Verwerkersovereenkomst

Tuesia · software voor planning
Versie 1 · gepubliceerd op 11 oktober 2026
Aanbieder: Novireo · KvK 42162258 · Bonhoeffersingel 72, 1069 NB Amsterdam, Nederland
Vragen: info@novireo.com

Inhoud

• Partijen en aanleiding
• Artikel 1. Begrippen en opbouw
• Artikel 2. Onderwerp, aard en doel van de verwerking
• Artikel 3. Instructies
• Artikel 4. Geheimhouding
• Artikel 5. Beveiliging
• Artikel 6. Subverwerkers
• Artikel 7. Doorgifte buiten de Europese Economische Ruimte
• Artikel 8. Rechten van betrokkenen en overige bijstand
• Artikel 9. Inbreuken in verband met persoonsgegevens
• Artikel 10. Einde van de verwerking: teruggave en verwijdering
• Artikel 11. Informatie en audit
• Artikel 12. Aansprakelijkheid
• Artikel 13. Duur, wijziging en overige bepalingen
• Bijlage 1. Basisbeveiligingsmaatregelen
• Bijlage 2. Dienstbijlage Tuesia

Partijen en aanleiding

Deze verwerkersovereenkomst wordt gesloten tussen:

• de onderneming, vereniging, stichting of andere organisatie die Tuesia gebruikt en deze verwerkersovereenkomst aanvaardt, hierna: de Klant of verwerkingsverantwoordelijke; en
• Novireo, ingeschreven in het handelsregister onder nummer 42162258, gevestigd aan Bonhoeffersingel 72, 1069 NB Amsterdam, Nederland, hierna: Novireo of verwerker.

De Klant gebruikt Tuesia, zoals beschreven in de Dienstvoorwaarden. Daarbij verwerkt Novireo persoonsgegevens in opdracht van de Klant. Artikel 28 lid 3 van de Algemene Verordening Gegevensbescherming (AVG) schrijft voor dat Partijen daarover afspraken vastleggen. Dat doen zij in deze verwerkersovereenkomst.

De Klant aanvaardt deze verwerkersovereenkomst samen met de algemene voorwaarden en de Dienstvoorwaarden bij het aanmaken van een Werkruimte. Novireo legt vast welke versie wanneer en door welke Gebruiker is aanvaard.

Artikel 1. Begrippen en opbouw

1. Begrippen met een beginhoofdletter hebben de betekenis die de algemene voorwaarden en de Dienstvoorwaarden daaraan geven, zoals Dienst, Tuesia, Werkruimte, Eigenaar, Beheerder, Gebruiker, Klantgegevens, Service en Schriftelijk.
2. Begrippen uit de AVG, zoals persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker, subverwerker en inbreuk in verband met persoonsgegevens, hebben de betekenis die de AVG daaraan geeft.
3. Deze verwerkersovereenkomst bestaat uit dit raamwerk, Bijlage 1 (basisbeveiligingsmaatregelen) en Bijlage 2 (dienstbijlage Tuesia). Bijlage 2 bevat deel A (specificatie van de verwerking), deel B (aanvullende beveiligingsmaatregelen) en deel C (subverwerkers).

Artikel 2. Onderwerp, aard en doel van de verwerking

1. Novireo verwerkt in opdracht van de Klant persoonsgegevens voor zover dat nodig is om Tuesia te leveren: het hosten, opslaan, tonen, verzenden, back-uppen, beveiligen en ondersteunen van de Klantgegevens in de Werkruimte, en het verzenden van de e-mail die de Dienst voor die Werkruimte verstuurt, zoals uitnodigingen en passkey-links.
2. De categorieën betrokkenen, de categorieën persoonsgegevens en de verwerkingen staan in deel A van Bijlage 2.
3. De Klant bepaalt het doel en de middelen. De Klant staat ervoor in dat de verwerking rechtmatig is en dat hij een geldige grondslag heeft.
4. De verwerking duurt zolang de Overeenkomst loopt, vermeerderd met de termijnen voor export en verwijdering uit artikel 10.

Artikel 3. Instructies

1. Novireo verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Klant, ook bij doorgifte aan een derde land of een internationale organisatie. De Overeenkomst, de inrichting van de Werkruimte door de Klant en het gebruik van de functies door de Klant en zijn Gebruikers gelden als instructies.
2. Novireo verwerkt de persoonsgegevens niet voor eigen doeleinden, met uitzondering van geanonimiseerde en geaggregeerde gegevens voor beheer, beveiliging en verbetering van de Dienst. Novireo verkoopt de persoonsgegevens niet en gebruikt Klantgegevens niet om AI-modellen te trainen.
3. Is Novireo op grond van Unierecht of Nederlands recht verplicht tot een verwerking, dan informeert zij de Klant vooraf, tenzij die wetgeving dat verbiedt.
4. Novireo informeert de Klant onverwijld indien een instructie naar haar mening inbreuk maakt op de AVG of andere privacywetgeving.

