Voorwaarden

Verwerkersovereenkomst Reuzenpanda

Versie 26-10-2026, geldend vanaf 26-10-2026.

Partijen

Deze verwerkersovereenkomst is gesloten tussen:

Licentienemer, de partij die met Reuzenpanda een Overeenkomst heeft gesloten zoals bedoeld in de Algemene Voorwaarden van Reuzenpanda, hierna: "Verwerkingsverantwoordelijke"; en
Reuzenpanda B.V., gevestigd aan de Schoutlaan 26, 6002 EA Weert, ingeschreven bij de Kamer van Koophandel onder nummer 93566972, hierna: "Verwerker".

Verwerkingsverantwoordelijke en Verwerker worden samen "Partijen" genoemd.

Overwegende dat:

Verwerker aan Verwerkingsverantwoordelijke het Platform levert, zoals omschreven in de Algemene Voorwaarden van Reuzenpanda (hierna: de "Algemene Voorwaarden");
Verwerker bij de uitvoering van de Overeenkomst persoonsgegevens verwerkt in opdracht van Verwerkingsverantwoordelijke;
Partijen in deze verwerkersovereenkomst de afspraken vastleggen die artikel 28 van de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679, hierna: "AVG") vereist;
deze verwerkersovereenkomst deel uitmaakt van de Overeenkomst en tot stand komt doordat Verwerkingsverantwoordelijke de Algemene Voorwaarden aanvaardt, zonder dat afzonderlijke ondertekening nodig is.

Artikelen

Artikel 1 Definities

Begrippen die met een hoofdletter zijn geschreven en niet in deze verwerkersovereenkomst zijn gedefinieerd, hebben de betekenis die de Algemene Voorwaarden daaraan geven, zoals Platform, Module, Account, Gebruiker, Eindklant en Klantdata.
Begrippen als persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker, subverwerker en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis die de AVG daaraan geeft.
Persoonsgegevens: de persoonsgegevens die Verwerker in opdracht van Verwerkingsverantwoordelijke verwerkt bij de uitvoering van de Overeenkomst, zoals gespecificeerd in Bijlage 1.
Subverwerkerslijst: het overzicht van subverwerkers dat Verwerker publiceert op reuzenpanda.nl/subverwerkers en dat als Bijlage 3 deel uitmaakt van deze verwerkersovereenkomst.

Artikel 2 Onderwerp, duur en rangorde

Verwerker verwerkt de Persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke en uitsluitend voor zover dat nodig is voor de uitvoering van de Overeenkomst. De aard, het doel en de categorieën van de verwerking staan in Bijlage 1.
Deze verwerkersovereenkomst geldt zolang Verwerker Persoonsgegevens verwerkt in opdracht van Verwerkingsverantwoordelijke, en eindigt niet eerder dan de Overeenkomst.
Bij strijdigheid tussen deze verwerkersovereenkomst en de Algemene Voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van Persoonsgegevens betreft.
Verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking. Verwerkingsverantwoordelijke staat ervoor in dat de verwerking rechtmatig is, dat hij een geldige grondslag heeft, dat hij betrokkenen juist informeert en dat de Persoonsgegevens niet onrechtmatig zijn verkregen.
Voor persoonsgegevens die Reuzenpanda voor eigen doeleinden verwerkt, zoals gegevens van Licentienemer en zijn contactpersonen voor het klantbeheer en de facturatie, is Reuzenpanda zelf verwerkingsverantwoordelijke. Daarop is deze verwerkersovereenkomst niet van toepassing, maar de privacyverklaring van Reuzenpanda.

