Verwerkersovereenkomst FlowQi

Ingangsdatum: 27 augustus 2026 · Versie: 1.1 · Taal: Nederlands: vertaling ter informatie; de Engelse versie is bindend

Deze verwerkersovereenkomst (de “Verwerkersovereenkomst”) maakt deel uit van de algemene voorwaarden (de “Overeenkomst”) tussen jou (de “Verwerkingsverantwoordelijke”) en de FlowQi-entiteit die op grond van artikel 2.1 van de voorwaarden wordt bepaald (de “Verwerker”, “FlowQi”). Zij regelt de verwerking van persoonsgegevens die FlowQi namens jou uitvoert.

De meeste klanten hoeven niets te ondertekenen: Bijlage C van de voorwaarden bevat al verwerkersbepalingen die voldoen aan artikel 28 lid 3 AVG, en die gelden automatisch. Deze verwerkersovereenkomst is dezelfde toezegging als los document, voor inkoop- en leveranciersbeoordelingen die daarom vragen. Heb je met FlowQi een afzonderlijke verwerkersovereenkomst ondertekend, dan gaat die ondertekende overeenkomst voor op zowel deze pagina als Bijlage C.

1. Definities

Begrippen als “persoonsgegevens”, “verwerking”, “verwerkingsverantwoordelijke”, “verwerker”, “betrokkene”, “toezichthoudende autoriteit” en “inbreuk in verband met persoonsgegevens” hebben de betekenis die de AVG (Verordening (EU) 2016/679) daaraan geeft en, voor het Verenigd Koninkrijk, de UK GDPR en de Data Protection Act 2018. “Klantgegevens” en overige begrippen met een hoofdletter hebben de betekenis die de Overeenkomst daaraan geeft. “Wetgeving inzake gegevensbescherming” betekent de AVG, de UK GDPR, de Nederlandse UAVG en iedere andere toepasselijke wetgeving inzake gegevensbescherming.

2. Rollen en reikwijdte

2.1 In de verhouding tussen partijen is de Verwerkingsverantwoordelijke de verwerkingsverantwoordelijke en is FlowQi de verwerker van de persoonsgegevens in de Klantgegevens. Is de Verwerkingsverantwoordelijke zelf verwerker voor een derde, dan treedt FlowQi op als subverwerker.

2.2 FlowQi verwerkt persoonsgegevens uitsluitend om de Diensten te leveren en te ondersteunen, en op de gedocumenteerde instructies van de Verwerkingsverantwoordelijke, waartoe de Overeenkomst, deze Verwerkersovereenkomst en het gebruik van de beheerinstellingen behoren. FlowQi informeert de Verwerkingsverantwoordelijke indien een instructie naar haar oordeel in strijd is met de wetgeving inzake gegevensbescherming, tenzij het haar wettelijk verboden is dat te doen.

2.3 Het onderwerp, de duur, de aard, het doel, de soorten persoonsgegevens en de categorieën betrokkenen staan beschreven in Bijlage I.

2.4 AI-functies. AI-ondersteunde functies zijn op dit moment niet ingeschakeld in het product, en geen enkele AI-aanbieder verwerkt op dit moment Klantgegevens. Worden dergelijke functies geïntroduceerd, dan mag FlowQi prompts, invoer en uitkomsten als Klantgegevens verwerken, uitsluitend om de Diensten te leveren, te beveiligen, te debuggen en te ondersteunen. Iedere ingeschakelde AI-aanbieder van derden wordt als subverwerker vermeld voordat de functie wordt geactiveerd, en het is die aanbieder contractueel verboden om eigen modellen op Klantgegevens te trainen.

