Verwerkersovereenkomst

Partijen

1. [naam bureau], gevestigd te [plaats], KvK [nummer], hierna "Verwerkingsverantwoordelijke" of "Klant";
2. [statutaire naam QTS, rechtsvorm], gevestigd te [plaats], KvK [nummer], hierna "Verwerker" of "QTS".

De Klant gebruikt QTS om kandidaten, klantcontacten, vacatures en plaatsingen te beheren. Daarbij verwerkt QTS persoonsgegevens in opdracht van de Klant. Partijen leggen hun afspraken daarover vast in deze overeenkomst.

Artikel 1. Onderwerp en rollen

1. Deze overeenkomst hoort bij de Overeenkomst voor het gebruik van QTS en de Algemene Voorwaarden. Bij strijd over persoonsgegevens gaat deze overeenkomst voor.
2. De Klant is verwerkingsverantwoordelijke. QTS is verwerker. Aard, doel, categorieën gegevens en betrokkenen staan in Bijlage 1.

Artikel 2. Verwerken op instructie

1. QTS verwerkt persoonsgegevens alleen op schriftelijke instructie van de Klant. Het gebruik en de instellingen van de Dienst door de Klant gelden als instructie.
2. QTS gebruikt de gegevens niet voor eigen doeleinden en niet om AI-modellen te trainen.
3. Vindt QTS een instructie in strijd met de AVG, dan meldt QTS dat direct.
4. Moet QTS op grond van de wet gegevens verstrekken, dan meldt QTS dat vooraf aan de Klant, tenzij de wet dat verbiedt.

Artikel 3. Geheimhouding

Iedereen die bij QTS toegang heeft tot de persoonsgegevens, is aan geheimhouding gebonden. Medewerkers krijgen alleen toegang als dat nodig is voor support of beheer, en die toegang wordt gelogd.

Artikel 4. Beveiliging

QTS neemt passende technische en organisatorische maatregelen, beschreven in Bijlage 3. QTS mag maatregelen aanpassen, zolang het beveiligingsniveau niet omlaag gaat.

Artikel 5. Subverwerkers

1. De Klant geeft algemene toestemming voor de subverwerkers in Bijlage 2.
2. QTS meldt een nieuwe of vervangende subverwerker minimaal 14 dagen vooraf per e-mail of in de app.
3. De Klant kan binnen die 14 dagen met redenen bezwaar maken. Partijen zoeken dan samen een oplossing. Lukt dat niet binnen 30 dagen, dan mag de Klant de Overeenkomst voor het betrokken onderdeel kosteloos opzeggen.
4. QTS legt subverwerkers ten minste dezelfde verplichtingen op en blijft tegenover de Klant verantwoordelijk.
5. Koppelingen die de Klant zelf aanzet (zoals Microsoft 365, Ringover, Webflow, Claude-connector) zijn geen subverwerkers van QTS. Daarvoor geldt de overeenkomst tussen de Klant en die partij.

Artikel 6. Doorgifte buiten de EER

QTS geeft persoonsgegevens alleen door buiten de EER als daar een geldige grondslag voor is: een adequaatheidsbesluit (zoals het EU-VS Data Privacy Framework voor gecertificeerde leveranciers) of de modelcontractbepalingen (SCC's, besluit (EU) 2021/914), met aanvullende maatregelen waar nodig. Bijlage 2 geeft per subverwerker de locatie en het doorgiftemechanisme.

Artikel 7. Rechten van betrokkenen

1. QTS helpt de Klant bij verzoeken van betrokkenen. De Dienst heeft daarvoor functies om gegevens in te zien, te wijzigen, te exporteren en te verwijderen.
2. Krijgt QTS een verzoek rechtstreeks, dan stuurt QTS het binnen 5 werkdagen door aan de Klant en reageert QTS niet zelf inhoudelijk.
3. Hulp die verder gaat dan de standaardfuncties, rekent QTS af tegen het geldende uurtarief.

