Verwerkersovereenkomst

Versie 1.0 · Ingangsdatum: 22 juni 2026

Deze verwerkersovereenkomst (DPA) geldt wanneer Catalogix persoonsgegevens verwerkt voor een zakelijke klant die de Catalogix-service gebruikt. De DPA maakt deel uit van de overeenkomst voor de service. Catalogix is de verwerker en de klant de verwerkingsverantwoordelijke, tenzij partijen voor een specifieke verwerking een andere rol vastleggen. Beide partijen voldoen aan toepasselijke privacywetgeving.

1. Gedocumenteerde instructies en reikwijdte

Catalogix verwerkt persoonsgegevens van de klant uitsluitend op gedocumenteerde instructies van de klant, waaronder voor het leveren, beveiligen, ondersteunen en verbeteren van de service zoals beschreven in de serviceovereenkomst en openbare documentatie. De klant bepaalt doel en middelen, gegevenscategorieën en bewaartermijnen. Catalogix meldt het als een instructie mogelijk in strijd is met de wet en kan die instructie opschorten totdat er duidelijkheid is.

De service is ontworpen voor leverancierscatalogi en productgegevens. De klant uploadt geen gevoelige persoonsgegevens, betaalgegevens, klant- of personeelsdossiers of gereguleerde gegevens, tenzij partijen schriftelijk hebben vastgesteld dat de service daarvoor geschikt is en de vereiste maatregelen zijn getroffen.

2. Verwerkingsdetails en vertrouwelijkheid

Het onderwerp is het hosten, ordenen, vergelijken en exporteren van bestanden en bijbehorende accountgegevens. De verwerking duurt zolang de service loopt en gedurende de beperkte periode voor teruggave of verwijdering. Catalogix zorgt dat bevoegde personen aan geheimhoudingsverplichtingen zijn gebonden.

3. Beveiliging

Catalogix past redelijke technische en organisatorische maatregelen toe die passen bij de service en risico’s, waaronder geauthenticeerde toegang, scheiding per organisatie, wachtwoordhashing, sessiecontroles en operationele toegangscontroles. Catalogix belooft geen specifieke certificering of absolute beveiliging. De klant blijft verantwoordelijk voor eigen toegangsbeheer en de geschiktheid van de service voor zijn gegevens.

4. Incidenten met persoonsgegevens

Catalogix meldt de klant zonder onredelijke vertraging nadat het kennis heeft genomen van een inbreuk in verband met persoonsgegevens die klantgegevens raakt, voor zover informatie beschikbaar is. De melding beschrijft de bekende aard, waarschijnlijke gevolgen en maatregelen. Catalogix werkt redelijk mee aan de reactie van de klant en maakt zonder goede reden of wettelijke verplichting geen openbare toeschrijving die de klant identificeert.

5. Bijstand

Rekening houdend met de aard van de verwerking en de informatie waarover Catalogix beschikt, verleent Catalogix redelijke bijstand bij verzoeken van betrokkenen, beveiligingsverplichtingen, meldingen van incidenten, effectbeoordelingen en overleg met toezichthouders. De klant blijft verantwoordelijk voor reacties aan betrokkenen en toezichthouders. Buitengewone of niet-proportionele bijstand kan vooraf overeengekomen redelijk worden gefactureerd.

6. Audits en informatie

Catalogix stelt informatie die redelijkerwijs nodig is om naleving aan te tonen beschikbaar, onder voorbehoud van geheimhouding en beveiliging. De klant mag eenmaal per jaar na redelijke kennisgeving een audit op afstand of vragenlijst verzoeken, en aanvullend na een materieel incident of wanneer de wet dat vereist. Audits mogen de service niet verstoren of gegevens van andere klanten blootleggen.

7. Subverwerkers

De klant machtigt Catalogix om de subverwerkers op de openbare pagina Subverwerkers te gebruiken. Catalogix legt subverwerkers schriftelijke privacyverplichtingen op en blijft voor hun verwerking verantwoordelijk voor zover de wet dat vereist. Catalogix meldt een materiële voorgenomen wijziging wanneer de wet dat vereist; de klant kan op redelijke, specifieke privacygronden bezwaar maken.

8. Internationale doorgiften

Catalogix verricht niet bewust een beperkte internationale doorgifte van klantgegevens zonder rechtmatig doorgiftemechanisme. Partijen leggen toepasselijke waarborgen vast voordat zo’n doorgifte plaatsvindt. Deze openbare DPA belooft geen regio, adequaatheidsbesluit, modelcontractbepaling of doorgiftelocatie; contractuele bevestiging door de eigenaar is in afwachting waar de leverancierslijst dat vermeldt.

9. Teruggave en verwijdering

Op keuze van de klant en behoudens wettelijke verplichtingen stelt Catalogix klantgegevens via de service beschikbaar en verwijdert die na afloop binnen een redelijke operationele termijn. Catalogix mag een beperkte kopie bewaren als de wet dat vereist of voor het instellen, uitoefenen of onderbouwen van rechtsvorderingen; die kopie blijft vertrouwelijk en wordt verwijderd zodra dat niet meer nodig is. De klant exporteert gegevens vóór beëindiging, omdat Catalogix geen permanent archief is.

10. Aansprakelijkheid en rangorde

De serviceovereenkomst regelt kosten, garanties, aansprakelijkheid en beëindiging. Bij strijd over gegevensverwerking heeft deze DPA voorrang. Niets beperkt dwingende rechten of verplichtingen uit privacywetgeving.

Bijlage 1 — Verwerkingsbeschrijving

Betrokkenen: zakelijke gebruikers en contactpersonen die de klant in de service invoert. Gegevens: account- en organisatiegegevens, contactgegevens, leveranciers- en catalogusgegevens, supportcorrespondentie en operationele identificatoren. Bijzondere gegevens: niet bedoeld en mogen niet worden geüpload. Handelingen: verzamelen, hosten, ordenen, vergelijken, transformeren, exporteren, ondersteunen en verwijderen. Doel: de catalogusworkflow van de klant leveren. Duur: de looptijd plus de periode voor teruggave/verwijdering.

Bijlage 2 — Goedgekeurde subverwerkers

Replit/infrastructuur voor applicatiehosting en runtime-infrastructuur. PostgreSQL-infrastructuur: contractuele bevestiging door de eigenaar in afwachting. Zoho Mail uitsluitend als SMTP is ingeschakeld voor zakelijke correspondentie. Stripe uitsluitend wanneer facturering is ingeschakeld voor factuurgegevens. Google Frontend (GAESA) voor frontendlevering waar ingeschakeld; doorgifte- en regiogegevens vereisen contractuele bevestiging door de eigenaar. Zie de openbare pagina Subverwerkers voor actuele status.

Contact: hello@catalogix.io