Verwerkersovereenkomst

Laatst bijgewerkt: 16 oktober 2026

Over deze overeenkomst

Versie 1.0, geldig vanaf 16 oktober 2026. Deze verwerkersovereenkomst geldt voor elke opdracht waarbij Junto Media persoonsgegevens verwerkt namens de Opdrachtgever.

Partijen

• Junto Media, Zoom 20a, 9405 PS Assen, KvK 57713391, hierna “Junto Media” (verwerker).
• De opdrachtgever zoals genoemd in de offerte, opdrachtbevestiging of overeenkomst, hierna “Opdrachtgever” (verwerkingsverantwoordelijke).

Totstandkoming

Deze verwerkersovereenkomst maakt deel uit van de overeenkomst tussen partijen. Dat gebeurt via artikel 21 van de algemene voorwaarden van Junto Media bij akkoord op een offerte, of door een afzonderlijk akkoord van de Opdrachtgever. Hebben partijen schriftelijk een andere verwerkersovereenkomst gesloten, dan gaat die voor.

De actuele versie en alle eerdere versies staan op juntomedia.nl/verwerkersovereenkomst.

Artikelen

1. Definities

Begrippen als persoonsgegevens, verwerking, betrokkene, subverwerker en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG). “Overeenkomst” is de opdracht of overeenkomst tussen partijen waarbij deze verwerkersovereenkomst hoort. “Diensten” zijn de diensten die de Opdrachtgever bij Junto Media afneemt.

2. Onderwerp en verantwoordelijkheid

1. Junto Media verwerkt persoonsgegevens alleen voor zover nodig voor de uitvoering van de Overeenkomst.
2. Bijlage 1 beschrijft per dienst welke gegevens worden verwerkt, van wie, met welk doel en hoe lang. Alleen de onderdelen voor de diensten die de Opdrachtgever afneemt zijn van toepassing.
3. De Opdrachtgever bepaalt doel en middelen van de verwerking en staat ervoor in dat de verwerking rechtmatig is. De Opdrachtgever informeert betrokkenen, bijvoorbeeld in de eigen privacyverklaring, dat een externe partij de website of systemen bouwt, host of beheert.
4. De Opdrachtgever meldt vooraf als bijzondere persoonsgegevens worden verwerkt, zoals gezondheidsgegevens. Partijen maken daarover dan aanvullende afspraken.

3. Instructies

1. Junto Media verwerkt persoonsgegevens alleen op schriftelijke instructie van de Opdrachtgever. De Overeenkomst, deze verwerkersovereenkomst en verzoeken van de Opdrachtgever in het kader van support of onderhoud gelden als instructie.
2. Junto Media mag afwijken als een wettelijke verplichting dat vereist. Junto Media informeert de Opdrachtgever daar vooraf over, tenzij de wet dat verbiedt.
3. Vindt Junto Media een instructie in strijd met de AVG, dan meldt Junto Media dat direct aan de Opdrachtgever.

4. Geheimhouding

Medewerkers van Junto Media en ingeschakelde subverwerkers zijn tot geheimhouding verplicht over de persoonsgegevens die zij verwerken. Junto Media geeft persoonsgegevens niet aan derden, behalve aan subverwerkers volgens artikel 6 of als de wet dat verplicht.

5. Beveiliging

1. Junto Media neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen. Bijlage 3 beschrijft deze maatregelen.
2. Junto Media mag de maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.
3. Voor systemen die de Opdrachtgever zelf of via een andere partij laat hosten, is Junto Media alleen verantwoordelijk voor de eigen werkzaamheden en toegang, niet voor de beveiliging van die omgeving.

6. Subverwerkers

1. De Opdrachtgever geeft Junto Media algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat op juntomedia.nl/subverwerkers.
2. Junto Media informeert de Opdrachtgever per e-mail ten minste 30 dagen voordat een nieuwe subverwerker wordt ingezet of een bestaande wordt vervangen.
3. De Opdrachtgever kan binnen die 30 dagen gemotiveerd bezwaar maken. Partijen overleggen dan over een oplossing. Komen zij er niet uit, dan kan de Opdrachtgever de betreffende dienst opzeggen per de datum waarop de wijziging ingaat.
4. Junto Media legt subverwerkers ten minste dezelfde verplichtingen op als in deze verwerkersovereenkomst en blijft tegenover de Opdrachtgever verantwoordelijk voor hun naleving.

