Template conform artikel 28 AVG · Versie 2.0 · 17 april 2026
Bedrijfsnaam:
Rechtsvorm:
Vertegenwoordigd door:
Vestigingsadres:
KvK-nummer:
E-mail:
Alvoru (eenmanszaak), eigenaar Yousri Ellouzi
Gevestigd te Hengelo, Nederland
E-mail: info@alvoru.com · Telefoon: 06-34783929
KvK-nummer en volledig adres worden toegevoegd per 1 juni 2026.
Hierna gezamenlijk: "Partijen".
De in deze DPA met een hoofdletter geschreven begrippen hebben de betekenis die daaraan in de AVG wordt toegekend, aangevuld met de definities in de Algemene Voorwaarden van Alvoru.
2.1 Deze DPA regelt de verwerking van persoonsgegevens door Alvoru in opdracht van Opdrachtgever in het kader van de Hoofdovereenkomst.
2.2 Deze DPA treedt in werking op de datum waarop de Hoofdovereenkomst aanvangt en eindigt van rechtswege bij beeindiging van de Hoofdovereenkomst, onverminderd die bepalingen die naar hun aard bedoeld zijn te blijven gelden.
3.1 De aard en het doel van de verwerking bestaat uit het leveren van de in de Hoofdovereenkomst omschreven Dienst (AI-klantenservice, waaronder chatbot, e-mail en agenda).
3.2 Alvoru verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van Opdrachtgever, behoudens afwijkende wettelijke verplichtingen (art. 28 lid 3 sub a AVG). In dat laatste geval stelt Alvoru Opdrachtgever voor de verwerking op de hoogte, tenzij die wet dit om gewichtige redenen verbiedt.
| Categorie betrokkenen | Soort persoonsgegevens |
|---|---|
| Eindgebruikers / klanten van Opdrachtgever | Naam, e-mailadres, telefoonnummer, gespreksinhoud, boekingsgegevens, IP-adres |
| Medewerkers van Opdrachtgever | Naam, zakelijk e-mailadres, accountgegevens |
| Bezoekers van het klantportaal | IP-adres, sessiegegevens, cookie-ID |
Bijzondere categorieen persoonsgegevens (art. 9 AVG) en strafrechtelijke gegevens (art. 10 AVG) worden niet verwerkt, tenzij schriftelijk aanvullend overeengekomen.
5.1 Alvoru verwerkt persoonsgegevens uitsluitend voor de doeleinden zoals vastgelegd in de Hoofdovereenkomst en deze DPA en op schriftelijke instructie van Opdrachtgever.
5.2 Alvoru waarborgt dat personen die persoonsgegevens verwerken een geheimhoudingsplicht hebben, hetzij uit hoofde van de wet, hetzij uit hoofde van een overeenkomst.
5.3 Alvoru verleent Opdrachtgever, rekening houdend met de aard van de verwerking, redelijke bijstand bij het voldoen aan verzoeken van betrokkenen ter uitoefening van hun rechten op grond van de AVG.
5.4 Alvoru stelt Opdrachtgever alle informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen.
Alvoru treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, waaronder:
7.1 Opdrachtgever verleent Alvoru een algemene schriftelijke toestemming tot het inschakelen van sub-verwerkers, mits Alvoru voldoet aan de overige bepalingen van dit artikel.
7.2 De actueel ingeschakelde sub-verwerkers zijn:
| Sub-verwerker | Doel | Locatie / waarborg |
|---|---|---|
| Anthropic | AI-tekstgeneratie (primair) | VS — SCC's |
| OpenAI | AI-tekstgeneratie (fallback) | VS — DPF + SCC's |
| Resend | Transactionele e-mail | VS — DPF |
| Hetzner Online | Hosting & opslag | EU (DE/FI) |
| Cloudflare | CDN, DDoS-bescherming, DNS & Email Routing | DPF + SCC's |
| Sentry | Error-monitoring (technische logs) | EU (DE) |
| Meta Platforms Ireland | WhatsApp Business API (alleen indien geactiveerd door Opdrachtgever) | EU (IE) + VS — SCC's + DPF |
| Google LLC | Workspace mail-routing en Maps Platform | VS — DPF + SCC's |
| Moneybird | Facturatie en boekhouding | EU (NL) |
| Mollie / Stripe | Betalingsverwerking | EU |
7.3 Alvoru legt sub-verwerkers dezelfde gegevensbeschermingsverplichtingen op als in deze DPA zijn opgenomen (artikel 28 lid 4 AVG).