3. Verplichtingen van de verwerker

FlowQi zal:

a. persoonsgegevens uitsluitend verwerken op gedocumenteerde instructies, mede voor internationale doorgiftes, tenzij het recht van de EU, van een EU-lidstaat of van het VK anders vereist, in welk geval zij de Verwerkingsverantwoordelijke informeert tenzij dat wettelijk verboden is; b. waarborgen dat de personen die gemachtigd zijn persoonsgegevens te verwerken tot geheimhouding zijn gehouden; c. de technische en organisatorische maatregelen uit Bijlage II treffen, zoals artikel 32 AVG vereist; d. de voorwaarden voor het inschakelen van subverwerkers uit artikel 5 naleven; e. de Verwerkingsverantwoordelijke, voor zover mogelijk en door middel van passende technische en organisatorische maatregelen, bijstaan bij het beantwoorden van verzoeken van betrokkenen op grond van de artikelen 12 tot en met 23, met redelijke bijstand zonder onnodige vertraging en, waar haalbaar, binnen 10 werkdagen na het verzoek; f. de Verwerkingsverantwoordelijke bijstaan bij beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging op grond van de artikelen 32 tot en met 36, rekening houdend met de aard van de verwerking en de bij FlowQi beschikbare informatie; g. naar keuze van de Verwerkingsverantwoordelijke alle persoonsgegevens verwijderen of teruggeven bij het einde van de dienstverlening, en bestaande kopieën verwijderen tenzij bewaring wettelijk vereist is, zoals bepaald in artikel 7; en h. de informatie beschikbaar stellen die nodig is om naleving aan te tonen, en audits mogelijk maken en daaraan bijdragen, zoals bepaald in artikel 8.

4. Beveiliging

FlowQi treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, zoals beschreven in Bijlage II, waaronder versleuteling tijdens transport en in rust, toegangscontrole en toegang volgens het principe van minimale rechten, mogelijkheden voor meervoudige authenticatie, logging en monitoring, weerbaarheid en back-up, en periodieke toetsing van de maatregelen. FlowQi mag die maatregelen bijwerken, mits het algehele beschermingsniveau niet wordt verlaagd.

5. Subverwerkers

5.1 De Verwerkingsverantwoordelijke verleent algemene schriftelijke toestemming aan FlowQi om subverwerkers in te schakelen voor de verwerking van persoonsgegevens, mits FlowQi:

a. een actuele lijst van subverwerkers bijhoudt, gepubliceerd op flowqi.com/nl/legal/subverwerkers en op verzoek beschikbaar via legal@flowqi.com; b. aan iedere subverwerker verplichtingen inzake gegevensbescherming oplegt die ten minste even beschermend zijn als deze Verwerkersovereenkomst; en c. aansprakelijk blijft voor de prestaties van haar subverwerkers, zoals artikel 28 lid 4 AVG vereist.

5.2 FlowQi informeert de Verwerkingsverantwoordelijke ten minste 30 dagen voor het voorgenomen toevoegen of vervangen van een subverwerker die Klantgegevens verwerkt. De Verwerkingsverantwoordelijke kan binnen die termijn bezwaar maken op redelijke gronden die verband houden met gegevensbescherming. Partijen spannen zich te goeder trouw in om het bezwaar op te lossen; lukt dat niet, dan kan de Verwerkingsverantwoordelijke het betreffende deel van de Overeenkomst zonder boete beëindigen en ontvangt hij restitutie van de vergoedingen die zijn betaald voor het ongebruikte resterende deel van de lopende abonnementsperiode.

6. Internationale doorgiftes

6.1 FlowQi hanteert gescheiden EU- en US-dataclusters. Welk cluster de Klantgegevens bevat, volgt de contracterende entiteit op grond van artikel 2.1 van de voorwaarden, en komt overeen met Bijlage B.7 daarvan. Voor klanten die contracteren met FlowQi Nederland B.V. of FlowQi International B.V. worden Klantgegevens gehost in de EU/EER, hoofdzakelijk bij Supabase (Frankfurt, Duitsland) en DigitalOcean (Amsterdam, Nederland), met aanvullende EU-infrastructuur van Scaleway (Frankrijk). Voor klanten die contracteren met FlowQi, Inc. worden Klantgegevens gehost in de Verenigde Staten. Klanten die in Turkije zijn gevestigd, kiezen bij het aanmaken van hun account hun contracterende entiteit en daarmee hun cluster; artikel 6.3 gaat over de KVKK.

