# Verwerkersovereenkomst
Hoe Formstep persoonsgegevens namens jou verwerkt
## Verwerkersovereenkomst
De voorwaarden waaronder Formstep persoonsgegevens verwerkt namens klanten die onder de AVG en vergelijkbare gegevensbeschermingswetten vallen.
> ℹ️ **Laatst bijgewerkt: 7 oktober 2026**
>
>
> Deze Verwerkersovereenkomst ("VWO") maakt deel uit van de Servicevoorwaarden tussen jou (de
> "Klant") en Formstep (de "Verwerker"). Ze is automatisch van toepassing zodra je Formstep gebruikt om persoonsgegevens van
> identificeerbare personen te verzamelen, op te slaan of anderszins te verwerken die vallen onder de Algemene Verordening
> Gegevensbescherming (Verordening (EU) 2016/679, "AVG"), de Britse AVG, de Noorse Wet Persoonsgegevens (personopplysningsloven) of een
> andere toepasselijke gegevensbeschermingswet die een schriftelijke verwerkingsovereenkomst vereist.
>
>
> Een handtekening is niet vereist. Jouw gebruik van Formstep voor de verwerking van persoonsgegevens geldt als aanvaarding van deze
> VWO.
>
>
1. Partijen
Deze VWO wordt gesloten tussen:
- **Klant** — de natuurlijke of rechtspersoon die de Formstep [Servicevoorwaarden](/nl/legal/terms-of-service) heeft aanvaard en namens wie persoonsgegevens worden verwerkt (optredend als "Verwerkingsverantwoordelijke").
- **Formstep** — Formbase AS, een Noors besloten vennootschap met organisatienummer 937 921 217 en statutaire zetel in Oslo, Noorwegen (optredend als de "Verwerker").
Waar de AVG of een andere toepasselijke wet verwijst naar de partijen als "verwerkingsverantwoordelijke" en "verwerker", of "gegevensexporteur" en "gegevensimporteur", komen deze begrippen in het kader van deze VWO overeen met respectievelijk de Klant en Formstep.
2. Definities
Begrippen die in deze VWO worden gebruikt maar hier niet zijn gedefinieerd, hebben de betekenis die eraan wordt gegeven in de
[Servicevoorwaarden](/nl/legal/terms-of-service) of in de AVG. In het bijzonder:
- **Service** — het Formstep-platform, inclusief de formuliereneditor, gepubliceerde formulieren, inzendingenbeeer, integraties, AI-functies, API’s en alle gerelateerde functionaliteit die wordt geleverd onder de [Servicevoorwaarden](/nl/legal/terms-of-service).
- **Formulier** — een online formulier, enquête, quiz of andere pagina voor gegevensverzameling die door de Klant via de Service is aangemaakt en gepubliceerd.
- **Inzending** — een volledig of gedeeltelijk antwoord dat door een Betrokkene via een Formulier is ingediend, inclusief alle veldwaarden, bestandsuploads, metadata en bijbehorende tijdstempels.
- **Werkruimte** — de organisatorische eenheid binnen de Service waarbinnen de Klant Formulieren, Inzendingen, leden en integraties beheert.
- **AI-functies** — de door AI aangedreven mogelijkheden van de Service, waaronder het genereren van AI-formulieren, AI-chat en andere functies die gegevens naar een AI-model van derden sturen voor inferentie.
- **Persoonsgegevens** — alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals gedefinieerd in artikel 4(1) AVG, die de Klant via de Service verwerkt.
- **Verwerking** — elke bewerking met betrekking tot Persoonsgegevens, zoals gedefinieerd in artikel 4(2) AVG.
- **Betrokkene** — de identificeerbare persoon op wie Persoonsgegevens betrekking hebben, inclusief respondenten die Formulieren indienen, leden van een Werkruimte en de eigen eindgebruikers van de Klant.
- **Subverwerker** — elke derde partij die door Formstep wordt ingeschakeld om Persoonsgegevens namens Formstep te verwerken in verband met de Service.
- **Standaardcontractbepalingen** of **SCB’s** — de door de Europese Commissie vastgestelde standaardcontractbepalingen voor de doorgifte van persoonsgegevens aan derde landen, vastgesteld in Besluit (EU) 2021/914, inclusief het Britse International Data Transfer Addendum waar van toepassing.
