Verwerkersovereenkomst

Versie 30 oktober 2026

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van ad your service en geldt voor elke opdracht. De opdrachtgever gaat ermee akkoord door de opdrachtbevestiging te accepteren, zoals bij de algemene voorwaarden.

Partijen

1. De opdrachtgever: de partij die ad your service een opdracht geeft, zoals genoemd in de opdrachtbevestiging. De opdrachtgever is verwerkingsverantwoordelijke in de zin van de AVG.
2. Ad Your Service B.V., Jan Evertsenstraat 775, 1061 XZ Amsterdam, KvK 77793811, hierna “ays”. ays is verwerker in de zin van de AVG.

ays verwerkt bij het uitvoeren van de opdracht persoonsgegevens voor de opdrachtgever: in advertentieaccounts, analysetools, websites, de websitechat en ays one, het rapportagedashboard van ays. Deze overeenkomst legt vast hoe ays daarmee omgaat, zoals artikel 28 van de AVG vraagt. Ze werkt de artikelen 26 tot en met 28 van de algemene voorwaarden uit; bij verschil gaat deze overeenkomst voor.

Artikelen

1. Begrippen

Persoonsgegevens, verwerking, betrokkene, subverwerker en inbreuk in verband met persoonsgegevens (hierna: datalek) betekenen hier hetzelfde als in de AVG.

2. Onderwerp en duur

• ays verwerkt persoonsgegevens alleen om de opdracht uit te voeren. Welke gegevens, van wie en waarvoor staat in Bijlage 1.
• Deze overeenkomst loopt zolang ays persoonsgegevens voor de opdrachtgever verwerkt, ook na het einde van de opdracht, tot alles is verwijderd of teruggegeven (artikel 11).

3. Instructies

• ays verwerkt persoonsgegevens alleen op schriftelijke instructie van de opdrachtgever. De opdracht zelf geldt als instructie: de opdrachtbevestiging en wat partijen daarna per e-mail afspreken.
• ays gebruikt de gegevens niet voor eigen doelen, verkoopt ze niet en gebruikt ze niet om AI-modellen te trainen.
• Vindt ays dat een instructie in strijd is met de AVG, dan meldt ays dat direct.
• Moet ays gegevens verstrekken omdat de wet dat eist, dan meldt ays dat vooraf, tenzij de wet dat verbiedt.

4. Geheimhouding

Iedereen die bij ays met persoonsgegevens werkt, medewerkers en ingehuurde krachten, is via zijn arbeids- of opdrachtovereenkomst tot geheimhouding verplicht. Ieder krijgt alleen toegang tot wat hij voor zijn werk nodig heeft.

5. Beveiliging

ays neemt passende technische en organisatorische maatregelen tegen verlies en onrechtmatige verwerking, zoals artikel 32 van de AVG vraagt. De maatregelen staan in Bijlage 3. ays mag ze aanpassen, zolang het beveiligingsniveau niet daalt.

6. Subverwerkers

• De opdrachtgever geeft algemene toestemming voor de subverwerkers in Bijlage 2, deel A.
• Een nieuwe of andere subverwerker meldt ays minstens 30 dagen vooraf per e-mail. De opdrachtgever kan binnen die termijn met redenen bezwaar maken. Komen partijen er niet uit, dan mag de opdrachtgever het deel van de opdracht opzeggen waarvoor die subverwerker nodig is.
• ays legt elke subverwerker minstens dezelfde verplichtingen op als in deze overeenkomst, en blijft zelf verantwoordelijk tegenover de opdrachtgever.
• De platformen in Bijlage 2, deel B zijn accounts van de opdrachtgever zelf. Daar heeft de opdrachtgever een eigen overeenkomst mee; het zijn geen subverwerkers van ays.

7. Doorgifte buiten de EER

ays houdt persoonsgegevens zoveel mogelijk binnen de Europese Economische Ruimte: ays one en de websitechat draaien met hun databases in Frankfurt. Verwerkt een subverwerker gegevens buiten de EER, dan alleen met een grondslag uit de AVG, zoals een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie.

8. Bijstand

ays helpt de opdrachtgever, binnen redelijke grenzen:

• bij verzoeken van betrokkenen, zoals inzage, correctie, verwijdering of bezwaar. Komt zo’n verzoek bij ays binnen, dan stuurt ays het binnen 5 werkdagen door;
• bij een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging van de Autoriteit Persoonsgegevens;
• bij vragen van de Autoriteit Persoonsgegevens.

Gaat de hulp verder dan redelijkerwijs bij de opdracht hoort, dan mag ays de uren na overleg tegen het gewone tarief rekenen.

