Verwerkersovereenkomst

Versie 2026-2, van kracht vanaf 2026-10-30 voor alle accounts; voor bestaande accounts is zij de Verwerkersovereenkomst die artikel 10.1 van de Algemene Voorwaarden 2026-1 noemt; haar verwijzingen naar de Algemene Voorwaarden zijn verwijzingen naar versie 2026-2.

Bijlage bij onze Algemene Voorwaarden. De Definities, versie 2026-2, op plugchoice.com/legal/definitions, maken deel uit van deze verwerkersovereenkomst.

Partijen: de Klant (verwerkingsverantwoordelijke) en wij, Volt Time B.V., ook handelend als Plugchoice (verwerker), KvK 77488873, De Entree 99, 1101 HE Amsterdam, support@plugchoice.com.

1. Reikwijdte en rollen

1.1. Deze verwerkersovereenkomst is alleen van toepassing waar en voor zover we persoonsgegevens verwerken voor een Zakelijke Klant die de doelen bepaalt, en alleen om die dienst uit te voeren (Algemene Voorwaarden artikel 10.1).

1.2. Bijlage 1 bevat de details van de verwerking en de beveiligingsmaatregelen.

1.3. Buiten deze verwerkersovereenkomst, en ongeacht wat de Klant opdraagt, zijn we verwerkingsverantwoordelijke onder ons Privacybeleid: voor de accounts van personen met een eigen account en wat zij daarin voor zichzelf doen, voor onze wettelijke verplichtingen, en voor het beveiligen en exploiteren van het Platform en het anonimiseren van gegevens die onder deze verwerkersovereenkomst worden verwerkt (Algemene Voorwaarden artikel 10.3). Geanonimiseerde gegevens en verwerking waarvan de partijen de doelen en middelen gezamenlijk bepalen (Algemene Voorwaarden artikel 10.1), vallen buiten deze verwerkersovereenkomst.

2. Instructies

2.1. Onder deze verwerkersovereenkomst verwerken we persoonsgegevens alleen op de gedocumenteerde instructies van de Klant, ook voor doorgiften buiten de EER, tenzij EU-recht of lidstatelijk recht anders vereist; we informeren de Klant dan eerst, tenzij dat recht dit verbiedt. Instructies zijn de Overeenkomst, waaronder artikel 6, de instellingen van de Klant in het Platform en de verbindingen met Diensten van Derden die de Klant of zijn gebruikers autoriseren. We laten het de Klant weten als een instructie naar ons oordeel in strijd is met het gegevensbeschermingsrecht.

3. Vertrouwelijkheid

3.1. Personen die de gegevens verwerken, zijn tot geheimhouding verplicht en krijgen alleen toegang voor zover ze die nodig hebben.

4. Beveiliging

4.1. We treffen passende technische en organisatorische maatregelen (Bijlage 1), rekening houdend met de stand van de techniek, de kosten en de risico's, en mogen ze wijzigen zolang ze passend blijven.

5. Subverwerkers

5.1. De Klant verleent algemene toestemming voor de subverwerkers op onze Lijst van subverwerkers. We kondigen een toevoeging of vervanging ten minste 14 dagen vooraf aan, per e-mail aan de Accounthouder of in het Platform. De Lijst van subverwerkers kan een subverwerker noemen als beschikbaar op verzoek; we geven de naam ervan op verzoek zonder vertraging aan een Zakelijke Klant.

5.2. Binnen die 14 dagen kan de Klant Schriftelijk bezwaar maken, met vermelding van een concreet risico voor betrokkenen dat de waarborgen van de subverwerker onder artikel 28, lid 4, AVG niet ondervangen. Zonder oplossing mag de Klant, als enig rechtsmiddel, de betrokken diensten beëindigen met ingang van de datum waarop de subverwerker begint; vooruitbetaalde vergoedingen worden niet terugbetaald en een vaste looptijd loopt door voor de andere diensten. Zonder tijdig bezwaar is de wijziging aanvaard.

