Verwerkersovereenkomst MDC Systems

Model op grond van artikel 28 AVG
Versie en datum: 19 oktober 2026

Partijen

Klant — verwerkingsverantwoordelijke

Bedrijfsnaam: wordt ingevuld bij bestelling/ondertekening
KVK-nummer: wordt ingevuld bij bestelling/ondertekening
Adres, postcode en plaats: wordt ingevuld bij bestelling/ondertekening
Contactpersoon: wordt ingevuld bij bestelling/ondertekening
E-mailadres voor privacy- en datalekmeldingen: wordt ingevuld bij bestelling/ondertekening

Hierna: u of Klant.

MDC Systems — verwerker

MDC Systems, eenmanszaak, gevestigd in Cuijk, Nederland, ingeschreven bij de Kamer van Koophandel onder nummer 42143442, e-mailadres info@mdcsystems.nl, website https://mdcsystems.nl, klantportaal https://app.mdcsystems.nl.

Hierna: MDC Systems of wij.

Bij digitale aanvaarding worden de klantvelden ingevuld met de bij de bestelling opgegeven gegevens, die onderdeel zijn van deze overeenkomst.

1. Onderwerp, toepasselijkheid en duur

1.1. Deze overeenkomst regelt de verwerking van persoonsgegevens door MDC Systems namens u bij het controleren, aanvullen en herstellen van GPSR-productinformatie, waaronder Fix Sprint en Operational Care.

1.2. Deze overeenkomst maakt deel uit van de tussen partijen gesloten overeenkomst voor deze diensten, hierna de hoofdovereenkomst. Zij gaat in bij aanvaarding en geldt zolang wij persoonsgegevens namens u verwerken, inclusief de afwikkeling daarvan. Verwerking begint pas nadat deze overeenkomst tot stand is gekomen.

1.3. U bepaalt het doel en de wezenlijke middelen van de verwerking en bent verwerkingsverantwoordelijke. Wij verwerken persoonsgegevens uitsluitend namens u. De begrippen persoonsgegevens, verwerking, betrokkene en datalek hebben de betekenis die de AVG daaraan geeft.

1.4. Voor onze eigen klant-, account- en betaaladministratie en de noodzakelijke beveiliging van onze dienstverlening zijn wij zelfstandig verwerkingsverantwoordelijke. Daarvoor geldt onze privacyverklaring. Deze uitzondering geeft ons geen recht om uw product- of leveranciersdossiers voor eigen doeleinden te hergebruiken.

1.5. Bij strijdigheid gaat deze overeenkomst voor op de hoofdovereenkomst, waaronder de Algemene voorwaarden MDC Systems (app.mdcsystems.nl/algemene-voorwaarden), voor zover het de verwerking van persoonsgegevens betreft. Dwingend recht en toepasselijke SCC's gaan voor.

2. Aard, doel, gegevens en betrokkenen

2.1. Het doel is de uitvoering van uw opdracht voor controle en herstel van productinformatie. De verwerking bestaat uit het ophalen, inzien, ordenen, opslaan, controleren en aanvullen van productgegevens; het opvragen en verwerken van leveranciersinformatie; het voorbereiden van AI-voorstellen; het versturen en ontvangen van dossierberichten; en het volgens uw instructies bijwerken, exporteren, teruggeven en verwijderen van gegevens.

2.2. De verwerking vindt plaats tijdens de opdracht, naar gelang de werkzaamheden eenmalig of doorlopend. Het volume wordt bepaald door de afgesproken producten en leverancierscontacten.

2.3. De verwerking kan de volgende persoonsgegevens omvatten:

• Namen en zakelijke contactgegevens van leveranciers, fabrikanten en hun contactpersonen.
• Namen, zakelijke e-mailadressen en andere noodzakelijke identificatiegegevens in product- en fabrikantteksten; zakelijke adressen voor zover deze tevens persoonsgegevens zijn.
• Namen en zakelijke contactgegevens van uw medewerkers of vertegenwoordigers, voor zover opgenomen in het uitvoeringsdossier.
• Persoonsgegevens in relevante leveranciersverzoeken, antwoorden, bijlagen en dossiercorrespondentie.
• Aan personen te relateren koppelingsgegevens, API-sleutels en technische dossierregistraties, voor zover deze namens u worden verwerkt.

2.4. Betrokkenen zijn uw contactpersonen en medewerkers, contactpersonen van leveranciers en fabrikanten, en natuurlijke personen die zelf als leverancier of fabrikant optreden.

