Laatst bijgewerkt: 27 augustus 2026 (versie 1.0)
Deze verwerkersovereenkomst is een bijlage bij de algemene voorwaarden van Subsidoo. Zij regelt de verwerking van persoonsgegevens die Subsidoo namens de klant uitvoert, en geldt zodra de dienst persoonsgegevens van de klant verwerkt.
2.1 Treedt de Klant bij het gebruik van de Dienst zelf op als verwerker ten behoeve van een eigen opdrachtgever, in het bijzonder wanneer de Klant bij een Business-abonnement organisatieprofielen van diens eigen klanten beheert, dan geldt de Klant voor de toepassing van deze overeenkomst als Verwerkingsverantwoordelijke in de relatie met Subsidoo, en treedt Subsidoo in die situatie feitelijk op als subverwerker van de achterliggende, eigenlijke verwerkingsverantwoordelijke.
2.2 De Klant staat ervoor in dat de inschakeling van Subsidoo, en van de in artikel 8 genoemde Subverwerkers, door de in artikel 2.1 bedoelde achterliggende verwerkingsverantwoordelijke is toegestaan, en verstrekt Subsidoo tijdig de daarvoor benodigde instructies en informatie.
2.3 Ontvangt Subsidoo een instructie, een verzoek van een betrokkene, of een melding die volgens artikel 2.1 eigenlijk bestemd is voor de achterliggende verwerkingsverantwoordelijke, dan meldt Subsidoo dit aan de Klant. De Klant blijft verantwoordelijk voor correcte doorgeleiding daarvan.
3.1 Deze overeenkomst regelt de verwerking van Persoonsgegevens door de Verwerker ten behoeve van de Verwerkingsverantwoordelijke bij de uitvoering van de Dienst.
3.2 De verwerking duurt zolang de onderliggende overeenkomst tussen partijen voortduurt, en eindigt met inachtneming van artikel 12 van deze overeenkomst.
3.3 Aard van de verwerking: opslag, raadpleging, matching, structurering en, voor zover van toepassing binnen de grenzen van de algemene voorwaarden, geautomatiseerde verwerking ten behoeve van signalering van subsidiemogelijkheden.
3.4 Doel van de verwerking: het uitvoeren van de Dienst zoals beschreven in de algemene voorwaarden, waaronder het bijhouden van organisatieprofielen, het signaleren van passende subsidies en het ondersteunen van de Klant bij een eventuele aanvraag.
5.1 De Verwerker verwerkt Persoonsgegevens uitsluitend op basis van de schriftelijke instructies van de Verwerkingsverantwoordelijke, zoals vastgelegd in deze overeenkomst en de algemene voorwaarden, tenzij een op de Verwerker rustende wettelijke verplichting tot verwerking noopt.
5.2 Meent de Verwerker dat een instructie in strijd is met de AVG of andere toepasselijke wetgeving, dan meldt hij dit onverwijld aan de Verwerkingsverantwoordelijke.
6.1 De Verwerker waarborgt dat personen die Persoonsgegevens verwerken onder zijn gezag, gehouden zijn aan geheimhouding, hetzij uit hoofde van een overeenkomst, hetzij uit hoofde van een wettelijke verplichting.
7.1 De Verwerker treft passende technische en organisatorische maatregelen (artikel 32 AVG), waaronder ten minste: toegangsbeheer op basis van least privilege met een tot lezen beperkte databaserol voor de AI-laag, tweefactorauthenticatie voor beheerderstoegang, versleuteling van gegevens onderweg en, waar mogelijk, opgeslagen, en een van productie gescheiden testomgeving waarin uitsluitend synthetische testdata wordt gebruikt.
7.2 De Verwerker spant zich in om, naarmate de dienst groeit, logging van toegang tot Persoonsgegevens te realiseren die herleidbaar is tot een gebruiker of systeemonderdeel. Dit is een inspanningsverplichting, geen resultaatsverplichting.
7.3 De Verwerker hanteert een vastgelegde procedure voor het detecteren en afhandelen van beveiligingsincidenten.
8.1 De Verwerkingsverantwoordelijke geeft de Verwerker toestemming om de hieronder genoemde Subverwerkers in te schakelen. De Verwerker informeert de Verwerkingsverantwoordelijke over elke voorgenomen wijziging in deze lijst (toevoeging of vervanging van een Subverwerker) met een termijn van ten minste dertig dagen, waarbinnen de Verwerkingsverantwoordelijke gemotiveerd bezwaar kan maken.
