Juridisch
Verwerkersovereenkomst
Dit is een concept, nog niet nagelezen door een jurist
Deze tekst beschrijft zo nauwkeurig mogelijk wat Nermio feitelijk doet met gegevens, zodat een jurist iets heeft om op te bouwen. Hij is niet rechtsgeldig en niet bedoeld om je op te beroepen. Waar een keuze gemaakt moet worden, staat een gemarkeerde plaatshouder met de vraag erbij in plaats van een verzonnen clausule.
Concept van 4 november 2026. Zolang deze status geldt, staat de pagina wel in de voettekst maar niet in de sitemap, en vraagt hij zoekmachines hem niet op te nemen. Heb je nu een verwerkersovereenkomst nodig, vraag die dan op via info@nermio.com.
Zet je in Nermio gegevens van je relaties, dan verwerken wij persoonsgegevens voor jou. Hieronder staat wat we daarmee wel en niet doen, hoe het is afgeschermd en wat er nog moet worden afgesproken.
Partijen en status
Deze verwerkersovereenkomst hoort bij de algemene voorwaarden. Jij bepaalt welke gegevens je over je relaties vastlegt en waarom; jij bent dus de verwerkingsverantwoordelijke. Nermio verwerkt die gegevens alleen om de software te laten werken en is daarmee verwerker.
Voor je eigen accountgegevens is de verdeling anders: daar bepaalt Nermio zelf wat ermee gebeurt. Dat deel staat in de privacyverklaring, niet hier.
Nog te bepalen door een jurist
Welke rechtspersoon is de verwerker (naam, rechtsvorm, KvK-nummer, adres), en hoe krijgt en accepteert een klant deze overeenkomst?
Twee gaten die bij elkaar horen. De rechtspersoon staat nergens vast — hetzelfde gat als in de privacyverklaring en artikel 1 van de voorwaarden. En er is geen proces: de homepage zegt dat bij je account een verwerkersovereenkomst hoort, maar niemand krijgt hem, accepteert hem bij het aanmelden of ondertekent hem. Zolang dat zo is, is die belofte niet waargemaakt — ook niet door het bestaan van deze pagina.
Artikel 1. Onderwerp en instructie
Nermio verwerkt persoonsgegevens uitsluitend namens de klant en voor de doelen uit bijlage 1. De verwerking gebeurt op instructie van de klant; het gebruik van de dienst, de instellingen die de klant kiest en deze overeenkomst gelden samen als die instructie. Nermio verwerkt de klantgegevens niet voor eigen doeleinden.
Dat betekent concreet dat we ze niet verkopen, niet doorgeven aan derden voor advertenties en niet gebruiken om modellen te trainen. Vindt Nermio dat een instructie in strijd lijkt met de wet, dan meldt hij dat aan de klant voordat hij hem uitvoert.
Artikel 2. Geheimhouding
Iedereen die namens Nermio bij klantgegevens kan, is tot geheimhouding verplicht, en toegang blijft beperkt tot wat voor het werk nodig is. Op dit moment is Nermio klein: in de praktijk gaat het om de persoon die het product bouwt. Dat is eerlijker gezegd dan een algemene formulering over “geautoriseerd personeel”.
Nog te bepalen door een jurist
Hoe leggen we geheimhouding vast voor toekomstige medewerkers en voor ingehuurde hulp?
Artikel 3. Beveiliging
Nermio neemt passende technische en organisatorische maatregelen, beschreven in bijlage 2. Die maatregelen mogen worden aangepast zolang het beschermingsniveau daardoor niet daalt.
Nog te bepalen door een jurist
Zijn de gegevens ook versleuteld terwijl ze stilstaan, en op welk niveau?
Verkeer over een versleutelde verbinding kunnen we bevestigen, en de AI-sleutels versleutelen we zelf (AES-GCM, met een geheim buiten de database). Versleuteling van de database-opslag is iets van de databasepartij; dat moet bij hen worden nagegaan voordat het in bijlage 2 als belofte staat.
Nog te bepalen door een jurist
Wie kan er bij de productieomgeving van de databasepartij en de hostingpartij inloggen, met welke beveiliging?
