Verwerkersovereenkomst

1. Partijen en rollen

Deze verwerkersovereenkomst ("Verwerkersovereenkomst") maakt deel uit van, en wordt beheerst door, de Betaalde Hosting Algemene Voorwaarden van Veldhost (de "Overeenkomst") tussen:

• Verwerker: Veldhost, de geregistreerde handelsnaam van een Nederlandse eenmanszaak van Janis Berzins, KvK 98167820, btw NL005311289B72, vestigingsadres en contactgegevens zoals vermeld in het blok "Wie wij zijn" hierboven, juridisch contact legal@veldhost.eu ("veldhost", "wij", "Verwerker"); en
• Verwerkingsverantwoordelijke: de klant die in het account/de bestelling is geïdentificeerd ("Klant", "u", "Verwerkingsverantwoordelijke").

Voor Klantcontent — de websites, applicaties, bestanden, databases, mailboxen, back-ups, DNS-records en alle persoonsgegevens die u bij ons host — bent u de verwerkingsverantwoordelijke en is veldhost uw verwerker. Voor account-, facturatie-, support-, beveiligings- en misbruikpreventiegegevens is veldhost een zelfstandige verwerkingsverantwoordelijke onder de afzonderlijke Privacyverklaring, en deze Verwerkersovereenkomst is niet van toepassing op die gegevens.

Bent u zelf verwerker voor een derde, dan treedt u hier jegens ons op als verwerkingsverantwoordelijke en garandeert u dat u bevoegd bent om ons namens die derde instructies te geven.

2. Onderwerp, duur, aard en doel

• Onderwerp: verwerking van persoonsgegevens in Klantcontent in het kader van het leveren van de managed hostingdienst.
• Duur: voor de looptijd van de Overeenkomst, plus de bewaar-/teruggave-/verwijderingstermijn in §11.
• Aard en doel: het hosten, opslaan, doorgeven, back-uppen, serveren, beveiligen en beheren van Klantcontent en de bijbehorende managed diensten (compute, DNS, TLS, opslag, e-mail wanneer ingeschakeld, monitoring, back-ups, support), uitsluitend om de door u bestelde dienst te leveren.
• Soort persoonsgegevens: bepaald door u als verwerkingsverantwoordelijke. Doorgaans kunnen dit zijn: namen, e-mailadressen, contactgegevens, accountgegevens, bestel-/transactiegegevens en IP-adressen van gebruikers van uw website/app, supportinhoud, en alle andere persoonsgegevens die u in uw gehoste content plaatst. U mag zonder afzonderlijke schriftelijke overeenkomst geen bijzondere categorieën van persoonsgegevens (art. 9 AVG) of strafrechtelijke gegevens in Klantcontent plaatsen.
• Categorieën betrokkenen: bepaald door u — doorgaans de bezoekers, gebruikers, klanten, medewerkers en contacten van uw website/app.

3. Verplichtingen van de verwerker (art. 28 lid 3 AVG)

veldhost zal:

1. Uitsluitend verwerken op gedocumenteerde instructies. Persoonsgegevens in Klantcontent uitsluitend verwerken op uw gedocumenteerde instructies (waaronder de Overeenkomst, de configuratie in het portaal en supportverzoeken), ook voor internationale doorgiften, tenzij het EU-recht of het recht van een lidstaat dit vereist — in dat geval informeren wij u vooraf, tenzij de wet dit verbiedt.
2. Vertrouwelijkheid. Waarborgen dat personen die bevoegd zijn de gegevens te verwerken (momenteel de eigenaar; eventuele toekomstige medewerkers/opdrachtnemers) tot vertrouwelijkheid verplicht zijn.
3. Beveiliging. De technische en organisatorische maatregelen in §7 treffen (art. 32 AVG).
4. Subverwerkers. Subverwerkers uitsluitend inschakelen conform §6.
5. Bijstand bij rechten van betrokkenen. Rekening houdend met de aard van de verwerking, u door passende technische en organisatorische maatregelen en voor zover mogelijk bijstaan bij het beantwoorden van verzoeken van betrokkenen (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar) — zie §8.
6. Bijstand bij naleving. U bijstaan bij het nakomen van de verplichtingen uit art. 32–36 AVG (beveiliging, melding van datalekken, DPIA’s, voorafgaande raadpleging), rekening houdend met de informatie waarover wij beschikken.
7. Verwijdering/teruggave. Aan het einde van de dienstverlening Klantcontent verwijderen of teruggeven conform §11.
8. Naleving aantonen. De informatie beschikbaar stellen die nodig is om de naleving van art. 28 AVG aan te tonen, en audits mogelijk maken en eraan bijdragen conform §9.
9. Onrechtmatige instructies melden. U onmiddellijk informeren als een instructie naar ons oordeel inbreuk maakt op de AVG of ander EU-recht of lidstatelijk recht inzake gegevensbescherming.

