Sales Surge
    SALES SURGEAlign•Automate•Accelerate

    Verwerkersovereenkomst

    Laatst bijgewerkt: 18 augustus 2026

    Deze Verwerkersovereenkomst ('VWO') maakt deel uit van de Overeenkomst tussen Sales-Surge B.V. ('Sales Surge', 'Verwerker') en de opdrachtgever ('Opdrachtgever', 'Verwerkingsverantwoordelijke') en geldt telkens wanneer Sales Surge persoonsgegevens verwerkt ten behoeve van de Opdrachtgever. Zij is gesloten op grond van artikel 28 lid 3 van de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679, 'AVG'). Bij strijd tussen deze VWO en de Algemene Voorwaarden gaat deze VWO voor. Begrippen met een hoofdletter die hier niet zijn gedefinieerd hebben de betekenis die de AVG of de Algemene Voorwaarden eraan geven.

    1. Rollen en onderwerp

    1.1 De Opdrachtgever is verwerkingsverantwoordelijke en Sales Surge is verwerker in de zin van artikel 4 lid 7 en lid 8 AVG. De Opdrachtgever bepaalt doel en middelen van de verwerking; Sales Surge verwerkt uitsluitend ten behoeve van de Opdrachtgever. 1.2 Waar Sales Surge doel en middelen voor eigen rekening bepaalt, bijvoorbeeld voor haar eigen facturatie, boekhouding of de beveiliging van haar eigen systemen, treedt zij op als zelfstandig verwerkingsverantwoordelijke en is deze VWO op die verwerking niet van toepassing. 1.3 Het onderwerp, de duur, de aard en het doel van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen staan in Bijlage I. 1.4 Deze VWO treedt in werking op het moment dat de Overeenkomst in werking treedt en blijft van kracht zolang Sales Surge persoonsgegevens verwerkt ten behoeve van de Opdrachtgever.

    2. Verwerking op gedocumenteerde instructie (artikel 28 lid 3 sub a)

    2.1 Sales Surge verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Opdrachtgever, ook wat betreft doorgifte naar een derde land, tenzij een Unierechtelijke of lidstaatrechtelijke bepaling haar tot verwerking verplicht. In dat geval stelt Sales Surge de Opdrachtgever voorafgaand aan de verwerking in kennis van dat wettelijke voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. 2.2 De Overeenkomst, het getekende voorstel of de statement of work, deze VWO en de configuratie die de Opdrachtgever in de software aanbrengt vormen samen de gedocumenteerde instructies. Instructies die op andere wijze worden gegeven binden pas na schriftelijke bevestiging. 2.3 Sales Surge stelt de Opdrachtgever onmiddellijk in kennis indien een instructie naar haar oordeel in strijd is met de AVG of andere gegevensbeschermingsbepalingen. Sales Surge kan de uitvoering van die instructie opschorten totdat de Opdrachtgever haar intrekt of bevestigt. 2.4 Sales Surge gebruikt de ten behoeve van de Opdrachtgever verwerkte persoonsgegevens niet voor eigen doeleinden, verkoopt deze niet en gebruikt deze niet voor het trainen van modellen of algoritmen.

    3. Geheimhouding (artikel 28 lid 3 sub b)

    3.1 Sales Surge waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting tot vertrouwelijkheid zijn gebonden. Deze verplichting blijft gelden na afloop van hun betrokkenheid. 3.2 Toegang wordt verleend op basis van noodzaak. Sales Surge onderhoudt een autorisatieproces en trekt toegang in zodra de grond daarvoor vervalt. 3.3 Sales Surge instrueert de betrokken personen over de geldende gegevensbeschermingsverplichtingen en over de specifieke risico's van de verwerking.

    4. Beveiliging van de verwerking (artikel 28 lid 3 sub c en artikel 32)

    4.1 Sales Surge treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking. 4.2 De maatregelen die gelden op de datum van deze VWO staan beschreven in Bijlage II. Sales Surge kan deze wijzigen, mits het beschermingsniveau niet afneemt. Wezenlijke wijzigingen worden aan de Opdrachtgever meegedeeld. 4.3 Sales Surge beoordeelt de doeltreffendheid van de maatregelen periodiek en na iedere ingrijpende wijziging van de systemen of de verwerking.