Binnen de software is de tweede factor verplicht en dat is te controleren. Wie bij Supabase of Vercel in het dashboard kan, staat niet in deze code — dat is een instelling bij die partijen en hoort hier als feit te worden vastgelegd, niet aangenomen.
Artikel 4. Subverwerkers
De klant geeft toestemming voor de subverwerkers in bijlage 3. Wil Nermio er een toevoegen of vervangen, dan meldt hij dat minstens dertig dagen vooraf. De klant kan daar bezwaar tegen maken; komen partijen er niet uit, dan mag de klant het abonnement opzeggen tegen de datum waarop de wijziging ingaat. Nermio legt aan een subverwerker dezelfde verplichtingen op als in deze overeenkomst staan.
Artikel 5. Doorgifte buiten de EER
Doorgifte naar een land buiten de Europese Economische Ruimte vindt alleen plaats met een geldige grondslag: een adequaatheidsbesluit of standaardcontractbepalingen met de nodige aanvullende maatregelen.
Nog te bepalen door een jurist
Welke doorgifteroute geldt per subverwerker in bijlage 3, en komt er bij een van hen klantdata buiten de EER?
Drie van de vier partijen zijn Amerikaanse ondernemingen met Europese regio's. Per partij moet vastgesteld worden waar de gegevens staan, of hun ondersteuning erbij kan en op welke basis. Zonder dit antwoord kan deze overeenkomst niet worden aangeboden; dezelfde vraag staat in de privacyverklaring.
Artikel 6. AI-aanbieders van de klant
Koppelt de klant een eigen API-sleutel van een AI-aanbieder, dan is die aanbieder geen subverwerker van Nermio. De klant heeft daar zelf een overeenkomst mee en betaalt het gebruik rechtstreeks. Nermio stuurt alleen gegevens naar die aanbieder als een gebruiker daar in de software om vraagt, stuurt dan een vaste selectie velden uit het dossier mee, en bewaart het antwoord niet.
Artikel 7. Hulp bij verzoeken van betrokkenen
Vraagt een van jouw relaties om inzage, correctie of verwijdering, dan handel jij dat af; het zijn jouw gegevens in jouw omgeving, en je kunt ze daar zelf inzien, aanpassen, exporteren en verwijderen. Lukt dat niet met de schermen die er zijn, dan helpt Nermio. Komt een verzoek per ongeluk bij ons binnen, dan sturen we het naar jou door en antwoorden we er zelf niet op.
Artikel 8. Datalekken
Merkt Nermio dat er gegevens uit jouw omgeving zijn ingezien of weggekomen, dan laat hij dat zonder onnodige vertraging weten, met wat er op dat moment bekend is: wat er is gebeurd, welke soorten gegevens en hoeveel betrokkenen het ongeveer betreft, de waarschijnlijke gevolgen en de maatregelen die zijn genomen.
Melden bij de Autoriteit Persoonsgegevens of bij de betrokkenen is jouw beslissing, want jij bent de verwerkingsverantwoordelijke; wij leveren de informatie die je daarvoor nodig hebt.
Nog te bepalen door een jurist
Binnen welke termijn melden we een datalek, en wat moet die melding minimaal bevatten?
De aangeleverde conceptset stelt achtenveertig uur na ontdekking voor. Dat is gebruikelijk en het is de klant die aan een termijn van 72 uur bij de AP vastzit, dus hij moet ruimte overhouden. Of wij 48 uur met een eenmansteam kunnen waarmaken, is een realistische afweging en geen formaliteit — en een termijn die je niet haalt, is erger dan een ruimere die je wel haalt.
Artikel 9. Hulp bij andere verplichtingen
Nermio helpt de klant, voor zover redelijk en nodig, bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij een eventuele voorafgaande raadpleging van de toezichthouder, door informatie te leveren over de verwerking en de maatregelen.
Artikel 10. Controle
Nermio geeft de klant op verzoek de informatie die nodig is om te beoordelen of deze overeenkomst wordt nageleefd. Wil de klant meer, dan kan hij een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht, met een aankondiging van vier weken, hoogstens eenmaal per jaar — tenzij er een concrete aanleiding is — en op kosten van de klant.
