Verwerkersovereenkomst

Deze verwerkersovereenkomst beschrijft hoe Sizewright persoonsgegevens verwerkt namens zakelijke klanten die Sizewright gebruiken. Ze geldt vanaf 15 oktober 2026 en maakt deel uit van onze algemene voorwaarden. Een eigenaar of beheerder van een werkruimte accepteert de overeenkomst in de instellingen van de werkruimte; we leggen vast welke versie is geaccepteerd, door wie en wanneer.

Partijen

Verwerkingsverantwoordelijke: De zakelijke klant die deze overeenkomst accepteert in de instellingen van zijn Sizewright-werkruimte (“jij”)
Verwerker: Sizewright (“wij”)
Contact voor deze overeenkomst: support@sizewright.com

1. Begripsbepalingen

1.1 Begrippen als “persoonsgegevens”, “verwerking”, “verwerkingsverantwoordelijke”, “verwerker”, “betrokkene”, “inbreuk in verband met persoonsgegevens” en “toezichthoudende autoriteit” hebben de betekenis die de Algemene verordening gegevensbescherming (Verordening (EU) 2016/679, AVG) eraan geeft.

1.2 In deze overeenkomst wordt verstaan onder:

Persoonsgegevens van de klant: de persoonsgegevens in je klantcontent, zoals gedefinieerd in de algemene voorwaarden, die we namens jou verwerken bij het leveren van Sizewright.
Subverwerker: een derde die we inschakelen om persoonsgegevens van de klant te verwerken.
Standaardcontractbepalingen: de bepalingen die zijn vastgesteld bij Uitvoeringsbesluit (EU) 2021/914 van de Commissie.
Werkruimte: een werkruimte in Sizewright waarvan je eigenaar of beheerder bent.

Andere gedefinieerde begrippen hebben de betekenis uit de algemene voorwaarden.

2. Reikwijdte en rollen

2.1 Deze overeenkomst is van toepassing op persoonsgegevens van de klant die we verwerken wanneer we Sizewright aan jou als zakelijke klant leveren. Bijlage 1 beschrijft de verwerking.

2.2 Jij bent de verwerkingsverantwoordelijke voor de persoonsgegevens van de klant, en wij zijn je verwerker. Treed je zelf op als verwerker voor je eigen klanten, bijvoorbeeld als bureau, dan zijn wij je subverwerker, en bevestig je dat je klanten je toestemming hebben gegeven om ons onder de voorwaarden van deze overeenkomst in te schakelen.

2.3 Persoonsgegevens over de mensen die Sizewright gebruiken, zoals account-, factuur- en beveiligingsgegevens, verwerken wij als verwerkingsverantwoordelijke voor onze eigen doeleinden. Ons privacybeleid beschrijft die verwerking; deze overeenkomst is daarop niet van toepassing.

2.4 Jij bent verantwoordelijk voor de rechtmatigheid van de verwerking van persoonsgegevens van de klant, waaronder het hebben van een rechtsgrond daarvoor en het informeren van de betrokkenen, zoals mensen die te zien zijn op afbeeldingen die je uploadt of klanten die banners beoordelen via goedkeuringslinks.

3. Instructies

3.1 We verwerken persoonsgegevens van de klant uitsluitend op basis van je schriftelijke instructies, tenzij een op ons van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling ons tot verwerking verplicht. In dat geval stellen we je vóór de verwerking in kennis van dat wettelijke voorschrift, tenzij de wet die kennisgeving verbiedt.

3.2 Je instructies zijn deze overeenkomst, de algemene voorwaarden en de manier waarop je Sizewright gebruikt en instelt, bijvoorbeeld wanneer je content uploadt, taken start, goedkeuringslinks deelt, banners exporteert of content verwijdert. Verdere instructies moeten schriftelijk worden gegeven, moeten passen bij de aard van de dienst en kunnen afhankelijk worden gemaakt van een afspraak over de kosten die ze meebrengen.

3.3 We stellen je onverwijld in kennis als een instructie naar onze mening inbreuk maakt op de AVG of op ander gegevensbeschermingsrecht.