- **Toepasselijke Gegevensbeschermingswet** — de AVG, de Britse AVG, de Noorse Wet Persoonsgegevens en elke andere privacywet of gegevensbeschermingswet die van toepassing is op de verwerking van Persoonsgegevens door de Klant via de Service.
3. Reikwijdte en Rollen
Deze VWO regelt de verwerking van Persoonsgegevens door Formstep namens de Klant via de Service. Voor die Verwerking geldt:
- De Klant is de **Verwerkingsverantwoordelijke**. De Klant bepaalt de doeleinden en middelen van de Verwerking, beslist welke Persoonsgegevens via Formulieren worden verzameld, configureert instellingen voor bewaring en deling, en verbindt integraties.
- Formstep is de **Verwerker**. Formstep verwerkt Persoonsgegevens op basis van de gedocumenteerde instructies van de Klant, voornamelijk om de Service te beheren, de door de Klant ingeschakelde functies te leveren en te voldoen aan haar beveiligings- en ondersteuningsverplichtingen.
Voor Persoonsgegevens die Formstep rechtstreeks over de Klant als Formstep-gebruiker verzamelt — zoals accountgegevens, abonnementsmetadata ontvangen van Polar en productgebruikstelemetrie — treedt Formstep op als onafhankelijke **Verwerkingsverantwoordelijke**. Die Verwerking wordt geregeld door het [Privacybeleid](/nl/legal/privacy-policy), niet door deze VWO. Betalings- en facturatiegegevens van kopers worden beheerd door Polar, dat optreedt als onafhankelijke verwerkingsverantwoordelijke als Merchant of Record.
Voor betalingen van respondenten die via Stripe Connect worden verwerkt, is de Klant de merchant of record en Verwerkingsverantwoordelijke voor de betalingsgerelateerde Persoonsgegevens; Stripe treedt op als onafhankelijke verwerkingsverantwoordelijke voor betalingsverwerking. Zie [Bijlage 1](#annex-1) voor meer informatie.
4. Onderwerp, Aard, Doel en Duur
Formstep verwerkt Persoonsgegevens alleen voor zover noodzakelijk om de Service aan de Klant te leveren onder de Servicevoorwaarden.
- **Onderwerp** — het hosten en exploiteren van online formulieren, het verzamelen en opslaan van Inzendingen, en het leveren van gerelateerde functies zoals analyses, integraties, AI-functies, meldingen en exports.
- **Aard** — verzameling, opslag en alle technische bewerkingen die nodig zijn om de Service te draaien.
- **Doel** — de Klant in staat stellen Formulieren te bouwen en te publiceren, antwoorden van Betrokkenen te verzamelen, Inzendingen te beheren en verbinding te maken met tools van derden, alles in overeenstemming met de configuratie en instructies van de Klant. De instructies van de Klant kunnen worden gegeven via de webapplicatie, de API, MCP-verbindingen (Model Context Protocol) of andere programmatische interfaces die beschikbaar zijn als onderdeel van de Service.
- **Duur** — zolang het account van de Klant actief is en Persoonsgegevens worden opgeslagen in de Service, plus de beperkte bewaarperiode die is beschreven in [Sectie 12](#return-deletion).
5. Categorieën van Betrokkenen en Persoonsgegevens
Categorieën van Betrokkenen
Onder deze VWO verwerkte Persoonsgegevens kunnen betrekking hebben op:
- Respondenten die de Formulieren van de Klant indienen;
- Eigenaars en leden van de Werkruimte van de Klant;
- Contacten, leads of eindgebruikers van de Klant wiens gegevens de Klant importeert of via integraties doorstuurt;
- Elke andere Betrokkene wiens gegevens de Klant kiest om via de Service te verwerken.
Categorieën van Persoonsgegevens
De Klant bepaalt welke Persoonsgegevens worden verzameld. De categorieën omvatten doorgaans:
- **Identificatiegegevens** — namen, e-mailadressen, telefoonnummers, postadressen.
- **Formulierantwoorden** — vrije tekstantwoorden, keuzes, beoordelingen, bestandsuploads, handtekeningen, betalingstransactieverwijzingen en andere inhoud die Betrokkenen invoeren.
- **Concept- en gedeeltelijke antwoorden** — conceptinzendingen en gedeeltelijke antwoorden die aan de serverzijde worden opgeslagen terwijl een Betrokkene een Formulier invult, samen met de tijdstempels die worden gebruikt voor herinneringen bij verlaten formulieren waar de Klant die functie heeft ingeschakeld.
