Verwerkersovereenkomst

Bijlage bij iedere offerte en ieder Onderhoudscontract van IntercomDirect B.V. Versie 1.0, geldig vanaf 4 november 2026.

Download de Verwerkersovereenkomst (pdf)

Artikel 1. Partijen, aanvaarding en begrippen

1. Deze Verwerkersovereenkomst geldt tussen:
   1. de Afnemer die een offerte of Onderhoudscontract van IntercomDirect aanvaardt, hierna: Verwerkingsverantwoordelijke; en
   2. IntercomDirect B.V., gevestigd aan de Koningsweg 40-06, 3762 EC Soest, ingeschreven bij de Kamer van Koophandel onder nummer 75710471, hierna: Verwerker.
2. Deze Verwerkersovereenkomst is een bijlage bij de offerte of het Onderhoudscontract. Met de aanvaarding van de opdracht (schriftelijk, digitaal of doordat Afnemer IntercomDirect met de uitvoering laat beginnen) aanvaardt Afnemer ook deze Verwerkersovereenkomst. Een afzonderlijke ondertekening is niet nodig.
3. Een Vereniging van Eigenaars (VvE) geldt voor deze Verwerkersovereenkomst als zakelijke Afnemer. Het bestuur of de beheerder die de opdracht namens de VvE geeft, verklaart daartoe bevoegd te zijn.
4. Begrippen als persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker, subverwerker en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG). Overige begrippen met een hoofdletter hebben de betekenis uit de Algemene Voorwaarden van IntercomDirect (hierna: AV).
5. Deze Verwerkersovereenkomst geeft uitvoering aan artikel 28 lid 3 AVG en aan artikel 32 lid 3 van de AV.
6. Deze Verwerkersovereenkomst geldt niet als Afnemer een Consument is die het systeem uitsluitend voor zijn eigen huishouden gebruikt. Zo’n Consument is voor die gegevens geen verwerkingsverantwoordelijke in de zin van de AVG; IntercomDirect verwerkt zijn gegevens dan volgens haar privacyverklaring (artikel 32 lid 4 AV).

Artikel 2. Onderwerp en duur

1. Deze Verwerkersovereenkomst regelt de verwerking van persoonsgegevens die IntercomDirect namens Afnemer uitvoert bij de uitvoering van de Overeenkomst (levering, Installatie, Onderhoud, Service en storingsdienst).
2. Zij geldt alleen voor zover IntercomDirect daadwerkelijk persoonsgegevens namens Afnemer verwerkt. Verwerkt IntercomDirect bij een opdracht geen persoonsgegevens namens Afnemer, dan heeft deze Verwerkersovereenkomst voor die opdracht geen gevolgen.
3. Deze Verwerkersovereenkomst loopt zolang de Overeenkomst loopt en daarna zolang IntercomDirect nog persoonsgegevens van Afnemer verwerkt of in bezit heeft. Bepalingen die naar hun aard ook na het einde gelden (zoals geheimhouding, teruggave en verwijdering, en aansprakelijkheid), blijven gelden.
4. Gegevens die IntercomDirect voor haar eigen administratie verwerkt (zoals contactgegevens van Afnemer voor offertes, planning en facturatie) verwerkt zij als zelfstandig verwerkingsverantwoordelijke. Daarop is deze Verwerkersovereenkomst niet van toepassing; daarvoor geldt de privacyverklaring van IntercomDirect.
5. Hetzelfde geldt voor de Supportchat van IntercomDirect (artikel 13a AV). Gebruikt een bewoner of medewerker van Afnemer de Supportchat, dan verwerkt IntercomDirect die gegevens als zelfstandig verwerkingsverantwoordelijke volgens haar privacyverklaring. Voert IntercomDirect op grond van een melding uit de Supportchat Werkzaamheden uit aan het systeem van Afnemer, dan geldt voor die Werkzaamheden weer deze Verwerkersovereenkomst.