3.4 We verwerken persoonsgegevens van de klant niet voor eigen doeleinden. We verkopen ze niet en we gebruiken ze niet om AI-modellen te trainen. Persoonsgegevens van de klant worden alleen naar AI-aanbieders gestuurd om de generatie, analyse of controle uit te voeren waar je om hebt gevraagd.

4. Geheimhouding

4.1 We zorgen ervoor dat iedereen die bevoegd is om persoonsgegevens van de klant te verwerken, contractueel of wettelijk tot geheimhouding is verplicht.

4.2 We geven alleen toegang aan wie die nodig heeft. Onze supportmedewerkers kunnen alleen in een werkruimte meekijken om je te helpen of om een probleem te onderzoeken: ze moeten een reden vastleggen, elke sessie eindigt na hoogstens 60 minuten, ze kunnen tijdens de sessie niets aan de facturering wijzigen en niets verwijderen, en elke sessie wordt gelogd.

5. Beveiliging

5.1 We treffen de technische en organisatorische maatregelen die in bijlage 2 staan, en die een op het risico afgestemd beveiligingsniveau waarborgen, zoals artikel 32 AVG vereist.

5.2 We kunnen deze maatregelen aanpassen aan de ontwikkeling van de techniek en van dreigingen, mits het algehele beveiligingsniveau niet daalt.

5.3 Jij bent verantwoordelijk voor de beveiliging van je eigen gebruik van Sizewright, waaronder de wachtwoorden en de tweestapsverificatie van je gebruikers, de rollen die je aan leden van de werkruimte geeft, en de mensen met wie je goedkeuringslinks deelt.

6. Subverwerkers

6.1 Je geeft ons een algemene schriftelijke toestemming om subverwerkers in te schakelen. De subverwerkers die we gebruiken op het moment dat je deze overeenkomst accepteert, staan op onze pagina met subverwerkers.

6.2 We schakelen elke subverwerker in via een schriftelijke overeenkomst die verplichtingen op het gebied van gegevensbescherming oplegt die ten minste dezelfde bescherming bieden als deze overeenkomst. We blijven tegenover jou aansprakelijk voor de nakoming van de verplichtingen van onze subverwerkers.

6.3 We informeren je ten minste 30 dagen voordat we een subverwerker toevoegen of vervangen, door het wijzigingslogboek op de pagina met subverwerkers bij te werken en per e-mail aan de eigenaren van werkruimtes die deze overeenkomst hebben geaccepteerd.

6.4 Je kunt binnen die 30 dagen op redelijke gronden die verband houden met gegevensbescherming bezwaar maken tegen een nieuwe subverwerker, door te schrijven naar support@sizewright.com. We bespreken je bezwaar dan te goeder trouw en bieden, waar we kunnen, een alternatief. Kunnen we het bezwaar niet oplossen, dan kun je de betreffende dienst beëindigen voordat de wijziging ingaat, door je abonnement op te zeggen; we betalen dan het ongebruikte deel van de lopende betaalde periode terug en de waarde van de ongebruikte credits uit creditpakketten.

6.5 Moeten we een subverwerker dringend vervangen, bijvoorbeeld vanwege een beveiligingsincident of omdat de subverwerker zijn dienst beëindigt, dan mogen we dat direct doen en informeren we je zo snel mogelijk. Je recht van bezwaar uit 6.4 blijft gelden.

7. Internationale doorgifte

7.1 We geven persoonsgegevens van de klant alleen door naar een land buiten de Europese Economische Ruimte in overeenstemming met hoofdstuk V van de AVG: op basis van een adequaatheidsbesluit van de Europese Commissie, waaronder het EU-US Data Privacy Framework voor subverwerkers die daaronder zijn gecertificeerd, of op basis van de standaardcontractbepalingen (module drie, van verwerker aan verwerker) die met de subverwerker zijn gesloten, met aanvullende maatregelen waar nodig.