| Subverwerker | Rol | Vestiging en doorgifte |
|---|---|---|
| Supabase Inc. (inclusief onderliggende cloudinfrastructuur) | Database, authenticatie, edge functions en bestandsopslag (foto’s, logo’s); bron van waarheid voor klant- en organisatiegegevens | EU (Stockholm). Doorgifte via modelcontractbepalingen in de eigen verwerkersovereenkomst van Supabase. Back-ups, logs, edge functions en onderliggende cloudinfrastructuur kunnen buiten deze regio vallen. |
| Railway Corp. | Achtergronddiensten: scraping van openbare subsidiebronnen, matching, en het aansturen van e-mailtaken | Verenigde Staten. Doorgifte via modelcontractbepalingen (SCC’s) in de verwerkersovereenkomst van Railway. |
| OpenRouter, Inc. en de daarachter geselecteerde taalmodel-aanbieders | Routering naar taalmodellen voor extractie, matching en het uitlezen van een door de Klant opgegeven website | Buiten de EER. Doorgifte via modelcontractbepalingen (SCC’s). De Verwerker beperkt de gegevens die in een aanroep worden meegestuurd tot wat voor de taak noodzakelijk is. |
| Google (Google Ireland Ltd. / Google LLC) | AI-model (Gemini) voor matching en het uitlezen van een door de Klant opgegeven website | Buiten de EER. Doorgifte via modelcontractbepalingen (SCC’s). |
| Resend (Plus Five Five, Inc.) | Verzending van e-mail: bevestigingen, meldingen, nieuwsbrieven en teamuitnodigingen, inclusief het beheer van ontvangerslijsten per organisatieprofiel | Verenigde Staten. De verzendregio staat op Ierland ingesteld; accountgegevens, metadata en verzendlogs blijven niettemin in de Verenigde Staten opgeslagen. Doorgifte via modelcontractbepalingen en het EU-US Data Privacy Framework. De verwerkersovereenkomst is automatisch van kracht bij elk account. |
| Vercel Inc. | Hosting van de website en de applicatie | Verenigde Staten. Doorgifte via modelcontractbepalingen (SCC’s) in de verwerkersovereenkomst van Vercel. |
Stripe is in deze lijst niet als Subverwerker opgenomen: voor betaal- en factuurgegevens is Subsidoo zelf verwerkingsverantwoordelijke, met Stripe als haar verwerker, respectievelijk, voor fraudepreventie en haar eigen wettelijke verplichtingen, als zelfstandig verwerkingsverantwoordelijke. Dat valt buiten de reikwijdte van deze overeenkomst en wordt beschreven in de privacyverklaring.
8.2 De Verwerker legt met iedere Subverwerker verplichtingen op die materieel gelijkwaardig zijn aan de verplichtingen uit deze overeenkomst, waaronder een verbod om Persoonsgegevens te gebruiken voor het trainen of verbeteren van modellen.
8.3 Voor zover een Subverwerker buiten de Europese Economische Ruimte is gevestigd of daar persoonsgegevens verwerkt, zoals het geval is bij Railway, OpenRouter, de daarachter geselecteerde taalmodel-aanbieders, Google, Resend en Vercel, draagt de Verwerker zorg voor een passend doorgiftemechanisme (waaronder de Standard Contractual Clauses van de Europese Commissie), en beperkt de Verwerker de gegevens die in een aanroep naar een taalmodel worden meegestuurd tot wat voor de taak noodzakelijk is.
8.4 De Verwerker staat in voor een correcte naleving van de in artikel 8.2 bedoelde verplichtingen door iedere Subverwerker, en is jegens de Verwerkingsverantwoordelijke aansprakelijk voor tekortkomingen van een Subverwerker alsof de Verwerker deze tekortkoming zelf heeft begaan.
8.5 Maakt de Verwerkingsverantwoordelijke gegrond bezwaar tegen een voorgenomen wijziging als bedoeld in artikel 8.1, dan zoeken partijen in overleg naar een redelijk alternatief. Slagen partijen daar niet in, dan mag de Verwerkingsverantwoordelijke de overeenkomst, of het door de wijziging getroffen deel daarvan, opzeggen tegen de datum waarop de nieuwe Subverwerker in gebruik wordt genomen, met restitutie naar rato van vooruitbetaalde bedragen die op dat deel zien, overeenkomstig artikel 8.5 van de algemene voorwaarden.
9.1 De Verwerker verleent de Verwerkingsverantwoordelijke redelijke medewerking bij het afhandelen van verzoeken van betrokkenen tot inzage, rectificatie, verwijdering, beperking, overdraagbaarheid of bezwaar, voor zover de Verwerker deze gegevens verwerkt.
9.2 Ontvangt de Verwerker rechtstreeks een verzoek van een betrokkene dat op de Verwerkingsverantwoordelijke ziet, dan stuurt hij dit onverwijld door aan de Verwerkingsverantwoordelijke.
