Verwerkersovereenkomst (AVG art. 28) — Moments

Versie: 2026-09-09
Product: Moments (https://moments.business)

Disclaimer: Dit document is een werkconcept. Het vormt geen persoonlijk juridisch advies. Laat het nalopen door een advocaat of juridisch adviseur vóór gebruik. Deze DPA is bedoeld voor B2B-klanten die Moments gebruiken waarbij Learnable optreedt als verwerker van werknemersgegevens.

Partijen

Verwerkingsverantwoordelijke (“Verantwoordelijke” / “Klant”):

en

Verwerker (“Verwerker” / “Learnable”):

Hierna gezamenlijk de “Partijen”.

Overwegingen

A. De Klant maakt gebruik van de SaaS-dienst Moments (tijdsregistratie / prikklok voor teams), geleverd door Learnable.
B. In dat kader verwerkt Learnable persoonsgegevens van medewerkers en gebruikers van de Klant in opdracht van de Klant.
C. De Klant is verwerkingsverantwoordelijke; Learnable is verwerker voor die verwerkingen (AVG).
D. Partijen willen voldoen aan art. 28 AVG en leggen hun afspraken hierbij schriftelijk vast.
E. Deze Verwerkersovereenkomst (“DPA”) maakt deel uit van de overeenkomst tot levering van Moments (inclusief Algemene Voorwaarden Moments) en prevaleert bij tegenstrijdigheid inzake gegevensbescherming over andere bepalingen, tenzij uitdrukkelijk schriftelijk anders overeengekomen.

Artikel 1 — Definities

Begrippen als “persoonsgegevens”, “verwerking”, “verwerkingsverantwoordelijke”, “verwerker”, “inbreuk in verband met persoonsgegevens”, “toezichthoudende autoriteit” hebben de betekenis van de AVG (Verordening (EU) 2016/679).

Overige begrippen die in de Algemene Voorwaarden Moments zijn gedefinieerd, gelden ook hier, tenzij anders bepaald.

Artikel 2 — Voorwerp en duur

2.1. De Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de levering, ondersteuning, beveiliging en verbetering (binnen de grenzen van deze DPA) van Moments voor de Klant.

2.2. Deze DPA treedt in werking op de datum van ondertekening of, bij digitale aanvaarding, op het moment van aanvaarding / activering van het Moments-abonnement, en geldt zolang de Verwerker persoonsgegevens voor de Klant verwerkt in het kader van Moments.

2.3. Bepalingen die naar hun aard voortbestaan (geheimhouding, aansprakelijkheid, teruggeven/wissen), blijven gelden na beëindiging.

Artikel 3 — Rollen en instructies

3.1. De Klant bepaalt de doeleinden en middelen van de verwerking van werknemers-/tijdregistratiegegevens en is verantwoordelijk voor:

• een geldige rechtsgrond jegens betrokkenen;
• informatieplichten jegens medewerkers;
• juistheid van de instructies;
• het rechtmatig gebruik van Moments.

3.2. De Verwerker verwerkt persoonsgegevens enkel op gedocumenteerde instructies van de Klant, inclusief met betrekking tot doorgiften, tenzij Unie- of lidstaatrechtelijke verplichtingen anders vereisen (in welk geval de Verwerker de Klant informeert vóór de verwerking, tenzij dat recht dat verbiedt).

3.3. De Moments-dienst zelf, de documentatie, deze DPA en redelijke supportverzoeken van de Klant gelden als instructies. Bijkomende of afwijkende instructies gebeuren schriftelijk (e-mail volstaat) en kunnen tot bijkomende kosten of onmogelijkheid leiden indien technisch of juridisch niet haalbaar.

3.4. De Verwerker informeert de Klant onmiddellijk indien een instructie naar zijn mening inbreuk maakt op de AVG of andere gegevensbeschermingsbepalingen.

3.5. Learnable als verantwoordelijke: voor CRM, websitebezoekers, leads, eigen marketing en facturatie van de Klant als contractant treedt Learnable op als eigen verwerkingsverantwoordelijke. Dat valt buiten het voorwerp van deze DPA, behoudens waar die activiteiten onvermijdelijk overlappen met support van Moments.