7.2 Ben je gevestigd buiten de Europese Economische Ruimte en vereist de AVG dat, dan zijn de standaardcontractbepalingen (module vier, van verwerker aan verwerkingsverantwoordelijke) van toepassing op de doorgifte van persoonsgegevens van de klant van ons aan jou, en maken ze door verwijzing deel uit van deze overeenkomst.

7.3 Zijn standaardcontractbepalingen tussen jou en ons van toepassing, dan geldt het volgende: de facultatieve koppelingsclausule is niet van toepassing; de partijen en de verwerking zijn die welke in deze overeenkomst en de bijlagen zijn beschreven; op de bepalingen is Nederlands recht van toepassing; en geschillen worden beslecht door de rechter in Nederland.

7.4 De pagina met subverwerkers vermeldt per subverwerker waar die gegevens verwerkt en welk doorgiftemechanisme van toepassing is.

8. Bijstand

8.1 Verzoeken van betrokkenen. Sizewright geeft je de middelen om de meeste verzoeken zelf te beantwoorden: je kunt content bekijken, exporteren, corrigeren en verwijderen, goedkeuringslinks intrekken en werkruimtes verwijderen. Ontvangen wij een verzoek van een betrokkene over persoonsgegevens van de klant, dan sturen we dat zonder onredelijke vertraging aan je door en beantwoorden we het niet zelf, behalve om de persoon naar jou te verwijzen, tenzij je ons anders instrueert. Kun je een verzoek niet met deze middelen beantwoorden, dan helpen we je met passende maatregelen.

8.2 Gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen. We helpen je bij gegevensbeschermingseffectbeoordelingen en bij voorafgaande raadplegingen van een toezichthoudende autoriteit, voor zover die onze verwerking betreffen, rekening houdend met de aard van de verwerking en de informatie waarover we beschikken.

8.3 Kosten. Voor bijstand die verder gaat dan de middelen in Sizewright en dan wat de wet van ons vereist, kunnen we redelijke tarieven in rekening brengen. We laten je de verwachte kosten weten voordat we beginnen.

9. Inbreuken in verband met persoonsgegevens

9.1 We melden je een inbreuk in verband met persoonsgegevens die persoonsgegevens van de klant treft, zonder onredelijke vertraging nadat we er kennis van hebben gekregen. We streven ernaar je binnen 48 uur te informeren. We sturen de melding per e-mail aan de eigenaren van de betrokken werkruimtes.

9.2 De melding beschrijft, voor zover op dat moment bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en persoonsgegevensregisters in kwestie, de waarschijnlijke gevolgen, de maatregelen die we hebben genomen of voorstellen te nemen, en een contactpersoon. Kunnen we niet alle informatie tegelijk geven, dan verstrekken we die in fasen, zonder onredelijke verdere vertraging.

9.3 We nemen redelijke maatregelen om de inbreuk in te dammen en de gevolgen ervan te beperken, we documenteren de inbreuk, en we helpen je te voldoen aan je eigen verplichtingen om de toezichthoudende autoriteit en de betrokkenen in te lichten. Volgens onze procedure voor datalekken beoordelen we elk incident binnen 24 uur.

9.4 Een melding van een inbreuk aan jou is geen erkenning van schuld of aansprakelijkheid.

10. Verwijdering en teruggave

10.1 Zolang deze overeenkomst loopt, kun je persoonsgegevens van de klant op elk moment exporteren en verwijderen: banners exporteren in hun exportformaten, een kopie van de gegevens en bestanden van een werkruimte downloaden via de gegevensexport in de accountinstellingen (voor eigenaren van werkruimtes), en bestanden, campagnes, huisstijlkits en hele werkruimtes verwijderen. Deze middelen gelden als teruggave van de persoonsgegevens van de klant.

10.2 Verwijdering vindt als volgt plaats:

verwijder je een werkruimte, dan worden de gegevens ervan direct verwijderd en de opgeslagen bestanden binnen een uur;
wordt het account van de eigenaar verwijderd, dan worden het account en de werkruimtes van die eigenaar zonder andere leden verwijderd na een wachttermijn van 14 dagen;
bestanden die je uit een bibliotheek verwijdert, worden na 30 dagen verwijderd, tenzij een banner die nog in gebruik is ze gebruikt;
kopieën in onze back-ups vervallen binnen 30 dagen.

