autorisatie van gebruikers, opslag en bewerking van productspecificaties en gerelateerde gegevens, audit logging, communicatie binnen het platform, en AI-ondersteuning bij het gebruik van het platform, waaronder het verwerken van aangeleverde documenten
Soorten persoonsgegevens	Naam, zakelijk e-mailadres, wachtwoord (opgeslagen als hash, ook wij kunnen het niet lezen), gegevens voor twee-factor-authenticatie, rol, taalvoorkeur, inlogtijdstippen en IP-adres, audit-logregels, gegevens die gebruikers zelf invoeren (waaronder naam, e-mailadres en telefoonnummer van contactpersonen bij je leveranciers), en de inhoud van documenten die gebruikers of leveranciers aanleveren, voor zover daar namen in staan
Categorieën betrokkenen	Medewerkers van jouw organisatie, bij gebruik van leveranciersfuncties ook contactpersonen bij jouw leveranciers

Waar houden wij ons aan?

We verwerken persoonsgegevens uitsluitend op jouw gedocumenteerde instructie: wat jij en je gebruikers in het platform doen, en wat je ons schriftelijk vraagt. Alleen als een wettelijke verplichting ons ertoe dwingt wijken we daarvan af, en dan informeren we je vooraf, tenzij de wet dat verbiedt. Vinden we dat een instructie in strijd is met de AVG, dan zeggen we dat voordat we hem uitvoeren. Jij zorgt voor de grondslag van de gegevens die je in Eclarion zet. Wij gebruiken persoonsgegevens niet voor eigen doeleinden en niet om AI-modellen te trainen.

Iedereen die bij ons toegang heeft tot persoonsgegevens is tot vertrouwelijkheid verplicht. We helpen je bij het nakomen van jouw verplichtingen uit de artikelen 32 tot en met 36 AVG, zoals beveiliging, datalekmeldingen en gegevensbeschermingseffectbeoordelingen. En we stellen alle informatie beschikbaar die nodig is om aan te tonen dat we aan deze overeenkomst voldoen. Een audit begint bij onze documentatie en de rapporten van onze subverwerkers. Is dat niet genoeg, dan werken we mee aan een audit door jou of een onafhankelijke auditor: eens per jaar, 30 dagen vooraf aangekondigd, onder geheimhouding, op jouw kosten.

Hoe is de beveiliging geregeld?

We nemen passende technische en organisatorische maatregelen conform artikel 32 AVG. Daaronder in elk geval:

• Versleuteling van gegevens onderweg (TLS), van de database in opslag en van de backups
• Jouw gegevens zijn technisch afgeschermd van andere organisaties
• Twee-factor-authenticatie voor alle gebruikers, per organisatie af te dwingen, en single sign-on via SAML
• Audit logging van wijzigingen, niet achteraf aanpasbaar
• Continue backups met point-in-time herstel, plus dagelijkse backups
• Toegang tot productiesystemen beperkt tot de personen die het nodig hebben

Wat je verder van het platform mag verwachten, inclusief beschikbaarheid en herstel, staat in onze service level agreement.

Welke subverwerkers gebruiken we?

Voor onderdelen van de dienst gebruiken we subverwerkers, zoals het datacenter waar onze servers staan. Het actuele overzicht, inclusief functie en verwerkingslocatie per partij, staat op onze subverwerkerspagina.

Voegen we een subverwerker toe die persoonsgegevens van jouw organisatie verwerkt, of vervangen we er één, dan informeren we je vooraf. Je hebt dan 30 dagen om bezwaar te maken op grond van substantiële privacyredenen. Moeten we een subverwerker met spoed vervangen omdat die uitvalt of een beveiligingsincident heeft, dan doen we dat direct en melden we het je binnen 5 werkdagen. Je bezwaartermijn van 30 dagen gaat dan in bij die melding. Maak je bezwaar, dan zoeken we samen een oplossing. Lukt dat niet, dan kun je je overeenkomst met Eclarion opzeggen zonder opzegtermijn. Vooruitbetaalde kosten voor de resterende periode krijg je terug. Met elke subverwerker sluiten we een verwerkersovereenkomst met verplichtingen die minimaal gelijkwaardig zijn aan deze overeenkomst.

Wat gebeurt er bij een datalek?

Ontdekken we een datalek dat persoonsgegevens van jouw organisatie raakt, dan informeren we je onverwijld, en uiterlijk binnen 48 uur na ontdekking. We helpen je bij een eventuele melding aan de Autoriteit Persoonsgegevens en aan betrokkenen.

Wat als een betrokkene zijn rechten gebruikt?

Verzoeken van betrokkenen (inzage, correctie, verwijdering, dataportabiliteit, bezwaar) handel jij als verwerkingsverantwoordelijke af, wij helpen je daarbij. Komt zo'n verzoek rechtstreeks bij ons binnen, dan sturen we het binnen 5 werkdagen naar je door.

Verlaten persoonsgegevens de Europese Unie?

Het platform, de database en de backups draaien op servers in de Europese Unie. Een beperkt aantal subverwerkers verwerkt gegevens buiten de Europese Economische Ruimte. Dat gebeurt uitsluitend op basis van een geldig rechtskader: een adequaatheidsbesluit (zoals het EU-US Data Privacy Framework) of de Standard Contractual Clauses van de Europese Commissie, waar nodig met aanvullende waarborgen. Welke partijen dat zijn zie je op de subverwerkerspagina.

Wat gebeurt er na afloop?

Na beëindiging van je overeenkomst met Eclarion kun je nog 3 maanden alle gegevens exporteren. Daarna verwijderen we de persoonsgegevens definitief uit onze systemen. Kopieën in backups verdwijnen binnen 45 dagen na die verwijdering. Op verzoek bevestigen we de verwijdering schriftelijk. Wettelijke bewaarplichten, zoals de fiscale bewaarplicht voor factuurgegevens, blijven gerespecteerd.

Aansprakelijkheid en rangorde

Voor aansprakelijkheid tussen partijen gelden onze algemene voorwaarden, met inachtneming van artikel 82 AVG. Bij strijdigheid tussen deze overeenkomst en de algemene voorwaarden gaat, waar het de verwerking van persoonsgegevens betreft, deze overeenkomst voor.

Recht en wijzigingen

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Arnhem, tenzij dwingend recht anders bepaalt. Materiële wijzigingen in deze overeenkomst kondigen we ruim van tevoren per e-mail aan bij de beheerders van je account. Elke versie krijgt een eigen nummer en ingangsdatum en blijft als PDF beschikbaar. Instructies, verzoeken en bezwaren stuur je naar team@eclarion.com.

Versiegeschiedenis