Artikel 8. Datalekken

1. QTS meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, aan de contactpersoon van de Klant.
2. De melding bevat voor zover bekend: aard van het lek, betrokken categorieën en aantallen, waarschijnlijke gevolgen, genomen en voorgestelde maatregelen en een contactpersoon. Ontbrekende informatie volgt zo snel mogelijk.
3. De Klant beslist over melding aan de Autoriteit Persoonsgegevens (binnen 72 uur, art. 33 AVG) en aan betrokkenen. QTS doet dat niet zelf, tenzij de Klant dat vraagt.
4. QTS houdt een register bij van alle inbreuken.

Artikel 9. DPIA en toezichthouder

QTS geeft de Klant de informatie die nodig is voor een gegevensbeschermingseffectbeoordeling (DPIA), bijvoorbeeld voor AI-matching of gespreksopnames, en werkt mee met de toezichthouder.

Artikel 10. Audit

1. QTS stelt op verzoek de informatie beschikbaar die nodig is om naleving aan te tonen, zoals deze overeenkomst, Bijlage 3 en [pentest-samenvatting / certificaten, indien beschikbaar].
2. De Klant mag maximaal één keer per jaar een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht, met [30] dagen aankondiging. De kosten zijn voor de Klant, tenzij blijkt dat QTS wezenlijk tekortschiet.

Artikel 11. Looptijd, teruggave en verwijdering

1. Deze overeenkomst loopt zolang QTS persoonsgegevens voor de Klant verwerkt.
2. Tot het einde kan de Klant alle gegevens exporteren via de exportfunctie.
3. Na het einde verwijdert QTS de persoonsgegevens binnen 30 dagen, en uit back-ups binnen [30] dagen daarna, tenzij een wettelijke bewaarplicht geldt. Op verzoek bevestigt QTS de verwijdering schriftelijk.

Artikel 12. Aansprakelijkheid

Voor aansprakelijkheid geldt de regeling uit de Algemene Voorwaarden. De Klant staat ervoor in dat hij een geldige grondslag heeft voor de verwerking en dat hij betrokkenen goed informeert, ook over AI-functies en gespreksopnames.

Artikel 13. Slotbepalingen

Op deze overeenkomst is Nederlands recht van toepassing. Wijzigingen zijn alleen geldig als ze schriftelijk zijn vastgelegd.

Bijlage 1. Beschrijving van de verwerking

Bijlage 2. Subverwerkers

Opgesteld uit de QTS-code (versie 22-10-2026). Elke regel nog controleren op juiste entiteit, verwerkingslocatie, verwerkersovereenkomst en doorgiftemechanisme.

Niet in deze lijst omdat de Klant ze zelf koppelt: Microsoft 365 (mail), Ringover (telefonie, opname, transcriptie; EU- of VS-regio instelbaar), Webflow (vacatures publiceren), Claude-connector (alleen-lezen rapportage). KvK-API: openbare bedrijfsgegevens voor klantverrijking. In de briefing staat ook Twilio (bellen via browser); in de code is dat niet gevonden. Controleren.

Bijlage 3. Beveiligingsmaatregelen

Parties

1. [agency name], located in [city], KvK [number], hereinafter "Controller" or "Customer";
2. [statutory name of QTS, legal form], located in [city], KvK [number], hereinafter "Processor" or "QTS".

The Customer uses QTS to manage candidates, client contacts, vacancies and placements. In doing so, QTS processes personal data on behalf of the Customer. The parties record their arrangements on this in this agreement.

Article 1. Subject and roles

1. This agreement belongs to the Agreement for the use of QTS and the General Terms and Conditions. In case of conflict regarding personal data, this agreement prevails.
2. The Customer is the controller. QTS is the processor. The nature, purpose, categories of data and data subjects are set out in Annex 1.

Article 2. Processing on instructions

1. QTS processes personal data only on documented instructions from the Customer. The Customer's use and settings of the Service count as instructions.
2. QTS does not use the data for its own purposes or to train AI models.
3. If QTS considers an instruction to infringe the GDPR, QTS reports this immediately.
4. If QTS is required by law to disclose data, QTS informs the Customer in advance, unless the law prohibits this.