10.3 We mogen persoonsgegevens van de klant na verwijdering alleen bewaren als Unierecht of lidstatelijk recht ons verplicht ze op te slaan, en alleen zolang dat recht dat vereist. In dat geval blijven de verplichtingen uit deze overeenkomst daarop van toepassing.

10.4 Op verzoek bevestigen we de verwijdering schriftelijk.

11. Informatie en audits

11.1 We stellen alle informatie aan je beschikbaar die nodig is om aan te tonen dat we artikel 28 AVG naleven, waaronder deze overeenkomst, de maatregelen in bijlage 2, de lijst met subverwerkers en antwoorden op redelijke beveiligingsvragenlijsten, hoogstens eenmaal per jaar.

11.2 Is deze informatie niet voldoende, of vereist een toezichthoudende autoriteit het, dan mag je controleren of we deze overeenkomst naleven (audit), zelf of via een onafhankelijke auditor die tot geheimhouding is verplicht, onder de volgende voorwaarden:

je kondigt de audit ten minste 30 dagen van tevoren aan en beschrijft de reikwijdte;
de audit vindt plaats tijdens kantooruren, zonder de dienst te verstoren en zonder toegang tot gegevens van andere klanten of tot informatie die onze beveiliging in gevaar zou brengen;
er vindt hoogstens eenmaal per 12 maanden een audit plaats, tenzij er een inbreuk in verband met persoonsgegevens is geweest die jouw gegevens trof, of een toezichthoudende autoriteit de audit vereist;
jij draagt de kosten van de audit, en wij mogen redelijke kosten voor onze tijd in rekening brengen;
je deelt het auditrapport met ons.

12. Aansprakelijkheid

De aansprakelijkheid van elke partij op grond van deze overeenkomst is onderworpen aan de beperkingen in de algemene voorwaarden, voor zover artikel 82 AVG en ander dwingend recht dat toestaan. Niets in deze overeenkomst beperkt de rechten van betrokkenen.

13. Looptijd

13.1 Deze overeenkomst gaat in wanneer ze in de instellingen van de werkruimte wordt geaccepteerd, en loopt zolang we persoonsgegevens van de klant voor je verwerken.

13.2 Verplichtingen die naar hun aard doorlopen na het einde van deze overeenkomst, zoals geheimhouding en verwijdering, blijven van kracht.

14. Wijzigingen

14.1 We mogen deze overeenkomst wijzigen, bijvoorbeeld als de wet of onze subverwerkers veranderen. Over wezenlijke wijzigingen informeren we je ten minste 30 dagen voordat ze ingaan, per e-mail aan de eigenaren van werkruimtes die de overeenkomst hebben geaccepteerd, en het platform vraagt een eigenaar of beheerder de nieuwe versie te accepteren. Wijzigingen die de wet vereist, kunnen eerder ingaan.

14.2 Voor wijzigingen in de lijst met subverwerkers geldt artikel 6.

15. Voorrang en toepasselijk recht

15.1 Op het gebied van de verwerking van persoonsgegevens gaat deze overeenkomst voor op de algemene voorwaarden. De standaardcontractbepalingen gaan, waar ze van toepassing zijn, voor op deze overeenkomst.

15.2 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden uitsluitend voorgelegd aan de bevoegde rechter in Amsterdam.

Bijlage 1: Beschrijving van de verwerking

Onderwerp en duur

Het leveren van Sizewright aan jou op grond van de algemene voorwaarden, gedurende de looptijd van deze overeenkomst en totdat de persoonsgegevens van de klant zijn verwijderd volgens artikel 10.

