laatst bijgewerkt 21 oktober 2026 · Human Forward LTD · hello@humanforward.io · Nederland

Verwerkersovereenkomst

Vertaald met AI en door ons gecontroleerd. Zie je een fout? Laat het ons weten via hello@humanforward.io. De Engelse versie is leidend. Lees de Engelse versie →

Deze verwerkersovereenkomst (Data Processing Agreement, DPA) maakt deel uit van de Voorwaarden voor apps en AI-tools, en van elke offerte, elk bestelformulier of elke opdrachtbevestiging waaronder Human Forward LTD diensten levert aan een klant (samen de Overeenkomst). Ze geldt telkens wanneer we bij het leveren van de diensten namens jou persoonsgegevens verwerken. Wij hebben haar al vooraf ondertekend: door de Overeenkomst te accepteren, accepteer je deze DPA, en een aparte handtekening is niet nodig. Heb je een door beide partijen ondertekend exemplaar nodig, mail dan naar hello@humanforward.io.

Zijn deze DPA en de Overeenkomst op het gebied van gegevensbescherming met elkaar in strijd, dan geldt deze DPA. Zijn deze DPA en de Standaardcontractbepalingen of het UK Addendum met elkaar in strijd, dan gelden die laatste.

1. Wie wat doet

Jij bent de verwerkingsverantwoordelijke (of, naar Amerikaans recht, de business) voor de persoonsgegevens die we voor je verwerken, en wij zijn je verwerker (of service provider). Dat geldt voor de persoonsgegevens in je winkel, op je site, in je accounts, in je community en in alles wat je ons geeft voor consultancywerk. In Bijlage 1 heten die Klantpersoonsgegevens
Voor sommige gegevens zijn wij zelf verwerkingsverantwoordelijke: je accountgegevens, facturatie, onze website, onze marketing, onze eigen bedrijfsadministratie en gegevens die we uit openbare bronnen over je winkel of site verzamelen om de diensten te leveren. Daarvoor geldt onze Privacyverklaring, niet deze DPA
Run je een community op ons platform, dan ben jij de verwerkingsverantwoordelijke voor de gegevens van je leden en zijn wij je verwerker. Neem je betalingen aan via Stripe Connect, dan is Stripe zelfstandig verwerkingsverantwoordelijke voor kaartgegevens
Ieder van ons leeft de Gegevensbeschermingswetgeving na die op hem van toepassing is

2. Definities

Gegevensbeschermingswetgeving betekent alle wetgeving die van toepassing is op de verwerking van persoonsgegevens onder de Overeenkomst, waaronder de UK GDPR en de Data Protection Act 2018, de AVG (Verordening (EU) 2016/679), de ePrivacy-regels, de Zwitserse federale wet inzake gegevensbescherming (FADP) en de Privacywetten van Amerikaanse staten
Privacywetten van Amerikaanse staten betekent de California Consumer Privacy Act zoals gewijzigd door de California Privacy Rights Act, en de vergelijkbare wetten van Virginia, Colorado, Connecticut, Utah, Texas, Oregon, Montana, Delaware, New Jersey, New Hampshire, Iowa, Nebraska, Tennessee, Minnesota, Maryland, Indiana, Kentucky, Rhode Island en elke andere Amerikaanse staat, telkens zoals die gelden
SCC's betekent de EU-standaardcontractbepalingen vastgesteld bij Uitvoeringsbesluit (EU) 2021/914 van de Commissie. UK Addendum betekent het International Data Transfer Addendum bij de SCC's van de Britse Information Commissioner, versie B1.0. IDTA betekent de UK International Data Transfer Agreement
Beperkte doorgifte betekent een doorgifte van persoonsgegevens naar een land waarvan het VK, de EU of Zwitserland (afhankelijk van wat van toepassing is) niet heeft vastgesteld dat het een passend beschermingsniveau biedt, als de doorgifte zonder waarborg onrechtmatig zou zijn
Subverwerker betekent een derde die wij inschakelen om namens jou Klantpersoonsgegevens te verwerken
Persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene, inbreuk in verband met persoonsgegevens, business, service provider, verkopen (sell) en delen (share) hebben de betekenis die ze in de Gegevensbeschermingswetgeving hebben

