Verwerkersovereenkomst Contracker

Voor zakelijke klanten, ook met een gratis abonnement. Versie 2.1, 6 november 2026

Deze overeenkomst maakt deel uit van de algemene voorwaarden en geldt automatisch voor elke zakelijke klant. Een klant die een getekend exemplaar wil, kan dit document ondertekenen.

Partijen

• De klant: de organisatie die een zakelijk account heeft bij Contracker, zoals vermeld in dat account ("Verwerkingsverantwoordelijke").
• Contracker: Klanderman ICT Advies BV, handelend onder de naam Contracker, Pijlkruidstraat 2, 8245 JN Lelystad, KvK-nummer 09103680, btw-nummer NL811004120B01 ("Verwerker").

Artikel 1. Waar deze overeenkomst over gaat

1.1 De klant gebruikt Contracker om zijn contracten met leveranciers bij te houden, licenties te vergelijken met het aantal medewerkers, herinneringen en herzieningen te plannen, rapporten te maken en onderhandelingsmails aan leveranciers op te stellen en, na goedkeuring door de klant, te versturen. De documenten en gegevens die de klant in Contracker zet, kunnen persoonsgegevens bevatten. Voor die gegevens is de klant verwerkingsverantwoordelijke en Contracker verwerker in de zin van artikel 28 van de AVG.
1.2 Bijlage 1 beschrijft welke gegevens het zijn, van wie, en wat Contracker ermee doet.
1.3 Voor de logingegevens van gebruikers, de facturen voor het abonnement, de partnerkoppeling en de supportvragen is Contracker zelf verwerkingsverantwoordelijke. Dat geldt ook voor samengevoegde prijscijfers waarin niemand herkenbaar is. Daarvoor geldt de privacyverklaring van Contracker.

Artikel 2. Instructies

2.1 Contracker verwerkt de persoonsgegevens alleen in opdracht van de klant, zoals beschreven in de algemene voorwaarden, deze overeenkomst en de instellingen en handelingen die de klant en zijn gebruikers in de app kiezen. Het goedkeuren van een onderhandelingsmail door een gebruiker van de klant geldt als instructie om die mail te versturen. Dat geldt ook voor doorgifte buiten de Europese Economische Ruimte zoals in bijlage 1 staat.
2.2 Moet Contracker gegevens verwerken omdat de wet dat verplicht, dan laat het de klant dat vooraf weten, tenzij de wet dat verbiedt.
2.3 Vindt Contracker dat een instructie in strijd is met de AVG, dan laat het de klant dat meteen weten.
2.4 De klant bepaalt welke gebruikers toegang hebben en met welke rol, en zorgt dat zij de gegevens alleen gebruiken waarvoor ze bedoeld zijn.

Artikel 3. Geheimhouding

3.1 Contracker houdt de persoonsgegevens geheim. Alleen mensen die ze voor hun taak nodig hebben kunnen ze inzien, en zij hebben een geheimhoudingsplicht.

Artikel 4. Beveiliging

4.1 Contracker neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen, zoals bedoeld in artikel 32 van de AVG. Bijlage 2 beschrijft deze maatregelen.
4.2 Contracker mag de maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.

Artikel 5. Subverwerkers

5.1 De klant geeft Contracker toestemming de subverwerkers in bijlage 1 in te schakelen.
5.2 Wil Contracker een nieuwe subverwerker inschakelen of er een vervangen, dan laat het de klant dat minstens 30 dagen van tevoren per e-mail weten. De klant kan binnen die termijn met redenen bezwaar maken. Komen partijen er niet uit, dan kan de klant het abonnement opzeggen met terugbetaling van het deel dat hij niet meer gebruikt.
5.3 Contracker legt elke subverwerker ten minste dezelfde verplichtingen op als in deze overeenkomst staan, en blijft tegenover de klant verantwoordelijk voor de subverwerker.

Artikel 6. Leveranciers, koppelingen en partners van de klant

6.1 Een onderhandelingsmail gaat naar een leverancier op instructie van de klant. De leverancier is geen subverwerker van Contracker, maar een zelfstandige verwerkingsverantwoordelijke met wie de klant al een overeenkomst heeft.
6.2 Koppelt de klant Contracker aan een andere dienst, zoals Microsoft 365, Google Workspace of een boekhoudpakket, dan haalt Contracker daar gegevens op in opdracht van de klant. De aanbieder van die dienst werkt voor de klant, niet voor Contracker, en is geen subverwerker.
6.3 Nodigt de klant een partner, zoals zijn accountant of IT-dienstverlener, uit als gebruiker, dan krijgt die partner toegang in opdracht en onder verantwoordelijkheid van de klant. De partner is geen subverwerker van Contracker. Eventuele afspraken over gegevensbescherming tussen de klant en de partner maken zij zelf.

