Verwerkersovereenkomst

Dit is de standaard verwerkersovereenkomst van Quilyx B.V. Zij wordt per opdracht gesloten tussen Quilyx en de opdrachtgever of intermediair, wordt aangevuld met de bijlage die de verwerking specificeert, en maakt vanaf ondertekening deel uit van de opdracht. Wanneer zij van toepassing is en hoe de rollen liggen, staat in artikel 2.

Artikel 1. Begrippen

In deze overeenkomst hebben de begrippen uit de Algemene verordening gegevensbescherming (AVG) de betekenis die de verordening eraan geeft, waaronder persoonsgegevens, verwerken, verwerkingsverantwoordelijke, verwerker, betrokkene en inbreuk in verband met persoonsgegevens. Met de Opdrachtgever wordt bedoeld de partij die deze overeenkomst met Quilyx sluit. Met Quilyx wordt bedoeld Quilyx B.V., gevestigd aan de Rijnzathe 12, 3454 PV Utrecht, ingeschreven bij de Kamer van Koophandel onder nummer 90180275. Met de bijlage wordt de specificatie van de verwerking bedoeld die partijen per opdracht invullen.

Artikel 2. Wanneer deze overeenkomst geldt

Deze overeenkomst geldt uitsluitend voor zover Quilyx bij de uitvoering van een opdracht persoonsgegevens verwerkt in opdracht van de Opdrachtgever en volgens diens instructies. Voor die verwerkingen is de Opdrachtgever verwerkingsverantwoordelijke en is Quilyx verwerker. Welke verwerkingen dat zijn, om welke soorten persoonsgegevens en betrokkenen het gaat en hoe lang de gegevens worden bewaard, leggen partijen vast in de bijlage.

Buiten deze overeenkomst valt de verwerking waarvoor Quilyx zelf doel en middelen bepaalt, waaronder de eigen bemiddelingsadministratie, de profielen van aangemelde professionals en de zakelijke contactgegevens van de Opdrachtgever zelf. Daarvoor is Quilyx zelfstandig verwerkingsverantwoordelijke en geldt de privacyverklaring op deze website.

Deze overeenkomst maakt deel uit van de opdracht waarvoor zij wordt gesloten. Bij strijd tussen deze overeenkomst en andere afspraken over de verwerking van persoonsgegevens gaat deze overeenkomst voor.

Artikel 3. Verwerken volgens instructies

Quilyx verwerkt de persoonsgegevens uitsluitend voor de doeleinden die in de bijlage staan en volgens de schriftelijke instructies van de Opdrachtgever, tenzij een wettelijke verplichting tot een andere verwerking dwingt. In dat geval meldt Quilyx die verplichting vooraf aan de Opdrachtgever, tenzij de wet dat verbiedt. Quilyx gebruikt de gegevens niet voor eigen doeleinden en verstrekt ze niet aan anderen, behalve zoals in deze overeenkomst is afgesproken. Meent Quilyx dat een instructie in strijd is met de AVG of met andere regels over gegevensbescherming, dan laat Quilyx dat de Opdrachtgever direct weten.

Artikel 4. Geheimhouding

De personen die onder verantwoordelijkheid van Quilyx met de persoonsgegevens werken, zijn tot geheimhouding verplicht. Die verplichting blijft gelden nadat de opdracht is geëindigd.

Artikel 5. Beveiliging

Quilyx neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beschermen, afgestemd op de aard van de gegevens en de risico's van de verwerking. Daartoe behoren in elk geval: toegang tot de gegevens alleen voor wie ze voor het werk nodig heeft, versleutelde verbindingen, het bijhouden van logbestanden van toegang en het maken van regelmatige back-ups. Gevoelige toegangsgegevens bewaart Quilyx versleuteld of in een vorm waaruit het origineel niet is af te leiden. Op verzoek licht Quilyx toe welke maatregelen voor de concrete opdracht gelden, zodat de Opdrachtgever kan beoordelen of zij passend zijn.

Artikel 6. Subverwerkers

De Opdrachtgever geeft Quilyx algemene toestemming om subverwerkers in te schakelen. Bij het sluiten van deze overeenkomst zijn dat Microsoft, voor de zakelijke e-mailomgeving en de zakelijke cloudopslag, en een Nederlandse hostingpartij, voor de besloten opdrachtenomgeving. Quilyx sluit met iedere subverwerker een overeenkomst die voor de persoonsgegevens een beschermingsniveau waarborgt dat gelijkwaardig is aan het niveau van deze overeenkomst. Bij grote leveranciers, zoals Microsoft, is dat de verwerkersovereenkomst die de leverancier zelf standaard hanteert. Quilyx blijft tegenover de Opdrachtgever verantwoordelijk voor het werk van haar subverwerkers.