Artikel 3. Aard en doel van de verwerking

1. IntercomDirect verwerkt persoonsgegevens alleen voor het doel van de Overeenkomst, namelijk het installeren, configureren, beheren, onderhouden en verhelpen van storingen in intercom-, toegangscontrole- en camerasystemen van Afnemer.
2. De verwerking bestaat in ieder geval uit:
   1. het invoeren, wijzigen en verwijderen van gebruikers, namen en appartement- of huisnummers in belpanelen, binnenposten en apps;
   2. het koppelen van Druppels, tags, pasjes en codes aan personen of adressen;
   3. het aanmaken en beheren van gebruikersaccounts in cloudplatforms van fabrikanten, als IntercomDirect dat account namens Afnemer beheert;
   4. toegang op afstand of op locatie tot het systeem voor Onderhoud en storingen, waarbij toegangslogs, gebruikerslijsten of (live) camerabeelden zichtbaar kunnen zijn.
3. Geen opslag van camerabeelden. IntercomDirect slaat geen camerabeelden op en bewaart die niet, tenzij dat uitdrukkelijk schriftelijk is overeengekomen. Live meekijken en opslag van beelden gebeuren op apparatuur van Afnemer of in de cloud van de fabrikant. Ziet een monteur bij Onderhoud of een storing beelden, dan gebeurt dat alleen voor zover dat voor het werk nodig is, zonder kopieën te maken.
4. De verwerkingen zijn per soort uitgewerkt in Bijlage 1.

Artikel 4. Categorieën betrokkenen en persoonsgegevens

1. De verwerking kan betrekking hebben op: bewoners en eigenaren, overige gebruikers van het systeem (zoals huurders, gezinsleden, schoonmakers en leveranciers met een tag of code), bezoekers, en medewerkers van Afnemer of van de beheerder.
2. De verwerking kan de volgende persoonsgegevens omvatten: naam, appartementnummer of adres, telefoonnummer en e-mailadres, app-account (gebruikersnaam en koppeling met het apparaat), nummer van tag, Druppel, pas of code, toegangslogs (wie, welke deur, wanneer) en, bij toegang op afstand of op locatie, live of door Afnemer opgenomen camerabeelden.
3. IntercomDirect verwerkt geen bijzondere categorieën persoonsgegevens (zoals biometrische gegevens voor identificatie), tenzij dat schriftelijk is overeengekomen en Afnemer heeft vastgesteld dat daarvoor een wettelijke grondslag bestaat. Gezichtsherkenning of vingerafdruklezers worden niet zonder zo’n afspraak geconfigureerd.

Artikel 5. Verantwoordelijkheid en instructies

1. Afnemer bepaalt doel en middelen van de verwerking en is verantwoordelijk voor de rechtmatigheid daarvan, waaronder een geldige grondslag, de informatieplicht tegenover bewoners, bezoekers en medewerkers (bijvoorbeeld camerabordjes), bewaartermijnen van beelden en logs, en waar nodig een DPIA of instemming van de ondernemingsraad (artikel 32 lid 6 AV).
2. IntercomDirect verwerkt de persoonsgegevens alleen op basis van schriftelijke instructies van Afnemer. De Overeenkomst, deze Verwerkersovereenkomst en opdrachten die Afnemer per e-mail of via het bestuur of de beheerder geeft (bijvoorbeeld “voeg bewoner X toe”, “blokkeer tag Y”), gelden als instructies.
3. IntercomDirect volgt een instructie niet op als die naar haar oordeel in strijd is met de AVG of andere wetgeving en meldt dat direct aan Afnemer. Hetzelfde geldt als een wettelijke plicht IntercomDirect tot een verwerking dwingt; dan informeert zij Afnemer vooraf, tenzij de wet dat verbiedt.
4. Afnemer wijst IntercomDirect op één of meer contactpersonen die instructies mogen geven (bijvoorbeeld bestuur of beheerder van de VvE). IntercomDirect mag erop vertrouwen dat instructies van die contactpersonen namens Afnemer worden gegeven. Instructies van die contactpersonen handelt IntercomDirect met voorrang en zo snel mogelijk af.
5. Verzoeken van individuele bewoners of gebruikers om gegevens toe te voegen, te wijzigen of te verwijderen voert IntercomDirect alleen uit als Afnemer dat heeft toegestaan. Komt zo’n verzoek rechtstreeks bij IntercomDirect binnen, dan stuurt IntercomDirect het door aan de contactpersoon van Afnemer en laat zij de bewoner of gebruiker dat weten. Een bewoner of gebruiker kan wel altijd een Storing melden; voordat IntercomDirect daarop Werkzaamheden uitvoert of kosten maakt, stemt zij af met de contactpersoon (artikel 5 lid 5 AV).
6. Werk dat volgt uit nieuwe of gewijzigde instructies buiten de Overeenkomst, mag IntercomDirect als meerwerk in rekening brengen (artikel 14 AV).

