Verwerkersovereenkomst (AVG art. 28) — Moments

Versie: 2026-11-02
Product: Moments (https://moments.business)
Ontwikkelaar en aanbieder: Learnable BV, handelend onder de naam For The Dream

Deze verwerkersovereenkomst geldt voor B2B-klanten die persoonsgegevens via Moments laten verwerken door Learnable BV.

Partijen

Verwerkingsverantwoordelijke (“Verantwoordelijke” / “Klant”):

De onderneming of organisatie die Moments afneemt, zoals geïdentificeerd in de accountregistratie en de order- of activatiebevestiging. De daarbij opgegeven rechtsvorm, naam, ondernemingsnummer, adres en bevoegde vertegenwoordiger gelden voor deze overeenkomst. Het opgegeven privacycontact, of bij ontbreken daarvan de geregistreerde bedrijfsbeheerder, is het aanspreekpunt. De Klant houdt deze gegevens actueel.

en

Verwerker (“Verwerker” / “Learnable”):

Hierna gezamenlijk de “Partijen”.

Overwegingen

A. De Klant maakt gebruik van de SaaS-dienst Moments, ontwikkeld en aangeboden door Learnable BV voor tijdsregistratie en de door de Klant geactiveerde modules.
B. In dat kader verwerkt Learnable persoonsgegevens van medewerkers en gebruikers van de Klant in opdracht van de Klant.
C. De Klant is verwerkingsverantwoordelijke; Learnable is verwerker voor die verwerkingen (AVG).
D. Partijen willen voldoen aan art. 28 AVG en leggen hun afspraken hierbij schriftelijk vast.
E. Deze Verwerkersovereenkomst (“DPA”) maakt deel uit van de overeenkomst tot levering van Moments (inclusief Algemene Voorwaarden Moments) en prevaleert bij tegenstrijdigheid inzake gegevensbescherming over andere bepalingen, tenzij uitdrukkelijk schriftelijk anders overeengekomen.

Artikel 1 — Definities

Begrippen als “persoonsgegevens”, “verwerking”, “verwerkingsverantwoordelijke”, “verwerker”, “inbreuk in verband met persoonsgegevens”, “toezichthoudende autoriteit” hebben de betekenis van de AVG (Verordening (EU) 2016/679).

Overige begrippen die in de Algemene Voorwaarden Moments zijn gedefinieerd, gelden ook hier, tenzij anders bepaald.

Artikel 2 — Voorwerp en duur

2.1. De Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de levering, ondersteuning, beveiliging en verbetering (binnen de grenzen van deze DPA) van Moments voor de Klant.

2.2. Deze DPA treedt in werking op de datum van ondertekening of, bij digitale aanvaarding, op het moment van aanvaarding / activering van het Moments-abonnement, en geldt zolang de Verwerker persoonsgegevens voor de Klant verwerkt in het kader van Moments.

2.3. Bepalingen die naar hun aard voortbestaan (geheimhouding, aansprakelijkheid, teruggeven/wissen), blijven gelden na beëindiging.

Artikel 3 — Rollen en instructies

3.1. De Klant bepaalt de doeleinden en middelen van de verwerking van gegevens die hij via Moments laat verwerken en is verantwoordelijk voor:

• een geldige rechtsgrond jegens betrokkenen en, voor bijzondere categorieën persoonsgegevens, een toepasselijke uitzondering overeenkomstig art. 9 AVG;
• informatieplichten jegens betrokkenen;
• juistheid van de instructies;
• het rechtmatig gebruik van Moments.

3.2. De Verwerker verwerkt persoonsgegevens enkel op gedocumenteerde instructies van de Klant, inclusief met betrekking tot doorgiften, tenzij Unie- of lidstaatrechtelijke verplichtingen anders vereisen (in welk geval de Verwerker de Klant informeert vóór de verwerking, tenzij dat recht dat verbiedt).

3.3. De Moments-dienst zelf, de documentatie, deze DPA en redelijke supportverzoeken van de Klant gelden als instructies. Bijkomende of afwijkende instructies gebeuren schriftelijk (e-mail volstaat) en kunnen tot bijkomende kosten of onmogelijkheid leiden indien technisch of juridisch niet haalbaar.