Er is geen ISO 27001- of SOC 2-verklaring en geen rapport van een externe penetratietest; wat er wél is, staat op de veiligheidspagina en in bijlage 2.
Artikel 11. Duur en einde
Deze overeenkomst loopt zolang Nermio persoonsgegevens voor de klant verwerkt. Stopt het abonnement, dan hoort daar een duidelijk moment bij waarop de klantgegevens worden verwijderd, en daarvóór de mogelijkheid om een kopie te krijgen. Gegevens die Nermio wettelijk moet bewaren — facturen en betalingen — blijven staan, los van deze overeenkomst.
Zo werkt het vandaag: de automatische opschoning raakt klantdata niet aan, dus na beëindiging verdwijnt er niets vanzelf. Verwijderen is bij ons een handeling met een verplichte reden, die alleen een superbeheerder kan uitvoeren en die in het beveiligingslogboek blijft staan. En de export werkt alleen zolang de organisatie niet stilstaat.
Nog te bepalen door een jurist
Hoe lang blijven de gegevens na beëindiging staan, binnen welk venster kan de klant exporteren, in welke vorm wordt een kopie geleverd, en wanneer zijn ze ook uit de back-ups verdwenen?
Dit is een echt gat, geen formulering. De aangeleverde set zegt dertig dagen; die zijn niet gebouwd, en de toegang gaat op de einddatum juist dicht. Daar komt de back-upvraag bij: dat ritme is van de databasepartij en bepaalt wanneer iets écht weg is. Afspraak en techniek horen hier samen te worden gemaakt; dezelfde vraag staat in de privacyverklaring en in artikel 8 van de voorwaarden.
Artikel 12. Aansprakelijkheid
Voor de aansprakelijkheid onder deze overeenkomst geldt wat in artikel 11 van de algemene voorwaarden staat. Dat artikel is daar nog een voorstel met een openstaande vraag; zolang dat zo is, geldt die onzekerheid ook hier.
Bijlage 1. De verwerking
| Onderwerp | Wat er is afgesproken |
|---|---|
| Doel | Het leveren van een CRM: relatiebeheer, een verkooppipeline, taken en opvolging, en het ondersteunen van de klant daarbij. |
| Soort verwerking | Opslaan, ordenen, tonen, wijzigen, exporteren en verwijderen. Op verzoek van een gebruiker: doorsturen van een selectie velden naar de AI-aanbieder van de klant (artikel 6). |
| Betrokkenen | Contactpersonen bij de relaties van de klant, en de gebruikers die de klant zelf uitnodigt. |
| Gegevens over relaties | Bedrijfsnaam, plaats, land, sector, omvang, website, KvK-nummer, klantnummer en betaaltermijn; per contactpersoon naam, functie, e-mailadres en telefoonnummer; deals met een titel, een waarde en een fase; taken met een datum; activiteiten zoals gebeld of gemaild; en vrije notities. |
| Gegevens over gebruikers | Naam, e-mailadres, rol en status, plus de vastlegging van hun handelingen in het auditlog, met IP-adres en browserinformatie. |
| Bijzondere persoonsgegevens | Er is geen veld voor bijzondere of strafrechtelijke persoonsgegevens, en de dienst is er niet voor bedoeld. De notitievelden zijn vrije tekst, dus technisch kan de klant er alles in typen; dat hoort hij niet te doen en het valt onder zijn eigen verantwoordelijkheid uit artikel 8 van de voorwaarden. |
| Duur | Zolang het abonnement loopt. Wat daarna geldt, is de openstaande vraag bij artikel 11. |
Bijlage 2. Beveiligingsmaatregelen
Dit is het deel dat vandaag gebouwd is en dat je kunt narekenen. De uitgebreide beschrijving staat op de veiligheidspagina.
- Scheiding per organisatie in de database zelf. Niet in de schermen, maar in Postgres met row level security op elke tabel: de database bepaalt bij elke vraag welke rijen een ingelogd account mag zien. Een fout in de applicatie kan daardoor geen gegevens van een andere organisatie opleveren, en er is een testsuite die die isolatie aantoont.
