Art. 28 AVG processor agreement · Rule Step B.V.
Alleen de Nederlandse tekst is juridisch bindend · Only the Dutch text is legally binding
Versie: 1.0 Datum van inwerkingtreding: 30 september 2026
Version: 1.0 Date of entry into force: 30 September 2026
Dit document is opgesteld overeenkomstig de vereisten van de Algemene Verordning Gegevensbescherming (hierna: "AVG") en de Uitvoeringswet Algemene Verordening Gegevensbescherming (hierna: "UAVG").
This document has been drawn up in accordance with the requirements of the Algemene Verordening Gegevensbescherming [General Data Protection Regulation] (hereinafter: "AVG" [GDPR]) and the Uitvoeringswet Algemene Verordening Gegevensbescherming [Dutch GDPR Implementation Act] (hereinafter: "UAVG").
Deze Verwerkersovereenkomst maakt deel uit van de overeenkomst tussen Rule Step B.V. en de Klant (hierna te noemen: "Overeenkomst"), naast de Algemene Voorwaarden ("AW"), de toepasselijke Aanvullende Voorwaarden (AVO voor online diensten; AVC voor consulting), en het Opdrachtformulier. Definities uit de AW (AW Art. 1.1) zijn van overeenkomstige toepassing.
This Data Processing Agreement (Verwerkersovereenkomst) forms part of the agreement between Rule Step B.V. and the Customer (hereinafter referred to as: "Agreement"), alongside the General Terms and Conditions ("AW"), the applicable Supplementary Terms and Conditions (AVO for online services; AVC for consulting), and the Order Form. Definitions from the AW (AW Art. 1.1) apply mutatis mutandis.
Verwerkingsverantwoordelijke en Verwerker worden hierna gezamenlijk aangeduid als de "Partijen" en elk afzonderlijk als een "Partij".
Controller and Processor are hereinafter jointly referred to as the "Parties" and each individually as a "Party".
Overwegende dat:
Considering that:
1.1. De in deze Overeenkomst gebruikte begrippen hebben dezelfde betekenis als in de AVG en de UAVG. Bij twijfel prevaleert de definitie zoals opgenomen in de AVG.
1.1. The terms used in this Agreement have the same meaning as in the AVG and the UAVG. In case of doubt, the definition as included in the AVG prevails.
1.2. "AVG": Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen inzake de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens.
1.2. "AVG": Verordening (EU) 2016/679 [Regulation (EU) 2016/679] of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data.
1.3. "UAVG": de Uitvoeringswet Algemene Verordening Gegevensbescherming.
1.3. "UAVG": the Uitvoeringswet Algemene Verordening Gegevensbescherming [Dutch GDPR Implementation Act].
1.4. "Persoonsgegevens", "Verwerking", "Datalek", "Sub-verwerker", "Standaard Contractuele Bepalingen" (SCC's), "Toezichthoudende Autoriteit": hebben de betekenis als in de AVG (artikel 4).
1.4. "Personal Data" (Persoonsgegevens), "Processing" (Verwerking), "Personal Data Breach" (Datalek), "Sub-processor" (Sub-verwerker), "Standard Contractual Clauses" (Standaard Contractuele Bepalingen) (SCCs), "Supervisory Authority" (Toezichthoudende Autoriteit): have the meaning as in the AVG (GDPR) (Article 4).
1.5. "Diensten": de online diensten (hosting, VPS, domeinen, e-mail, certificaten, licenties, back-up) en — voor zover van toepassing — consulting-diensten, waarbij de Verwerker persoonsgegevens namens de Verwerkingsverantwoordelijke verwerkt.
1.5. "Services": the online services (hosting, VPS, domains, e-mail, certificates, licences, back-up) and — insofar as applicable — consulting services, whereby the Processor processes personal data on behalf of the Controller.
2.1. De Verwerker verwerkt de Persoonsgegevens uitsluitend op gedocumenteerde instructie van de Verwerkingsverantwoordelijke, met inbegrip van de bevoegdheden tot overdracht van persoonsgegevens, tenzij de Verwerker daartoe krachtens het Unierecht of het recht van de lidstaat wordt verplicht; in dat geval deelt de Verwerker de Verwerkingsverantwoordelijke dit wettelijke vereiste vóór de verwerking mee, tenzij die wet het verbiedt de Verwerkingsverantwoordelijke hiervan in te lichten.
2.1. The Processor processes the Personal Data exclusively on the documented instruction of the Controller, including the authorisations to transfer personal data, unless the Processor is required to do so pursuant to Union law or the law of the Member State; in that case, the Processor informs the Controller of this legal requirement prior to the processing, unless that law prohibits informing the Controller thereof.
2.2. De aard en het doel van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen zijn vastgelegd in Bijlage A.
2.2. The nature and the purpose of the processing, the types of personal data and the categories of data subjects are recorded in Annex A.
2.3. De Verwerkingsverantwoordelijke is te allen tijde bevoegd om nieuwe, gewijzigde of aanvullende instructies te geven met betrekking tot de verwerking. De Verwerker voert deze instructies onverwijld uit, mits deze binnen het kader van de Overeenkomst vallen.
2.3. The Controller is at all times authorised to give new, amended or supplementary instructions with regard to the processing. The Processor carries out these instructions without delay, provided that these fall within the framework of the Agreement.
