Partijen

Verwerkingsverantwoordelijke ("Klant"): De zakelijke klant die gebruikmaakt van DealSign en persoonsgegevens via het platform laat verwerken ten behoeve van eigen document- en ondertekenprocessen.

Verwerker ("DealSign"): Mitss B.V., handelend onder de naam DealSign Roringererf 10, 7981 EJ Diever, Nederland KvK: 42103487 privacy@dealsign.nl

Artikel 1 — Toepasselijkheid en rangorde

1.1. Deze verwerkersovereenkomst is van toepassing op verwerkingen van persoonsgegevens die DealSign als verwerker uitvoert namens de Klant in het kader van de dienst DealSign.

1.2. Deze overeenkomst vormt een integraal onderdeel van de overeenkomst tussen Klant en DealSign, waaronder de Algemene Voorwaarden en het gebruik van het platform.

1.3. Bij tegenstrijdigheid tussen deze verwerkersovereenkomst en de Algemene Voorwaarden ten aanzien van gegevensverwerking in opdracht van de Klant, prevaleert deze verwerkersovereenkomst.

1.4. DealSign verwerkt persoonsgegevens uitsluitend in opdracht van de Klant en conform gedocumenteerde instructies, tenzij een wettelijke verplichting DealSign anders verplicht.

1.5. Voor verwerkingen waarbij DealSign zelf verwerkingsverantwoordelijke is (zoals accountbeheer, facturatie en platformbeheer), geldt de Privacyverklaring van DealSign, niet deze verwerkersovereenkomst.

Artikel 2 — Onderwerp, duur en aard van de verwerking

2.1. Onderwerp: verwerking van persoonsgegevens in het kader van het digitaal laten invullen, verifiëren en ondertekenen van documenten via DealSign.

2.2. Duur: de looptijd van de overeenkomst tussen Klant en DealSign, inclusief proefaccount en gebruik van verificatietegoed, tot beëindiging en voltooiing van gegevensverwijdering of -retour conform artikel 18.

2.3. Aard: geautomatiseerde verwerking, opslag, conversie, weergave, verzending van uitnodigingen, vastlegging van auditgegevens, optionele verificatie (e-mail, SMS, identiteit) en genereren van auditrapporten.

2.4. Doel: het technisch mogelijk maken en vastleggen van ondertekenprocessen die de Klant via DealSign initieert.

2.5. Nadere verwerkingsdetails staan in Bijlage A.

Artikel 3 — Categorieën betrokkenen en persoonsgegevens

3.1. Categorieën betrokkenen (zoals door Klant bepaald):

• ondertekenaars en ontvangers van uitnodigingen;
• contactpersonen in het adresboek van de Klant;
• andere personen wiens gegevens de Klant in documenten of velden opneemt.

3.2. Categorieën persoonsgegevens kunnen onder meer omvatten:

• identificatie- en contactgegevens (naam, e-mail, telefoon);
• documentinhoud en veldwaarden;
• handtekeningafbeeldingen en ondertekenverklaringen;
• audit- en bewijsgegevens (tijdstippen, IP-adres, user-agent, verificatiemethode, sessie-opname);
• verificatiegegevens (SMS-metadata, identiteitsverificatieresultaten);
• overige gegevens die de Klant in documenten of velden opneemt.

3.3. Bij gebruik van identiteitsverificatie kunnen via de subverwerker Didit bijzondere categorieën van persoonsgegevens worden verwerkt. DealSign slaat geen selfies, kopieën van identiteitsdocumenten of biometrische templates op. DealSign ontvangt beperkte verificatiemetadata zoals beschreven in Bijlage A.

3.4. De Klant is verantwoordelijk voor het bepalen welke categorieën gegevens noodzakelijk en rechtmatig zijn voor het beoogde doel.

Artikel 4 — Instructies van de Klant

4.1. DealSign verwerkt persoonsgegevens uitsluitend op basis van:

• deze verwerkersovereenkomst;
• de Algemene Voorwaarden;
• de Privacyverklaring voor zover die op verwerkersverwerkingen ziet;
• de functionele instellingen en handelingen die de Klant in het platform uitvoert (document uploaden, ondertekenaars toevoegen, verificatieniveau kiezen, verzenden).

4.2. Deze documenten en platformhandelingen gelden samen als gedocumenteerde instructies in de zin van artikel 28 AVG.

4.3. De Klant instrueert DealSign niet om onrechtmatig te handelen of gegevens te verwerken buiten de aard en doel van de dienst.

4.4. Indien DealSign van mening is dat een instructie in strijd is met de AVG of andere toepasselijke wetgeving, informeert DealSign de Klant zonder onredelijke vertraging. DealSign mag de uitvoering van de betreffende instructie opschorten totdat de Klant de instructie bevestigt of wijzigt, voor zover wettelijk toegestaan.

