Verwerkersovereenkomst

Versie 1.0 — september 2026

Deze verwerkersovereenkomst (de “Verwerkersovereenkomst”) maakt deel uit van, en wordt door verwijzing opgenomen in, de overeenkomst tussen de organisatie die gebruikmaakt van het Agromigo Workforce-platform (de “Verwerkingsverantwoordelijke”, “Organisatie” of “Klant”) en Agromigo B.V., een besloten vennootschap naar Nederlands recht, met statutaire zetel te Rotterdam en vestigingsadres Maashaven N.z. 797, 3072 AE Rotterdam, Nederland, ingeschreven bij de Kamer van Koophandel onder nummer 42155329, RSIN 869958136, en btw-identificatienummer NL869958136B01 (de “Verwerker” of “Agromigo”), zoals aangehaald in de Algemene Voorwaarden van Agromigo (samen de “Overeenkomst”). Deze Verwerkersovereenkomst is van toepassing overal waar Agromigo persoonsgegevens namens de Klant verwerkt als verwerker in de zin van artikel 4, sub 8, van Verordening (EU) 2016/679 (de “AVG”), zoals beschreven in het Privacybeleid — Applicatie van Agromigo. Begrippen die in deze Verwerkersovereenkomst met een hoofdletter zijn geschreven maar hier niet zijn gedefinieerd, hebben de betekenis die daaraan is toegekend in de Algemene Voorwaarden of het Privacybeleid — Applicatie.

1. Definities

“Toepasselijke wetgeving gegevensbescherming” betekent de AVG, de Uitvoeringswet AVG, en overige op de verwerking van Medewerkersgegevens onder deze Verwerkersovereenkomst toepasselijke wetgeving inzake gegevensbescherming.
“Verwerkingsverantwoordelijke”, “Verwerker”, “Subverwerker”, “Betrokkene”, “Persoonsgegevens”, “Verwerking” en “Inbreuk in verband met persoonsgegevens” hebben de betekenis die daaraan is toegekend in artikel 4 AVG.
“Medewerkersgegevens” betekent de persoonsgegevens van Medewerkers en Contactpersonen, zoals die begrippen zijn gedefinieerd in het Privacybeleid — Applicatie, die Agromigo namens de Klant verwerkt op grond van deze Verwerkersovereenkomst.
“Diensten” heeft de betekenis die daaraan is toegekend in de Algemene Voorwaarden.

2. Rollen en instructies

De Klant is verwerkingsverantwoordelijke voor de Medewerkersgegevens die hij via de Diensten aanlevert of laat genereren, bepaalt de doeleinden en middelen van die verwerking, en is verantwoordelijk voor de rechtmatigheid van de persoonsgegevens die hij aan Agromigo verstrekt, met inbegrip van het feit dat Medewerkers de op grond van Toepasselijke wetgeving gegevensbescherming vereiste kennisgevingen hebben ontvangen. Agromigo is verwerker van Medewerkersgegevens en, afzonderlijk, verwerkingsverantwoordelijke voor de accountgegevens van Platformgebruikers, zoals beschreven in artikel 1 van het Privacybeleid — Applicatie.

Agromigo verwerkt Medewerkersgegevens uitsluitend op basis van de schriftelijk vastgelegde instructies van de Klant, met inbegrip van instructies met betrekking tot doorgifte van persoonsgegevens naar een derde land, tenzij een Unierechtelijke of lidstaatrechtelijke bepaling waaraan Agromigo is onderworpen dit anders voorschrijft — in welk geval Agromigo de Klant vooraf van dat wettelijke vereiste in kennis stelt, tenzij die wetgeving dit verbiedt om gewichtige redenen van algemeen belang. Het configureren, gebruiken en beheren van de Diensten op de wijze waarop deze zijn ontworpen te functioneren, zoals beschreven in de Overeenkomst, geldt als een schriftelijk vastgelegde instructie. Agromigo stelt de Klant in kennis indien een instructie naar zijn oordeel in strijd is met Toepasselijke wetgeving gegevensbescherming.

3. Onderwerp, duur en omvang van de verwerking

Het onderwerp van de verwerking is het leveren van de Diensten door Agromigo aan de Klant, voor zover dit de verwerking van Medewerkersgegevens met zich meebrengt. De verwerking vindt plaats gedurende de looptijd van de Overeenkomst, en daarna gedurende de in artikel 12 omschreven bewaartermijn.