Sommige subverwerkers opereren wereldwijd. Waar persoonsgegevens buiten de EER of het VK worden doorgegeven, baseert FlowQi zich op een passend doorgiftemechanisme, te weten:

• de modelcontractbepalingen van de Europese Commissie (2021/914), die door verwijzing zijn opgenomen voor doorgiftes vanuit de EER;
• het Britse International Data Transfer Addendum (IDTA) voor doorgiftes vanuit het VK; en
• waar van toepassing, een adequaatheidsbesluit of een ander geldig mechanisme op grond van hoofdstuk V AVG.

6.2 Voor de modelcontractbepalingen geldt: Module Twee (verwerkingsverantwoordelijke naar verwerker) of Module Drie (verwerker naar verwerker) is van toepassing al naargelang; de Verwerkingsverantwoordelijke is gegevensexporteur en FlowQi, of de betreffende entiteit, is gegevensimporteur; de optionele aansluitclausule is van toepassing; het toepasselijke recht en de bevoegde rechter zijn die van Nederland, of zoals de modelcontractbepalingen vereisen; en de Bijlagen I tot en met III van deze Verwerkersovereenkomst vullen de bijlagen bij de modelcontractbepalingen. Bij tegenstrijdigheid gaan de modelcontractbepalingen voor op deze Verwerkersovereenkomst waar het doorgiftes betreft.

6.3 Turkije (KVKK). Is de Verwerkingsverantwoordelijke in Turkije gevestigd, of is de verwerking onderworpen aan de Turkse wet bescherming persoonsgegevens nr. 6698 ("KVKK"), dan geldt Bijlage E van de voorwaarden naast deze Verwerkersovereenkomst en gaat deze voor, voor zover dat nodig is om te voldoen aan dwingend Turks recht inzake gegevensbescherming. Persoonsgegevens die onder de KVKK vallen, worden niet uitsluitend op grond van de modelcontractbepalingen buiten Turkije doorgegeven. Partijen gebruiken een naar Turks recht erkend mechanisme: een adequaatheidsbesluit van de Kurul, het toepasselijke standaardcontract van de Kurul, goedgekeurde bindende bedrijfsvoorschriften, of een ander rechtmatig mechanisme op grond van de KVKK. Wordt een standaardcontract gebruikt, dan meldt de verantwoordelijke partij dit binnen 5 werkdagen na volledige ondertekening bij de Kurul; is in dat contract niets aangewezen, dan is de gegevensexporteur verantwoordelijk.

7. Teruggave en verwijdering

Bij beëindiging of afloop van de Diensten houdt FlowQi de Klantgegevens gedurende 30 dagen beschikbaar om te exporteren, waarna FlowQi de persoonsgegevens binnen 90 dagen verwijdert of de-identificeert, met uitzondering van back-upkopieën die volgens de gebruikelijke back-upcyclus van FlowQi worden verwijderd, en tenzij bewaring wettelijk vereist is. Dezelfde termijnen van 30 en 90 dagen gelden voor een verstreken proefperiode, gerekend vanaf het einde daarvan, en voor een gratis account dat na twaalf maanden zonder aanmelding wordt gesloten. De levenscyclus in het product, van prullenbak naar archief naar herstel naar definitieve verwijdering, laat de Verwerkingsverantwoordelijke de verwijdering gedurende de looptijd zelf beheren.

8. Audits

FlowQi stelt de informatie beschikbaar die redelijkerwijs nodig is om de naleving van deze Verwerkersovereenkomst aan te tonen. Partijen proberen auditverzoeken eerst te beantwoorden met documentatie, beveiligingssamenvattingen, certificeringen en auditrapporten van derden. Audits ter plaatse of technische audits zijn uitsluitend toegestaan waar dat redelijkerwijs noodzakelijk is en zijn onderworpen aan redelijke beperkingen inzake geheimhouding, beveiliging en toegang. Is een dergelijke audit gerechtvaardigd, dan mag de Verwerkingsverantwoordelijke, of een tot geheimhouding gehouden onafhankelijke auditor, FlowQi ten hoogste eenmaal per kalenderjaar auditen, en daarnaast na een inbreuk in verband met persoonsgegevens die de Klantgegevens wezenlijk raakt, met redelijke voorafgaande aankondiging, tijdens kantooruren en zonder de bedrijfsvoering van FlowQi onredelijk te verstoren. Dit artikel beperkt de bevoegdheden van een bevoegde toezichthoudende autoriteit niet.