Artikel 6. Geheimhouding

1. IntercomDirect houdt de persoonsgegevens geheim en verstrekt ze niet aan derden, behalve aan subverwerkers volgens artikel 8, op instructie van Afnemer, of als een wettelijke plicht of rechterlijke uitspraak dat vereist.
2. IntercomDirect zorgt dat medewerkers, monteurs en ingeschakelde derden die toegang hebben tot de persoonsgegevens gebonden zijn aan geheimhouding, via hun arbeidsovereenkomst of een schriftelijke geheimhoudingsverklaring.
3. Toegang tot persoonsgegevens krijgen alleen medewerkers en monteurs die die toegang nodig hebben voor het werk.

Artikel 7. Beveiliging

1. IntercomDirect neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten, de aard van de verwerking en de risico’s voor betrokkenen (artikel 32 AVG). De maatregelen staan in Bijlage 2.
2. Afnemer heeft de maatregelen in Bijlage 2 beoordeeld en vindt ze passend voor de verwerking. IntercomDirect mag de maatregelen aanpassen, mits het beschermingsniveau niet daalt.
3. Afnemer is zelf verantwoordelijk voor de beveiliging van systemen en accounts die hij in eigen beheer heeft, zoals de eigen recorder, het eigen netwerk, eigen beheerdersaccounts en de wachtwoorden die IntercomDirect bij Oplevering aan hem overdraagt. Afnemer wijzigt overgedragen standaard- of tijdelijke wachtwoorden direct.

Artikel 8. Subverwerkers

1. Afnemer geeft IntercomDirect algemene toestemming om subverwerkers in te schakelen. De subverwerkers die IntercomDirect bij het sluiten van de Overeenkomst inschakelt, staan in Bijlage 3.
2. Een cloudplatform van een fabrikant is alleen subverwerker als IntercomDirect het account namens Afnemer beheert. Beheert Afnemer het account zelf, of sluit hij zelf een overeenkomst met de fabrikant, dan is de fabrikant geen subverwerker van IntercomDirect en sluit Afnemer zelf de nodige afspraken met de fabrikant.
3. IntercomDirect informeert Afnemer vooraf over een nieuwe of vervangende subverwerker, bijvoorbeeld per e-mail of via een bijgewerkte Bijlage 3. Afnemer kan binnen 14 dagen daarna schriftelijk en gemotiveerd bezwaar maken. Partijen overleggen dan over een oplossing. Lukt dat niet en heeft Afnemer een redelijk bezwaar, dan mag Afnemer het deel van de Overeenkomst opzeggen waarvoor de subverwerker nodig is, zonder schadevergoeding voor beide partijen.
4. IntercomDirect legt aan subverwerkers ten minste dezelfde verplichtingen op als in deze Verwerkersovereenkomst, voor zover die partijen dat toelaten. Bij grote leveranciers met standaardvoorwaarden (zoals Microsoft, Anthropic en fabrikantenclouds) gelden hun verwerkersvoorwaarden, en IntercomDirect kiest leveranciers die AVG-conforme voorwaarden bieden.
5. AI-hulpmiddelen. IntercomDirect kan AI-hulpmiddelen gebruiken om haar medewerkers te helpen, bijvoorbeeld om meldingen en berichten samen te vatten of een conceptantwoord of werkbon voor te bereiden. Daarbij kunnen gegevens uit Bijlage 1 (zoals namen en appartementnummers in een melding) worden verwerkt door de AI-leverancier uit Bijlage 3. Daarvoor geldt:
   1. de AI-leverancier verwerkt de gegevens alleen om de gevraagde tekst te maken, gebruikt ze niet om AI te trainen en geeft ze niet door aan andere partijen;
   2. er worden geen besluiten genomen die alleen door een computer worden genomen; een medewerker van IntercomDirect beoordeelt de uitkomst voordat er iets aan het systeem van Afnemer verandert of iets naar Afnemer of een betrokkene gaat;
   3. IntercomDirect geeft de AI geen wachtwoorden, toegangscodes, camerabeelden of bijzondere persoonsgegevens.

