Verwerkersovereenkomst
WorkBaseOnline B.V.
Laatst bijgewerkt: 26 augustus 2026
Versie 2.0, augustus 2026
Wanneer je met een van onze producten werkt, leg je gegevens vast van de mensen die je vervoert, van je vrijwilligers en van je medewerkers. Dat zijn persoonsgegevens: namen, adressen, telefoonnummers, e-mailadressen. In de Algemene Verordening Gegevensbescherming (hierna: AVG) ben jij daarvoor de verwerkingsverantwoordelijke. Wij zijn verwerker, omdat wij die gegevens namens jou verwerken zodra je onze producten en diensten gebruikt. In deze overeenkomst lees je welke afspraken daarover gelden.
Deze tekst vervangt versie 1.0 van juli 2026. Nieuw zijn onder meer de afspraken over ondersteuning en meekijken op afstand, over bijstand bij een gegevensbeschermingseffectbeoordeling, een termijn voor het melden van een datalek, en een regeling voor het wijzigen van deze overeenkomst. De verwerkersovereenkomst van WorkBase B.V. is in dezelfde week op dezelfde leest geschoeid; het blijven twee vennootschappen met eigen documenten.
1. Wat de begrippen betekenen
Voor de leesbaarheid leggen we eerst een aantal termen uit.
Producten en diensten: de webtoepassingen die wij onder eigen naam uitbrengen - op dit moment BuurtRit - met de portalen, de mobiele schermen, de koppelingen en de ondersteuning die daarbij horen.
Omgeving: jouw deel van het product, met de gegevens die jouw organisatie daarin vastlegt: deelnemers, vrijwilligers, ritten, voertuigen, declaraties en wat je daar verder in opneemt.
Persoonsgegevens: alle gegevens in jouw omgeving die informatie geven over een geïdentificeerde of identificeerbare natuurlijke persoon. Denk aan een naam, een adres of een telefoonnummer.
Betrokkene: de persoon op wie de persoonsgegevens betrekking hebben, of zijn of haar vertegenwoordiger. Bij ons zijn dat vooral deelnemers aan het vervoer en vrijwilligers.
Verwerkingsverantwoordelijke: degene die bepaalt waarom en hoe persoonsgegevens worden verwerkt. Dat ben jij.
Verwerker: degene die door de verwerkingsverantwoordelijke is ingeschakeld om persoonsgegevens te verwerken. Dat zijn wij.
Subverwerker: een partij die wij op onze beurt inschakelen en die daarbij persoonsgegevens uit jouw omgeving verwerkt. Artikel 9 noemt ze bij naam.
Verwerkersovereenkomst: dit document, waarin staat wat wij als verwerker voor jou en tegenover jou doen.
2. Wie de partijen zijn
Lees je in deze overeenkomst 'je' of 'jouw', dan gaat het over jou als klant. Lees je 'wij', 'we' of 'ons', dan bedoelen we:
WorkBaseOnline B.V.
De Bocht 6, 5281 PE Boxtel
Kamer van Koophandel 93579241
btw-nummer NL866456454B01
telefoon 088-0159750, e-mail support@workbaseonline.nl
Wij hebben geen functionaris voor de gegevensbescherming; die is voor een organisatie van onze omvang en aard niet verplicht. Vragen over deze overeenkomst en over persoonsgegevens kun je sturen aan het adres hierboven.
3. Wanneer deze overeenkomst geldt
Deze verwerkersovereenkomst hoort bij de overeenkomst die wij met je sluiten en komt tot stand zodra je onze producten of diensten gaat gebruiken. Zij loopt zolang die overeenkomst loopt en eindigt van rechtswege zodra die eindigt. Wat naar zijn aard bedoeld is om daarna door te lopen - geheimhouding, het melden van inbreuken, en de afwikkeling in artikel 18 - blijft daarna gelden.