Artikel 3 Instructies

Verwerker verwerkt de Persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke. Als instructies gelden in elk geval: de Overeenkomst, deze verwerkersovereenkomst, en de instellingen en handelingen die Verwerkingsverantwoordelijke en zijn Gebruikers in het Platform verrichten, waaronder via de API, de MCP en gekoppelde integraties.
Verwerker mag van de instructies afwijken voor zover een wettelijke verplichting hem daartoe dwingt. Verwerker informeert Verwerkingsverantwoordelijke daar vooraf over, tenzij de wet dat verbiedt.
Is Verwerker van mening dat een instructie in strijd is met de AVG of andere regelgeving, dan informeert hij Verwerkingsverantwoordelijke daarover direct. Verwerker mag de uitvoering van die instructie opschorten totdat Verwerkingsverantwoordelijke de instructie heeft bevestigd of aangepast.
Verwerker gebruikt de Persoonsgegevens niet voor eigen doeleinden en verstrekt ze niet aan derden, behalve aan subverwerkers volgens artikel 6, op instructie van Verwerkingsverantwoordelijke of op grond van een wettelijke verplichting. Verwerker gebruikt de Persoonsgegevens niet om AI-modellen te trainen.
Verwerker mag geanonimiseerde en geaggregeerde gegevens over het gebruik van het Platform gebruiken voor statistiek en verbetering van haar diensten, mits deze niet herleidbaar zijn tot betrokkenen.

Artikel 4 Geheimhouding

Verwerker zorgt ervoor dat alleen medewerkers en hulppersonen die de Persoonsgegevens nodig hebben voor de uitvoering van de Overeenkomst, daartoe toegang krijgen.
Verwerker legt aan iedereen die onder zijn gezag toegang heeft tot de Persoonsgegevens een geheimhoudingsplicht op, contractueel of op grond van de wet.

Artikel 5 Beveiliging

Verwerker treft passende technische en organisatorische maatregelen om de Persoonsgegevens te beveiligen tegen verlies en tegen enige vorm van onrechtmatige verwerking, rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard, omvang, context en doeleinden van de verwerking en de risico's voor betrokkenen (artikel 32 AVG). De maatregelen staan in Bijlage 2.
Verwerker mag de maatregelen aanpassen, mits het beveiligingsniveau daardoor niet afneemt.
Verwerkingsverantwoordelijke is verantwoordelijk voor de beveiliging van zijn eigen omgeving en voor het veilig gebruik van het Platform, waaronder het beheer van Gebruikers en hun rechten, sterke wachtwoorden, het inschakelen van tweestapsverificatie waar het Platform dat aanbiedt, en het vertrouwelijk houden van API-sleutels en MCP-toegang.
Verwerkingsverantwoordelijke beoordeelt of de maatregelen passend zijn voor de Persoonsgegevens die hij met het Platform verwerkt. Bijzondere persoonsgegevens (zoals gegevens over gezondheid), strafrechtelijke gegevens en burgerservicenummers verwerkt Verwerkingsverantwoordelijke niet met het Platform, tenzij Partijen dat Schriftelijk zijn overeengekomen.

Artikel 6 Subverwerkers

Verwerkingsverantwoordelijke geeft Verwerker algemene toestemming om subverwerkers in te schakelen. De subverwerkers die Verwerker op het moment van aanvaarding inschakelt, staan in de Subverwerkerslijst.
Verwerker kondigt het toevoegen of vervangen van een subverwerker ten minste dertig (30) dagen vooraf aan, via een aanpassing van de Subverwerkerslijst en een bericht per e-mail of in het Platform.
Verwerkingsverantwoordelijke kan binnen die termijn Schriftelijk en gemotiveerd bezwaar maken op redelijke gronden die verband houden met de bescherming van Persoonsgegevens. Partijen overleggen dan over een oplossing. Komen zij binnen dertig dagen niet tot een oplossing, dan kan Verwerkingsverantwoordelijke de Overeenkomst opzeggen per de datum waarop de subverwerker wordt ingeschakeld; vooruitbetaalde bedragen voor de periode daarna worden naar rato terugbetaald. Dit is het enige rechtsmiddel bij bezwaar tegen een subverwerker.
Verwerker legt aan iedere subverwerker schriftelijk ten minste dezelfde verplichtingen op als die in deze verwerkersovereenkomst. Verwerker blijft tegenover Verwerkingsverantwoordelijke verantwoordelijk voor de nakoming door de subverwerker.
Diensten van Derden die Verwerkingsverantwoordelijke zelf activeert of koppelt, zoals agenda's, Zapier, e-mailmarketing, betaaldienstverleners (Mollie of Stripe) en AI-assistenten via de MCP, zijn geen subverwerkers van Verwerker. Verwerkingsverantwoordelijke maakt met die partijen zelf de afspraken die de AVG vereist.