3.4. De Verwerker informeert de Klant onmiddellijk indien een instructie naar zijn mening inbreuk maakt op de AVG of andere gegevensbeschermingsbepalingen.

3.5. Learnable als verantwoordelijke: voor CRM, websitebezoekers, leads, eigen marketing en facturatie van de Klant als contractant treedt Learnable op als eigen verwerkingsverantwoordelijke. Dat valt buiten het voorwerp van deze DPA, behoudens waar die activiteiten onvermijdelijk overlappen met support van Moments.

Artikel 4 — Gegevenskaart (verwerkingsbeschrijving)

4.1 Categorieën betrokkenen

• Medewerkers, freelancers, beheerders en andere gebruikers van de Klant;
• Contactpersonen van klanten, projecten en aangeleverde aanvragen;
• Ontvangers van nieuwsbrieven die de Klant beheert of verzendt;
• Personen die de Klant vermeldt in taken, reacties, notities of bestanden, voor zover hun gegevens voor de opdracht worden aangeleverd.

4.2 Categorieën persoonsgegevens

4.3 Bijzondere categorieën

Bij het beheer van ziekteafwezigheden kunnen gezondheidsgegevens worden verwerkt, waaronder de afwezigheidsperiode en een attest dat voor de werkgever bestemd is. De Klant bepaalt hiervoor zowel een grondslag overeenkomstig art. 6 AVG als een toepasselijke uitzondering overeenkomstig art. 9 AVG en beperkt de verwerking en toegang tot wat noodzakelijk is voor de personeelsadministratie. Een diagnose of andere niet-noodzakelijke medische informatie hoort niet in deze administratie. De vrije toelichting wordt bij een ziekteaanvraag niet opgeslagen.

Andere verwerkingen van bijzondere categorieën persoonsgegevens vallen alleen binnen de opdracht wanneer Partijen daarover vooraf passende schriftelijke afspraken maken en de Klant de rechtmatigheid ervan vaststelt.

4.4 Doeleinden van de verwerking door de Verwerker

• Hosting en beschikbaarstelling van Moments;
• Opslaan, tonen en beheren van registraties binnen het klantaccount;
• Project- en taakadministratie, samenwerking en behandeling van aangeleverde aanvragen;
• Behandeling van verlofaanvragen en afwezigheden voor de personeelsadministratie;
• Beheer van nieuwsbriefontvangers, segmentatie, verzending, bezorgstatistieken en uitschrijvingen; open- en klikmetingen uitsluitend voor zover ingeschakeld en onder verantwoordelijkheid van de Klant voor de vereiste toestemming;
• Gegevensuitwisseling via door de Klant ingeschakelde koppelingen en de aangewezen administratieve diensten;
• Correcties en audittrail volgens productfunctionaliteit;
• Authenticatie, uitnodigingen, toegangsbeheer;
• Support op verzoek van de Klant;
• Beveiliging, monitoring, back-ups, incidentrespons;
• Naleving van wettelijke verplichtingen van de Verwerker.

4.5 Aard en duur

Elektronische verwerking voor de duur van het abonnement en de afwikkeling volgens de instructies van de Klant. Tijdens het abonnement blijven de gegevens beschikbaar voor de dienstverlening. Teruggave of verwijdering volgt art. 12. Eventuele reservekopieën van verwijderde gegevens blijven daarna maximaal 24 uur bestaan. Een afwijkende opdracht wordt schriftelijk vastgelegd en moet voldoen aan de AVG.

Artikel 5 — Geheimhouding

5.1. De Verwerker zorgt ervoor dat personen die gemachtigd zijn persoonsgegevens te verwerken, zich tot geheimhouding hebben verbonden of onder een passende wettelijke geheimhoudingsplicht vallen.

5.2. De Verwerker beperkt toegang tot medewerkers/contractanten die de gegevens nodig hebben (“need to know”).

Artikel 6 — Beveiliging (art. 32 AVG) — TOMs

6.1. De Verwerker treft passende technische en organisatorische maatregelen, rekening houdend met de stand van de techniek, uitvoeringskosten, aard, omvang, context en doeleinden van de verwerking, alsmede de risico’s.

