Verwerkersovereenkomst

Laatst bijgewerkt: 11 november 2026 · Eerste publicatie: 30 juli 2026

Deze versie is een informatieve vertaling. Alleen de Franse versie is rechtsgeldig.

Deze overeenkomst (hierna de "DPA") wordt gesloten in de zin van artikel 28 van Verordening (EU) 2016/679 (de "AVG") tussen de Klant, die optreedt als verwerkingsverantwoordelijke, en Siggmund, die optreedt als verwerker (hierna "Siggmund"). Zij maakt integraal deel uit van de verkoopvoorwaarden en wordt door de Klant bij het afsluiten van het abonnement aanvaard. Bij tegenstrijdigheid prevaleert deze DPA boven de andere contractuele documenten wat de verwerking van persoonsgegevens betreft.

1. Voorwerp en rollen

Siggmund verwerkt persoonsgegevens voor rekening van de Klant uitsluitend om de in de verkoopvoorwaarden beschreven dienst uit te voeren: het meten van hoe sterk het merk van de Klant wordt aanbevolen, het opstellen van een score en aanbevelingen. De Klant bepaalt het doel van en de middelen voor deze verwerking; Siggmund handelt uitsluitend op zijn gedocumenteerde instructies, bestaande uit de verkoopvoorwaarden, deze DPA en de instellingen die de Klant in zijn omgeving heeft gekozen.

Siggmund blijft verwerkingsverantwoordelijke voor zijn eigen behoeften (accountbeheer, facturatie, beveiliging), die onder het privacybeleid vallen.

2. Beschrijving van de verwerking

Aard en doel: verzameling, opslag, geautomatiseerde analyse en weergave van gegevens over de online aanwezigheid van de Klant.
Categorieën van betrokkenen: gebruikers die door de Klant zijn aangewezen; in voorkomend geval identificeerbare natuurlijke personen die worden genoemd in de geanalyseerde openbare inhoud of in de antwoorden van taalmodellen.
Categorieën van gegevens: identificatiegegevens en e-mailadressen van de gebruikers; openbare inhoud van de site van de Klant; Search Console- en Analytics 4-statistieken (vertoningen, klikken, posities, sessies, verkeersbronnen); technische identificatiegegevens van de gekoppelde Google-eigendommen.
Bijzondere categorieën van gegevens: geen. De dienst is niet ontworpen om gegevens als bedoeld in artikel 9 van de AVG te verwerken, en de Klant verbindt zich ertoe er geen aan te leveren.
Duur: de duur van het abonnement, verlengd met de bewaartermijnen van artikel 8.

3. Verplichtingen van Siggmund

Siggmund verbindt zich ertoe:

de gegevens alleen te verwerken op gedocumenteerde instructie van de Klant, en hem onverwijld te informeren als een instructie naar zijn oordeel een schending van de AVG vormt;
de gegevens van de Klant niet voor andere doeleinden te gebruiken, in het bijzonder niet voor reclamedoeleinden en niet om algemene kunstmatige-intelligentiemodellen te trainen;
de vertrouwelijkheid van de gegevens te waarborgen en iedere persoon die er toegang toe heeft aan een geheimhoudingsplicht te onderwerpen;
de in artikel 5 beschreven technische en organisatorische maatregelen toe te passen;
de Klant, voor zover redelijk, bij te staan bij het uitvoeren van gegevensbeschermingseffectbeoordelingen, bij het beantwoorden van verzoeken van betrokkenen en bij het contact met een toezichthoudende autoriteit;
de informatie ter beschikking te stellen die nodig is om de naleving van deze DPA aan te tonen.

4. Verplichtingen van de Klant

De Klant garandeert over een rechtsgrond te beschikken voor de toevertrouwde verwerkingen, de betrokkenen te hebben geïnformeerd en over de nodige rechten te beschikken op de sites en Google-accounts die hij koppelt. Het is zijn taak alleen de gegevens door te geven die voor de dienst nodig zijn.

5. Beveiliging

Siggmund past overeenkomstig artikel 32 van de AVG toe: versleuteling van de communicatie (TLS) en van de opgeslagen gegevens; afzonderlijke versleuteling van de Google-toegangstokens; op rollen gebaseerde toegangscontrole, bij elk verzoek aan de serverzijde gecontroleerd; scheiding van de gegevens van verschillende klanten; logging van de toegang van beheerders; back-ups; beperking van de toegang tot productie tot de personen die die nodig hebben; controle van afhankelijkheden en geheimen.

6. Andere verwerkers (subverwerkers)

De Klant machtigt Siggmund om een beroep te doen op de hieronder vermelde andere verwerkers. Siggmund legt hun contractueel verplichtingen inzake bescherming op die gelijkwaardig zijn aan die van deze DPA en blijft verantwoordelijk voor de uitvoering ervan.

