Versie 28 april 2026
Deze verwerkersovereenkomst (hierna: “Verwerkersovereenkomst”) vormt samen met de algemene voorwaarden van Klixo het contract tussen Klixo en de opdrachtgever zodra de opdrachtgever Klixo toegang verleent tot persoonsgegevens van eindgebruikers, klanten of andere betrokkenen. Door akkoord te gaan met de algemene voorwaarden en Klixo toegang te verlenen tot een Google Ads-, Analytics-, Search Console-, WordPress- of CRM-account, gaat de opdrachtgever ook akkoord met deze Verwerkersovereenkomst.
Deze overeenkomst wordt opgesteld ter uitvoering van artikel 28 van de Algemene Verordening Gegevensbescherming (AVG).
Artikel 1. Definities
- Verantwoordelijke: de opdrachtgever van Klixo, die het doel en de middelen van de verwerking van persoonsgegevens bepaalt.
- Verwerker: Klixo, eenmanszaak van Daan van de Kam, gevestigd aan Oldeneelweg 14, 8016 PD Zwolle, KvK 87882531.
- Persoonsgegevens: alle gegevens die een geïdentificeerde of identificeerbare natuurlijke persoon betreffen, zoals bedoeld in de AVG.
- Verwerking: elke handeling met betrekking tot persoonsgegevens, waaronder het verzamelen, opslaan, raadplegen, wijzigen, doorgeven en verwijderen.
- Sub-verwerker: een derde partij die door Verwerker wordt ingeschakeld om persoonsgegevens te verwerken in het kader van de overeenkomst.
- Datalek: een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging, of ongeoorloofde verstrekking van of toegang tot persoonsgegevens.
Artikel 2. Onderwerp en reikwijdte
2.1 Verwerker verwerkt in opdracht van Verantwoordelijke persoonsgegevens uitsluitend ten behoeve van de uitvoering van de overeenkomst tussen partijen, zoals het beheer van Google Ads-campagnes, SEO-werkzaamheden, audits, rapportage en aanverwante diensten.
2.2 De aard, het doel, de categorieën persoonsgegevens en de categorieën betrokkenen zijn nader uitgewerkt in Bijlage 1.
2.3 Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verantwoordelijke, tenzij een wettelijke verplichting anders bepaalt. In dat geval stelt Verwerker Verantwoordelijke vooraf in kennis, tenzij die kennisgeving wettelijk verboden is.
Artikel 3. Plichten van Verwerker
3.1 Verwerker zorgt dat personen die handelen onder zijn gezag en toegang hebben tot persoonsgegevens, contractueel of wettelijk gehouden zijn aan geheimhouding.
3.2 Verwerker neemt passende technische en organisatorische beveiligingsmaatregelen zoals beschreven in Bijlage 3, conform artikel 32 AVG.
3.3 Verwerker verleent Verantwoordelijke binnen redelijke termijn medewerking bij:
- verzoeken van betrokkenen op grond van hoofdstuk III AVG (inzage, correctie, verwijdering, beperking, dataportabiliteit, bezwaar);
- het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) en voorafgaande raadpleging van de toezichthouder;
- het beoordelen en aantonen van naleving van de AVG.
3.4 Voor medewerking die substantieel meer tijd kost dan een redelijke standaardafhandeling mag Verwerker een redelijke vergoeding in rekening brengen op basis van vooraf afgegeven uurtarief.
Artikel 4. Sub-verwerkers
4.1 Verantwoordelijke geeft Verwerker algemene toestemming om de in Bijlage 2 genoemde sub-verwerkers in te schakelen.
4.2 Bij het inschakelen van een nieuwe sub-verwerker of vervanging van een bestaande, informeert Verwerker Verantwoordelijke vooraf via e-mail of via het klantportaal mijn.klixo.nl, met een termijn van tenminste 14 dagen om bezwaar te maken.
4.3 Verwerker legt sub-verwerkers minimaal dezelfde verplichtingen op als die in deze Verwerkersovereenkomst zijn opgenomen, en blijft jegens Verantwoordelijke aansprakelijk voor het handelen van deze sub-verwerkers.
Artikel 5. Doorgifte buiten de Europese Economische Ruimte
5.1 Verwerker geeft persoonsgegevens alleen door aan landen buiten de EER wanneer dat noodzakelijk is voor de uitvoering van de overeenkomst.
