Verwerkersovereenkomst

Laatst bijgewerkt: 8 oktober 2026

Deze verwerkersovereenkomst ("Verwerkersovereenkomst") maakt deel uit van het contract tussen Hagen NK, handelend onder de naam Artistu, en de klant voor het gebruik van de dienst Artistu (het "Contract"), inclusief onze Algemene Voorwaarden. Zij is automatisch van toepassing op iedere klant die Artistu gebruikt. Een ondertekend exemplaar is op aanvraag verkrijgbaar via [email protected].

1. Partijen

Verwerker: Hagen NK, handelend onder de naam Artistu, Utrechtseweg 310 B46, 6812 AR Arnhem, Nederland. Kamer van Koophandel (KVK) 82235082, btw NL862387929B01 ("Artistu", "wij", "ons").

Verwerkingsverantwoordelijke: de organisatie die een Artistu-account heeft en met het Contract heeft ingestemd (de "Klant", "u").

2. Definities

Begrippen als "persoonsgegevens", "verwerking", "verwerkingsverantwoordelijke", "verwerker", "betrokkene" en "inbreuk in verband met persoonsgegevens" hebben de betekenis die de Algemene Verordening Gegevensbescherming (EU) 2016/679 ("AVG") daaraan geeft. "Persoonsgegevens van de Klant" zijn de persoonsgegevens die wij bij het leveren van de dienst namens de Klant verwerken. "Subverwerker" is een derde die wij inschakelen om Persoonsgegevens van de Klant te verwerken.

3. Rollen en reikwijdte

De Klant is de verwerkingsverantwoordelijke voor de Persoonsgegevens van de Klant en Artistu is de verwerker. Het onderwerp, de aard, het doel en de duur van de verwerking en de categorieën gegevens en betrokkenen zijn beschreven in Bijlage 1. Artistu treedt alleen op als zelfstandige verwerkingsverantwoordelijke voor de gegevens die het nodig heeft voor de eigen bedrijfsvoering, zoals accountbeheer, facturering aan de Klant en marketing. Daarvoor geldt onze Privacyverklaring.

4. Instructies

Wij verwerken Persoonsgegevens van de Klant uitsluitend op basis van schriftelijke instructies van de Klant. Het Contract, deze Verwerkersovereenkomst en het gebruik en de configuratie van de dienst door de Klant vormen de volledige instructies van de Klant. Wij laten het de Klant weten als een instructie naar ons oordeel in strijd is met de AVG of andere wetgeving inzake gegevensbescherming, tenzij de wet ons dat verbiedt. Als de wet ons verplicht gegevens op een andere manier te verwerken, informeren wij de Klant daar vooraf over, tenzij die wet dat verbiedt.

5. Geheimhouding

Iedereen bij Artistu die toegang heeft tot Persoonsgegevens van de Klant is gebonden aan een geheimhoudingsplicht en raadpleegt deze alleen voor zover dat nodig is om de dienst te leveren, te ondersteunen of te beveiligen.

6. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om Persoonsgegevens van de Klant te beschermen, zoals vereist door artikel 32 AVG. Deze maatregelen zijn beschreven in Bijlage 2. Wij mogen ze aanpassen, mits het algehele beschermingsniveau niet daalt.

7. Subverwerkers

De Klant geeft ons een algemene toestemming om subverwerkers in te schakelen. De huidige subverwerkers staan in Bijlage 3. Een nieuwe of vervangende subverwerker kondigen wij aan door Bijlage 3 bij te werken en de accounteigenaar ten minste 30 dagen voordat de wijziging ingaat per e-mail te informeren. De Klant kan binnen die termijn op redelijke gronden van gegevensbescherming bezwaar maken. Als wij het bezwaar niet kunnen wegnemen, kan de Klant het betreffende deel van de dienst beëindigen en ontvangt de Klant vooruitbetaalde vergoedingen voor de resterende looptijd terug. Wij leggen iedere subverwerker verplichtingen op het gebied van gegevensbescherming op die niet minder bescherming bieden dan deze Verwerkersovereenkomst en blijven verantwoordelijk voor de nakoming daarvan.

8. Internationale doorgifte

Onze hoofddatabase wordt gehost in Nederland en onze bestandsopslag in Duitsland. Als een subverwerker Persoonsgegevens van de Klant buiten de Europese Economische Ruimte verwerkt, is de doorgifte beschermd door een adequaatheidsbesluit, waaronder het EU-US Data Privacy Framework als de subverwerker gecertificeerd is, of door de door de Europese Commissie vastgestelde modelcontractbepalingen (SCC's).

9. Verzoeken van betrokkenen

De meeste verzoeken, zoals inzage, rectificatie, export en verwijdering, kan de Klant rechtstreeks in Artistu afhandelen. Als dat niet mogelijk is, helpen wij de Klant bij het beantwoorden van verzoeken van betrokkenen. Als een betrokkene rechtstreeks contact met ons opneemt over Persoonsgegevens van de Klant, sturen wij het verzoek door naar de Klant zonder het zelf te beantwoorden.

10. Inbreuken in verband met persoonsgegevens

Wij informeren de Klant zonder onredelijke vertraging, en in ieder geval binnen 48 uur, nadat wij kennis hebben genomen van een inbreuk in verband met persoonsgegevens die Persoonsgegevens van de Klant betreft. De melding beschrijft, voor zover bekend, de aard van de inbreuk, de betrokken gegevens en betrokkenen, de waarschijnlijke gevolgen en de genomen maatregelen. Wij helpen de Klant bij het nakomen van zijn eigen meldplichten op grond van de artikelen 33 en 34 AVG.

