--- title: "Verwerkersovereenkomst | Codavo" canonical_url: "https://codavo.nl/dpa" last_updated: "2026-08-14T23:21:11.177Z" locale: nl meta: description: "Afspraken over het verwerken van persoonsgegevens door Codavo in opdracht van de Opdrachtgever." "og:description": "Afspraken over het verwerken van persoonsgegevens door Codavo in opdracht van de Opdrachtgever." "og:title": Verwerkersovereenkomst --- Codavo homepage # **Verwerkersovereenkomst** **Laatst bijgewerkt: 12 augustus 2026 (versie 1.0)** Deze verwerkersovereenkomst hoort bij de Overeenkomst tussen Codavo en Opdrachtgever en bij de [**Algemene Voorwaarden**](https://codavo.nl/terms). Bij strijdigheid gaat deze verwerkersovereenkomst voor. ## 1. Partijen en rolverdeling 1.1 **Codavo**, handelsnaam van S. Ligtvoet Eenmanszaak, Rotterdam, KVK 42017531, hierna: Verwerker. 1.2 **Opdrachtgever**, de partij die met Codavo een Overeenkomst is aangegaan, hierna: Verwerkingsverantwoordelijke. 1.3 Verwerkt Codavo persoonsgegevens ten behoeve van de dienstverlening aan Opdrachtgever, dan is Opdrachtgever verwerkingsverantwoordelijke en Codavo verwerker in de zin van artikel 4 AVG. 1.4 Deze overeenkomst gaat niet over persoonsgegevens die Codavo voor eigen doeleinden verwerkt, zoals de administratie van de klantrelatie en de facturatie. Daarvoor is Codavo zelf verwerkingsverantwoordelijke; zie de [**Privacyverklaring**](https://codavo.nl/privacy). ## 2. Onderwerp, aard, duur en doel 2.1 **Onderwerp en aard.** Codavo verwerkt persoonsgegevens uitsluitend voor zover dat nodig is om de overeengekomen Diensten te leveren. Welke verwerkingen dat concreet zijn, staat in bijlage 1. 2.2 **Doel.** Het leveren, laten werken en onderhouden van de Diensten. Codavo verwerkt de gegevens niet voor eigen doeleinden, verkoopt ze niet, en gebruikt ze niet om modellen te trainen. 2.3 **Duur.** Deze overeenkomst loopt zolang de Overeenkomst loopt en eindigt zodra Codavo geen persoonsgegevens meer voor Opdrachtgever verwerkt. 2.4 De soorten persoonsgegevens en de categorieën betrokkenen staan per dienst in bijlage 1. ## 3. Instructies 3.1 Codavo verwerkt de persoonsgegevens uitsluitend op gedocumenteerde instructie van Opdrachtgever. De Overeenkomst, deze verwerkersovereenkomst en de bijlagen gelden als die instructie. 3.2 Verplicht een wettelijke bepaling Codavo tot een verwerking buiten die instructie, dan meldt Codavo dat vooraf aan Opdrachtgever, tenzij die wet dat verbiedt. 3.3 Meent Codavo dat een instructie in strijd is met de AVG, dan meldt Codavo dat onverwijld. ## 4. Geheimhouding 4.1 Codavo verplicht iedereen die onder zijn gezag toegang heeft tot de persoonsgegevens tot geheimhouding, tenzij die persoon al een wettelijke geheimhoudingsplicht heeft. 4.2 Toegang wordt alleen verleend voor zover nodig voor het uitvoeren van de Overeenkomst. ## 5. Beveiliging 5.1 Codavo treft passende technische en organisatorische maatregelen zoals bedoeld in artikel 32 AVG. De maatregelen die op het moment van sluiten gelden, staan in bijlage 3. 5.2 Codavo mag die maatregelen aanpassen, mits het beschermingsniveau daardoor niet daalt. ## 6. Subverwerkers 6.1 Opdrachtgever geeft Codavo algemene toestemming om subverwerkers in te schakelen. De subverwerkers die op dit moment worden ingezet, staan in bijlage 2. 6.2 Codavo informeert Opdrachtgever ten minste vier weken vooraf over het toevoegen of vervangen van een subverwerker. Opdrachtgever kan daar binnen die termijn gemotiveerd bezwaar tegen maken. Komen partijen er niet uit, dan mag Opdrachtgever de betreffende dienst opzeggen tegen het moment waarop de wijziging ingaat, zonder kosten voor het reeds geleverde. 