Verwerkersovereenkomst (DPA)

Gegevensverwerkingsovereenkomst conform artikel 28 AVG

Versie: 22 juli 2026

Dit document maakt deel uit van de Algemene Voorwaarden (“AV”) en is van toepassing op elke Bestelling en op elke Overeenkomst met ST-SCAN, met uitsluiting van eventuele eigen voorwaarden van de Klant, ook indien deze op enig document van de Klant zouden voorkomen, tenzij ST-SCAN hiermee voorafgaand en schriftelijk uitdrukkelijk heeft ingestemd. In geval van tegenstrijdigheid met een bepaling uit de AV, zijn de bepalingen van dit document en het Privacybeleid overheersend.

 

Tussen de ondergetekenden

1.  De Verwerkingsverantwoordelijke (“Klant”): [naam onderneming], [rechtsvorm], met zetel te [adres], ondernemingsnummer [KBO/BTW], rechtsgeldig vertegenwoordigd door [naam], [functie]; 
2. De Verwerker (“ST-SCAN”): ST Consult bv, besloten vennootschap naar Belgisch recht, met zetel te Boskouterstraat 48, 3370 Boutersem, ondernemingsnummer BE0821.500.324, handelend onder de merknaam ST-SCAN, rechtsgeldig vertegenwoordigd door Steve Theunissen, bestuurder

hierna elk afzonderlijk een “Partij” en samen de “Partijen” genoemd.

 

Overwegingen

(a) De Klant heeft bij ST-SCAN een of meer Bestellingen geplaatst voor de levering van de Dienst onder de Algemene Voorwaarden van ST-SCAN (de “Hoofdovereenkomst”).

(b) In het kader van de Dienst verwerkt ST-SCAN persoonsgegevens die zijn vervat in de door de Klant aangeleverde documenten, en dit uitsluitend in opdracht van de Klant.

(c) Voor die verwerking treedt de Klant op als verwerkingsverantwoordelijke en ST-SCAN als verwerker. Partijen wensen hun verplichtingen vast te leggen overeenkomstig artikel 28 AVG.

(d) Deze verwerkersovereenkomst (“DPA”) maakt integraal deel uit van de Hoofdovereenkomst en vormt een nadere uitwerking van artikel 13 van de Algemene Voorwaarden en van het Privacybeleid.

 

Artikel 1 — Definities

De in deze DPA met hoofdletter geschreven begrippen hebben de betekenis die eraan wordt gegeven in de AVG (Verordening (EU) 2016/679) en in de Algemene Voorwaarden. “Persoonsgegevens”, “Verwerking”, “Betrokkene”, “Inbreuk in verband met persoonsgegevens” (“Datalek”) en “Subverwerker” hebben de betekenis van de AVG. “Dienst”, “Document”, “Rapport”, “Bestelling” en “Platform” hebben de betekenis van de Algemene Voorwaarden.

Artikel 2 — Voorwerp, aard, doel en duur

Het voorwerp, de aard en het doel van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen zijn beschreven in Bijlage A. De verwerking duurt zolang als nodig is voor de uitvoering van de Dienst en eindigt overeenkomstig artikel 11 van deze DPA.

Artikel 3 — Rolverdeling

Voor de persoonsgegevens vervat in de aangeleverde documenten treedt de Klant op als verwerkingsverantwoordelijke en ST-SCAN als verwerker in de zin van artikel 4, lid 8 AVG. De Klant staat ervoor in dat hij over een geldige rechtsgrond beschikt en zijn informatieverplichtingen jegens de betrokkenen nakomt (de artikelen 13 en 14 AVG). 

Artikel 4 — Instructies van de Klant

ST-SCAN verwerkt de persoonsgegevens uitsluitend op gedocumenteerde instructie van de Klant, met inbegrip van doorgiften, tenzij een wettelijke verplichting ST-SCAN tot verwerking noopt; in dat geval stelt ST-SCAN de Klant voorafgaand in kennis, tenzij die wet dit verbiedt. ST-SCAN stelt de Klant in kennis indien een instructie naar haar oordeel inbreuk maakt op de AVG of andere toepasselijke bepalingen inzake gegevensbescherming.

Artikel 5 — Vertrouwelijkheid

ST-SCAN waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting tot vertrouwelijkheid zijn gebonden.

Artikel 6 — Beveiliging van de verwerking

ST-SCAN neemt de passende technische en organisatorische maatregelen overeenkomstig artikel 32 AVG om een op het risico afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zijn beschreven in Bijlage B (die verwijst naar Bijlage 2 van het Privacybeleid).

