Verwerkersovereenkomst Spamwacht

Versie 27 september 2026. Je gaat akkoord met deze overeenkomst bij het aanmaken van je Spamwacht-account; Spamwacht legt de versie en het tijdstip van je akkoord vast.

---

Partijen

1. De klant: het bedrijf of de organisatie die een Spamwacht-account aanmaakt en daarbij akkoord gaat met deze overeenkomst, hierna: Verwerkingsverantwoordelijke;
2. Marketing Maatwerk (eenmanszaak van B.J.T. Kusters), handelend onder de naam Spamwacht, gevestigd te Enschede, KvK 91114551, hierna: Verwerker.

Deze overeenkomst hoort bij de algemene voorwaarden van Spamwacht en geldt vanaf het moment van akkoord bij het aanmaken van het account.

1. Onderwerp

1.1 Verwerker verwerkt in opdracht van Verwerkingsverantwoordelijke persoonsgegevens die nodig zijn voor de dienst: het controleren van de door Verwerkingsverantwoordelijke gekoppelde mailboxen op spam en phishing, het verplaatsen van verdachte mail naar een quarantainemap in die mailbox, het tonen van de quarantaine in het portaal, het leren van correcties van Verwerkingsverantwoordelijke, en het sturen van waarschuwingen en overzichten.

1.2 De categorieën betrokkenen en gegevens staan in Bijlage 1, de subverwerkers in Bijlage 2.

2. Instructies

2.1 Verwerker verwerkt uitsluitend op instructie van Verwerkingsverantwoordelijke. Het koppelen van een mailbox, het activeren van de bescherming, het gebruik van "Geen spam" en de instellingen in het portaal gelden als instructie.

2.2 Verwerker verwijdert geen mail uit de mailbox van Verwerkingsverantwoordelijke. Verwerker verplaatst berichten alleen naar de quarantainemap en terug, en markeert berichten als gelezen.

2.3 Verwerker gebruikt de gegevens niet voor eigen doeleinden, niet voor advertenties en niet om een algemeen AI-model te trainen. Wat Verwerker leert van correcties wordt alleen gebruikt voor het account van Verwerkingsverantwoordelijke.

3. Geheimhouding en beveiliging

3.1 Verwerker houdt de gegevens vertrouwelijk en verleent alleen toegang aan personen die dat voor de dienst nodig hebben.

3.2 Verwerker treft passende technische en organisatorische maatregelen, waaronder: versleutelde verbindingen (TLS), versleutelde opslag van IMAP-wachtwoorden (AES-256-GCM), wachtwoorden als scrypt-hash, optionele tweestapsverificatie, blokkade na herhaalde mislukte inlogpogingen, intrekken van sessies bij uitloggen, verwerking van de mailtekst alleen in het werkgeheugen (niet opgeslagen), afzender en onderwerp alleen als hash opgeslagen,, geen webserverlogs met IP-adressen, en een dagelijkse versleutelde back-up van de database met 7 dagen bewaartermijn.

4. Subverwerkers

4.1 Verwerkingsverantwoordelijke geeft algemene toestemming voor de subverwerkers in Bijlage 2.

4.2 Verwerker informeert Verwerkingsverantwoordelijke minimaal 14 dagen vooraf per mail over een nieuwe of vervangende subverwerker. Bij gegrond bezwaar kan Verwerkingsverantwoordelijke de overeenkomst kosteloos beëindigen.

4.3 Alle subverwerkers in Bijlage 2 verwerken binnen de EU.

5. Rechten van betrokkenen

5.1 Verwerker helpt Verwerkingsverantwoordelijke bij verzoeken van betrokkenen (inzage, rectificatie, verwijdering) binnen 10 werkdagen na het verzoek daartoe.

5.2 Verzoeken die rechtstreeks bij Verwerker binnenkomen, stuurt Verwerker onverwijld door naar Verwerkingsverantwoordelijke.

6. Datalekken

6.1 Verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan Verwerkingsverantwoordelijke, met de informatie die nodig is voor een eventuele melding aan de Autoriteit Persoonsgegevens en betrokkenen.

6.2 Melding aan de toezichthouder en betrokkenen is de verantwoordelijkheid van Verwerkingsverantwoordelijke; Verwerker verleent daarbij redelijke medewerking.

7. Audit

7.1 Verwerker stelt op verzoek, maximaal eenmaal per jaar, informatie beschikbaar om naleving aan te tonen, waaronder een beschrijving van de verwerkingen en de maatregelen.

7.2 Een audit ter plaatse kan na redelijke aankondiging, op kosten van Verwerkingsverantwoordelijke en zonder toegang tot gegevens van andere klanten.

8. Duur en einde

8.1 Deze overeenkomst duurt zolang het account bestaat.

8.2 Na het einde van het abonnement stopt Verwerker de controle en wist hij direct het opgeslagen IMAP-wachtwoord. 30 dagen na het einde verwijdert Verwerker automatisch alle overige persoonsgegevens van het account; back-ups rollen daarna binnen 7 dagen vanzelf uit. Wil Verwerkingsverantwoordelijke eerder verwijdering of eerst een kopie, dan kan dat via info@spamwacht.nl.

9. Aansprakelijkheid

9.1 De aansprakelijkheidsregeling uit de algemene voorwaarden van Spamwacht is van toepassing.

---

Bijlage 1: Verwerkingen

• Betrokkenen: afzenders en ontvangers van mail in de gekoppelde mailboxen; de gebruikers van Verwerkingsverantwoordelijke.
• Gegevens: kopregels en tekst van nieuwe mail (alleen tijdelijk in het werkgeheugen voor de beoordeling); per beoordeelde mail het afzenderdomein, afzender en onderwerp als hash, datum, score, beslissing en plek in de mailbox; bij "Geen spam" een numerieke vingerafdruk (embedding) van die mail; in waarschuwingsmails het afzenderdomein, het onderwerp en de score; mailboxgegevens (adres, server, versleuteld wachtwoord); accountgegevens.
• Aard: ophalen via IMAP, geautomatiseerde beoordeling (vaste controles en een AI-model op de eigen server van Verwerker), verplaatsen naar en uit de quarantainemap, opslag van de gegevens hierboven, versturen van waarschuwingen en overzichten.
• Duur: zolang het account bestaat, tot uiterlijk 30 dagen na het einde van het abonnement (zie artikel 8).

Bijlage 2: Subverwerkers