Verwerkersovereenkomst

Laatst bijgewerkt: 6 oktober 2026

Deze overeenkomst hoort bij de algemene voorwaarden en geldt automatisch zodra je AtlasLeads gebruikt om persoonsgegevens te verwerken. Je hoeft ze niet aan te vragen en niet apart te ondertekenen. Wil je toch een getekend exemplaar op papier, dan bezorgen we dat.

Wie is wie: Jouw organisatie is de verwerkingsverantwoordelijke: jij bepaalt welke gegevens je bijhoudt en waarom. AtlasLeads is de verwerker: wij bewaren en verwerken die gegevens in jouw opdracht en doen er zelf niets mee. Dat onderscheid bepaalt de rest van dit document.

1. Waarover dit gaat

1.1. Deze overeenkomst regelt hoe AtlasLeads persoonsgegevens verwerkt die jij in het platform invoert of laat invoeren.

1.2. Ze geldt zolang je een account hebt en, voor de bepalingen over teruggave en verwijdering, tot die volledig uitgevoerd zijn.

1.3. Bij tegenstrijdigheid met de algemene voorwaarden heeft deze overeenkomst voorrang op het punt van gegevensbescherming.

2. Welke gegevens en van wie

2.1. Welke gegevens er verwerkt worden, bepaal jij: het platform legt dat niet op. In de praktijk gaat het om identificatie- en contactgegevens (naam, adres, e-mail, telefoon), geboortedatum, lidmaatschaps- en deelnamegegevens, financiele gegevens zoals facturen, betalingen en rekeningnummers, en wat je zelf in vrije velden noteert.

2.2. De betrokkenen zijn doorgaans je leden, je klanten, je medewerkers en je vrijwilligers.

2.3. Verwerk je bijzondere categorieen van persoonsgegevens (bijvoorbeeld gezondheidsgegevens in een vrij veld), dan blijft dat jouw beslissing en jouw verantwoordelijkheid. Wij raden het af en het platform is er niet op ingericht.

3. Wat wij wel en niet doen met je gegevens

3.1. Wij verwerken je gegevens uitsluitend om het platform te leveren en te onderhouden, en enkel volgens jouw instructies.

3.2. Wij verkopen je gegevens niet, verhuren ze niet, en gebruiken ze niet voor eigen reclame.

3.3. Wij gebruiken je gegevens niet om modellen voor kunstmatige intelligentie te trainen.

3.4. Wij combineren de gegevens van verschillende klanten niet tot een gedeeld bestand.

3.5. Verplicht een wet ons toch tot een verwerking, dan laten we je dat vooraf weten, tenzij die wet dat verbiedt.

4. Beveiliging

4.1. Toegang tot de gegevens verloopt uitsluitend via een persoonlijke login met een rol die bepaalt wat iemand mag zien en doen.

4.2. Gegevens gaan versleuteld over het internet en staan versleuteld op de servers van onze hostingpartners.

4.3. Elke organisatie staat gescheiden: het platform controleert bij elke opvraging of de gegevens tot jouw organisatie behoren.

4.4. Wij houden bij wie welke gevoelige handeling uitvoert, zodat je achteraf kan nagaan wat er gebeurd is.

4.5. Onze medewerkers en eventuele onderaannemers zijn tot geheimhouding gehouden.

4.6. Rijksregisternummers en de rekeningnummers van personen in je ledenlijst worden bijkomend versleuteld opgeslagen, zodat ze ook in een kopie van de databank niet leesbaar zijn. Rekeningnummers die met een bankuittreksel in je boekhouding komen, zijn nog niet bijkomend versleuteld; daar werken we aan.

4.7. Onze medewerkers zien jouw gegevens enkel nadat jij toegang geeft, in Instellingen, Support. Die toegang duurt 24 uur en je kan ze op elk moment intrekken. Enkel bij een dringende storing of een beveiligingsincident is noodtoegang mogelijk, hoogstens 1 uur, met een vastgelegde reden en zichtbaar in jouw bezoekoverzicht.

4.8. Wij testen het platform geautomatiseerd bij elke wijziging en laten het periodiek nakijken. Wij beweren niet dat er nooit iets mis kan gaan; wij beweren dat we het ernstig nemen en dat we het melden als het gebeurt.

5. Kunstmatige intelligentie

5.1. Het taalmodel achter de assistent, de zoekhulp, de chatbot, de samenvattingen en de DM-assistent draait op onze eigen server in Belgie. Je gegevens gaan daarvoor niet naar een extern bedrijf.

5.2. De assistent ziet enkel wat de ingelogde persoon zelf mag zien en kan niets wijzigen behalve een supportvraag aanmaken.

5.3. Alle functies met artificiële intelligentie draaien op onze eigen server in België. Er gaan daarvoor geen gegevens naar een extern AI-bedrijf. Willen we ooit een extern taalmodel gebruiken, dan enkel voor een functie die jij zelf aanzet, en pas nadat we dat minstens dertig dagen vooraf gemeld hebben, met de mogelijkheid om bezwaar te maken.