6.2. Zonder exhaustief te zijn, omvatten de maatregelen onder meer:

6.3. De Verwerker kan TOMs aanpassen zolang het beveiligingsniveau niet materieel daalt. Op redelijk verzoek verstrekt de Verwerker een actuele beschrijving op hoofdlijnen.

6.4. Geen absolute beveiligingsgarantie. De Klant is verantwoordelijk voor sterke wachtwoorden, correcte roltoekenning en interne procedures.

Artikel 7 — Subverwerkers

7.1. De Klant verleent hierbij een algemene schriftelijke toestemming aan de Verwerker om subverwerkers in te schakelen voor de levering van Moments.

7.2. Voor de levering van Moments worden de volgende subverwerkers ingeschakeld:

De lijst betreft de diensten die Learnable rechtstreeks voor deze verwerking inschakelt. Hun eigen subverwerkers vallen onder de genoemde leveranciersafspraken. Optionele websiteanalyses en de producthulp via Moments AI worden afzonderlijk beschreven in het Privacybeleid; er worden geen organisatiegegevens automatisch aan de AI-dienst toegevoegd. Opstellen met AI verwerkt alleen tekst die een beheerder zelf invoert en bewaart die niet buiten het concept dat de beheerder zelf opslaat. Door de Klant zelf gekozen externe koppelingen vallen onder de daarvoor overeengekomen opdracht en afspraken.

7.3. De Verwerker legt aan subverwerkers contractueel minstens gelijkwaardige gegevensbeschermingsverplichtingen op als in deze DPA, voor zover relevant voor de uitbestede verwerking.

7.4. Bij voorgenomen toevoeging of vervanging van een subverwerker informeert de Verwerker de Klant per e-mail met een kennisgevingstermijn van minstens veertien (14) kalenderdagen, behoudens spoed wegens beveiliging of overmacht. In dat geval volgt de melding zo spoedig mogelijk met uitleg over de reden.

7.5. De Klant kan binnen die termijn gemotiveerd bezwaar maken op redelijke gegevensbeschermingsgronden. Partijen overleggen te goeder trouw. Indien geen oplossing, mag de Klant Moments opzeggen tegen het einde van de lopende facturatieperiode zonder boete, onverminderd verschuldigde bedragen tot dan.

7.6. De Verwerker blijft verantwoordelijk jegens de Klant voor de nakoming door subverwerkers, binnen de aansprakelijkheidsgrenzen van art. 14.

Artikel 8 — Doorgiften buiten de EER

8.1. De productiedatabase staat in de EER. De overige verwerking is niet uitsluitend tot de EER beperkt: hosting, e-mail, ondersteuning en de dienstverlening van subverwerkers kunnen verwerking daarbuiten meebrengen, zoals beschreven in art. 7.2.

8.2. Doorgifte buiten de EER gebeurt enkel met geldig mechanisme (adequaatheidsbesluit, SCC’s, e.d.) en overeenkomstig instructies / deze DPA.

8.3. De verwerkersafspraken van Supabase, Vercel en Resend bevatten de toepasselijke doorgiftewaarborgen, waaronder de standaardcontractbepalingen van de Europese Commissie (Besluit (EU) 2021/914) waar vereist. Een adequaatheidsbesluit kan worden gebruikt voor zover de betrokken ontvanger en verwerking daaronder vallen. Op verzoek verstrekt Learnable informatie over de voor de Klant toepasselijke waarborgen en een kopie daarvan, met bescherming van vertrouwelijke informatie.

Artikel 9 — Bijstand aan betrokkenen

9.1. Rekening houdend met de aard van de verwerking, bijstaat de Verwerker de Klant met passende technische en organisatorische maatregelen, voor zover mogelijk, om te voldoen aan verzoeken van betrokkenen (inzage, rectificatie, wissen, beperking, overdraagbaarheid, bezwaar).