    5. Subverwerkers (artikel 28 lid 2 en lid 3 sub d)

    5.1 De Opdrachtgever verleent Sales Surge algemene schriftelijke toestemming om subverwerkers in te schakelen. De op de datum van deze VWO ingeschakelde subverwerkers staan in Bijlage III. 5.2 Sales Surge informeert de Opdrachtgever ten minste dertig (30) dagen van tevoren over iedere voorgenomen toevoeging of vervanging van een subverwerker. De Opdrachtgever kan daartegen binnen veertien (14) dagen na die mededeling bezwaar maken op redelijke, gegevensbeschermingsgerelateerde gronden. 5.3 Maakt de Opdrachtgever bezwaar en komen partijen niet tot een oplossing, dan kan de Opdrachtgever het betrokken deel van de Diensten schriftelijk beëindigen, zonder boete en met een pro rata terugbetaling van vooruitbetaalde vergoedingen voor de periode na beëindiging. 5.4 Sales Surge legt iedere subverwerker bij overeenkomst dezelfde gegevensbeschermingsverplichtingen op als in deze VWO. Sales Surge blijft jegens de Opdrachtgever volledig aansprakelijk voor de nakoming door iedere subverwerker.

    6. Bijstand bij rechten van betrokkenen (artikel 28 lid 3 sub e)

    6.1 Rekening houdend met de aard van de verwerking verleent Sales Surge de Opdrachtgever door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bijstand bij het vervullen van diens plicht verzoeken te beantwoorden om de in hoofdstuk III AVG vastgelegde rechten van betrokkenen uit te oefenen. 6.2 Benadert een betrokkene Sales Surge rechtstreeks met een dergelijk verzoek, dan reageert Sales Surge niet inhoudelijk en stuurt zij het verzoek onverwijld door aan de Opdrachtgever, en in elk geval binnen vijf (5) werkdagen. 6.3 Bijstand is kosteloos voor zover deze via de standaardfunctionaliteit van de software geleverd kan worden. Bijstand die substantieel handwerk vergt wordt verrekend tegen de tarieven uit de Overeenkomst, na voorafgaande melding aan de Opdrachtgever.

    7. Bijstand bij beveiliging, inbreuken en effectbeoordelingen (artikel 28 lid 3 sub f)

    7.1 Sales Surge meldt een inbreuk in verband met persoonsgegevens onverwijld aan de Opdrachtgever, en in elk geval binnen achtenveertig (48) uur nadat zij daarvan kennis heeft genomen. De melding beschrijft, voor zover bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en registraties, de waarschijnlijke gevolgen en de getroffen of voorgestelde maatregelen. 7.2 Is niet alle informatie tegelijk beschikbaar, dan verstrekt Sales Surge deze gefaseerd en zonder verdere onnodige vertraging, zodat de Opdrachtgever zijn eigen termijn uit artikel 33 AVG kan halen. 7.3 Sales Surge doet ten aanzien van verwerkingen ten behoeve van de Opdrachtgever geen melding op eigen initiatief aan een toezichthouder of aan betrokkenen; die afweging ligt bij de Opdrachtgever. 7.4 Sales Surge verleent de Opdrachtgever bijstand bij gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen op grond van de artikelen 35 en 36 AVG, rekening houdend met de aard van de verwerking en de informatie waarover Sales Surge beschikt.

    8. Wissen of terugbezorgen (artikel 28 lid 3 sub g)

    8.1 Bij beëindiging van de Diensten wist Sales Surge alle ten behoeve van de Opdrachtgever verwerkte persoonsgegevens of bezorgt zij deze terug, naar keuze van de Opdrachtgever, en wist zij bestaande kopieën, tenzij Unierechtelijke of lidstaatrechtelijke bepalingen opslag voorschrijven. 8.2 De Opdrachtgever maakt die keuze binnen dertig (30) dagen na beëindiging kenbaar. Blijft een keuze binnen die termijn uit, dan wist Sales Surge de gegevens. 8.3 Het wissen vindt plaats binnen negentig (90) dagen, met uitzondering van gegevens in back-ups, die met de reguliere back-uprotatie worden gewist. Gegevens die in een back-up op verwijdering wachten blijven onder deze VWO vallen. 8.4 Sales Surge bevestigt het wissen op verzoek schriftelijk.

