Verwerkersovereenkomst Denkploeg

1. Partijen en rollen

1. Verwerker: Het Creatieve Bureau (eenmanszaak, KvK-nummer 72101121, btw-id NL001154747B27, Loudonstraat 51, 3317 PA Dordrecht), als aanbieder van Denkploeg, hierna "Denkploeg".
2. Verwerkingsverantwoordelijke: de organisatie die de overeenkomst voor Denkploeg met Denkploeg aangaat en daarin een werkruimte gebruikt, hierna "de Klant". Is de wederpartij een bureau, dan geldt lid 3. De naam en gegevens van de Klant staan in de bestelling, de offerte of het account bij Denkploeg.
3. Bureau. Is de wederpartij een bureau dat persoonsgegevens verwerkt namens zijn klanten, dan is het bureau verwerker van zijn klant en Denkploeg subverwerker van het bureau (artikel 28 lid 4 AVG). Het bureau staat ervoor in dat zijn klant schriftelijk toestemming heeft gegeven voor Denkploeg en de subverwerkers in bijlage 3. Deze overeenkomst legt Denkploeg ten minste de verplichtingen op uit de overeenkomst tussen bureau en klant. Instructies van de klant lopen via het bureau. Valt het bureau weg of is het niet meer bevoegd, dan kan de klant deze overeenkomst rechtstreeks inroepen.
4. Deze overeenkomst hoort bij de algemene voorwaarden en geldt voor elke werkruimte. Bij strijd gaat deze overeenkomst voor wat betreft persoonsgegevens.

2. Onderwerp en doel

Denkploeg verwerkt persoonsgegevens voor de Klant uitsluitend om het platform te leveren: het opslaan, ordenen, tonen, doorgeven aan de ploeg en uitvoeren (na goedkeuring door een mens) wat de Klant in zijn werkruimte doet. Aard, doel, soorten gegevens en categorieën betrokkenen staan in bijlage 1. De duur is gelijk aan de duur van de overeenkomst, plus de afwikkeling uit artikel 11.

3. Instructies

1. Denkploeg verwerkt persoonsgegevens alleen op gedocumenteerde instructie van de Klant. De overeenkomst, de instellingen in de werkruimte en de handelingen van de gebruikers van de Klant (waaronder het ondertekenen van een voorstel) zijn die instructie.
2. Denkploeg meldt het als een instructie naar zijn oordeel in strijd is met de AVG of andere regelgeving.
3. Denkploeg verwerkt gegevens niet voor eigen doeleinden, met uitzondering van de eigen verwerkingen in artikel 15. Denkploeg zelf traint geen modellen op gegevens uit een werkruimte en deelt ze niet met andere werkruimtes. Leveranciers die op invoer trainen of invoer met partners delen (volgens ons overzicht nu onder meer ElevenLabs, Higgsfield en OpenArt) staan standaard uit voor klantmateriaal en worden alleen na een vastgelegde keuze van de Klant aangezet. Hetzelfde geldt voor leveranciers waarvan niet is vastgesteld of ze op invoer trainen (nu onder meer fal, Recraft, Photoroom, Vectorizer.AI en Ideogram): klantmateriaal gaat er pas heen na een vastgelegde keuze.
4. De Klant geeft Denkploeg de instructie om verzoeken uit te voeren die een koppelingsplatform (zoals Meta) namens een betrokkene stuurt, om de gegevens van die betrokkene (toegang, tokens en koppelingen) in te trekken of te verwijderen volgens de voorwaarden van dat platform.
5. De Klant zorgt voor een cookie- en opslagverklaring op zijn eigen website, ook voor wat de Support-widget van Denkploeg daar plaatst (een bezoeker-id in localStorage). Denkploeg levert de tekst op verzoek.
6. Is Denkploeg wettelijk verplicht tot een verwerking of doorgifte buiten de instructie, dan meldt het dat vooraf, tenzij de wet dat verbiedt. Een verzoek van een autoriteit om gegevens van de Klant meldt Denkploeg aan de Klant en betwist het waar dat redelijk is.