4. Wie waarvoor verantwoordelijk is
Jij bepaalt welke persoonsgegevens je vastlegt, met welk doel, op welke grondslag en hoe lang je ze bewaart. Je staat ervoor in dat je die grondslag hebt en dat je de betrokkenen informeert zoals de AVG voorschrijft. Wij verwerken die gegevens uitsluitend om onze producten en diensten te leveren en te onderhouden.
Voor een deelnemer of vrijwilliger betekent dat: met vragen over zijn of haar gegevens gaat hij naar jouw organisatie, niet naar ons. Wij weten niet waarom een gegeven is vastgelegd en mogen dat ook niet zelf beoordelen.
Elke organisatie heeft haar eigen omgeving met haar eigen database. Wat jij vastlegt, is niet zichtbaar voor een andere organisatie.
Naast onze rol als verwerker verwerken wij ook gegevens van jou als klant - je contactpersonen, je facturen, je abonnement. Daarvoor zijn wij zelf verwerkingsverantwoordelijke; daarover gaat onze privacyverklaring, niet deze overeenkomst.
5. Wat wij met de gegevens doen, en wat niet
Wij verwerken de persoonsgegevens uitsluitend op jouw instructie. Het gebruik van onze producten en diensten door jou geldt als die instructie; aanvullende instructies leg je schriftelijk of per e-mail vast.
Wij gebruiken de gegevens uit jouw omgeving niet voor eigen doeleinden. Dat betekent concreet: geen marktoverzichten of statistieken, geen ontwikkelen of testen van nieuwe functies met jouw gegevens - daarvoor gebruiken we een aparte omgeving met verzonnen gegevens - geen profielen, en geen verstrekking of verkoop aan derden. Buiten de subverwerkers en de dienst in artikel 9 geven wij jouw persoonsgegevens aan niemand door, behalve wanneer artikel 16 dat voorschrijft.
Menen wij dat een instructie van jou in strijd is met de AVG of andere wetgeving over persoonsgegevens, dan melden wij dat direct en mogen wij de uitvoering opschorten.
6. Om welke gegevens en welke personen het gaat
Wat er in jouw omgeving staat, bepaal je zelf. Bij normaal gebruik van BuurtRit gaat het om de volgende groepen betrokkenen:
• deelnemers aan het vervoer
• vrijwilligers, waaronder chauffeurs en telefonisten
• coördinatoren, beheerders en medewerkers binnen jouw organisatie
• contactpersonen bij organisaties waarmee je samenwerkt
Van deze betrokkenen worden voor zover nodig de volgende gegevens verwerkt:
• contactgegevens: naam, adres, woonplaats, telefoonnummer, e-mailadres
• ritgegevens: ophaaladres, bestemming, datum en tijd, begeleiding, hulpmiddelen
• aantekeningen die jouw organisatie zelf bij een deelnemer of een rit vastlegt
• gegevens voor de declaratie en de facturering van ritten
• inloggegevens en rechten van gebruikers van het portaal
Aantekeningen bij een deelnemer kunnen gegevens over gezondheid bevatten, bijvoorbeeld dat iemand een rolstoel of een rollator gebruikt of begeleiding nodig heeft. Dat zijn bijzondere persoonsgegevens in de zin van artikel 9 AVG. Jij bepaalt als verwerkingsverantwoordelijke of je die vastlegt en op welke grondslag; wij leggen ze uitsluitend vast omdat jij ze invoert, en behandelen ze met dezelfde zorg als de rest.
Brengen wij een nieuw product uit waarin andere gegevens of andere groepen betrokkenen voorkomen, dan leggen wij dat vast in een nieuwe versie van deze overeenkomst voordat je dat product gaat gebruiken.
7. Geheimhouding
Iedereen die bij ons met jouw persoonsgegevens in aanraking kan komen, is tot geheimhouding verplicht: uit hoofde van de arbeidsovereenkomst, uit hoofde van een opdracht, of - bij subverwerkers - uit hoofde van het contract dat wij met hen hebben. Alleen medewerkers die het voor hun werk nodig hebben, krijgen toegang.
