Verwerkersovereenkomst

VERWERKERSOVEREENKOMST

overeenkomstig artikel 28 van Verordening (EU) 2016/679 (AVG)

JAAN BV – alle diensten (webhosting, VPS en dedicated servers, Smsbox, 2mail, maatwerk)

Versie: 2.6 – 27 oktober 2026

Verwerker: JAAN BV (Jaan Internet Solutions), maatschappelijke zetel Zelzatestraat 61, 9960 Assenede, België – KBO 0894.248.245 – privacy@jaan.be – 09 328 03 83

Verwerkingsverantwoordelijke: de Klant, zoals geïdentificeerd in de Hoofdovereenkomst, de bestelling of het klantenaccount.

Artikel 1 – Toepassingsgebied en rangorde

1.1 Deze Verwerkersovereenkomst maakt integraal deel uit van elke overeenkomst tussen JAAN BV en de Klant voor het leveren van Diensten (de "Hoofdovereenkomst"), met inbegrip van de algemene voorwaarden, bestellingen en servicebeschrijvingen van JAAN BV.

1.2 Zij is van toepassing op elke verwerking van Persoonsgegevens van de Klant door JAAN BV als verwerker in het kader van de Diensten, ongeacht welke Dienst de Klant afneemt. Bijlage A beschrijft de verwerking per Dienst.

1.3 Bij tegenstrijdigheid tussen deze Verwerkersovereenkomst en de Hoofdovereenkomst heeft deze Verwerkersovereenkomst voorrang voor wat de verwerking van Persoonsgegevens betreft. Indien partijen de modelcontractbepalingen van Uitvoeringsbesluit (EU) 2021/915 hebben ondertekend, hebben die bepalingen voorrang en gelden de Bijlagen van dit document als invulling van de Bijlagen II tot en met IV daarvan.

Artikel 2 – Definities

2.1 "Diensten": de diensten die JAAN BV aan de Klant levert, waaronder webhosting, virtuele servers (VPS) en dedicated servers, de Smsbox-berichtendiensten (SMS, WhatsApp Business en spraakberichten via text-to-speech), de 2mail e-maildiensten (e-mailmarketing en SMTP-relay) en maatwerkontwikkeling.

2.2 "Persoonsgegevens van de Klant": alle persoonsgegevens die JAAN BV namens de Klant verwerkt om de Diensten te leveren.

2.3 "Subverwerker": elke derde die door JAAN BV wordt ingeschakeld om Persoonsgegevens van de Klant te verwerken voor het leveren van de Diensten.

2.4 "Transmissiedienst": elke dienst van een telecomoperator, SMS-aggregator, berichtenplatform van een derde of e-mailontvangende server die uitsluitend dient voor het doorgeven van berichten naar of van de bestemmeling. Aanbieders van Transmissiediensten zijn geen Subverwerkers van JAAN BV, noch van de Klant (zie artikel 7.6 en Bijlage D).

2.5 "Datalek": een inbreuk in verband met persoonsgegevens in de zin van artikel 4, punt 12 AVG.

2.6 Begrippen zoals "verwerkingsverantwoordelijke", "verwerker", "betrokkene", "verwerking" en "toezichthoudende autoriteit" hebben de betekenis die de AVG eraan geeft.

Artikel 3 – Rollen van partijen

3.1 De Klant is verwerkingsverantwoordelijke voor de Persoonsgegevens van de Klant; JAAN BV is verwerker. Treedt de Klant zelf op als verwerker voor een derde, dan is JAAN BV subverwerker en garandeert de Klant dat zijn eigen verwerkersovereenkomst de inschakeling van JAAN BV toelaat.

3.2 JAAN BV is zelfstandig verwerkingsverantwoordelijke voor de gegevens die zij verwerkt voor het beheer van de klantrelatie: accountgegevens, contactpersonen, facturatie, ondersteuning, beveiliging en fraudepreventie van haar eigen infrastructuur, en de naleving van wettelijke verplichtingen. Die verwerking valt onder de privacyverklaring van JAAN BV.