2.5. Ordergegevens en gegevens van uw webshopklanten vallen buiten de opdracht. Wij lezen en schrijven via Shopify-, WooCommerce- en bol-koppelingen uitsluitend productgegevens, ook wanneer een API-sleutel technisch ruimere toegang geeft. De technische beschikbaarheid van gegevens geldt niet als instructie om deze te verwerken.

2.6. Bijzondere persoonsgegevens, strafrechtelijke gegevens en burgerservicenummers zijn niet nodig en vallen buiten de opdracht. Ontvangen wij onbedoeld gegevens buiten de afgesproken reikwijdte, dan beperken wij de toegang, informeren wij u en spreken wij af hoe deze veilig worden verwijderd of teruggegeven.

2.7. De beveiligings- en geheimhoudingsafspraken gelden ook voor API-sleutels en vertrouwelijke bedrijfsinformatie die op zichzelf geen persoonsgegevens zijn.

3. Uw instructies en verantwoordelijkheden

3.1. Wij verwerken persoonsgegevens uitsluitend op uw gedocumenteerde instructies. Deze overeenkomst, de hoofdovereenkomst en uw vastgelegde opdrachten via het portaal of per e-mail gelden als instructies. Instructies over doorgifte buiten de EER zijn eveneens aan deze eis onderworpen.

3.2. U zorgt voor een geldige grondslag, correcte informatie aan betrokkenen en de bevoegdheid om gegevens en API-toegang beschikbaar te stellen. U verstrekt alleen gegevens die voor de opdracht nodig zijn en beperkt toegangsrechten waar het platform dit mogelijk maakt.

3.3. Wij gebruiken de gegevens niet voor eigen marketing, verkoop of eigen modeltraining. Aan Anthropic verstrekken wij uitsluitend de voor product- en fabrikantvoorstellen benodigde tekst en noodzakelijke persoonsgegevens, onder de afspraken van bijlage 1. Wij verstrekken hiervoor geen API-sleutels, betaalgegevens, ordergegevens of gegevens van webshopklanten.

3.4. Vinden wij dat een instructie in strijd is met de AVG of andere toepasselijke gegevensbeschermingsregels, dan informeren wij u onmiddellijk. Wij schorten de betrokken verwerking zo nodig op totdat een rechtmatige instructie beschikbaar is.

3.5. Als een Unierechtelijke of Nederlandse wettelijke verplichting ons tot een andere verwerking verplicht, informeren wij u vóór die verwerking, tenzij die wetgeving dit om zwaarwegende redenen van algemeen belang verbiedt.

4. Geheimhouding

4.1. Wij behandelen persoonsgegevens en vertrouwelijke informatie vertrouwelijk. Binnen MDC Systems heeft alleen de eigenaar toegang, voor zover noodzakelijk voor de dienstverlening.

4.2. Wij zorgen dat iedere persoon die namens ons bevoegd toegang krijgt, vooraf aan passende geheimhouding is gebonden en alleen volgens instructies werkt. Bij subverwerkers wordt toegang beperkt tot bevoegde personen voor de afgesproken dienstverlening.

4.3. De geheimhoudingsplicht blijft na beëindiging gelden. Verstrekking aan derden vindt uitsluitend plaats volgens deze overeenkomst, uw rechtmatige instructie of een bindende wettelijke verplichting.

5. Beveiliging

5.1. Wij treffen passende technische en organisatorische maatregelen volgens artikel 32 AVG, rekening houdend met de risico's, de aard en omvang van de verwerking, de stand van de techniek en de uitvoeringskosten.

5.2. Tot de maatregelen behoren:

• Gescheiden toegang tot klantgegevens via row level security.
• Versleutelde opslag van API-sleutels en beperking van het gebruik tot de productkoppeling.
• Authenticatie via magic links.
• Beperkte interne toegang: uitsluitend de eigenaar, voor zover noodzakelijk.
• Primaire hosting in de EU, met de internationale verwerkingen en waarborgen uit bijlage 1.
• Technische logging voor beveiliging en misbruikpreventie, met een bewaartermijn van 12 maanden voor onze eigen beveiligingslogs.

5.3. Wij waarborgen, passend bij de risico's, de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerking, de mogelijkheid tot tijdig herstel bij incidenten en periodieke beoordeling van de effectiviteit van de maatregelen.