2.4. Indien de Verwerker van oordeel is dat een instructie inbreuk maakt op de AVG, de UAVG of andere toepasselijke wet- of regelgeving, stelt hij de Verwerkingsverantwoordelijke hiervan onverwijld op de hoogte.
2.4. If the Processor is of the opinion that an instruction infringes the AVG, the UAVG or other applicable laws or regulations, it shall inform the Controller thereof without delay.
2.5. De Verwerker is niet bevoegd om de Persoonsgegevens te verwerken voor eigen doeleinden, noch om deze beschikbaar te stellen aan derden, tenzij dit uitdrukkelijk is voorgeschreven door de Verwerkingsverantwoordelijke of bij wettelijk voorschrift.
2.5. The Processor is not authorised to process the Personal Data for its own purposes, nor to make these available to third parties, unless this is expressly prescribed by the Controller or by statutory provision.
2.6. De Verwerker verwijst voor de verwerking van eigen administratieve gegevens (klantbeheer, facturatie) naar het Privacybeleid van Rule Step, dat deel uitmaakt van de Overeenkomst.
2.6. For the processing of its own administrative data (customer management, invoicing), the Processor refers to the Privacy Policy (Privacybeleid) of Rule Step, which forms part of the Agreement.
3.1. De Verwerker waarborgt dat alle personen die onder zijn gezag bevoegd zijn om Persoonsgegevens te verwerken, een uitdrukkelijke, schriftelijke of elektronische vertrouwelijkheidsverplichting hebben aanvaard, alvorens zij toegang krijgen tot de Persoonsgegevens.
3.1. The Processor guarantees that all persons who, under its authority, are authorised to process Personal Data have accepted an express, written or electronic confidentiality obligation before they are granted access to the Personal Data.
3.2. De in het vorige lid bedoelde vertrouwelijkheidsverplichting blijft van kracht na beëindiging van de arbeidsovereenkomst of opdrachtrelatie.
3.2. The confidentiality obligation referred to in the previous paragraph remains in force after termination of the employment contract or assignment relationship.
3.3. De Verwerker treft adequate maatregelen om te waarborgen dat slechts die personen die strikt noodzakelijk zijn voor de uitvoering van de Overeenkomst toegang hebben tot de Persoonsgegevens (beginsel van minimale gegevenstoegang, artikel 5 lid 1 onder c AVG).
3.3. The Processor takes adequate measures to guarantee that only those persons who are strictly necessary for the performance of the Agreement have access to the Personal Data (principle of minimal data access, Article 5(1)(c) AVG).
4.1. Rekening houdend met de stand van de techniek, de kosten van de tenuitvoerlegging en de aard, omvang, context en verwerkingsdoeleinden, treft de Verwerker passende technische en organisatorische maatregelen om een niveau van beveiliging te waarborgen dat passend is voor het risico, waaronder de in artikel 32 lid 1 AVG genoemde maatregelen.
4.1. Taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of the processing, the Processor takes appropriate technical and organisational measures to ensure a level of security appropriate to the risk, including the measures referred to in Article 32(1) AVG.
4.2. De Verwerker hanteert in ieder geval de in Bijlage C gespecificeerde beveiligingsmaatregelen.
4.2. The Processor applies in any case the security measures specified in Annex C.
4.3. De Verwerkingsverantwoordelijke keurt de in Bijlage C opgenomen beveiligingsmaatregelen goed. De Verwerker mag deze maatregelen niet substantieel wijzigen of intrekken zonder voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke, tenzij de wijziging leidt tot een versterking van de beveiliging.
4.3. The Controller approves the security measures included in Annex C. The Processor may not substantially modify or withdraw these measures without the prior written consent of the Controller, unless the modification leads to a strengthening of the security.
4.4. Indien de Verwerkingsverantwoordelijke van oordeel is dat de beveiligingsmaatregelen onvoldoende zijn, stelt zij de Verwerker hiervan schriftelijk in kennis. Partijen plegen overleg om de maatregelen te versterken. De kosten verbonden aan dergelijke verzoeken komen voor rekening van de Verwerkingsverantwoordelijke, tenzij de verzoeken voortvloeien uit een wettelijke verplichting die op de Verwerker rust.
4.4. If the Controller is of the opinion that the security measures are insufficient, it shall notify the Processor thereof in writing. The Parties shall hold consultations in order to strengthen the measures. The costs connected to such requests shall be borne by the Controller, unless the requests arise from a statutory obligation resting on the Processor.
5.1. De Verwerkingsverantwoordelijke verleent bij deze een algemene, voorafgaande schriftelijke toestemming aan de Verwerker voor het inschakelen van de in Bijlage B vermelde Sub-verwerkers.
5.1. The Controller hereby grants the Processor a general, prior written authorisation for engaging the Sub-processors listed in Annex B.
5.2. De Verwerker brengt de Verwerkingsverantwoordelijke op de hoogte van elke voorgenomen wijziging met betrekking tot de toevoeging of vervanging van Sub-verwerkers, waardoor de Verwerkingsverantwoordelijke de mogelijkheid krijgt om bezwaar te maken.
