Verwerkersovereenkomst
Versie: 1.0 | Versiedatum: 8 oktober 2026
Deze verwerkersovereenkomst (art. 28 AVG) wordt aangeboden als standaardovereenkomst bij de dienst Sendis en maakt na acceptatie deel uit van de overeenkomst tussen partijen. De versiedatum is uitsluitend de kalenderdatum van uitgifte van deze versie. Deze overeenkomst bindt partijen vanaf de acceptatie en werkt nooit terug.
1. Partijen en definities
Verwerker: Neolyth, een eenmanszaak van de heer Marwand Ayubi, aanbieder van Sendis, KvK-nummer 95055592, gevestigd te Graafseweg 274, 6532 ZV Nijmegen, btw-nummer NL005127223B03, e-mail hello@neolyth.io, vertegenwoordigd door de heer Marwand Ayubi, eigenaar (hierna: "Verwerker"). De naam "Sendis" duidt uitsluitend de dienst aan en is geen partij. Verwerkingsverantwoordelijke: de klantorganisatie die de dienst Sendis afneemt (hierna: "Verantwoordelijke"). Hoofdovereenkomst: de Overeenkomst tussen partijen over de dienst Sendis als bedoeld in de Algemene Voorwaarden van de Verwerker, waarvan deze verwerkersovereenkomst deel uitmaakt. Begrippen als "persoonsgegevens", "verwerken", "datalek" hebben de betekenis van de AVG.
2. Onderwerp en duur
Deze overeenkomst geldt voor de verwerking van persoonsgegevens door de Verwerker ten behoeve van de Verantwoordelijke in het kader van de dienst Sendis, voor de duur van de hoofdovereenkomst, en daarna zolang de Verwerker persoonsgegevens van de Verantwoordelijke verwerkt.
3. Aard en doel van de verwerking
Het faciliteren van beveiligde berichtuitwisseling: transport en versleutelde opslag van berichten en bijlagen, virusscan van bijlagen, beheer van herstelsleutels en uitvoering van geautoriseerde herstelprocedures, bezorging via het beveiligde portaal met ontvangersverificatie, notificatie per e-mail of sms, audittrail van acties op berichten, en facturatie van de dienst.
4. Categorieën betrokkenen en persoonsgegevens
Betrokkenen: medewerkers van de Verantwoordelijke; ontvangers van berichten (waaronder patiënten of cliënten van de Verantwoordelijke); contactpersonen.
Persoonsgegevens: (a) berichtmetadata (afzender, ontvanger, onderwerp, bestandsnamen en -groottes van bijlagen, tijdstippen, bezorg- en leesstatus, IP-adres en apparaatgegevens bij toegang); (b) berichtinhoud en bijlagen, in opslag uitsluitend als ciphertext. Bij de niveaus met versleuteling in de browser (toegangscode, geregistreerde ontvanger) kan de Verwerker de berichttekst niet ontsleutelen, behalve via een herstelsleutel die de Verwerker beheert: de Verwerker beschikt technisch over de mogelijkheid de berichttekst via zo'n herstelsleutel te ontsleutelen, en gebruikt die uitsluitend in een herstelprocedure die is geautoriseerd door de organisatie waartoe die herstelsleutel behoort (Bijlage C). Voor berichten van de Verantwoordelijke is dat de Verantwoordelijke, en bij een geregistreerde ontvanger in een andere organisatie ook die organisatie. Voor iedere teamorganisatie wordt een herstelsleutel aangemaakt, die de Verwerker beheert; de organisatie kan op dit moment geen ander herstelmodel kiezen. Bijlagen worden bij het uploaden onversleuteld verwerkt, uitsluitend voor virusscan en versleuteling en alleen voor de duur van die verwerking; de virusscanner kan daarbij een tijdelijk bestand op de server aanmaken, dat hij na de scan verwijdert. Daarna worden bijlagen uitsluitend versleuteld opgeslagen. Bij berichten via de contactlink kan de afzender kiezen voor een kopie van zijn eigen bericht per e-mail; die kopie wordt onversleuteld door de server van de Verwerker en via de e-mailsubverwerker aan het opgegeven e-mailadres van die afzender verzonden; (c) bij bezorging met een eenmalige verificatiecode (e-mail/sms): de verificatiecode en een ontgrendelgeheim per bericht, dat de Verwerker versleuteld bewaart onder een sleutel in eigen beheer en na geslaagde verificatie vrijgeeft aan de browser van de ontvanger. Op dit niveau beschikt de Verwerker over materiaal waarmee de berichtinhoud te ontsleutelen is; geslaagde verificaties worden in de audittrail vastgelegd. Dit niveau is uitdrukkelijk niet end-to-end; (d) e-mailadres en, voor sms-verificatie, telefoonnummer van ontvangers; (e) accountgegevens van medewerkers.
