Verwerkersovereenkomst (Data Processing Agreement) — Optira

Versie: 1.0 — concept · Laatst bijgewerkt: 6 juli 2026

Partijen

1. De Klant, zoals geïdentificeerd in de Overeenkomst, hierna: "Verwerkingsverantwoordelijke"; en
2. Camera-tweedehands.nl B.V., handelend onder de naam Optira, gevestigd te [● plaats], KvK [● KvK], hierna: "Verwerker".

Hierna gezamenlijk: "Partijen".

Overwegende dat Verwerker ten behoeve van Verwerkingsverantwoordelijke de Dienst levert (analyse, monitoring en — binnen de Autopilot-tier — geautomatiseerd beheer van Google Ads-campagnes) en daarbij persoonsgegevens verwerkt namens Verwerkingsverantwoordelijke; Partijen deze verwerking conform artikel 28 AVG wensen vast te leggen.

Artikel 1 – Definities

Begrippen uit de AVG (waaronder "persoonsgegevens", "verwerking", "betrokkene", "datalek", "subverwerker", "verwerkingsverantwoordelijke" en "verwerker") hebben in deze DPA de betekenis die de AVG daaraan geeft. Overige begrippen hebben de betekenis uit de Algemene Voorwaarden Optira.

Artikel 2 – Onderwerp, aard en doel van de verwerking

1. Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de levering van de Dienst, zoals nader omschreven in Annex 1.
2. Verwerker verwerkt de persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van Verwerkingsverantwoordelijke, waaronder de Overeenkomst en deze DPA, tenzij een wettelijke verplichting anders bepaalt (in welk geval Verwerker dit vooraf meldt, tenzij die wet dit verbiedt).
3. Verwerker verwerkt de persoonsgegevens niet voor eigen doeleinden. Het gebruik van geaggregeerde en/of geanonimiseerde gegevens die niet (meer) tot een betrokkene herleidbaar zijn, valt niet onder deze DPA.

Artikel 3 – Duur

Deze DPA geldt zolang Verwerker uit hoofde van de Overeenkomst persoonsgegevens verwerkt, en eindigt met de afwikkeling conform Artikel 11.

Artikel 4 – Instructies en rechtmatigheid

1. Verwerker verwerkt uitsluitend op instructie van Verwerkingsverantwoordelijke. Meent Verwerker dat een instructie in strijd is met de AVG of andere wetgeving, dan meldt hij dit.
2. Verwerkingsverantwoordelijke staat er als verantwoordelijke voor in dat de verwerking rechtmatig is, dat er een geldige grondslag bestaat en dat betrokkenen naar behoren zijn geïnformeerd. Verwerkingsverantwoordelijke vrijwaart Verwerker tegen aanspraken van derden wegens het ontbreken daarvan.

Artikel 5 – Vertrouwelijkheid

Verwerker verplicht de personen die hij tot verwerking van de persoonsgegevens machtigt tot geheimhouding en zorgt ervoor dat toegang beperkt is tot personeel dat de toegang nodig heeft voor de uitvoering van de Overeenkomst.

Artikel 6 – Beveiliging

1. Verwerker treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG, zoals beschreven in Annex 2.
2. Het beveiligingsniveau is afgestemd op de risico's van de verwerking en de aard van de gegevens. Partijen erkennen dat beveiliging een doorlopend proces is en dat maatregelen kunnen worden aangepast, mits het niveau niet wezenlijk vermindert.

Artikel 7 – Subverwerkers

1. Verwerkingsverantwoordelijke verleent Verwerker een algemene toestemming voor het inschakelen van subverwerkers. De op het moment van totstandkoming ingeschakelde subverwerkers zijn opgenomen in Annex 3.
2. Verwerker legt aan elke subverwerker dezelfde verplichtingen op als in deze DPA en blijft jegens Verwerkingsverantwoordelijke aansprakelijk voor de naleving door de subverwerker.
3. Verwerker informeert Verwerkingsverantwoordelijke over een voorgenomen wijziging (toevoeging/vervanging) van subverwerkers en biedt de gelegenheid daartegen op redelijke gronden binnen 14 dagen Schriftelijk bezwaar te maken. Bij een gegrond bezwaar dat Partijen niet kunnen oplossen, mag Verwerkingsverantwoordelijke de betreffende functionaliteit of de Overeenkomst opzeggen.