3.3 De Klant garandeert dat hij over een rechtsgrond beschikt voor de verwerking, dat hij de betrokkenen correct informeert, en dat hij JAAN BV geen gegevens laat verwerken die in strijd zijn met de wet, de fair-usepolicy of de specifieke voorwaarden van JAAN BV. Voor commerciële berichten via Smsbox of 2mail beschikt de Klant over de vereiste toestemming van de ontvangers en levert hij op verzoek van JAAN BV het bewijs daarvan.

Artikel 4 – Instructies

4.1 JAAN BV verwerkt de Persoonsgegevens van de Klant uitsluitend op gedocumenteerde instructie van de Klant en voor het leveren van de Diensten. De Hoofdovereenkomst, deze Verwerkersovereenkomst, de configuratie van de Diensten door de Klant (controlepaneel, API, instellingen) en schriftelijke supportverzoeken gelden als instructies.

4.2 Meent JAAN BV dat een instructie in strijd is met de AVG of andere toepasselijke wetgeving, dan brengt zij de Klant daarvan onmiddellijk op de hoogte en mag zij de uitvoering opschorten tot de instructie is aangepast.

4.3 Indien JAAN BV wettelijk verplicht is tot een verwerking, informeert zij de Klant vooraf over die verplichting, tenzij de wet dit verbiedt om gewichtige redenen van algemeen belang.

Artikel 5 – Vertrouwelijkheid

5.1 De geheimhoudingsplicht van artikel 14 van de algemene voorwaarden van JAAN BV is van toepassing. JAAN BV zorgt ervoor dat enkel daartoe gemachtigde medewerkers toegang hebben tot de Persoonsgegevens van de Klant, voor zover nodig voor het leveren van de Diensten, en dat zij gebonden zijn door een contractuele of wettelijke geheimhoudingsplicht.

Artikel 6 – Beveiliging

6.1 JAAN BV neemt passende technische en organisatorische maatregelen in de zin van artikel 32 AVG, zoals beschreven in Bijlage B. JAAN BV mag die maatregelen aanpassen, op voorwaarde dat het beveiligingsniveau niet daalt.

6.2 De Klant blijft verantwoordelijk voor de beveiliging aan zijn kant: het beheer van zijn wachtwoorden, API-sleutels en gebruikers, de beveiliging van de software en gegevens die hij op een hostingaccount, VPS of dedicated server plaatst (bij managed beheer: de applicaties en gegevens boven het besturingssysteem), en de keuze om gevoelige gegevens al dan niet via de Diensten te versturen.

Artikel 7 – Subverwerkers

7.1 De Klant geeft JAAN BV een algemene schriftelijke toestemming om Subverwerkers in te schakelen. De Subverwerkers die bij het aangaan van deze Verwerkersovereenkomst worden ingezet, zijn per Dienst opgenomen in Bijlage C.

7.2 JAAN BV informeert de Klant ten minste dertig (30) dagen vooraf per e-mail aan het bij JAAN BV geregistreerde contactadres over de toevoeging of vervanging van een Subverwerker. De actuele lijst staat steeds in Bijlage C van deze Verwerkersovereenkomst.

7.3 De Klant kan binnen tien (10) werkdagen na die kennisgeving op redelijke, gemotiveerde gronden bezwaar maken. Partijen zoeken dan te goeder trouw een oplossing. Lukt dat niet, dan mag de Klant het betrokken onderdeel van de Diensten opzeggen zonder opzegvergoeding.

7.4 JAAN BV legt elke Subverwerker schriftelijk verplichtingen op die minstens gelijkwaardig zijn aan die van deze Verwerkersovereenkomst en blijft tegenover de Klant volledig aansprakelijk voor de nakoming door haar Subverwerkers.

7.5 Softwareleveranciers waarvan JAAN BV licenties doorverkoopt of gebruikt (zoals Microsoft SPLA) verwerken geen Persoonsgegevens van de Klant en zijn geen Subverwerkers.