Artikel 9. Doorgifte buiten de Europese Economische Ruimte

1. IntercomDirect verwerkt de persoonsgegevens zelf in de Europese Economische Ruimte (EER).
2. Bij cloudplatforms van fabrikanten en bij de AI-leverancier uit Bijlage 3 kan doorgifte buiten de EER plaatsvinden, bijvoorbeeld als de leverancier of zijn ondersteuning buiten de EER is gevestigd. Doorgifte buiten de EER via een subverwerker van IntercomDirect gebeurt alleen als daarvoor passende waarborgen gelden, zoals een adequaatheidsbesluit van de Europese Commissie (waaronder het EU-VS Data Privacy Framework) of standaardcontractbepalingen (SCC’s) van de Europese Commissie.
3. Waar mogelijk kiest IntercomDirect bij het aanmaken van accounts een serverregio binnen de EER.

Artikel 10. Bijstand aan Afnemer

1. Rechten van betrokkenen. Krijgt IntercomDirect een verzoek van een betrokkene (bijvoorbeeld inzage, correctie of verwijdering), dan stuurt zij dat zo snel mogelijk door aan Afnemer en handelt het niet zelf inhoudelijk af. IntercomDirect helpt Afnemer, voor zover redelijk en technisch mogelijk, bij het uitvoeren van zulke verzoeken, bijvoorbeeld door gegevens uit een systeem te exporteren, te corrigeren of te verwijderen.
2. DPIA en voorafgaande raadpleging. IntercomDirect geeft Afnemer de informatie die redelijkerwijs nodig is voor een gegevensbeschermingseffectbeoordeling (DPIA) of een voorafgaande raadpleging van de Autoriteit Persoonsgegevens, zoals technische gegevens over het systeem en de beveiliging.
3. Werk volgens dit artikel dat meer dan een korte inspanning vraagt, mag IntercomDirect tegen de geldende tarieven in rekening brengen, behalve als het verzoek het gevolg is van een tekortkoming van IntercomDirect.

Artikel 11. Datalekken

1. IntercomDirect meldt een datalek dat betrekking heeft op persoonsgegevens van Afnemer zonder onredelijke vertraging aan Afnemer, en uiterlijk binnen 48 uur nadat IntercomDirect het heeft ontdekt.
2. De melding bevat, voor zover bekend: de aard van het lek, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen, en een contactpersoon. Informatie die nog niet bekend is, levert IntercomDirect zo snel mogelijk na.
3. Afnemer beslist of het lek wordt gemeld aan de Autoriteit Persoonsgegevens en aan betrokkenen, en doet die meldingen zelf. IntercomDirect meldt niet zelf, tenzij de wet haar daartoe verplicht.
4. IntercomDirect neemt direct redelijke maatregelen om het lek te beperken en herhaling te voorkomen, en documenteert het lek.
5. Afnemer meldt een datalek of beveiligingsincident in een systeem dat IntercomDirect beheert of onderhoudt, zo snel mogelijk aan IntercomDirect. Melden gebeurt per e-mail aan info@intercomdirect.nl met als onderwerp “Datalek”, en telefonisch via 085 – 130 92 62.