De aard van de gegevens kan bijzondere categorieën omvatten (gezondheidsgegevens) voor zover de Verantwoordelijke die verzendt, ook in onderwerpregels en bestandsnamen. Bij de niveaus met versleuteling in de browser neemt de Verwerker, behoudens een geautoriseerde herstelprocedure, geen kennis van de berichttekst; onderwerpregels, bestandsnamen van bijlagen en overige metadata zijn wel voor de Verwerker toegankelijk, en bijlagen tijdens de virusscan.
5. Instructies
De Verwerker verwerkt uitsluitend op schriftelijke instructie van de Verantwoordelijke, zoals vastgelegd in de hoofdovereenkomst, deze overeenkomst en de instellingen die de Verantwoordelijke in de dienst configureert (waaronder vervaltermijnen, beveiligingsniveaus en gebruikersbeheer), tenzij een Unierechtelijke of lidstaatrechtelijke bepaling tot verwerking verplicht; in dat geval meldt de Verwerker dat vooraf, tenzij die wetgeving dit verbiedt. Dit geldt ook voor doorgifte van persoonsgegevens naar een derde land of internationale organisatie: de Verwerker verwerkt persoonsgegevens uitsluitend in de EER en geeft geen persoonsgegevens door buiten de EER, tenzij de Verantwoordelijke daartoe schriftelijk opdracht geeft en hoofdstuk V AVG is nageleefd, of een Unierechtelijke of lidstaatrechtelijke bepaling daartoe verplicht. De Verwerker informeert de Verantwoordelijke onverwijld indien een instructie naar zijn oordeel inbreuk maakt op de AVG.
6. Vertrouwelijkheid
Personen die onder gezag van de Verwerker persoonsgegevens verwerken zijn tot vertrouwelijkheid verplicht. Toegang is beperkt tot wat voor de functie noodzakelijk is.
7. Beveiliging
De Verwerker treft passende technische en organisatorische maatregelen conform art. 32 AVG, beschreven in Bijlage C (TOM's), waaronder versleuteling van inhoud in rust en onderweg, hybride post-quantum sleutelinkapseling (X25519 + ML-KEM-768) voor berichten tussen Sendis-gebruikers, toegangscontrole, logging ingericht op de uitgangspunten van NEN 7513, en een informatiebeveiligingsbeheersysteem dat de Verwerker inricht met ISO 27001 en NEN 7510 als leidraad. De Verwerker is niet gecertificeerd voor ISO 27001 of NEN 7510.