7.6 Aanbieders van Transmissiediensten zijn geen Subverwerkers. Zij geven de inhoud van een bericht uitsluitend door naar het netwerk of de mailbox van de bestemmeling, zonder inhoudelijke verwerking ervan, en zijn gebonden door het telecommunicatiegeheim of handelen als zelfstandige verwerkingsverantwoordelijke voor hun eigen netwerk. JAAN BV kiest en wijzigt deze aanbieders vrij in functie van de bestemming, de beschikbaarheid en de kwaliteit van aflevering; de gebruikte routes behoren tot de bedrijfsgeheimen van JAAN BV en worden niet meegedeeld. Bijlage D licht dit toe.

Artikel 8 – Doorgifte buiten de EER

8.1 JAAN BV verwerkt de Persoonsgegevens van de Klant in België. Zij geeft geen Persoonsgegevens van de Klant door naar landen buiten de Europese Economische Ruimte, behalve waar Bijlage C dit voor een specifieke Dienst vermeldt en met de daar aangegeven passende waarborgen (adequaatheidsbesluit, EU-U.S. Data Privacy Framework of standaardcontractbepalingen).

8.2 De Klant erkent dat de bestemmeling van een bericht zich buiten de EER kan bevinden en dat de aflevering van dat bericht in dat geval een doorgifte inhoudt waarvoor de Klant als verwerkingsverantwoordelijke de rechtsgrond bepaalt.

Artikel 9 – Bijstand bij rechten van betrokkenen

9.1 JAAN BV helpt de Klant, rekening houdend met de aard van de verwerking, om te voldoen aan verzoeken van betrokkenen (inzage, verbetering, wissing, beperking, overdraagbaarheid, bezwaar). De Klant kan de meeste verzoeken zelf afhandelen via het controlepaneel of de API van de Dienst; voor het overige verleent JAAN BV bijstand binnen tien (10) werkdagen na verzoek.

9.2 Ontvangt JAAN BV rechtstreeks een verzoek van een betrokkene over Persoonsgegevens van de Klant, dan stuurt zij dit zonder onnodige vertraging door naar de Klant en beantwoordt zij het niet zelf, tenzij de Klant dit vraagt.

Artikel 10 – Datalekken

10.1 JAAN BV meldt een Datalek dat Persoonsgegevens van de Klant treft zonder onredelijke vertraging en uiterlijk binnen vierentwintig (24) uur nadat zij er kennis van heeft gekregen, per e-mail aan het bij JAAN BV geregistreerde contactadres van de Klant.

10.2 De melding bevat, voor zover bekend: de aard van het Datalek, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een contactpunt. Informatie die nog niet beschikbaar is, wordt in fasen nagestuurd.

10.3 JAAN BV meldt een Datalek niet zelf aan de toezichthoudende autoriteit of de betrokkenen namens de Klant, tenzij de Klant dit schriftelijk vraagt of de wet JAAN BV daartoe verplicht.

Artikel 11 – Gegevensbeschermingseffectbeoordeling

11.1 JAAN BV verleent de Klant op verzoek redelijke bijstand bij een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de toezichthoudende autoriteit, voor zover deze betrekking hebben op de Diensten en op basis van de informatie waarover JAAN BV beschikt.

Artikel 12 – Informatie en audit

12.1 JAAN BV stelt de Klant op verzoek alle informatie ter beschikking die redelijkerwijs nodig is om de naleving van artikel 28 AVG en van deze Verwerkersovereenkomst aan te tonen, waaronder de beschrijving van de maatregelen in Bijlage B en, indien beschikbaar, certificaten of auditrapporten van derden.

12.2 Volstaat die informatie redelijkerwijs niet, dan mag de Klant, of een door hem aangestelde onafhankelijke auditor die aan geheimhouding gebonden is, maximaal eenmaal per jaar een audit uitvoeren, met een voorafgaande schriftelijke kennisgeving van ten minste dertig (30) dagen, tijdens de kantooruren en zonder de dienstverlening aan andere klanten te verstoren of toegang te krijgen tot hun gegevens. Bij een vermoed Datalek of op bevel van de toezichthoudende autoriteit geldt een kortere termijn.