Artikel 7. Hulp aan de klant

7.1 Contracker helpt de klant om verzoeken te beantwoorden van mensen die hun rechten onder de AVG gebruiken, zoals inzage of verwijdering. Veel daarvan kan de klant zelf in de app doen. Krijgt Contracker zo'n verzoek rechtstreeks, dan stuurt het dit door aan de klant.
7.2 Contracker helpt de klant ook, voor zover redelijk, bij een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging van de Autoriteit Persoonsgegevens.

Artikel 8. Datalekken

8.1 Ontdekt Contracker een inbreuk op de beveiliging die gevolgen heeft voor persoonsgegevens van de klant, dan laat het de eigenaar van het account dat zonder onnodige vertraging en uiterlijk binnen 36 uur weten.
8.2 Contracker geeft daarbij wat het weet over de aard van de inbreuk, de betrokken gegevens en mensen, de waarschijnlijke gevolgen en de maatregelen die zijn of worden genomen, en vult dat aan zodra het meer weet.
8.3 De klant beslist of de inbreuk moet worden gemeld bij de Autoriteit Persoonsgegevens of aan de betrokken mensen. Contracker meldt niets namens de klant zonder diens toestemming, tenzij de wet dat verplicht.

Artikel 9. Controle

9.1 Contracker geeft de klant op verzoek de informatie die nodig is om te laten zien dat het zich aan deze overeenkomst houdt.
9.2 De klant mag eens per jaar, of na een datalek, op eigen kosten een audit laten uitvoeren door een onafhankelijke deskundige met een geheimhoudingsplicht. De klant kondigt dit minstens 30 dagen van tevoren aan. De audit mag de dienst voor andere klanten niet verstoren.

Artikel 10. Einde van de overeenkomst

10.1 Deze overeenkomst loopt zolang Contracker persoonsgegevens voor de klant verwerkt.
10.2 De klant kan zijn gegevens altijd exporteren. Na het sluiten van het account verwijdert Contracker de persoonsgegevens binnen 30 dagen, tenzij de wet bewaren verplicht. Kopieën in back-ups worden verwijderd binnen 90 dagen. Contracker bevestigt de verwijdering op verzoek.
10.3 Gaat een betaald abonnement over in een gratis abonnement, dan blijft het account met zijn gegevens bestaan en loopt deze overeenkomst door.

Artikel 11. Aansprakelijkheid

11.1 Voor de aansprakelijkheid van partijen geldt wat in de algemene voorwaarden staat, met inachtneming van artikel 82 van de AVG.

Artikel 12. Overige afspraken

12.1 Gaan deze overeenkomst en de algemene voorwaarden over hetzelfde onderwerp en spreken ze elkaar tegen, dan geldt deze overeenkomst.
12.2 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Midden-Nederland.

Ondertekening (alleen als de klant een getekend exemplaar wil)

Voor de klant: naam, functie, datum en handtekening worden ingevuld bij het ondertekenen in de app.
Voor Klanderman ICT Advies BV: naam M. Klanderman, functie Directeur, met de datum waarop de klant ondertekent.

Bijlage 1. Beschrijving van de verwerking

• Betrokkenen: Medewerkers van de klant, gebruikers van het account, medeondertekenaars en contactpersonen die in de contracten staan, en contactpersonen bij leveranciers.
• Soorten gegevens: Namen, functies, afdelingen, zakelijke contactgegevens, adressen, klant- en contractnummers, handtekeningen, bankrekeningnummers en andere gegevens die in de contracten, facturen en mails staan; de inhoud van onderhandelingsmails en antwoorden; wie wat heeft goedgekeurd; aantallen medewerkers per afdeling. Contracker vraagt de klant geen burgerservicenummers of bijzondere persoonsgegevens te uploaden. Een gevonden BSN wordt onleesbaar gemaakt in alle tekst en gegevens die Contracker bewaart; het originele bestand blijft versleuteld bewaard tot de klant het verwijdert, en de app vraagt de klant dat te doen.
• Wat Contracker doet: Opslaan, lezen (ook met AI), gegevens herkennen, opzegdata en herzieningsmomenten berekenen, licenties vergelijken, herinneringen sturen, rapporten maken, mails ontvangen in de contractinbox, onderhandelingsmails opstellen (ook met AI), na goedkeuring versturen, antwoorden ontvangen en samenvatten, en een activiteitenlog bijhouden.
• Duur: Zolang de klant een account heeft, en 30 dagen daarna.
• Waar: In de Europese Unie (Frankfurt, Duitsland, en de mailserver bij TransIP in Nederland), met verwerking in de Verenigde Staten door Anthropic en met toegang vanuit de Verenigde Staten door Laravel.

