AVG · artikel 28

Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij elk abonnement op MDT Control. Hij legt vast hoe wij de persoonsgegevens van uw deelnemers en medewerkers verwerken, beveiligen en na afloop teruggeven of verwijderen.

Versie 1.0 · 22 oktober 2026

Download als PDFOndertekend exemplaar aanvragen

Partijen

1. De verwerkingsverantwoordelijke ("Opdrachtgever"):
Naam organisatie:  
Adres:  
Vertegenwoordigd door:  

2. De verwerker ("MDT Control"):
Anasco B.V., handelend onder de naam MDT Control, gevestigd aan de Laan van Zuidhoorn 70, 2289 CX Rijswijk, vertegenwoordigd door de heer A. El Gendouzi, directeur.

Partijen hebben een overeenkomst gesloten voor het gebruik van het MDT Control-platform (de "Hoofdovereenkomst"). Bij de uitvoering daarvan verwerkt MDT Control persoonsgegevens in opdracht van Opdrachtgever. Partijen leggen in deze verwerkersovereenkomst de afspraken vast die artikel 28 van de Algemene Verordening Gegevensbescherming (AVG) vereist.

Artikel 1 · Onderwerp en duur

1. MDT Control verwerkt de persoonsgegevens uitsluitend voor het leveren van het MDT Control-platform zoals beschreven in Bijlage A, en uitsluitend op basis van schriftelijke instructies van Opdrachtgever. De Hoofdovereenkomst en het gebruik van het platform door Opdrachtgever gelden als die instructies.
2. Deze overeenkomst geldt zolang MDT Control persoonsgegevens voor Opdrachtgever verwerkt en eindigt automatisch wanneer alle gegevens zijn teruggegeven of verwijderd volgens artikel 9.
3. MDT Control verwerkt de persoonsgegevens niet voor eigen doeleinden en verstrekt ze niet aan derden, tenzij een wettelijke verplichting daartoe dwingt. In dat geval informeert MDT Control Opdrachtgever vooraf, tenzij de wet dat verbiedt.

Artikel 2 · Verplichtingen van Opdrachtgever

1. Opdrachtgever is verantwoordelijk voor de rechtmatigheid van de verwerking, waaronder een geldige grondslag en het informeren van de betrokkenen.
2. Opdrachtgever bepaalt welke gegevens worden vastgelegd. Het registreren van burgerservicenummers staat in het platform standaard uit; zet Opdrachtgever dit aan, dan staat Opdrachtgever ervoor in dat daarvoor een wettelijke grondslag bestaat.
3. Opdrachtgever beheert zelf de accounts en rechten van zijn gebruikers en zorgt ervoor dat inloggegevens geheim blijven.

Artikel 3 · Geheimhouding

1. MDT Control en iedereen die onder zijn gezag werkt, zijn verplicht tot geheimhouding van de persoonsgegevens. Alleen medewerkers voor wie dat voor de dienstverlening nodig is (beheer, ondersteuning, herstel) krijgen toegang.
2. MDT Control kijkt alleen in de omgeving van Opdrachtgever voor ondersteuning of beheer. Elke keer dat dat gebeurt, wordt het vastgelegd in het logboek van Opdrachtgever.

Artikel 4 · Beveiliging

1. MDT Control neemt passende technische en organisatorische maatregelen, zoals bedoeld in artikel 32 AVG, om de persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking. De maatregelen staan in Bijlage B.
2. MDT Control mag de maatregelen aanpassen, mits het beveiligingsniveau daardoor niet omlaag gaat.

Artikel 5 · Subverwerkers

1. Opdrachtgever geeft algemene toestemming voor de inzet van de subverwerkers in Bijlage C.
2. MDT Control informeert Opdrachtgever ten minste 30 dagen vooraf over een nieuwe of vervangende subverwerker. Opdrachtgever kan binnen die termijn op redelijke gronden bezwaar maken; komen partijen er niet uit, dan kan Opdrachtgever de Hoofdovereenkomst kosteloos beëindigen.
3. MDT Control legt subverwerkers ten minste dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover Opdrachtgever verantwoordelijk voor hun nakoming.
4. Persoonsgegevens worden uitsluitend binnen de Europese Economische Ruimte verwerkt.

Artikel 6 · Rechten van betrokkenen

1. MDT Control helpt Opdrachtgever bij verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar). Het platform biedt daarvoor eigen functies, zoals gegevens bewerken, een volledige export en het anonimiseren van een deelnemer zodra de bewaarplicht dat toelaat.
2. Komt een verzoek rechtstreeks bij MDT Control binnen, dan stuurt MDT Control het binnen 5 werkdagen door naar Opdrachtgever.

Artikel 7 · Datalekken

1. MDT Control meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging aan Opdrachtgever, en in elk geval binnen 24 uur nadat MDT Control de inbreuk heeft ontdekt.
2. De melding bevat, voor zover bekend: de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, en de maatregelen die zijn of worden genomen. MDT Control vult de informatie aan zodra die beschikbaar komt.
3. Opdrachtgever beslist of de inbreuk wordt gemeld bij de Autoriteit Persoonsgegevens en de betrokkenen. MDT Control werkt daaraan mee.