8. Subverwerkers
De Verantwoordelijke verleent algemene schriftelijke toestemming voor de inschakeling van de subverwerkers in Bijlage B. De Verwerker kondigt een nieuwe of vervangende subverwerker, of een wijziging van rol of locatie, ten minste 30 dagen vóór de wijzigingsdatum per e-mail aan bij de beheerders van de Verantwoordelijke en werkt de subverwerkerspagina van de dienst tegelijk bij. De Verantwoordelijke kan binnen 30 dagen na de aankondiging schriftelijk en met redenen omkleed bezwaar maken. Neemt de Verwerker het bezwaar niet uiterlijk op de wijzigingsdatum weg, dan kan de Verantwoordelijke de hoofdovereenkomst binnen 30 dagen na de wijzigingsdatum zonder kosten opzeggen, met onmiddellijke ingang of tegen een latere datum die zij noemt. De Verwerker betaalt vooruitbetaalde vergoedingen over de periode na de einddatum naar rato terug; artikel 12 is van toepassing. De Verwerker legt iedere subverwerker bij schriftelijke overeenkomst dezelfde verplichtingen inzake gegevensbescherming op als in deze overeenkomst en blijft jegens de Verantwoordelijke volledig aansprakelijk voor de nakoming daarvan.
9. Bijstand
De Verwerker verleent, rekening houdend met de aard van de verwerking, redelijke bijstand bij: verzoeken van betrokkenen (art. 12-23 AVG), beveiliging (art. 32), datalekmeldingen (art. 33-34), DPIA's (art. 35) en voorafgaande raadpleging (art. 36). Voor de niveaus met versleuteling in de browser neemt de Verwerker, behoudens een geautoriseerde herstelprocedure, geen kennis van de berichttekst; bijstand richt zich daar op metadata, de audittrail en technische medewerking.
10. Datalekken
De Verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, aan de Verantwoordelijke, met de informatie van art. 33 lid 3 AVG voor zover beschikbaar, gevolgd door aanvullingen zodra bekend. De melding aan de Autoriteit Persoonsgegevens en aan betrokkenen is aan de Verantwoordelijke; de Verwerker ondersteunt. Het contactpunt van de Verwerker voor beveiliging en datalekken is hello@neolyth.io.
11. Audits
De Verwerker stelt informatie beschikbaar die nodig is om nakoming aan te tonen (waaronder, zodra beschikbaar, certificaten en samenvattingen van auditrapportages) en staat maximaal eenmaal per jaar, of na een datalek, een audit toe door of namens de Verantwoordelijke, aangekondigd met redelijke termijn, onder geheimhouding, tijdens kantooruren en zonder toegang tot gegevens van andere klanten. Ieder draagt de eigen kosten.
12. Teruggave en verwijdering
Berichtverval dat de Verantwoordelijke (of haar gebruikers) instelt, is een verwijderingsinstructie in de zin van art. 28 lid 3 sub g AVG: bij verval verwijdert de Verwerker de berichtinhoud, de bijlagen en de bijbehorende sleutels, ook voor de ontvanger. Metadata als bedoeld in artikel 4 onder (a) en de audittrail kunnen na verval bewaard blijven tot het einde van de hoofdovereenkomst. De wettelijke bewaarplichten van de Verantwoordelijke (waaronder de dossierplicht van art. 7:454 BW) blijven haar eigen verantwoordelijkheid; de dienst is geen dossiersysteem. Na het einde van de hoofdovereenkomst biedt de Verwerker 30 dagen gelegenheid tot export. Op schriftelijke instructie van de Verantwoordelijke ontsleutelt de Verwerker daarvoor berichtinhoud uitsluitend via een herstelprocedure als bedoeld in Bijlage C, in een vorm die partijen schriftelijk afspreken. Daarna verwijdert de Verwerker alle persoonsgegevens van de Verantwoordelijke, behoudens wettelijke bewaarplichten van de Verwerker (zoals de fiscale bewaarplicht voor facturatiegegevens). Kopieën in back-ups worden niet afzonderlijk verwijderd; zij vervallen met de back-up na ten hoogste 30 dagen, worden tot dan uitsluitend gebruikt voor herstel na een incident, en na zo'n herstel voert de Verwerker eerder geïnstrueerde verwijderingen opnieuw uit.
13. Aansprakelijkheid
Voor aansprakelijkheid geldt de regeling van de hoofdovereenkomst (algemene voorwaarden art. 13), onverminderd art. 82 AVG.