Article 3. Confidentiality

Everyone at QTS with access to the personal data is bound by confidentiality. Staff only get access when needed for support or administration, and that access is logged.

Article 4. Security

QTS takes appropriate technical and organisational measures, described in Annex 3. QTS may adjust measures, as long as the level of security does not decrease.

Article 5. Sub-processors

1. The Customer gives general authorisation for the sub-processors in Annex 2.
2. QTS gives notice of a new or replacement sub-processor at least 14 days in advance by email or in the app.
3. Within those 14 days, the Customer may object with reasons. The parties then look for a solution together. If that does not succeed within 30 days, the Customer may terminate the Agreement for the part concerned free of charge.
4. QTS imposes at least the same obligations on sub-processors and remains responsible towards the Customer.
5. Integrations that the Customer switches on itself (such as Microsoft 365, Ringover, Webflow, Claude connector) are not sub-processors of QTS. The agreement between the Customer and that party applies to them.

Article 6. Transfers outside the EEA

QTS only transfers personal data outside the EEA if there is a valid basis for it: an adequacy decision (such as the EU-US Data Privacy Framework for certified providers) or the Standard Contractual Clauses (SCCs, Decision (EU) 2021/914), with supplementary measures where needed. Annex 2 states the location and transfer mechanism for each sub-processor.

Article 7. Rights of data subjects

1. QTS assists the Customer with requests from data subjects. The Service has functions to access, rectify, export and delete data for this purpose.
2. If QTS receives a request directly, QTS forwards it to the Customer within 5 working days and does not respond on the substance itself.
3. Assistance beyond the standard functions is charged at the applicable hourly rate.

Article 8. Data breaches

1. QTS reports a personal data breach without undue delay, and no later than 48 hours after discovery, to the Customer's contact person.
2. As far as known, the notification includes: the nature of the breach, the categories and numbers concerned, the likely consequences, the measures taken and proposed, and a contact person. Missing information follows as soon as possible.
3. The Customer decides on notification to the Dutch Data Protection Authority (within 72 hours, Art. 33 GDPR) and to data subjects. QTS does not do this itself, unless the Customer asks it to.
4. QTS keeps a register of all breaches.

Article 9. DPIA and supervisory authority

QTS provides the Customer with the information needed for a data protection impact assessment (DPIA), for example for AI matching or call recordings, and cooperates with the supervisory authority.

Article 10. Audit

1. On request, QTS makes available the information needed to demonstrate compliance, such as this agreement, Annex 3 and [penetration test summary / certificates, if available].
2. The Customer may have an audit carried out at most once a year by an independent expert bound by confidentiality, with [30] days' notice. The costs are borne by the Customer, unless QTS turns out to fall materially short.

Article 11. Term, return and deletion

1. This agreement runs as long as QTS processes personal data for the Customer.
2. Until the end, the Customer can export all data via the export function.
3. After the end, QTS deletes the personal data within 30 days, and from backups within [30] days after that, unless a statutory retention obligation applies. On request, QTS confirms the deletion in writing.

Article 12. Liability

The liability provisions of the General Terms and Conditions apply. The Customer warrants that it has a valid legal basis for the processing and that it informs data subjects properly, including about AI features and call recordings.

Article 13. Final provisions

Dutch law applies to this agreement. Changes are only valid if recorded in writing.

Annex 1. Description of the processing

Annex 2. Sub-processors

Compiled from the QTS code (version 22-10-2026). Check every row for the correct entity, processing location, data processing agreement and transfer mechanism.

Not in this list because the Customer connects them itself: Microsoft 365 (email), Ringover (telephony, recording, transcription; EU or US region configurable), Webflow (publishing vacancies), Claude connector (read-only reporting). KvK API: public company data for client enrichment. The briefing also mentions Twilio (calling from the browser); it was not found in the code. Check.

Annex 3. Security measures