5.4. Wij mogen maatregelen aanpassen als het beschermingsniveau niet wordt verlaagd. Relevante wijzigingen delen wij met u. Het bewaren van beveiligingslogs rechtvaardigt geen langere opslag van volledige product- of leveranciersdossiers of leesbare API-sleutels.

6. Subverwerkers en internationale doorgifte

6.1. U geeft algemene schriftelijke toestemming voor het gebruik van de in bijlage 1 vermelde subverwerkers, binnen de daar beschreven dienstverlening. Mollie is voor betalingsdiensten zelfstandig verwerkingsverantwoordelijke en valt daarvoor niet onder deze toestemming.

6.2. Wij sluiten met subverwerkers schriftelijke overeenkomsten die ten minste dezelfde gegevensbeschermingsverplichtingen opleggen als deze overeenkomst voor hun werkzaamheden verlangt. Wij blijven tegenover u verantwoordelijk voor de nakoming van die verplichtingen door subverwerkers.

6.3. Wij kondigen toevoeging of vervanging van een subverwerker ten minste 30 kalenderdagen vóór inzet per e-mail aan. De aankondiging vermeldt de identiteit, taak, betrokken gegevens, verwerkingslocaties en relevante doorgiftewaarborgen.

6.4. U kunt binnen die termijn gemotiveerd bezwaar maken op grond van gegevensbescherming. Wij onderzoeken het bezwaar en zoeken met u naar een passende oplossing. Totdat het bezwaar is opgelost, verwerkt de betwiste subverwerker uw persoonsgegevens niet. Is geen oplossing mogelijk, dan kan ieder van partijen het getroffen deel van de dienstverlening vóór inzet beëindigen, zonder beëindigingsvergoeding. Reeds geleverde diensten blijven verschuldigd; vooruitbetaalde bedragen voor niet-geleverde getroffen diensten worden terugbetaald.

6.5. Doorgifte buiten de EER, waaronder toegang vanuit een derde land, vindt alleen plaats volgens uw gedocumenteerde instructies en hoofdstuk V AVG. Waar vereist gebruiken wij toepasselijke SCC's, beoordelen wij de doorgifterisico's en treffen wij aanvullende maatregelen. Wij verstrekken u op verzoek informatie over de waarborgen. Als een rechtmatige doorgifte niet langer mogelijk is, schorten wij die doorgifte op.

7. Bijstand en verzoeken van betrokkenen

7.1. Rekening houdend met de aard van de verwerking helpen wij u met passende technische en organisatorische maatregelen bij verzoeken om informatie, inzage, correctie, verwijdering, beperking, gegevensoverdracht en bezwaar.

7.2. Ontvangen wij rechtstreeks een verzoek over persoonsgegevens waarvoor u verantwoordelijk bent, dan sturen wij dit zonder onnodige vertraging aan u door. Wij reageren niet zelfstandig inhoudelijk, tenzij u ons daartoe instrueert of de wet dit vereist.

7.3. Rekening houdend met de verwerking en de informatie waarover wij beschikken, helpen wij u bij de verplichtingen van artikelen 32 tot en met 36 AVG. Dit omvat beveiliging, datalekmeldingen, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthouder.

7.4. Wij stellen informatie tijdig beschikbaar zodat u uw wettelijke termijnen kunt naleven. Eventuele afspraken over aanvullende kosten mogen noodzakelijke of spoedeisende bijstand niet vertragen.

8. Datalekken

8.1. Wij melden een datalek met persoonsgegevens die wij namens u verwerken zonder onnodige vertraging en uiterlijk binnen 48 uur na ontdekking aan uw opgegeven contactadres. Deze termijn is een uiterste grens en geen wachttijd. Ook een datalek bij een subverwerker valt hieronder zodra het ons bekend is.

8.2. De eerste melding bevat, voor zover bekend:

• De aard van het datalek en het moment van ontdekking.
• De betrokken gegevenscategorieën en categorieën betrokkenen, met de geschatte aantallen personen en gegevensregistraties.
• De waarschijnlijke gevolgen.
• De getroffen en voorgenomen maatregelen om het lek te stoppen en gevolgen te beperken.
• Het contactpunt voor nadere informatie: info@mdcsystems.nl.

8.3. Onvolledige informatie houdt de eerste melding niet tegen. Wij vullen de melding zonder onnodige vertraging aan, leggen relevante feiten en maatregelen vast en helpen bij onderzoek, herstel en beperking van schade.

