Verwerkersovereenkomst — FairHosting Versie fairhosting-2026-10-22-v1 — geldig vanaf 22 oktober 2026 People Investments B.V., handelend onder de naam FairHosting Kinkerstraat 310 2, 1053GD Amsterdam, NL KvK 87003805 — Btw NL864173234B01 hello@fairhosting.eu — 0622752205 Afspraken over verwerking van persoonsgegevens in opdracht van zakelijke mailboxklanten. 1. Partijen, opdracht en duur Deze verwerkersovereenkomst maakt deel uit van de overeenkomst voor zakelijke mailboxdiensten. De klant die de bestelling accepteert is verwerkingsverantwoordelijke voor de persoonsgegevens in en rond de voor zijn bedrijf gebruikte mailboxen. People Investments B.V., handelend onder de naam FairHosting, is daarvoor verwerker. Als de klant zelf verwerker is, verklaart hij bevoegd te zijn FairHosting als subverwerker in te schakelen; zijn gedocumenteerde instructies blijven bepalend. De opdracht loopt zolang FairHosting de betrokken dienst voor de klant uitvoert en zolang noodzakelijke afwikkeling van verwijdering of teruggave duurt. Voor onze eigen facturatie, contractadministratie en verplichtingen als dienstverlener handelen wij als zelfstandige verantwoordelijke volgens de privacyverklaring. 2. Aard en doel van de verwerking Wij laten mailboxen aanmaken, berichten en bijlagen verzenden, ontvangen en opslaan, toegangs- en herstelgegevens beheren, DNS instellen en noodzakelijke ondersteuning en misbruikpreventie uitvoeren. Wij gebruiken klantinhoud niet voor advertenties, verkoop van gegevens of het trainen van AI-modellen. De gegevens omvatten namen, zakelijke contactgegevens, mailboxadressen, afzender- en ontvangergegevens, berichtinhoud, bijlagen, technische bezorggegevens en noodzakelijke toegangs- en supportgegevens. Betrokkenen zijn onder meer medewerkers, klanten, leveranciers en correspondenten van de klant. De klant bepaalt welke inhoud hij laat verwerken, beschikt over een geldige grondslag en informeert betrokkenen. Als bijzondere of strafrechtelijke persoonsgegevens worden gebruikt, beoordeelt de klant de aanvullende wettelijke voorwaarden en benodigde waarborgen; deze overeenkomst neemt die beoordeling niet over. 3. Instructies en vertrouwelijkheid Wij verwerken uitsluitend op gedocumenteerde instructie van de klant, inclusief de mailboxbestelling, accountinstellingen en geverifieerde supportopdrachten, behalve als een wettelijke verplichting anders vereist. In dat geval informeren wij de klant vooraf tenzij de wet dit verbiedt. Wij waarschuwen wanneer een instructie naar ons oordeel strijdig is met de privacywetgeving. Personen met toegang zijn tot vertrouwelijkheid verplicht en krijgen alleen de toegang die voor hun taak nodig is. Wij raadplegen inhoud niet routinematig voor andere doeleinden. De klant houdt zijn toegangsrechten en apparaten op orde en deelt geen wachtwoorden via supportmail. 4. Beveiligingsmaatregelen De maatregelen omvatten versleuteld transport waar ondersteund, gescheiden klanttoegang tot portalgegevens, beperkte beheerrechten, extra bevestiging bij gevoelige beheeracties, serverbeheer van API-credentials, een audittrail van belangrijke mutaties en leveranciermaatregelen voor de mailinfrastructuur. De portal bewaart geen leesbare mailboxwachtwoorden. Wij herbeoordelen maatregelen bij relevante wijzigingen of incidenten. Een mailbox is geen afzonderlijk gegarandeerde back-up- of archiefdienst. De klant zorgt voor een bruikbare export of back-up van belangrijke inhoud en controleert die. Gewone e-mail is geen gegarandeerd eind-tot-eind versleuteld kanaal. Deze afspraken beperken onze wettelijke beveiligingsverantwoordelijkheid niet. 5. Subverwerkers en doorgiften De klant verleent algemene schriftelijke toestemming voor de hieronder beschreven subverwerkers voor zover zij gegevens in opdracht verwerken. Migadu-Mail GmbH verzorgt mailboxinfrastructuur, opslag, verzending, ontvangst en uitnodigingen. Supabase verzorgt portal-, account- en dienstmetadata in het Frankfurt-project. Vercel verzorgt applicatieverwerking en hosting, met functies in Frankfurt en leveranciersinfrastructuur daarbuiten waar van toepassing. Brevo verzorgt dienstberichten voor zover deze gegevens namens de klant bevatten. Geen van deze omschrijvingen is een garantie dat alle ondersteuning en infrastructuur uitsluitend binnen de EER plaatsvinden. Wij leggen met ingeschakelde subverwerkers privacyverplichtingen vast die voor de betrokken verwerking