Verwerkersovereenkomst

Versie 2026-10-18, geldig vanaf 18-10-2026.

Concept: deze overeenkomst wordt nog juridisch beoordeeld en is nog niet definitief.

Vaste link naar deze versie: https://ombz.com/nl/verwerkersovereenkomst/2026-10-18

In deze verwerkersovereenkomst staat hoe wij persoonsgegevens verwerken in opdracht van de bedrijven die OMBZ gebruiken, zoals artikel 28 van de Algemene verordening gegevensbescherming (AVG) vereist. Ze maakt deel uit van de bètavoorwaarden van OMBZ, en van latere voorwaarden voor OMBZ die ernaar verwijzen.

1. Partijen en rollen

Deze overeenkomst is gesloten tussen het bedrijf dat OMBZ gebruikt ("jij") en Server.Biz BV ("wij"). Voor de persoonsgegevens in je websitegegevens ben jij de verwerkingsverantwoordelijke en zijn wij je verwerker. Je accepteert deze overeenkomst namens je bedrijf, samen met de bètavoorwaarden en met hetzelfde vinkje.

Verwerker: Server.Biz BV
Adres: Van Vredenburchlaan 51, 2661 HE Bergschenhoek
Statutaire zetel: Bergschenhoek
KvK-nummer: 27306767
E-mail: privacy@ombz.com

Verschillen deze overeenkomst en de voorwaarden over de verwerking van persoonsgegevens, dan gaat deze overeenkomst voor. Het recht en de rechter die in de voorwaarden zijn gekozen, gelden ook voor deze overeenkomst. Deze overeenkomst bestaat in het Nederlands en het Engels. Als de twee versies verschillen, gaat de Nederlandse versie voor.

2. Onderwerp, duur, aard en doel

We verwerken persoonsgegevens in jouw opdracht alleen om OMBZ aan je te leveren: we halen gegevens over de websites die je toevoegt op uit Google Search Console, Google Analytics, Google PageSpeed Insights, onze crawler OmbzBot en, zodra je die functies kunt gebruiken, DataForSEO, en we slaan die gegevens op, analyseren ze en tonen ze je in de app en in e-mails. De verwerking duurt zo lang als beschreven in artikel 15. Bijlage A beschrijft haar uitgebreider.

3. Categorieën betrokkenen

Mensen van wie de naam of andere gegevens voorkomen in zoekopdrachten in de Search Console-gegevens van je websites.
Mensen die genoemd worden in paginaadressen, paginatitels, metabeschrijvingen of linkteksten van je websites, van websites die naar je websites linken en van de concurrenten die je toevoegt, en in zoekresultaten.
Je gebruikers, maar alleen als je hun gegevens door ons laat verwerken als deel van je websitegegevens. Voor hun accounts (namen, e-mailadressen, aanmeldingen) zijn wij zelf verwerkingsverantwoordelijke, zoals beschreven in onze privacyverklaring.

4. Categorieën persoonsgegevens

Zoekwoorden en domeinen van concurrenten die je invoert, teksten van zoekopdrachten, paginaadressen (URL's), paginatitels, metabeschrijvingen, linkteksten, en titels en adressen van zoekresultaten, voor zover die persoonsgegevens bevatten. We verwachten geen bijzondere categorieën persoonsgegevens (artikel 9 AVG) en geen strafrechtelijke gegevens. Je voegt zulke gegevens niet toe aan OMBZ, bijvoorbeeld als zoekwoord.

5. Je instructies

We verwerken de persoonsgegevens alleen op jouw schriftelijke instructies, ook wat betreft doorgifte buiten de EER. Je instructies zijn de voorwaarden, deze overeenkomst en de instellingen die je in OMBZ kiest, zoals welke websites, Google-accounts, zoekwoorden en concurrenten je koppelt. We gebruiken de gegevens niet voor eigen doeleinden. Verplicht de wet ons om ze anders te verwerken, dan laten we je dat vooraf weten, tenzij de wet dat verbiedt. Vinden we dat een instructie in strijd is met de AVG of andere wetgeving over gegevensbescherming, dan laten we je dat direct weten.

6. Geheimhouding

Iedereen die voor ons werkt en toegang heeft tot de persoonsgegevens, is tot geheimhouding verplicht, op grond van een overeenkomst of van de wet, en heeft alleen toegang als het werk dat vereist.