    9. Audits en informatie (artikel 28 lid 3 sub h)

    9.1 Sales Surge stelt de Opdrachtgever alle informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit artikel 28 AVG worden nagekomen. 9.2 De Opdrachtgever kan eenmaal per kalenderjaar een audit uitvoeren of laten uitvoeren door een onafhankelijke, tot geheimhouding gehouden derde, en daarnaast na een inbreuk die de Opdrachtgever raakt. De Opdrachtgever kondigt de audit ten minste dertig (30) dagen van tevoren aan; de audit vindt plaats tijdens kantooruren en op een wijze die de bedrijfsvoering niet onredelijk verstoort. 9.3 Sales Surge kan aan een auditverzoek voldoen door een bestaand rapport of certificaat te verstrekken dat het onderwerp van de audit redelijkerwijs dekt. 9.4 Elke partij draagt haar eigen kosten. Blijkt uit een audit een wezenlijke tekortkoming die aan Sales Surge is toe te rekenen, dan draagt Sales Surge de redelijke kosten van de audit.

    10. Doorgifte naar derde landen

    10.1 Sales Surge verwerkt persoonsgegevens binnen de Europese Economische Ruimte, tenzij in Bijlage III anders is vermeld. 10.2 Is doorgifte naar een derde land noodzakelijk, dan vindt deze uitsluitend plaats op basis van een geldig doorgiftemechanisme uit hoofdstuk V AVG, te weten een adequaatheidsbesluit of de Standaardcontractbepalingen (Uitvoeringsbesluit (EU) 2021/914), zo nodig aangevuld met aanvullende maatregelen na een doorgifte-effectbeoordeling. 10.3 Waar de Standaardcontractbepalingen van toepassing zijn, geldt Module Twee (verwerkingsverantwoordelijke naar verwerker) tussen de Opdrachtgever en Sales Surge, en Module Drie (verwerker naar verwerker) tussen Sales Surge en haar subverwerker. Bijlage I en Bijlage II van deze VWO gelden als de bijbehorende bijlagen bij die bepalingen. Het toepasselijke recht is Nederlands recht en de bevoegde rechter is de rechtbank te Amsterdam.

    11. Aansprakelijkheid

    11.1 Op de aansprakelijkheid onder deze VWO zijn de beperkingen uit de Algemene Voorwaarden van toepassing, met dien verstande dat die beperkingen niet gelden voor aansprakelijkheid die op grond van dwingend recht niet kan worden beperkt, waaronder aansprakelijkheid jegens betrokkenen op grond van artikel 82 AVG en bestuurlijke boetes op grond van artikel 83 AVG. 11.2 Heeft een partij de volledige vergoeding betaald voor schade die door een verwerking is veroorzaakt, dan heeft zij het recht op de andere partij het deel van de vergoeding te verhalen dat overeenkomt met diens deel van de verantwoordelijkheid, overeenkomstig artikel 82 lid 5 AVG.

    12. Duur, wijzigingen en contact

    12.1 Deze VWO blijft van kracht zolang Sales Surge persoonsgegevens verwerkt ten behoeve van de Opdrachtgever. Bepalingen die naar hun aard bedoeld zijn voort te duren, waaronder de artikelen 3, 8 en 11, blijven na beëindiging van kracht. 12.2 Wijzigingen die noodzakelijk zijn door een wijziging van gegevensbeschermingswetgeving of door een besluit van een toezichthouder treden dertig (30) dagen na kennisgeving in werking, tenzij de Opdrachtgever daartegen schriftelijk en op redelijke gronden bezwaar maakt. 12.3 Contact voor alle aangelegenheden onder deze VWO: Sales-Surge B.V. 1183 DJ Amstelveen Nederland E-mail: info@sales-surge.nl KvK-nummer: 99261758 Vestigingsnummer: 000064354466

    Bijlage I: Omschrijving van de verwerking

    Onderwerp Het leveren van de in de Overeenkomst omschreven Diensten, waaronder CRM-implementatie en -configuratie, datahygiëne en ontdubbeling, sales- en marketingautomatisering, koppelingen, dashboards en advieswerk. Duur Voor de duur van de Overeenkomst, gevolgd door de termijn voor wissen of terugbezorgen uit artikel 8. Aard en doel Het lezen, opslaan, vergelijken, verrijken, corrigeren, samenvoegen en verwijderen van records in en rond het CRM van de Opdrachtgever, met als doel de commerciële administratie van de Opdrachtgever volledig, juist en bruikbaar te houden. Soorten persoonsgegevens Contactgegevens (naam, aanhef, e-mailadres, telefoonnummer, postadres), functiegegevens (werkgever, functietitel, afdeling), commerciële gegevens (dealtitels, bedragen, fases, eigenaar, notities, activiteiten en correspondentie die aan een record hangt), technische gegevens (record-identificatoren, tijdstempels, bronsysteem, domein) en, voor zover de Opdrachtgever die daar plaatst, overige velden die de Opdrachtgever in zijn eigen CRM heeft ingericht. Categorieën betrokkenen Contactpersonen, leads, klanten, donateurs, leveranciers en overige relaties van de Opdrachtgever, alsmede medewerkers van de Opdrachtgever die de systemen gebruiken. Bijzondere categorieën persoonsgegevens Niet beoogd. Sales Surge vraagt geen bijzondere categorieën persoonsgegevens in de zin van artikel 9 AVG uit en richt haar diensten daar niet op in. Plaatst de Opdrachtgever dergelijke gegevens desondanks in vrije velden van zijn eigen CRM, dan blijft de Opdrachtgever verantwoordelijk voor de rechtmatigheid van die verwerking en stelt hij Sales Surge daarvan vooraf op de hoogte, zodat aanvullende maatregelen kunnen worden afgesproken.