9. Melding van inbreuken

FlowQi stelt de Verwerkingsverantwoordelijke zonder onnodige vertraging en in elk geval binnen 48 uur op de hoogte nadat zij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die Klantgegevens raakt. Dit is de termijn die artikel C.11 van de voorwaarden toezegt, en opnieuw artikel E.6 voor klanten die onder de KVKK vallen. Die termijn is bewust korter dan de 72 uur die artikel 33 AVG de Verwerkingsverantwoordelijke jegens zijn eigen toezichthouder geeft, zodat er tijd is om te handelen.

FlowQi verstrekt de bij haar redelijkerwijs beschikbare informatie om de Verwerkingsverantwoordelijke te helpen voldoen aan zijn verplichtingen op grond van de artikelen 33 en 34, waaronder, voor zover beschikbaar, de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en registraties, de waarschijnlijke gevolgen, en de getroffen of voorgestelde maatregelen.

10. Aansprakelijkheid en rangorde

De aansprakelijkheid op grond van deze Verwerkersovereenkomst is onderworpen aan de beperkingen in de Overeenkomst. Deze Verwerkersovereenkomst gaat voor op de rest van de Overeenkomst waar het persoonsgegevens betreft, en de modelcontractbepalingen gaan voor op deze Verwerkersovereenkomst waar het doorgiftes betreft. Voor klanten die onder de KVKK vallen, gaat Bijlage E van de voorwaarden voor, voor zover bepaald in artikel E.5.

Bijlage I. Beschrijving van de verwerking

Bijlage II. Technische en organisatorische maatregelen

• Versleuteling van persoonsgegevens tijdens transport (TLS) en in rust.
• Toegangscontrole: op rollen gebaseerde rechten in CRM, projecten en beheer; afbakening per werkruimte; een beschermde superbeheerdersrol; interne toegang volgens het principe van minimale rechten; eenmalige aanmelding via Google, Microsoft of e-mailadres en wachtwoord.
• Authenticatie: meervoudige authenticatie beschikbaar en afdwingbaar op het niveau van de werkruimte; procedures voor wachtwoordherstel en accountherstel.
• Logging en monitoring: activiteitenlogging, met inbegrip van een registratie van wie items heeft gearchiveerd of verwijderd; beveiligingsmonitoring.
• Levenscyclus en herstel: model van prullenbak, archief, herstel en definitieve verwijdering; dagelijkse back-ups van de productiedatabase die ten minste 30 dagen worden bewaard, versleuteld opgeslagen in de regio van het cluster waaruit zij zijn gemaakt; weerbaarheidsmaatregelen.
• Scheiding: gescheiden productie-, staging- en ontwikkelomgevingen.
• Organisatorisch: geheimhoudingsverplichtingen voor medewerkers; due diligence op leveranciers en subverwerkers; kwetsbaarhedenbeheer en patching; een vastgelegd incidentresponsproces.
• Pseudonimisering en minimalisering waar passend.
• Certificeringen: de trajecten voor ISO 27001 en SOC 2 lopen. Geen van beide certificeringen is behaald op de ingangsdatum van deze Verwerkersovereenkomst, en FlowQi biedt ze niet aan als beschikbare documentatie zolang dat niet zo is.

Bijlage III. Subverwerkers

De actuele lijst is gepubliceerd op flowqi.com/nl/legal/subverwerkers, die deel uitmaakt van deze Verwerkersovereenkomst, en is op verzoek beschikbaar via legal@flowqi.com. Op die pagina staat ook waar iedere subverwerker gegevens verwerkt en welke doorgiftewaarborg van toepassing is.

Vragen over deze Verwerkersovereenkomst: legal@flowqi.com · FlowQi, Australiëlaan 5, 3526 AB Utrecht, Nederland