5.2. The Processor informs the Controller of any intended change with regard to the addition or replacement of Sub-processors, whereby the Controller is given the opportunity to object.
5.3. De Verwerkingsverantwoordelijke heeft het recht om bezwaar te maken tegen de voorgenomen wijziging van Sub-verwerkers. Het bezwaar dient schriftelijk en met redenen omkleed te worden ingediend binnen dertig (30) kalenderdagen na de kennisgeving. Indien de Verwerkingsverantwoordelijke bezwaar maakt, treden Partijen in overleg om een aanvaardbare oplossing te vinden. Indien Partijen niet tot overeenstemming komen, is de Verwerkingsverantwoordelijke gerechtigd de Overeenkomst te ontbinden door middel van een schriftelijke kennisgeving aan de Verwerker, onverminderd het recht van de Verwerkingsverantwoordelijke op vergoeding van schade.
5.3. The Controller has the right to object to the intended change of Sub-processors. The objection must be submitted in writing and substantiated, within thirty (30) calendar days after the notification. If the Controller objects, the Parties shall enter into consultations in order to find an acceptable solution. If the Parties do not reach agreement, the Controller is entitled to dissolve the Agreement by means of a written notification to the Processor, without prejudice to the right of the Controller to compensation for damage.
5.4. Wanneer de Verwerker bij de uitvoering van de Overeenkomst gebruik maakt van de diensten van een Sub-verwerker, legt hij deze Sub-verwerker dezelfde verplichtingen op als die welke in deze Overeenkomst zijn vastgelegd, in het bijzonder met betrekking tot passende technische en organisatorische maatregelen.
5.4. Where the Processor, in the performance of the Agreement, makes use of the services of a Sub-processor, it shall impose on that Sub-processor the same obligations as those recorded in this Agreement, in particular with regard to appropriate technical and organisational measures.
5.5. De Verwerker blijft te allen tijde volledig aansprakelijk jegens de Verwerkingsverantwoordelijke voor de nakoming van de verplichtingen van de Sub-verwerker.
5.5. The Processor remains at all times fully liable towards the Controller for the performance of the obligations of the Sub-processor.
5.6. De actuele lijst van Sub-verwerkers is opgenomen in Bijlage B.
5.6. The current list of Sub-processors is included in Annex B.
6.1. De Verwerker ondersteunt de Verwerkingsverantwoordelijke met passende technische en organisatorische maatregelen voor de uitoefening van de rechten van betrokkenen (inzage, rectificatie, wissing, beperking van de verwerking, gegevensoverdraagbaarheid, bezwaar).
6.1. The Processor supports the Controller with appropriate technical and organisational measures for the exercise of the rights of data subjects (access, rectification, erasure, restriction of the processing, data portability, objection).
6.2. Indien een betrokkenene een verzoek tot uitoefening van één van zijn rechten rechtstreeks indient bij de Verwerker, verwijst de Verwerker de betrokkene door naar de Verwerkingsverantwoordelijke en stelt de Verwerkingsverantwoordelijke onverwijld, doch uiterlijk binnen achtenveertig (48) uur na ontvangst van het verzoek, schriftelijk op de hoogte, dan wel zo spoedig als redelijkerwijs mogelijk na vaststelling van het verzoek.
6.2. If a data subject submits a request to exercise one of his rights directly with the Processor, the Processor refers the data subject on to the Controller and informs the Controller in writing without delay, but at the latest within forty-eight (48) hours after receipt of the request, or as soon as reasonably possible after establishment of the request.
6.3. De Verwerker verleent de Verwerkingsverantwoordelijke volledige bijstand bij de afhandeling van dergelijke verzoeken, binnen vijf (5) werkdagen na het verzoek van de Verwerkingsverantwoordelijke.
6.3. The Processor provides the Controller with full assistance in the handling of such requests, within five (5) working days after the request of the Controller.
6.4. De kosten verbonden aan de bijstand van de Verwerker bij de uitoefening van de rechten van betrokkenen zijn begrepen in de vergoeding voor de dienstverlening, tenzij het verzoek buiten de scope van de Overeenkomst valt of onevenredig veel inspanning vereist.
6.4. The costs connected to the assistance of the Processor in the exercise of the rights of data subjects are included in the fee for the services, unless the request falls outside the scope of the Agreement or requires a disproportionate amount of effort.
7.1. De Verwerker stelt de Verwerkingsverantwoordelijke onverwijld, en in ieder geval niet later dan achtenveertig (48) uur nadat hij een Datalek heeft ontdekt, op de hoogte van een Datalek.
7.1. The Processor informs the Controller of a Personal Data Breach without delay, and in any case no later than forty-eight (48) hours after it has discovered a Personal Data Breach.
7.2. De kennisgeving bevat in ieder geval:
7.2. The notification contains at least:
(a) de aard van het Datalek, inclusief de categorieën en het geschatte aantal betrokkenen en Persoonsgegevens;
(a) the nature of the Personal Data Breach, including the categories and the estimated number of data subjects and Personal Data;
(b) de waarschijnlijke gevolgen van het Datalek voor de betrokkenen;
(b) the likely consequences of the Personal Data Breach for the data subjects;
(c) de maatregelen die de Verwerker heeft genomen of voorstelt om het Datalek in te dammen;
(c) the measures that the Processor has taken or proposes in order to contain the Personal Data Breach;
(d) de contactgegevens van de DPO of een ander contactpunt.