3. Jouw verplichtingen

Jij bent verantwoordelijk voor de persoonsgegevens die je in de diensten zet en voor wat je ons vraagt ermee te doen. Je garandeert en verbindt je ertoe dat:

Je een rechtsgrond hebt voor de verwerking, betrokkenen alle informatie hebt gegeven die de wet vereist en alle benodigde toestemmingen hebt gekregen, ook voor onze verwerking van de gegevens, voor de verwerking door onze subverwerkers en voor elke Beperkte doorgifte die bij de diensten hoort
Je instructies aan ons rechtmatig zijn, en je ons niets opdraagt waardoor een van ons de Gegevensbeschermingswetgeving zou schenden
Je ons geen bijzondere categorieën van persoonsgegevens of gevoelige gegevens geeft, of laat verzamelen (gezondheid, biometrische of genetische gegevens, ras of etnische afkomst, politieke opvattingen, religie, seksueel leven of seksuele gerichtheid, strafrechtelijke gegevens, precieze locatiegegevens, inloggegevens van financiële rekeningen, gegevens van kinderen, overheidsidentificatienummers), tenzij we dat schriftelijk hebben afgesproken en de Overeenkomst erin voorziet. De diensten zijn niet ontworpen voor zulke gegevens
Je ons alleen de persoonsgegevens geeft die de diensten nodig hebben, ze juist houdt en je eigen kopieën en back-ups bewaart
Je, waar onze agents handelen op accounts die je koppelt, de verwerkingsverantwoordelijke bent voor alles in die accounts en verantwoordelijk bent voor de rechtmatigheid van wat de agents is opgedragen
Je zelf reageert op betrokkenen, toezichthouders en derden over de verwerking, en elke klacht over jouw gebruik van de diensten afhandelt
Je ons elke boete, claim, schade of kosten vergoedt die we lijden doordat je dit artikel of de Gegevensbeschermingswetgeving hebt geschonden

4. Onze verplichtingen

Wij:

Instructies. Verwerken Klantpersoonsgegevens alleen op jouw gedocumenteerde instructies, namelijk de Overeenkomst, deze DPA, jouw configuratie van de diensten en elke schriftelijke instructie die je ons geeft, tenzij de wet iets anders vereist. In dat geval laten we het je eerst weten, tenzij de wet dat verbiedt. We laten het je weten als we denken dat een instructie in strijd is met de Gegevensbeschermingswetgeving, en we kunnen die instructie opschorten totdat het is opgelost. Een instructie buiten de Overeenkomst is een wijziging waarvoor we kosten kunnen rekenen of die we kunnen weigeren
Vertrouwelijkheid. Zorgen dat iedereen die we toestemming geven de gegevens te verwerken aan geheimhouding is gebonden
Beveiliging. Nemen de technische en organisatorische maatregelen uit Bijlage 2, houden die tegen het licht en werken ze bij als technologie en risico's veranderen. We kunnen ze wijzigen, maar niet zo dat het totale beschermingsniveau tijdens de Overeenkomst daalt
Subverwerkers. Schakelen die alleen in zoals artikel 5 beschrijft
Bijstand. Helpen je, rekening houdend met de aard van de verwerking en de informatie waarover we beschikken, met verzoeken van betrokkenen (artikel 7), met je beveiligingsverplichtingen, met meldingen van inbreuken, met gegevensbeschermingseffectbeoordelingen en met raadplegingen van een toezichthouder, voor zover je dat niet zelf via de diensten kunt doen. Voor bijstand die verder gaat dan wat de diensten al bieden, kunnen we onze tarieven rekenen
Verwijderen en teruggeven. Gaan met de gegevens aan het einde van de Overeenkomst om zoals artikel 9 beschrijft
Informatie en audits. Stellen de informatie beschikbaar die nodig is om aan te tonen dat we deze DPA naleven, en staan audits toe zoals artikel 8 beschrijft

We zijn niet verantwoordelijk voor wat een AI-engine, zoekmachine of andere derde die we niet als subverwerker inschakelen zegt, doet of opslaat. Als je in de Findability-app een engine een vraag over je winkel stelt, gaat er openbare winkelcontent naar die engine. De engine is voor dat doel niet onze subverwerker en de eigen voorwaarden van die engine zijn van toepassing.