De aard en het doel van de verwerking, de categorieën van betrokkenen en de categorieën van verwerkte persoonsgegevens zijn beschreven in de artikelen 1 tot en met 6 van het Privacybeleid — Applicatie, dat door verwijzing in deze Verwerkersovereenkomst is opgenomen. Samengevat: de categorieën van betrokkenen zijn Medewerkers en hun aangewezen noodcontactpersonen; de categorieën van persoonsgegevens omvatten identiteits- en contactgegevens, arbeids- en organisatiegegevens, tijd-, aanwezigheids- en locatiegegevens, prestatie- en loongegevens, en verlof- en afwezigheidsgegevens (met inbegrip van bijzondere categorieën gezondheidsgegevens met betrekking tot ziekte- en zwangerschapsverlof, verwerkt op grond van artikel 9, lid 2, sub b, AVG), en, waar vereist voor loon-, belasting- of identiteitsverificatiedoeleinden, het burgerservicenummer (BSN), het IBAN en identiteitsdocumenten.

4. Geheimhouding

Agromigo waarborgt dat personen die gemachtigd zijn Medewerkersgegevens te verwerken zich tot geheimhouding hebben verbonden of aan een passende wettelijke geheimhoudingsplicht zijn onderworpen, en dat toegang tot Medewerkersgegevens beperkt is tot personeel dat deze toegang nodig heeft voor het verlenen van de Diensten.

Ten behoeve van ondersteuning kunnen daartoe aangewezen supportmedewerkers van Agromigo toegang krijgen tot de organisatie van de Klant binnen de Diensten, met de bevoegdheden van een beheerder. Deze toegang is doorlopend: zij vereist niet per keer een afzonderlijk verzoek aan, of toestemming van, de Klant. Supportmedewerkers handelen onder hun eigen identiteit en nooit als een van de Medewerkers van de Klant. Elke toegang wordt vastgelegd, en de beheerders van de Klant kunnen binnen de Diensten inzien op welke dagen, door wie en hoe vaak hun organisatie op deze wijze is geraadpleegd.

5. Subverwerkers

De Klant verleent Agromigo een algemene schriftelijke toestemming om de volgende subverwerkers in te schakelen in verband met de Diensten:

Subverwerker	Dienst	Verwerkingslocatie	Doorgiftemechanisme
Google LLC (Google Cloud Platform) Cloud Data Processing Addendum Google Cloud sub-processors	Cloudinfrastructuur en gegevensopslag	EER (Nederland, België)	Niet van toepassing — verwerking binnen de EER
Google LLC (Vertex AI, incl. Gemini-modellen en Cloud DLP) Cloud Data Processing Addendum Service Specific Terms	AI-ondersteunde verwerking zoals beschreven in artikel 4 van het Privacybeleid — Applicatie	EU-regio	Niet van toepassing — verwerking binnen de EER
Google LLC (Firebase Authentication) Firebase Data Processing and Security Terms	Inloggen en accountbeheer	Niet aan een EER-regio gebonden; mogelijk buiten de EER	Standaardcontractbepalingen (Uitvoeringsbesluit (EU) 2021/914 van de Commissie), zoals opgenomen in het Data Processing Addendum van Google
Bird B.V. Bird Data Processing Agreement	Sms-verificatie en berichtgeving	Nederland (EER)	Niet van toepassing — verwerking binnen de EER

Agromigo stelt de Klant, bijvoorbeeld via een bijgewerkte versie van deze Verwerkersovereenkomst, ten minste dertig (30) dagen van tevoren in kennis van een voorgenomen toevoeging of vervanging van een subverwerker, zodat de Klant de gelegenheid heeft om op redelijke, gegevensbeschermingsgerelateerde gronden bezwaar te maken. Indien partijen een bezwaar niet kunnen oplossen, kan de Klant de Overeenkomst overeenkomstig de daarin opgenomen beëindigingsbepalingen beëindigen, voor zover deze betrekking heeft op de Diensten waarop die subverwerker van invloed is. Agromigo legt elke subverwerker verplichtingen inzake gegevensbescherming op die in wezen gelijkwaardig zijn aan de in deze Verwerkersovereenkomst neergelegde verplichtingen, en blijft jegens de Klant aansprakelijk voor de nakoming van die verplichtingen door de subverwerker.

6. Internationale doorgifte van gegevens

Agromigo houdt Medewerkersgegevens waar mogelijk binnen de Europese Economische Ruimte (EER). Google Cloud Platform en Google Vertex AI slaan Medewerkersgegevens op en verwerken deze binnen EU-regio’s in Nederland en België, en Bird B.V. is gevestigd in, en verwerkt gegevens volledig binnen, Nederland. De enige uitzondering is Firebase Authentication, de Google-dienst waarin de inlogaccountgegevens staan: deze zijn niet aan een EER-regio gebonden en kunnen buiten de EER worden opgeslagen. Voor deze doorgifte vertrouwt Agromigo op het Data Processing Addendum van Google, waarin de Standaardcontractbepalingen zijn opgenomen die de Europese Commissie heeft vastgesteld bij Uitvoeringsbesluit (EU) 2021/914, op grond van artikel 46 AVG. Agromigo draagt geen Medewerkersgegevens over naar een land buiten de EER anders dan in dit artikel beschreven, en zal dit in de toekomst niet doen zonder dat een passend doorgiftemechanisme onder Toepasselijke wetgeving gegevensbescherming is gewaarborgd.

