Verwerkersovereenkomst

Voor adviseurs met een licentie. Op het dashboard bewaart u de adressen van uw klanten bij uw licentie. Daarmee verwerken wij persoonsgegevens voor u: u bent verwerkingsverantwoordelijke, wij zijn verwerker (artikel 28 AVG). U gaat met deze overeenkomst akkoord met een vinkje bij het eerste inloggen. Versie van 5 oktober 2026.

1. Partijen

Verwerker: SynerZhi Consultancy B.V., handelend onder de naam MagicT, maker van energie27, Liselott Linsenhoffstraat 27, Almere, KvK 83929452, info@magict.nl (hierna: energie27).

Verwerkingsverantwoordelijke: het bedrijf dat de licentie voor het dashboard heeft, zoals vermeld bij de licentie (hierna: de licentiehouder).

Begrippen als persoonsgegevens, verwerking, betrokkene en datalek hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG). Deze overeenkomst hoort bij de licentie. Bij strijd met andere afspraken over persoonsgegevens gaat deze overeenkomst voor.

2. Wat energie27 verwerkt en waarvoor

energie27 bewaart wat de licentiehouder in het dashboard invult, alleen om het op elk apparaat waarop hij inlogt terug te tonen, ermee te rekenen en er een rapport van te maken. Bijlage 1 beschrijft welke gegevens het zijn.

energie27 gebruikt deze gegevens nergens anders voor: niet om het rekenmodel te toetsen, niet voor statistiek of reclame, en niet om contact op te nemen met de klanten. energie27 deelt ze met niemand behalve de subverwerker in artikel 4.

De licentiehouder zorgt dat hij een grondslag heeft om de gegevens van zijn klanten in te voeren en informeert zijn klanten daarover. Hij voert geen bijzondere persoonsgegevens, strafrechtelijke gegevens, BSN of bankgegevens in.

3. Verplichtingen van energie27

1. energie27 verwerkt de gegevens alleen volgens deze overeenkomst en de instructies van de licentiehouder. Wat de licentiehouder in het dashboard doet (opslaan, een rapport maken, verwijderen) geldt als instructie.
2. Vindt energie27 een instructie in strijd met de AVG, dan meldt het dat meteen.
3. Iedereen die bij energie27 toegang heeft tot de gegevens, heeft een geheimhoudingsplicht. Nu is dat alleen de maker van energie27, en alleen als dat nodig is voor beheer, een storing of een verzoek van de licentiehouder.
4. energie27 neemt passende technische en organisatorische maatregelen (Bijlage 2) en houdt die bij.
5. energie27 helpt de licentiehouder waar redelijk bij een gegevensbeschermingseffectbeoordeling (DPIA) of een vraag van de Autoriteit Persoonsgegevens.

4. Subverwerker en doorgifte

De licentiehouder geeft toestemming voor Cloudflare, Inc. als subverwerker: hosting, de server, de database en het maken van een rapport als pdf. Cloudflare is een Amerikaans bedrijf; gegevens kunnen buiten de EER worden verwerkt. Die doorgifte rust op het EU-VS Data Privacy Framework, waaronder Cloudflare valt, en op de standaardcontractbepalingen in de verwerkersovereenkomst van Cloudflare. energie27 legt Cloudflare via die overeenkomst dezelfde plichten op als hier.

Een nieuwe of andere subverwerker meldt energie27 minstens 30 dagen vooraf per e-mail. De licentiehouder mag dan bezwaar maken en, als dat niet is op te lossen, de licentie beëindigen.

5. Datalekken, rechten van betrokkenen en controle

Datalek. energie27 meldt een datalek dat de gegevens van de licentiehouder raakt zonder onredelijke vertraging en uiterlijk binnen 36 uur na ontdekking, met wat bekend is: wat er gebeurde, welke gegevens en hoeveel klanten, de gevolgen en de maatregelen. De licentiehouder beslist over een melding aan de Autoriteit Persoonsgegevens en aan zijn klanten.

Rechten van betrokkenen. De licentiehouder kan alles zelf inzien, wijzigen, verwijderen en als bestand bewaren in het dashboard. Vraagt een klant energie27 om inzage, correctie of verwijdering, dan stuurt energie27 die vraag door en beantwoordt hem niet zelf.