4. Vertrouwelijkheid

Personen die voor Denkploeg met de gegevens werken zijn tot geheimhouding gehouden. Via het platform kijken medewerkers van Denkploeg alleen in een werkruimte mee als dat nodig is voor beheer of ondersteuning, met een opgegeven reden die in de historie van de werkruimte zichtbaar is (breekglas). Beheerders met toegang tot de server zelf zijn beperkt tot de eigenaar (J. Katgerman) met een SSH-sleutel; uitrol en hulpmiddelen werken onder zijn toezicht en met zijn sleutel, en derden hebben geen toegang, en gebonden aan geheimhouding; die toegang laat nu geen spoor in de historie achter.

5. Beveiliging

Denkploeg treft de technische en organisatorische maatregelen uit bijlage 2 en houdt die op een passend niveau. Wij herzien ze ten minste jaarlijks en bij een belangrijke wijziging.

6. Subverwerkers

1. De Klant geeft Denkploeg algemene toestemming voor de subverwerkers in bijlage 3.
2. Denkploeg kondigt een nieuwe of vervangende subverwerker minstens 30 dagen vooraf aan, via de app en per mail aan de eigenaren van de werkruimte. De Klant kan binnen die termijn gemotiveerd bezwaar maken. Komen we er niet uit, dan kan de Klant de overeenkomst voor de betrokken dienst opzeggen.
3. Denkploeg legt een subverwerker minstens dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover de Klant verantwoordelijk voor hun nakoming.
4. Optionele diensten die de Klant zelf aanzet met een eigen account of eigen sleutel (een koppeling met Meta, Google, Shopify en dergelijke) zijn geen subverwerkers van Denkploeg maar verwerkers of verantwoordelijken van de Klant zelf. Denkploeg stuurt er alleen gegevens heen op instructie van de Klant.
5. Een Klant met een eigen sleutel voor een modelleverancier brengt zijn eigen overeenkomst met die leverancier mee en is zelf verantwoordelijk voor de doorgifte naar die leverancier. Denkploeg stuurt er alleen gegevens heen op instructie van de Klant; het kiezen van de eigen sleutel is die instructie.
6. De lijst staat ook op subverwerkers.

7. Bijstand bij rechten van betrokkenen

Denkploeg helpt de Klant, met passende technische en organisatorische middelen, bij verzoeken van betrokkenen en voert een verzoek uit op aanwijzing van de Klant binnen 10 werkdagen. Beschikbaar zijn: een AVG-verzoek met termijn van dertig dagen, een export van een persoon of relatie (inzage en overdraagbaarheid), het wissen van een persoon of relatie (een mens tekent), het wissen van een supportgesprek, van een WhatsApp-afzender en van een nieuwsbriefinschrijver, en het anonimiseren van een gast. Niet voor alles is er al een scherm; wat nog handmatig gaat, gebeurt op verzoek. Ontvangt Denkploeg zelf een verzoek van een betrokkene over gegevens in een werkruimte, dan verwijst het die betrokkene door naar de Klant en handelt het niet zelf af, tenzij de Klant dat vraagt.

8. Bijstand bij artikel 32 tot 36 AVG

Denkploeg helpt de Klant bij beveiliging, meldingen van datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging, voor zover dat redelijkerwijs van een verwerker verwacht mag worden en met de informatie waarover Denkploeg beschikt.