- **Profiel- en accountgegevens** — e-mailadressen van Werkruimteleden, weergavenamen, rol- en toestemmingsinstellingen.
- **Technische gegevens** — tijdstempels, geschat land, apparaattype, browsermetadata, verkeersbron en betrokkenheidsduur vastgelegd als onderdeel van Inzendingen of analysegebeurtenissen; bezoekersidentificatoren die client-side worden opgeslagen om weergaven en betrokkenheidsaantallen te dedupliceren.
- **IP-adressen en beveiligingslogboeken** — IP-adressen worden tijdelijk verwerkt bij de edge (Cloudflare) voor snelheidsbeperking, botbeveiliging via Cloudflare Turnstile en misbruikpreventie. IP-adressen worden niet persistent opgeslagen naast de inhoud van Inzendingen in de primaire database van Formstep. Kortlevende beveiligings- en misbruiklogboeken kunnen IP-adressen bewaren gedurende de beperkte periode die nodig is om die verdedigingen te beheren.
- **Integratiegegevens** — identificatoren, tokens en payloads uitgewisseld met diensten van derden die de Klant verbindt.
- **AI-invoer/-uitvoer** — prompts, formulierstructuur en Inzendingssamples die de Klant expliciet als context doorgeeft, plus de gegenereerde uitvoer, wanneer de Klant AI-functies gebruikt.
Formstep is niet ontworpen voor en de Klant mag geen bijzondere categorieën gegevens indienen op grond van artikel 9 AVG, gegevens over strafrechtelijke veroordelingen op grond van artikel 10 AVG, overheidsidentificatoren die worden gebruikt voor primaire identiteitsverificatie, betaalkaartgegevens buiten het Betalingsveld, of andere gereguleerde gegevensklassen vermeld in [Sectie 6 van de Servicevoorwaarden](/nl/legal/terms-of-service#acceptable-use), tenzij Formstep dit schriftelijk anders is overeengekomen.
Als Formstep er kennis van neemt dat de Klant verboden gegevensklassen heeft ingediend, kan Formstep de Klant hiervan op de hoogte stellen en de gegevens verwijderen. De Klant is als Verwerkingsverantwoordelijke verantwoordelijk voor het waarborgen van een geldige rechtsgrondslag voor alle Persoonsgegevens die aan de Service worden verstrekt.
6. Verplichtingen van de Klant
De Klant is verantwoordelijk voor zijn rol als Verwerkingsverantwoordelijke. In het bijzonder:
- Bepaalt de Klant een rechtmatige grondslag op grond van artikel 6 AVG (en, waar van toepassing, artikel 9 AVG) voor elke verwerkingsactiviteit die via de Service wordt uitgevoerd;
- Verstrekt de Klant Betrokkenen alle vereiste informatie, inclusief een privacyverklaring over het gebruik van Formstep door de Klant, en verkrijgt eventueel vereiste toestemming;
- Respecteert de Klant de rechten van Betrokkenen op grond van artikelen 15–22 AVG voor de Persoonsgegevens die de Klant verwerkt;
- Stelt de Klant de Service op de juiste manier in, inclusief bewaarregels, delingsinstellingen, integraties en toegangscontroles;
- Uploadt de Klant geen Persoonsgegevens waarvoor de Service niet is ontworpen, zoals beschreven in [Sectie 5](#categories) en [Sectie 6 van de Servicevoorwaarden](/nl/legal/terms-of-service#acceptable-use);
- Houdt de Klant de toegangslijsten van Werkruimteleden, API-sleutels, OAuth-inloggegevens en MCP-tokens actueel en trekt deze in wanneer ze niet langer nodig zijn;
- Documenteert de Klant zijn eigen verwerkingsactiviteiten op grond van artikel 30 AVG en voert waar nodig gegevensbeschermingseffectbeoordelingen uit op grond van artikel 35 AVG.
De Klant garandeert dat hij het recht heeft om Formstep de in deze VWO beschreven instructies te geven en dat alle Persoonsgegevens rechtmatig zijn verzameld en met Formstep zijn gedeeld.