Controle. energie27 geeft de licentiehouder op verzoek de informatie die nodig is om te zien of het zich aan deze overeenkomst houdt. Een audit kan eenmaal per jaar, op kosten van de licentiehouder, na aankondiging van minstens 30 dagen, door een onafhankelijke deskundige met geheimhoudingsplicht.

6. Einde, aansprakelijkheid en recht

Einde. Deze overeenkomst loopt zolang de licentie loopt, en daarna tot de gegevens verwijderd zijn. Een adres dat de licentiehouder verwijdert, is meteen uit de database. Eindigt de licentie, dan kan de licentiehouder zijn gegevens tot het einde zelf als bestand bewaren bij Instellingen, en daarna nog 30 dagen opvragen bij energie27. energie27 verwijdert de adressen, invoer, instellingen en het logo binnen 30 dagen na het einde, en bevestigt dat op verzoek. Herstelpunten van de database bij Cloudflare verlopen daarna vanzelf, binnen 30 dagen.

Aansprakelijkheid. Elke partij is aansprakelijk voor schade door haar eigen schending van de AVG of deze overeenkomst, zoals geregeld in artikel 82 AVG. De aansprakelijkheid van energie27 is beperkt tot directe schade, tot ten hoogste € 1.000, behalve bij opzet of bewuste roekeloosheid.

Wijzigingen. Een wezenlijke wijziging meldt energie27 minstens 30 dagen vooraf; het dashboard vraagt dan opnieuw om akkoord. Wie niet akkoord gaat, kan de licentie beëindigen.

Recht. Nederlands recht is van toepassing. Geschillen gaan naar de rechtbank Midden-Nederland.

Bijlage 1. Gegevens en betrokkenen

• Betrokkenen: klanten en mogelijke klanten van de licentiehouder (bewoners van de adressen).
• Gegevens per adres: naam of kenmerk, adres of postcode, notitie, de codes om te delen, de gekozen opties en de rekening nu en met die keuze.
• Per vergelijking (tot zes per adres): wat in de rekenhulp is ingevuld, zoals verbruik, opwek, apparaten, contract, aanschafprijzen, postcode en plaats en de jaarafrekening; bij een code van een klant ook de invoer van die klant.
• Gedeelde situaties (Deel met klant, of een code van de klant): dezelfde invoer, in de browser versleuteld met de code, zodat energie27 hem niet kan lezen; weg na 12 maanden.
• Rapport als pdf: de tekst van het rapport gaat kort door de server en de browser van Cloudflare; niet bewaard en niet gelogd.
• Waar: Cloudflare D1 (de database), bij de licentie. Daarnaast staat een kopie in de browser van de licentiehouder; die valt buiten deze overeenkomst.

Gegevens over de licentiehouder zelf (bedrijfsnaam, naam van de adviseur, logo, prijslijst, aanbiedingen, inloggen) verwerkt energie27 als verantwoordelijke; daarvoor geldt de privacyverklaring.

Bijlage 2. Beveiligingsmaatregelen

• Alle verkeer via https; de database staat bij Cloudflare en is daar versleuteld opgeslagen.
• Toegang alleen met een licentiecode. De database bewaart alleen een hash van de code en van de sessie. De cookie is HttpOnly, Secure en SameSite=Strict en verloopt na 30 dagen. Hooguit drie apparaten per licentie tegelijk; intrekken of een nieuwe code sluit alle sessies meteen af.
• Te veel mislukte inlogpogingen per IP-adres blokkeren een uur; daarvoor staat alleen een hash van het IP-adres in de database.
• Elke licentie ziet alleen haar eigen adressen; de server controleert dat bij elk verzoek.
• Adressen en invoer staan niet apart versleuteld in de database, zodat ze op elk apparaat werken, ook na een nieuwe licentiecode.
• Voor de pdf staat JavaScript uit en laadt de browser van Cloudflare alleen bestanden van energie27.nl zelf.
• Testversies van de site hebben geen toegang tot de echte database. Verlopen sessies, inlogpogingen en gedeelde situaties worden elke nacht gewist.
• Alleen de maker van energie27 kan bij de database, via het Cloudflare-account met tweestapsverificatie.