Aard en doel

Content opslaan en hosten; briefings, huisstijlkits, afbeeldingen en geïmporteerde websites analyseren met AI-modellen voor taal en beeldanalyse; afbeeldingen genereren, bewerken en uitbreiden; banners samenstellen, renderen en controleren; banners via goedkeuringslinks delen met beoordelaars; bestanden exporteren; content naar subverwerkers sturen voor zover dat voor deze stappen nodig is; en content verwijderen. Het doel is de dienst te leveren die je gebruikt, zoals beschreven in de algemene voorwaarden.

Categorieën van betrokkenen

Mensen die te zien zijn op afbeeldingen die je uploadt, importeert of selecteert.
Mensen die worden genoemd of beschreven in briefings, huisstijlkits, CSV-bestanden, teksten en opmerkingen.
Je klanten en hun contactpersonen, waaronder beoordelaars die goedkeuringslinks gebruiken.
Leden van je werkruimte, voor zover ze in klantcontent voorkomen, bijvoorbeeld in opmerkingen en vermeldingen.
Mensen van wie gegevens voorkomen op websites die je in een huisstijlkit importeert.

Categorieën van persoonsgegevens

Namen, e-mailadressen, functietitels en andere contactgegevens.
Afbeeldingen waarop mensen te zien zijn, en andere afbeeldingen van personen.
Persoonsgegevens in teksten die je aanlevert, zoals briefings, teksten, juridische regels, CSV-bestanden en opmerkingen.
Opmerkingen, wijzigingsverzoeken en goedkeuringsbeslissingen van beoordelaars, met hun naam en e-mailadres.

Bijzondere categorieën van persoonsgegevens

Sizewright is niet bedoeld voor bijzondere categorieën van persoonsgegevens of voor persoonsgegevens over strafrechtelijke veroordelingen. Neem zulke gegevens niet op in klantcontent, tenzij je daarvoor een rechtsgrond hebt en de verwerking noodzakelijk is. Afbeeldingen van mensen kunnen bijzondere categorieën van persoonsgegevens onthullen, zoals gezondheid of godsdienstige overtuiging; jij bent ervoor verantwoordelijk dat je een rechtsgrond hebt om ze te gebruiken.

Frequentie

Doorlopend, zolang je Sizewright gebruikt.

Bewaartermijn

Zoals beschreven in artikel 10 en in de tabel met bewaartermijnen in ons privacybeleid.

Bijlage 2: Technische en organisatorische maatregelen

Toegang en authenticatie

Inloggen met e-mailadres en wachtwoord, met verificatie van het e-mailadres, wachtwoorden van ten minste 10 tekens en een controle aan de hand van wachtwoorden die bekend zijn uit datalekken; inloggen met Google als optie.
Tweestapsverificatie met een authenticator-app en back-upcodes voor eenmalig gebruik, beschikbaar voor elke gebruiker en verplicht voor onze medewerkers.
Sessies in cookies met de kenmerken HttpOnly en Secure en een looptijd van 30 dagen, een apparatenlijst, en uitloggen per apparaat en overal.
Gevoelige handelingen, zoals een wachtwoord of e-mailadres wijzigen, tweestapsverificatie uitzetten of een account of werkruimte verwijderen, vereisen een inlog van de afgelopen 15 minuten of een nieuwe wachtwoordcontrole met de tweede factor.
Botbescherming bij aanmelden, inloggen, wachtwoordherstel en het wijzigen van e-mailadressen; limieten op het aantal pogingen bij inloggen, aanmelden, wachtwoordherstel en de verificatie van de tweede stap.
Beveiligingsmails bij inloggen vanaf onbekende apparaten en bij wijzigingen van het wachtwoord, het e-mailadres en de instellingen voor tweestapsverificatie.

Scheiding van klanten en rechten

Elke databasequery is beperkt tot de werkruimte van de ingelogde gebruiker, ontleend aan de geauthenticeerde sessie en nooit aan invoer van de client, zodat een werkruimte niet bij de gegevens van een andere werkruimte kan komen.
Rechten per rol in de werkruimte (eigenaar, beheerder, lid, alleen lezen), op de server gecontroleerd bij elke lees- en schrijfhandeling.