Artikel 8 – Rechten van betrokkenen

1. Verwerker verleent Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking, redelijke bijstand bij het vervullen van diens plicht om te reageren op verzoeken van betrokkenen (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar), onder meer via de export- en anonimiseringsfunctionaliteit van de Dienst.
2. Ontvangt Verwerker rechtstreeks een verzoek van een betrokkene, dan verwijst hij dit door naar Verwerkingsverantwoordelijke en beantwoordt het niet zelf, tenzij daartoe wettelijk gehouden.

Artikel 9 – Datalekken

1. Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging nadat hij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens (datalek), met de op dat moment beschikbare informatie als bedoeld in artikel 33 lid 3 AVG.
2. Verwerker verleent redelijke bijstand bij een eventuele melding aan de toezichthouder en/of betrokkenen. De melding aan de Autoriteit Persoonsgegevens en/of betrokkenen is en blijft de verantwoordelijkheid van Verwerkingsverantwoordelijke.

Artikel 10 – Bijstand DPIA en doorgifte buiten de EER

1. Verwerker verleent, rekening houdend met de aard van de verwerking en de hem beschikbare informatie, redelijke bijstand bij een gegevensbeschermingseffectbeoordeling (DPIA, art. 35) en een eventuele voorafgaande raadpleging (art. 36).
2. Voor zover persoonsgegevens buiten de Europese Economische Ruimte worden verwerkt (zie Annex 3), gebeurt dit uitsluitend met passende waarborgen als bedoeld in hoofdstuk V AVG, waaronder de modelcontractbepalingen (SCC's) van de Europese Commissie en waar nodig aanvullende maatregelen.

Artikel 11 – Teruggave en verwijdering na afloop

1. Na beëindiging van de Overeenkomst, of eerder op verzoek van Verwerkingsverantwoordelijke, verwijdert of anonimiseert Verwerker de persoonsgegevens, naar keuze van Verwerkingsverantwoordelijke voorafgegaan door een export.
2. In afwijking van lid 1 behoudt Verwerker een onveranderbaar, gepseudonimiseerd controlelogboek van door de Autopilot-tier uitgevoerde geautomatiseerde acties. Dit logboek is gekoppeld aan een niet tot een persoon herleidbare identificator en bevat geen directe persoonsgegevens. Behoud vindt plaats op grond van artikel 17 lid 3 AVG (verantwoording en de instelling, uitoefening of onderbouwing van rechtsvorderingen) en de eventuele wettelijke bewaarplicht, gedurende de toepasselijke bewaartermijn, waarna ook dit logboek wordt opgeschoond of verder geaggregeerd. Het erasure- en retentiebeleid is beschreven in het document data-erasure & retentie.
3. Een wettelijke bewaarplicht die op Verwerker rust, prevaleert boven de verwijderingsplicht, beperkt tot wat die plicht vereist.

Artikel 12 – Audits

1. Verwerker stelt Verwerkingsverantwoordelijke de informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen, en maakt audits mogelijk.
2. Een audit vindt plaats op kosten van Verwerkingsverantwoordelijke, maximaal eenmaal per jaar (behoudens een concreet vermoeden van een tekortkoming of een verzoek van de toezichthouder), na redelijke aankondiging, tijdens kantooruren, zonder de bedrijfsvoering onnodig te verstoren, en met inachtneming van de geheimhouding en de belangen van andere klanten. Verwerker mag voldoen door het overleggen van een recente, relevante audit- of certificeringsrapportage van een onafhankelijke derde.