7. Beveiliging

We nemen passende technische en organisatorische maatregelen om de persoonsgegevens te beschermen tegen verlies en tegen elke vorm van onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten en de risico's. Bijlage B noemt deze maatregelen. We mogen ze aanpassen, maar nooit zo dat het beschermingsniveau als geheel daalt.

8. Subverwerkers

Je geeft ons algemene schriftelijke toestemming om subverwerkers in te schakelen. De actuele lijst, met de datum van elke wijziging, staat op onze pagina met subverwerkers (bijlage C). Ten minste 30 dagen voordat we een subverwerker toevoegen of vervangen, laten we dat de eigenaren van je workspace per e-mail weten en werken we die pagina bij. Binnen 14 dagen na die e-mail kun je op redelijke gronden van gegevensbescherming bezwaar maken. We zoeken dan samen met jou naar een oplossing. Vinden we die niet, dan kun je de overeenkomst en je gebruik van OMBZ beëindigen voordat de wijziging ingaat, en betalen we ongebruikt tegoed dat je hebt betaald volledig terug.

We leggen elke subverwerker bij overeenkomst dezelfde verplichtingen over gegevensbescherming op als in deze overeenkomst. We blijven tegenover jou verantwoordelijk voor het werk van onze subverwerkers.

9. Doorgifte buiten de Europese Economische Ruimte

We slaan de persoonsgegevens op in Nederland en geven ze zelf niet door aan landen buiten de Europese Economische Ruimte (EER). DataForSEO OÜ is gevestigd in Estland; een deel van zijn eigen subverwerkers zit in de Verenigde Staten en valt onder het EU-VS Data Privacy Framework of onder de standaardcontractbepalingen van de Europese Commissie. We schakelen DataForSEO voor jouw gegevens pas in als het heeft bevestigd welke waarborg geldt voor toegang van buiten de EER. Geven we ooit zelf persoonsgegevens door buiten de EER, dan doen we dat alleen met een geldig doorgiftemechanisme uit hoofdstuk V van de AVG, en nadat we het je hebben laten weten zoals beschreven in artikel 8.

10. Bijstand

Rekening houdend met de aard van de verwerking helpen we je om te reageren op betrokkenen die hun rechten uitoefenen, bijvoorbeeld door de websitegegevens in kwestie te zoeken of te verwijderen. Neemt een betrokkene over je websitegegevens contact met ons op, dan sturen we het verzoek direct naar je door en beantwoorden we het niet zelf, tenzij je ons daarom vraagt. We helpen je ook met gegevensbeschermingseffectbeoordelingen en met een voorafgaande raadpleging van een toezichthouder, voor zover die OMBZ betreffen, en met je andere verplichtingen uit de artikelen 32 tot en met 36 AVG. Dat doen we kosteloos, tenzij een verzoek buitensporig veel werk kost; dan noemen we je vooraf de kosten.

11. Inbreuken in verband met persoonsgegevens

Ontdekken we een inbreuk in verband met persoonsgegevens (datalek) die je websitegegevens raakt, dan laten we je dat zonder onredelijke vertraging weten, en uiterlijk binnen 48 uur nadat we de inbreuk hebben ontdekt. We geven je de informatie uit artikel 33, lid 3 AVG voor zover we die hebben: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de maatregelen die we hebben genomen of voorstellen, en een contactpersoon. Informatie die we nog niet hebben, volgt zodra we die hebben. We leggen elke inbreuk vast, ook als die niet gemeld hoeft te worden.

12. Verwijderen of teruggeven aan het einde

Tot de overeenkomst eindigt, en ook daarna tot de gegevens zijn verwijderd, kun je ons om een export van je websitegegevens vragen. Binnen 30 dagen na het einde verwijderen we de persoonsgegevens die we in jouw opdracht verwerken; kopieën in back-ups zijn uiterlijk 14 dagen later ook weg. Op verzoek bevestigen we de verwijdering schriftelijk. We bewaren gegevens alleen langer als de wet dat verplicht.

13. Audits

Op verzoek geven we je de informatie die je nodig hebt om aan te tonen dat we onze verplichtingen uit artikel 28 AVG nakomen. Je kunt dat zelf controleren, of laten controleren door een onafhankelijke auditor die tot geheimhouding verplicht is, hooguit een keer per jaar, met een aankondiging van ten minste 30 dagen, op eigen kosten en zonder ons bedrijf meer te storen dan nodig. Een toezichthouder kan altijd een audit uitvoeren.