9. Datalekken

• ays meldt een datalek dat persoonsgegevens van de opdrachtgever raakt binnen 48 uur nadat ays ervan op de hoogte is, aan de contactpersoon van de opdrachtgever.
• De melding bevat wat ays op dat moment weet: wat er gebeurde, welke gegevens en betrokkenen het raakt en ongeveer hoeveel, de waarschijnlijke gevolgen en de genomen maatregelen. Wat later bekend wordt, vult ays aan.
• De opdrachtgever beslist of het lek gemeld wordt bij de Autoriteit Persoonsgegevens en aan de betrokkenen. ays meldt niet zelf, tenzij de wet dat eist.
• ays houdt een overzicht bij van datalekken en de genomen maatregelen.

10. Controle

• ays geeft de opdrachtgever op verzoek de informatie die nodig is om na te gaan of ays zich aan deze overeenkomst houdt.
• De opdrachtgever mag hooguit eens per jaar, of na een datalek, een controle laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht, met minstens 4 weken aankondiging. De kosten zijn voor de opdrachtgever, tenzij de controle een wezenlijke tekortkoming van ays aantoont.

11. Einde en verwijderen

• Na het einde van de opdracht verwijdert ays de persoonsgegevens binnen 30 dagen. Vraagt de opdrachtgever erom, dan geeft ays ze eerst terug. Kopieën in back-ups zijn uiterlijk 30 dagen daarna weg.
• Verbreekt de opdrachtgever een koppeling, bijvoorbeeld door de app uit een webshop te verwijderen, dan gelden dezelfde termijnen voor de gegevens van die koppeling.
• Langer bewaren gebeurt alleen als de wet dat eist; ays meldt dat dan.
• Cijfers zonder persoonsgegevens, zoals totalen per dag of per campagne, vallen niet onder deze overeenkomst.
• Op verzoek bevestigt ays schriftelijk dat de gegevens zijn verwijderd.

12. Aansprakelijkheid

Voor de aansprakelijkheid van ays onder deze overeenkomst geldt artikel 16 van de algemene voorwaarden.

13. Slot

• Op deze overeenkomst is Nederlands recht van toepassing. Geschillen gaan naar de rechtbank Amsterdam, zoals artikel 24 van de algemene voorwaarden bepaalt.
• ays mag deze overeenkomst aanpassen als de wet of de dienstverlening dat vraagt, en meldt dat de opdrachtgever minstens 30 dagen vooraf.
• Contactpersoon voor privacy bij ays: Nils Kuipers, nils@adyourservice.nl.

Bijlage 1: Verwerkingen

ays verwerkt persoonsgegevens alleen voor de diensten in de opdrachtbevestiging, met als doel: die diensten uitvoeren en erover rapporteren.

• Online adverteren (zoeken, social, display, marktplaatsen). Cookie- en advertentie-ID’s en IP-adressen via de advertentieplatforms; gehashte e-mailadressen en telefoonnummers voor verbeterde conversies en klantlijsten. Van websitebezoekers, klanten en leads van de opdrachtgever.
• Meting en tagging (Google Analytics 4, Google Tag Manager, server-side tagging, cookiebanner). Cookie-ID’s, IP-adressen, bezochte pagina’s en klikpaden, toestemmingskeuzes. Van websitebezoekers.
• ays one (rapportagedashboard) en analyses. Bestellingen uit de webshop (ordernummer, bedragen, datum, status en herkomst van het bezoek; geen namen, e-mailadressen, telefoonnummers of adressen); deals uit het CRM (titel, status, waarde, data; geen contactpersonen); namen en e-mailadressen van gebruikers van ays one. Van klanten, leads en medewerkers van de opdrachtgever.
• SEO, content en websites. Teksten, namen en foto’s van medewerkers die als auteur of op de website staan (met hun toestemming); wat bezoekers in formulieren invullen op websites die ays beheert. Van medewerkers van de opdrachtgever en websitebezoekers.
• Overleg en projectbeheer. Namen, e-mailadressen en functies van contactpersonen; verslagen van gesprekken. Van medewerkers van de opdrachtgever.
• Websitechat (ask your service). Wat bezoekers in de chat typen; een willekeurig bezoekers-ID in de browser (geen cookie); een onomkeerbaar versleutelde vorm van het IP-adres, nooit het IP-adres zelf; bij een aanvraag naam, bedrijf, e-mailadres en eventueel telefoonnummer, alleen met akkoord van de bezoeker. Van websitebezoekers en leads van de opdrachtgever.