5. Subverwerkers

Je geeft ons algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat in Bijlage 3 en op humanforward.io/dpa
We melden een nieuwe of vervangende subverwerker minstens 30 dagen vooraf door die pagina bij te werken en te mailen naar het e-mailadres van je account. Je kunt binnen die 30 dagen schriftelijk bezwaar maken op redelijke, gedocumenteerde gronden die met gegevensbescherming te maken hebben. We proberen het bezwaar dan op te lossen. Lukt dat niet, dan kun je de betreffende dienst met een schriftelijke kennisgeving beëindigen voordat de wijziging ingaat, met terugbetaling naar rato van vooruitbetaalde kosten voor de periode na beëindiging. Dat is je enige rechtsmiddel. Maak je binnen 30 dagen geen bezwaar, dan is de subverwerker goedgekeurd
We sluiten met elke subverwerker een schriftelijk contract met verplichtingen op het gebied van gegevensbescherming die minstens zo beschermend zijn als deze DPA, en we blijven tegenover jou verantwoordelijk voor hun nakoming
Is in een noodgeval een vervanger nodig om de diensten draaiende of veilig te houden, dan kunnen we de vervanger eerst inschakelen en het je daarna direct laten weten. Je houdt dan het recht om bezwaar te maken zoals hierboven

6. Internationale doorgiften

We zijn gevestigd in het Verenigd Koninkrijk. Onze infrastructuur en de meeste subverwerkers zitten in de Verenigde Staten, en sommige elders. Je geeft ons toestemming om Klantpersoonsgegevens via Beperkte doorgiften door te geven naar de locaties in Bijlage 3, onder de volgende voorwaarden, die alleen gelden voor zover er daadwerkelijk een Beperkte doorgifte plaatsvindt:

Vanuit het VK. Valt de doorgifte niet onder de UK Extension bij het EU-VS Data Privacy Framework of een ander adequaatheidsbesluit, dan geldt het UK Addendum bij de SCC's, met de SCC's ingevuld zoals hieronder en het Addendum als volgt ingevuld: Tabel 1 de partijen zoals in de Overeenkomst; Tabel 2 de SCC's zoals ingevuld in dit artikel; Tabel 3 de Bijlagen bij deze DPA; Tabel 4 elke partij kan het Addendum beëindigen zoals sectie 19 daarvan toestaat
Vanuit de EER. Valt de doorgifte niet onder het EU-VS Data Privacy Framework of een ander adequaatheidsbesluit, dan zijn de SCC's in deze DPA opgenomen met de volgende keuzes: Module twee (verwerkingsverantwoordelijke aan verwerker) als jij verwerkingsverantwoordelijke bent en Module drie (verwerker aan verwerker) als jij verwerker bent; Clausule 7 (koppelingsclausule) is niet van toepassing; Clausule 9 Optie 2 (algemene toestemming) met de termijn van 30 dagen uit artikel 5; de optionele tekst in Clausule 11 is niet van toepassing; Clausule 13 en Bijlage I.C: de toezichthoudende autoriteit van de EER-lidstaat waar jij gevestigd bent of, als je niet in de EER gevestigd bent, de Ierse Data Protection Commission; Clausule 17 Optie 1: het recht van Ierland; Clausule 18: de rechtbanken van Ierland. Bijlage I bij de SCC's is Bijlage 1 bij deze DPA, Bijlage II is Bijlage 2, Bijlage III is Bijlage 3
Vanuit Zwitserland. De SCC's zoals hierboven, met de Zwitserse Federal Data Protection and Information Commissioner als bevoegde autoriteit, verwijzingen naar de AVG gelezen als verwijzingen naar de Zwitserse FADP, en met de mogelijkheid voor betrokkenen in Zwitserland om hun rechten in Zwitserland af te dwingen
Zijn we gecertificeerd onder een Data Privacy Framework, of komt er een ander geldig mechanisme beschikbaar, dan kunnen we ons in plaats daarvan daarop baseren en laten we het je weten
Wordt een waarborg hierboven ongeldig verklaard of vervangen, dan regelen we binnen een redelijke termijn een vervanging, en werk jij mee, ook door te ondertekenen wat daarvoor nodig is
We laten het je weten als we een juridisch bindend verzoek van een overheidsinstantie om Klantpersoonsgegevens ontvangen, tenzij de wet dat verbiedt, en we vechten verzoeken aan die we redelijkerwijs onrechtmatig vinden