9.2. Verzoeken die rechtstreeks bij de Verwerker toekomen, worden — behoudens wettelijke uitzondering — onverwijld doorgeleid naar de Klant. De Verwerker handelt niet zelfstandig op dergelijke verzoeken zonder instructie van de Klant, tenzij verplicht door recht.

9.3. De Klant blijft primair aanspreekpunt voor medewerkers.

Artikel 10 — DPIA, voorafgaande raadpleging en overige bijstand

10.1. De Verwerker verleent redelijke bijstand aan de Klant bij:

• gegevensbeschermingseffectbeoordelingen (DPIA);
• voorafgaande raadpleging van de toezichthouder;
• het nakomen van art. 32–36 AVG,

rekening houdend met de aard van de verwerking en de informatie die de Verwerker ter beschikking heeft.

10.2. Disproportionele of herhaalde bijstand buiten de standaarddienst kan tegen redelijke uurtarieven worden aangerekend, na voorafgaande kennisgeving.

Artikel 11 — Melding van inbreuken (datalekken)

11.1. De Verwerker meldt een inbreuk in verband met persoonsgegevens aan de Klant zonder onredelijke vertraging en in ieder geval uiterlijk binnen 48 uur nadat de Verwerker ervan kennis heeft genomen, voor zover de inbreuk betrekking heeft op gegevens die onder deze DPA vallen.

11.2. De melding bevat, voor zover redelijkerwijs beschikbaar:

• aard van de inbreuk;
• categorieën en bij benadering aantal betrokkenen en gegevensrecords;
• waarschijnlijke gevolgen;
• genomen of voorgestelde maatregelen;
• contactpunt bij de Verwerker.

11.3. De Verwerker documenteert inbreuken en ondersteunt de Klant bij eventuele melding aan de GBA / betrokkenen. De Klant beslist over melding aan autoriteit en betrokkenen, tenzij dwingend recht de Verwerker rechtstreeks verplicht.

11.4. Melding aan: privacy-/contractcontact van de Klant zoals opgegeven, of bij gebreke daarvan het bekende admin-e-mailadres.

Artikel 12 — Teruggave en wissen bij einde

12.1. Na beëindiging van Moments voor de Klant, of op eerder schriftelijk verzoek, zal de Verwerker — naar keuze van de Klant en voor zover technisch ondersteund — persoonsgegevens wissen of teruggeven, en bestaande kopieën wissen, tenzij Unie- of Belgisch recht opslag verplicht (bv. facturatiegegevens van Learnable als eigen verantwoordelijke).

12.2. Producttransparantie: standaard export van de volledige historiek is momenteel geen gegarandeerde productfunctie. Weergavelimieten (o.a. 200 / 1.000 recente registraties) kunnen gelden. Partijen stemmen exit-/exportbehoeften vóór aanvang af. Op redelijk verzoek tijdens of bij einde van de dienst onderzoekt de Verwerker wat technisch haalbaar is (mogelijk tegen meerkosten).

12.3. Na verwijdering uit de actieve omgeving blijven eventuele reservekopieën van de betreffende gegevens maximaal 24 uur bestaan. Daarna worden die kopieën verwijderd of overschreven. Deze termijn begint bij de verwijdering, niet bij een gewone opzegging. Gegevens die Learnable wegens een wettelijke verplichting afzonderlijk moet bewaren, blijven beperkt tot dat doel.

12.4. Op verzoek bevestigt de Verwerker schriftelijk (e-mail) dat wissen heeft plaatsgevonden, behoudens wettelijke uitzonderingen.

Artikel 13 — Audits en informatie

13.1. De Verwerker stelt de Klant alle informatie ter beschikking die nodig is om na te gaan of de verplichtingen van art. 28 AVG worden nagekomen, en laat audits / inspecties toe zoals hieronder.

13.2. De Klant mag hoogstens één (1) audit per periode van twaalf (12) maanden uitvoeren, tenzij een incident of aanwijzing van niet-naleving een bijkomende audit rechtvaardigt, of de toezichthouder dit vereist.