8. Hoe wij de gegevens beveiligen
Wij nemen passende technische en organisatorische maatregelen, afgestemd op de stand van de techniek, de uitvoeringskosten, en de aard, omvang en risico's van de verwerking. Concreet gaat het om het volgende:
• Elke organisatie heeft een eigen, gescheiden database. Gegevens van verschillende organisaties staan niet bij elkaar in één bestand.
• Het verkeer tussen de browser van de gebruiker en het portaal verloopt versleuteld via HTTPS.
• Toegang tot het portaal verloopt via persoonlijke accounts, met per gebruiker een rol die bepaalt wat hij of zij mag zien en wijzigen. Jij beheert die accounts en rollen zelf.
• Een deelnemer die zijn eigen ritten inziet, doet dat via een persoonlijke link die alleen zijn eigen gegevens toont, zonder toegang tot de rest van de omgeving.
• Van alle databases wordt elke nacht een back-up gemaakt. Elke back-up wordt daarna automatisch teruggezet ter controle; lukt dat niet, dan geldt de back-up als mislukt en volgt er een melding. Back-ups worden veertien dagen bewaard.
• Logbestanden blijven dertig dagen bewaard en worden daarna verwijderd. Daarin staat welk verzoek is gedaan, niet wat erin stond: wij loggen geen inhoud en geen zoekopdrachten.
• Toegang tot onze systemen is beperkt tot de medewerkers die het voor hun werk nodig hebben.
Wij beoordelen deze maatregelen periodiek en passen ze aan wanneer daar aanleiding toe is. Heb je vragen of heb je ons nodig bij een gegevensbeschermingseffectbeoordeling, neem dan contact op via support@workbaseonline.nl (zie ook artikel 14).
9. Subverwerkers en externe diensten
Je geeft ons toestemming om subverwerkers in te schakelen. Op dit moment zijn dat:
• TransIP B.V. (Nederland) - levert de servers en de netwerkinfrastructuur waarop onze producten en de databases draaien, en beheert de domeinnamen.
• Edisplay srl, handelend onder de naam Turbo-SMTP (Via Palmanova 24, 20132 Milaan, Italië) - verzorgt de verzending van e-mail vanuit onze producten, zoals bevestigingen van ritten en het herstellen van een wachtwoord. Daarbij worden het e-mailadres van de ontvanger en de inhoud van het bericht verwerkt.
Daarnaast bevragen wij voor het controleren en aanvullen van adressen de open adressendienst PDOK van de Nederlandse overheid. Daarbij gaan alleen een postcode en een huisnummer mee, zonder naam of andere gegevens erbij, en wij ontvangen straat, plaats en coördinaat terug. Dat is nodig om een rit te kunnen plannen.
Wij leggen elke subverwerker dezelfde verplichtingen op als in deze overeenkomst staan, en blijven tegenover jou aansprakelijk voor wat zij doen. Wijzigen wij de lijst - een nieuwe subverwerker of een vervanging - dan laten wij je dat vooraf weten, waar mogelijk ten minste één maand van tevoren. Ben je het er niet mee eens, dan mag je de overeenkomst per direct beëindigen.
10. Waar de gegevens staan, en doorgifte
De gegevens van onze producten staan op servers in Nederland, bij TransIP B.V. Van onze subverwerkers verwerkt Turbo-SMTP in Italië; dat is binnen de Europese Economische Ruimte. PDOK is een dienst van de Nederlandse overheid.
Wij behouden ons het recht voor persoonsgegevens buiten de Europese Economische Ruimte te laten verwerken. Doen wij dat, dan gebeurt dat alleen wanneer:
• de Europese Commissie voor dat land of die organisatie een adequaatheidsbesluit heeft genomen (artikel 45 AVG); of
• er passende waarborgen zijn getroffen, zoals de modelcontractbepalingen of bindende bedrijfsvoorschriften (artikelen 46 en 47 AVG); of
• aan één van de voorwaarden van artikel 49 lid 1 AVG is voldaan.