Artikel 12. Audit

1. IntercomDirect geeft Afnemer op verzoek de informatie die nodig is om aan te tonen dat zij deze Verwerkersovereenkomst naleeft, bijvoorbeeld een ingevulde vragenlijst of een beschrijving van de maatregelen.
2. Is die informatie aantoonbaar onvoldoende, dan mag Afnemer maximaal één keer per jaar een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht. Afnemer kondigt de audit ten minste 30 dagen vooraf schriftelijk aan. De audit vindt plaats op een werkdag, tijdens kantooruren, zonder onredelijke verstoring van het werk en zonder inzage in gegevens van andere klanten.
3. De kosten van de audit, inclusief de bestede tijd van IntercomDirect tegen de geldende tarieven, zijn voor Afnemer, tenzij de audit een tekortkoming van IntercomDirect van meer dan ondergeschikte betekenis vaststelt; dan draagt IntercomDirect haar eigen kosten en de redelijke kosten van de deskundige.
4. IntercomDirect herstelt vastgestelde tekortkomingen binnen een redelijke termijn.

Artikel 13. Einde: teruggave, overdracht en verwijdering

1. Na het einde van de Overeenkomst draagt IntercomDirect binnen 30 dagen beheerdersaccounts, wachtwoorden en toegangsrechten van systemen en cloudplatforms die zij namens Afnemer beheerde, over aan Afnemer of aan een door Afnemer aangewezen partij. Daarna trekt IntercomDirect haar eigen toegang in.
2. Binnen dezelfde 30 dagen verwijdert IntercomDirect de persoonsgegevens van Afnemer die zij nog in bezit heeft (bijvoorbeeld exportbestanden, gebruikerslijsten of back-ups van configuraties), of geeft zij die op verzoek van Afnemer eerst terug in een gangbaar bestandsformaat.
3. Verwijdering is niet verplicht voor zover IntercomDirect gegevens wettelijk moet bewaren (bijvoorbeeld de fiscale bewaarplicht voor de administratie). Die gegevens blijven geheim en worden alleen voor dat doel gebruikt.
4. Gegevens in automatische back-ups worden verwijderd in de normale back-upcyclus en worden tot dat moment niet meer gebruikt.
5. Op verzoek bevestigt IntercomDirect schriftelijk dat de overdracht en verwijdering zijn uitgevoerd.

Artikel 14. Aansprakelijkheid

1. Voor de aansprakelijkheid van IntercomDirect onder deze Verwerkersovereenkomst geldt artikel 28 van de AV. De beperking van artikel 28 lid 2 AV (één plafond per schadegeval: de uitkering van de aansprakelijkheidsverzekering, anders het factuurbedrag van de opdracht) geldt voor alle aanspraken uit de Overeenkomst en deze Verwerkersovereenkomst samen; er komt geen afzonderlijk plafond bij.
2. Dit laat de aansprakelijkheid van partijen tegenover betrokkenen en de toezichthouder volgens artikel 82 en 83 AVG onverlet. Wordt IntercomDirect aangesproken voor schade of een boete die het gevolg is van een handelen of nalaten van Afnemer (bijvoorbeeld een onrechtmatige instructie of het ontbreken van een grondslag of informatie aan betrokkenen), dan vrijwaart Afnemer IntercomDirect daarvoor.