13.3. Audits:

• worden minstens dertig (30) kalenderdagen vooraf schriftelijk aangekondigd, behalve wanneer een incident, een concrete aanwijzing van niet-naleving of een verzoek van een bevoegde toezichthouder een kortere termijn rechtvaardigt;
• vinden plaats tijdens kantooruren;
• verstoren de bedrijfsvoering zo min mogelijk;
• kunnen (deels) worden ingevuld door actuele beveiligingsdocumentatie, certificaten van subverwerkers, of een onafhankelijk auditrapport;
• gebeuren onder geheimhouding.

13.4. Kosten van de audit draagt de Klant, tenzij een materiële tekortkoming van de Verwerker wordt vastgesteld die de audit rechtvaardigde.

Artikel 14 — Aansprakelijkheid

14.1. Aansprakelijkheid van Partijen onder deze DPA volgt de aansprakelijkheidsregeling van de Algemene Voorwaarden Moments (inclusief uitsluitingen van indirecte schade en het plafond gelijk aan de door de Klant aan Moments betaalde vergoedingen in de twaalf (12) maanden voorafgaand aan de schadeveroorzakende gebeurtenis), voor zover dwingend recht dat toelaat.

14.2. Niets in deze DPA beperkt aansprakelijkheid die volgens dwingend recht niet mag worden beperkt (o.a. opzet, grove schuld naar Belgisch recht, voor zover van toepassing).

14.3. Boetes van toezichthouders die uitsluitend het gevolg zijn van een tekortkoming van de Klant (rechtsgrond, informatieplicht, onrechtmatige instructies) blijven voor rekening van de Klant. Omgekeerd: boetes die uitsluitend het gevolg zijn van een tekortkoming van de Verwerker in diens verwerkersplichten, vallen onder art. 14.1.

Artikel 15 — Naleving en medewerking toezichthouder

De Verwerker werkt, voor zover wettelijk verplicht en relevant voor Moments, mee met de bevoegde toezichthouder en informeert de Klant waar gepast en toegelaten.

Artikel 16 — Wijzigingen

Wijzigingen van deze DPA gebeuren schriftelijk (inclusief geaccepteerde elektronische vorm). Bij verplichte wijzigingen door wet- of rechtspraak mag de Verwerker een update voorstellen; weigert de Klant een noodzakelijke update, kan de Verwerker de dienst beëindigen met inachtneming van een redelijke termijn.

Artikel 17 — Toepasselijk recht en geschillen

Belgisch recht. Geschillen behoren tot de bevoegdheid van de Ondernemingsrechtbank Antwerpen, afdeling Hasselt, onverminderd dwingende bevoegdheidsregels.

Artikel 18 — Slot

18.1. Indien een bepaling nietig of onafdwingbaar is, blijven de overige bepalingen van kracht. Partijen vervangen de bepaling door een geldige die de bedoeling het dichtst benadert.

18.2. Deze DPA kan digitaal worden ondertekend of aanvaard (klik-acceptatie, e-mailbevestiging bij abonnementsactivatie).

Aanvaarding

Deze verwerkersovereenkomst maakt deel uit van de overeenkomst voor Moments en wordt samen daarmee schriftelijk of digitaal aanvaard. De Klant en zijn bevoegde vertegenwoordiger worden geïdentificeerd volgens de gegevens onder Partijen. De order-, activatie- of ondertekeningsbevestiging legt de aanvaarding vast.

Namens Learnable BV: Kutlu Taskin Tuna, zaakvoerder. Bij afzonderlijke ondertekening worden de datum en ondertekening van beide Partijen vastgelegd in die bevestiging.

Bijlage A — Instructies (standaard)

De standaardinstructie luidt: verwerk de in art. 4 genoemde gegevens uitsluitend om Moments te leveren zoals geconfigureerd door de Klant-admins, inclusief support op verzoek, beveiliging en wettelijke verplichtingen van de Verwerker.

Bijlage B — Subverwerkers

De actuele lijst staat in artikel 7.2 van deze verwerkersovereenkomst, gepubliceerd op moments.business/verwerkersovereenkomst. Wijzigingen worden meegedeeld volgens artikel 7.4.

Verwerkersovereenkomst Moments · Learnable BV · BE 0733.680.680 · Versie 2026-11-02