Wij melden zo'n doorgifte vooraf, op dezelfde manier als een wijziging in de subverwerkers (artikel 9).
11. Ondersteuning en meekijken op afstand
Bij ondersteuning kijken wij mee in jouw omgeving of nemen wij je scherm over. Dat gebeurt alleen op jouw verzoek of met jouw toestemming, en alleen voor zover nodig om je vraag te beantwoorden of een storing op te lossen.
Stuur je ons daarbij gegevens - een schermafdruk, een uitdraai, een kopie van een database om een probleem na te bootsen - dan gebruiken wij die uitsluitend daarvoor, bewaren wij ze niet langer dan nodig, en verwijderen wij ze daarna. Wij nemen zulke gegevens niet op in onze eigen administratie en gebruiken ze niet om onze producten te verbeteren.
Hetzelfde geldt voor updates en onderhoud: wij voeren die uit op de omgeving zoals die is, en nemen er geen gegevens uit mee.
12. Rechten van betrokkenen
Betrokkenen hebben op grond van de AVG rechten: inzage, rectificatie, wissing, beperking, bezwaar en overdraagbaarheid van hun gegevens. Die rechten oefenen zij uit bij jou, want jij bent de verwerkingsverantwoordelijke.
Wij helpen je daarbij met passende technische en organisatorische maatregelen: je kunt de gegevens in jouw omgeving zelf inzien, corrigeren, verwijderen en exporteren, en waar dat niet lukt helpen wij je binnen een redelijke termijn. Bereikt zo'n verzoek ons rechtstreeks, dan handelen wij het niet zelf af maar sturen wij het door naar jou, en laten wij de betrokkene weten dat wij dat gedaan hebben. Verzoeken kun je sturen aan support@workbaseonline.nl.
13. Als er iets misgaat: inbreuken op de beveiliging
Ontdekken wij een inbreuk in verband met persoonsgegevens - een datalek - dan melden wij dat onverwijld aan jou, en in elk geval binnen 48 uur nadat wij ermee bekend zijn geworden. Wij melden aan jou, niet aan de Autoriteit Persoonsgegevens: die melding doe jij, binnen 72 uur, want jij bent de verwerkingsverantwoordelijke.
In onze melding staat ten minste:
• wat er is gebeurd, en waar mogelijk om welke categorieën en om hoeveel betrokkenen en gegevens het gaat
• bij wie je terechtkunt voor meer informatie
• wat de waarschijnlijke gevolgen zijn, voor zover die op dat moment bekend zijn
• welke maatregelen wij hebben genomen of voorstellen om de inbreuk aan te pakken en de gevolgen te beperken
Wordt later meer bekend, dan vullen wij de melding aan. Wij ondersteunen je bij de verdere analyse, bij je melding aan de Autoriteit Persoonsgegevens en, als dat aan de orde is, bij het informeren van de betrokkenen. Wij houden van elke inbreuk een vastlegging bij en stellen die op verzoek aan jou beschikbaar.
14. Bijstand bij beoordelingen en overleg met de toezichthouder
Moet je een gegevensbeschermingseffectbeoordeling (DPIA) uitvoeren of vooraf overleggen met de Autoriteit Persoonsgegevens, dan helpen wij je daarbij met de informatie waarover wij beschikken: over de werking van onze producten, over de gegevensstromen en over de beveiligingsmaatregelen. Voor werk dat daar redelijkerwijs buiten valt, mogen wij onze gebruikelijke tarieven in rekening brengen; dat spreken wij vooraf af.
15. Controle en audit
Je mag controleren of wij ons aan deze overeenkomst houden. Wij stellen daarvoor alle informatie beschikbaar die nodig is om aan te tonen dat wij onze verplichtingen nakomen.