    Bijlage II: Technische en organisatorische maatregelen

    Toegangsbeheer Toegang tot klantomgevingen gaat uitsluitend op uitnodiging en per organisatie. De autorisatie is gescheiden in lidmaatschap van een organisatie en de rol daarbinnen. Toegang wordt verleend op basis van noodzaak en ingetrokken zodra de grond daarvoor vervalt. Scheiding van klantgegevens Iedere klant heeft een eigen omgeving binnen het platform. De scheiding wordt afgedwongen op databaseniveau met row level security die aan het lidmaatschap van de gebruiker hangt, zodat een query namens de ene klant de records van een andere niet kan teruggeven. Versleuteling Verkeer tussen gebruiker, platform en gekoppelde systemen loopt over TLS. Gegevens worden bij de hostingpartij versleuteld opgeslagen. Toegangstokens voor gekoppelde systemen, zoals CRM-API-tokens, worden versleuteld bewaard met een aparte sleutel en gaan nooit naar de browser. Betaalgegevens Sales Surge verwerkt geen kaartgegevens. Betalingen lopen via de betaalpagina en de widget van de betaaldienstverlener, op diens eigen domein. Geheimen Inloggegevens en API-sleutels staan in de beheerde secretsopslag van de hostingpartij, niet in broncode of configuratiebestanden in de repository. Logging en herleidbaarheid Onomkeerbare handelingen, in het bijzonder het samenvoegen van records, worden vastgelegd in een auditlog met wat is samengevoegd, welk record is blijven bestaan, wanneer en op wiens gezag. Fouten worden apart vastgelegd met de context die nodig is om ze te onderzoeken. Menselijke bevestiging van onomkeerbare handelingen Het samenvoegen van records kan in het bron-CRM niet ongedaan worden gemaakt. De software voert daarom geen enkele samenvoeging uit zonder uitdrukkelijke bevestiging door een gebruiker, en toont vooraf welk record verdwijnt. Continuïteit Databases worden door de hostingpartij geback-upt. Herstelprocedures worden beproefd wanneer het platform wezenlijk wijzigt. Ontwikkeling en wijzigingsbeheer Wijzigingen staan onder versiebeheer en worden beoordeeld door een tweede paar ogen. De testsuite draait voor iedere release. Beveiligingsrelevante wijzigingen worden apart beoordeeld.

    Bijlage III: Subverwerkers

    Sales Surge schakelt de volgende subverwerkers in voor het hosten en draaien van haar platform: Lovable (Lovable Labs Incorporated) — hosting, build en uitrol van de applicatie. Verwerkingslocatie: Europese Unie. Supabase (Supabase Inc.) — beheerde PostgreSQL-database en authenticatie, geleverd via Lovable Cloud. Verwerkingslocatie: Europese Unie. Cloudflare (Cloudflare, Inc.) — edge-hosting en levering van de applicatie. Verwerkingslocatie: Europese Unie, met wereldwijde edge-routering onder de Standaardcontractbepalingen. Netlify (Netlify, Inc.) — hosting van de publieke website. Verwerkingslocatie: Europese Unie, met wereldwijde edge-routering onder de Standaardcontractbepalingen. Revolut (Revolut Payments UK Limited) — abonnementsfacturatie en betalingsverwerking. Verwerkt de facturatiecontactgegevens van de Opdrachtgever, niet de persoonsgegevens van diens betrokkenen. Voor specifieke, met de Opdrachtgever overeengekomen diensten kunnen aanvullende subverwerkers gelden, zoals een integratieplatform of een e-maildienstverlener. Deze worden benoemd in het voorstel of de statement of work voor die dienst. De actuele lijst is op te vragen via info@sales-surge.nl. Wijzigingen worden gemeld conform artikel 5 van deze VWO.