Verwerkersovereenkomst

Partijen

1. De opdrachtgever die op grond van de Hoofdovereenkomst een opdracht aan Breyta verstrekt, hierna te noemen: "Opdrachtgever", als verwerkingsverantwoordelijke;

2. Breyta Incasso B.V., ook handelend onder de naam Breyta Legal, statutair gevestigd te Nijkerk en kantoorhoudende te Nijkerk, ingeschreven in het handelsregister van de Kamer van Koophandel onder nummer 98944118, hierna te noemen: "Breyta", als verwerker.

Opdrachtgever en Breyta worden hierna gezamenlijk aangeduid als "Partijen" en ieder afzonderlijk als "Partij".

Artikel 1. Definities

In deze overeenkomst wordt verstaan onder:

1.1 AVG: de Algemene verordening gegevensbescherming.

1.2 Persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke en verwerker: de begrippen zoals bedoeld in artikel 4 AVG.

1.3 Datalek: een inbreuk in verband met persoonsgegevens zoals bedoeld in artikel 4 lid 12 AVG.

1.4 Hoofdovereenkomst: de overeenkomst tussen Partijen op grond waarvan Breyta incassodiensten en juridische dienstverlening verricht, waaronder iedere incasso-opdracht, met de daarop van toepassing zijnde algemene voorwaarden van Breyta.

1.5 Subverwerker: een andere verwerker die door Breyta wordt ingeschakeld voor de verwerking van persoonsgegevens in opdracht van Opdrachtgever.

1.6 Wki: de Wet kwaliteit incassodienstverlening en de daarop gebaseerde regelgeving.

Artikel 2. Onderwerp, totstandkoming en duur

2.1 Deze overeenkomst regelt de rechten en verplichtingen van Partijen bij de verwerking van persoonsgegevens door Breyta in opdracht van Opdrachtgever, in het kader van de uitvoering van de Hoofdovereenkomst.

2.2 Deze overeenkomst is van toepassing vanaf het moment dat Opdrachtgever een opdracht aan Breyta verstrekt of deze overeenkomst op andere wijze aanvaardt, ongeacht de manier waarop de opdracht wordt verstrekt: via de website, het online portaal, per e-mail of via een partnerplatform zoals Payt. Ondertekening is daarvoor niet vereist.

2.3 Deze overeenkomst geldt voor de duur van de Hoofdovereenkomst en daarna zolang Breyta persoonsgegevens in opdracht van Opdrachtgever verwerkt.

2.4 Bij strijdigheid tussen deze overeenkomst en de algemene voorwaarden van Breyta gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

Artikel 3. Rolverdeling

3.1 Voor de verwerkingen die in artikel 4 zijn omschreven, is Opdrachtgever verwerkingsverantwoordelijke en Breyta verwerker.

3.2 Breyta is zelfstandig verwerkingsverantwoordelijke voor verwerkingen die zij verricht op grond van een eigen wettelijke verplichting, waaronder dossiervorming, het bewaren van dossiers en klachtbehandeling op grond van de Wki, en voor verwerkingen voor haar eigen bedrijfsvoering, zoals haar financiële administratie en het opnemen van telefoongesprekken voor training en kwaliteitsbewaking. Op die verwerkingen is deze overeenkomst niet van toepassing.

3.3 Gerechtsdeurwaarders, advocaten, rechtbanken, curatoren en kredietinformatiebureaus verwerken persoonsgegevens als zelfstandig verwerkingsverantwoordelijke en zijn geen subverwerker van Breyta.

Artikel 4. Aard en doel van de verwerking

4.1 Breyta verwerkt persoonsgegevens uitsluitend voor de volgende doeleinden:

• het uitvoeren van buitengerechtelijke incassowerkzaamheden, waaronder correspondentie met debiteuren per post, e-mail, telefoon en WhatsApp en het treffen van betalingsregelingen;

• onderzoek naar de betaalcapaciteit en verhaalsmogelijkheden van debiteuren, waaronder kredietchecks en het raadplegen van openbare registers en openbare bronnen;

• debiteurenbewaking en huisbezoeken, voor zover Opdrachtgever daartoe opdracht geeft;

• het adviseren van Opdrachtgever over invorderingsmogelijkheden;

• gerechtelijke procedures, faillissementsaanvragen en de tenuitvoerlegging van vonnissen, waaronder het doorgeven van gegevens aan gerechtsdeurwaarders en advocaten;

• het ontvangen en afdragen van betalingen via de Stichting Derdengelden Breyta Incasso;

• alle overige handelingen die noodzakelijk zijn voor de incasso van vorderingen van Opdrachtgever.