6.3 Codavo legt elke subverwerker dezelfde verplichtingen op als in deze overeenkomst staan, en blijft tegenover Opdrachtgever aansprakelijk voor wat de subverwerker doet. ## 7. Rechten van betrokkenen 7.1 Krijgt Codavo rechtstreeks een verzoek van een betrokkene, bijvoorbeeld om inzage, rectificatie, verwijdering of overdraagbaarheid, dan handelt Codavo dat niet zelf af maar stuurt het onverwijld door naar Opdrachtgever. 7.2 Codavo helpt Opdrachtgever met passende technische en organisatorische maatregelen om zulke verzoeken te kunnen beantwoorden. 7.3 Kost die hulp aantoonbaar meer dan incidentele inspanning, dan mag Codavo daarvoor het geldende uurtarief in rekening brengen, na overleg vooraf. ## 8. Datalekken 8.1 Codavo meldt een inbreuk in verband met persoonsgegevens onverwijld aan Opdrachtgever, en in ieder geval binnen 24 uur nadat Codavo daarvan kennis heeft genomen. 8.2 De melding bevat in elk geval de aard van de inbreuk, de betrokken categorieën en aantallen, de waarschijnlijke gevolgen en de maatregelen die zijn of worden getroffen. Is nog niet alles bekend, dan meldt Codavo wat wel bekend is en vult hij aan zodra er meer is. 8.3 Melden bij de Autoriteit Persoonsgegevens en aan betrokkenen doet Opdrachtgever. Codavo verstrekt daarvoor alle informatie die nodig is. 8.4 Codavo helpt Opdrachtgever verder bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG, waaronder een gegevensbeschermingseffectbeoordeling, rekening houdend met de aard van de verwerking en de informatie waarover Codavo beschikt. ## 9. Teruggave en verwijdering 9.1 Na het einde van de dienstverlening verwijdert Codavo de persoonsgegevens, of geeft ze op verzoek van Opdrachtgever terug in een gangbaar formaat. 9.2 Opdrachtgever heeft daarvoor 30 dagen na het einde van de Overeenkomst de tijd. Daarna verwijdert Codavo de gegevens en bestaande kopieën. 9.3 Moet Codavo gegevens op grond van een wettelijke bepaling bewaren, dan bewaart Codavo alleen dat deel, alleen zolang dat moet, en verwerkt het niet verder. ## 10. Audits 10.1 Codavo stelt Opdrachtgever alle informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit artikel 28 AVG worden nagekomen. 10.2 Opdrachtgever mag ten hoogste eenmaal per jaar een audit laten uitvoeren, en daarnaast wanneer daar een concrete aanleiding voor is, zoals een datalek. De audit wordt ten minste twee weken vooraf aangekondigd en zo uitgevoerd dat de dienstverlening er zo min mogelijk onder lijdt. 10.3 De kosten van de audit komen voor rekening van Opdrachtgever, tenzij daaruit een tekortkoming van Codavo blijkt. 10.4 De auditor verplicht zich tot geheimhouding en mag geen directe concurrent van Codavo zijn. ## 11. Doorgifte buiten de EER 11.1 Codavo geeft persoonsgegevens niet door aan een land buiten de Europese Economische Ruimte, tenzij daarvoor een geldige grondslag uit hoofdstuk V AVG bestaat, zoals een adequaatheidsbesluit of standaardcontractbepalingen. 11.2 Waar een subverwerker gegevens buiten de EER kan verwerken, staat dat bij die partij in bijlage 2 vermeld, met de grondslag. ## 12. Aansprakelijkheid 12.1 Op deze overeenkomst is de aansprakelijkheidsregeling uit de Algemene Voorwaarden van toepassing. 12.2 Die beperking geldt niet voor zover de AVG dat verbiedt, waaronder boetes die aan Codavo zelf worden opgelegd wegens het niet nakomen van zijn eigen verplichtingen als verwerker. ## 13. Slot 13.1 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Rotterdam. 