Wil je een controle op locatie laten uitvoeren, meld dat dan ten minste vier weken van tevoren. De controle wordt uitgevoerd door jou of door een onafhankelijke deskundige die tot geheimhouding verplicht is, en verstoort onze bedrijfsvoering zo min mogelijk. De kosten van de controle zijn voor jou, ook onze kosten voor de ondersteuning ervan - tenzij uit de controle blijkt dat wij onze verplichtingen niet zijn nagekomen; dan zijn onze kosten voor ons en herstellen wij het gebrek zo snel mogelijk.
16. Verzoeken van derden en van de overheid
Wij verstrekken jouw persoonsgegevens niet aan derden, tenzij jij daar opdracht toe geeft of wij daartoe wettelijk verplicht zijn. Eist een overheidsinstantie of een toezichthouder toegang, dan stellen wij je daarvan vooraf op de hoogte, tenzij dat wettelijk verboden is. Wij beoordelen zo'n vordering op rechtmatigheid en beperken de verstrekking tot wat werkelijk gevorderd wordt.
17. Wat wij van jou verwachten
Je zorgt ervoor dat de inhoud, het gebruik en de verwerking van de persoonsgegevens niet onrechtmatig zijn en geen inbreuk maken op rechten van anderen. Je beheert de accounts en rechten in jouw omgeving, verwijdert accounts van mensen die zijn gestopt, en gaat zorgvuldig om met inloggegevens. Je bepaalt zelf je bewaartermijnen en zorgt dat jouw omgeving daaraan voldoet; onze producten geven je de middelen om gegevens op te schonen.
18. Aan het eind: teruggave en vernietiging
Zolang de overeenkomst loopt, kun je je gegevens op elk moment zelf exporteren.
Eindigt de overeenkomst, dan kun je tot drie maanden daarna je persoonsgegevens opvragen; wij leveren dan een volledige kopie van de database van jouw organisatie. Jij kiest of wij de gegevens daarna teruggeven of vernietigen; kies je niet, dan vernietigen wij ze. Na die drie maanden vernietigen wij alle persoonsgegevens uit jouw omgeving, inclusief de back-ups zodra die hun bewaartermijn van veertien dagen hebben doorlopen - tenzij op ons een wettelijke plicht rust om ze te bewaren. Op jouw verzoek bevestigen wij de vernietiging schriftelijk.
19. Aansprakelijkheid
Voor deze verwerkersovereenkomst geldt de aansprakelijkheidsregeling uit onze algemene voorwaarden.
Wat wij onderling afspreken, werkt niet tegenover anderen: een betrokkene kan op grond van artikel 82 AVG rechtstreeks schadevergoeding vorderen, en de Autoriteit Persoonsgegevens kan op grond van artikel 83 AVG een boete opleggen. Een beperking tussen ons doet daar niets aan af. Betaalt een van ons meer dan het deel dat hem toekomt, dan kan hij dat op de ander verhalen naar rato van ieders aandeel in de schade (artikel 82 lid 5 AVG).
20. Wijziging van deze overeenkomst
Verandert de wet, verandert de manier waarop wij werken, of verandert er iets in de subverwerkers, dan mogen wij deze overeenkomst aanpassen. Een wijziging van betekenis kondigen wij vooraf aan, waar mogelijk ten minste één maand van tevoren, en elke versie krijgt een eigen nummer en datum. Ben je het niet eens met een wijziging die je wezenlijk raakt, dan mag je de overeenkomst beëindigen tegen de datum waarop de wijziging ingaat.
21. Rangorde, ongeldige bepalingen en toepasselijk recht
Spreken deze verwerkersovereenkomst en de overige afspraken tussen ons elkaar tegen op het punt van persoonsgegevens, dan gaat deze overeenkomst voor. Blijkt een bepaling ongeldig, dan blijven de overige bepalingen gelden en vervangen wij die bepaling door één die er zo dicht mogelijk bij komt.
Op deze overeenkomst is Nederlands recht van toepassing. Geschillen leggen wij voor aan de bevoegde rechter in het arrondissement Oost-Brabant.
WorkBaseOnline B.V.
De Bocht 6
5281 PE Boxtel