7.4 Alvoru informeert Opdrachtgever minimaal 14 dagen vooraf over vervanging of toevoeging van sub-verwerkers. Opdrachtgever kan binnen die termijn gemotiveerd bezwaar maken. Bij gegrond bezwaar heeft Opdrachtgever het recht de Hoofdovereenkomst kosteloos te beeindigen.
Doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte vindt uitsluitend plaats op basis van een adequaatheidsbesluit (art. 45 AVG), bindende bedrijfsvoorschriften, EU Standaard Contractsbepalingen (art. 46 lid 2 sub c AVG) of een andere in de AVG voorziene waarborg, aangevuld met aanvullende technische en organisatorische maatregelen waar vereist.
9.1 Alvoru biedt Opdrachtgever passende ondersteuning bij het afhandelen van verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar) door technische functionaliteiten in het klantportaal en waar noodzakelijk aanvullende bijstand.
9.2 Alvoru zendt verzoeken van betrokkenen die rechtstreeks bij Alvoru binnenkomen onverwijld door aan Opdrachtgever.
10.1 Alvoru informeert Opdrachtgever onverwijld en uiterlijk binnen 48 uur na constatering van een inbreuk in verband met persoonsgegevens (art. 33 lid 2 AVG), zodat Opdrachtgever tijdig kan voldoen aan zijn meldplicht binnen 72 uur bij de Autoriteit Persoonsgegevens.
10.2 De melding bevat in ieder geval: de aard van de inbreuk, de categorieen en het aantal betrokkenen, de categorieen en het aantal betrokken records, de waarschijnlijke gevolgen en de getroffen of voorgestelde maatregelen.
10.3 Alvoru verleent Opdrachtgever passende bijstand bij de melding aan de Autoriteit Persoonsgegevens en waar relevant aan betrokkenen.
11.1 Opdrachtgever kan eenmaal per kalenderjaar, na voorafgaande schriftelijke aankondiging van minimaal 30 dagen, op eigen kosten een audit (laten) uitvoeren naar de naleving van deze DPA door Alvoru.
11.2 De audit wordt uitgevoerd door een onafhankelijke, aan geheimhouding gebonden auditor, tijdens kantooruren en op een wijze die de normale bedrijfsvoering van Alvoru niet verstoort.
11.3 Alvoru kan in plaats van een on-site audit volstaan met een actueel rapport van een onafhankelijke derde (bijvoorbeeld ISO 27001 of SOC 2), mits dit rapport redelijkerwijs voldoende zekerheid biedt.
12.1 Na beeindiging van de Hoofdovereenkomst zal Alvoru, naar keuze van Opdrachtgever en op eerste schriftelijk verzoek, alle persoonsgegevens verwijderen of teruggeven aan Opdrachtgever, conform artikel 28 lid 3 sub g AVG.
12.2 Een dergelijk verzoek kan binnen 60 dagen na beeindiging worden ingediend. Bij gebreke daarvan worden gegevens na 60 dagen automatisch verwijderd.
12.3 Offline backups worden conform het reguliere rotatieschema uiterlijk 90 dagen na beeindiging gewist.
12.4 Gegevens die Alvoru op grond van de wet moet bewaren, worden bewaard gedurende de wettelijk voorgeschreven termijn.
13.1 De aansprakelijkheid van Alvoru onder deze DPA is begrepen in en beperkt door de aansprakelijkheidsbepalingen van de Algemene Voorwaarden behorende bij de Hoofdovereenkomst.
13.2 Dwingendrechtelijke bepalingen van de AVG blijven onverlet.
Op deze DPA is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de rechtbank Overijssel, locatie Almelo.
Naam:
Functie:
Datum:
Naam: Yousri
Functie: Eigenaar
Datum:
Stuur de ondertekende versie (gescand of digitaal ondertekend) naar info@alvoru.com. Alvoru retourneert een mede-ondertekende kopie.