9. Datalekken, informatie en audits

1. Denkploeg meldt een inbreuk op persoonsgegevens aan de Klant zonder onredelijke vertraging en uiterlijk binnen 24 uur na ontdekking, met de informatie die dan bekend is (aard, betrokken gegevens en aantallen, waarschijnlijke gevolgen, genomen en voorgestelde maatregelen). Wij melden aan de eigenaar van de werkruimte en, als de Klant via een bureau werkt, ook aan het bureau. Aanspreekpunt: J. Katgerman, privacy@denkploeg.nl; buiten kantoortijd bij nood via WhatsApp op +31 6 13816926 (ook het nummer van onze WhatsApp-assistent; een melding daar wordt door een mens opgepakt).
2. Denkploeg geeft de Klant op verzoek de informatie die nodig is om naleving aan te tonen, waaronder de actuele beveiligingsmaatregelen en het auditspoor van zijn eigen werkruimte.
3. Een audit door of namens de Klant kan één keer per jaar, na 30 dagen aankondiging (en vaker na een inbreuk of op last van een toezichthouder), onder geheimhouding, zonder de gegevens van andere klanten te raken en met vergoeding van de redelijke kosten. Een onafhankelijk rapport kan een audit vervangen.

10. Doorgifte buiten de EER

Denkploeg geeft gegevens alleen door buiten de EER met een passend mechanisme (adequaatheidsbesluit of standaardcontractbepalingen met aanvullende maatregelen) en op instructie van de Klant. De doorgiften staan in bijlage 3 en op subverwerkers.

11. Einde, export en verwijdering

1. Bij het einde van de overeenkomst, of eerder op verzoek, stelt Denkploeg de gegevens van de Klant ter beschikking als export (de hele werkruimte als bestand, plus losse exports per onderdeel).
2. Na de einddatum kan de Klant nog dertig dagen lezen en exporteren; daarna wordt de werkruimte gearchiveerd en na nog negentig dagen leeggemaakt (artikel 12 lid 7 van de algemene voorwaarden): alle bestanden, exports, de geheugenmap van de werkruimte en gegevens in de database van die werkruimte worden gewist. Blijven staan: de administratie (verbruik, grootboek, contracten en facturen, zeven jaar, fiscale bewaarplicht) en het auditspoor. Dat spoor is alleen-toevoegen en bevat id's en soorten handelingen; sinds 14 oktober 2026 staat er in nieuwe regels geen e-mailadres en geen volledig IP-adres meer (oudere regels hebben ze soms nog). Voor het spoor is geen wettelijke bewaarplicht aangewezen. Wij bewaren het spoor 2 jaar en anonimiseren daarna het gebruikers-id, het e-mailadres en het IP-adres in de regels (artikel 28 lid 3 sub g AVG).
3. Gegevens in back-ups verdwijnen als de back-up verloopt. De bewaartermijn van de back-ups is: dagelijks 7, wekelijks 4, maandelijks 6 dus een oudste snapshot van ongeveer zeven maanden. Gegevens worden uit een teruggezette back-up niet opnieuw in gebruik genomen zonder dat de verwijdering opnieuw wordt uitgevoerd.
4. Inhoud die de Klant niet langer wil bewaren, kan hij ook tussentijds laten wissen. De termijnen in bijlage 1 zijn de termijnen die het platform zelf toepast; waar daar "de Klant bepaalt" staat, bepaalt hij de termijn en geldt geen maximum.

12. Looptijd

Deze overeenkomst gaat in met de overeenkomst en eindigt wanneer Denkploeg alle persoonsgegevens van de Klant heeft gewist volgens artikel 11. De verplichtingen die naar hun aard blijven gelden, blijven gelden.

13. Aansprakelijkheid

Op de aansprakelijkheid onder deze overeenkomst is artikel 13 van de algemene voorwaarden van toepassing; de begrenzing daarin geldt voor alle aanspraken onder de voorwaarden en deze overeenkomst samen. Dit beperkt de rechten van betrokkenen onder artikel 82 AVG niet.

14. Toepasselijk recht

Nederlands recht. Bevoegd is de rechter die artikel 17 van de algemene voorwaarden aanwijst.

15. Eigen verwerkingen van Denkploeg en scheiding

1. Denkploeg verwerkt voor eigen doeleinden en als verantwoordelijke: de gegevens van gebruikers voor inloggen en beveiliging, het verbruik en het grootboek, de beveiligingsmonitoring en het auditspoor. Dat staat in de privacyverklaring; voor die verwerkingen geldt deze overeenkomst niet.
2. De aanbieder gebruikt Denkploeg ook voor eigen bureauwerk. Gegevens van de Klant gebruikt hij daar nooit voor; zie ook de voorwaarden, artikel 18.