10.1 De Verwerker meldt een beveiligingsincident dat kwalificeert als een inbreuk in verband met Persoonsgegevens zonder onnodige vertraging, en in ieder geval binnen achtenveertig uur nadat de Verwerker daarvan kennis heeft genomen, aan de Verwerkingsverantwoordelijke, met de op dat moment beschikbare informatie over aard, omvang en getroffen maatregelen.
10.2 De Verwerker werkt mee aan het verder onderzoeken van het incident en aan een eventuele melding door de Verwerkingsverantwoordelijke aan de Autoriteit Persoonsgegevens of aan betrokkenen.
11.1 De Verwerker verstrekt de Verwerkingsverantwoordelijke op diens redelijke verzoek de informatie die nodig is om naleving van deze overeenkomst aan te tonen, en staat audits toe die de Verwerkingsverantwoordelijke zelf of via een onafhankelijke derde laat uitvoeren, met inachtneming van een redelijke termijn en frequentie en met geheimhouding van bedrijfsvertrouwelijke informatie van de Verwerker en van andere klanten.
11.2 De Verwerker ondersteunt de Verwerkingsverantwoordelijke, op diens verzoek en tegen een vooraf overeengekomen redelijke vergoeding indien dit een bovenmatige inspanning van de Verwerker vergt, bij het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) en bij eventueel voorafgaand overleg met de Autoriteit Persoonsgegevens, voor zover deze betrekking heeft op de door de Verwerker uitgevoerde verwerkingen.
12.1 Deze overeenkomst eindigt van rechtswege bij beëindiging van de onderliggende overeenkomst tussen partijen.
12.2 Na beëindiging van de overeenkomst volgt de Verwerker de in artikel 14 van de algemene voorwaarden vastgelegde termijnen voor export en verwijdering: de Verwerker verwijdert Persoonsgegevens niet eerder dan na afloop van de exporttermijn van artikel 14.1, en uiterlijk binnen de daaropvolgende termijn van artikel 14.2, tenzij de Verwerkingsverantwoordelijke binnen die periode schriftelijk verzoekt om teruggave in plaats van verwijdering, of tenzij een wettelijke bewaarplicht zich tegen verwijdering verzet. Teruggave vindt plaats via de exportmogelijkheid die de Verwerkingsverantwoordelijke reeds op grond van de algemene voorwaarden ter beschikking staat. Verzoekt de Verwerkingsverantwoordelijke om teruggave in een ander formaat, dan brengt de Verwerker de redelijke meerkosten hiervan in rekening. Verwijdering uit back-ups vindt plaats bij de eerstvolgende back-uprotatie na de hiervoor genoemde termijn, overeenkomstig artikel 13.4 van de algemene voorwaarden.
12.3 Maakt de Verwerkingsverantwoordelijke gebruik van de zelfbedieningsverwijdering van artikel 14.3 van de algemene voorwaarden, dan geldt die onmiddellijke verwijdering ook voor de toepassing van deze overeenkomst.
12.4 Op schriftelijk verzoek van de Verwerkingsverantwoordelijke bevestigt de Verwerker dat de verwijdering overeenkomstig dit artikel heeft plaatsgevonden.
13.1 Voor aansprakelijkheid die volgt uit deze overeenkomst en die tevens een tekortkoming oplevert onder de algemene voorwaarden, geldt tussen partijen het aansprakelijkheidsmaximum van artikel 12.2 van de algemene voorwaarden. Voor de toepassing van deze overeenkomst gaat artikel 8.4 (aansprakelijkheid voor Subverwerkers) voor op de uitsluiting van aansprakelijkheid voor derden in artikel 12.7 van de algemene voorwaarden.
13.2 Voor zover de AVG dwingendrechtelijk een verdergaande aansprakelijkheid voorschrijft die niet contractueel kan worden beperkt, blijft die aansprakelijkheid onverkort van kracht.
14.1 Bij strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden, gaat deze verwerkersovereenkomst voor ten aanzien van de verwerking van persoonsgegevens.
14.2 Op deze overeenkomst is Nederlands recht van toepassing, op dezelfde wijze als bepaald in de algemene voorwaarden.
15.1 Voor vragen over deze overeenkomst, verzoeken in het kader daarvan, en meldingen van een beveiligingsincident, is de Verwerker bereikbaar via info@subsidoo.nl.
15.2 Een wijziging van deze overeenkomst loopt mee met de wijzigingsprocedure van artikel 17 van de algemene voorwaarden.
15.3 Een voorgenomen wijziging in de lijst van Subverwerkers, zoals bedoeld in artikel 8.1, wordt aangekondigd per e-mail aan het bij Subsidoo bekende contactadres van de Verwerkingsverantwoordelijke, en waar mogelijk tevens in de Dienst zelf.
15.4 Deze overeenkomst is voor het laatst gewijzigd op 27 augustus 2026.