14. Aansprakelijkheid

De aansprakelijkheid van partijen onder deze overeenkomst volgt de aansprakelijkheidsbepaling van de voorwaarden die tussen ons gelden. Die bepaling beperkt de rechten van betrokkenen uit artikel 82 AVG niet.

15. Duur

Deze overeenkomst geldt zolang we persoonsgegevens in jouw opdracht verwerken, ook nadat de voorwaarden zelf zijn geëindigd, tot de gegevens zijn verwijderd zoals beschreven in artikel 12.

16. Bijlagen

De bijlagen A (beschrijving van de verwerking), B (beveiligingsmaatregelen) en C (subverwerkers) hieronder maken deel uit van deze overeenkomst.

Bijlage A: Beschrijving van de verwerking

Verwerkingsverantwoordelijke: Het bedrijf dat OMBZ gebruikt.
Verwerker: Server.Biz BV.
Doel: OMBZ leveren aan de verwerkingsverantwoordelijke: laten zien hoe zijn websites in zoekmachines presteren, met meldingen en overzichten.
Aard van de verwerking: Gegevens ophalen via de API's van Google Search Console, Google Analytics en PageSpeed Insights, de websites van de verwerkingsverantwoordelijke crawlen met OmbzBot, zoekresultaten en backlinkgegevens ontvangen van DataForSEO, en die gegevens opslaan, analyseren, tonen en verwijderen.
Betrokkenen: Zoals genoemd in artikel 3.
Persoonsgegevens: Zoals genoemd in artikel 4. Geen bijzondere categorieën.
Frequentie: Doorlopend zolang OMBZ wordt gebruikt: regelmatige imports uit Search Console en Google Analytics, crawls en PageSpeed-metingen volgens een schema of op verzoek, en controles van posities en backlinks zodra die functies beschikbaar zijn.
Bewaartermijn: Tot de verwerkingsverantwoordelijke de website of de workspace verwijdert, of eerder op verzoek. De gegevens worden dan binnen 30 dagen verwijderd, en uit back-ups uiterlijk 14 dagen later.
Locatie: Onze eigen servers in Amsterdam.

Bijlage B: Beveiligingsmaatregelen

Tweestapsverificatie is verplicht voor iedere gebruiker, en elk e-mailadres wordt gecontroleerd voordat het account gebruikt kan worden.
Wachtwoorden worden alleen als onomkeerbare hash opgeslagen. Toegangstokens voor Google en geheimen voor tweestapsverificatie worden versleuteld opgeslagen.
Elke workspace is strikt gescheiden van de andere. Een aparte reeks geautomatiseerde tests controleert die scheiding bij elke wijziging van de software.
Toegang wordt in lagen gecontroleerd: elke pagina en actie vereist een ingelogde gebruiker, lidmaatschap van de workspace en de juiste rol.
De toegang tot Google is alleen-lezen en kan altijd worden beëindigd door Google te ontkoppelen; de opgeslagen tokens worden dan verwijderd.
OmbzBot slaat paginaadressen, titels, metabeschrijvingen en links op, niet de inhoud van pagina's. Google Analytics-gegevens worden alleen geaggregeerd opgeslagen, zonder gegevens over individuele bezoekers.
Alle verbindingen met OMBZ zijn versleuteld (HTTPS).
Een beveiligingslog legt aanmeldingen en belangrijke acties vast en wordt 12 maanden bewaard. Serverlogs worden hooguit 30 dagen bewaard.
Er worden regelmatig back-ups gemaakt, die hooguit 14 dagen worden bewaard.
De serversoftware en de softwarebibliotheken die OMBZ gebruikt, worden up-to-date gehouden; de bibliotheken worden bij elke wijziging gecontroleerd op bekende kwetsbaarheden.
Onze medewerkers hebben alleen toegang tot persoonsgegevens als hun werk dat vereist, en zijn tot geheimhouding verplicht.
De gegevens staan op onze eigen servers in een datacenter in Amsterdam.
Het datacenter heeft fysieke toegangscontrole; alleen onze eigen medewerkers beheren de servers.

Bijlage C: Subverwerkers

De subverwerkers die we inschakelen, staan met de datum van elke wijziging op https://ombz.com/nl/subverwerkers. Die lijst maakt deel uit van deze overeenkomst; wijzigingen verlopen volgens artikel 8.