Bijlage 1: gegevens, betrokkenen en bewaartermijnen

Aard en doel. Opslaan, tonen, ordenen, doorgeven aan modellen en uitvoeren na goedkeuring, om het werk van de Klant en zijn bureau te ondersteunen: CRM (relaties), communicatie (WhatsApp, supportchat, mail), marketing en advertenties, websites, ontwerp en video.

Categorieën betrokkenen: medewerkers en gebruikers van de Klant en van zijn bureau; klanten en contactpersonen van de Klant (bedrijven en particulieren); bezoekers van sites en gebruikers van de supportchat van de Klant; WhatsApp-contacten; gasten die een deellink, proefpagina of briefingformulier openen; ontvangers van een nieuwsbrief.

Soorten persoonsgegevens:

Bijzondere persoonsgegevens zijn niet bedoeld en er is geen veld voor; vrije tekst kan ze bevatten. De Klant bepaalt of hij ze invoert en zorgt dat hij dat alleen doet met een grondslag en met passende beveiliging. Denkploeg verwerkt ze alleen als deel van die inhoud, zonder ze te onderscheiden, en helpt op verzoek bij een gegevensbeschermingseffectbeoordeling.

Bijlage 2: technische en organisatorische maatregelen

1. Versleuteling van geheimen. Sleutels en tokens van klanten staan met AES-256-GCM in de database, met de werkruimte als aanvullende geauthenticeerde data, zodat een geheim van de ene werkruimte niet in een andere te ontsleutelen is. Geheimen komen nooit in het auditspoor, in logs of als commando-argument. De hoofdsleutel staat niet in de back-up.
2. Wachtwoorden en tweede stap. Wachtwoord als scrypt-hash met een constante-tijdvergelijking; geen verschil in tijd tussen een bekend en onbekend adres. TOTP (RFC 6238) met het geheim versleuteld; herstelcodes als hash. Een tweede stap is verplicht voor platformbeheerders en instelbaar per werkruimte of bureau. Gevoelige acties vragen een code van de laatste vijf minuten.
3. Sessies. Het sessietoken staat alleen als hash in de database; maximaal veertien dagen; inactiviteit na zestig minuten (480 voor platformbeheerders); cookie met httpOnly, SameSite=Lax en Secure.
4. Remmen op misbruik. Inloggen: acht pogingen per adres en vijfentwintig per herkomst in vijftien minuten. Publieke routes begrenzen de omvang van een verzoek en hebben een rem per IP-adres. De rem geldt per proces.
5. Scheiding tussen werkruimtes. Elke rij heeft een werkruimte-id en elke query een scope; een tabel zonder krijgt een vastgelegde reden, anders faalt de controle. Row-level security staat aan op een deel van de tabellen (onder meer betalingen, kortingen, de proefverificatie en de nieuwsbrief van Denkploeg), met een policy die geldt zodra een verbinding een werkruimte heeft gezet; de hoofdscheiding rust op de applicatie, met een toets voor de isolatie.
6. Databaserollen. De applicatie draait zonder superuserrechten; er is een aparte rol voor back-ups (alleen lezen) en voor bewaking.
7. Auditspoor. Elke handeling komt in het auditspoor; een regel in de database negeert wijzigen en verwijderen, en de applicatierol mag toevoegen maar niet wijzigen of verwijderen. Oude maanden gaan met de hand naar een archief met controlesom. Regels van voor 14 oktober 2026 bevatten e-mailadressen en IP-adressen, nieuwe niet.
8. Mens in de lus. Een agent schrijft niets naar buiten zonder goedkeuring; een goedkeuring kan maar een keer worden beslist; het risiconiveau komt van een mens, niet uit een ticket. Alleen een bouwer schrijft, in een verse werkomgeving zonder klantgeheimen.