Gedocumenteerde instructies
Formstep verwerkt Persoonsgegevens uitsluitend op basis van de gedocumenteerde instructies van de Klant, inclusief de doorgifte van
Persoonsgegevens buiten de Europese Economische Ruimte, tenzij dit vereist wordt door het recht van de Unie of van een lidstaat. De
instructies van de Klant zijn vastgelegd in deze VWO, in de Servicevoorwaarden, in de configuratie van de Service en in eventuele
aanvullende schriftelijke instructies die de Klant van tijd tot tijd kan geven.
Formstep verwerkt Persoonsgegevens niet voor eigen marketingdoeleinden, profilering of enig ander doel dan het leveren en beveiligen van de Service zoals geïnstrueerd door de Klant.
Als Formstep van mening is dat een instructie in strijd is met de Toepasselijke Gegevensbeschermingswet, zal Formstep de Klant hiervan op de hoogte stellen en de instructie niet uitvoeren.
Vertrouwelijkheid
Formstep zorgt ervoor dat personen die bevoegd zijn Persoonsgegevens te verwerken, zich tot vertrouwelijkheid hebben verplicht of
onderworpen zijn aan een passende wettelijke geheimhoudingsplicht. Toegang tot Persoonsgegevens is beperkt tot medewerkers die deze nodig
hebben om hun taken uit te voeren.
Beveiligingsmaatregelen
Formstep implementeert passende technische en organisatorische maatregelen om Persoonsgegevens te beschermen tegen onopzettelijke of
onrechtmatige vernietiging, verlies, wijziging, ongeoorloofde openbaarmaking of toegang, rekening houdend met de stand van de techniek, de
implementatiekosten en de aard, omvang, context en doeleinden van de Verwerking. De huidige maatregelen zijn beschreven in [Bijlage
2](#annex-2).
Bijstand
Rekening houdend met de aard van de Verwerking en de informatie die Formstep beschikbaar heeft, zal Formstep de Klant bijstaan, door middel
van passende technische en organisatorische maatregelen, bij het nakomen van zijn verplichtingen om:
- Te reageren op verzoeken van Betrokkenen op grond van artikelen 15–22 AVG (zie [Sectie 8](#data-subjects-rights));
- De beveiliging van de Verwerking te handhaven (artikel 32 AVG);
- Inbreuken op Persoonsgegevens te melden (artikel 33 AVG) — zie [Sectie 11](#breach);
- Betrokkenen op de hoogte te stellen van inbreuken waar nodig (artikel 34 AVG);
- Gegevensbeschermingseffectbeoordelingen uit te voeren (artikel 35 AVG); en
- Waar nodig te overleggen met toezichthoudende autoriteiten (artikel 36 AVG).
Waar deze bijstand de mogelijkheden van standaard productfuncties aanzienlijk overstijgt, kan Formstep een redelijke vergoeding in rekening brengen, die schriftelijk (ook per e-mail) met de Klant wordt bevestigd voordat de werkzaamheden beginnen.
8. Rechten van Betrokkenen
De Service is zo ontworpen dat de Klant de meeste verzoeken van Betrokkenen rechtstreeks kan afhandelen, zonder tussenkomst van Formstep. De
Klant kan:
- Inzendingen bekijken, exporteren en verwijderen vanuit het Inzendingengebied van elk Formulier;
- Werkruimtegegevens exporteren, inclusief Formulieren en Inzendingen, in CSV of Excel (XLSX) — deze gestructureerde, machineleesbare formaten voldoen ook aan verzoeken om gegevensoverdraagbaarheid op grond van artikel 20 AVG;
- De toegang van een Werkruimtelid beperken of verwijderen;
- Volledige Formulieren, Werkruimten of het account verwijderen, met inachtneming van de bewaarregels in het [Privacybeleid](/nl/legal/privacy-policy).
Formstep voert geen geautomatiseerde besluitvorming of profilering uit op de Persoonsgegevens van de Klant in de zin van artikel 22 AVG.
Als een Betrokkene rechtstreeks contact opneemt met Formstep met een verzoek over Persoonsgegevens die voor de Klant worden verwerkt, zal Formstep de Betrokkene waar mogelijk doorverwijzen naar de Klant en niet namens de Klant reageren.
9. Subverwerkers
De Klant machtigt Formstep om de in [Bijlage 1](#annex-1) vermelde Subverwerkers in te schakelen voor de Verwerking van Persoonsgegevens.