Artikel 7 Doorgifte buiten de Europese Economische Ruimte

Verwerker verwerkt de Persoonsgegevens in beginsel binnen de Europese Economische Ruimte (EER).
Verwerker mag Persoonsgegevens doorgeven aan of laten verwerken door een subverwerker buiten de EER, of door een subverwerker die onder het recht van een land buiten de EER valt, als daarvoor een passende waarborg geldt volgens hoofdstuk V AVG, zoals een adequaatheidsbesluit (waaronder het EU-US Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie. De Subverwerkerslijst vermeldt per subverwerker de locatie en de waarborg.

Artikel 8 Rechten van betrokkenen en bijstand

Verwerkingsverantwoordelijke handelt verzoeken van betrokkenen af, zoals verzoeken om inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar. Het Platform biedt daarvoor functies om gegevens in te zien, te wijzigen, te exporteren en te verwijderen.
Ontvangt Verwerker een verzoek van een betrokkene dat betrekking heeft op Persoonsgegevens, dan stuurt hij dat zonder onredelijke vertraging door aan Verwerkingsverantwoordelijke en handelt hij het niet zelf af, tenzij Verwerkingsverantwoordelijke hem daartoe opdracht geeft.
Verwerker verleent Verwerkingsverantwoordelijke redelijke bijstand bij het nakomen van zijn verplichtingen op grond van de artikelen 32 tot en met 36 AVG, waaronder een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging van de Autoriteit Persoonsgegevens, rekening houdend met de aard van de verwerking en de informatie waarover Verwerker beschikt.
Bijstand die verder gaat dan de standaardfuncties van het Platform en het verstrekken van beschikbare informatie, mag Verwerker in rekening brengen tegen zijn gebruikelijke uurtarief, na voorafgaande melding.

Artikel 9 Datalekken

Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging, en waar mogelijk binnen achtenveertig (48) uur nadat hij het datalek heeft ontdekt, over een datalek dat betrekking heeft op de Persoonsgegevens.
Verwerker verstrekt daarbij, voor zover bekend: de aard van het datalek, de categorieën en het geschatte aantal betrokkenen en registraties, de vermoedelijke gevolgen, en de maatregelen die zijn of worden genomen om het datalek te verhelpen en de gevolgen te beperken. Informatie die nog niet beschikbaar is, verstrekt Verwerker zodra die bekend is.
Verwerkingsverantwoordelijke beoordeelt of hij het datalek moet melden aan de Autoriteit Persoonsgegevens en aan betrokkenen, en doet die melding zelf. Verwerker meldt een datalek niet zelf aan de toezichthouder of betrokkenen, tenzij de wet dat verplicht of Verwerkingsverantwoordelijke daartoe opdracht geeft.
Verwerker documenteert alle datalekken, inclusief de feiten, de gevolgen en de genomen maatregelen.

Artikel 10 Informatie en audit

Verwerker stelt Verwerkingsverantwoordelijke op verzoek alle informatie ter beschikking die redelijkerwijs nodig is om aan te tonen dat Verwerker deze verwerkersovereenkomst nakomt.
Verwerkingsverantwoordelijke mag maximaal één keer per kalenderjaar, en daarnaast bij een concrete aanwijzing van een ernstige tekortkoming, een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht. Verwerkingsverantwoordelijke kondigt een audit ten minste dertig (30) dagen vooraf aan en stemt de omvang en het tijdstip af met Verwerker.
Een audit verstoort de bedrijfsvoering van Verwerker niet onevenredig en geeft geen toegang tot gegevens van andere klanten of tot vertrouwelijke informatie die niet op de verwerking betrekking heeft. Verwerker mag eerst bestaande rapportages of certificeringen aanbieden; een audit is dan alleen nodig voor zover die rapportages onvoldoende antwoord geven.
De kosten van een audit zijn voor rekening van Verwerkingsverantwoordelijke, inclusief de redelijke tijd die Verwerker eraan besteedt, tenzij de audit een wezenlijke tekortkoming van Verwerker aantoont.