8.4. U beslist als verwerkingsverantwoordelijke over meldingen aan de Autoriteit Persoonsgegevens en betrokkenen. Waar vereist meldt u binnen 72 uur nadat u kennis van het datalek heeft genomen aan de toezichthouder. Onze melding vervangt uw wettelijke verplichtingen niet.

8.5. Wij melden namens u uitsluitend aan derden op uw instructie, tenzij een eigen wettelijke verplichting anders vereist. Wij houden u op de hoogte, voor zover wettelijk toegestaan.

9. Informatie en audit

9.1. Wij verstrekken u alle informatie die redelijkerwijs nodig is om naleving van artikel 28 AVG en deze overeenkomst aan te tonen, en werken mee aan noodzakelijke audits en inspecties.

9.2. Een reguliere audit vindt plaats op redelijke termijn na schriftelijke aankondiging, in beginsel ten minste 14 kalenderdagen vooraf, en maximaal eenmaal per kalenderjaar. U of een door u gemachtigde onafhankelijke deskundige kan de audit uitvoeren, onder geheimhouding en met zo weinig mogelijk verstoring.

9.3. Wij kunnen eerst beschikbare documentatie, relevante verklaringen en rapportages verstrekken. Als deze onvoldoende zijn om naleving vast te stellen, blijft een noodzakelijke aanvullende inspectie mogelijk. Gegevens van andere klanten blijven beschermd.

9.4. De redelijke kosten van een reguliere audit, waaronder vooraf kenbaar gemaakte noodzakelijke medewerkingskosten, zijn voor uw rekening.

9.5. De frequentie- en aankondigingsbeperkingen gelden niet voor zover een extra of spoedeisende audit noodzakelijk is wegens een relevant ernstig datalek, concrete aanwijzingen van niet-naleving, een verzoek van de toezichthouder of een wettelijke verplichting. Kostenafspraken mogen het wettelijke controlerecht niet feitelijk onmogelijk maken.

10. Einde, teruggave en verwijdering

10.1. Na beëindiging van de verwerking namens u geeft MDC Systems de betreffende persoonsgegevens op uw keuze terug of verwijdert deze, uiterlijk binnen 30 kalenderdagen. Bij teruggave gebruiken wij een gangbaar bruikbaar formaat en verwijderen wij daarna onze resterende kopieën binnen dezelfde termijn.

10.2. Wij vragen uw keuze tijdig op. Als u geen keuze doorgeeft, geldt verwijdering binnen die termijn als uw instructie.

10.3. De verplichting geldt ook voor kopieën, back-ups en gegevens bij subverwerkers. Wij treffen de benodigde maatregelen om de termijn te halen en bevestigen de uitvoering op uw verzoek. Een langere bewaartermijn geldt uitsluitend voor zover Unierecht of Nederlands recht opslag verplicht; wij informeren u daarover, tenzij dit wettelijk verboden is, en beperken het gebruik tot die verplichting.

10.3a. Wij verwijderen de persoonsgegevens uiterlijk 30 dagen na het einde van de overeenkomst uit de actieve systemen. Voor zover afzonderlijke verwijdering uit back-ups technisch niet mogelijk is, verdwijnen resterende kopieën uiterlijk 35 kalenderdagen na die verwijdering. Deze back-ups zijn afgeschermd en worden uitsluitend voor noodzakelijk herstel gebruikt. Bij herstel passen wij eerdere verwijderingen opnieuw toe voordat de gegevens weer in gebruik worden genomen.

10.4. Wij stoppen na beëindiging van de koppeling met het gebruik van API-sleutels en verwijderen deze uiterlijk binnen 30 dagen. U trekt de sleutels daarnaast in bij het gekoppelde platform.

10.5. Onze eigen account- en administratieve dossiergegevens kunnen volgens de privacyverklaring tot 12 maanden na accountsluiting worden bewaard; onze eigen beveiligingslogs gedurende 12 maanden en fiscaal verplichte administratie gedurende 7 jaar. Dit betreft uitsluitend gegevens waarvoor wij daadwerkelijk zelfstandig verwerkingsverantwoordelijke zijn. Het geeft geen recht om het namens u beheerde product- of leveranciersdossier langer te bewaren.

10.6. Een account dat administratief nog actief is, verlengt op zichzelf niet de bewaartermijn van gegevens waarvoor de verwerkingsopdracht is geëindigd.