Formstep zal:
- Een schriftelijke overeenkomst sluiten met elke Subverwerker die gegevensbeschermingsverplichtingen oplegt die niet minder beschermend zijn dan die welke in deze VWO zijn neergelegd, inclusief, waar van toepassing, de SCB’s;
- Volledig aansprakelijk blijven jegens de Klant voor de nakoming van de gegevensbeschermingsverplichtingen van elke Subverwerker, in overeenstemming met artikel 28(4) AVG.
Formstep zal de Klant redelijk van tevoren op de hoogte stellen voordat een nieuwe Subverwerker begint met de Verwerking van Persoonsgegevens. De Klant kan bezwaar maken tegen een nieuwe Subverwerker op redelijke, gedocumenteerde gegevensbeschermingsgronden door te schrijven naar support@formstep.io binnen een redelijke termijn.
Als Formstep het bezwaar van de Klant redelijkerwijs niet kan accommoderen, kan de Klant de betrokken Verwerking beëindigen.
10. Internationale Doorgiften
Formstep is gevestigd in Noorwegen, dat deel uitmaakt van de Europese Economische Ruimte (EER). Voor gegevensstromen tussen Formstep en
Klanten die binnen de EER zijn gevestigd, is geen doorgifte-waarborg vereist. Verscheidene Subverwerkers van Formstep zijn gevestigd in de
Verenigde Staten of verwerken Persoonsgegevens op infrastructuur buiten de EER of het Verenigd Koninkrijk. Voor elke dergelijke
internationale doorgifte vertrouwt Formstep op een of meer van de volgende waarborgen:
- Een **adequaatheidsbesluit** van de Europese Commissie of een bevoegde autoriteit, waar dat bestaat voor het bestemmingsland;
- De **Standaardcontractbepalingen** vastgesteld door de Europese Commissie in [Besluit (EU) 2021/914](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32021D0914) (zoals uitgebreid naar de EER door het Besluit van het Gemengd EER-Comité), opgenomen door verwijzing in deze VWO, met de module die van toepassing is afhankelijk van de doorgifte in kwestie (Module 2 — Verwerkingsverantwoordelijke naar Verwerker — voor de doorgifte van de Klant naar Formstep; Module 3 — Verwerker naar Verwerker — voor de verdere doorgifte door Formstep aan Subverwerkers die als verwerkers optreden). Waar een Subverwerker (zoals Polar of Stripe) facturerings- of betalingsgegevens **rechtstreeks** van kopers of respondenten verzamelt als onafhankelijke verwerkingsverantwoordelijke, valt die verzameling buiten de verwerkersketen van Formstep en zijn de eigen doorgiftemechanismen van de Subverwerker van toepassing tussen de betrokkene en de Subverwerker;
- Het **Britse International Data Transfer Addendum** uitgegeven door de Britse Information Commissioner (van kracht maart 2022), wanneer Persoonsgegevens onderworpen zijn aan de Britse AVG;
- De **Standaardcontractbepalingen** zoals erkend door de Zwitserse Federale Commissaris voor Gegevensbescherming en Informatie (FDPIC), met de Zwitsersspecifieke aanpassingen beschreven in de FDPIC-richtlijnen van 27 augustus 2021 (die verduidelijken dat verwijzingen naar "lidstaat" niet zo mogen worden uitgelegd dat Zwitserland wordt uitgesloten, de FDPIC aanwijzen als bevoegde toezichthoudende autoriteit, en de reikwijdte uitbreiden tot persoonsgegevens van rechtspersonen), wanneer Persoonsgegevens onderworpen zijn aan de Zwitserse Federale Wet op de Gegevensbescherming (nFADP);
- Het **EU–VS Data Privacy Framework** (DPF), de Britse uitbreiding ervan, en het **Zwitsers–VS Data Privacy Framework**, wanneer de specifieke in de VS gevestigde Subverwerker is gecertificeerd onder het toepasselijke kader (Formstep valt terug op SCB’s wanneer certificering ontbreekt of vervalt); en
- **Aanvullende technische en organisatorische maatregelen** zoals beschreven in [Bijlage 2](#annex-2).
Waar Formstep voor een doorgifte naar een land zonder adequaatheidsbesluit vertrouwt op SCB’s, overweegt Formstep het rechtskader in het bestemmingsland en past de aanvullende maatregelen in [Bijlage 2](#annex-2) toe om geïdentificeerde risico’s aan te pakken.