5.4. Wij gebruiken je gegevens niet om modellen te trainen, ook niet op onze eigen server. Wat het model te zien krijgt, is wat er nodig is om jouw vraag te beantwoorden, en het wordt daarna niet bewaard om iets van te leren.

5.5. Een antwoord van een taalmodel is een voorstel en geen beslissing. Het platform voert nooit een geldbeweging, een verwijdering of een verzending uit op basis van zo'n antwoord zonder dat een mens het bevestigt.

6. Waar je gegevens staan

6.1. Je gegevens worden opgeslagen binnen de Europese Economische Ruimte (databank in Frankfurt, e-mailverzending vanuit Ierland).

6.2. Gebeurt er toch een verwerking buiten de EER door een van onze partners, dan gebeurt dat op grond van het EU-VS-kader voor gegevensbescherming (Data Privacy Framework) waar de partner daarbij aangesloten is, en anders met de standaardcontractbepalingen van de Europese Commissie.

7. Onze onderaannemers

7.1. Wij doen beroep op de partners in de lijst hieronder. Je aanvaardt die bij het aangaan van deze overeenkomst.

7.2. Komt er een partner bij of valt er een weg, dan laten we je dat minstens dertig dagen vooraf weten. Ga je niet akkoord, dan mag je de overeenkomst opzeggen zonder kosten en krijg je je gegevens mee.

7.3. Wij leggen elke onderaannemer verplichtingen op die minstens even streng zijn als die in deze overeenkomst, en blijven tegenover jou aansprakelijk voor wat zij doen, binnen de grenzen van artikel 12.

7.4. Een partner die in de lijst als voorwaardelijk staat (bijvoorbeeld enkel wanneer je een module koppelt), ontvangt pas gegevens wanneer jij die functie aanzet.

8. Als er iets misgaat

8.1. Ontdekken wij een inbreuk op de beveiliging waarbij jouw gegevens betrokken zijn, dan brengen wij je zonder onnodige vertraging op de hoogte en in elk geval binnen achtenveertig uur nadat wij er kennis van kregen.

8.2. Wij bezorgen je daarbij wat we weten: wat er gebeurd is, welke gegevens en hoeveel betrokkenen het treft, wat de gevolgen kunnen zijn en wat we eraan doen.

8.3. Wij helpen je met de melding aan de Gegevensbeschermingsautoriteit en, indien nodig, aan de betrokkenen. Die melding doe jij, want jij bent de verantwoordelijke.

8.4. Wij melden ook als we het niet zeker weten. Liever een melding te veel dan een die te laat komt.

9. Rechten van betrokkenen

9.1. Vraagt iemand inzage, correctie, verwijdering of overdracht van zijn gegevens, dan beantwoord jij die vraag. Wij helpen je daarbij.

9.2. Het platform bevat daarvoor de nodige functies: je kan gegevens opzoeken, aanpassen, verwijderen en in één keer downloaden.

9.3. Komt zo'n vraag rechtstreeks bij ons terecht, dan verwijzen we de persoon naar jou en laten we je dat weten.

10. Je gegevens meenemen of laten verwijderen

10.1. Je kan op elk moment al je gegevens downloaden via Instellingen, Mijn gegevens. Dat vraagt geen tussenkomst van ons en kost niets.

10.2. Stopt je abonnement, dan verwijderen we niets. Het portaal gaat naar alleen lezen, zodat je alles kan blijven bekijken en downloaden, en we bewaren je gegevens verder in jouw opdracht.

10.3. Jij kiest wat er met je gegevens gebeurt: je kan alles exporteren, of ons vragen alles te verwijderen. Op je verzoek bevestigen we de verwijdering schriftelijk.

10.4. De wettelijke bewaarplicht voor je boekhoudkundige stukken rust op jou. Zolang je ons niet vraagt ze te verwijderen, blijven ze in alleen lezen beschikbaar.

10.5. Gebruik je het platform lang niet meer, dan kunnen we je contacteren om te vragen wat er met je gegevens moet gebeuren.

10.6. Technische gegevens die wij zelf bijhouden, bewaren we niet langer dan nodig: foutmeldingen 12 maanden, IP-adressen in logboeken 6 maanden, beveiligingslogboeken 24 maanden, het logboek van je organisatie 7 jaar, gesprekken met de assistent en berichten van de DM-assistent 12 maanden, de prullenbak 30 dagen. Die termijnen worden automatisch toegepast.

11. Controle

11.1. Je mag ons vragen aan te tonen dat we deze overeenkomst naleven. Wij bezorgen je dan de nodige informatie.

11.2. Je mag ook een audit laten uitvoeren, hoogstens één keer per jaar behalve na een incident, mits dertig dagen op voorhand aangekondigd, door een onafhankelijke deskundige die tot geheimhouding verplicht is, en zonder dat de werking of de gegevens van andere klanten in het gedrang komen.