4.2 De verwerking betreft de volgende categorieën betrokkenen:

• natuurlijke personen die debiteur zijn van Opdrachtgever;

• contactpersonen, bestuurders en vertegenwoordigers van rechtspersonen die debiteur zijn van Opdrachtgever;

• borgen en andere personen die voor de vordering aansprakelijk zijn.

4.3 De verwerking betreft de volgende categorieën persoonsgegevens:

• identificatiegegevens, zoals naam, voorletters en tussenvoegsel;

• contactgegevens, zoals adres, postcode, woonplaats, telefoonnummer en e-mailadres;

• geboortedatum en geboorteplaats;

• KvK-nummer en btw-nummer, indien van toepassing;

• financiële gegevens, zoals factuurnummer, factuurbedrag, betaalhistorie, betalingsregelingen en rekeningnummer (IBAN);

• gegevens over de financiële situatie en verhaalsmogelijkheden, zoals kredietinformatie, gegevens uit openbare registers en informatie over beslagen;

• correspondentie en communicatiegegevens, waaronder WhatsApp-berichten en gespreksnotities;

• overige gegevens die Opdrachtgever verstrekt en die noodzakelijk zijn voor de incasso.

4.4 Breyta verwerkt geen bijzondere persoonsgegevens en geen persoonsgegevens van strafrechtelijke aard, tenzij een betrokkene die zelf verstrekt en de verwerking noodzakelijk is, bijvoorbeeld bij een verzoek om een betalingsregeling.

4.5 De verwerkingsactiviteiten omvatten het verzamelen, vastleggen, ordenen, opslaan, raadplegen, gebruiken, verstrekken door middel van doorzending, aanpassen en verwijderen of vernietigen van persoonsgegevens.

Artikel 5. Verplichtingen van Breyta

5.1 Breyta verwerkt persoonsgegevens uitsluitend op basis van de schriftelijke instructies van Opdrachtgever, zoals vastgelegd in deze overeenkomst, de Hoofdovereenkomst en de instructies per dossier, ook wat betreft doorgifte buiten de Europese Economische Ruimte (EER). Is Breyta op grond van de wet tot een verwerking verplicht, dan stelt zij Opdrachtgever daarvan vooraf in kennis, tenzij de wet dat verbiedt.

5.2 Is Breyta van mening dat een instructie van Opdrachtgever in strijd is met de AVG of andere wetgeving, dan informeert zij Opdrachtgever daarover onverwijld en schriftelijk.

5.3 Breyta verwerkt de persoonsgegevens niet voor eigen doeleinden of voor doeleinden van derden, behoudens het bepaalde in artikel 3.2.

5.4 Breyta informeert Opdrachtgever onverwijld als zij niet in staat is haar verplichtingen uit deze overeenkomst na te komen.

5.5 Breyta geeft persoonsgegevens alleen door aan gerechtsdeurwaarders en advocaten op instructie van Opdrachtgever of voor zover dat noodzakelijk is binnen de opdracht en de volmacht uit de Hoofdovereenkomst.

Artikel 6. Verplichtingen van Opdrachtgever

6.1 Opdrachtgever is voor de verwerkingen in artikel 4 verwerkingsverantwoordelijke en is in ieder geval verantwoordelijk voor:

• de rechtmatigheid van de verwerking, waaronder het verstrekken van persoonsgegevens aan Breyta;

• de juistheid en volledigheid van de verstrekte persoonsgegevens;

• het informeren van betrokkenen op grond van de artikelen 13 en 14 AVG;

• het verkrijgen van eventueel vereiste toestemming van betrokkenen;

• het doen van meldingen aan de Autoriteit Persoonsgegevens en betrokkenen, voor zover vereist.

6.2 Opdrachtgever vrijwaart Breyta voor alle schade en aanspraken van derden, waaronder betrokkenen en toezichthouders, die voortvloeien uit het niet nakomen van de verplichtingen van Opdrachtgever als verwerkingsverantwoordelijke.

Artikel 7. Beveiliging

7.1 Breyta treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies en tegen iedere vorm van onrechtmatige verwerking, zoals onbevoegde kennisname, aantasting, wijziging of verstrekking.

7.2 Deze maatregelen omvatten in ieder geval:

• toegang tot systemen uitsluitend met persoonlijke inloggegevens, sterke wachtwoorden en, waar mogelijk, meerfactorauthenticatie;

• een autorisatiebeleid waarbij medewerkers alleen toegang hebben tot de gegevens die zij voor hun werk nodig hebben;

• versleutelde opslag en verzending van persoonsgegevens;

• actuele firewalls en antivirussoftware;

• regelmatige back-ups;

• beperkte toegang tot kantoorruimten;

• registratie van toegang tot systemen;

• veilige vernietiging van gegevensdragers.