4. Verplichtingen van de verwerkingsverantwoordelijke

U garandeert dat: u een rechtmatige grondslag voor de verwerking heeft; u verantwoordelijk bent voor de juistheid, inhoud en rechtmatigheid van Klantcontent; u ons niet zult instrueren om gegevens onrechtmatig te verwerken; u alle vereiste informatie aan uw betrokkenen heeft verstrekt en alle vereiste toestemmingen van hen heeft verkregen; en u zonder voorafgaande schriftelijke overeenkomst geen bijzondere categorieën van persoonsgegevens of strafrechtelijke gegevens in de dienst zult plaatsen.

5. Internationale doorgiften

De productbelofte van veldhost is dataresidentie in de EU/EER voor Klantcontent. Wij plaatsen Klantcontent, productie-compute of back-ups niet opzettelijk buiten de EU/EER, en elke nieuwe subverwerker die Klantcontent zal verwerken wordt vóór gebruik aan een EU-locatie gebonden.

Domeinregistratie wordt verzorgd door Openprovider (Hosting Concepts B.V., Nederland) — binnen de EER — die, onder het model waarin veldhost als registrant optreedt, uitsluitend de domeinnaam en de eigen zakelijke contactgegevens van veldhost ontvangt, niet uw persoonsgegevens. Een klein aantal domeinen dat vóór medio 2026 is geregistreerd, staat nog bij onze vorige registrar, OpenSRS / Tucows Inc. (Canada), en wordt naar Openprovider gemigreerd; die begrensde gegevensstroom zonder persoonsgegevens steunt tot de migratie is afgerond op het adequaatheidsbesluit van de Europese Commissie voor commerciële organisaties die onder PIPEDA vallen (Beschikking 2002/2/EG van de Commissie). Mocht een toekomstige gegevensstroom vereisen dat persoonsgegevens uit Klantcontent de EER verlaten, dan implementeren wij een passende waarborg uit hoofdstuk V (adequaatheidsbesluit of de EU-modelcontractbepalingen) en werken wij de subverwerkerslijst bij voordat wij die stroom inschakelen.

6. Subverwerkers

U verleent algemene schriftelijke toestemming aan veldhost om de hieronder vermelde subverwerkers in te schakelen. Wij informeren u ten minste 14 dagen voordat wij een subverwerker toevoegen of vervangen (via het portaal of per e-mail), en u kunt op redelijke gegevensbeschermingsgronden bezwaar maken; als wij het bezwaar niet kunnen oplossen, kunt u de betreffende dienst opzeggen. Wij leggen elke subverwerker gegevensbeschermingsverplichtingen op die niet minder beschermend zijn dan deze Verwerkersovereenkomst en blijven volledig aansprakelijk voor hun prestaties. De onderstaande tabel is de enige, van versiebeheer voorziene bron voor ons subverwerkersregister.

Subverwerkersregister (v1.1)

Wijzigingslog van het register

• v1.1 — 9 september 2026. Verwijderd: Cloudflare, Inc. (edge/CDN + DNS voor het portaal en het marketingdomein). veldhost.eu en het Manage-portaal worden sinds juli 2026 rechtstreeks geserveerd vanaf onze eigen EU-infrastructuur en onze eigen autoritatieve nameservers (ns1/ns2.veldhost.eu); er staat geen edge-, CDN- of externe DNS-provider meer vóór enige veldhost-dienst. Voor het verwijderen van een subverwerker geldt onder §6 geen aankondigingstermijn.
• v1.0 — 4 juli 2026. Eerste register.

7. Beveiligingsmaatregelen (art. 32 AVG)

Rekening houdend met de stand van de techniek, de kosten, en de aard, omvang, context en doeleinden van de verwerking en de risico’s voor betrokkenen, past veldhost technische en organisatorische maatregelen toe, waaronder:

• Versleuteling tijdens transport (TLS voor al het klantgerichte en beheerverkeer); TLS-certificaten worden beheerd en automatisch verlengd.
• Toegangsbeheer: multifactorauthenticatie, rolgebaseerde toegang, operatortoegang met minimale rechten via een afzonderlijke console (bastion + mTLS), uitgeschakelde root-SSH, en auditlogging van geprivilegieerde handelingen.
• Tenant-isolatie: LXD-containers per klant; klantdatabases uitsluitend op localhost; scheiding van klantworkloads.
• Netwerk-/misbruikmaatregelen: rate limiting, egress-controles, malware-/phishing-/spamsignalen, monitoring.
• Patching: geautomatiseerde beveiligingsupdates over de hele vloot (dagelijkse OS-updateronde + automatische herstart van getroffen diensten) en CVE-scanning met alerting.
• Back-ups: geplande back-ups (wekelijks als basis; dagelijks met add-on) naar opslag in de EU; het testen van herstel wordt naar een vaste frequentie gebracht (zie de SLA).
• Geheimenbeheer: omgevingsgeheimen worden versleuteld opgeslagen; productieconfiguratie wordt onder gecontroleerde rechten opgebouwd.
• Logging & monitoring: beveiligings-/auditlogs en healthmonitoring; bewaartermijnen conform de Privacyverklaring.
• Organisatorisch: vertrouwelijkheidsverplichtingen; incidentresponsproces; due diligence op subverwerkers.