4.5. Aanvullende schriftelijke instructies zijn alleen bindend indien door partijen uitdrukkelijk aanvaard en uitvoerbaar binnen de dienst.

Artikel 5 — Geheimhouding

5.1. DealSign zorgt ervoor dat personen die onder haar gezag gemachtigd zijn om persoonsgegevens te verwerken, geheimhouding in acht nemen of een passende wettelijke geheimhoudingsplicht hebben.

5.2. Deze verplichting blijft gelden na beëindiging van de overeenkomst.

5.3. DealSign mag persoonsgegevens niet openbaar maken of aan derden verstrekken, behalve:

• aan subverwerkers conform artikel 8;
• wanneer een wettelijke verplichting dat vereist;
• met instructie of toestemming van de Klant;
• aan ondertekenaars en betrokkenen voor zover noodzakelijk voor uitvoering van het ondertekenproces.

Artikel 6 — Beveiliging

6.1. DealSign treft passende technische en organisatorische maatregelen om een passend beveiligingsniveau te waarborgen, rekening houdend met de aard, omvang en risico's van de verwerking.

6.2. De maatregelen zijn nader beschreven in Bijlage B.

6.3. DealSign werkt Bijlage B bij bij wezenlijke wijzigingen in het beveiligingsniveau. De Klant wordt geïnformeerd via publicatie of andere redelijke kennisgeving.

Artikel 7 — Betrokkenenrechten

7.1. DealSign ondersteunt de Klant, voor zover redelijkerwijs mogelijk en rekening houdend met de aard van de verwerking, bij het voldoen aan verzoeken van betrokkenen tot uitoefening van hun rechten onder de AVG (inzage, rectificatie, verwijdering, beperking, dataportabiliteit, bezwaar).

7.2. Ontvangt DealSign een verzoek rechtstreeks van een betrokkene, dan verwijst DealSign de betrokkene in eerste instantie door naar de Klant als verwerkingsverantwoordelijke, tenzij DealSign wettelijk verplicht is te reageren.

7.3. DealSign informeert de Klant zonder onredelijke vertraging over verzoeken van betrokkenen die DealSign rechtstreeks ontvangt, voor zover dit relevant is voor de Klant.

7.4. DealSign verleent redelijke ondersteuning bij verzoeken via privacy@dealsign.nl of support@dealsign.nl.

Artikel 8 — Subverwerkers

8.1. De Klant verleent DealSign algemene voorafgaande schriftelijke toestemming voor het inschakelen van subverwerkers die noodzakelijk zijn voor de dienstverlening.

8.2. De actuele lijst van subverwerkers staat in Bijlage C.

8.3. DealSign legt aan elke subverwerker contractueel ten minste dezelfde gegevensbeschermingsverplichtingen op als in deze overeenkomst, in het bijzonder passende beveiliging en geheimhouding.

8.4. Wijzigingsprocedure: DealSign mag subverwerkers toevoegen of vervangen. DealSign informeert de Klant minimaal 30 dagen vooraf via e-mail naar het geregistreerde accountadres of via publicatie op de website/subverwerkerspagina, tenzij de wijziging noodzakelijk is om een dringend beveiligings- of compliance-risico te adresseren.

8.5. Bezwaarprocedure: de Klant kan binnen 14 dagen na kennisgeving gemotiveerd bezwaar maken tegen een nieuwe of gewijzigde subverwerker indien de Klant aannemelijk maakt dat de wijziging een onaanvaardbaar risico oplevert voor gegevensbescherming.

8.6. Bij een gegrond bezwaar dat niet door aanpassing van de subverwerker of aanvullende waarborgen kan worden opgelost, kan de Klant de verwerking die de betreffende subverwerker betreft beëindigen of, indien geen redelijk alternatief bestaat, de overeenkomst opzeggen met betrekking tot het betreffende onderdeel.

8.7. DealSign blijft volledig aansprakelijk jegens de Klant voor de nakoming door subverwerkers.

Artikel 9 — Internationale doorgifte

9.1. DealSign beoogt verwerking van klantdocumenten en bijbehorende persoonsgegevens primair binnen de EU/EER (hosting via Hetzner).

9.2. Sommige subverwerkers kunnen gegevens verwerken buiten de EER, waaronder Twilio, Didit en Google. Zie Bijlage C.

9.3. Waar doorgifte buiten de EER plaatsvindt, zorgt DealSign voor passende waarborgen conform hoofdstuk V AVG, zoals standaardcontractbepalingen (SCC's) of een adequaatheidsbesluit, voor zover van toepassing.

9.4. De Klant erkent dat bepaalde verificatiefuncties (SMS, identiteitsverificatie) doorgifte kunnen meebrengen wanneer de Klant deze functies activeert voor ondertekenaars.