12.3 Elke partij draagt haar eigen kosten. Vraagt de audit meer dan één werkdag van JAAN BV, dan mag JAAN BV de bijkomende tijd aanrekenen tegen haar gebruikelijke uurtarief, tenzij de audit een inbreuk van JAAN BV aan het licht brengt.

Artikel 13 – Teruggave en wissing

13.1 Tijdens de looptijd kan de Klant zijn gegevens steeds zelf exporteren via de Dienst (back-ups, databasedumps, exports van contactlijsten en berichtlogs) of een export vragen tegen het geldende tarief.

13.2 Na het einde van de Hoofdovereenkomst, of van de betrokken Dienst, wist JAAN BV alle Persoonsgegevens van de Klant, inclusief back-ups volgens hun normale rotatie, binnen negentig (90) dagen, tenzij de Klant vóór die datum schriftelijk om teruggave vraagt of een wettelijke bewaarplicht geldt. Op verzoek bevestigt JAAN BV de wissing schriftelijk.

Artikel 14 – Aansprakelijkheid

14.1 De aansprakelijkheidsregeling van de Hoofdovereenkomst is van toepassing op deze Verwerkersovereenkomst, onverminderd artikel 82 AVG en de dwingende bepalingen van de AVG waarvan niet contractueel kan worden afgeweken.

Artikel 15 – Duur

15.1 Deze Verwerkersovereenkomst geldt zolang JAAN BV Persoonsgegevens van de Klant verwerkt en eindigt automatisch na de wissing of teruggave bedoeld in artikel 13.

Artikel 16 – Toepasselijk recht en bevoegde rechter

16.1 Op deze Verwerkersovereenkomst is het Belgische recht van toepassing. De rechtbanken van het arrondissement Oost-Vlaanderen, afdeling Gent, zijn exclusief bevoegd, onverminderd het recht van de Klant en van betrokkenen om klacht in te dienen bij de Gegevensbeschermingsautoriteit (GBA).

Bijlage A – Beschrijving van de verwerking per Dienst

Gemeenschappelijk voor alle Diensten: de duur van de verwerking is de looptijd van de Hoofdovereenkomst plus de wissingstermijn van artikel 13; de verwerking omvat opslag, transmissie, back-up en technisch beheer; er worden geen bijzondere categorieën van persoonsgegevens verwacht, tenzij de Klant die zelf via de Dienst verwerkt en daarvoor zelf instaat.

Bijlage B – Technische en organisatorische maatregelen

B.1 Algemeen (alle Diensten)

• Locaties: alle systemen staan in België, in LCL Datacenter te Diegem en in het JAAN BV datacenter te Zelzate. Het JAAN BV datacenter te Zelzate is beveiligd met toegangscontrole beperkt tot gemachtigd personeel, camerabewaking en een alarmsysteem. LCL Datacenter te Diegem is een professioneel colocatiecentrum met 24/7 bewaking, toegangscontrole, brandbeveiliging en redundante stroom en koeling.
• Netwerk: firewalls op infrastructuur- en hypervisorniveau; netwerkisolatie tussen klantomgevingen (Proxmox VE); beheerverkeer gescheiden van klantverkeer; verkeer naar en van de Diensten versleuteld met TLS.
• Toegangsbeheer: persoonlijke accounts met minimale rechten; beheerstoegang uitsluitend via VPN en SSH-sleutels; periodieke herziening van toegangsrechten; onmiddellijke intrekking bij uitdiensttreding; continue antifraude- en misbruikmonitoring op de Smsbox-gateway met blokkering van verdachte toegang.
• Continuïteit: databanken in master-master-replicatie over twee locaties; dagelijkse back-ups met een bewaartermijn van veertien (14) dagen op een afzonderlijke back-upserver.
• Patchbeheer: beveiligingsupdates van besturingssystemen en platformsoftware worden wekelijks toegepast; kritieke kwetsbaarheden onmiddellijk na beschikbaarheid van een patch.
• Logging en monitoring: systeem-, toegangs- en applicatielogs worden per toepassing beperkt tot wat nodig is voor beveiliging, foutopsporing en wettelijke verplichtingen (zie Bijlage E); monitoring van beschikbaarheid en afwijkend gedrag.
• Malware en spam: virus- en spamfiltering op de mailinfrastructuur; geautomatiseerde intrusiepreventie met firewall, fail2ban en fraudedetectie; JAAN BV zet alle redelijke middelen in voor een maximale beveiliging van haar infrastructuur en maakt de concrete detectiemiddelen om veiligheidsredenen niet openbaar.
• Personeel: geheimhoudingsverplichting in arbeids- en dienstverleningsovereenkomsten; need-to-know-principe.
• Incidentbeheer: gedocumenteerde procedure voor het vaststellen, beperken en melden van beveiligingsincidenten (zie artikel 10); significante incidenten worden gemeld aan het Centrum voor Cybersecurity België overeenkomstig de NIS2-wet van 26 april 2024; meldmechanisme voor onwettige inhoud overeenkomstig de Digital Services Act.
• Wissing: veilige wissing van gegevensdragers bij buitengebruikstelling; wissing van klantgegevens volgens artikel 13.