Toegang door onze medewerkers

Platformrollen voor medewerkers (support en beheer), met voor beide verplichte tweestapsverificatie.
Toegang van support tot de werkruimte van een klant alleen met een vastgelegde reden, voor hoogstens 60 minuten per sessie, met een zichtbare banner, zonder de mogelijkheid om de facturering te wijzigen of iets te verwijderen, en met volledige vastlegging in het auditlog.

Goedkeuringslinks

Links bevatten een willekeurig token van 256 bits dat we alleen als SHA-256-hash opslaan.
Links verlopen, kunnen worden ingetrokken, kunnen een wachtwoord vereisen en worden uitgesloten van zoekmachines.

Versleuteling en locatie

Uitsluitend HTTPS, met HSTS.
De database en de bestandsopslag zijn in rust versleuteld. De database draait in een EU-regio, en de bestandsopslag bevindt zich binnen de EU-jurisdictie.

Applicatiebeveiliging

Een contentbeveiligingsbeleid (Content Security Policy) en beveiligingsheaders die framing, content-type-sniffing en onnodige browserfuncties blokkeren.
Bescherming tegen cross-site request forgery door controle van de herkomst; controle van handtekeningen op inkomende webhooks.
Validatie van alle invoer; voorvertoningen van banners gerenderd in een sandbox zonder scripts.
Uploads gecontroleerd op grootte en herkend aan hun inhoud in plaats van aan hun naam; afbeeldingen gedecodeerd door onze verwerkingsserver (worker), die misvormde bestanden weigert; SVG-bestanden ontdaan van scripts, event handlers en externe verwijzingen; lettertypen geparset en gevalideerd.
Bescherming tegen verzoeken naar interne netwerken bij het ophalen van websites voor de merkimport, met limieten op omleidingen, tijd en grootte.
Ondertekende verzoeken met een beperkte geldigheidsduur tussen de webapplicatie en de verwerkingsserver, met bescherming tegen het opnieuw afspelen van verzoeken (replay).
Limieten op het aantal verzoeken per IP-adres aan de rand van het netwerk, en per gebruiker en per werkruimte bij betaalde acties.

Logging en audit

Gestructureerde logs zonder geheimen, tokens of volledige kaartgegevens; IP-adressen in sessies worden 90 dagen bewaard.
Een auditlog waaraan alleen kan worden toegevoegd, met handelingen van medewerkers, rolwijzigingen, toegang door support, correcties van credits, wijzigingen in de facturering en beveiligingsgebeurtenissen, dat een jaar wordt bewaard.

Beschikbaarheid en back-ups

Herstel van de database naar elk gewenst tijdstip (point-in-time restore); back-ups vervallen binnen 30 dagen.
Geautomatiseerde bewaartaken die gegevens verwijderen aan het einde van de termijnen in artikel 10.

Ontwikkeling en beheer

Geheimen worden bewaard in de hostingomgeving, nooit in de coderepository, en de repository wordt gescand op gelekte geheimen.
Afhankelijkheden worden actueel gehouden met gebundelde updates en gecontroleerd met beveiligingsaudits.

Incidenten

Een procedure voor datalekken: beoordeling binnen 24 uur, melding aan de toezichthoudende autoriteit binnen 72 uur waar dat vereist is, en melding aan klanten zoals in artikel 9.

Minimale gegevensverwerking richting AI-aanbieders

AI-aanbieders ontvangen alleen wat een stap nodig heeft, nooit e-mailadressen van accounts of factuurgegevens, en alleen om het gevraagde werk uit te voeren.
We vragen de aanbieder voor beeldgeneratie de invoer en uitvoer van onze verzoeken niet op te slaan, en gegenereerde bestanden vervallen daar na één dag.

Bijlage 3: Subverwerkers

De actuele lijst met subverwerkers, met hun doel, de gegevens die ze verwerken, hun locatie en het doorgiftemechanisme, staat op onze pagina met subverwerkers, samen met een gedateerd wijzigingslogboek.