Artikel 7 — Subverwerkers

De Klant verleent ST-SCAN een algemene schriftelijke toestemming om de in Bijlage C vermelde subverwerkers in te schakelen. ST-SCAN legt elke subverwerker bij overeenkomst dezelfde verplichtingen inzake gegevensbescherming op als die welke in deze DPA zijn opgenomen (artikel 28, lid 4 AVG). ST-SCAN stelt de Klant voorafgaand in kennis van elke beoogde toevoeging of vervanging van een subverwerker. De Klant kan binnen dertig (30) dagen schriftelijk en gemotiveerd bezwaar maken. Indien de Klant tijdig bezwaar maakt, levert ST-SCAN redelijke inspanningen om de dienstverlening zo aan te passen dat de verwerking door de betrokken subverwerker wordt vermeden; indien een aanpassing technisch of economisch niet haalbaar is, heeft de Klant het recht de Hoofdovereenkomst te beëindigen of de Bestelling te annuleren. ST-SCAN blijft jegens de Klant volledig aansprakelijk voor de nakoming door haar subverwerkers.

Artikel 8 — Bijstand: rechten van betrokkenen

Rekening houdend met de aard van de verwerking verleent ST-SCAN de Klant, voor zover mogelijk, bijstand door middel van passende technische en organisatorische maatregelen bij het vervullen van diens plicht om verzoeken om uitoefening van de rechten van betrokkenen (de artikelen 12 tot en met 22 AVG) te beantwoorden. Verzoeken van betrokkenen die ST-SCAN rechtstreeks bereiken, worden onverwijld aan de Klant doorgegeven zonder zelf op het verzoek in te gaan, tenzij op instructie van de Klant.

Artikel 9 — Bijstand: beveiliging, datalekken en DPIA

ST-SCAN verleent de Klant op diens kosten bijstand bij het nakomen van diens verplichtingen uit de artikelen 32 tot en met 36 AVG. ST-SCAN stelt de Klant zonder onredelijke vertraging en uiterlijk binnen achtenveertig (48) uur na kennisname van een Datalek dat de door de Klant aangeleverde gegevens betreft hiervan in kennis, met de informatie die de Klant nodig heeft om zijn meldingsverplichtingen binnen de wettelijke termijn van 72 uur na te komen.

Artikel 10  — Internationale doorgiften

ST-SCAN en haar subverwerkers verwerken de persoonsgegevens binnen de Europese Economische Ruimte (EER). Er vindt geen doorgifte buiten de EER plaats, tenzij op gedocumenteerde instructie van de Klant en mits naleving van de artikelen 44 tot en met 46 AVG.

Artikel 11 — Teruggave en verwijdering

Na beëindiging van de Dienst wist ST-SCAN de aangeleverde Documenten en de daarin vervatte persoonsgegevens, dan wel geeft zij deze op uitdrukkelijk voorafgaand verzoek van de Klant terug, en verwijdert zij bestaande kopieën, tenzij een wettelijke bewaarplicht het bewaren ervan vereist. De documenten worden definitief van het Platform verwijderd zodra de Klant deze uit zijn klantenportaal verwijdert of uiterlijk bij beëindiging van de Hoofdovereenkomst.

Artikel 12 — Audits en inspecties

ST-SCAN stelt de Klant tegen een redelijke vergoeding alle informatie ter beschikking die nodig is om de nakoming van de in artikel 28 AVG vastgestelde verplichtingen aan te tonen, en maakt audits, met inbegrip van inspecties, door de Klant of een door de Klant gemachtigde controleur mogelijk en draagt daaraan bij. Audits vinden plaats met redelijke voorafgaande kennisgeving, tijdens de kantooruren en op zodanige wijze dat de bedrijfsvoering en de vertrouwelijkheid jegens andere klanten niet onevenredig worden verstoord.

Artikel 13 — Aansprakelijkheid

Indien een Datalek of inbreuk op de AVG te wijten is aan een aan ST-SCAN toerekenbare fout of nalatigheid als verwerker, draagt ST-SCAN de kosten van incident response en kennisgeving aan betrokkenen voor zover deze rechtstreeks uit die fout voortvloeien. De Klant beschikt over een verhaalrecht overeenkomstig artikel 82, lid 5 AVG. ST-SCAN is niet aansprakelijk voor boetes of schade die voortvloeien uit instructies van de Klant, mits ST-SCAN de Klant tijdig op de strijdigheid daarvan met de AVG heeft gewezen. De algemene aansprakelijkheidsbeperkingen van de Algemene Voorwaarden (artikel 10) blijven van toepassing voor zover dwingend recht dit toelaat.