Artikel 4 — Gegevenskaart (verwerkingsbeschrijving)

4.1 Categorieën betrokkenen

• Medewerkers / freelancers / andere personen die de Klant uitnodigt om te prikken in Moments;
• Beheerders en andere gebruikers van het Moments-account van de Klant.

4.2 Categorieën persoonsgegevens

4.3 Bijzondere categorieën

Niet beoogd. De Klant mag Moments niet gebruiken om systematisch art. 9-gegevens te laten verwerken, tenzij schriftelijk anders overeengekomen (bv. Premium-traject met aparte analyse).

4.4 Doeleinden van de verwerking door de Verwerker

• Hosting en beschikbaarstelling van Moments;
• Opslaan, tonen en beheren van registraties binnen het klantaccount;
• Correcties en audittrail volgens productfunctionaliteit;
• Authenticatie, uitnodigingen, toegangsbeheer;
• Support op verzoek van de Klant;
• Beveiliging, monitoring, back-ups, incidentrespons;
• Naleving van wettelijke verplichtingen van de Verwerker.

4.5 Aard en duur

Elektronische verwerking in een multi-tenant SaaS-omgeving, voor de duur van de dienstverlening + bewaar-/wissingstermijnen in art. 12 en het privacybeleid / afspraken met de Klant.

[IN TE VULLEN: eventuele klantspecifieke bewaartermijn indien afwijkend van standaard]

Artikel 5 — Geheimhouding

5.1. De Verwerker zorgt ervoor dat personen die gemachtigd zijn persoonsgegevens te verwerken, zich tot geheimhouding hebben verbonden of onder een passende wettelijke geheimhoudingsplicht vallen.

5.2. De Verwerker beperkt toegang tot medewerkers/contractanten die de gegevens nodig hebben (“need to know”).

Artikel 6 — Beveiliging (art. 32 AVG) — TOMs

6.1. De Verwerker treft passende technische en organisatorische maatregelen, rekening houdend met de stand van de techniek, uitvoeringskosten, aard, omvang, context en doeleinden van de verwerking, alsmede de risico’s.

6.2. Zonder exhaustief te zijn, omvatten de maatregelen onder meer:

6.3. De Verwerker kan TOMs aanpassen zolang het beveiligingsniveau niet materieel daalt. Op redelijk verzoek verstrekt de Verwerker een actuele beschrijving op hoofdlijnen.

6.4. Geen absolute beveiligingsgarantie. De Klant is verantwoordelijk voor sterke wachtwoorden, correcte roltoekenning en interne procedures.

Artikel 7 — Subverwerkers

7.1. De Klant verleent hierbij een algemene schriftelijke toestemming aan de Verwerker om subverwerkers in te schakelen voor de levering van Moments.

7.2. Huidige (voorziene) subverwerkers / categorieën:

7.3. De Verwerker legt aan subverwerkers contractueel minstens gelijkwaardige gegevensbeschermingsverplichtingen op als in deze DPA, voor zover relevant voor de uitbestede verwerking.

7.4. Bij voorgenomen toevoeging of vervanging van een subverwerker informeert de Verwerker de Klant vooraf (e-mail of statuspagina / bijlage), met een kennisgevingstermijn van minstens [IN TE VULLEN: bv. 14 of 30] kalenderdagen, behoudens spoed wegens beveiliging of overmacht.

7.5. De Klant kan binnen die termijn gemotiveerd bezwaar maken op redelijke gegevensbeschermingsgronden. Partijen overleggen te goeder trouw. Indien geen oplossing, mag de Klant Moments opzeggen tegen het einde van de lopende facturatieperiode zonder boete, onverminderd verschuldigde bedragen tot dan.

7.6. De Verwerker blijft verantwoordelijk jegens de Klant voor de nakoming door subverwerkers, binnen de aansprakelijkheidsgrenzen van art. 14.