gelijkwaardig zijn aan deze overeenkomst en blijven verantwoordelijk voor hun nakoming jegens de klant. Bij een voorgenomen wezenlijke toevoeging of vervanging informeren wij je in beginsel ten minste dertig dagen vooraf. Je kunt binnen die termijn gemotiveerd bezwaar maken op gegevensbeschermingsgronden. Wij zoeken een passend alternatief; als dat niet mogelijk is kan de geraakte dienst vóór de wijziging eindigen, met restitutie van het niet geleverde deel. Bij een spoedeisende noodzakelijke vervanging informeren wij je zo spoedig mogelijk en blijft bezwaar mogelijk. Voor noodzakelijke verwerking buiten de EER gebruiken wij een toepasselijk adequaatheidsbesluit of passende waarborgen, zoals Europese standaardcontractbepalingen, en aanvullende maatregelen waar nodig. Op verzoek verstrekken wij informatie over de relevante waarborgen. Registrar- en registryverwerkingen met eigen wettelijke doeleinden zijn beschreven in de privacyverklaring en zijn niet uitsluitend door hun vermelding als subverwerking aan te merken. Migadu: verwerking en bescherming: https://www.migadu.com/privacy/ Supabase: verwerkersafspraken: https://supabase.com/legal/customer-resources/data-processing-addendum Vercel: verwerkersafspraken: https://vercel.com/legal/dpa Brevo: juridische documentatie: https://www.brevo.com/legal/termsofuse/ 6. Datalekken en ondersteuning Na kennisname van een inbreuk op persoonsgegevens die onder deze opdracht vallen informeren wij de klant zonder onnodige vertraging, met als streeftermijn vierentwintig uur. Een eerste melding bevat de beschikbare feiten; ontbrekende informatie volgt zo spoedig mogelijk. Waar bekend beschrijven wij aard en omvang, betrokken gegevens en personen, vermoedelijke gevolgen, maatregelen en een contactpunt. Wij leggen incidenten en genomen maatregelen vast. Wij helpen redelijkerwijs met verzoeken van betrokkenen, beveiligingsonderzoek, een gegevensbeschermingseffectbeoordeling en overleg met een toezichthouder, rekening houdend met de beschikbare informatie en aard van de dienst. Wij sturen verzoeken over klantinhoud door en antwoorden niet zelfstandig namens de klant zonder instructie, tenzij de wet dit vereist. De klant beoordeelt zijn meldplicht en wettelijke termijnen; onze streeftermijn verlengt die niet. 7. Controle en informatie Wij verstrekken de informatie die redelijkerwijs nodig is om naleving aan te tonen. Een noodzakelijke audit kan op redelijke voorafgaande aankondiging plaatsvinden door de klant of een onafhankelijke, tot geheimhouding verplichte deskundige. Wij beschermen daarbij gegevens van andere klanten en de beveiliging van de dienst. We gebruiken beschikbare verklaringen en bewijs waar dat het controledoel dekt, zonder een noodzakelijk nader onderzoek uit te sluiten. Voor uitzonderlijk uitgebreide ondersteuning of controle spreken we vooraf redelijke kosten af; dit verhindert geen wettelijke medewerking of noodzakelijke spoedactie. Een controle geeft geen onbeperkte toegang tot de inhoud van andere mailboxen in het gedeelde leveranciersaccount. 8. Teruggave en verwijdering De klant kiest vóór einde van de dienst voor export/teruggave van zijn gegevens en/of verwijdering en geeft een geverifieerde instructie. Binnen de actieve dienst kan de klant berichten zelf exporteren of verwijderen. FairHosting ondersteunt een redelijke overdracht en verwijdert of laat de betrokken gegevens verwijderen na einde van de opdracht, uiterlijk binnen dertig dagen, tenzij een concrete wettelijke plicht verder bewaren vereist. Afgeschermde back-upkopieën verdwijnen volgens de toepasselijke omloop; wij gebruiken ze niet voor andere doeleinden. Vraag export tijdig aan en rond deze vóór de aangekondigde einddatum af. De verwijdertermijn is geen belofte van toegang, een herstelperiode of een verlengd abonnement na beëindiging. Fiscale administratie en noodzakelijk bewijs waarvoor wij zelfstandig verantwoordelijk zijn vallen onder de privacyverklaring. Op verzoek bevestigen wij de afhandeling van de instructie. 9. Voorrang en rechten Deze overeenkomst gaat voor bij tegenstrijdigheden over verwerking in opdracht. Zij beperkt geen wettelijke rechten van betrokkenen of bevoegdheden van een toezichthouder. Nederlands recht en de geschilregeling uit de algemene voorwaarden gelden voor de contractuele verhouding. De bepalingen over vertrouwelijkheid en noodzakelijke afwikkeling blijven gelden na einde van de dienst.