Artikel 4. Geheimhouding

1. Novireo zorgt dat personen die onder haar verantwoordelijkheid persoonsgegevens verwerken, aan geheimhouding zijn gebonden.
2. Novireo en die personen krijgen alleen toegang tot Klantgegevens voor zover dat nodig is voor levering, onderhoud, beveiliging of ondersteuning van de Dienst, of op verzoek van de Klant.

Artikel 5. Beveiliging

1. Novireo treft passende technische en organisatorische maatregelen, rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard van de gegevens en de risico's voor betrokkenen. De maatregelen staan in Bijlage 1 en in deel B van Bijlage 2.
2. Novireo mag de maatregelen aanpassen aan de stand van de techniek, mits het beveiligingsniveau niet wezenlijk daalt.
3. De Klant is zelf verantwoordelijk voor de beveiliging aan zijn kant: rollen en rechten, Gebruikersaccounts, veilige apparatuur, een zorgvuldige omgang met uitnodigingslinks, en de inhoud die hij in vrije velden en bijlagen plaatst.

Artikel 6. Subverwerkers

1. De Klant geeft Novireo algemene toestemming om subverwerkers in te schakelen voor de levering van Tuesia. De subverwerkers bij aanvaarding van deze versie staan in deel C van Bijlage 2.
2. Novireo legt iedere subverwerker Schriftelijk verplichtingen op die ten minste gelijkwaardig zijn aan deze verwerkersovereenkomst, en blijft jegens de Klant verantwoordelijk voor de nakoming door de subverwerker.
3. Novireo informeert de Klant ten minste dertig (30) dagen vooraf over de toevoeging of vervanging van een subverwerker, door publicatie van een nieuwe versie en een kennisgeving aan de Eigenaar. De Klant kan binnen die termijn op redelijke gronden Schriftelijk bezwaar maken. Bereiken Partijen geen overeenstemming, dan mag de Klant de Overeenkomst opzeggen tegen de datum waarop de wijziging ingaat.
4. Geen subverwerkers van Novireo zijn:
   • aanbieders die Novireo inschakelt voor verwerkingen waarvoor Novireo zelf verwerkingsverantwoordelijke is, zoals de betaaldienstverlener voor het Abonnement van de Klant;
   • de contact- en factuurgegevens van de Eigenaar die Novireo voor haar eigen administratie verwerkt. Op die verwerkingen is het privacystatement van toepassing.

Artikel 7. Doorgifte buiten de Europese Economische Ruimte

1. Novireo host de Werkruimte en de database binnen de Europese Economische Ruimte (EER). Voor zover een subverwerker buiten de EER is gevestigd of persoonsgegevens buiten de EER verwerkt, zorgt Novireo voor een passende grondslag, zoals een adequaatheidsbesluit van de Europese Commissie (waaronder het EU-VS Data Privacy Framework) of standaardcontractbepalingen, en waar nodig aanvullende maatregelen. Deel C vermeldt per subverwerker de locatie en de grondslag.
2. Voor Klanten buiten de EER, waaronder in Caribisch Nederland, Curaçao, Aruba en Sint Maarten, wordt de Dienst geleverd vanuit de EER. De Klant is verantwoordelijk voor de lokale privacywetgeving die op hem van toepassing is, zoals de Wet bescherming persoonsgegevens BES, en voor een eventuele doorgifte vanuit zijn eigen rechtsgebied naar de EER.

Artikel 8. Rechten van betrokkenen en overige bijstand

1. Novireo helpt de Klant, rekening houdend met de aard van de verwerking, bij verzoeken van betrokkenen (artikelen 15 tot en met 22 AVG), bij beveiliging, bij melding van inbreuken, bij gegevensbeschermingseffectbeoordelingen en bij voorafgaande raadpleging van de toezichthouder.
2. De functies van Tuesia voor inzage, export en verwijdering zijn de primaire vorm van die hulp. Aanvullende hulp kan Novireo als Service in rekening brengen tegen het uurtarief in de Dienstvoorwaarden.
3. Verzoeken die Novireo rechtstreeks ontvangt en die mede over Klantgegevens gaan, stuurt Novireo binnen vijf (5) Werkdagen door naar de Klant. De Klant handelt ze af binnen de termijnen van de AVG. Novireo wijzigt of verwijdert Klantgegevens naar aanleiding van zo'n verzoek alleen op instructie van de Klant.
4. Verzoeken die alleen over een Gebruikersaccount gaan, zoals verwijdering van de passkey en de accountgegevens, handelt Novireo zelf af als verwerkingsverantwoordelijke, volgens het privacystatement. Dat laat de planning die de Klant over de betrokkene in de Werkruimte beheert onverlet.
5. Novireo houdt een register bij van de categorieën verwerkingsactiviteiten die zij voor Klanten verricht.