- Rollen en rechten per gebruiker, van volledige toegang tot alleen meekijken, ook afgedwongen in de database.
- Een auditlog dat alleen aangroeit. Een regel wijzigen of wissen is onmogelijk gemaakt, ook voor onze hoogste beheerdersrol, met precies één benoemde uitzondering voor de automatische opschoning.
- Supporttoegang met reden en tijdslimiet. Vijftien, dertig of zestig minuten en nooit langer, altijd met een opgegeven reden, standaard alleen lezen, nooit met de mogelijkheid om te verwijderen, en terug te lezen door de eigenaar van de organisatie.
- Tweestapsverificatie voor iedereen. Niet alleen voor ons beheerportaal maar voor elke gebruiker van het CRM, zonder uitzondering. Daarbovenop logt de software uit na acht uur zonder activiteit.
- Versleutelde verbindingen met HSTS, en een Content-Security-Policy met een nonce per verzoek.
- Wachtwoorden die wij niet kunnen uitlezen — ze staan gehasht bij de authenticatiedienst — met een beleid van minimaal twaalf tekens en een controle tegen bekend gelekte wachtwoorden. API-sleutels van AI-aanbieders staan versleuteld (AES-GCM), met het geheim buiten de database.
- Een rem op inlogpogingen die dichtklapt als hij zelf faalt, een beveiligingslogboek met een alarm bij herhaalde mislukte pogingen, en de mogelijkheid om een IP-adres te blokkeren.
Nog te bepalen door een jurist
Hoe vaak maakt de databasepartij back-ups, hoe lang blijven die staan, en kan de klant zich daarop beroepen?
Zonder dat getal is bijlage 2 onvolledig en is artikel 11 niet te beantwoorden. Het ritme is van de databasepartij; wij stellen het niet in.
Nog te bepalen door een jurist
Houden we deze bijlage bij zodra de techniek verandert, en hoe voorkomen we dat hij veroudert?
Een bijlage met maatregelen is contractueel bindend. Verandert er iets in de software, dan moet deze lijst mee — anders beloven we straks iets wat er niet meer zo werkt, of verzwijgen we iets wat beter is geworden.
Bijlage 3. Subverwerkers
Nermio draait niet op eigen servers. Deze partijen verwerken klantgegevens omdat de dienst zonder hen niet werkt.
| Partij | Dienst | Wat er met klantgegevens gebeurt |
|---|---|---|
| Supabase | Database en authenticatie | De Postgres-database waarin alle klantgegevens staan, en het inloggen van gebruikers. |
| Vercel | Hosting | Het draaien van de applicatie; klantgegevens gaan erdoorheen bij elk verzoek en worden er niet apart opgeslagen. |
| Resend | Transactionele e-mail | Uitnodigingen en wachtwoordherstel: het e-mailadres en de naam van een gebruiker. Geen gegevens van de relaties van de klant. |
| Cloudflare | Misbruikcontrole bij formulieren | Het IP-adres en browserkenmerken van degene die een formulier verstuurt. Geen inhoud uit het CRM. |
Nog te bepalen door een jurist
Wat is per partij de rechtspersoon, het land van vestiging, de regio waar de gegevens staan, en de doorgifteroute?
De regio van de database is bekend: Supabase staat op eu-central-1 (Frankfurt), bevestigd door de eigenaar die het project daar heeft opgezet. Open blijft de rechtspersoon per partij, waar de Vercel-omgeving draait en welke doorgifteroute er geldt. Dit is de bijlage waar een zakelijke klant als eerste naar kijkt, dus hier horen geen aannames in te staan. Komt er een betaaldienst bij, dan hoort die er ook in.
Verhouding tot de voorwaarden
Spreken deze overeenkomst en de algemene voorwaarden elkaar tegen op een punt dat over persoonsgegevens gaat, dan gaat deze overeenkomst voor. Hoe de instemming wordt vastgelegd, is de openstaande vraag bovenaan deze pagina.