7. Verzoeken van betrokkenen

Neemt een betrokkene contact met ons op over Klantpersoonsgegevens, dan verwijzen we die, als we kunnen vaststellen dat het om jou gaat, door naar jou en laten we het je weten. We reageren niet zelf, tenzij je ons dat vraagt of de wet het vereist. Je gebruikt de functies van de diensten zelf om gegevens te exporteren, te corrigeren of te verwijderen waar die functies bestaan. Waar ze niet bestaan, helpen we je tegen onze tarieven, binnen een redelijke termijn.

8. Audits

We houden registers bij van onze verwerking en beveiliging. Op schriftelijk verzoek, niet vaker dan één keer per 12 maanden, stellen we die beschikbaar, samen met rapporten of certificeringen van derden die we hebben voor de infrastructuur die we gebruiken, en beantwoorden we redelijke schriftelijke vragen. In de meeste gevallen is daarmee aan je auditrecht voldaan
Geeft de Gegevensbeschermingswetgeving je een auditrecht waaraan een rapport niet voldoet, of eist een toezichthouder het, dan kun jij (of een onafhankelijke auditor die je aanwijst, die geen concurrent van ons is en onze geheimhoudingsvoorwaarden ondertekent) onze naleving van deze DPA auditen: één keer per 12 maanden, tenzij een toezichthouder vaker eist of er een inbreuk heeft plaatsgevonden; met een schriftelijke aankondiging van minstens 30 dagen; tijdens kantooruren; voor niet meer dan twee werkdagen; zonder de diensten te verstoren; en op jouw kosten, inclusief onze tijd tegen onze tarieven. De audit gaat alleen over onze verwerking van jouw gegevens, niet over gegevens van andere klanten, onze andere klanten, onze broncode, onze prompts of de bedrijfsruimten van onze subverwerkers
Je geeft ons een kopie van alle bevindingen en behandelt de audit en de resultaten als onze vertrouwelijke informatie

9. Verwijderen en teruggeven

Je kunt je gegevens via de diensten exporteren zolang de Overeenkomst loopt, en dat doe je het best voordat die afloopt
Binnen 30 dagen na het einde van de Overeenkomst, of van de betreffende dienst, verwijderen we Klantpersoonsgegevens, tenzij je voor de einddatum schriftelijk om teruggave hebt gevraagd. In dat geval leveren we een export in een standaardformaat naar onze keuze en verwijderen we daarna
Kopieën in back-ups worden verwijderd volgens de back-upcyclus, binnen 90 dagen, en worden in de tussentijd niet geraadpleegd, behalve om de diensten te herstellen
We kunnen gegevens bewaren die we wettelijk moeten bewaren, en gegevens die nodig zijn voor facturatie, geschillen of verweer tegen claims, zolang dat nodig is, beschermd zoals deze DPA vereist en voor niets anders gebruikt
Op verzoek bevestigen we de verwijdering schriftelijk

10. Inbreuken in verband met persoonsgegevens

We laten het je zonder onredelijke vertraging weten, en in elk geval binnen 72 uur, nadat we op de hoogte zijn geraakt van een inbreuk in verband met persoonsgegevens (datalek) die Klantpersoonsgegevens raakt, met de informatie die we op dat moment hebben en aanvullende informatie zodra die beschikbaar is: wat er is gebeurd, welke gegevens en betrokkenen waarschijnlijk zijn getroffen, de waarschijnlijke gevolgen en wat we eraan doen. Onze melding is geen erkenning van schuld of aansprakelijkheid. Jij bent verantwoordelijk voor het melden aan toezichthouders en betrokkenen als de wet jou dat verplicht; wij helpen daarbij. Je noemt ons niet in een melding zonder ons eerst een redelijke kans te geven om te reageren, tenzij de wet dat vereist.