Artikel 9. Inbreuken in verband met persoonsgegevens

1. Novireo informeert de Klant zonder onredelijke vertraging, en uiterlijk binnen achtenveertig (48) uur nadat Novireo ervan kennis heeft genomen, over een inbreuk in verband met persoonsgegevens die de persoonsgegevens van de Klant raakt. De melding gaat naar het e-mailadres van de Eigenaar.
2. De melding bevat, voor zover dan bekend, de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en registers, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een contactpersoon bij Novireo. Novireo vult de informatie aan zodra meer bekend is.
3. De Klant beoordeelt of melding aan de Autoriteit Persoonsgegevens of een andere toezichthouder en aan betrokkenen nodig is, en doet die meldingen. Novireo meldt niet zelfstandig namens de Klant, tenzij de wet dat verplicht of de Klant daar Schriftelijk om vraagt.
4. Novireo documenteert inbreuken die de persoonsgegevens van de Klant raken, inclusief de feiten, de gevolgen en de maatregelen.

Artikel 10. Einde van de verwerking: teruggave en verwijdering

1. Gedurende dertig (30) dagen na het einde van de Overeenkomst blijft de Werkruimte beperkt tot lezen beschikbaar, zodat de Klant de Klantgegevens kan exporteren. Daarna verwijdert Novireo de persoonsgegevens binnen dertig (30) dagen uit de productieomgeving. Op verzoek bevestigt Novireo de verwijdering Schriftelijk.
2. Kopieën in back-ups worden niet afzonderlijk verwijderd, maar vervallen volgens het retentieschema. Tot die tijd worden zij niet voor andere doeleinden gebruikt. Bij herstel van een back-up past Novireo eerdere verwijderinstructies opnieuw toe. Deze verwerkersovereenkomst blijft op die kopieën van toepassing.
3. Novireo mag persoonsgegevens langer bewaren voor zover een wettelijke verplichting dat vereist.

Artikel 11. Informatie en audit

1. Novireo stelt de Klant op verzoek de informatie ter beschikking die nodig is om nakoming van artikel 28 AVG aan te tonen, zoals een beschrijving van de beveiligingsmaatregelen, de lijst van subverwerkers en beschikbare verklaringen van subverwerkers.
2. Acht de Klant die informatie redelijkerwijs onvoldoende, dan mag de Klant maximaal eenmaal per jaar, of vaker indien een toezichthouder dat verlangt of na een inbreuk, een audit laten uitvoeren door een tot geheimhouding verplichte auditor. De audit wordt ten minste dertig (30) dagen vooraf aangekondigd, beperkt zich tot de verwerking voor de Klant, verstoort de bedrijfsvoering zo min mogelijk en is voor rekening van de Klant, tenzij uit de audit een wezenlijke tekortkoming van Novireo blijkt.
3. Omdat de Dienst voor alle Klanten op dezelfde infrastructuur draait, geeft een audit geen toegang tot gegevens van andere Klanten. Toegang tot systemen van subverwerkers kan Novireo alleen verlenen voor zover die subverwerkers dat toestaan.

Artikel 12. Aansprakelijkheid

1. Op deze verwerkersovereenkomst zijn de aansprakelijkheidsbepalingen van de algemene voorwaarden van toepassing. Dit laat de rechten van betrokkenen op grond van artikel 82 AVG onverlet.
2. De Klant vrijwaart Novireo voor aanspraken van betrokkenen en toezichthouders die het gevolg zijn van een verwerking die de Klant heeft opgedragen, of van een tekortkoming van de Klant als verwerkingsverantwoordelijke.

Artikel 13. Duur, wijziging en overige bepalingen

1. Deze verwerkersovereenkomst geldt zolang Novireo in opdracht van de Klant persoonsgegevens verwerkt, en eindigt niet eerder dan wanneer de verplichtingen uit artikel 10 zijn nagekomen.
2. Wijziging geschiedt volgens artikel 17 van de algemene voorwaarden. Voor toevoeging of vervanging van een subverwerker geldt daarnaast artikel 6 lid 3.
3. Bij strijdigheid met de algemene voorwaarden of de Dienstvoorwaarden gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft. Bij strijdigheid tussen dit raamwerk en Bijlage 2 gaat Bijlage 2 voor.
4. Op deze verwerkersovereenkomst zijn de bepalingen van de algemene voorwaarden over geheimhouding, toepasselijk recht, bevoegde rechter en taal van toepassing.
5. Vragen over deze verwerkersovereenkomst: info@novireo.com.