9. Isolatie van onvertrouwde code en bestanden. De werkbak van de bouwploeg heeft geen netwerk, draait niet als root, met alle capabilities weg en een alleen-lezen wortel. Onvertrouwde bestanden en websites gaan door aparte afgeschermde bakken.
10. Back-ups. Dagelijkse database-dump op dezelfde machine (7 dagen) en een versleutelde externe back-up (dagelijks, bewaard 7 dagelijks, 4 wekelijks, 6 maandelijks, wekelijkse controle van 5 procent); alarm bij een back-up ouder dan 36 uur. De externe bestemming is een tweede Hostinger-server in Parijs, Frankrijk. De herstelproef draait maandelijks.
11. Bewaking. Een monitor controleert de gezondheid van de apps en de werker en meldt aan Discord; push-monitors in Uptime Kuma. Containerlogs zijn begrensd op 1 GB en 30 dagen.
12. Incidenten en datalekken. Een vermoed lek leggen we direct vast in een intern register (wat, wanneer ontdekt, welke gegevens, hoeveel betrokkenen, welke maatregelen), ook als het niet gemeld hoeft te worden (artikel 33 lid 5 AVG). Binnen 24 uur beoordelen we of het een inbreuk is. Een inbreuk op gegevens van de Klant melden we binnen 24 uur na ontdekking aan de eigenaar van de werkruimte; een inbreuk waarvoor wij zelf verantwoordelijke zijn melden we binnen 72 uur aan de Autoriteit Persoonsgegevens en zo nodig aan de betrokkenen (artikel 33 en 34 AVG). Een Klant meldt een vermoed lek aan privacy@denkploeg.nl met "Datalek" in het onderwerp; buiten kantoortijd kan bij nood ook via WhatsApp op +31 6 13816926; een melding daar wordt door een mens opgepakt.
13. Webbeveiliging. Content-Security-Policy met nonce per verzoek, object-src 'none', HSTS, nosniff, X-Frame-Options: DENY en een beperkend Permissions-Policy. Het deeldomein zet geen cookies.
14. Toegang van medewerkers. Platformbeheer vraagt een tweede stap; meekijken in een werkruimte gaat via breekglas met een reden en een venster van zestig minuten, zichtbaar in de historie van de Klant. Toegang tot de server zelf (SSH, database) is beperkt tot de eigenaar en laat geen regel in die historie achter.
15. Bewaartermijnen. Termijnen staan in de code op één plek en lopen elk uur.
16. Scheiding van sleutels. Een werkruimte valt niet stilzwijgend terug op een sleutel van een bureau (alleen als het bureau deelt). Zonder eigen sleutel gebruikt een werkruimte de sleutel van het platform, alleen tegen credits die vooraf worden gereserveerd.
17. Ontwikkeling. Wijzigingen via pull request; typecontrole en toetsen draaien lokaal vóór elke merge; er draait geen automatische uitrol. Migraties zijn onveranderlijk en oplopend genummerd.

Bijlage 3: subverwerkers en doorgifte

Hieronder staan alle subverwerkers van Denkploeg. Niet elke subverwerker raakt de gegevens van elke werkruimte: Mollie, Moneybird, Cloudflare (Turnstile) en Google Workspace verwerken vooral gegevens waarvoor Denkploeg zelf verantwoordelijke is (artikel 15). De lijst met toelichting staat ook op subverwerkers.

Altijd aan bij gebruik van het platform

Optioneel, aangezet door de Klant (met eigen account of sleutel)

OpenAI, Recraft, Photoroom, fal, Vectorizer.AI, Ideogram, ElevenLabs, OpenArt, Higgsfield, Google (Analytics, Search Console, Tag Manager, Ads, Drive), Meta (Ads, Instagram, WhatsApp Cloud API), Kapso, Shopify, WooCommerce, Magento, Stripe, Mollie, Figma, GitLab, Bitbucket, WinningHunter, Context en andere diensten uit de dienstencatalogus in de app. De Klant sluit zelf de overeenkomst met die dienst en is verantwoordelijk voor de doorgifte (artikel 6 lid 4 en 5); Denkploeg stuurt er alleen gegevens heen op zijn instructie.