Artikel 10 — Datalekken

10.1. DealSign informeert de Klant zonder onredelijke vertraging nadat DealSign kennis heeft genomen van een inbreuk in verband met persoonsgegevens die de Klantgegevens betreft.

10.2. Waar mogelijk informeert DealSign de Klant uiterlijk binnen 48 uur na ontdekking.

10.3. De melding bevat ten minste de informatie die op dat moment beschikbaar is, zoals beschreven in Bijlage E.

10.4. DealSign ondersteunt de Klant, voor zover redelijkerwijs mogelijk, bij melding aan de Autoriteit Persoonsgegevens en bij communicatie naar betrokkenen, indien de Klant daartoe verplicht is.

10.5. DealSign documenteert inbreuken intern conform de AVG.

Artikel 11 — DPIA en voorafgaand overleg

11.1. De Klant is verantwoordelijk voor het beoordelen of een gegevensbeschermingseffectbeoordeling (DPIA) vereist is.

11.2. DealSign verstrekt de Klant, op verzoek, redelijke informatie over de dienst, beveiligingsmaatregelen en subverwerkers die nodig is voor een DPIA, voor zover beschikbaar en niet onder een geheimhoudingsplicht vallend.

11.3. Indien een toezichthouder voorafgaand overleg vereist over een beoogde verwerking, ondersteunt DealSign de Klant redelijkerwijs bij het verstrekken van relevante technische en organisatorische informatie.

Artikel 12 — Audits en informatie

12.1. DealSign stelt de Klant alle informatie beschikbaar die nodig is om de nakoming van artikel 28 AVG aan te tonen.

12.2. De Klant heeft het recht om eenmaal per kalenderjaar, of vaker bij een ernstig vermoeden van non-compliance na een datalek, audits uit te voeren of door een onafhankelijke auditor te laten uitvoeren, met minimaal 30 dagen voorafgaande schriftelijke kennisgeving.

12.3. Audits worden uitgevoerd tijdens normale kantooruren, zonder onredelijke verstoring van de bedrijfsvoering van DealSign, en onder geheimhouding.

12.4. DealSign mag alternatief een actueel auditrapport, certificering of beveiligingsdocumentatie verstrekken indien dat de auditbehoefte afdoende adresseert.

12.5. Kosten van audits komen voor rekening van de Klant, tenzij de audit aantoont dat DealSign wezenlijk heeft gehandeld in strijd met deze overeenkomst.

Artikel 13 — Teruggave en verwijdering

13.1. Na beëindiging van de overeenkomst of op schriftelijk verzoek van de Klant verwijdert DealSign de persoonsgegevens die zij als verwerker voor de Klant verwerkt, conform Bijlage D, tenzij opslag wettelijk is verplicht.

13.2. Op verzoek van de Klant verstrekt DealSign de Klant, voor zover technisch mogelijk, een export van documenten en relevante auditgegevens vóór definitieve verwijdering.

13.3. Verwijdering omvat ook instructie aan subverwerkers om gegevens te wissen, voor zover van toepassing.

13.4. DealSign kan geanonimiseerde statistieken bewaren die geen persoonsgegevens meer bevatten.

13.5. Back-ups kunnen persoonsgegevens nog maximaal 30 dagen (dagelijkse back-ups) of 12 maanden (maandback-ups) bevatten na verwijdering in de primaire omgeving, waarna zij worden overschreven conform het back-upbeleid.

Artikel 14 — Wettelijke bewaarplichten

14.1. Indien DealSign op grond van Unierecht of Nederlands recht verplicht is gegevens langer te bewaren, verwerkt DealSign die gegevens uitsluitend voor dat wettelijke doel en voor de vereiste termijn.

14.2. DealSign informeert de Klant over een dergelijke wettelijke bewaarplicht, voor zover de wet dat toestaat.

Artikel 15 — Aansprakelijkheid

15.1. De aansprakelijkheid tussen Klant en DealSign voor schade voortvloeiend uit deze verwerkersovereenkomst wordt geregeld in de Algemene Voorwaarden, met inachtneming van dwingend recht.

15.2. DealSign is aansprakelijk jegens de Klant voor schade die het gevolg is van het niet naleven van de verplichtingen die specifiek op verwerkers rusten onder artikel 28 AVG, voor zover DealSign daarvoor aansprakelijk is onder toepasselijk recht.

15.3. De Klant is verantwoordelijk voor de rechtmatigheid van de verwerking, de grondslag jegens betrokkenen, de inhoud van documenten en de keuze van verificatiemethoden.

Artikel 16 — Beëindiging

16.1. Deze verwerkersovereenkomst eindigt automatisch bij beëindiging van de hoofdovereenkomst voor gebruik van DealSign.