11. Privacywetten van Amerikaanse staten

Waar Privacywetten van Amerikaanse staten van toepassing zijn, zijn wij je service provider of processor en verklaren we dat we het volgende begrijpen en naleven. We verkopen of delen Klantpersoonsgegevens niet; we bewaren, gebruiken of verstrekken ze niet voor een ander doel dan het zakelijke doel van het leveren van de diensten, of buiten de directe zakelijke relatie met jou; we combineren ze niet met persoonsgegevens die we van anderen ontvangen, behalve voor zover de wet dat een service provider toestaat; we laten het je weten als we besluiten dat we onze verplichtingen niet langer kunnen nakomen; en we staan je toe de redelijke en passende stappen te nemen die de wet biedt om onbevoegd gebruik te stoppen en te herstellen. Je kunt ons instructies geven over de afhandeling van verzoeken van consumenten, en we helpen daarbij zoals artikel 7 beschrijft. Het verstrekken van Klantpersoonsgegevens aan ons is geen verkoop, en we ontvangen daarvoor geen geld of andere waardevolle tegenprestatie naast de kosten voor de diensten.

12. Aansprakelijkheid

De aansprakelijkheid van elke partij onder of in verband met deze DPA, ook onder de SCC's en het UK Addendum tussen de partijen onderling, valt onder de uitsluitingen en beperkingen van aansprakelijkheid in de Overeenkomst en telt mee voor het maximum daarin. Niets in deze DPA beperkt de aansprakelijkheid van een partij tegenover een betrokkene of toezichthouder waar de wet dat niet toestaat. Je vergoedt ons boetes, claims, schade en kosten die voortkomen uit jouw schending van deze DPA of van de Gegevensbeschermingswetgeving, uit jouw instructies, of uit gegevens die je ons niet had mogen geven.

13. Algemeen

Deze DPA geldt zolang we Klantpersoonsgegevens voor je verwerken, en de artikelen 9, 12 en 13 blijven daarna gelden
We kunnen deze DPA bijwerken als de Gegevensbeschermingswetgeving, de richtsnoeren van een toezichthouder, een doorgiftemechanisme of onze diensten veranderen. Wezenlijke wijzigingen melden we per e-mail en op deze pagina. Blijf je de diensten gebruiken na de aankondigingstermijn, dan accepteer je de wijziging. Is een wijziging wettelijk verplicht, dan gaat die in wanneer de wet ingaat
Is een deel van deze DPA niet afdwingbaar, dan blijft de rest gelden, en wordt dat deel zo beperkt uitgelegd als nodig is om het afdwingbaar te maken
Op deze DPA is het recht van Engeland en Wales van toepassing, en de rechtbanken daar zijn exclusief bevoegd, behalve waar de SCC's of het UK Addendum iets anders bepalen voor de onderwerpen die zij regelen
Kennisgevingen aan ons: hello@humanforward.io, met een kopie per post aan Human Forward LTD, 66 Paul Street, London EC2A 4NA
We zijn geregistreerd bij het Britse Information Commissioner's Office, referentie ZC279404

Bijlage 1. Details van de verwerking

Onderwerp. Het leveren van de diensten die in de Overeenkomst staan: de Findability-app en de bijbehorende connector, Human Forward Plus, Agents, het communityplatform en consultancywerk
Duur. De looptijd van de Overeenkomst plus de verwijderingstermijn in artikel 9
Aard en doel. Het hosten, opslaan en analyseren van en rapporteren over winkel- en sitegegevens; AI-engines vragen stellen over de winkel van de klant en hun antwoorden scoren; aanbevelingen en content genereren; accounts beheren die de klant koppelt, binnen het beleid dat de klant instelt; een communityplatform runnen; transactionele e-mails versturen; support bieden; en de bijbehorende technische handelingen (back-ups, logging, beveiligingsmonitoring)
Betrokkenen. De medewerkers en gebruikers van de klant; de eigen klanten en sitebezoekers van de klant, als hun gegevens in een gekoppelde winkel, account of site staan; communityleden; personen die worden genoemd in content die de klant aanlevert
Categorieën gegevens. Namen, e-mailadressen, rollen en account-ID's van de gebruikers van de klant; winkel- en sitecontent, waarin toevallig persoonsgegevens kunnen staan (reviews, blogposts, teampagina's); order-, klant- en marketinggegevens alleen als een dienst uitdrukkelijk een gekoppeld account uitleest (Agents en het communityplatform), en dan alleen de velden die de dienst nodig heeft; profielen, lidmaatschappen, aanwezigheid bij events en berichten van communityleden; gebruiks- en loggegevens (IP-adres, apparaat, tijdstempels); supportcorrespondentie
Bijzondere categorieën van persoonsgegevens. Niet de bedoeling. De klant levert die niet aan zonder schriftelijke afspraak
Frequentie. Doorlopend zolang de diensten draaien; op aanvraag voor consultancy
Bewaartermijn. Zoals in artikel 9 en de Privacyverklaring