13.2 Wijzigingen zijn alleen geldig indien schriftelijk overeengekomen. Elektronisch geldt als schriftelijk, zoals bedoeld in artikel 28 lid 9 AVG. --- ## Bijlage 1: de verwerkingen Welke van deze verwerkingen aan de orde zijn, hangt af van de afgenomen Diensten. **Websites, webapplicaties en formulieren die Codavo bouwt en beheert** - Categorieën betrokkenen: bezoekers van de website of applicatie van Opdrachtgever. - Soorten gegevens: gegevens die de bezoeker zelf invult, zoals naam, e-mailadres, telefoonnummer en de inhoud van zijn bericht of aanvraag; daarnaast technische gegevens die bij elk bezoek horen, zoals IP-adres, tijdstip en browsergegevens. - Doel: het formulier of de aanvraag laten werken, de aanvraag bij Opdrachtgever afleveren, en misbruik tegengaan. - Bewaartermijn: zolang nodig voor de aflevering, en niet langer dan door Opdrachtgever aangegeven. **Hosting en beheer** - Categorieën betrokkenen: bezoekers en gebruikers van de systemen van Opdrachtgever. - Soorten gegevens: alles wat in de gehoste omgeving is opgeslagen, plus technische logbestanden. - Doel: de omgeving laten draaien, storingen oplossen en beveiligen. **Verzenden van e-mail namens Opdrachtgever** - Categorieën betrokkenen: ontvangers van die e-mail. - Soorten gegevens: e-mailadres en de inhoud van het bericht. - Doel: aflevering van de e-mail en het vaststellen of die is aangekomen. **AI-functies toegepast op gegevens van Opdrachtgever** - Categorieën betrokkenen: degenen over wie de aangeboden gegevens gaan. - Soorten gegevens: de gegevens die Opdrachtgever aanbiedt of die uit zijn systemen komen. - Doel: het opstellen van de scan, het inzicht of de samenvatting waar Opdrachtgever om vraagt. - Deze gegevens worden niet gebruikt om modellen te trainen. Dat is niet alleen ons beleid: de zakelijke voorwaarden van de betrokken subverwerker verbieden het trainen op klantcontent. **Rapportage over vindbaarheid** - Categorieën betrokkenen: bezoekers van de website van Opdrachtgever, op geaggregeerd niveau. - Soorten gegevens: zoekopdrachten, posities en aantallen uit de eigen Search Console-property van Opdrachtgever. - Doel: het samenstellen van de rapportage in het Klantportaal. ## Bijlage 2: subverwerkers | **Subverwerker** | **Waarvoor** | **Vestiging** | **Grondslag voor doorgifte** | | --- | --- | --- | --- | | Cloudflare, Inc. | hosting, database, bestandsopslag, beveiliging tegen misbruik | Verenigde Staten, met wereldwijd verspreide datacentra | standaardcontractbepalingen en het EU-VS Data Privacy Framework | | Resend (Plus Five Five, Inc.) | verzenden van e-mail namens Opdrachtgever | Verenigde Staten | standaardcontractbepalingen en het EU-VS Data Privacy Framework | | Anthropic Ireland, Limited | AI-functies toegepast op gegevens van Opdrachtgever | Ierland, met verwerking die in de Verenigde Staten kan plaatsvinden | standaardcontractbepalingen, opgenomen in het verwerkersaddendum van Anthropic | | Google Ireland Limited | ophalen van rapportagegegevens uit de Search Console-property van Opdrachtgever | Ierland, met verwerking die buiten de EER kan plaatsvinden | standaardcontractbepalingen | Niet elke subverwerker wordt voor elke Opdrachtgever ingeschakeld. Welke dat zijn, volgt uit de afgenomen Diensten en uit bijlage 1. ## Bijlage 3: beveiligingsmaatregelen - Al het verkeer van en naar de systemen verloopt versleuteld via TLS. - Toegang tot beheeromgevingen verloopt via een aparte inlog met een eenmalige code per keer, beperkt tot vooraf toegelaten adressen. - Sleutels en wachtwoorden staan als secret op de betreffende omgeving en nooit in de broncode of in de pagina. - Sleutels van derden zijn zo beperkt mogelijk in rechten, bijvoorbeeld alleen verzenden en alleen voor het eigen domein. - Formulieren zijn beschermd tegen misbruik met een aanvraaglimiet per IP-adres en een verborgen veld dat geautomatiseerde inzendingen afvangt. - Invoer wordt op de server opnieuw gecontroleerd en begrensd; wat de browser meestuurt wordt niet vertrouwd. - Er wordt niet meer verzameld dan nodig. Waar een berekening of telling volstaat, wordt geen persoonsgegeven opgeslagen. - Logbestanden bevatten geen inhoud van berichten en worden niet langer bewaard dan nodig voor het oplossen van storingen. - Codavo houdt de gebruikte omgevingen en afhankelijkheden actueel en volgt beveiligingsmeldingen daarover op.