Deze maatregelen kunnen zich ontwikkelen; veldhost zal het algehele beveiligingsniveau gedurende de looptijd niet wezenlijk verlagen.

8. Bijstand bij rechten van betrokkenen

Omdat u de controle heeft over Klantcontent, kunt u verzoeken om inzage, rectificatie, wissing en overdraagbaarheid doorgaans rechtstreeks afhandelen via uw gehoste applicatie, database en bestanden. Waar u dat met de geboden middelen niet kunt en redelijkerwijs onze hulp nodig heeft, verlenen wij binnen een redelijke termijn redelijke bijstand, rekening houdend met de aard van de verwerking. Als een betrokkene rechtstreeks contact met ons opneemt over Klantcontent, verwijzen wij die persoon naar u en geven wij (tenzij wettelijk verboden) zelf geen inhoudelijk antwoord.

9. Audits

veldhost stelt de informatie beschikbaar die nodig is om de naleving van art. 28 AVG aan te tonen en maakt, na redelijke voorafgaande schriftelijke kennisgeving en niet vaker dan eenmaal per 12 maanden (of na een datalek dat u treft), een audit mogelijk en draagt daaraan bij — in eerste instantie door bestaande documentatie te verstrekken (beveiligingsoverzicht, subverwerkersregister, relevante certificeringen/rapporten indien beschikbaar), en alleen waar dat werkelijk ontoereikend is door een proportionele audit op locatie of op afstand onder redelijke voorwaarden inzake vertrouwelijkheid en kostenverdeling.

10. Melding van datalekken

veldhost informeert u zonder onredelijke vertraging en in ieder geval binnen 48 uur nadat wij kennis hebben gekregen van een datalek met persoonsgegevens dat Klantcontent treft, en verstrekt daarbij (voor zover beschikbaar): de aard van het datalek, de categorieën en het geschatte aantal betrokkenen en registraties, de waarschijnlijke gevolgen, de genomen/voorgestelde maatregelen, en een contactpunt. Wij helpen u bij het nakomen van uw eigen verplichtingen uit art. 33/34 AVG. Als verwerkingsverantwoordelijke bent u verantwoordelijk voor de melding aan de toezichthoudende autoriteit (bijv. de Autoriteit Persoonsgegevens) en aan de getroffen betrokkenen waar dat vereist is; wij melden alleen bij onze eigen autoriteit voor gegevens waarvoor wij verwerkingsverantwoordelijke zijn.

11. Teruggave en verwijdering bij beëindiging

Bij afloop of beëindiging van de dienst zal veldhost, naar uw keuze, Klantcontent teruggeven (via export van bestanden/database/DNS/domeinverhuisgegevens, waar dat technisch en juridisch mogelijk is) en/of verwijderen, inclusief bestaande kopieën, binnen de export-/bewaartermijn die in de Overeenkomst, de Privacyverklaring of de bestelling is vermeld — tenzij het EU-recht of het recht van een lidstaat opslag vereist. Verwijdering van het account start de geautomatiseerde afbraak van de container en hostingmiddelen van de klant. Wij kunnen na beëindiging van de dienst de wettelijk vereiste minimale gegevens bewaren (bijv. facturen gedurende de Nederlandse fiscale bewaartermijn van 7 jaar, bewijs van beveiligingsincidenten/misbruik).

12. Aansprakelijkheid, looptijd, toepasselijk recht

Aansprakelijkheid onder deze Verwerkersovereenkomst is onderworpen aan de beperkingen in de Overeenkomst (Voorwaarden §14) en aan dwingend recht dat niet kan worden beperkt (waaronder rechten van betrokkenen waarvan geen afstand kan worden gedaan). Deze Verwerkersovereenkomst treedt in werking op het moment dat de Overeenkomst in werking treedt en eindigt tegelijk daarmee (behoudens §11). Zij wordt beheerst door Nederlands recht; geschillen worden voorgelegd aan de bevoegde Nederlandse rechter, onverminderd dwingende consumentenrechten.

13. Rangorde

Als deze Verwerkersovereenkomst strijdig is met de Overeenkomst ten aanzien van de verwerking van persoonsgegevens in Klantcontent, gaat deze Verwerkersovereenkomst voor voor dat onderwerp. In alle overige gevallen geldt de Overeenkomst.

Een ondertekend exemplaar aanvragen

Deze Verwerkersovereenkomst is door verwijzing vanuit de Voorwaarden in uw contract opgenomen en wordt hier gepubliceerd zodat u haar kunt lezen en bewaren. Heeft u voor uw eigen administratie een medeondertekend exemplaar nodig, mail dan legal@veldhost.eu.