Waar SCB’s de toepasselijke doorgiftewaas zijn, wordt de Klant door aanvaarding van deze VWO geacht de SCB’s te hebben ondertekend als gegevensexporteur en ondertekent Formstep deze als gegevensimporteur. Voor de doeleinden van Bijlage I bij de SCB’s: (a) zijn de partijen geïdentificeerd in [Sectie 1](#parties) van deze VWO; (b) is de beschrijving van de doorgifte — categorieën betrokkenen, categorieën persoonsgegevens, frequentie van doorgifte, aard en doel van de verwerking, en bewaartermijn — uiteengezet in [Secties 4](#subject-matter) en [5](#categories) van deze VWO; en (c) is de bevoegde toezichthoudende autoriteit de Noorse Autoriteit Persoonsgegevens (Datatilsynet). Deze VWO voldoet daarmee aan de Bijlage I-vereisten van de SCB’s. De SCB’s zijn alleen van toepassing op doorgiften die ze vereisen. In geval van een conflict tussen deze VWO en de SCB’s prevaleren de SCB’s voor zover het conflict betrekking heeft.
11. Inbreuken op Persoonsgegevens
Formstep zal de Klant zonder onnodige vertraging op de hoogte stellen nadat Formstep kennis heeft gekregen van een Inbreuk op
Persoonsgegevens die de Persoonsgegevens van de Klant betreft. De melding bevat, voor zover op dat moment bekend, de aard en omvang van de
inbreuk, de waarschijnlijke gevolgen en de maatregelen die Formstep heeft genomen of voorstelt te nemen.
Waar volledige informatie op het moment van de eerste melding niet beschikbaar is, zal Formstep deze gefaseerd verstrekken zonder onnodige vertraging. De Klant is verantwoordelijk voor het actueel houden van zijn contactgegevens en voor het melden aan zijn eigen Betrokkenen en toezichthoudende autoriteiten waar nodig.
Het melden aan de Klant is op zichzelf geen erkenning door Formstep van schuld of aansprakelijkheid voor een inbreuk.
12. Teruggave en Verwijdering van Gegevens
De Klant kan Formulieren en Inzendingen op elk moment in standaardformaten exporteren terwijl zijn account actief is, zoals beschreven in de
[Servicevoorwaarden](/nl/legal/terms-of-service).
Bij beëindiging van de Service of een schriftelijk verzoek van de Klant, verwijdert Formstep alle Persoonsgegevens die namens de Klant zijn verwerkt, tenzij het recht van de Unie, het recht van een lidstaat of het toepasselijke Noorse recht verdere opslag vereist. De Klant is verantwoordelijk voor het exporteren van gegevens die hij wil bewaren voordat het account wordt gesloten, met behulp van de in-product tools beschreven in [Sectie 8](#data-subjects-rights). Specifiek:
- Wanneer een Formulier of Werkruimte uit de Service wordt verwijderd, worden de onderliggende records verwijderd uit actieve systemen en zijn ze niet meer bereikbaar via de applicatie;
- Wanneer een Klantenaccount wordt gesloten, worden de Persoonsgegevens van het account verwijderd uit actieve systemen. De Klant is verantwoordelijk voor het exporteren van gegevens die hij wil bewaren voordat het account wordt gesloten;
- Persoonsgegevens worden verwijderd uit back-ups wanneer het bijbehorende back-upvenster vervalt. Bestandsuploads opgeslagen in Cloudflare R2 worden niet gedekt door objectversiebeheer; verwijderingen van bestandsuploads zijn onmiddellijk onherstelbaar;
- Concept- en gedeeltelijke antwoorden worden bewaard gedurende een beperkte periode (of totdat de Betrokkene de Inzending voltooit), waarna ze automatisch worden verwijderd uit actieve systemen;
- Persoonsgegevens die Formstep wettelijk verplicht is te bewaren — zoals factureringsgegevens of gegevens met betrekking tot een juridische claim — worden gearchiveerd in systemen met beperkte toegang gedurende de wettelijk vereiste periode.
13. Audits
Formstep stelt de Klant alle informatie beschikbaar die redelijkerwijs noodzakelijk is om de naleving van zijn verplichtingen op grond van
artikel 28 AVG en deze VWO aan te tonen, wanneer de Klant gerechtvaardigde gronden heeft — zoals een bevestigde Inbreuk op Persoonsgegevens,
een wezenlijke schending van deze VWO of een verzoek van een toezichthoudende autoriteit. Standaard bestaat deze informatie uit:
- Deze VWO en het [Privacybeleid](/nl/legal/privacy-policy) in de documentatie van Formstep;
- De lijst van Subverwerkers in [Bijlage 1](#annex-1) en de technische en organisatorische maatregelen beschreven in [Bijlage 2](#annex-2);
- Schriftelijke antwoorden op redelijke, specifieke vragen verzonden naar support@formstep.io.