Artikel 8 · Controle en medewerking

1. MDT Control stelt alle informatie beschikbaar die nodig is om de naleving van deze overeenkomst aan te tonen, en beantwoordt redelijke beveiligingsvragenlijsten van Opdrachtgever of diens accountant.
2. Opdrachtgever kan, na schriftelijke aankondiging en ten hoogste eenmaal per jaar, een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht. De kosten zijn voor Opdrachtgever, tenzij de audit tekortkomingen van betekenis aantoont.
3. MDT Control helpt Opdrachtgever, voor zover redelijk, bij een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging.

Artikel 9 · Bewaren, teruggeven en verwijderen

1. Tijdens de looptijd bewaart MDT Control de gegevens zolang Opdrachtgever dat wil. Het platform anonimiseert deelnemers automatisch zodra de wettelijke bewaartermijn van de subsidieadministratie is verstreken (10 jaar na de vaststelling, Kaderregeling subsidies OCW, SZW en VWS, art. 5.2), tenzij Opdrachtgever anders aangeeft.
2. Na het einde van de Hoofdovereenkomst heeft Opdrachtgever 30 dagen toegang om een volledige export te maken (alle gegevens als CSV en alle bestanden). Daarna verwijdert MDT Control de database, de bestanden en de accounts van Opdrachtgever. Back-ups worden niet apart bewerkt en verlopen binnen 30 dagen na die verwijdering.
3. Op verzoek bevestigt MDT Control de verwijdering schriftelijk.
4. De wettelijke bewaarplicht van de subsidieadministratie ligt bij Opdrachtgever. Opdrachtgever zorgt ervoor dat hij vóór de verwijdering een export heeft gemaakt.

Artikel 10 · Aansprakelijkheid

Voor de aansprakelijkheid van partijen geldt wat in de Hoofdovereenkomst en de daarop van toepassing zijnde voorwaarden is afgesproken. Deze overeenkomst laat de rechtstreekse aansprakelijkheid van partijen op grond van de AVG onverlet.

Artikel 11 · Slotbepalingen

1. Bij strijdigheid tussen deze overeenkomst en de Hoofdovereenkomst gaat deze overeenkomst voor wat betreft de verwerking van persoonsgegevens.
2. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Den Haag.

Bijlage A · Specificatie van de verwerking

Onderdeel	Omschrijving
Dienst	Webapplicatie voor de administratie en verantwoording van MDT-trajecten: deelnemers, trajecten, urenregistratie, groepen en planning, goedkeuring, digitale ondertekening, certificaten, vragenlijsten, rapportages en exports voor DUS-I en de accountant.
Doel van de verwerking	Het voeren van de deelnemersregistratie en urenadministratie en het verantwoorden van de MDT-subsidie.
Categorieën betrokkenen	Deelnemers (jongeren) aan MDT-trajecten; medewerkers, coaches en begeleiders van Opdrachtgever; door Opdrachtgever toegelaten externe gebruikers zoals de accountant.
Categorieën persoonsgegevens	Naam, adres, postcode, woonplaats, geboortedatum, geslacht, telefoonnummer, e-mailadres, opleiding; trajectgegevens, uren, activiteiten, aanwezigheid, certificaten, vragenlijstantwoorden, coachnotities en documenten; digitale handtekeningen; inloggegevens en logboekgegevens (zoals IP-adres). Alleen als Opdrachtgever dit zelf aanzet: het burgerservicenummer (versleuteld).
Bijzondere persoonsgegevens	Niet beoogd. Opdrachtgever voorkomt dat in vrije tekstvelden of documenten onnodig gevoelige gegevens (zoals gezondheid) worden vastgelegd.
Plaats van verwerking	Duitsland (EU).
Bewaartermijn	Zie artikel 9.

Bijlage B · Beveiligingsmaatregelen

• Scheiding: een eigen database en databasegebruiker per organisatie.
• Versleuteling: HTTPS/TLS met HSTS voor alle verbindingen; BSN (indien gebruikt) versleuteld met AES-256; wachtwoorden als bcrypt-hash.
• Toegang: rollen met minimale rechten (beheerder, coördinator, coach, lezer, accountant, deelnemer); coaches zien alleen eigen deelnemers; tweestapsverificatie (TOTP), door de organisatie verplicht te stellen; blokkade na herhaalde mislukte inlogpogingen; automatisch verlopende sessies.
• Logging: een logboek van alle wijzigingen en van ondersteuning door MDT Control, in te zien door de accountant en exporteerbaar.
• Integriteit: digitale ondertekening van urenverantwoordingen met een SHA-256-vingerafdruk; verwijderde gegevens blijven in het logboek herleidbaar.
• Webbeveiliging: beveiligingsheaders (waaronder Content-Security-Policy), bescherming tegen cross-site request forgery, en invoercontrole.
• Hosting: eigen servers in ISO/IEC 27001-gecertificeerde datacenters van Hetzner in Duitsland; serverbrede blokkade van back-up-, configuratie- en databasebestanden voor het web; lekcontrole van de server.
• Continuïteit: dagelijkse back-ups van alle databases, 30 dagen bewaard.
• Organisatie: geheimhoudingsplicht voor iedereen met toegang; toegang alleen als dat voor beheer of ondersteuning nodig is.

Bijlage C · Subverwerkers

Subverwerker	Dienst	Locatie
Hetzner Online GmbH	Hosting, opslag en back-ups	Duitsland
Sendinblue SAS (Brevo)	Verzenden van systeem-e-mails (naam, e-mailadres en de inhoud van de melding)	Frankrijk

Ondertekening