5.3. We leggen subverwerkers in wezen gelijkwaardige verplichtingen op en blijven verantwoordelijk voor hen.

6. Doorgiften

6.1. Doorgiften buiten de EER berusten op een EU-adequaatheidsbesluit, waaronder het EU-VS Data Privacy Framework, of op standaardcontractbepalingen, zoals de Lijst van subverwerkers vermeldt.

7. Bijstand

7.1. Voor zover de aard van de verwerking dat redelijkerwijs toelaat, staan we de Klant bij met verzoeken van betrokkenen en met zijn verplichtingen onder de artikelen 32 tot en met 36 AVG, in de eerste plaats via de selfservicefuncties van het Platform; overige bijstand mogen we tegen redelijke tarieven in rekening brengen.

8. Inbreuken

8.1. We informeren de Klant zonder onnodige vertraging nadat we kennis hebben gekregen van een inbreuk in verband met persoonsgegevens die zijn gegevens raakt, met de informatie die redelijkerwijs voor ons beschikbaar is. Een melding is geen erkenning van schuld.

9. Audit

9.1. We stellen de informatie beschikbaar die redelijkerwijs nodig is om naleving aan te tonen.

9.2. De Klant mag hoogstens eenmaal per 12 maanden een audit uitvoeren, alleen waar 9.1 niet volstaat, met een aankondigingstermijn van 30 dagen, op Werkdagen, onder geheimhouding, zonder toegang tot gegevens van andere klanten en niet via een auditor die met ons concurreert. Hij draagt zijn eigen kosten, vergoedt onze redelijke kosten en deelt de bevindingen met ons.

10. Teruggave en verwijdering

10.1. Als de verwerking eindigt, verwijderen we de persoonsgegevens of geven we ze terug, naar keuze van de Klant, binnen een redelijke afbouwperiode, waarbij teruggave via de standaard exports van het Platform gaat; behalve gegevens die we wettelijk moeten bewaren en gegevens die we als verwerkingsverantwoordelijke verwerken onder artikel 1.3.

11. Aansprakelijkheid en duur

11.1. Algemene Voorwaarden artikel 12 is van toepassing.

11.2. We mogen deze verwerkersovereenkomst wijzigen op dezelfde manier en met dezelfde termijn als Algemene Voorwaarden artikel 14.2.

Bijlage 1: Details van de verwerking en beveiligingsmaatregelen

Onderwerp, aard en doelen: de exploitatie van het Platform voor de Klant (hosting, connectiviteit van laders, sessies, facturering en vergoeding waar geactiveerd, support) voor doelen die hij bepaalt, zoals zijn eigen facturering, vergoeding aan Bestuurders of werknemers, of toegangsbeleid.

Duur: de looptijd van de Overeenkomst plus de afbouwperiode.

Gegevens: account- en contactgegevens van de gebruikers en Bestuurders van de Klant; gegevens over laders, locaties en configuratie; sessie- en metergegevens; laadpasidentificatoren; betaalstatus; supportcommunicatie.

Betrokkenen: de werknemers, klanten, Bestuurders en andere gebruikers van de Laders van de Klant.

Bewaartermijn: onze standaardtermijnen in ons Privacybeleid, die de Klant als zijn instructie aanvaardt. Een langere standaardtermijn kondigen we aan zoals artikel 5.1 voor een subverwerker bepaalt; een kortere vereist geen aankondiging. Aan het einde artikel 10.1.

Technische en organisatorische maatregelen: versleuteling tijdens transport (TLS) voor web-, app- en API-verkeer en voor Laders die via wss verbinden, niet voor een onversleutelde verbinding (ws) die de Klant koos voor een Lader of een Dienst van een Derde (Algemene Voorwaarden artikel 8.5); op rollen gebaseerde toegang op basis van need-to-know; tweefactorauthenticatie beschikbaar voor medewerkers; back-ups en herstel; monitoring en foutregistratie; afhandeling van kwetsbaarheden volgens ons beleid inzake Responsible Disclosure; geheimhouding voor personeel; een gedocumenteerd proces voor incidentrespons.