1. Partijen

• Opdrachtgever / verwerkingsverantwoordelijke: de gebruiker van de dienst die persoonsgegevens via OmniVaults verwerkt (hierna: “Opdrachtgever”).
• Opdrachtnemer / verwerker: OmniVaults (eenmanszaak), KvK [KVK-Nummer], BTW-ID [BTW-ID], contact support@omnivaults.nl (hierna: “OmniVaults”).

Deze verwerkersovereenkomst (de “Overeenkomst”) is een bijlage bij de algemene voorwaarden en de privacyverklaring en geldt uitsluitend voor zover persoonsgegevens worden verwerkt via de dienst.

2. Onderwerp en duur van de verwerking (art. 28.3.h AVG)

• Onderwerp: opslag, beheer en doorvoer van bestanden via de cloud-opsladdedienst van OmniVaults.
• Natuur en doel: bewaring van end-to-end-versleutelde bestanden conform de instructies van de Opdrachtgever (upload, download, delen, verwijderen) via de dashboard-interface.
• Type persoonsgegevens: de categorieën en types persoonsgegevens die de Opdrachtgever in de bestanden verwerkt; de inhoud is voor OmniVaults onleesbaar (zero-knowledge).
• Categorieën betrokkene(n): de betrokkenen die de Opdrachtgever in de bestanden verwerkt.
• Duur: de Overeenkomst is geldig zolang het abonnement van de Opdrachtgever actief is.

3. Verplichtingen van de verwerker (art. 28.3 AVG)

OmniVaults verbindt zich ertot:

• Documenteerde instructies (a): persoonsgegevens uitsluitend te verwerken conform de documenteerde instructies van de Opdrachtgever, waaronder de algemene voorwaarden en deze Overeenkomst; bij twijfel over de wettelijkheid van een instructie de verwerking stil te leggen en de Opdrachtgever te informeren.
• Vertrouwelijkheid (b): personen die bij de verwerking zijn betrokken te verplichten tot vertrouwelijkheid of een wettelijke plicht tot geheimhouding.
• Beveiliging (c): de passende technische en organisatorische maatregelen uit art. 32 AVG toe te passen, waaronder: end-to-end-versleuteling (AES-256-GCM), sleutelafleiding via PBKDF2-SHA-256 (210.000 iteraties) uitsluitend in de browser van de Opdrachtgever, TLS bij transport, strikte toegangsbeheersing tot de infrastructuur, en opslag uitsluitend op servers in de EU/EEA.
• Subverwerkers (d): subverwerkers uitsluitend met voorafgaande, schriftelijke toestemming in te schakelen. Huidige subverwerkers: Stripe (betalingen) en de EU/EEA-hostingprovider (fysieke opslag). Wijzigingen worden tijdig aangekondigd, met de mogelijkheid voor de Opdrachtgever bezwaar te maken.
• Rechten van betrokkene(n) (e): de Opdrachtgever bij te staan bij de uitvoering van verzoeken van betrokkenen (art. 16–21 AVG), voor zover dit binnen de mogelijkheden van de zero-knowledge-architectuur ligt.
• Bijstand (f): de Opdrachtgever, rekening houdend met de aard van de verwerking, bij te staan met passende maatregelen inzake beveiliging en de meldplicht bij persoonsgegevenslekken, en — indien van toepassing — bij een gegevensbeschermingseffectbeoordeling (DPIA).
• Verwijderen of teruggeven (g): na beëindiging van de dienstverlening de persoonsgegevens te verwijderen of terug te geven, tenzij een EU/EEA-regeling voorschrijft dat de gegevens bewaard blijven.
• Audit (h): de voor de audit benodigde informatie ter beschikking te stellen en audits op een redelijke, vooraf aangekondigde manier mogelijk te maken.

4. Verplichtingen van de verwerkingsverantwoordelijke

De Opdrachtgever garandeert dat de verwerking van persoonsgegevens via de dienst rechtmatig is, dat de informatieplichten (art. 13–14 AVG) zijn nagekomen en dat de instructies aan OmniVaults niet in strijd zijn met de AVG. De Opdrachtgever is zelf verantwoordelijk voor de bewaring van zijn wachtwoord en sleutels; door het zero-knowledge-model kan OmniVaults inhoud niet terugvinden of herstellen.

5. Melding van persoonsgegevenslekken

OmniVaults meldt een bevestigd persoonsgegevenslek aan de Opdrachtgever zo spoedig mogelijk na constatering, met beschrijving van de aard van het lek, de categorieën betrokkene(n) en getroffen gegevens, en de genomen of voorgestelde maatregelen. Voor zover de inhoud van bestanden zou zijn betrokken, is dit niet vast te stellen wegens de end-to-end-versleuteling; de meldplicht strekt zich uit tot account- en metagegevens.

6. Opslaglocatie & overdrachten

Persoonsgegevens worden uitsluitend op servers binnen de EU/EEA verwerkt. Er vindt geen overdracht van persoonsgegevens buiten de EU/EEA plaats. Subverwerkers verwerken persoonsgegevens uitsluitend binnen de EU/EEA.

7. Aansprakelijkheid

De Opdrachtgever is aansprakelijk voor schade die voortvloeit uit een instructie die in strijd is met de AVG. OmniVaults is aansprakelijk voor schade als gevolg van inbreuk op deze Overeenkomst of de AVG, met inachtneming van de aansprakelijkheidsbeperking in de algemene voorwaarden (het in de voorafgaande drie maanden betaalde abonnementsbedrag, met een absolute maximum van € 100,--), voor zover dit niet in strijd is met de wettelijke minimumaansprakelijkheid van de verwerker.

8. Beëindiging & verwijdering

Na beëindiging van het abonnement of deze Overeenkomst staat OmniVaults de Opdrachtgever in de gelegenheid zijn gegevens te downloaden. Daarna worden de versleutelde bestanden en metadata binnen 30 dagen definitief verwijderd, tenzij wettelijke bewaarplichten dit vereisen. De verplichtingen uit deze Overeenkomst die van nature langer gelden (vertrouwelijkheid, aansprakelijkheid) blijven onverminderd in stand.

9. Toepasselijk recht

Op deze Overeenkomst is Nederlands recht van toepassing. Geschillen worden beslecht door de bevoegde rechter in Nederland.

10. Ondertekening

Deze Overeenkomst komt tot stand door het afsluiten van een abonnement op OmniVaults en het aanvaarden van de algemene voorwaarden; de elektronische vorm is bepalend.

• OmniVaults (eenmanszaak) — KvK [KVK-Nummer] — BTW [BTW-ID] — support@omnivaults.nl
• Opdrachtgever: [naam / bedrijfsnaam] — [KvK-nummer] — [e-mailadres]

Inwerking getreden: 12 september 2026. Laatste wijziging: 12 september 2026.