(d) the contact details of the DPO [Data Protection Officer; Functionaris voor de Gegevensbescherming] or another contact point.
7.3. Indien niet alle informatie tegelijkertijd kan worden verstrekt, mag de Verwerker de informatie in fasen verstrekken, zonder onredelijke vertraging, overeenkomstig artikel 33 lid 4 AVG.
7.3. If not all information can be provided at the same time, the Processor may provide the information in phases, without unreasonable delay, in accordance with Article 33(4) AVG.
7.4. De Verwerker documenteert alle Datalekken, inclusief feiten, effecten en herstellende maatregelen, conform artikel 33 lid 5 AVG.
7.4. The Processor documents all Personal Data Breaches, including facts, effects and remedial measures, in accordance with Article 33(5) AVG.
7.5. De Verwerker is niet bevoegd om zelfstandig een Datalek te melden aan de Toezichthoudende Autoriteit, tenzij daartoe krachtens het Unierecht of het nationale recht wordt verplicht.
7.5. The Processor is not authorised to report a Personal Data Breach to the Supervisory Authority on its own initiative, unless required to do so pursuant to Union law or national law.
7.6. De Verwerker neemt alle redelijke maatregelen om de oorzaak van het Datalek onverwijld te verhelpen en herhaalde inbreuken te voorkomen.
7.6. The Processor takes all reasonable measures to remedy the cause of the Personal Data Breach without delay and to prevent repeated breaches.
8.1. De Verwerkingsverantwoordelijke, of een daartoe schriftelijk aangewezen derde die gebonden is aan een geheimhoudingsverplichting, heeft het recht om audits uit te voeren om zich te vergewissen van de naleving van deze Overeenkomst en de AVG door de Verwerker.
8.1. The Controller, or a third party designated in writing for this purpose who is bound by a confidentiality obligation, has the right to carry out audits in order to verify compliance with this Agreement and the AVG by the Processor.
8.2. De Verwerker verleent volledige medewerking aan dergelijke audits en stelt alle relevante informatie ter beschikking.
8.2. The Processor provides full cooperation with such audits and makes all relevant information available.
8.3. De Verwerkingsverantwoordelijke stelt de Verwerker tijdig, en in ieder geval minimaal tien (10) werkdagen voorafgaand aan de audit, in kennis van de voorgenomen audit, tenzij de audit een ongecontroleerd karakter vereist in het kader van een onderzoek naar een Datalek.
8.3. The Controller notifies the Processor in good time, and in any case at least ten (10) working days prior to the audit, of the intended audit, unless the audit requires an unannounced character in the context of an investigation into a Personal Data Breach.
8.4. Indien de Verwerker beschikt over een actueel certificaat of rapport van een onafhankelijke, gekwalificeerde auditor (zoals ISO 27001, SOC 2 Type II), kan de Verwerkingsverantwoordelijke dit certificaat in overweging nemen en, voor zover daarmee voldoende zekerheid wordt geboden, afzien van een verdere audit.
8.4. If the Processor holds a current certificate or report from an independent, qualified auditor (such as ISO 27001, SOC 2 Type II), the Controller may take this certificate into consideration and, insofar as sufficient assurance is thereby offered, refrain from a further audit.
8.5. De kosten van een door de Verwerkingsverantwoordelijke geïnitieerde audit komen voor rekening van de Verwerkingsverantwoordelijke, tenzij de audit aan het licht brengt dat de Verwerker toerekenbaar tekortgeschoten is in de nakoming van zijn verplichtingen.
8.5. The costs of an audit initiated by the Controller shall be borne by the Controller, unless the audit reveals that the Processor has attributably failed in the performance of its obligations.
9.1. Na het einde van de dienstverlening retourneert of verwijdert de Verwerker, naar keuze van de Verwerkingsverantwoordelijke, alle Persoonsgegevens die namens de Verwerkingsverantwoordelijke zijn verwerkt, tenzij de opslag krachtens het Unierecht of het nationale recht is vereist.
9.1. After the end of the services, the Processor shall return or delete, at the choice of the Controller, all Personal Data processed on behalf of the Controller, unless storage is required pursuant to Union law or national law.
9.2. De retournering of veilige verwijdering vindt plaats binnen dertig (30) kalenderdagen na beëindiging van de Overeenkomst.
9.2. The return or secure deletion takes place within thirty (30) calendar days after termination of the Agreement.
9.3. Retournering geschiedt in een gestructureerd, algemeen gebruikt en machineleesbaar formaat (zoals CSV of JSON), overeenkomstig artikel 20 AVG.
9.3. Return takes place in a structured, commonly used and machine-readable format (such as CSV or JSON), in accordance with Article 20 AVG.
9.4. Verwijdering geschiedt zodanig dat de gegevens niet meer hersteld kunnen worden (data wiping / cryptografische vernietiging).
9.4. Deletion takes place in such a way that the data can no longer be restored (data wiping / cryptographic destruction).
9.5. Op verzoek verstrekt de Verwerker binnen tien (10) werkdagen na de verwijdering een schriftelijke certificatie van verwijdering.