7. AI-tools

1. Junto Media kan bij de uitvoering van de Overeenkomst AI-tools inzetten, ook bij ontwikkeling, onderhoud en support. Daarbij kan een AI-tool persoonsgegevens te zien krijgen die in systemen of bestanden van de Opdrachtgever staan.
2. Junto Media gebruikt alleen zakelijke versies van AI-tools waarvoor een verwerkersovereenkomst geldt en waarbij de aanbieder ingevoerde gegevens niet gebruikt om AI-modellen te trainen. Deze aanbieders staan in de lijst subverwerkers.
3. Junto Media beperkt de persoonsgegevens die een AI-tool te zien krijgt tot wat nodig is voor de taak. Output van AI-tools wordt door een medewerker beoordeeld voordat die wordt gebruikt of in productie wordt genomen.
4. AI-tools nemen geen besluiten over betrokkenen.
5. De Opdrachtgever kan schriftelijk aangeven dat Junto Media voor zijn opdracht geen AI-tools mag gebruiken op zijn gegevens of systemen. Dit kan gevolgen hebben voor planning en prijs.

8. Doorgifte buiten de EER

Junto Media geeft persoonsgegevens alleen door naar landen buiten de Europese Economische Ruimte als daarvoor een passende waarborg geldt volgens hoofdstuk V van de AVG, zoals een adequaatheidsbesluit of standaardcontractbepalingen van de Europese Commissie. De lijst subverwerkers vermeldt per partij de locatie en de waarborg.

9. Rechten van betrokkenen

1. Ontvangt Junto Media een verzoek van een betrokkene, bijvoorbeeld om inzage of verwijdering, dan stuurt Junto Media dat zonder onnodige vertraging door aan de Opdrachtgever.
2. Junto Media helpt de Opdrachtgever voor zover redelijk bij het afhandelen van zulke verzoeken. Werk dat buiten de Overeenkomst valt, rekent Junto Media af tegen het geldende uurtarief.

10. Datalekken

1. Junto Media meldt een datalek dat persoonsgegevens van de Opdrachtgever betreft zonder onredelijke vertraging aan de Opdrachtgever, en uiterlijk binnen 48 uur nadat Junto Media het heeft ontdekt.
2. De melding bevat voor zover bekend: wat er is gebeurd, welke gegevens en betrokkenen het betreft, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. Ontbrekende informatie volgt zodra die beschikbaar is.
3. De Opdrachtgever beslist of het datalek wordt gemeld aan de Autoriteit Persoonsgegevens en aan betrokkenen. Junto Media doet zelf geen melding namens de Opdrachtgever, tenzij partijen dat afspreken.

11. Bijstand en controle

1. Junto Media verstrekt de Opdrachtgever de informatie die nodig is om naleving van deze verwerkersovereenkomst aan te tonen, en helpt voor zover redelijk bij een gegevensbeschermingseffectbeoordeling (DPIA).
2. De Opdrachtgever mag de naleving maximaal eenmaal per jaar laten controleren door een onafhankelijke deskundige met geheimhoudingsplicht, na aankondiging van ten minste 30 dagen. Na een datalek kan dat ook tussentijds.
3. De kosten van een controle zijn voor de Opdrachtgever, tenzij blijkt dat Junto Media deze verwerkersovereenkomst op wezenlijke punten niet naleeft.

12. Duur en einde

1. Deze verwerkersovereenkomst loopt zolang Junto Media persoonsgegevens verwerkt namens de Opdrachtgever.
2. Na afloop van een dienst geeft Junto Media de persoonsgegevens binnen 30 dagen terug of verwijdert ze, naar keuze van de Opdrachtgever. Bij hosting gebeurt teruggeven door de website en database over te dragen of beschikbaar te stellen.
3. Back-ups worden verwijderd zodra de back-upcyclus van de hostingpartij is doorlopen. Junto Media bewaart gegevens langer alleen als de wet dat verplicht.