Subverwerkers

• Laravel Holdings Inc. (Laravel Cloud): Hosting, database en bestandsopslag. Servers in Frankfurt, Duitsland. Amerikaans bedrijf, gecertificeerd onder het EU-VS Data Privacy Framework (gecontroleerd op 6 november 2026).
• TransIP B.V.: VPS waarop Contracker zijn eigen mailserver draait, voor het versturen van mails, de contractinbox en support@contracker.nl. Nederland.
• Anthropic Ireland, Limited: Contracten lezen, onderhandelingsmails opstellen en antwoorden op supportvragen opstellen. Persoonsgegevens worden vooraf zoveel mogelijk gemaskeerd, zoals Bijlage 2 beschrijft. Dublin, Ierland, met verwerking in de Verenigde Staten onder de standaardcontractbepalingen (besluit 2021/914, module 3) uit de verwerkersovereenkomst van Anthropic.

Mollie B.V. verwerkt alleen gegevens over de betaling van het abonnement, en doet dat als zelfstandige verwerkingsverantwoordelijke. Mollie is daarom geen subverwerker.

Anthropic wordt voor support alleen ingezet voor vragen die de klant of zijn gebruikers zelf aan Contracker stellen. Daarbij kan Anthropic de account-gegevens zien die voor het antwoord nodig zijn, zoals het abonnement, het aantal contracten en de eerstvolgende opzegdatum. Mails aan privacy@contracker.nl en security@contracker.nl gaan nooit naar Anthropic.

Bijlage 2. Beveiligingsmaatregelen

• Versleuteling onderweg: alle verbindingen met Contracker en met de subverwerkers lopen via TLS (HTTPS). De mailserver gebruikt TLS, SPF, DKIM en DMARC.
• Versleuteling in opslag: documenten, gelezen contractgegevens, onderhandelingsmails, notities en contactgegevens worden versleuteld met een sleutel per organisatie. Die sleutels zijn vergrendeld met een hoofdsleutel die los van de database wordt bewaard.
• Toegang voor gebruikers: elke gebruiker heeft een eigen login. Wachtwoorden worden alleen onleesbaar gemaakt opgeslagen. Tweestapsverificatie is beschikbaar en kan door de eigenaar van het account verplicht worden gemaakt. Rollen bepalen wat een gebruiker ziet en mag.
• Toegang voor Contracker: medewerkers van Contracker hebben alleen toegang tot wat ze voor hun taak nodig hebben, met tweestapsverificatie.
• AI: voordat tekst naar de AI-dienst gaat, bij het lezen van contracten en het opstellen van supportantwoorden, worden e-mailadressen, adressen en postcodes, bankrekeningnummers (IBAN), burgerservicenummers en de naam van de gebruiker die uploadt onleesbaar gemaakt. Een document waarin een BSN is gevonden, wordt niet door de AI-dienst gelezen. De tekst van een contract of mail wordt als gegevens behandeld, nooit als instructie aan het systeem. De AI kan zelf niets in een account wijzigen.
• Goedkeuring door de klant: een onderhandelingsmail wordt alleen verstuurd nadat een bevoegde gebruiker van de klant de definitieve tekst heeft goedgekeurd. Elke goedkeuring wordt vastgelegd met naam en tijd.
• Activiteitenlog: belangrijke handelingen in het account, zoals gebruikers toevoegen, rollen wijzigen en mails goedkeuren, worden vastgelegd en zijn voor de eigenaar zichtbaar.
• Logboeken: de servers houden logboeken bij om misbruik te herkennen. Die worden hoogstens 30 dagen bewaard.
• Back-ups: dagelijks, versleuteld, binnen de Europese Unie, 90 dagen bewaard.
• Ontwikkeling: wijzigingen in de software worden getest voordat ze live gaan. Er worden geen echte klantgegevens gebruikt om te testen.
• Monitoring: de beschikbaarheid van de dienst en de mailserver wordt continu gecontroleerd, met een openbare statuspagina.
• Incidenten: er is een vaste werkwijze voor het melden en afhandelen van datalekken, met een logboek van elk incident.