Artikel 11 Aansprakelijkheid

Voor de aansprakelijkheid van Partijen tegenover elkaar uit hoofde van deze verwerkersovereenkomst geldt artikel 37 van de Algemene Voorwaarden, inclusief de beperkingen daarin.
Lid 1 laat de aansprakelijkheid van Partijen tegenover betrokkenen op grond van artikel 82 AVG onverlet.
Verwerkingsverantwoordelijke vrijwaart Verwerker tegen aanspraken van betrokkenen en derden, en tegen boetes van toezichthouders, die het gevolg zijn van een verwerking waarvoor Verwerkingsverantwoordelijke verantwoordelijk is of van een instructie van Verwerkingsverantwoordelijke, tenzij Verwerker in strijd heeft gehandeld met deze verwerkersovereenkomst of de AVG.

Artikel 12 Einde van de verwerking

Na het einde van de Overeenkomst kan Verwerkingsverantwoordelijke gedurende dertig (30) dagen zelf de Persoonsgegevens exporteren met de exportfuncties die het Platform daarvoor biedt, overeenkomstig artikel 34 van de Algemene Voorwaarden.
Na afloop van die termijn verwijdert Verwerker de Persoonsgegevens, tenzij een wettelijke bewaarplicht hem tot bewaring verplicht. Persoonsgegevens in back-ups worden volgens de gebruikelijke back-upcyclus van Verwerker overschreven en worden tot dat moment niet meer actief verwerkt.
Verwerker bevestigt de verwijdering op verzoek van Verwerkingsverantwoordelijke Schriftelijk.

Artikel 13 Slotbepalingen

Verwerker mag deze verwerkersovereenkomst wijzigen op de wijze die artikel 5 van de Algemene Voorwaarden voor die voorwaarden bepaalt. Wijzigingen van de Subverwerkerslijst verlopen volgens artikel 6 van deze verwerkersovereenkomst.
Is een bepaling van deze verwerkersovereenkomst nietig of vernietigbaar, dan blijven de overige bepalingen van kracht. Partijen vervangen de ongeldige bepaling dan door een geldige bepaling die zoveel mogelijk aansluit bij het doel en de strekking ervan.
Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de rechter die volgens artikel 44 van de Algemene Voorwaarden bevoegd is.

Bijlage 1

Specificatie van de verwerkingen

Aard van de verwerking: opslaan, ordenen, raadplegen, bijwerken, verzenden, analyseren (waaronder met AI-functionaliteit), exporteren en verwijderen van Persoonsgegevens in het Platform, als online dienst (software-as-a-service).

Doel van de verwerking: het leveren van het Platform en de Modules aan Verwerkingsverantwoordelijke, inclusief hosting, support, onderhoud en beveiliging, en, voor zover overeengekomen, ondersteuning door Verwerker bij Trajecten, Maatwerk en het opvolgen van Eindklanten.

Categorieën betrokkenen: Eindklanten (leads, prospects en klanten van Verwerkingsverantwoordelijke en hun contactpersonen), Gebruikers (medewerkers van Verwerkingsverantwoordelijke en door hem ingeschakelde derden) en andere personen van wie Verwerkingsverantwoordelijke gegevens in het Platform plaatst.

Module	Categorieën persoonsgegevens
Formulieren en Configurator	Naam, adres, e-mailadres, telefoonnummer, antwoorden en keuzes in formulieren en configuraties, geüploade bestanden en foto's, IP-adres en technische gegevens van het bezoek
CRM, Pipeline en agenda	Contactgegevens, bedrijfsgegevens, functie, deals en dealwaarden, activiteiten, notities, taken en agenda-afspraken
Documenten en Online ondertekenen	Gegevens in offertes, facturen en contracten (waaronder prijzen en factuuradres), ondertekeningsgegevens (naam, e-mailadres, tijdstip, IP-adres)
Gesprekken	Namen, telefoonnummers, e-mailadressen, inhoud van WhatsApp-berichten, e-mails en chats, bijlagen, en bij telefonie gespreksgegevens, opnames en transcripties
Automatisering	De gegevens uit de overige Modules die een automatisering gebruikt, en logboeken van uitgevoerde acties
AI Agent en AI-functionaliteit	Berichten van en aan Eindklanten, en contact-, deal-, offerte- en agendagegevens die de AI raadpleegt of genereert
Artikelen	In beginsel geen persoonsgegevens; eventueel namen van leveranciers of contactpersonen
API en MCP	De gegevens die Verwerkingsverantwoordelijke via de API of MCP opvraagt of wijzigt, API-sleutels en verzoeklogboeken
Landingspagina's en Winkelmand	Contact- en bestelgegevens van Eindklanten, betaalstatus (geen volledige betaalkaartgegevens)
Gebruikersbeheer	Naam, e-mailadres, telefoonnummer, rol en rechten van Gebruikers, inloggegevens en activiteitenlogboeken

Bijzondere persoonsgegevens: geen, tenzij Schriftelijk anders overeengekomen (artikel 5 lid 4).