Google Ireland Limited (Firebase, Cloud Run, Firestore, Cloud SQL) — hosting, database en uitvoering van de applicatie. Locatie: Europese Unie (europe-west1)
Google Ireland Limited (Google Analytics 4) — publieksmeting van de openbare site, onder voorbehoud van uw toestemming. Locatie: Ierland (Europese Unie), met doorgiften naar de Verenigde Staten Kader van de doorgifte: adequaatheidsbesluit EU–VS (Data Privacy Framework), waarvoor Google LLC is gecertificeerd; anders standaardcontractbepalingen
Stripe Payments Europe, Ltd. — inning van de abonnementen. Locatie: Ierland
Google (API Gemini) — analyse door een taalmodel en door Google ondersteund zoekwerk (adres van de site, activiteit en een fragment van de startpagina). Locatie: elk land waar Google over faciliteiten beschikt, waaronder de Verenigde Staten (geen gegarandeerde verwerkingsregio)

Siggmund informeert de Klant per e-mail naar het contactadres van het account ten minste 30 dagen vóór de toevoeging of vervanging van een andere verwerker. De Klant kan binnen die termijn om een legitieme en redelijke reden bezwaar maken; bij gebrek aan overeenstemming kan hij zijn abonnement zonder boete opzeggen, waarbij het niet verbruikte deel van het abonnement aan hem wordt terugbetaald.

7. Doorgiften buiten de Europese Unie

De gegevens worden gehost in de Europese Unie, in europe-west1 (België). Siggmund geeft geen persoonsgegevens van de Klant door aan een aanbieder van contentverwerking: de taalmodellen en de meetdiensten ontvangen meetvragen, adressen van openbare sites en openbare inhoud, geen persoonsgegevens. Een kopie van de waarborgen die gelden voor een aanbieder die buiten de Europese Unie is gevestigd, wordt op verzoek verstrekt.

De Search Console- en Analytics 4-gegevens van de Klant kunnen aan deze aanbieders van taalmodellen worden doorgegeven wanneer zij dienen om de analyses en aanbevelingen van de dienst op te stellen (bijvoorbeeld om de best scorende zoekopdrachten of de verkeersbronnen te duiden). Zij worden uitsluitend daarvoor doorgegeven, alleen voor inferentie: zij dienen nooit om een model te trainen of te verfijnen, en Siggmund activeert geen enkele optie voor bewaring of delen van inhoud die een aanbieder aanbiedt.

8. Bewaring, teruggave en verwijdering

De toepasselijke bewaartermijnen zijn de volgende:

Account en e-mailadres: duur van het abonnement, daarna 3 jaar na het laatste contact.
Telefoonnummer (indien van toepassing): duur van het abonnement, daarna 3 jaar na het laatste contact.
Opgestelde analyses, scores en aanbevelingen: duur van het abonnement, daarna 12 maanden.
Geïmporteerde Search Console- en Analytics-gegevens (snapshots): 13 voortschrijdende maanden, en verwijdering binnen 30 dagen na intrekking van de Google-toegang of opzegging.
Metingen van het effect van acties: gedurende de hele duur van het abonnement, verwijderd binnen 30 dagen na opzegging of intrekking van de Google-toegang.
Google-toegangstokens (versleuteld): tot intrekking door u, of 30 dagen na de opzegging.
ChatGPT Ads-API-sleutel (versleuteld): tot u de verbinding verbreekt, of 30 dagen na de opzegging.
ChatGPT Ads-advertentiebeelden die u uploadt (gehost zodat OpenAI ze kan ophalen): ten hoogste 91 dagen, of tot de klant wordt verwijderd.
Logo van het bureau (white-labelrapporten): tot vervanging ervan of tot het merk wordt verwijderd, of tot de organisatie wordt verwijderd.
Vanuit de applicatie aangemaakte ChatGPT Ads-campagnes, en het e-mailadres van hun auteur: duur van het abonnement, daarna 12 maanden.
Niet opgeëiste anonieme lead (vóór inschrijving): 7 dagen na indiening, dagelijkse automatische verwijdering (SIG-88) — een opgeëiste lead (omgezet in klant) valt nooit onder deze termijn.
Aanvragen vanaf de startpagina (e-mailadres, telefoon): 3 jaar na de laatste wijziging van de aanvraag, dagelijkse automatische verwijdering.
Berichten verstuurd via het contactformulier: 3 jaar na de laatste uitwisseling.
Gebruiksgegevens van de site en de applicatie (PostHog): 1 jaar, daarna automatische verwijdering door PostHog.
Technische en beveiligingslogs: 12 maanden.
Toegangslogs van beheerders (traceerbaarheid AVG): 3 jaar.
Facturen en boekhoudkundige stukken: 10 jaar (wettelijke verplichting, art. L123-22 van de Franse Code de commerce).

Aan het einde van de dienstverlening verwijdert Siggmund de voor rekening van de Klant verwerkte gegevens volgens die termijnen, behoudens een wettelijke bewaarplicht. De Klant kan vóór de opzegging om teruggave van zijn gegevens verzoeken in een gestructureerd en gangbaar formaat.

9. Inbreuk op persoonsgegevens

Siggmund stelt de Klant zonder onredelijke vertraging, en uiterlijk 48 uur nadat hij er kennis van heeft genomen, in kennis van elke inbreuk in verband met persoonsgegevens die zijn gegevens treft, en verstrekt hem de gegevens die hij nodig heeft voor zijn eigen melding op grond van de artikelen 33 en 34 van de AVG, evenals de genomen maatregelen om de inbreuk te verhelpen.

10. Audit

Siggmund beantwoordt de beveiligingsvragenlijsten van de Klant en verstrekt hem de relevante documentatie. De Klant kan, hoogstens eenmaal per jaar en met inachtneming van een opzegtermijn van 30 dagen, op eigen kosten een evenredige audit laten uitvoeren, onder voorwaarden die de vertrouwelijkheid van de andere klanten en de veiligheid van de dienst waarborgen.

11. Contact

Voor elk verzoek over deze overeenkomst: privacy@siggmund.com.