Artikel 13 – Aansprakelijkheid

Op deze DPA is de aansprakelijkheidsregeling uit de Algemene Voorwaarden Optira van overeenkomstige toepassing. Boetes van de toezichthouder en aanspraken van betrokkenen komen voor rekening van de Partij aan wie de betreffende tekortkoming is toe te rekenen.

Artikel 14 – Slotbepalingen

1. Bij strijdigheid tussen deze DPA en de Algemene Voorwaarden inzake de bescherming van persoonsgegevens, prevaleert deze DPA.
2. Op deze DPA is Nederlands recht van toepassing; geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement van de vestigingsplaats van Verwerker.

Annex 1 – Verwerkingsdetails

• Onderwerp: verwerking van persoonsgegevens ten behoeve van de levering van de Dienst.
• Aard van de verwerking: verzamelen, vastleggen, opslaan, raadplegen, analyseren, structureren en — binnen de Autopilot-tier — geautomatiseerd beheren van Google Ads-campagnedata; het versturen van transactionele e-mail; foutmonitoring; facturatie.
• Doel: analyse, monitoring, rapportage en (optioneel) geautomatiseerde optimalisatie van de advertentiecampagnes van Verwerkingsverantwoordelijke.
• Duur: gedurende de looptijd van de Overeenkomst, met de afwikkeling uit Artikel 11.
• Categorieën betrokkenen: gebruikers/medewerkers van Verwerkingsverantwoordelijke die een Account hebben of wijzigingen in het advertentieaccount uitvoeren; contactpersonen.
• Categorieën persoonsgegevens:
  • Accountgegevens: naam, e-mailadres, versleutelde inloggegevens, 2FA-status;
  • Technische gegevens: IP-adres, logbestanden, user-agent;
  • Google Ads-gerelateerde gegevens: identificatoren van het advertentieaccount, (gepseudonimiseerde) gegevens over wie welke wijziging heeft uitgevoerd;
  • Facturatiegegevens: verwerkt via de betaaldienstverlener.
• Bijzondere categorieën: geen. Verwerkingsverantwoordelijke voert geen bijzondere categorieën persoonsgegevens in de Dienst in.

Annex 2 – Technische en organisatorische maatregelen (art. 32)

• Versleuteling in transit (TLS/HTTPS) en at rest;
• Versleutelde opslag van OAuth-tokens (AES-256-GCM);
• Role-based access control en het beginsel van minimale toegang;
• Logging, monitoring en foutdetectie;
• Gescheiden omgevingen en tenant-isolatie (verwerking gescheiden per organisatie);
• Regelmatige beveiligingsupdates en afhankelijkhedenbeheer;
• Back-ups en herstelprocedures;
• Toegangsbeperking tot productie tot geautoriseerd personeel onder geheimhouding;
• Een append-only, hash-geketend controlelogboek dat manipulatie detecteerbaar maakt.

(Deze lijst wordt onderhouden en kan worden geactualiseerd zonder wezenlijke verlaging van het beschermingsniveau.)

Annex 3 – Subverwerkers

Toelichting:

• Google (Google Ads API e.a.) is de bron van de campagnedata en de dienst waarmee Verwerkingsverantwoordelijke zelf een relatie heeft; Verwerker benadert Google namens Verwerkingsverantwoordelijke op basis van diens autorisatie (OAuth/MCC). [● Juridisch bevestigen of Google hier als subverwerker of als zelfstandige/bron-partij wordt gekwalificeerd.]
• Anthropic: vóór livegang bevestigen dat via de gebruikte API géén training op klantdata plaatsvindt en welke gegevens feitelijk worden verzonden (dataminimalisatie: bij voorkeur geaggregeerde/gepseudonimiseerde invoer). [● Bevestigen + eventueel Anthropic-DPA/Zero-Data-Retention regelen.]
• Locaties en waarborgen [● verifiëren] op basis van de actuele verwerkersovereenkomsten van elke subverwerker.