5.2 Bij doorgifte naar landen zonder adequaatheidsbesluit van de Europese Commissie maakt Verwerker gebruik van Standaardcontractbepalingen (SCC’s) of een ander door de AVG erkend doorgiftemechanisme, eventueel aangevuld met passende waarborgen.
Artikel 6. Datalekken
6.1 Verwerker informeert Verantwoordelijke onverwijld, en in elk geval binnen 48 uur na ontdekking, over een datalek dat persoonsgegevens van Verantwoordelijke betreft.
6.2 De melding bevat ten minste: een beschrijving van de aard van het lek, de getroffen categorieën en aantallen betrokkenen en gegevens, de waarschijnlijke gevolgen, en de getroffen of voorgestelde maatregelen.
6.3 Verwerker registreert alle datalekken inclusief feiten, gevolgen en getroffen maatregelen, en stelt deze documentatie op verzoek beschikbaar aan Verantwoordelijke.
6.4 De verantwoordelijkheid voor melding van een datalek aan de Autoriteit Persoonsgegevens en aan betrokkenen ligt bij Verantwoordelijke. Verwerker ondersteunt waar nodig.
Artikel 7. Audit
7.1 Verantwoordelijke heeft het recht maximaal eenmaal per jaar, op eigen kosten en met inachtneming van een redelijke aankondigingstermijn van 30 dagen, een audit te (laten) uitvoeren naar de naleving van deze Verwerkersovereenkomst.
7.2 Bij gegrond vermoeden van een schending kan een aanvullende audit op kortere termijn worden ingesteld.
7.3 De auditor ondertekent voorafgaand aan de audit een geheimhoudingsverklaring. Vertrouwelijke bedrijfsinformatie van Verwerker, andere klanten of sub-verwerkers blijft buiten beschouwing.
7.4 Verwerker mag in plaats van een fysieke audit een actuele auditverklaring of certificering (bijvoorbeeld ISO 27001 of een gelijkwaardige verklaring van een sub-verwerker) overleggen, mits die de relevante verwerking afdoende dekt.
Artikel 8. Aansprakelijkheid
8.1 Op de aansprakelijkheid tussen partijen voortkomend uit deze Verwerkersovereenkomst zijn de aansprakelijkheidsbepalingen uit de algemene voorwaarden van Klixo van toepassing, voor zover toegestaan onder de AVG.
8.2 Boetes opgelegd door de Autoriteit Persoonsgegevens of andere toezichthouders worden door iedere partij zelf gedragen, behalve voor zover deze rechtstreeks zijn toe te rekenen aan een toerekenbare tekortkoming van de andere partij.
Artikel 9. Duur en einde
9.1 Deze Verwerkersovereenkomst geldt zolang Verwerker persoonsgegevens van Verantwoordelijke verwerkt, en eindigt automatisch wanneer alle persoonsgegevens zijn verwijderd of aan Verantwoordelijke zijn teruggegeven.
9.2 Bij beëindiging van de hoofdovereenkomst verwijdert of retourneert Verwerker, naar keuze van Verantwoordelijke, alle persoonsgegevens binnen 30 dagen, tenzij wettelijke bewaarplicht zich daartegen verzet. In dat laatste geval worden de gegevens afgeschermd voor verdere verwerking.
9.3 Geheimhoudings- en beveiligingsverplichtingen blijven na beëindiging onverminderd van kracht.
Artikel 10. Slotbepalingen
10.1 Bij tegenstrijdigheid tussen deze Verwerkersovereenkomst en de algemene voorwaarden van Klixo gaat deze Verwerkersovereenkomst voor, voor zover het verwerking van persoonsgegevens betreft.
10.2 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter van de Rechtbank Overijssel, locatie Zwolle.
10.3 Wijzigingen in deze Verwerkersovereenkomst worden minimaal 30 dagen vooraf aangekondigd via e-mail of het klantportaal. De meest actuele versie staat op klixo.nl/verwerkersovereenkomst.