7.3 Breyta actualiseert de maatregelen regelmatig en past ze aan bij technologische ontwikkelingen en veranderende risico’s. Op verzoek verstrekt Breyta Opdrachtgever informatie over de getroffen maatregelen.

Artikel 8. Geheimhouding

8.1 Breyta houdt de persoonsgegevens die zij op grond van deze overeenkomst verwerkt geheim.

8.2 Breyta zorgt ervoor dat iedereen die in haar opdracht toegang heeft tot de persoonsgegevens, schriftelijk tot geheimhouding is verplicht of onder een wettelijke geheimhoudingsplicht valt.

8.3 De geheimhoudingsplicht blijft ook na het einde van deze overeenkomst van kracht.

Artikel 9. Subverwerkers

9.1 Opdrachtgever geeft Breyta algemene toestemming om subverwerkers in te schakelen. Bijlage 1 geeft per soort dienst een overzicht van de subverwerkers. Op verzoek verstrekt Breyta Opdrachtgever een overzicht met de namen van de subverwerkers.

9.2 Breyta informeert Opdrachtgever vooraf per e-mail of via het online portaal over de toevoeging of vervanging van een subverwerker. Opdrachtgever kan binnen 14 dagen na die kennisgeving gemotiveerd bezwaar maken. Komen Partijen er niet uit, dan kan iedere Partij de Hoofdovereenkomst voor nieuwe opdrachten beëindigen.

9.3 Breyta legt aan subverwerkers schriftelijk dezelfde verplichtingen op als in deze overeenkomst zijn opgenomen.

9.4 Komt een subverwerker zijn verplichtingen niet na, dan blijft Breyta tegenover Opdrachtgever aansprakelijk voor de nakoming daarvan, met inachtneming van artikel 15.

9.5 Op verzoek verstrekt Breyta Opdrachtgever informatie over de afspraken met subverwerkers; vertrouwelijke commerciële informatie mag Breyta daarbij weglaten.

Artikel 10. Doorgifte buiten de EER

10.1 Breyta geeft persoonsgegevens alleen door naar een land buiten de EER als daarvoor passende waarborgen gelden, zoals een besluit van de Europese Commissie dat het land een passend beschermingsniveau biedt, of standaardcontractbepalingen van de Europese Commissie.

10.2 Opdrachtgever geeft Breyta de instructie tot doorgifte buiten de EER voor zover dat nodig is voor de inschakeling van de subverwerkers in Bijlage 1 en voor de incasso van een vordering op een debiteur buiten de EER.

Artikel 11. Rechten van betrokkenen

11.1 Breyta verleent Opdrachtgever medewerking bij het afhandelen van verzoeken van betrokkenen die hun rechten op grond van de AVG uitoefenen, zoals het recht op inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar.

11.2 Wendt een betrokkene zich met een verzoek rechtstreeks tot Breyta, dan stuurt Breyta het verzoek onverwijld door naar Opdrachtgever. Breyta mag de betrokkene laten weten dat het verzoek is doorgestuurd.

11.3 Opdrachtgever beoordeelt en beantwoordt verzoeken van betrokkenen binnen de wettelijke termijnen. Breyta handelt een verzoek alleen inhoudelijk af op instructie van Opdrachtgever.

Artikel 12. Datalekken

12.1 Breyta meldt een (vermoedelijk) datalek onverwijld, en uiterlijk binnen 24 uur na ontdekking, schriftelijk aan Opdrachtgever.

12.2 De melding bevat, voor zover bekend, in ieder geval:

• de aard van de inbreuk;

• de categorieën en het geschatte aantal betrokkenen en persoonsgegevens;

• de waarschijnlijke gevolgen van de inbreuk;

• de getroffen of voorgestelde maatregelen om de inbreuk te verhelpen en de gevolgen te beperken.

12.3 Breyta verleent Opdrachtgever medewerking bij het onderzoeken en verhelpen van het datalek en bij meldingen aan de Autoriteit Persoonsgegevens en betrokkenen. Opdrachtgever beslist of een datalek wordt gemeld.

12.4 Breyta documenteert alle datalekken, ook als deze niet gemeld hoeven te worden.

Artikel 13. Gegevensbeschermingseffectbeoordeling

13.1 Breyta verleent Opdrachtgever medewerking bij een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens, en verstrekt daarvoor op verzoek de benodigde informatie.