14. Toepasselijk recht
Nederlands recht; de bevoegde rechter volgens de hoofdovereenkomst.
15. Wijziging
De Verwerker kan deze overeenkomst wijzigen. Hij kondigt een wijziging ten minste 30 dagen vóór de ingangsdatum per e-mail aan bij de beheerders van de Verantwoordelijke, met de gewijzigde tekst en een korte toelichting. Een wijziging die het beschermingsniveau van de persoonsgegevens vermindert, gaat niet in zonder schriftelijke instemming van de Verantwoordelijke. Is de Verantwoordelijke het niet eens met een andere wijziging, dan kan zij de hoofdovereenkomst kosteloos opzeggen tegen de ingangsdatum; artikel 8, voorlaatste zin (terugbetaling naar rato), en artikel 12 zijn van overeenkomstige toepassing. Een wijziging die door de wet wordt vereist of uitsluitend in het voordeel van de Verantwoordelijke is, kan eerder ingaan.
Bijlage A - Verwerkingsdetails
| Onderdeel | Invulling |
|---|---|
| Verwerkingslocaties | EU (Duitsland en Nederland) |
| Sleutelbeheer | EU-gehost sleutelbeheersysteem van de Verwerker; private sleutels van eindgebruikers verlaten de client alleen versleuteld: met een van het wachtwoord afgeleide sleutel, indien ingesteld met een van een persoonlijke herstelcode afgeleide sleutel, en bij organisaties met een herstelsleutel als herstelkopie versleuteld naar de herstelsleutel van de organisatie, die de Verwerker op zijn systemen beheert |
| Bewaartermijn transportkopieën | tot verval (instelling Verantwoordelijke) of einde overeenkomst (art. 12) |
| Audittrail | acties op berichten, hash-geketend, inzichtelijk voor beheerders van de Verantwoordelijke |
Bijlage B - Subverwerkers
| Subverwerker | Rol | Gegevens | Locatie | Waarborgen |
|---|---|---|---|---|
| IONOS SE | Hosting van de dienst en de database, edge-gateway, sleutelbeheersysteem, opslag van berichten, bijlagen en back-ups | alle gegevens van de dienst; berichten, bijlagen en back-ups versleuteld | Duitsland; objectopslag regio eu-central-4 | verwerkersovereenkomst met de subverwerker; verwerking uitsluitend in de EU (Duitsland); de berichttekst wordt bij de afzender versleuteld, bijlagen worden na de virusscan serverzijdig versleuteld |
| Cyso Cloud B.V. | Verzending van meldingsmails en verificatiecodes | e-mailadres van de ontvanger, naam van afzender en praktijk, links, verificatiecodes en, in de herinneringsmail vóór het verlopen van een bericht, het onderwerp van dat bericht; nooit bijlagen of sleutels; berichttekst uitsluitend in een door de afzender via de contactlink gevraagde kopie van zijn eigen bericht | Nederland | verwerkersovereenkomst met de subverwerker; verwerking uitsluitend in de EU (Nederland) |
| Amazon Web Services EMEA SARL | Uitsluitend verzending van sms-verificatiecodes | telefoonnummer (E.164) en de eenmalige zescijferige code; berichten, bijlagen, sleutels en klinische inhoud passeren nooit AWS | eu-central-1 (Frankfurt, Duitsland), regio-vergrendeld | verwerkersvoorwaarden van AWS met de standaardcontractbepalingen van de Europese Commissie; moedermaatschappij in de Verenigde Staten, uitdrukkelijk vermeld |
De waarborg "verwerkersovereenkomst met de subverwerker" in de tabel is een schriftelijke verwerkersovereenkomst met de subverwerker, gesloten vóór de eerste verwerking van persoonsgegevens van de Verantwoordelijke.