B.2 Webhosting

• Scheiding van klantaccounts op het niveau van besturingssysteem en webserver (SiteWorx-accounts met eigen gebruiker).
• Mailverkeer beveiligd met TLS, SPF/DKIM/DMARC-ondersteuning; geautomatiseerde detectie van malware en kwaadaardige scripts in klantaccounts, met kennisgeving aan de Klant bij een vaststelling.

B.3 VPS en dedicated servers

• VPS: volledige isolatie van virtuele machines op de hypervisor. Dedicated server: fysieke server exclusief voor de Klant, in het datacenter van JAAN BV.
• Unmanaged: de Klant beheert het besturingssysteem en de gegevens zelf en is verantwoordelijk voor de beveiliging binnen de VPS.
• Managed: JAAN BV beheert het besturingssysteem volgens de maatregelen van B.1 (wekelijkse beveiligingsupdates, firewall, fail2ban, monitoring, beheerstoegang via VPN en SSH-sleutels). Beheerstoegang wordt enkel gebruikt voor onderhoud, beveiliging en ondersteuning op verzoek van de Klant; de Klant blijft verantwoordelijk voor zijn applicaties en gegevens.
• Back-ups van de volledige server (dagelijks of wekelijks, op een afzonderlijke back-upserver) en, voor VPS, disk-snapshots (1× of 2× per dag, op de hypervisor) zijn afzonderlijke opties voor managed en unmanaged servers; telkens worden de laatste vier (4) bewaard. Zonder deze opties staat de Klant zelf in voor zijn back-ups.

B.4 Smsbox

• Aanmelden met persoonlijke accounts; ondersteuning voor passkeys/WebAuthn; beveiligde sessies; API-toegang met sleutels per account.
• Content Security Policy met nonces; alle verbindingen via HTTPS.
• Spraakberichten: enkel uitgaand, gegenereerd uit tekst op het moment van verzending; er worden geen audio-opnames van de ontvanger gemaakt en geen audiobestanden bewaard; enkel de tekst, het nummer en de oproepstatus worden bewaard volgens dezelfde termijn als SMS.
• Opt-out via STOP is enkel mogelijk wanneer de Klant de antwoordmogelijkheid heeft geactiveerd; de verzending loopt dan via de door JAAN BV gehuurde shortcode 8676 (België) en STOP-antwoorden worden automatisch op een blokkeerlijst per account gezet. In alle andere gevallen worden STOP-verzoeken, voor zover de mobiele operator van de bestemmeling dit ondersteunt, door die operator zelf verwerkt en beheerd; deze lijsten zijn voor JAAN BV niet toegankelijk. De Klant voorziet daarnaast zelf een afmeldmogelijkheid in zijn berichten. Dataminimalisatie: enkel nummer, inhoud, status en tijdstip worden bewaard.
• Berichtinhoud, afleverrapporten en bijhorende logs worden dertien (13) maanden bewaard en daarna automatisch gewist of geanonimiseerd (zie Bijlage E); de bewaring bij Transmissiediensten wordt zo kort mogelijk ingesteld.