10.7. Het Eindrapport wordt met het dossier verwijderd. Na de verwijdering bewaren wij als zelfstandig verwerkingsverantwoordelijke uitsluitend een beperkte leveringsregistratie: opdrachtnummer, opleverdatum, omschrijving van de werkzaamheden en de registratie van uw akkoord, zonder persoonsgegevens van leveranciers of fabrikanten. Wij bewaren deze registratie vijf jaar na de oplevering op grond van ons gerechtvaardigd belang (artikel 6 lid 1 onder f AVG) en verwijderen haar daarna automatisch.

11. Aansprakelijkheid en toepasselijk recht

11.1. Voor de aansprakelijkheid tussen partijen gelden de bepalingen en beperkingen uit de hoofdovereenkomst. Deze overeenkomst schept geen afzonderlijk, aanvullend aansprakelijkheidsmaximum.

11.2. Deze afspraken beperken geen rechten van betrokkenen op grond van artikel 82 AVG, bevoegdheden van toezichthouders of aansprakelijkheid die volgens dwingend recht niet kan worden beperkt. Zij doen evenmin af aan de verantwoordelijkheid van MDC Systems voor haar subverwerkers.

11.3. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de volgens de hoofdovereenkomst bevoegde Nederlandse rechter, of bij gebreke daarvan aan de wettelijk bevoegde rechter.

11.4. Wijzigingen vereisen schriftelijke of elektronische instemming van beide partijen, behalve wijzigingen van subverwerkers die volgens artikel 6 worden doorgevoerd.

12. Digitale aanvaarding of ondertekening

12.1. Deze overeenkomst, inclusief bijlage 1, kan tot stand komen door digitale aanvaarding in het bestelproces op /start of in het klantportaal (app.mdcsystems.nl), of door afzonderlijke ondertekening door beide partijen.

12.2. Bij digitale aanvaarding stelt MDC Systems de volledige tekst en bijlage vooraf beschikbaar in een vorm die u kunt opslaan. U aanvaardt door een niet vooraf aangevinkt selectievakje actief aan te vinken en de bestelling af te ronden of de aanvaarding in het klantportaal te bevestigen. De verklaring bij het selectievakje luidt:

Ik ga namens de hierboven opgegeven Klant akkoord met de Verwerkersovereenkomst MDC Systems, versie 19 oktober 2026, inclusief bijlage 1. Ik verklaar bevoegd te zijn deze overeenkomst namens de Klant aan te gaan.

12.3. MDC Systems doet met het aanbieden van deze overeenkomst in het bestelproces of in het klantportaal een aanbod dat u op deze wijze kunt aanvaarden. Een afzonderlijke handtekening is dan niet vereist. MDC Systems legt de aanvaarde versie, datum, tijdstip en identiteit van de accepterende persoon en Klant vast en verstrekt een bevestiging met een bewaarbare kopie.

12.4. De aanvaarding betreft contractuele afspraken en is geen toestemming van betrokkenen voor verwerking van hun persoonsgegevens.

Afzonderlijke ondertekening

Bijlage 1 — Subverwerkers en overige dienstverleners

Onderdeel van de verwerkersovereenkomst, versie 19 oktober 2026.

Een hieronder genoemde partij is uitsluitend subverwerker voor zover zij namens u persoonsgegevens verwerkt via MDC Systems. Verwerkingen voor de eigen administratie van MDC Systems vallen buiten deze verwerkersovereenkomst.

De Supabase-projectregio Frankfurt, Duitsland (eu-central-1) wordt vóór aanvaarding in deze bijlage ingevuld en maakt deel uit van de versie die u accepteert. Een keuze voor EU-hosting sluit toegang of verdere verwerking buiten de EER niet uit; daarvoor blijven de waarborgen van artikel 6 gelden.

De actuele contractuele gegevensbeschermingsvoorwaarden van de dienstverleners zijn beschikbaar via hun officiële websites:

• Supabase — verwerkersvoorwaarden
• Vercel — verwerkersvoorwaarden
• Resend — verwerkersvoorwaarden
• Anthropic — verwerkersvoorwaarden
• Google Workspace — verwerkersvoorwaarden
• Mollie — privacyverklaring

Deze verwijzingen vervangen de verplichtingen van MDC Systems uit deze overeenkomst niet. Voor wijzigingen van de inzet van subverwerkers geldt artikel 6.