Artikel 14 — Duur en beëindiging

Deze DPA treedt in werking bij de totstandkoming van de eerste Bestelling en blijft van kracht zolang ST-SCAN in het kader van de Hoofdovereenkomst persoonsgegevens voor de Klant verwerkt. Beëindiging van de Hoofdovereenkomst beëindigt van rechtswege deze DPA, onverminderd de bepalingen die naar hun aard van toepassing blijven.

Artikel 15 — Rangorde

In geval van tegenstrijdigheid tussen deze DPA en de Algemene Voorwaarden prevaleert deze DPA voor wat betreft de verwerking van persoonsgegevens. Deze DPA en het Privacybeleid vormen complementaire onderdelen van de Hoofdovereenkomst en worden in onderlinge samenhang uitgelegd.

Artikel 16 — Toepasselijk recht en bevoegde rechtbank

Deze DPA wordt beheerst door het Belgisch recht. Voor elk geschil zijn uitsluitend de rechtbanken van het gerechtelijk arrondissement Leuven bevoegd.

 

Ondertekening

Opgemaakt in twee exemplaren, waarvan elke Partij erkent er één te hebben ontvangen.

Voor de Verwerkingsverantwoordelijke (Klant)	Voor de Verwerker (ST Consult bv / ST-Scan)
Naam: [in te vullen]	Naam: [in te vullen]
Functie: [in te vullen]	Functie: [in te vullen]
Datum: [in te vullen]	Datum: [in te vullen]
Handtekening:	Handtekening:

 

Bijlage A —  Beschrijving van de verwerking

Onderwerp	Verwerking van persoonsgegevens vervat in de door de Klant aangeleverde contractdocumenten en informatie, met het oog op de levering van de Dienst.
Aard & doel	AI-geassisteerde, door een jurist gevalideerde analyse en/of opstelling of herziening van het Document; levering van het Rapport via het beveiligde klantenportaal.
Duur	Voor de duur van de uitvoering van de betrokken Bestelling; verwijdering conform artikel 11 van deze DPA.
Soorten persoonsgegevens	Identificatie- en contactgegevens en alle overige persoonsgegevens die de Klant in het Document opneemt (bv. gegevens van contractpartijen en contactpersonen). De Klant levert geen bijzondere categorieën (artikel 9 AVG) aan, tenzij uitdrukkelijk overeengekomen.
Categorieën betrokkenen	De Klant, zijn vertegenwoordigers en contactpersonen, en de tegenpartijen en in het Document vermelde natuurlijke personen.

 

Bijlage B — Technische en organisatorische maatregelen

ST-SCAN past de technische en organisatorische maatregelen toe die zijn beschreven in Bijlage 2 van het Privacybeleid, waaronder onder meer:

·        Toegangscontrole met sterke authenticatie en meervoudige authenticatie (MFA);

·        Versleuteling van gegevens in rust en tijdens overdracht (HTTPS/TLS, SFTP);

·        Logische scheiding van klantgegevens via een tenant-architectuur (datascheiding);

·        Audit logging van invoer, wijzigingen, verwijderingen en toegang;

·        Automatische verwijdering zodra het verwerkingsdoel is verstreken en geen wettelijke bewaarplicht meer geldt;

·        Geheimhoudingsverplichtingen voor alle personen met toegang tot persoonsgegevens;

·        Periodieke evaluatie en testing van de doeltreffendheid van de maatregelen (artikel 32, lid 1, d) AVG).

Voor de volledige en geactualiseerde beschrijving geldt Bijlage 2 van het Privacybeleid.

 

Geen doorgifte buiten de EER: alle verwerkingen vinden plaats binnen de Europese Economische Ruimte. De AI-aansturing via AWS Bedrock is uitdrukkelijk geconfigureerd op de EU-regio eu-central-1 (Frankfurt), waardoor EU-dataresidentie gegarandeerd is conform artikel 44-46 AVG 

Onafhankelijke verwerkingsverantwoordelijken. Deze partijen verwerken persoonsgegevens voor eigen doeleinden en eigen wettelijke verplichtingen, en zijn geen subverwerkers van ST-SCAN:

Mollie BV — betalingsverkeer — Nederland — geen doorgifte buiten de EER. Mollie bepaalt als vergunde betaalinstelling zelf doel en middelen van de verwerking van betaalgegevens en treedt daarvoor op als zelfstandige verwerkingsverantwoordelijke.

Belgisch Mobile ID nv / itsme® : Identiteitsverificatie via itsme® - België — geen doorgifte buiten de EER