11.3. De kosten van een audit zijn voor jou, tenzij de audit een wezenlijke tekortkoming aan deze overeenkomst aantoont.

12. Aansprakelijkheid

12.1. Elke partij is aansprakelijk voor haar eigen tekortkomingen onder de AVG. Wij zijn enkel aansprakelijk voor schade die ontstaat doordat wij de verplichtingen die de AVG specifiek aan verwerkers oplegt niet nakomen, of doordat wij buiten of tegen jouw rechtmatige instructies handelen (artikel 82, lid 2, AVG).

12.2. Jij staat in voor de rechtmatigheid van wat je in het platform zet en van je instructies: dat je een geldige rechtsgrond hebt, dat je de betrokkenen informeert, en dat de gegevens juist zijn. Vordert een betrokkene of een overheid iets van ons door een tekortkoming van jouw kant, dan vrijwaar je ons daarvoor.

12.3. Onze totale aansprakelijkheid onder deze overeenkomst en de algemene voorwaarden samen is beperkt tot het bedrag dat je ons betaalde in de twaalf maanden voor het schadefeit. Gebruik je het platform gratis, dan is ze beperkt tot honderd euro.

12.4. Wij zijn niet aansprakelijk voor indirecte schade, zoals winstderving, gemiste besparingen, reputatieschade of verlies van kansen, noch voor schade door gegevens die jij zelf onjuist invoerde of verwijderde.

12.5. Deze beperkingen gelden niet bij opzet of bedrog, en evenmin voor zover de wet een beperking niet toelaat. Ze laten de rechten van betrokkenen tegenover de verantwoordelijke en de verwerker onder artikel 82 AVG onverlet.

13. Jouw instructies

13.1. Wat je in het platform doet en instelt, geldt als je instructie. Andere instructies geef je schriftelijk.

13.2. Vinden wij dat een instructie in strijd is met de AVG of een andere wet, dan laten we je dat weten en mogen we de uitvoering ervan opschorten tot je ze aanpast of bevestigt.

14. Toepasselijk recht

14.1. Op deze overeenkomst is het Belgische recht van toepassing.

14.2. Geschillen worden voorgelegd aan de bevoegde rechtbanken van het gerechtelijk arrondissement Antwerpen, afdeling Mechelen.

Lijst van onderaannemers

Supabase: De databank en de opgeslagen bestanden. Waar: Europese Unie (Frankfurt).

Vercel: Het draaien van het platform en van de websites die je ermee maakt. Waar: Europese Unie (Frankfurt); bedrijf in de Verenigde Staten, met Data Privacy Framework en standaardcontractbepalingen.

Clerk: Aanmelden en accountbeheer. Waar: Verenigde Staten, met standaardcontractbepalingen.

Resend: Het verzenden van e-mail, ook namens jouw organisatie. Waar: Europese Unie (Ierland); bedrijf in de Verenigde Staten, met standaardcontractbepalingen.

Cloudflare: Domeinnamen, bescherming tegen aanvallen en de versleutelde verbinding naar onze eigen server in Belgie. Waar: Wereldwijd netwerk; bedrijf in de Verenigde Staten, met Data Privacy Framework en standaardcontractbepalingen.

Stripe: De betaling van je abonnement, en de betalingen van jouw klanten wanneer je Stripe kiest. Waar: Europese Unie (Ierland), met doorgifte naar de Verenigde Staten onder Data Privacy Framework en standaardcontractbepalingen.

Mollie: De betalingen van jouw klanten, enkel wanneer je Mollie koppelt. Waar: Europese Unie (Nederland).

Meta (WhatsApp): Berichten van en naar WhatsApp, enkel wanneer je zelf een WhatsApp-nummer koppelt. Waar: Verenigde Staten, met Data Privacy Framework en standaardcontractbepalingen.

Google (Google Wallet) en Apple (Apple Wallet): De gegevens op een pas, enkel wanneer iemand die pas zelf in zijn wallet zet. Waar: Verenigde Staten, met Data Privacy Framework.

De pushdienst van de browser (Google, Apple of Mozilla): Het afleveren van een melding, enkel wanneer iemand meldingen aanzet. Waar: Verenigde Staten, met Data Privacy Framework of standaardcontractbepalingen.

Een erkend Peppol-toegangspunt: Het versturen en ontvangen van elektronische facturen, enkel wanneer je Peppol aanzet. Waar: Naam en vestiging melden we minstens dertig dagen voor het eerste gebruik.

Vragen of een getekend exemplaar

Mail naar contact@atlasleads.be. Wil je deze overeenkomst als ondertekend document bij je dossier, dan bezorgen we die binnen de week.