Bijlage 1. Verwerkingen
| Onderdeel | Toelichting |
|---|---|
| Doel | Uitvoering van Google Ads-, SEO-, audit- en advieswerkzaamheden en bijbehorende rapportage. |
| Aard | Beheer en analyse van campagnes, websites, zoekwoorden, conversies en organisch verkeer. |
| Categorieën gegevens | IP-adressen (geanonimiseerd), apparaat- en browsergegevens, demografische segmenten zoals door Google verstrekt, conversie-data, klikgedrag, e-mailadressen van leads (indien onderdeel van CRM-koppeling), namen en functies van contactpersonen bij Verantwoordelijke. |
| Categorieën betrokkenen | Bezoekers van de website van Verantwoordelijke, leads, klanten, prospects en medewerkers van Verantwoordelijke. |
| Bewaartermijn | Conform de bewaartermijnen die Verantwoordelijke heeft ingesteld in de eigen platforms (Google Analytics, Google Ads, CRM). Verwerker bewaart in eigen systemen alleen werkbestanden, rapportages en logs gedurende de looptijd van de overeenkomst plus maximaal twaalf maanden. |
| Bijzondere categorieën | Geen. Verwerker verwerkt geen bijzondere of strafrechtelijke persoonsgegevens, tenzij Verantwoordelijke dat schriftelijk verzoekt en passende aanvullende maatregelen worden afgesproken. |
Bijlage 2. Sub-verwerkers
De volgende sub-verwerkers worden ingeschakeld voor de uitvoering van de overeenkomst:
| Sub-verwerker | Doel | Locatie |
|---|---|---|
| Google Ireland Ltd. | Google Workspace, Google Ads, Google Analytics 4, Google Search Console | Ierland (EER), met doorgifte naar VS via SCC’s |
| Hetzner Online GmbH | Hosting van het klantportaal mijn.klixo.nl, orchestrator en interne systemen | Duitsland (EER) |
| Supabase Inc. | Database en authenticatie van het klantportaal | EU-region (Frankfurt), met doorgifte buiten EER via SCC’s |
| Vercel Inc. | Hosting van mijn.klixo.nl front-end | EU-region, met doorgifte buiten EER via SCC’s |
| TransIP B.V. | Webhosting klixo.nl en domeinregistratie | Nederland (EER) |
| Brevo (Sendinblue SAS) | Verzending van transactionele en marketing-mails | Frankrijk (EER) |
| Anthropic, PBC | Claude API voor AI-ondersteunde analyse en rapportage. Gegevens worden niet gebruikt voor modeltraining. | VS, met SCC’s en zero-retention configuratie waar beschikbaar |
| DataForSEO LLC | SERP-, zoekwoord- en backlink-data voor SEO-werkzaamheden. Verwerkt geen persoonsgegevens van Verantwoordelijke; uitsluitend publiek beschikbare zoekmachine-data. | VS |
Wijzigingen in deze lijst worden vooraf gecommuniceerd. De meest actuele lijst staat op klixo.nl/verwerkersovereenkomst.
Bijlage 3. Beveiligingsmaatregelen
Verwerker neemt onder meer de volgende technische en organisatorische maatregelen:
- Versleuteling van alle webverkeer via TLS/HTTPS op klixo.nl en mijn.klixo.nl.
- Tweefactorauthenticatie op alle accounts waar dit beschikbaar is, waaronder Google Workspace, Hetzner, Supabase en de boekhoudsoftware.
- Sterke, unieke wachtwoorden, opgeslagen in een wachtwoordmanager. Geen credentials in onversleutelde bestanden of e-mails.
- Toegangsbeperking op need-to-know-basis. In de dagelijkse uitvoering heeft alleen Daan van de Kam toegang tot persoonsgegevens.
- Server-hardening op de eigen Hetzner-server: root-login uit, password-auth uit, firewall-restrictie tot poorten 22/80/443, fail2ban, automatische beveiligingsupdates.
- Dagelijkse versleutelde back-ups van het klantportaal en interne systemen, met retentie van 7 tot 30 dagen, plus offsite-back-up.
- Logging van toegang tot het klantportaal en kritieke API-acties.
- Periodieke review van actieve toegangen na beëindiging van een samenwerking, met intrekking binnen 7 dagen.
- Schriftelijke instructies en checklists voor onboarding en offboarding van klanten, om datalekken bij accountoverdracht te voorkomen.
Ondertekening
Deze Verwerkersovereenkomst wordt automatisch onderdeel van de overeenkomst tussen Klixo en de opdrachtgever zodra een opdrachtbevestiging of overeenkomst wordt getekend, of wanneer toegang tot een account met persoonsgegevens wordt verleend. Een afzonderlijk getekend exemplaar is op verzoek beschikbaar via info@klixo.nl.