Bijlage 2. Beveiligingsmaatregelen

Versleuteling tijdens transport (TLS 1.2 of hoger) voor elke verbinding, en in rust voor databases en back-ups, geleverd door onze hostingplatforms
Inloggegevens, API-sleutels, toegangstokens en inlogcodes worden opgeslagen als one-way hashes, nooit als platte tekst; secrets staan in de secret store van het hostingplatform, nooit in de broncode
Toegang tot productiesystemen is beperkt tot met naam genoemde personen die die toegang nodig hebben, beveiligd met meerfactorauthenticatie en opnieuw beoordeeld als rollen veranderen
Gescheiden omgevingen voor ontwikkeling en productie; wijzigingen gaan via versiebeheer en review voordat ze worden uitgerold
Logging van toegang en beheerhandelingen op de infrastructuur; alerts bij mislukte deployments en fouten
Dagelijkse back-ups bij het hostingplatform, getest door ze terug te zetten
Onze crawler is beperkt tot openbare hosts en kan niet op privénetwerken worden gericht; rate limits en botbescherming op openbare endpoints; security headers op elke response
AI-aanbieders worden gebruikt onder zakelijke API-voorwaarden waaronder input en output niet worden gebruikt om hun modellen te trainen
Leveranciers worden voor gebruik beoordeeld op beveiliging en voorwaarden voor gegevensbescherming
Medewerkers en opdrachtnemers zijn gebonden aan geheimhouding en krijgen richtlijnen over gegevensbescherming
Een incidentresponsproces met de meldtermijnen uit artikel 10
Dataminimalisatie: de diensten lezen alleen de gegevens die ze nodig hebben, en waar mogelijk openbare content

Bijlage 3. Subverwerkers

Subverwerker	Doel	Locatie
Railway Corporation	Applicatiehosting en databases voor de apps	Verenigde Staten
Vercel Inc.	Websitehosting, edge-netwerk, bestandsopslag en analytics	Verenigde Staten, met edge-servers wereldwijd
Cloudflare, Inc.	Botbescherming, DNS en netwerkbeveiliging	Verenigde Staten, met servers wereldwijd
Stripe, Inc. en Stripe Payments Europe Ltd	Abonnementsfacturatie en het factuurportaal voor klanten (Stripe is zelfstandig verwerkingsverantwoordelijke voor kaartgegevens)	Verenigde Staten, Ierland
Resend, Inc.	Transactionele e-mail, waaronder inlogcodes	Verenigde Staten
Klaviyo, Inc.	E-mail, nieuwsbrief en formulieren	Verenigde Staten
Cal.com, Inc.	Boekingen van sessies	Verenigde Staten
Shopify International Ltd en Shopify Inc.	Apphosting binnen een Shopify-winkel, facturatie, installatiegegevens	Canada, Ierland, Verenigde Staten
Anthropic PBC, OpenAI OpCo LLC, Google LLC, Perplexity AI Inc., xAI Corp	Scores, rapporten, aanbevelingen en content genereren uit gegevens die de klant aanlevert; controleren hoe een winkel in de antwoorden van elke engine verschijnt	Verenigde Staten
DeepSeek (Hangzhou DeepSeek Artificial Intelligence Co., Ltd)	Controleren hoe een winkel in de antwoorden verschijnt. Ontvangt alleen openbare winkelcontent, nooit account- of klantgegevens	China
Google LLC (Workspace)	E-mail, documenten en zakelijke tools voor het leveren van consultancy en support	Verenigde Staten, EU

Wijzigingen in deze lijst worden gemeld zoals artikel 5 beschrijft. De lijst is voor het laatst bijgewerkt op 21 oktober 2026.