9.5. Upon request, the Processor provides, within ten (10) working days after the deletion, a written certification of deletion.
9.6. Reeds gemaakte back-ups worden binnen negentig (90) dagen na beëindiging veilig verwijderd of geanonimiseerd.
9.6. Back-ups already made are securely deleted or anonymised within ninety (90) days after termination.
10.1. De Verwerker mag Persoonsgegevens alleen overdragen naar een land buiten de Europese Economische Ruimte (EER) indien daartoe door de Verwerkingsverantwoordelijke schriftelijke toestemming is verleend en aan de voorwaarden van Hoofdstuk V AVG is voldaan.
10.1. The Processor may only transfer Personal Data to a country outside the European Economic Area (EEA) if written authorisation to that effect has been granted by the Controller and the conditions of Chapter V AVG have been met.
10.2. Voor zover de verwerking plaatsvindt binnen de infrastructuur van hostingpartners in Duitsland of andere EER-landen, vindt geen internationale overdracht plaats aangezien deze landen deel uitmaken van de EER.
10.2. Insofar as the processing takes place within the infrastructure of hosting partners in Germany or other EEA countries, no international transfer takes place, since these countries form part of the EEA.
10.3. Voor overdrachten naar derde landen (bijvoorbeeld naar ICANN in de Verenigde Staten) sluiten Partijen de Standaard Contractuele Bepalingen (SCC's) conform Uitvoeringsbesluit (EU) 2021/914. De toepasselijke modules zijn: Module 2 (Verwerkingsverantwoordelijke naar Verwerker) en Module 3 (Verwerker naar Sub-verwerker).
10.3. For transfers to third countries (for example to ICANN in the United States), the Parties conclude the Standard Contractual Clauses (SCCs) in accordance with Implementing Decision (EU) 2021/914. The applicable modules are: Module 2 (Controller to Processor) and Module 3 (Processor to Sub-processor).
10.4. Voor overdrachten naar de Verenigde Staten maakt de Verwerker, waar van toepassing, uitsluitend gebruik van Sub-verwerkers die aantoonbaar en actueel zijn gecertificeerd onder het EU-VS Data Privacy Framework (DPF) van 2023, overeenkomstig Uitvoeringsbesluit (EU) 2023/1795. ICANN is niet gecertificeerd onder het EU-VS DPF; voor ICANN gelden SCC's + TIA.
10.4. For transfers to the United States, the Processor, where applicable, makes use exclusively of Sub-processors that are demonstrably and currently certified under the EU-US Data Privacy Framework (DPF) of 2023, in accordance with Implementing Decision (EU) 2023/1795. ICANN is not certified under the EU-US DPF; for ICANN, SCCs + TIA apply.
10.5. De Verwerker heeft, overeenkomstig de aanbevelingen van het Europees Gegevensbeschermingscomité (EDPB 01/2020), een Transfer Impact Assessment (TIA) uitgevoerd of zal deze uitvoeren voor elke overdracht naar een derde land.
10.5. The Processor has, in accordance with the recommendations of the European Data Protection Board (EDPB 01/2020), carried out a Transfer Impact Assessment (TIA) or will carry one out for each transfer to a third country.
10.6. Indien de TIA aanvullende maatregelen vereist, worden deze op eigen kosten geïmplementeerd, tenzij specifieke aanpassingen vereist zijn die buiten de standaard dienstverlening vallen.
10.6. If the TIA requires supplementary measures, these shall be implemented at its own expense, unless specific adjustments are required that fall outside the standard services.
10.7. De Verwerker stelt de Verwerkingsverantwoordelijke onverwijld in kennis van (i) een verzoek van een derde-landsoverheid om toegang tot Persoonsgegevens, en (ii) eventuele beperkingen die hem worden opgelegd om een dergelijk verzoek te melden, tenzij hem dit wettelijk is verboden.
10.7. The Processor notifies the Controller without delay of (i) a request from a third-country authority for access to Personal Data, and (ii) any restrictions imposed on it to report such a request, unless this is legally prohibited to it.
11.1. De Verwerker is aansprakelijk voor schade die voortvloeit uit een tekortkoming in de nakoming van haar verplichtingen uit deze Overeenkomst, de AVG, de UAVG, of uit onrechtmatige daad (6:162 BW) en wanprestatie (6:74 e.v. BW), overeenkomstig artikel 82 lid 2 AVG.
11.1. The Processor is liable for damage arising from a failure in the performance of its obligations under this Agreement, the AVG, the UAVG, or from unlawful act (onrechtmatige daad) (6:162 BW [Burgerlijk Wetboek — Dutch Civil Code]) and breach of contract (wanprestatie) (6:74 et seq. BW [Dutch Civil Code]), in accordance with Article 82(2) AVG.
11.2. De Verwerker vrijwaart de Verwerkingsverantwoordelijke voor alle aanspraken van derden, waaronder betrokkenen, die voortvloeien uit een toerekenbare tekortkoming van de Verwerker.
11.2. The Processor indemnifies the Controller against all claims of third parties, including data subjects, arising from an attributable failure of the Processor.