Bewaartermijn: zolang de opdracht of de koppeling loopt, daarna zoals artikel 11 bepaalt. Voor de websitechat geldt tijdens de opdracht: gesprekken zonder aanvraag worden 6 maanden na het laatste bericht automatisch verwijderd, aanvragen 2 jaar na het laatste contact, tenzij de opdrachtgever een andere termijn opdraagt. Bijzondere persoonsgegevens (zoals gezondheid of geloof) en strafrechtelijke gegevens verwerkt ays niet, tenzij partijen dat schriftelijk afspreken.

Bijlage 2: Subverwerkers en platformen

A. Subverwerkers van ays

Deze partijen verwerken persoonsgegevens van de opdrachtgever in opdracht van ays (artikel 6). AI-diensten gebruikt ays alleen met zakelijke accounts of via de API, waarbij de aanbieder de gegevens niet gebruikt om modellen te trainen.

• Fly.io (VS; servers in Frankfurt voor ays one en de websitechat, in Amsterdam voor websites): hosting van ays one, de websitechat en websites die ays bouwt
• Neon (VS, servers in Frankfurt): databases van ays one en de websitechat
• Inngest (VS): achtergrondtaken van ays one, zoals het ophalen van cijfers
• Clerk (VS): inloggen op ays one
• Sentry (VS): foutmeldingen van ays one
• Anthropic, Claude (VS): analyses, rapportageteksten, content en de antwoorden van de websitechat
• OpenAI, ChatGPT en Codex (VS): content, afbeeldingen en analyses
• Google, Workspace en Gemini (Ierland): e-mail, documenten en opslag; content en afbeeldingen
• ClickUp (VS): taken en projectbeheer, ook meldingen van nieuwe aanvragen uit de websitechat
• Fireflies (VS): opnames en verslagen van overleg
• Sanity (VS, Sanity US Inc.; opslag bij Google Cloud in België): inhoud van websites die ays bouwt
• GitHub, Microsoft (VS): broncode en back-ups van websites die ays bouwt
• Cloud86 (Nederland): domeinen, DNS, e-mail en hosting van websites
• CookieScript (Litouwen): cookiebanner en vastleggen van toestemming op websites

B. Platformen van de opdrachtgever

In deze accounts werkt ays op verzoek van de opdrachtgever, en ays one haalt er cijfers uit. De opdrachtgever heeft er een eigen overeenkomst mee; het zijn geen subverwerkers van ays.

• Advertenties: Google Ads, Meta (Facebook en Instagram), LinkedIn, TikTok, Snapchat, ChatGPT Ads, bol Ads, Marktplaats, 2dehands en andere advertentieplatforms waarin ays voor de opdrachtgever werkt
• Meting: Google Analytics 4, Google Search Console, Google Tag Manager, server-side tagging (zoals Stape), Microsoft Clarity en cookiebanners (zoals Cookiebot)
• Webshops en verkoop: Shopify, WooCommerce, eBay
• E-mail, CRM en reviews: Klaviyo, Pipedrive, Octanist, TripAdvisor

C. Zonder persoonsgegevens

DataForSEO (zoekvolumes en posities, op basis van domeinnamen en zoekwoorden) en Doppler (beheer van de sleutels van ays one) krijgen geen persoonsgegevens van de opdrachtgever. Simplicate bevat de eigen administratie van ays (contactpersonen, uren en facturen); die valt onder het privacybeleid van ays, niet onder deze overeenkomst.

Bijlage 3: Beveiligingsmaatregelen

• Versleuteling: alle verbindingen met ays one en de koppelingen lopen via TLS (https). De database is versleuteld opgeslagen.
• Toegangssleutels van koppelingen: extra versleuteld in de database. Waar een platform dat biedt, gebruikt ays one sleutels die na een uur verlopen in plaats van blijvende sleutels.
• Toegang tot ays one: alleen met een persoonlijk account, met rechten per werkruimte en rol. Een deel-link geldt voor één klant, kan een wachtwoord krijgen en is in te trekken.
• Sleutels van het systeem: in een afgeschermde sleutelkluis, nooit in de code.
• Hosting: ays one en de database in Frankfurt, met back-ups bij de databaseleverancier.
• Bewaking: automatische foutmeldingen, een dagelijkse controle van alle koppelingen en een wekelijkse controle van de cijfers tegen de bron.
• Wijzigingen: elke wijziging aan ays one gaat langs automatische controles voordat hij live gaat.
• Verwijderen: alle gegevens van een klant zijn in één keer uit ays one te verwijderen.
• Organisatie: geheimhouding voor iedereen die met persoonsgegevens werkt (artikel 4) en toegang alleen tot wat iemand voor zijn werk nodig heeft.