7. Beveiligingsmaatregelen

Rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard, omvang, context en doeleinden van de verwerking, en het risico voor de rechten en vrijheden van Medewerkers, treft Agromigo de volgende technische en organisatorische maatregelen, zoals vereist op grond van artikel 32 AVG:

TLS-versleuteling voor Medewerkersgegevens tijdens verzending en AES-256-versleuteling voor Medewerkersgegevens in rust.
Rolgebaseerde toegangscontrole en volledige auditlogging, met aanvullende toegangsbeperkingen voor de meest gevoelige categorieën Medewerkersgegevens (burgerservicenummer, IBAN en identiteitsdocumenten).
Opslag van inloggegevens, zoals pincodes voor de applicatie, uitsluitend als eenrichtings-hash, welke nooit worden opgenomen in gegevensexports.
Opslag van Medewerkersgegevens binnen de EER, met de ene uitzondering beschreven in artikel 6.
De geautomatiseerde verwijderings- en bewaarpraktijken beschreven in artikel 5 van het Privacybeleid — Applicatie, consequent toegepast op Medewerkersgegevens.

Agromigo kan deze maatregelen van tijd tot tijd bijwerken, mits het bijgewerkte beveiligingsniveau niet wezenlijk lager is dan voorheen. Nadere informatie over de actuele beveiligingsmaatregelen van Agromigo is op verzoek beschikbaar via security@agromigo.com.

8. Inbreuken in verband met persoonsgegevens

Agromigo stelt de Klant zonder onredelijke vertraging, en in ieder geval binnen achtenveertig (48) uur, in kennis nadat Agromigo kennis heeft gekregen van een inbreuk in verband met persoonsgegevens (datalek) die betrekking heeft op Medewerkersgegevens, zodat de Klant aan zijn eigen meldingsverplichtingen op grond van de artikelen 33 en 34 AVG kan voldoen. Deze kennisgeving omvat, voor zover op dat moment bekend: de aard van het datalek, waar mogelijk met inbegrip van de categorieën en het geschatte aantal betrokken Medewerkers en Medewerkersgegevens; de vermoedelijke gevolgen van het datalek; en de door Agromigo genomen of voorgestelde maatregelen om het datalek aan te pakken en de mogelijke nadelige gevolgen ervan te beperken. Agromigo vult deze informatie zonder onredelijke vertraging aan naarmate deze beschikbaar komt, en verleent de Klant redelijke medewerking bij het nakomen van diens eigen meldingsverplichtingen aan de Autoriteit Persoonsgegevens of getroffen Medewerkers. Agromigo meldt een datalek dat betrekking heeft op Medewerkersgegevens niet zelf bij de Autoriteit Persoonsgegevens of bij Medewerkers, aangezien die verantwoordelijkheid bij de Klant als verwerkingsverantwoordelijke berust; deze verplichting staat los van de eigen, directe meldingsplicht van Agromigo als verwerkingsverantwoordelijke voor de accountgegevens van Platformgebruikers, zoals beschreven in artikel 9 van het Privacybeleid — Applicatie.

9. Medewerking bij rechten van betrokkenen

Rekening houdend met de aard van de verwerking, verleent Agromigo de Klant, voor zover redelijkerwijs mogelijk en met behulp van passende technische en organisatorische maatregelen, medewerking bij het nakomen van de verplichting van de Klant om te reageren op verzoeken van Medewerkers die hun rechten op grond van hoofdstuk III AVG uitoefenen, onder meer via de in artikel 10 van het Privacybeleid — Applicatie beschreven ingebouwde exporttool. Indien een Medewerker rechtstreeks contact opneemt met Agromigo over de verwerking van diens Medewerkersgegevens, verwijst Agromigo deze Medewerker, indien de betreffende Klant kan worden vastgesteld, zonder onredelijke vertraging door naar die Klant, overeenkomstig artikel 1 van het Privacybeleid — Applicatie.

10. Gegevensbeschermingseffectbeoordelingen en audits

Agromigo verstrekt de Klant op redelijk verzoek de informatie die redelijkerwijs nodig is om de naleving van deze Verwerkersovereenkomst aan te tonen en om de Klant in staat te stellen een gegevensbeschermingseffectbeoordeling (DPIA) of voorafgaande raadpleging op grond van de artikelen 35 en 36 AVG uit te voeren met betrekking tot zijn gebruik van de Diensten.

