Juridisch

Verwerkersovereenkomst

De verwerkersovereenkomst van ProjectVisi (AVG artikel 28): welke persoonsgegevens we voor je organisatie verwerken, beveiliging, subverwerkers en datalekken.

Versie 1.1 · bijgewerkt op 11 november 2026

Een ondertekend exemplaar? Mail info@projectvisi.com.

Partijen

De organisatie die ProjectVisi afneemt („Verwerkingsverantwoordelijke” of „Klant”).
FitFlow AI, eenmanszaak, handelend onder de naam ProjectVisi, Germaan 1, 6661 JN Elst, KvK 97367400 („Verwerker”).

Deze overeenkomst hoort bij de Algemene voorwaarden. Bij strijdigheid over persoonsgegevens gaat deze overeenkomst voor.

Artikel 1 – Onderwerp en instructies

1.1Verwerker verwerkt persoonsgegevens alleen om ProjectVisi aan de Klant te leveren, zoals beschreven in Bijlage 1, en alleen op instructie van de Klant. Het gebruik van ProjectVisi door de Klant en zijn gebruikers geldt als zo'n instructie.

1.2Vindt Verwerker een instructie in strijd met de AVG, dan meldt hij dat direct.

1.3Verwerker gebruikt de persoonsgegevens niet voor eigen doeleinden, ook niet om AI-modellen te trainen.

Artikel 2 – Geheimhouding

Iedereen die namens Verwerker toegang heeft tot de persoonsgegevens, is tot geheimhouding verplicht. Toegang is beperkt tot wat nodig is voor support, beheer of het oplossen van storingen.

Artikel 3 – Beveiliging

Verwerker neemt passende technische en organisatorische maatregelen (AVG artikel 32), zoals beschreven in Bijlage 2, en houdt die bij.

Artikel 4 – Subverwerkers

4.1De Klant geeft algemene toestemming voor de subverwerkers op Subverwerkers.

4.2Verwerker meldt een nieuwe of vervangende subverwerker minimaal 30 dagen vooraf per e-mail. De Klant kan binnen die termijn met redenen bezwaar maken. Komen partijen er niet uit, dan mag de Klant opzeggen zonder kosten.

4.3Verwerker legt subverwerkers dezelfde verplichtingen op en blijft tegenover de Klant verantwoordelijk voor hen.

4.4Doorgifte buiten de EER gebeurt alleen met een passende waarborg, zoals een adequaatheidsbesluit of standaardcontractbepalingen.

Artikel 5 – Rechten van betrokkenen

Krijgt Verwerker een verzoek van een betrokkene, dan stuurt hij dat door naar de Klant en helpt hij de Klant het af te handelen. De Klant kan gegevens ook zelf wijzigen en verwijderen in ProjectVisi.

Artikel 6 – Datalekken

6.1Verwerker meldt een inbreuk die persoonsgegevens van de Klant raakt zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking.

6.2De melding bevat, voor zover bekend: wat er gebeurde, welke gegevens en hoeveel betrokkenen, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.

6.3De Klant beslist of melding aan de Autoriteit Persoonsgegevens of aan betrokkenen nodig is. Verwerker werkt daaraan mee.

Artikel 7 – Bijstand, informatie en audits

Verwerker helpt de Klant waar redelijk bij een DPIA en bij vragen van de toezichthouder, en geeft de informatie die nodig is om naleving aan te tonen. Een audit door een onafhankelijke deskundige kan één keer per jaar, met 30 dagen aankondiging en op kosten van de Klant, tenzij de audit een ernstige tekortkoming aantoont.

Artikel 8 – Einde van de overeenkomst

Na het einde van het abonnement blijven de gegevens minstens 30 dagen bewaard en kan de Klant een export opvragen. Op verzoek van de Klant verwijdert Verwerker daarna alle persoonsgegevens van de Klant, tenzij de wet bewaren vereist. Back-ups beheert de hostingpartij; daarin staande gegevens verdwijnen automatisch wanneer de bewaartermijn van die back-ups afloopt.

Artikel 9 – Aansprakelijkheid en duur

De aansprakelijkheid volgt artikel 11 van de Algemene voorwaarden. Deze overeenkomst loopt zolang Verwerker persoonsgegevens voor de Klant verwerkt.

Bijlage 1 – Beschrijving van de verwerking

Onderdeel	Invulling
Doel	Leveren van ProjectVisi: projecten vastleggen, plannen, risico's en acties beheren, rapporteren, en AI-voorstellen en de agent
Betrokkenen	Gebruikers van de Klant; personen die de Klant vastlegt in de projectorganisatie, als eigenaar van activiteiten, risico's en acties; personen genoemd in geüploade documenten
Persoonsgegevens	Naam, e-mailadres, rol; toegewezen activiteiten, risico's, acties en deadlines; tekst die de Klant invoert; inhoud van geüploade documenten en gesprekken met de agent; de wijzigingslog (wie wat wanneer wijzigde)
Bijzondere gegevens	Niet bedoeld en niet toegestaan (artikel 4 van de voorwaarden)
Duur	Looptijd van het abonnement plus minstens 30 dagen
Locatie	Database en opslag in de EU (Frankfurt, Duitsland); AI-verwerking via Lovable bij Google, mogelijk in de VS, met het EU-VS Data Privacy Framework en standaardcontractbepalingen

Bijlage 2 – Beveiligingsmaatregelen

Scheiding van organisaties met row-level security in de database.
Rollen per organisatie en per project (beheerder, projectleider, teamlid, kijker). Alleen beheerders nodigen uit; uitnodigingen verlopen na 14 dagen en werken één keer.
Account werkt pas na bevestiging van het e-mailadres.
Bezoekers zonder account kunnen alleen een demo-, contact- of planaanvraag indienen.
Alle verbindingen via HTTPS; wachtwoorden alleen gehasht opgeslagen.
Geheime sleutels en alle AI-aanroepen alleen op de server.
Elke wijziging staat in een wijzigingslog die niet te wijzigen of te verwijderen is.
De websitescan weigert interne netwerkadressen.
Procedure voor datalekken: melding binnen 48 uur.