Bijlage 1. Basisbeveiligingsmaatregelen

Novireo treft voor Tuesia ten minste de volgende maatregelen. Bijlage 2 kan aanvullende maatregelen bevatten.

• Verbindingen tussen Gebruikers en de Dienst, en tussen de Dienst en haar subverwerkers, zijn versleuteld (TLS).
• De Dienst draait bij een professionele hostingpartij in de EER. Novireo beheert zelf geen fysieke servers.
• De gegevens van iedere Klant zijn logisch gescheiden. Een opvraging is gebonden aan de Werkruimte waartoe de Gebruiker toegang heeft.
• Gebruikers loggen in met een passkey. Tuesia bewaart voor een Werkruimte geen wachtwoord. Een eenmalige, ondertekende link dient alleen om een passkey in te stellen.
• Toegang van Novireo tot een Werkruimte vindt alleen plaats voor zover nodig voor Support, onderhoud of beveiliging.
• Van de database en van geüploade bestanden worden back-ups gemaakt voor herstel van de Dienst. Back-ups zijn niet openbaar en hebben beperkte toegang.
• Sleutels voor AI-aanbieders worden versleuteld opgeslagen en niet volledig teruggetoond.
• Aanmeld- en passkey-eindpunten zijn begrensd tegen misbruik door automatische verzoeken.
• De gebruikte software en afhankelijkheden worden actueel gehouden. Beveiligingsupdates worden zo spoedig mogelijk doorgevoerd.

Bijlage 2. Dienstbijlage Tuesia

Deze bijlage hoort bij de Overeenkomst voor Tuesia. Begrippen zoals Werkruimte, Board en Item hebben de betekenis uit de Dienstvoorwaarden Tuesia.

Deel A. Specificatie van de verwerking

Categorieën betrokkenen

• de Eigenaar, Beheerders en teamleden van de Klant;
• andere personen over wie de Klant in een board, item, opmerking of bijlage gegevens vastlegt, zoals collega's, opdrachtnemers of contactpersonen;
• personen die met de Klant corresponderen via support, voor zover die correspondentie Klantgegevens bevat.

Onder de betrokkenen kunnen minderjarigen vallen als de Klant gegevens over hen in de Werkruimte zet. Tuesia is daar niet voor bedoeld. De Klant blijft voor die grondslag verantwoordelijk.

Categorieën persoonsgegevens

• identificatie- en contactgegevens: naam, zakelijk e-mailadres en rol;
• accountgegevens: passkey-registratie en sessiegegevens;
• planningsgegevens: boards, groepen, items, kolomwaarden, deadlines, eigenaren, opmerkingen en de historie van wijzigingen;
• bestanden die de Klant bij een item uploadt;
• de itemcontext die bij AI-advies naar de gekozen aanbieder wordt gestuurd;
• technische gegevens die ontstaan bij gebruik, zoals het tijdstip van een wijziging en welke Gebruiker die deed.

De Klant voert geen bijzondere categorieën van persoonsgegevens en geen strafrechtelijke gegevens in, tenzij hij daarvoor een geldige grondslag heeft en Novireo daarover vooraf Schriftelijk heeft geïnformeerd.

Verwerkingen

• opslaan, ordenen, tonen, importeren en exporteren van gegevens in de Werkruimte;
• uitnodigen van teamleden en verzenden van e-mail die voor het account nodig is, zoals een passkey-link;
• verzenden van de opdracht en de itemcontext naar de gekozen AI-aanbieder, alleen wanneer een Gebruiker AI-advies op dat item vraagt;
• back-uppen, beveiligen, monitoren en ondersteunen van de Dienst.

Deel B. Aanvullende beveiligingsmaatregelen

In aanvulling op Bijlage 1:

• toegang in de Werkruimte verloopt via de rollen eigenaar, beheerder en lid, die de Klant beheert;
• bestanden in de objectopslag zijn niet openbaar; de Dienst levert een bestand alleen na controle dat de Gebruiker bij die Werkruimte hoort;
• wijzigingen in de Werkruimte worden vastgelegd met tijdstip en Gebruiker waar de Dienst dat bijhoudt;
• uitgaande e-mail voor uitnodigingen en passkey-links wordt alleen verstuurd naar het adres dat de Klant of Novireo voor die handeling heeft opgegeven.

Deel C. Subverwerkers

Bij aanvaarding van deze versie schakelt Novireo voor Tuesia de partijen hieronder in. Alleen de partijen onder "Subverwerkers" zijn subverwerkers als bedoeld in artikel 6.

Subverwerkers

Eigen administratie van Novireo (geen subverwerker)