Laatst bijgewerkt: 24 september 2026

Partijen

1. [Naam zakelijke klant], gevestigd te [adres], KvK-nummer [nummer], hierna: "Verwerkingsverantwoordelijke"

2. Bodywork Collective (VOF), gevestigd aan de Velddreef 150, 2727 CP Zoetermeer, KvK-nummer 85040401, hierna: "Verwerker"

hierna gezamenlijk: "Partijen"

Overwegende dat:

• Verwerkingsverantwoordelijke gebruikmaakt van de diensten van Verwerker (Workplace Reset) voor haar medewerkers;

• Verwerker in dat kader persoonsgegevens van medewerkers van Verwerkingsverantwoordelijke verwerkt, om hen toegang te geven tot het programma en de sessies te kunnen organiseren;

• Partijen deze verwerkersovereenkomst sluiten om te voldoen aan de eisen van artikel 28 AVG.

Artikel 1 — Onderwerp en duur

1.1 Deze overeenkomst regelt de verwerking van persoonsgegevens door Verwerker namens Verwerkingsverantwoordelijke, in het kader van de hoofdovereenkomst voor het Workplace Reset-programma d.d. [datum].

1.2 Deze overeenkomst geldt voor de duur van de hoofdovereenkomst en eindigt automatisch bij beëindiging daarvan, met uitzondering van bepalingen die naar hun aard blijven voortbestaan (zoals geheimhouding).

Artikel 2 — Aard en doel van de verwerking

2.1 Verwerker verwerkt persoonsgegevens uitsluitend voor het doel: het verlenen van toegang tot het online 28-daagse programma, het organiseren en administreren van sessies op locatie, en de daarmee samenhangende communicatie met deelnemende medewerkers.

2.2 Verwerker verwerkt geen persoonsgegevens voor eigen doeleinden, tenzij hiervoor uitdrukkelijk aparte toestemming is gegeven (bijvoorbeeld als een medewerker zich apart aanmeldt voor de nieuwsbrief van Bodywork Collective).

Artikel 3 — Soort gegevens en betrokkenen

3.1 Het gaat om de volgende categorieën gegevens: naam, e-mailadres, functie [indien van toepassing], en — uitsluitend voor zover een medewerker dit zelf tijdens een sessie deelt — informatie over lichamelijke klachten of spanning die relevant is voor de begeleiding.

3.2 Het gaat om de volgende categorieën betrokkenen: medewerkers van Verwerkingsverantwoordelijke die deelnemen aan het programma.

3.3 Er worden geen bijzondere categorieën persoonsgegevens (zoals gezondheidsgegevens in de zin van de AVG) structureel of doelbewust verzameld. Voor zover een medewerker tijdens een sessie vrijwillig gezondheidsinformatie deelt, wordt deze niet vastgelegd in het CRM-systeem, tenzij dit voor de directe begeleiding noodzakelijk is en de medewerker daarmee instemt.

Artikel 4 — Verplichtingen van de Verwerker

4.1 Verwerker verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke, tenzij een wettelijke verplichting tot verwerking noopt.

4.2 Verwerker waarborgt dat personen die gegevens verwerken gebonden zijn aan een geheimhoudingsplicht.

4.3 Verwerker treft passende technische en organisatorische beveiligingsmaatregelen, waaronder:

• wachtwoordbeveiligde apparatuur;

• toegang tot gegevens beperkt tot wie het nodig heeft voor zijn werk;

• [aan te vullen: back-upbeleid, encryptie, tweefactorauthenticatie indien van toepassing]

4.4 Verwerker verleent redelijke medewerking aan Verwerkingsverantwoordelijke bij verzoeken van betrokkenen (inzage, rectificatie, verwijdering, etc.) en bij het uitvoeren van eventuele gegevensbeschermingseffectbeoordelingen.

Artikel 5 — Sub-verwerkers

5.1 Verwerker maakt gebruik van de volgende sub-verwerker(s):

Sub-verwerkerFunctieLocatie gegevensopslagGoHighLevel (via Voluit Suite)CRM, hosting online programma, toegangsbeheerVerenigde Staten (exacte cloudinfrastructuur niet bevestigd; doorgifte gedekt onder het EU-VS Data Privacy Framework — zie 5.2)

5.2 Verwerker garandeert dat met deze sub-verwerker(s) passende waarborgen zijn overeengekomen die een beschermingsniveau bieden dat gelijkwaardig is aan deze overeenkomst. Sub-verwerker GoHighLevel (LeadConnector HQ LLC) verklaart in haar eigen privacyverklaring deel te nemen aan het EU-VS Data Privacy Framework — de door de Europese Commissie erkende waarborg voor doorgifte van persoonsgegevens naar de Verenigde Staten. [Nog te checken: staat deze certificering actief op dataprivacyframework.gov — zie het actiepunt onderaan.]

5.3 Verwerker informeert Verwerkingsverantwoordelijke voorafgaand over elke voorgenomen wijziging inzake het inschakelen van (nieuwe) sub-verwerkers, zodat Verwerkingsverantwoordelijke de mogelijkheid heeft hiertegen bezwaar te maken.

Artikel 6 — Datalekken

6.1 Verwerker meldt een (vermoeden van een) datalek zonder onredelijke vertraging, en in ieder geval binnen 48 uur nadat Verwerker hiervan kennis heeft genomen, aan Verwerkingsverantwoordelijke.

6.2 De melding bevat in elk geval: de aard van het datalek, de (vermoedelijke) betrokken gegevens en betrokkenen, de genomen en voorgenomen maatregelen.

Artikel 7 — Doorgifte buiten de EER

7.1 Voor zover persoonsgegevens worden doorgegeven buiten de Europese Economische Ruimte (zoals bij opslag via GoHighLevel in de Verenigde Staten), draagt Verwerker er zorg voor dat dit gebeurt met inachtneming van passende waarborgen conform hoofdstuk V AVG.

Artikel 8 — Audit

8.1 Verwerkingsverantwoordelijke heeft het recht om, met redelijke voorafgaande kennisgeving, de naleving van deze overeenkomst door Verwerker te (laten) controleren.

Artikel 9 — Teruggave en vernietiging

9.1 Na beëindiging van de hoofdovereenkomst verwijdert Verwerker alle persoonsgegevens van medewerkers van Verwerkingsverantwoordelijke, of geeft deze op verzoek terug, tenzij een wettelijke bewaarplicht zich hiertegen verzet.

Artikel 10 — Aansprakelijkheid

10.1 [In te vullen in overleg met jurist — aansprakelijkheidsbepalingen zijn maatwerk en raken aan de algemene voorwaarden.]

Artikel 11 — Toepasselijk recht

11.1 Op deze overeenkomst is Nederlands recht van toepassing.

Ondertekening

Namens Verwerkingsverantwoordelijke: ____________________ Datum: __________

Namens Verwerker (Bodywork Collective): ____________________ Datum: __________