Agromigo maakt audits, met inbegrip van inspecties, mogelijk en werkt daaraan mee, uitgevoerd door de Klant of door een onafhankelijke, in onderling overleg overeengekomen deskundige met aantoonbare ervaring op het gebied van gegevensbescherming en gebonden aan geheimhouding, ten hoogste eenmaal per twaalf (12) maanden, tenzij een datalek of een onderbouwde nalevingszorg een aanvullende audit rechtvaardigt. Een audit wordt uitgevoerd op kosten van de Klant, met ten minste dertig (30) dagen voorafgaande schriftelijke kennisgeving, tijdens de gebruikelijke kantooruren, en op een wijze die de bedrijfsvoering van Agromigo niet onredelijk verstoort en de vertrouwelijkheid of beveiliging van gegevens van andere klanten niet in gevaar brengt. Agromigo kan een auditinstructie weigeren waarvan zij redelijkerwijs meent dat deze in strijd is met Toepasselijke wetgeving gegevensbescherming of haar beveiligingsmaatregelen onevenredig in gevaar brengt, en kan in plaats daarvan, waar beschikbaar, gelijkwaardige zekerheid bieden via een relevante certificering, auditrapport of samenvatting van een derde partij.

11. Aansprakelijkheid

Aansprakelijkheid die voortvloeit uit of verband houdt met deze Verwerkersovereenkomst wordt beheerst door de bepalingen inzake beperking van aansprakelijkheid in artikel 11 van de Algemene Voorwaarden. Niets in deze Verwerkersovereenkomst breidt de aansprakelijkheid van Agromigo verder uit dan daarin is overeengekomen, behalve voor zover een dergelijke beperking niet is toegestaan op grond van Toepasselijke wetgeving gegevensbescherming.

12. Teruggave of verwijdering van Medewerkersgegevens

Na beëindiging of opzegging van de Overeenkomst bewaart Agromigo Medewerkersgegevens gedurende negentig (90) dagen overeenkomstig artikel 7 van de Algemene Voorwaarden, gedurende welke periode de Klant een volledige export in een gangbaar machineleesbaar formaat kan opvragen. Na afloop van deze periode verwijdert of anonimiseert Agromigo Medewerkersgegevens, met uitzondering van persoonsgegevens die Agromigo op grond van Toepasselijke wetgeving gegevensbescherming of overige Unierechtelijke of lidstaatrechtelijke wetgeving verplicht is te bewaren — in het bijzonder het burgerservicenummer (BSN) en het IBAN, die op grond van de Nederlandse fiscale bewaarplicht (artikel 52 van de Algemene wet inzake rijksbelastingen) gedurende zeven (7) jaar worden bewaard, zoals beschreven in artikel 5 van het Privacybeleid — Applicatie. Agromigo blijft Medewerkersgegevens die op grond van deze uitzondering worden bewaard, gedurende de toepasselijke wettelijke bewaartermijn beschermen overeenkomstig deze Verwerkersovereenkomst, en verwerkt deze uitsluitend voor zover die wettelijke verplichting dit vereist.

13. Wijzigingen van deze Verwerkersovereenkomst

Agromigo kan deze Verwerkersovereenkomst bijwerken om wijzigingen in Toepasselijke wetgeving gegevensbescherming of in haar verwerkingsactiviteiten te weerspiegelen. Bij een wezenlijke wijziging stelt Agromigo de Klant hiervan in kennis overeenkomstig artikel 18 van de Algemene Voorwaarden. Bij tegenstrijdigheid tussen deze Verwerkersovereenkomst en de Overeenkomst met betrekking tot de verwerking van Medewerkersgegevens, prevaleert deze Verwerkersovereenkomst.

14. Toepasselijk recht en bevoegde rechter

Deze Verwerkersovereenkomst wordt beheerst door Nederlands recht en is onderworpen aan de bepalingen inzake toepasselijk recht en geschillenbeslechting van de artikelen 19 en 20 van de Algemene Voorwaarden, met inbegrip van de exclusieve bevoegdheid van de Rechtbank Rotterdam.

15. Contactgegevens

Voor vragen over deze Verwerkersovereenkomst kunt u contact opnemen met Agromigo via privacy@agromigo.com. Om een beveiligingsincident of vermoedelijk datalek te melden, kunt u contact opnemen via security@agromigo.com.

Handelsnaam: Agromigo
Statutaire naam: Agromigo B.V.
Rechtsvorm: Besloten Vennootschap (B.V.)
KvK-nummer: 42155329
RSIN: 869958136
Btw-identificatienummer: NL869958136B01
Statutaire zetel: Rotterdam, Nederland
Vestigingsadres: Maashaven N.z. 797, 3072 AE Rotterdam, Nederland
E-mail: hello@agromigo.com
Website: www.agromigo.com