Verwerkersovereenkomst
Laatst bijgewerkt: 11 april 2026
De versie van 30 seconden
U bent de verwerkingsverantwoordelijke, wij zijn de verwerker, de gegevens staan in Frankfurt, en we laten het u binnen 48 uur weten als er iets misgaat. Subverwerkers worden bij naam genoemd. De genummerde secties zijn AVG-artikel 28 in juridische taal.
1. Definities
"Verwerkingsverantwoordelijke" betekent de entiteit die het doel van en de middelen voor de verwerking van persoonsgegevens bepaalt (u, de klant). "Verwerker" betekent CarbonTrace (geëxploiteerd door Simplinity, Nederland), die persoonsgegevens namens de Verwerkingsverantwoordelijke verwerkt. "Subverwerker" betekent een derde partij die door de Verwerker wordt ingeschakeld om persoonsgegevens te verwerken. "Persoonsgegevens" en "Verwerking" hebben de betekenis die daaraan wordt gegeven in artikel 4 AVG.
2. Reikwijdte en doel
Deze verwerkersovereenkomst is van toepassing op alle verwerking van persoonsgegevens door CarbonTrace namens de Verwerkingsverantwoordelijke in verband met de CarbonTrace-dienst voor het berekenen en rapporteren van de CO2-voetafdruk. De categorieën verwerkte gegevens omvatten: accountgegevens (naam, e-mail), organisatiegegevens, IT-assetgegevens, berekeningsresultaten en gebruiksmetadata. Betrokkenen zijn onder meer de medewerkers en gemachtigde gebruikers van de Verwerkingsverantwoordelijke.
3. Verplichtingen van de verwerker
CarbonTrace zal: persoonsgegevens uitsluitend verwerken op gedocumenteerde instructies van de Verwerkingsverantwoordelijke (waaronder de Servicevoorwaarden en deze verwerkersovereenkomst); ervoor zorgen dat personen die gemachtigd zijn om persoonsgegevens te verwerken gebonden zijn aan geheimhoudingsverplichtingen; passende technische en organisatorische beveiligingsmaatregelen treffen (zie Sectie 7); de Verwerkingsverantwoordelijke bijstaan bij het beantwoorden van verzoeken van betrokkenen; alle persoonsgegevens bij beëindiging van de dienst verwijderen of teruggeven, naar keuze van de Verwerkingsverantwoordelijke; en alle informatie beschikbaar stellen die nodig is om naleving aan te tonen.
4. Verplichtingen van de verwerkingsverantwoordelijke
De Verwerkingsverantwoordelijke zal: ervoor zorgen dat hij een rechtmatige grondslag heeft voor de verwerking van persoonsgegevens die bij CarbonTrace worden ingediend; instructies geven die voldoen aan de toepasselijke wetgeving inzake gegevensbescherming; en CarbonTrace onverwijld op de hoogte stellen van wijzigingen die van invloed zijn op de vereisten voor gegevensverwerking.
5. Subverwerkers
CarbonTrace maakt gebruik van de volgende subverwerkers: Supabase Inc. (database en authenticatie, EU-regio eu-west-1), Vercel Inc. (applicatiehosting en edge-netwerk), Mollie B.V. (betalingsverwerking, Nederland) en Resend Inc. (bezorging van transactionele e-mail). CarbonTrace stelt de Verwerkingsverantwoordelijke ten minste 30 dagen van tevoren op de hoogte voordat een subverwerker wordt toegevoegd of vervangen. De Verwerkingsverantwoordelijke kan bezwaar maken tegen een nieuwe subverwerker door binnen 14 dagen contact op te nemen via privacy@carbontrace.cloud. Elke subverwerker is gebonden aan een verwerkersovereenkomst met verplichtingen die niet minder beschermend zijn dan deze verwerkersovereenkomst.
6. Internationale doorgiften
De primaire gegevensopslag bevindt zich in de Europese Unie (Frankfurt, eu-west-1). Wanneer persoonsgegevens buiten de EU/EER worden doorgegeven (bijv. Vercel edge-functions in niet-EU-regio's), zorgt CarbonTrace voor passende waarborgen, waaronder de modelcontractbepalingen (Standard Contractual Clauses, SCCs) zoals vastgesteld door de Europese Commissie. Transfer Impact Assessments zijn op verzoek beschikbaar.
7. Beveiligingsmaatregelen
CarbonTrace implementeert: versleuteling tijdens verzending (TLS 1.3) en in rust (AES-256); row-level security op alle databasetabellen; hash-geketende, alleen-toevoegen-auditlogging met 7 jaar bewaartermijn; toegangscontroles met op rollen gebaseerde rechten; regelmatige beveiligingsbeoordelingen; en geautomatiseerd scannen op kwetsbaarheden. Een gedetailleerd beveiligingsoverzicht is op verzoek beschikbaar via security@carbontrace.cloud.
8. Rechten van betrokkenen
CarbonTrace biedt technische maatregelen om de Verwerkingsverantwoordelijke te helpen bij het afhandelen van verzoeken van betrokkenen op grond van de artikelen 15–22 AVG: selfservice-gegevensexport (art. 20 overdraagbaarheid), selfservice-accountverwijdering (art. 17 wissing), profielbewerking (art. 16 rectificatie) en toegang tot het auditlog ten behoeve van verantwoording. Gebruikers kunnen deze rechten rechtstreeks uitoefenen via Instellingen → Privacy en gegevens.
9. Melding van datalekken
CarbonTrace zal de Verwerkingsverantwoordelijke zonder onnodige vertraging en in elk geval binnen 48 uur na kennisname op de hoogte stellen van een inbreuk in verband met persoonsgegevens. De melding omvat: de aard van de inbreuk, de categorieën en het geschatte aantal getroffen betrokkenen, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen om de inbreuk te beperken. Alle inbreuken worden vastgelegd in het auditlog.
10. Audits en inspecties
CarbonTrace stelt aan de Verwerkingsverantwoordelijke alle informatie beschikbaar die nodig is om naleving van deze verwerkersovereenkomst aan te tonen. De Verwerkingsverantwoordelijke kan audits uitvoeren, inclusief inspecties, mits met redelijke voorafgaande kennisgeving (ten minste 30 dagen) en tijdens normale kantooruren. CarbonTrace kan als alternatief een onafhankelijk auditrapport van een derde partij aanbieden. De auditkosten komen voor rekening van de Verwerkingsverantwoordelijke, tenzij de audit niet-naleving door CarbonTrace aan het licht brengt.
11. Looptijd en beëindiging
Deze verwerkersovereenkomst is van kracht voor de duur van de CarbonTrace-serviceovereenkomst. Na beëindiging verwijdert CarbonTrace alle persoonsgegevens binnen 30 dagen, tenzij bewaring vereist is op grond van toepasselijke wetgeving (bijv. auditlogs die 7 jaar worden bewaard onder de Nederlandse boekhoudregelgeving). De Verwerkingsverantwoordelijke kan vóór beëindiging om een gegevensexport verzoeken.
12. Toepasselijk recht
Op deze verwerkersovereenkomst is het recht van Nederland van toepassing. Geschillen worden beslecht door de rechtbanken in Nederland, onverminderd het recht van de betrokkene om een klacht in te dienen bij de Nederlandse toezichthouder voor gegevensbescherming (Autoriteit Persoonsgegevens).
13. Contact
Voor vragen over deze verwerkersovereenkomst of om uw rechten uit te oefenen: privacy@carbontrace.cloud. Contact gegevensbescherming: Simplinity, Nederland.
Een ondertekend exemplaar nodig? Neem contact op of mail naar privacy@carbontrace.cloud