11.3. Indien zowel de Verwerkingsverantwoordelijke als de Verwerker aansprakelijk zijn, zijn zij jegens de betrokkene hoofdelijk aansprakelijk voor de volledige schadevergoeding, overeenkomstig artikel 82 lid 4 AVG. Tussen Partijen stelt de Verwerker de Verwerkingsverantwoordelijke schadeloos voor het door de Verwerkingsverantwoordelijke aan betrokkenen betaalde bedrag, voor zover de schade is veroorzaakt door de Verwerker.
11.3. If both the Controller and the Processor are liable, they are jointly and severally liable towards the data subject for the full compensation, in accordance with Article 82(4) AVG. Between the Parties, the Processor holds the Controller harmless for the amount paid by the Controller to data subjects, insofar as the damage was caused by the Processor.
11.4. De Verwerker onderhoudt te allen tijde een adequate beroeps- en aansprakelijkheidsverzekering die dekking biedt voor de aansprakelijkheden uit deze Overeenkomst en de AVG. Op eerste verzoek toont de Verwerker het bestaan van deze verzekering aan.
11.4. The Processor maintains at all times an adequate professional and liability insurance that provides cover for the liabilities under this Agreement and the AVG. Upon first request, the Processor shall demonstrate the existence of this insurance.
11.5. De algemene aansprakelijkheidsbeperking uit de Algemene Voorwaarden (AW Art. 9) is van overeenkomstige toepassing op deze Overeenkomst.
11.5. The general limitation of liability from the General Terms and Conditions (AW Art. 9) applies mutatis mutandis to this Agreement.
12.1. Deze Overeenkomst treedt in werking op de datum van ondertekening en geldt voor de duur van de hoofdovereenkomst tussen Partijen, tenzij zij schriftelijk anders overeenkomen.
12.1. This Agreement enters into force on the date of signature and applies for the duration of the main agreement between the Parties, unless they agree otherwise in writing.
12.2. De opzegtermijn van deze Overeenkomst is gelijk aan de opzegtermijn van de hoofdovereenkomst.
12.2. The notice period of this Agreement is equal to the notice period of the main agreement.
12.3. De Verwerkingsverantwoordelijke kan deze Overeenkomst te allen tijde met onmiddellijke ingang ontbinden indien:
12.3. The Controller may dissolve this Agreement at any time with immediate effect if:
(a) de Verwerker een wezenlijke verplichting uit deze Overeenkomst of de AVG niet nakomt en niet in staat is deze tekortkoming binnen een redelijke termijn te herstellen;
(a) the Processor fails to comply with a material obligation under this Agreement or the AVG and is not able to remedy this failure within a reasonable period;
(b) de Verwerker in staat van faillissement wordt verklaard, surseance van betaling aanvraagt, of een vergelijkbare procedure wordt ingesteld;
(b) the Processor is declared bankrupt, applies for suspension of payments (surseance van betaling), or a comparable procedure is instituted;
(c) de Verwerkingsverantwoordelijke bezwaar maakt tegen een Sub-verwerker en Partijen niet tot overeenstemming komen.
(c) the Controller objects to a Sub-processor and the Parties do not reach agreement.
12.4. Na beëindiging blijven de artikelen 3, 9, 10 (voor zover van toepassing op reeds overgedragen gegevens), 11 en dit artikel 12 van kracht.
12.4. After termination, Articles 3, 9, 10 (insofar as applicable to data already transferred), 11 and this Article 12 remain in force.
13.1. Op deze Overeenkomst is Nederlands recht van toepassing. De toepasselijkheid van het Weens Koopverdrag (CISG) wordt uitgesloten.
13.1. This Agreement is governed by Dutch law. The applicability of the Weens Koopverdrag (CISG) [Vienna Sales Convention; UN Convention on Contracts for the International Sale of Goods] is excluded.
13.2. Alle geschillen die mochten ontstaan naar aanleiding van deze Overeenkomst worden, voor zover de wet dit toelaat, voorgelegd aan de bevoegde rechter in het arrondissement waarin Rule Step B.V. statutair is gevestigd (Amsterdam).
13.2. All disputes that may arise in connection with this Agreement shall, insofar as the law permits this, be submitted to the competent court in the arrondissement [judicial district] in which Rule Step B.V. has its statutory seat (Amsterdam).
13.3. Onverminderd het bepaalde in dit artikel heeft de betrokkene, overeenkomstig artikel 79 AVG, het recht om een rechtsvordering in te dienen bij de bevoegde rechter in de lidstaat van zijn gewone verblijfplaats.
13.3. Without prejudice to the provisions of this article, the data subject, in accordance with Article 79 AVG, has the right to bring legal proceedings before the competent court in the Member State of his habitual residence.
13.4. [B2C] Voor een Klant die Consument is, gelden de aanvullende forumkeuze-beschermingen van AW Art. 16.2 (artikel 18 lid 1 van Verordening (EU) Nr. 1215/2012, Brussel I bis, artikel 6:231 e.v. BW).
13.4. [B2C] For a Customer who is a Consumer, the additional forum-choice protections of AW Art. 16.2 apply (article 18(1) of Regulation (EU) No 1215/2012 (Brussels I bis), article 6:231 et seq. BW (Dutch Civil Code)).
14.1. Wijzigingen en aanvullingen op deze Overeenkomst, inclusief de Bijlagen, zijn slechts geldig indien deze schriftelijk zijn overeengekomen en door bevoegde vertegenwoordigers van beide Partijen zijn ondertekend.