11. Bijstand

Rekening houdend met de aard van de verwerking en de informatie waarover wij beschikken, helpen wij de Klant bij gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen van een toezichthoudende autoriteit, voor zover deze betrekking hebben op de dienst.

12. Teruggave en verwijdering

De Klant kan zijn gegevens op elk moment uit Artistu exporteren. Wanneer het Contract eindigt, verwijderen wij Persoonsgegevens van de Klant binnen 30 dagen, tenzij de wet ons verplicht deze te bewaren. Kopieën in back-ups worden overschreven in de normale back-upcyclus en uiterlijk 90 dagen na verwijdering.

13. Audits

Wij stellen de informatie beschikbaar die nodig is om aan te tonen dat aan artikel 28 AVG wordt voldaan. De Klant, of een onafhankelijke auditor die aan geheimhouding is gebonden, mag eenmaal per jaar na een schriftelijke aankondiging van 30 dagen, tijdens kantooruren en op eigen kosten van de Klant, controleren of wij deze Verwerkersovereenkomst naleven, en daarnaast op elk moment na een inbreuk in verband met persoonsgegevens. Audits van subverwerkers vinden plaats aan de hand van de certificeringen en rapporten die deze subverwerkers beschikbaar stellen.

14. Aansprakelijkheid

De aansprakelijkheid van elke partij op grond van deze Verwerkersovereenkomst is onderworpen aan de aansprakelijkheidsbeperkingen in het Contract, tenzij de AVG een dergelijke beperking niet toestaat.

15. Looptijd, voorrang en toepasselijk recht

Deze Verwerkersovereenkomst blijft van kracht zolang wij Persoonsgegevens van de Klant verwerken. Als deze Verwerkersovereenkomst strijdig is met het Contract, gaat deze Verwerkersovereenkomst voor op het gebied van gegevensbescherming. Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Arnhem, Nederland.

Deze Verwerkersovereenkomst is een vertaling van de Engelse versie. Bij verschillen tussen de versies is de Engelse versie leidend.

Bijlage 1: Beschrijving van de verwerking

Onderwerp en doel: het leveren van de dienst Artistu, een platform waarmee boekingskantoren en managers van artiesten artiesten, boekingen, contracten, elektronische handtekeningen, facturen, advancing, reisschema's, gastenlijsten, perskits en de bijbehorende communicatie beheren.

Aard van de verwerking: het opslaan, ordenen, weergeven, verzenden, genereren van documenten uit en verwijderen van gegevens die zijn ingevoerd door de Klant of door personen die de Klant uitnodigt.

Duur: de looptijd van het Contract plus de verwijderingstermijn in artikel 12.

Categorieën betrokkenen:

• teamleden van de Klant die Artistu gebruiken
• artiesten en leden van artiestenteams
• promotors, podia, opdrachtgevers en andere zakelijke contacten van de Klant
• personen die contracten ondertekenen, formulieren invullen, aanbiedingen indienen of aan gastenlijsten worden toegevoegd
• crewleden en reisgenoten die in reisschema's worden genoemd

Categorieën persoonsgegevens:

• namen, functietitels, e-mailadressen en telefoonnummers
• post- en factuuradressen, bedrijfsgegevens, btw- en fiscale nummers en bankrekeningnummers (IBAN)
• boekings-, gage-, factuur- en betalingsgegevens die aan een persoon zijn gekoppeld
• reis- en reisschemagegevens, die een geboortedatum kunnen bevatten als de Klant deze invoert
• elektronische handtekeningen en het audittrail van de ondertekening: naam, functietitel, IP-adres, apparaatgegevens en tijdstempels
• inhoud van e-mails, notities en documenten die de Klant aanmaakt of uploadt
• technische gegevens zoals IP-adressen, browsergegevens en gebruikslogboeken

Bijzondere categorieën persoonsgegevens: deze zijn niet nodig voor de dienst. De Klant hoort geen bijzondere categorieën persoonsgegevens in te voeren, tenzij de Klant daarvoor een wettelijke grondslag heeft.

Bijlage 2: Beveiligingsmaatregelen

• Klantgegevens worden gehost in de Europese Unie, met de database in Nederland en de bestandsopslag in Duitsland.
• Al het verkeer van en naar Artistu is versleuteld met TLS. Geüploade bestanden worden versleuteld opgeslagen.
• De gegevens van elke organisatie zijn logisch gescheiden, en elk verzoek wordt gecontroleerd aan de hand van de organisatie en de rechten van de gebruiker.
• Klanten bepalen via rollen en rechten wie wat kan zien. Het inloggen verloopt via Clerk en ondersteunt meervoudige authenticatie.
• Klantlinks, zoals links voor ondertekening en advancing, gebruiken lange willekeurige sleutels en kunnen worden ingetrokken.
• Elektronische handtekeningen houden een audittrail bij met een SHA-256-vingerafdruk van het ondertekende document.
• Toegang tot productiesystemen is beperkt tot de personen die deze nodig hebben, beveiligd met meervoudige authenticatie en wordt niet gedeeld.
• Van de database wordt dagelijks een back-up gemaakt. Fouten worden gemonitord, zodat problemen snel worden gevonden en opgelost.
• Subverwerkers worden gekozen op basis van hun beveiligingspraktijken en zijn gebonden aan voorwaarden voor gegevensverwerking.

Bijlage 3: Subverwerkers