B.5 2mail

• Verzending via eigen Postfix-infrastructuur van JAAN BV met TLS; per-domein ratelimiting en IP-warm-up; SPF, DKIM en DMARC.
• Automatische bounce- en klachtverwerking; afmeldingen worden onmiddellijk op een blocklist gezet die naar de mailservers wordt gesynchroniseerd.
• Trackinggegevens (opens, kliks) worden volgens Bijlage E bewaard; contactlijsten worden gewist zodra de Klant ze verwijdert of volgens artikel 13.

Bijlage C – Subverwerkers

Deze lijst bevat de Subverwerkers in de zin van artikel 2.3. Aanbieders van Transmissiediensten (artikel 2.4 en 7.6) en softwarelicentiegevers (artikel 7.5) staan er niet in. Deze lijst is vertrouwelijke bedrijfsinformatie en mag enkel worden gebruikt voor de naleving van de AVG door de Klant.

Connectiviteitsleveranciers van de datacenters (Destiny, Telenet) leveren uitsluitend internettransport en zijn geen Subverwerkers. Google Analytics wordt enkel gebruikt op de publieke websites van JAAN BV, waarvoor JAAN BV zelf verwerkingsverantwoordelijke is, en niet in de klantenportalen. Laatst bijgewerkt: 24 oktober 2026.

Bijlage D – Toelichting bij Transmissiediensten

Waarom staan telecomoperatoren, SMS-aggregators en ontvangende mailservers niet op de lijst van Subverwerkers?

Een bericht dat de Klant via Smsbox of 2mail verstuurt, moet fysiek worden afgeleverd op het mobiele netwerk of in de mailbox van de bestemmeling. Daarvoor passeert het bericht over netwerken van derden: telecomoperatoren en hun aggregators voor SMS, het platform van Meta voor WhatsApp, en de mailserver van de ontvanger (bijvoorbeeld Microsoft, Google of de eigen mailserver van een bedrijf) voor e-mail.

Deze partijen verwerken de inhoud van het bericht niet inhoudelijk voor de Klant. Zij geven het enkel door, zoals de post een brief bezorgt. Telecomoperatoren zijn bovendien gebonden door het telecommunicatiegeheim en mogen de inhoud niet inkijken. Ontvangende mailservers worden beheerd door de bestemmeling of diens eigen leverancier, buiten elke instructie van de Klant of van JAAN BV. Zij treden daarom op als louter doorgeefluik of als zelfstandige verwerkingsverantwoordelijke voor hun eigen netwerk, en niet als verwerker of subverwerker in de zin van artikel 28 AVG. Deze benadering is gangbaar in de sector van communicatiediensten.

Meta (WhatsApp Business Platform) vormt een uitzondering: Meta bewaart en verwerkt berichten op haar platform in opdracht van de zakelijke gebruiker en wordt daarom wel als Subverwerker vermeld in Bijlage C.

De keuze van de transmissieroutes per bestemming is een bedrijfsgeheim van JAAN BV en maakt geen deel uit van de informatie die onder deze Verwerkersovereenkomst wordt verstrekt. JAAN BV garandeert dat elke gebruikte aanbieder gebonden is door het telecommunicatiegeheim of door contractuele vertrouwelijkheidsverplichtingen, en dat berichten naar bestemmelingen binnen de EER via aanbieders in de EER worden afgeleverd.

Bijlage E – Bewaartermijnen

Deze termijnen gelden voor de Persoonsgegevens van de Klant tijdens de looptijd. Na het einde van de Dienst geldt artikel 13 (wissing binnen 90 dagen). Dezelfde termijnen staan op jaan.be/data-retentie.