14.1. Amendments and additions to this Agreement, including the Annexes, are only valid if these have been agreed in writing and signed by authorised representatives of both Parties.
14.2. Indien enige bepaling van deze Overeenkomst nietig of vernietigbaar is, laat dit de geldigheid van de overige bepalingen onverlet.
14.2. If any provision of this Agreement is null or voidable, this leaves the validity of the remaining provisions unaffected.
14.3. Geen der Partijen is bevoegd haar rechten en verplichtingen uit deze Overeenkomst over te dragen aan een derde zonder voorafgaande schriftelijke toestemming van de andere Partij.
14.3. Neither Party is authorised to transfer its rights and obligations under this Agreement to a third party without the prior written consent of the other Party.
Aldus overeengekomen en ondertekend in tweevoud.
Thus agreed and signed in duplicate.
Plaats: Amsterdam, Nederland Datum: 30 september 2026
Place: Amsterdam, the Netherlands Date: 30 September 2026
VOOR DE VERWERKINGSVERANTWOORDELIJKE: [Naam verwerkingsverantwoordelijke]
FOR THE CONTROLLER: [Name controller]
Naam: _______________________________________ Functie: ______________________________________ Handtekening: _________________________________
Name: _______________________________________ Position: ____________________________________ Signature: ___________________________________
VOOR DE VERWERKER (Rule Step B.V.):
FOR THE PROCESSOR (Rule Step B.V.):
Naam: J.J. van Grondelle Functie: Directeur (alleen/zelfstandig bevoegd) Handtekening: _________________________________
Name: J.J. van Grondelle Position: Director (alleen/zelfstandig bevoegd [solely/independently authorised]) Signature: ___________________________________
Dit Bijlage A maakt integraal onderdeel uit van de Verwerkersovereenkomst en specificeert de verwerkingen als bedoeld in van de AVG (artikel 28 lid 3 onder a).
This Annex A forms an integral part of the Data Processing Agreement and specifies the processing operations as referred to in the AVG (GDPR) (Article 28(3)(a)).
A1. Doel(en) van de verwerking:
A1. Purpose(s) of the processing:
Online diensten:
Online services:
Consulting (uitsluitend indien en voor zover de Verwerker in een concrete Opdracht persoonsgegevens verwerkt ten behoeve van de Verwerkingsverantwoordelijke):
Consulting (exclusively if and insofar as the Processor, in a concrete Assignment (Opdracht), processes personal data on behalf of the Controller):
A2. Categorieën betrokkenen:
A2. Categories of data subjects:
Online diensten:
Online services:
Consulting:
Consulting:
A3. Categorieën persoonsgegevens:
A3. Categories of personal data:
A4. Bijzondere categorieën van persoonsgegevens (Art. 9 AVG):
A4. Special categories of personal data (Art. 9 AVG):
Partijen zijn overeengekomen dat de verwerking in het kader van deze Overeenkomst niet betrekking heeft op bijzondere categorieën van persoonsgegevens. De Verwerker verwerkt geen persoonsgegevens waaruit ras, etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische gegevens, biometrische gegevens, gezondheidsgegevens, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid blijken. Indien de Verwerkingsverantwoordelijke desondanks dergelijke gegevens verstrekt, is de Verwerkingsverantwoordelijke uitsluitend aansprakelijk voor de naleving van artikel 9 AVG.
The Parties have agreed that the processing within the framework of this Agreement does not relate to special categories of personal data. The Processor does not process personal data revealing race, ethnic origin, political opinions, religious or philosophical beliefs, membership of a trade union, genetic data, biometric data, health data, or data concerning a person's sexual behaviour or sexual orientation. If the Controller nevertheless provides such data, the Controller is exclusively liable for compliance with Article 9 AVG.
A5. Omvang van de verwerking:
A5. Scope of the processing:
De verwerking omvat alle handelingen die noodzakelijk zijn voor de uitvoering van de in A1 genoemde doeleinden, waaronder het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, doorzenden, verspreiden, afschermen, wissen en vernietigen van gegevens.
The processing comprises all operations that are necessary for the execution of the purposes mentioned in A1, including the collection, recording, organisation, structuring, storage, updating, modification, retrieval, consultation, use, transmission, dissemination, shielding, erasure and destruction of data.
Dit Bijlage B maakt integraal onderdeel uit van de Verwerkersovereenkomst en bevat de actuele lijst van Sub-verwerkers als bedoeld in artikel 5 van de Overeenkomst.