Artikel 14. Informatie en audits

14.1 Breyta stelt Opdrachtgever op verzoek alle informatie ter beschikking die nodig is om aan te tonen dat zij haar verplichtingen uit deze overeenkomst nakomt, bijvoorbeeld door het beantwoorden van een vragenlijst.

14.2 Is die informatie redelijkerwijs onvoldoende, of is er sprake van een ernstig datalek, dan kan Opdrachtgever, zelf of via een onafhankelijke deskundige die tot geheimhouding is verplicht, een audit laten uitvoeren. Een audit vindt maximaal eenmaal per kalenderjaar plaats, wordt minimaal 14 dagen vooraf aangekondigd en vindt plaats tijdens kantooruren, met zo min mogelijk verstoring van de bedrijfsvoering van Breyta.

14.3 De kosten van een audit komen voor rekening van Opdrachtgever, tenzij uit de audit blijkt dat Breyta haar verplichtingen uit deze overeenkomst in ernstige mate niet nakomt.

Artikel 15. Bewaartermijn en verwijdering

15.1 Breyta verwerkt de persoonsgegevens zolang dat nodig is voor de uitvoering van de opdracht.

15.2 Na afloop van de opdracht bewaart Breyta het dossier ten minste 24 maanden, zoals de Wki voorschrijft. Voor die bewaring is Breyta zelfstandig verantwoordelijk, overeenkomstig artikel 3.2. Breyta bewaart gegevens langer als een wettelijke bewaarplicht dat vereist, zolang een gerechtelijke procedure loopt of zolang een vonnis kan worden uitgevoerd.

15.3 Na afloop van de bewaartermijn verwijdert of vernietigt Breyta de persoonsgegevens zodanig dat ze niet kunnen worden hersteld. Op verzoek bevestigt Breyta de verwijdering schriftelijk.

15.4 Bij het einde van de Hoofdovereenkomst kan Opdrachtgever Breyta verzoeken om een kopie van de persoonsgegevens. De wettelijke bewaarplicht van Breyta blijft daarbij onverminderd gelden.

Artikel 16. Aansprakelijkheid

16.1 Voor de aansprakelijkheid van Breyta op grond van deze overeenkomst geldt de regeling in artikel 4 van de algemene voorwaarden van Breyta.

16.2 Breyta is niet aansprakelijk voor schade die het gevolg is van onjuiste of onvolledige instructies of persoonsgegevens van Opdrachtgever, van handelen door Opdrachtgever in strijd met de AVG, of van een onrechtmatige verwerking door Opdrachtgever voordat de gegevens aan Breyta werden verstrekt.

Artikel 17. Einde van de overeenkomst

17.1 Deze overeenkomst eindigt van rechtswege wanneer de Hoofdovereenkomst is geëindigd en Breyta geen persoonsgegevens meer in opdracht van Opdrachtgever verwerkt. Deze overeenkomst kan niet afzonderlijk van de Hoofdovereenkomst worden opgezegd.

17.2 Na het einde van deze overeenkomst blijven de bepalingen over geheimhouding, bewaring en verwijdering en aansprakelijkheid van kracht.

Artikel 18. Wijzigingen

18.1 Breyta mag deze overeenkomst wijzigen als dat nodig is vanwege wijzigingen in wet- en regelgeving, bindende uitspraken van toezichthouders of rechters, of technische en organisatorische ontwikkelingen die nodig zijn voor een passende beveiliging.

18.2 Breyta informeert Opdrachtgever ten minste 30 dagen voordat een wijziging ingaat. Gaat Opdrachtgever niet akkoord, dan kan hij de Hoofdovereenkomst beëindigen met ingang van de datum waarop de wijziging ingaat.

Artikel 19. Slotbepalingen

19.1 Op deze overeenkomst is Nederlands recht van toepassing.

19.2 De Rechtbank Gelderland, locatie Arnhem, is bij uitsluiting bevoegd om kennis te nemen van geschillen over deze overeenkomst, tenzij de wet dwingend anders voorschrijft.

19.3 Is een bepaling van deze overeenkomst nietig of wordt zij vernietigd, dan blijven de overige bepalingen van kracht. Partijen overleggen dan over een vervangende bepaling die zoveel mogelijk aansluit bij de bedoeling van de oorspronkelijke bepaling.

19.4 Deze overeenkomst is opgesteld in het Nederlands. Bij vertaling gaat de Nederlandse tekst voor.

Wil Opdrachtgever naast het akkoord bij het verstrekken van een opdracht een ondertekend exemplaar, dan kan deze overeenkomst ook worden ondertekend.

Bijlage 1. Subverwerkers

Stand: november 2026. Hieronder staan de subverwerkers per soort dienst. Op verzoek verstrekt Breyta een overzicht met de namen.