13. Aansprakelijkheid

Voor de aansprakelijkheid van partijen geldt de regeling uit de algemene voorwaarden van Junto Media. Deze regeling beperkt de rechten van betrokkenen op grond van artikel 82 AVG niet.

14. Wijzigingen

1. Junto Media kan deze verwerkersovereenkomst wijzigen, bijvoorbeeld door nieuwe wetgeving of nieuwe diensten. Een nieuwe versie wordt ten minste 30 dagen voor de ingangsdatum per e-mail aangekondigd.
2. Gaat de Opdrachtgever niet akkoord met een wijziging, dan kan de Opdrachtgever de betreffende dienst opzeggen per de ingangsdatum.
3. Een wijziging van de lijst subverwerkers volgt artikel 6 en geldt niet als wijziging van deze verwerkersovereenkomst.

15. Slotbepalingen

1. Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de rechter die in de algemene voorwaarden is aangewezen.
2. Bij strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

Bijlage 1: verwerkingen per dienst

Per Opdrachtgever gelden alleen de diensten die in de offerte of Overeenkomst zijn afgenomen. De verwerking duurt zolang de betreffende dienst loopt, tenzij hieronder anders staat. Bijzondere persoonsgegevens worden in beginsel niet verwerkt (artikel 2.4).

Hosting

• Doel: Website, webshop en eventueel e-mail beschikbaar houden
• Persoonsgegevens: Alle gegevens die de Opdrachtgever via website of webshop verwerkt, zoals contactgegevens, bestellingen, klantaccounts, formulierinzendingen en IP-adressen in serverlogs
• Betrokkenen: Bezoekers, klanten en gebruikers van de Opdrachtgever
• Bewaartermijn bij Junto Media: Zolang de hosting loopt; serverlogs en back-ups volgen de cyclus van de hostingpartij

Onderhoud, support en doorontwikkeling

• Doel: Updates, beveiliging, storingen oplossen en aanpassingen doen, via beheeromgeving of SSH-toegang
• Persoonsgegevens: Gegevens in website, webshop of database voor zover nodig voor de taak
• Betrokkenen: Bezoekers, klanten en gebruikers van de Opdrachtgever
• Bewaartermijn bij Junto Media: Geen eigen kopie; tijdelijke ontwikkelkopie verwijderd binnen 30 dagen na afronding

Ontwikkeling en migratie

• Doel: Nieuwe website of webshop bouwen en bestaande gegevens overzetten
• Persoonsgegevens: Klant-, order- en accountgegevens die worden gemigreerd
• Betrokkenen: Klanten en gebruikers van de Opdrachtgever
• Bewaartermijn bij Junto Media: Tot 30 dagen na livegang

SEO, Google Ads en rapportage

• Doel: Vindbaarheid en advertenties analyseren en verbeteren via de eigen marketingtool van Junto Media
• Persoonsgegevens: Zoektermen (kunnen namen, telefoonnummers of adressen bevatten), bedrijfsprofielgegevens, wijzigingshistorie van advertentieaccounts met e-mailadressen
• Betrokkenen: Zoekers, medewerkers van de Opdrachtgever
• Bewaartermijn bij Junto Media: Zolang de dienst loopt (zie artikel 12.2)

Social media en Meta Ads

• Doel: Berichten plaatsen, campagnes beheren, reacties en leads opvolgen
• Persoonsgegevens: Gegevens op de pagina’s en in advertentieaccounts van de Opdrachtgever, zoals reacties, berichten en leadformulieren
• Betrokkenen: Volgers, reageerders, leads
• Bewaartermijn bij Junto Media: Niet buiten de platforms opgeslagen

Nieuwsbrieven en Junto Send

• Doel: Nieuwsbrieven en documenten versturen
• Persoonsgegevens: Naam, e-mailadres, verzendstatus, open- en klikgegevens
• Betrokkenen: Ontvangers
• Bewaartermijn bij Junto Media: Zolang de dienst loopt