This Annex B forms an integral part of the Data Processing Agreement and contains the current list of Sub-processors as referred to in Article 5 of the Agreement.
| Naam Sub-verwerker | Categorie / Dienst | Land van vestiging | Reikwijdte verwerking / Doel | Doorgifte buiten EER? |
|---|---|---|---|---|
| Hostingpartners (EU) | Hosting / Infrastructuur | Duitsland (EER) en andere EER-landen | Leveren van dedicated servers en VPS'en voor data-opslag en verwerking. | Nee |
| Realtime Register B.V. | Domeinregistratie | Nederland (EER) | Domeinnaam registratie en beheer, DNS hosting, WHOIS-verwerking. | Nee |
| TransIP B.V. | Domeinregistratie | Nederland (EER) | Domeinnaam registratie en beheer. | Nee |
| Gandi SAS | Domeinregistratie | Frankrijk (EER) | Domeinnaam registratie en beheer. | Nee |
| Proxmox Server Solutions GmbH | Virtualisatie / Infrastructuur | Oostenrijk (EER) | Server virtualisatie beheer (Proxmox VE). | Nee |
| Billing-partner (per opdracht) | Billing / Automatisering | Wordt per opdracht bepaald | Klantenbeheer, facturatie, service automatisering (SCC's + TIA vereist bij doorgifte buiten EER). | Indien buiten EER |
| ICANN | Domeinregistratie (Beheer) | Verenigde Staten (Derde land) | Globale domeinnaam beheer en WHOIS-gegevensuitwisseling (SCC's + TIA; ICANN is niet gecertificeerd onder EU-VS DPF). | Ja |
| SIDN (Stichting Internet Domeinregistratie Nederland) | Domeinregistratie (.nl) | Nederland (EER) | Validatie en registratie van .nl domeinnamen. | Nee |
| Betalingsverwerker (per opdracht) | Betalingsverwerking | Nederland/EU | Verwerken van financiële transacties en betalingen van klanten. | Nee (mits EU-verwerker) |
| Sub-processor Name | Category / Service | Country of establishment | Scope of processing / Purpose | Transfer outside EEA? |
|---|---|---|---|---|
| Hosting partners (EU) | Hosting / Infrastructure | Germany (EEA) and other EEA countries | Provision of dedicated servers and VPSs for data storage and processing. | No |
| Realtime Register B.V. | Domain registration | Netherlands (EEA) | Domain name registration and management, DNS hosting, WHOIS processing. | No |
| TransIP B.V. | Domain registration | Netherlands (EEA) | Domain name registration and management. | No |
| Gandi SAS | Domain registration | France (EEA) | Domain name registration and management. | No |
| Proxmox Server Solutions GmbH | Virtualisation / Infrastructure | Austria (EEA) | Server virtualisation management (Proxmox VE). | No |
| Billing partner (per assignment) | Billing / Automation | Determined per assignment | Customer management, invoicing, service automation (SCCs + TIA required in case of transfer outside EEA). | If outside EEA |
| ICANN | Domain registration (Management) | United States (Third country) | Global domain name management and WHOIS data exchange (SCCs + TIA; ICANN is not certified under EU-US DPF). | Yes |
| SIDN (Stichting Internet Domeinregistratie Nederland) | Domain registration (.nl) | Netherlands (EEA) | Validation and registration of .nl domain names. | No |
| Payment processor (per assignment) | Payment processing | Netherlands/EU | Processing of financial transactions and payments from customers. | No (provided EU processor) |
Opmerking: Voor consulting-opdrachten worden geen aanvullende sub-verwerkers ingeschakeld boven de hierboven vermelde lijst, tenzij uitdrukkelijk overeengekomen in het Opdrachtformulier. Indien nieuwe Sub-verwerkers worden toegevoegd, zal de Verwerker conform artikel 5.2 van de Overeenkomst een kennisgeving verstrekken.
Note: For consulting assignments, no additional sub-processors are engaged above the list stated above, unless expressly agreed in the Order Form. If new Sub-processors are added, the Processor will provide a notification in accordance with Article 5.2 of the Agreement.
Dit Bijlage C maakt integraal onderdeel uit van de Verwerkersovereenkomst en specificeert de maatregelen als bedoeld in artikel 4 en artikel 32 AVG.
This Annex C forms an integral part of the Data Processing Agreement and specifies the measures as referred to in Article 4 and Article 32 AVG.
C1. Encryptie at-rest (Art. 32 lid 1 onder a AVG):
C1. Encryption at-rest (Art. 32(1)(a) AVG):
C2. Encryptie in-transit (Art. 32 lid 1 onder a AVG):
C2. Encryption in-transit (Art. 32(1)(a) AVG):
C3. Toegangsbeheer — RBAC (Art. 32 lid 1 onder b AVG):
C3. Access control — RBAC (Art. 32(1)(b) AVG):
C4. Meervoudige verificatie (MFA) (Art. 32 lid 1 onder b AVG):
C4. Multi-factor authentication (MFA) (Art. 32(1)(b) AVG):
C5. Incidentresponse (Art. 32 lid 1 onder d AVG):
C5. Incident response (Art. 32(1)(d) AVG):
C6. Pseudonimisering (Art. 32 lid 1 onder a AVG):
C6. Pseudonymisation (Art. 32(1)(a) AVG):
C7. Data segregation (Art. 32 lid 1 onder b AVG):
C7. Data segregation (Art. 32(1)(b) AVG):
C8. Business continuity en back-ups (Art. 32 lid 1 onder b en c AVG):
C8. Business continuity and back-ups (Art. 32(1)(b) and (c) AVG):
C9. Regelmatige testing en evaluatie (Art. 32 lid 1 onder d AVG):
C9. Regular testing and evaluation (Art. 32(1)(d) AVG):
Voor vragen over deze Verwerkersovereenkomst: privacy@rulestep.com
For questions about this Data Processing Agreement: privacy@rulestep.com