Verwerkers­overeenkomst (art. 28 AVG).

Conform artikel 2.5 van onze Aanvullende Voorwaarden bestaat de verwerkersovereenkomst tussen Disrex en de klant uit vier onderdelen die samen voldoen aan artikel 28 lid 3 AVG:

• Hoofdstuk 4 van de NLdigital Voorwaarden 2025 (Verwerking van persoonsgegevens);
• De relevante bepalingen uit Hoofdstuk 1 tot en met 3 (Algemene bepalingen, Compliance en Cyberbeveiliging);
• De praktische afspraken die in de overeenkomst zijn vastgelegd;
• Een Data Pro Statement als verwerkingsbijlage.

Verwerkingsverantwoordelijke: de klant, die zeggenschap heeft over de verwerking van de persoonsgegevens en het doel en de middelen daarvan vaststelt.

Verwerker: Disrex V.O.F., Almelo, KvK 92470157 — tevens handelend onder de naam MageRex. Disrex verwerkt de persoonsgegevens uitsluitend in opdracht van de klant en conform diens schriftelijke instructies, en neemt geen zelfstandige beslissingen over doel en middelen.

Ben je eindklant van een webwinkel die bij Disrex wordt gehost en wil je je privacyrechten uitoefenen? Richt je verzoek dan tot die webwinkel; komt het bij ons binnen, dan verwijzen wij het door.

In het Data Pro Statement (de verwerkingsbijlage bij de overeenkomst) worden de praktische afspraken over de verwerking vastgelegd, zoals vereist door artikel 28 lid 3 AVG:

• Het onderwerp en de duur van de verwerking;
• De aard en het doel van de verwerking;
• Het soort persoonsgegevens;
• De categorieën van betrokkenen.

Voor de MageRex Dienst gaat het doorgaans om de gegevens die jij als webwinkelhouder in je Magento-omgeving verwerkt — zoals gegevens van je klanten, bestellingen en accounts. Disrex verwerkt geen bijzondere categorieën persoonsgegevens tenzij dit uitdrukkelijk is overeengekomen.

Disrex verwerkt de persoonsgegevens uitsluitend op basis van de overeenkomst en de schriftelijke instructies van de klant, en niet voor eigen doeleinden. Een wettelijke verplichting (zoals een bevel van een bevoegde autoriteit) vormt een uitzondering; Disrex brengt de klant daarvan vooraf op de hoogte, tenzij dat wettelijk verboden is.

Het personeel van Disrex dat toegang heeft tot de persoonsgegevens is tot geheimhouding verplicht (artikel 5.2 NLdigital Voorwaarden).

Disrex treft passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen, conform de artikelen 23 en 26 van de NLdigital Voorwaarden. Daaronder vallen onder meer versleutelde verbindingen, firewalls en een web application firewall (WAF), toegangsbeheer op basis van least privilege, tweefactorauthenticatie, monitoring en logging, en een actief patch- en updatebeleid.

Disrex maakt dagelijks een back-up van de webwinkeldata met een bewaartermijn van ten minste veertien (14) dagen (artikel 14 Aanvullende Voorwaarden). De klant is verantwoordelijk voor het zorgvuldige beheer van de eigen inlog- en beheeraccounts.

De klant geeft Disrex algemene toestemming om subverwerkers in te schakelen bij de verwerking. Disrex informeert de klant over een wijziging in de ingeschakelde subverwerkers; de klant heeft het recht daartegen bezwaar te maken (artikel 32 NLdigital Voorwaarden).

De categorieën subverwerkers — waaronder EU-datacenters (onder meer Hetzner) en CDN-/ beveiligingsdiensten (onder meer Cloudflare) — staan in ons privacybeleid. Een actuele lijst is op aanvraag beschikbaar.

Ontdekt Disrex een inbreuk in verband met persoonsgegevens (datalek), dan informeert Disrex de klant zonder onredelijke vertraging (artikel 29 NLdigital Voorwaarden). Disrex verstrekt indien nodig nadere informatie en verleent medewerking aan de noodzakelijke informatievoorziening.

Het is aan de klant, als verwerkingsverantwoordelijke, om te beoordelen of het datalek gemeld moet worden bij de Autoriteit Persoonsgegevens en de betrokkenen. Het melden van inbreuken aan de autoriteit en/of betrokkenen blijft te allen tijde de verantwoordelijkheid van de klant.

Disrex verleent, waar mogelijk, medewerking aan redelijke verzoeken van de klant om bij de klant door betrokkenen ingeroepen privacyrechten in te vullen (artikel 31 NLdigital Voorwaarden). Wordt Disrex rechtstreeks door een betrokkene benaderd, dan verwijst Disrex deze waar mogelijk door naar de klant.

Op verzoek verleent Disrex redelijke medewerking aan een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging. De hier bedoelde werkzaamheden kan Disrex tegen de gebruikelijke tarieven in rekening brengen.

Na beëindiging van de verwerkersovereenkomst verwijdert Disrex alle persoonsgegevens, of bezorgt deze op verzoek in een machineleesbaar formaat terug aan de klant (artikel 30 NLdigital Voorwaarden). Voor de MageRex Dienst geldt daarbij dat Disrex de data tot dertig (30) dagen na de einddatum beschikbaar houdt en de klant wijst op de datum waarop de data definitief wordt verwijderd (artikel 12 Aanvullende Voorwaarden).

Verwijdering geldt niet voor zover een wettelijke regeling het bewaren belet. De klant blijft zelf verantwoordelijk voor de nakoming van eigen wettelijke administratie- en bewaarverplichtingen.

De klant kan de naleving van de beveiligings- en verwerkingsverplichtingen laten controleren conform artikel 22 van de NLdigital Voorwaarden. Waar mogelijk toont Disrex de naleving aan met een bestaande certificering of een door een onafhankelijke deskundige opgesteld auditrapport (Third Party Memorandum).

Is een aanvullende audit of inspectie nodig, dan wordt deze uitgevoerd door een onafhankelijke, gecertificeerde deskundige, ten hoogste eenmaal per jaar en tegen de daarvoor geldende voorwaarden en kosten zoals beschreven in artikel 22 NLdigital Voorwaarden.