Artikel 15. Rangorde

1. Bij strijd tussen deze Verwerkersovereenkomst en de AV, de offerte of het Onderhoudscontract gaat deze Verwerkersovereenkomst voor op het gebied van de verwerking van persoonsgegevens. Voor al het andere, waaronder aansprakelijkheid (artikel 14), gelden de AV en de Overeenkomst.
2. Bij strijd tussen deze Verwerkersovereenkomst en haar bijlagen gaat de tekst van de artikelen voor.

Artikel 16. Wijziging

1. IntercomDirect mag deze Verwerkersovereenkomst en de bijlagen wijzigen, bijvoorbeeld bij nieuwe wetgeving, nieuwe diensten of een andere subverwerker. Voor wijzigingen van subverwerkers geldt artikel 8 lid 3.
2. Andere wijzigingen meldt IntercomDirect ten minste 30 dagen vooraf schriftelijk. Afnemer kan binnen die termijn bezwaar maken; artikel 34 lid 2 AV geldt dan overeenkomstig. Wijzigingen die nodig zijn om aan de wet te voldoen, gaan direct in.

Artikel 17. Toepasselijk recht en geschillen

1. Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.
2. Geschillen worden voorgelegd aan de rechter die volgens artikel 35 van de AV bevoegd is.

Bijlage 1. Specificatie van de verwerkingen

Bijlage 2. Beveiligingsmaatregelen

IntercomDirect is een klein installatiebedrijf. De maatregelen zijn daarop afgestemd en gelden als minimum.

Toegang en accounts

1. Meervoudige authenticatie (MFA) op alle zakelijke accounts van IntercomDirect (Microsoft 365, Odoo) en, waar de fabrikant dat ondersteunt, op beheerdersaccounts in fabrikantenclouds.
2. Persoonlijke accounts per medewerker; geen gedeelde inlog voor beheer waar het systeem persoonlijke accounts toelaat.
3. Toegang op basis van noodzaak: alleen bevoegde medewerkers en monteurs die aan het systeem van Afnemer werken, krijgen toegang. Toegang wordt ingetrokken bij uitdiensttreding of einde van de inzet, op dezelfde dag.
4. Wachtwoorden worden bewaard in een wachtwoordbeheerder met MFA, niet in losse bestanden, notities of e-mails. Standaard fabriekswachtwoorden worden bij Installatie gewijzigd in sterke, unieke wachtwoorden per installatie.

Apparatuur en gegevens

5. Laptops, telefoons en tablets van medewerkers hebben schijfversleuteling, een schermvergrendeling met pincode of biometrie, actuele updates en, bij Windows-laptops, een actieve virusscanner.
6. Verbindingen met cloudplatforms en toegang op afstand lopen via versleutelde verbindingen (zoals HTTPS, TLS of VPN van de fabrikant). Er worden geen poorten van systemen van Afnemer onbeveiligd op internet opengezet.
7. Toegang tot het klantsysteem (Odoo) via koppelingen (API) is alleen mogelijk vanaf vaste, bekende adressen.
8. Persoonsgegevens worden niet op USB-sticks of privéapparaten bewaard. Exportbestanden worden na gebruik verwijderd.
9. Camerabeelden worden niet gedownload of gekopieerd, tenzij schriftelijk overeengekomen.
10. Aan AI-hulpmiddelen worden geen wachtwoorden, toegangscodes, camerabeelden of bijzondere persoonsgegevens gegeven (artikel 8 lid 5).

Organisatie

11. Alle medewerkers en ingeschakelde monteurs zijn gebonden aan geheimhouding (artikel 6) en krijgen instructie over omgaan met persoonsgegevens en het herkennen en melden van datalekken.
12. Firmware van systemen in Onderhoud wordt bijgewerkt volgens het Onderhoudscontract en de adviezen van de fabrikant.
13. Een intern datalekregister en een vaste procedure voor het melden van datalekken aan Afnemer (artikel 11).
14. Bij einde van de Overeenkomst: overdracht van accounts en intrekken van eigen toegang (artikel 13).

Bijlage 3. Subverwerkers