Verwerkersovereenkomst (DPA)

Laatst bijgewerkt: augustus 2026

1. Partijen en rol

Deze overeenkomst geldt tussen de klant (de verwerkings­verantwoordelijke) en Exposure Watch, geëxploiteerd door Robbin Asseler, handelend onder de naam Asseler Security, KvK 42099120, te Alkmaar (de verwerker). Zij hoort bij en is onderdeel van de algemene voorwaarden en de privacyverklaring.

2. Onderwerp, aard en duur

De verwerker voert externe beveiligingsscans uit op domeinen waarvan de verantwoordelijke het eigendom heeft aangetoond, en levert de bijbehorende rapportage. De verwerking duurt zolang de klant een account heeft en eindigt bij beëindiging daarvan.

3. Categorieën gegevens en betrokkenen

• Betrokkenen: gebruikers van het account van de klant.
• Persoonsgegevens: naam en e-mailadres (uit Microsoft Entra), en beperkte technische logs (o.a. een versleutelde herkomst-IP-aanduiding).
• Scangegevens: opgegeven domeinen, ontdekte subdomeinen en bevindingen, voor zover die persoonsgegevens bevatten.

4. Instructies

De verwerker verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de verantwoordelijke, zoals belichaamd in de dienst zelf en deze overeenkomst, tenzij wettelijk anders vereist. De verwerker stelt de verantwoordelijke onmiddellijk op de hoogte indien een instructie naar zijn mening in strijd is met de AVG of andere toepasselijke gegevensbeschermingswetgeving.

5. Vertrouwelijkheid

Personen die toegang hebben tot de gegevens zijn tot geheimhouding gehouden. Toegang is beperkt tot wie die nodig heeft voor de dienst.

6. Beveiliging (art. 32)

• Opslag binnen Microsoft Azure in een EU-datacenter; de database is niet publiek bereikbaar (VNet).
• Isolatie per klant op databaseniveau (row-level security), zodat de ene klant de gegevens van de andere niet kan inzien.
• Versleuteling in transit en at rest; secrets in een sleutelkluis.
• Toegang via Microsoft Entra met minimale rechten per component.
• Actieve scans alleen tegen geverifieerde, eigen doelen.

7. Subverwerkers

De verantwoordelijke geeft algemene toestemming voor onderstaande subverwerkers. Bij een voorgenomen wijziging informeren wij vooraf, zodat bezwaar mogelijk is.

• Microsoft (Azure, Entra External ID, Communication Services): hosting, database, authenticatie en meldingsmail; EU.
• Vercel: hosting van de webinterface.
• Cloudflare (Turnstile): bot- en misbruikcontrole bij de gastscan.
• Shodan: bron voor passieve, publiek beschikbare informatie over het gescande domein.
• Stripe: afhandeling van betalingen, facturatie en btw-berekening; Verenigde Staten en Ierland.
• VirusTotal (Google): reputatie-informatie over een gescand IP-adres; Verenigde Staten.
• AbuseIPDB: reputatie-informatie over een gescand IP-adres; Verenigde Staten.
• GreyNoise: reputatie-informatie over een gescand IP-adres; Verenigde Staten.
• TransIP: DNS en de e-mailpostbus voor correspondentie.

De verwerker legt elke subverwerker bij overeenkomst dezelfde gegevensbeschermings­verplichtingen op als in deze overeenkomst, en blijft jegens de verantwoordelijke volledig aansprakelijk voor de nakoming daarvan door de subverwerker.

8. Bijstand aan de verantwoordelijke

Wij ondersteunen de verantwoordelijke redelijkerwijs bij verzoeken van betrokkenen (inzage, correctie, verwijdering, overdracht) en bij DPIA’s en overleg met de toezichthouder. Verzoeken lopen via info@exposure-watch.com.

9. Datalekken

Bij een inbreuk in verband met persoonsgegevens informeren wij de verantwoordelijke zonder onnodige vertraging na ontdekking, met de beschikbare relevante gegevens.

10. Teruggave en verwijdering

Bij beëindiging verwijderen wij de persoonsgegevens, of geven wij ze terug indien gevraagd, tenzij bewaring wettelijk vereist is. Gastscangegevens worden hoe dan ook binnen dertig dagen automatisch verwijderd of geanonimiseerd.

11. Audits

Wij stellen op verzoek de informatie beschikbaar die nodig is om naleving van artikel 28 aan te tonen en werken mee aan een redelijke audit.

12. Doorgifte buiten de EER

Gegevens worden binnen de EU verwerkt. Vindt bij een subverwerker toch doorgifte buiten de EER plaats, dan gebeurt dat onder passende waarborgen (zoals de EU-modelcontractbepalingen).

Contact

Voor een ondertekende verwerkersovereenkomst of vragen hierover: info@exposure-watch.com.