Maatwerk en webapplicaties, waaronder het reserveringssysteem

• Doel: Applicatie ontwikkelen, hosten en beheren
• Persoonsgegevens: Accountgegevens, reserveringen en verblijfsgegevens, contactgegevens, gebruiksgegevens
• Betrokkenen: Gasten, klanten en gebruikers van de Opdrachtgever
• Bewaartermijn bij Junto Media: Per applicatie vastgelegd in de offerte

Bijlage 2: subverwerkers

De actuele lijst subverwerkers staat op juntomedia.nl/subverwerkers. Daar staat per partij wat zij doen, voor welke diensten zij worden ingeschakeld, waar zij verwerken en welke waarborg geldt. Een partij geldt alleen als subverwerker voor de diensten die daar bij die partij staan. Wijzigingen volgen artikel 6 en worden bijgehouden in het wijzigingslog op die pagina.

Geen subverwerkers van Junto Media zijn: Google, Meta en Mangools (platforms van de Opdrachtgever of bronnen waar Junto Media gegevens ophaalt), betaalproviders zoals Mollie (de Opdrachtgever heeft daar een eigen contract), GitHub (bevat alleen code, zie bijlage 3) en hostingpartijen waar de Opdrachtgever zelf of via een andere partij een contract mee heeft (zie artikel 5.3).

Bijlage 3: beveiligingsmaatregelen

Junto Media neemt de onderstaande maatregelen.

Toegang tot systemen van de Opdrachtgever

• Alleen medewerkers die aan de opdracht werken krijgen toegang.
• SSH-toegang verloopt met persoonlijke sleutels, met een aparte sleutel per klantomgeving.
• SSH-toegang tot omgevingen van de Opdrachtgever staat standaard uit. Junto Media laat die per taak openzetten en daarna weer sluiten, zodat er geen permanent openstaande ingang is.
• Toegang wordt ingetrokken bij het einde van de opdracht of bij uitdiensttreding.
• Tweestapsverificatie staat aan op hostingpanelen, Google, Meta, Microsoft 365 en GitHub.

AI-tools

• Alleen zakelijke accounts met een verwerkersovereenkomst en zonder training op ingevoerde gegevens; geen gratis of consumentenversies voor werk met klantgegevens.
• Tabellen met klant-, order- of accountgegevens worden alleen uitgelezen als de taak dat vereist.
• Ontwikkelen en testen gebeurt waar mogelijk op een kopie met geanonimiseerde gegevens.
• Wijzigingen die met AI-tools zijn gemaakt, gaan pas naar productie na controle door een medewerker.

Ontwikkeling

• Code-repositories bevatten geen persoonsgegevens; databasedumps worden niet in GitHub opgeslagen.
• Lokale kopieën van klantdatabases en tijdelijke bestanden op servers van de Opdrachtgever worden binnen 30 dagen na afronding van de taak verwijderd.

Hosting en back-ups

• Hosting bij partijen met datacenters in Nederland en Duitsland, dus binnen de EER.
• Verbindingen naar websites en beheeromgevingen zijn versleuteld (TLS).
• Back-ups worden meerdere keren per dag gemaakt en bewaard in een ander datacenter dan de productieservers. De bewaartermijn volgt de cyclus van de hostingpartij.

Marketingtool

• Draait op een eigen server bij TransIP in Nederland.
• Toegang alleen voor medewerkers van Junto Media met een persoonlijk account; inlogpogingen worden gelogd.
• De beheersleutel naar die server is beveiligd met een wachtwoordzin, zodat het sleutelbestand op zichzelf geen toegang geeft.

Werkplekken

• Laptops hebben automatische schermvergrendeling en actuele updates.
• Wachtwoorden staan in een wachtwoordmanager.

Organisatie

• Medewerkers hebben een geheimhoudingsplicht in hun arbeidsovereenkomst.
• Deze maatregelen worden jaarlijks herzien.