Artikel 8 — Doorgiften buiten de EER

8.1. De Verwerker streeft ernaar persoonsgegevens in de EER te verwerken.

8.2. Doorgifte buiten de EER gebeurt enkel met geldig mechanisme (adequaatheidsbesluit, SCC’s, e.d.) en overeenkomstig instructies / deze DPA.

8.3. [IN TE VULLEN: bevestiging EU-only productiedata of lijst doorgiften + SCC-referenties]

Artikel 9 — Bijstand aan betrokkenen

9.1. Rekening houdend met de aard van de verwerking, bijstaat de Verwerker de Klant met passende technische en organisatorische maatregelen, voor zover mogelijk, om te voldoen aan verzoeken van betrokkenen (inzage, rectificatie, wissen, beperking, overdraagbaarheid, bezwaar).

9.2. Verzoeken die rechtstreeks bij de Verwerker toekomen, worden — behoudens wettelijke uitzondering — onverwijld doorgeleid naar de Klant. De Verwerker handelt niet zelfstandig op dergelijke verzoeken zonder instructie van de Klant, tenzij verplicht door recht.

9.3. De Klant blijft primair aanspreekpunt voor medewerkers.

Artikel 10 — DPIA, voorafgaande raadpleging en overige bijstand

10.1. De Verwerker verleent redelijke bijstand aan de Klant bij:

• gegevensbeschermingseffectbeoordelingen (DPIA);
• voorafgaande raadpleging van de toezichthouder;
• het nakomen van art. 32–36 AVG,

rekening houdend met de aard van de verwerking en de informatie die de Verwerker ter beschikking heeft.

10.2. Disproportionele of herhaalde bijstand buiten de standaarddienst kan tegen redelijke uurtarieven worden aangerekend, na voorafgaande kennisgeving.

Artikel 11 — Melding van inbreuken (datalekken)

11.1. De Verwerker meldt een inbreuk in verband met persoonsgegevens aan de Klant zonder onredelijke vertraging en in ieder geval uiterlijk binnen 48 uur nadat de Verwerker ervan kennis heeft genomen, voor zover de inbreuk betrekking heeft op gegevens die onder deze DPA vallen.

11.2. De melding bevat, voor zover redelijkerwijs beschikbaar:

• aard van de inbreuk;
• categorieën en bij benadering aantal betrokkenen en gegevensrecords;
• waarschijnlijke gevolgen;
• genomen of voorgestelde maatregelen;
• contactpunt bij de Verwerker.

11.3. De Verwerker documenteert inbreuken en ondersteunt de Klant bij eventuele melding aan de GBA / betrokkenen. De Klant beslist over melding aan autoriteit en betrokkenen, tenzij dwingend recht de Verwerker rechtstreeks verplicht.

11.4. Melding aan: privacy-/contractcontact van de Klant zoals opgegeven, of bij gebreke daarvan het bekende admin-e-mailadres.

Artikel 12 — Teruggave en wissen bij einde

12.1. Na beëindiging van Moments voor de Klant, of op eerder schriftelijk verzoek, zal de Verwerker — naar keuze van de Klant en voor zover technisch ondersteund — persoonsgegevens wissen of teruggeven, en bestaande kopieën wissen, tenzij Unie- of Belgisch recht opslag verplicht (bv. facturatiegegevens van Learnable als eigen verantwoordelijke).

12.2. Producttransparantie: standaard export van de volledige historiek is momenteel geen gegarandeerde productfunctie. Weergavelimieten (o.a. 200 / 1.000 recente registraties) kunnen gelden. Partijen stemmen exit-/exportbehoeften vóór aanvang af. Op redelijk verzoek tijdens of bij einde van de dienst onderzoekt de Verwerker wat technisch haalbaar is (mogelijk tegen meerkosten).

12.3. Back-ups kunnen nog beperkt nawerken tot rotatie; [IN TE VULLEN: typische backup-retentie]. Daarna worden gegevens in het normale proces overschreven.

12.4. Op verzoek bevestigt de Verwerker schriftelijk (e-mail) dat wissen heeft plaatsgevonden, behoudens wettelijke uitzonderingen.