Bewaartermijn: Verwerkingsverantwoordelijke bepaalt hoe lang Persoonsgegevens in het Platform worden bewaard en verwijdert ze zelf. Na het einde van de Overeenkomst geldt artikel 12.

Locatie van de verwerking: het Platform wordt gehost in Amsterdam, Nederland. De locaties van subverwerkers staan in de Subverwerkerslijst (Bijlage 3).

Bijlage 2

Technische en organisatorische beveiligingsmaatregelen

Verwerker treft ten minste de volgende maatregelen.

Infrastructuur en hosting

Het Platform draait in een beveiligd datacenter van DigitalOcean in Amsterdam, Nederland, met fysieke toegangsbeveiliging, bewaking en redundante stroom- en netwerkvoorzieningen.
Productie-, test- en ontwikkelomgevingen zijn volledig van elkaar gescheiden, met afzonderlijke databases.
Systemen worden tijdig voorzien van beveiligingsupdates.
Gegevens van verschillende klanten zijn logisch van elkaar gescheiden.

Versleuteling

Alle verbindingen met het Platform zijn versleuteld met TLS (https).
Bestanden die in het Platform worden geüpload, worden versleuteld opgeslagen.
Wachtwoorden worden niet leesbaar opgeslagen, maar uitsluitend als hash.

Toegangsbeheer

Medewerkers van Verwerker krijgen alleen toegang tot Persoonsgegevens voor zover dat nodig is voor hun taak (need-to-know), en toegangsrechten worden bij uitdiensttreding direct ingetrokken.
Beheertoegang tot de productieomgeving bij DigitalOcean en AWS en tot de backoffice is beveiligd met tweestapsverificatie.
Het Platform biedt Gebruikers rollen en rechten. Gebruikers kunnen tweestapsverificatie inschakelen voor hun account.
API-sleutels en MCP-toegang kunnen door Verwerkingsverantwoordelijke worden ingetrokken.

Logging en monitoring

Toegang tot en wijzigingen in de productieomgeving worden gelogd. Logbestanden worden bewaard zolang dat nodig is voor beveiliging, foutopsporing en verantwoording; een deel van de logbestanden wordt bij iedere update vervangen.
De beschikbaarheid en werking van het Platform worden doorlopend gemonitord.

Back-ups en continuïteit

Van de productiedatabase worden doorlopend back-ups gemaakt, ten minste wekelijks en in de regel dagelijks. Back-ups worden na een beperkte bewaartermijn overschreven.
Het herstellen van back-ups wordt periodiek getest.

Ontwikkeling

Wijzigingen in de programmatuur worden beoordeeld en getest voordat zij in productie worden genomen.
Bij het ontwikkelen worden geen echte Persoonsgegevens van klanten gebruikt, tenzij dat nodig is om een storing op te lossen.
Kwetsbaarheden in de gebruikte software en afhankelijkheden worden actief gevolgd en met beveiligingspatches verholpen.

Organisatie

Medewerkers en hulppersonen zijn tot geheimhouding verplicht (artikel 4).
Medewerkers worden bewust gemaakt van informatiebeveiliging en privacy.
Persoonsgegevens worden niet lokaal op laptops of werkplekken van medewerkers opgeslagen. Bestanden met Persoonsgegevens die buiten het Platform nodig zijn, worden bewaard in een versleutelde omgeving met beperkte toegang.
Er is een procedure voor het melden en afhandelen van beveiligingsincidenten en datalekken, in lijn met artikel 9.
Subverwerkers worden vóór inschakeling beoordeeld op hun beveiligings- en privacymaatregelen (artikel 6).

Bijlage 3

Subverwerkerslijst

Bekijk de subverwerkerslijst

Versie 26-10-2026, geldend vanaf 26-10-2026.