16.2. Beëindiging ontslaat DealSign niet van verplichtingen die naar hun aard doorlopen, waaronder geheimhouding, beveiliging tijdens afwikkeling en verwijdering/retour conform artikel 13.

Artikel 17 — Wijzigingen

17.1. DealSign mag deze verwerkersovereenkomst wijzigen indien dat noodzakelijk is vanwege wijzigingen in wetgeving, toezichthoudersrichtlijnen, de dienst of subverwerkers.

17.2. DealSign informeert de Klant minimaal 30 dagen vooraf bij wezenlijke wijzigingen, tenzij een wijziging wettelijk verplicht of dringend is om beveiligingsrisico's te mitigeren.

17.3. Voortgezet gebruik van de dienst na ingangsdatum van de wijziging geldt als aanvaarding, tenzij dwingend recht anders voorschrijft.

Artikel 18 — Toepasselijk recht en geschillen

18.1. Op deze verwerkersovereenkomst is Nederlands recht van toepassing.

18.2. Geschillen worden voorgelegd aan de bevoegde rechter conform de Algemene Voorwaarden.

Ondertekening / Incorporatie

Deze verwerkersovereenkomst is van toepassing op iedere zakelijke Klant die DealSign gebruikt voor document- en ondertekenprocessen. Door gebruik van de dienst als zakelijke organisatie aanvaardt de Klant deze verwerkersovereenkomst, tenzij partijen een afzonderlijke ondertekende versie overeenkomen.

Bijlage A — Verwerkingsdetails

Categorieën betrokkenen

• Ondertekenaars zonder DealSign-account
• Contactpersonen in adresboek
• Personen wiens gegevens in documenten/velden voorkomen

Categorieën persoonsgegevens

Bijzondere categorieën

Via Didit kunnen bij de subverwerker identiteitsgegevens worden verwerkt. DealSign ontvangt geen selfies, ID-kopieën of biometrische templates.

Instructies

Zie artikel 4 van deze overeenkomst en functionele handelingen in het platform.

Bijlage B — Technische en organisatorische maatregelen (TOMs)

DealSign past onder meer de volgende maatregelen toe. Dit is geen uitputtende garantielijst.

B.1 Toegangsbeheer

• Authenticatie met wachtwoord en optioneel 2FA (e-mail), passkeys
• Tenant-isolatie tussen organisaties (middleware en policies)
• Rolgebaseerde toegang binnen organisaties (Owner/Admin/Member)
• Beperkte platformbeheerderstoegang (e-mail-based admin gate)
• Rate limiting op kritieke endpoints

B.2 Gegevensbescherming

• TLS/HTTPS voor transport (productie)
• Versleutelde opslag van geselecteerde databasevelden (Laravel encrypted casts): telefoon, veldwaarden, IP in audit/signatures
• Wachtwoord-hashing (bcrypt)
• Uitnodigingstokens en SMS-codes als hash opgeslagen
• Document- en audit-integriteit via SHA-256 hashes en hashketen

B.3 Verwerking en integriteit

• Validatie van uploads (PDF/DOCX)
• Async normalisatie en versiebeheer van documenten
• Webhook signature verification (Didit)
• Logging van kritieke gebeurtenissen zonder secrets in logs (deployment sanitizer)

B.4 Beschikbaarheid en herstel

• Dagelijkse geautomatiseerde back-ups op gescheiden Hetzner VPS (Duitsland)
• Back-up retentie: dagelijks 30 dagen, maandelijks 12 maanden
• Back-ups versleuteld via Restic client-side encryptie
• Health monitoring en scheduler heartbeat

B.5 Organisatorisch

• Privacycontact en incidentmeldroute (privacy@dealsign.nl)
• Geheimhoudingsplicht voor bevoegde personen
• Productiechecklist met juridische en security-items

B.6 Niet in scope

• ISO/SOC-certificeringen
• 24/7 SOC-monitoring

Bijlage C — Subverwerkers

Niet actief in productie: Amazon S3, Hetzner Object Storage, Postmark/Resend.

Geen subverwerker: Google Fonts (self-hosted), Livewire Flux Pro (geen toegang tot productiegegevens).

Let op: subverwerkers die alleen voor platform-/accountverwerking gelden (Mollie, GA) vallen buiten de verwerkersrol voor Klantdocumenten, maar kunnen relevant zijn voor geïntegreerde processen.

Wijzigingen worden gemeld conform artikel 8.

Bijlage D — Bewaartermijnen (verwerker)

Wettelijke bewaarplichten kunnen afwijkende termijnen vereisen.

Bijlage E — Incidentinformatie (datalekken)

Bij een inbreuk in verband met persoonsgegevens die Klantgegevens betreft, verstrekt DealSign de Klant zonder onredelijke vertraging — en waar mogelijk binnen 48 uur — ten minste:

DealSign werkt deze informatie bij naarmate het onderzoek vordert.