Artikel 13 — Audits en informatie

13.1. De Verwerker stelt de Klant alle informatie ter beschikking die nodig is om na te gaan of de verplichtingen van art. 28 AVG worden nagekomen, en laat audits / inspecties toe zoals hieronder.

13.2. De Klant mag hoogstens één (1) audit per periode van twaalf (12) maanden uitvoeren, tenzij een incident of aanwijzing van niet-naleving een bijkomende audit rechtvaardigt, of de toezichthouder dit vereist.

13.3. Audits:

• worden minstens [IN TE VULLEN: bv. 30] dagen vooraf aangekondigd;
• vinden plaats tijdens kantooruren;
• verstoren de bedrijfsvoering zo min mogelijk;
• kunnen (deels) worden ingevuld door actuele beveiligingsdocumentatie, certificaten van subverwerkers, of een onafhankelijk auditrapport;
• gebeuren onder geheimhouding.

13.4. Kosten van de audit draagt de Klant, tenzij een materiële tekortkoming van de Verwerker wordt vastgesteld die de audit rechtvaardigde.

Artikel 14 — Aansprakelijkheid

14.1. Aansprakelijkheid van Partijen onder deze DPA volgt de aansprakelijkheidsregeling van de Algemene Voorwaarden Moments (inclusief uitsluitingen van indirecte schade en het plafond gelijk aan de door de Klant aan Moments betaalde vergoedingen in de twaalf (12) maanden voorafgaand aan de schadeveroorzakende gebeurtenis), voor zover dwingend recht dat toelaat.

14.2. Niets in deze DPA beperkt aansprakelijkheid die volgens dwingend recht niet mag worden beperkt (o.a. opzet, grove schuld naar Belgisch recht, voor zover van toepassing).

14.3. Boetes van toezichthouders die uitsluitend het gevolg zijn van een tekortkoming van de Klant (rechtsgrond, informatieplicht, onrechtmatige instructies) blijven voor rekening van de Klant. Omgekeerd: boetes die uitsluitend het gevolg zijn van een tekortkoming van de Verwerker in diens verwerkersplichten, vallen onder art. 14.1.

Artikel 15 — Naleving en medewerking toezichthouder

De Verwerker werkt, voor zover wettelijk verplicht en relevant voor Moments, mee met de bevoegde toezichthouder en informeert de Klant waar gepast en toegelaten.

Artikel 16 — Wijzigingen

Wijzigingen van deze DPA gebeuren schriftelijk (inclusief geaccepteerde elektronische vorm). Bij verplichte wijzigingen door wet- of rechtspraak mag de Verwerker een update voorstellen; weigert de Klant een noodzakelijke update, kan de Verwerker de dienst beëindigen met inachtneming van een redelijke termijn.

Artikel 17 — Toepasselijk recht en geschillen

Belgisch recht. Geschillen behoren tot de bevoegdheid van de Ondernemingsrechtbank Antwerpen, afdeling Hasselt, onverminderd dwingende bevoegdheidsregels.

Artikel 18 — Slot

18.1. Indien een bepaling nietig of onafdwingbaar is, blijven de overige bepalingen van kracht. Partijen vervangen de bepaling door een geldige die de bedoeling het dichtst benadert.

18.2. Deze DPA kan digitaal worden ondertekend of aanvaard (klik-acceptatie, e-mailbevestiging bij abonnementsactivatie).

Handtekeningen

Namens de Verantwoordelijke (Klant)

Namens de Verwerker (Learnable BV / For The Dream)

Bijlage A — Instructies (standaard)

De standaardinstructie luidt: verwerk de in art. 4 genoemde gegevens uitsluitend om Moments te leveren zoals geconfigureerd door de Klant-admins, inclusief support op verzoek, beveiliging en wettelijke verplichtingen van de Verwerker.

Bijlage B — Subverwerkers

Actuele lijst: zie art. 7.2, te actualiseren door Learnable.
[IN TE VULLEN: URL of bijlage “subprocessors Moments”]

Verwerkersovereenkomst Moments · Learnable BV / For The Dream · BE 0733.680.680 · Versie 2026-09-09
Werkconcept — geen persoonlijk juridisch advies; laat nalopen.