Geen subverwerker: Mollie B.V. (Nederland) verwerkt betalingen als zelfstandig verwerkingsverantwoordelijke; voor factuurgegevens is de Verwerker zelf verwerkingsverantwoordelijke. Operationele logbestanden staan op eigen infrastructuur van de Verwerker in Nederland. Worldstream B.V. (Nederland): hosting van de website sendis.eu, de bezoekersstatistieken en de wachtlijst. Geen subverwerker voor de dienst: berichten, bijlagen en accountgegevens van de dienst passeren deze server niet.
SMS-verificatie: zie de scopebeschrijving in de subverwerkerstabel; telefoonnummer (E.164) en de eenmalige zescijferige code zijn de enige gegevens die AWS-infrastructuur passeren; berichten, bijlagen en sleutels nooit.
Bijlage C - Technische en organisatorische maatregelen (TOM's)
- Versleuteling van berichtinhoud met AES-256-GCM; sleutelinkapseling per bericht met X25519 + ML-KEM-768 (hybride post-quantum) voor berichten tussen Sendis-gebruikers. Bij het niveau toegangscode wordt de berichtsleutel versleuteld met een uit de toegangscode afgeleide sleutel (Argon2id, AES-256-GCM).
- Bij bezorging met eenmalige verificatiecode (e-mail/sms) is de ontgrendeling servergemedieerd: de Verwerker bewaart per bericht een ontgrendelgeheim, versleuteld onder een sleutel in eigen beheer, en geeft het na geslaagde verificatie vrij. Op dit niveau beschikt de Verwerker over materiaal waarmee de berichtinhoud te ontsleutelen is; geslaagde verificaties worden in de audittrail vastgelegd. De berichtinhoud blijft ook dan versleuteld opgeslagen; dit niveau is uitdrukkelijk NIET end-to-end.
- Bijlagen: bij het uploaden onversleuteld verwerkt, uitsluitend voor virusscan en versleuteling en alleen voor de duur van die verwerking; de virusscanner kan daarbij een tijdelijk bestand op de server aanmaken, dat hij na de scan verwijdert. Daarna uitsluitend versleuteld opgeslagen (AES-256-GCM, sleutel per bestand). Bijlagen vallen niet onder de versleuteling in de browser.
- Herstel: voor iedere teamorganisatie wordt een herstelsleutel aangemaakt. Bij ieder door een lid verzonden bericht wordt ook een herstelenvelop aangemaakt, versleuteld naar de herstelsleutel van de organisatie. De Verwerker gebruikt de herstelsleutel uitsluitend in een door de organisatie geautoriseerde herstelprocedure: na goedkeuring door een beheerder van de organisatie, en door een tweede beheerder als de organisatie meer dan één beheerder heeft, en na afloop van een wachttijd. Herstelverzoeken, goedkeuringen en het gebruik van de herstelsleutel worden in de audittrail vastgelegd. De wachttijd is standaard 72 uur. Een verwerking op grond van een wettelijke verplichting als bedoeld in artikel 5 kan zonder wachttijd plaatsvinden; de Verwerker meldt die vooraf, tenzij de wet dat verbiedt.
- TLS (minimaal versie 1.2) voor alle verbindingen via internet naar de dienst; HSTS; moderne cipher-suites.
- Toegangscontrole met rolgebaseerde autorisatie per organisatie, tweefactorauthenticatie (TOTP, sms) en passkeys (WebAuthn).
- Hash-geketende audittrail van acties op berichten en sleutels, ingericht op de uitgangspunten van NEN 7513 (toegangslogging).
- Beveiligingsniveaus per bericht instelbaar door de afzender; vervaltermijnen; intrekking van berichten.
- ISMS in inrichting met ISO 27001 en NEN 7510 als leidraad (niet gecertificeerd); kwetsbaarhedenbeheer, wijzigingsbeheer, back-up- en herstelprocedures binnen de EU.
- Toegang tot persoonsgegevens hebben bij de Verwerker uitsluitend de eigenaar en personen die vooraf zijn gescreend en schriftelijk tot geheimhouding zijn verplicht, op need-to-know-basis.