Wil Quilyx een subverwerker toevoegen of vervangen, dan laat Quilyx dat vooraf weten, waarna de Opdrachtgever binnen veertien dagen bezwaar kan maken. Bij een gegrond bezwaar zoeken partijen samen een oplossing, en lukt dat niet, dan kan de Opdrachtgever de opdracht voor het geraakte deel beëindigen.

Artikel 7. Doorgifte buiten de EER

Quilyx bepaalt bij grote leveranciers, zoals Microsoft, niet zelf in welk land de dienst wordt geleverd. Vindt er bij Quilyx of bij een subverwerker doorgifte van persoonsgegevens plaats naar een land buiten de Europese Economische Ruimte, dan steunt die doorgifte op de waarborgen die de AVG daarvoor kent, zoals een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie. Bij Microsoft maken die waarborgen deel uit van de verwerkersvoorwaarden die Microsoft standaard hanteert.

Artikel 8. Verzoeken en rechten van betrokkenen

Ontvangt Quilyx een verzoek van een betrokkene over persoonsgegevens die onder deze overeenkomst worden verwerkt, bijvoorbeeld om inzage of verwijdering, dan stuurt Quilyx dat verzoek zonder onnodige vertraging door aan de Opdrachtgever en beantwoordt Quilyx het niet zelf. Quilyx helpt de Opdrachtgever, voor zover dat redelijkerwijs kan, bij het beantwoorden van zulke verzoeken en bij de overige verplichtingen uit de AVG, waaronder de beveiliging van de verwerking, het melden van inbreuken en een gegevensbeschermingseffectbeoordeling.

Artikel 9. Datalekken

Ontdekt Quilyx een inbreuk in verband met persoonsgegevens die onder deze overeenkomst worden verwerkt, dan meldt Quilyx die zonder onredelijke vertraging aan de Opdrachtgever. De melding beschrijft wat er is gebeurd, welke gegevens en betrokkenen het waarschijnlijk betreft, welke gevolgen de inbreuk kan hebben en welke maatregelen zijn genomen of voorgesteld. De beoordeling of een melding aan de Autoriteit Persoonsgegevens of aan betrokkenen nodig is, ligt bij de Opdrachtgever. Quilyx levert daarvoor de informatie die de Opdrachtgever redelijkerwijs nodig heeft en documenteert de inbreuk.

Artikel 10. Controle

Quilyx stelt op verzoek de informatie beschikbaar die nodig is om aan te tonen dat de afspraken uit deze overeenkomst worden nagekomen. De Opdrachtgever mag daarnaast, ten hoogste eenmaal per jaar en na redelijke aankondiging, een controle laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht. Iedere partij draagt de eigen kosten van zo'n controle, en de controle verstoort de bedrijfsvoering van Quilyx niet meer dan nodig is.

Artikel 11. Duur, einde en teruggave

Deze overeenkomst geldt zolang Quilyx persoonsgegevens in opdracht van de Opdrachtgever verwerkt. Eindigt de opdracht, dan geeft Quilyx de persoonsgegevens naar keuze van de Opdrachtgever terug in een gangbaar bestandsformaat of verwijdert Quilyx ze, inclusief kopieën, tenzij een wettelijke bewaarplicht opslag verlangt. Quilyx bevestigt de verwijdering schriftelijk.

Artikel 12. Aansprakelijkheid

Voor aansprakelijkheid onder deze overeenkomst gelden de afspraken die partijen in de opdracht hebben gemaakt. Ontbreken die, dan geldt de wettelijke regeling van de AVG, waaronder artikel 82 over de verdeling van aansprakelijkheid tussen verwerkingsverantwoordelijke en verwerker.

Artikel 13. Toepasselijk recht

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen legt een partij voor aan de bevoegde rechter in het arrondissement waarin Quilyx is gevestigd.

Bijlage. Specificatie van de verwerking

Partijen vullen deze bijlage per opdracht in en ondertekenen haar samen met de overeenkomst.

• Opdracht. De opdracht of overeenkomst waarop deze verwerkersovereenkomst betrekking heeft, met datum of kenmerk.
• Doel van de verwerking. Waarvoor Quilyx de persoonsgegevens verwerkt.
• Aard van de verwerking. Bijvoorbeeld ontvangen, opslaan, ordenen, raadplegen of doorsturen.
• Soorten persoonsgegevens. Bijvoorbeeld naam, zakelijke contactgegevens of gegevens uit een cv.
• Categorieën betrokkenen. Bijvoorbeeld medewerkers of kandidaten van de Opdrachtgever.
• Bewaartermijn. Hoe lang Quilyx de gegevens voor de opdracht bewaart, of de gebeurtenis waarna ze worden verwijderd.
• Bijzonderheden. Afwijkende of aanvullende afspraken, bijvoorbeeld over specifieke beveiligingsmaatregelen.

Versie juli 2026.