Waar een toezichthoudende autoriteit een inspectie ter plaatse vereist, zal Formstep medewerking verlenen voor zover wettelijk vereist.
14. Aansprakelijkheid
De aansprakelijkheid van elke partij onder deze VWO is onderworpen aan de beperkingen en uitsluitingen beschreven in [Sectie 25 (Beperking
van Aansprakelijkheid)](/nl/legal/terms-of-service#limitation-of-liability) van de Servicevoorwaarden. De totale aansprakelijkheid van
Formstep onder of in verband met deze VWO maakt deel uit van het algemene aansprakelijkheidsplafond in de Servicevoorwaarden en vormt geen
aanvulling daarop.
Onverminderd het bovengenoemde financiële plafond beperkt niets in deze VWO enige aansprakelijkheid die niet kan worden beperkt op grond van dwingende Toepasselijke Gegevensbeschermingswet, inclusief aansprakelijkheid jegens een Betrokkene op grond van artikel 82 AVG. De uitzondering van artikel 82 geldt ongeacht het totale plafond in de Servicevoorwaarden.
Formstep is niet aansprakelijk op grond van artikel 82 AVG voor zover Formstep aantoont dat het op geen enkele manier verantwoordelijk is voor de gebeurtenis die aanleiding geeft tot de schade, in overeenstemming met artikel 82(3) AVG.
15. Looptijd en Beëindiging
Deze VWO treedt in werking wanneer de Klant voor het eerst Persoonsgegevens aan de Service verstrekt, en uiterlijk op de datum waarop de
Klant de Servicevoorwaarden aanvaardt. Ze blijft van kracht zolang Formstep Persoonsgegevens namens de Klant verwerkt.
Deze VWO eindigt wanneer de Servicevoorwaarden eindigen, op voorwaarde dat ze van kracht blijft totdat Formstep de teruggave of verwijdering van alle Persoonsgegevens op grond van [Sectie 12](#return-deletion) heeft voltooid. De bepalingen van [Secties 5 (Categorieën)](#categories), [7 (Verplichtingen van Formstep)](#formstep-obligations) (inclusief de vertrouwelijkheidsverplichtingen daarin), [9 (Subverwerkers)](#subprocessors), [11 (Inbreuk)](#breach), [12 (Teruggave en Verwijdering)](#return-deletion), [13 (Audits)](#audits), [14 (Aansprakelijkheid)](#liability) en [16 (Toepasselijk Recht)](#governing-law) blijven na beëindiging van kracht voor zover noodzakelijk om uitvoering te geven aan hun inhoud.
16. Toepasselijk Recht en Bevoegde Rechtbank
Deze VWO wordt beheerst door het recht van Noorwegen, zonder rekening te houden met de conflictenrechtelijke beginselen ervan. Elk geschil
dat voortvloeit uit of verband houdt met deze VWO is onderworpen aan dezelfde bepalingen inzake geschillenbeslechting en bevoegde rechtbank
als de Servicevoorwaarden, behalve waar de Toepasselijke Gegevensbeschermingswet een ander forum verplicht stelt.
Waar de SCB’s van toepassing zijn, prevaleren het toepasselijke recht en het forum dat in de SCB’s is gespecificeerd voor zover er een conflict bestaat.
17. Wijzigingen van deze VWO
Formstep kan deze VWO van tijd tot tijd bijwerken om wijzigingen in de Service, de Toepasselijke Gegevensbeschermingswet of de richtlijnen
van de toezichthoudende autoriteiten te weerspiegelen.
- **Niet-wezenlijke wijzigingen** (opmaak, verduidelijkingen die geen verplichtingen wijzigen, updates van Bijlage 1 die het in [Sectie 9](#subprocessors) beschreven meldingsproces volgen) worden van kracht bij publicatie.
- **Wezenlijke wijzigingen** (elke wijziging die de reikwijdte van de Verwerking verandert, het beschermingsniveau van Persoonsgegevens verlaagt of de verplichtingen van de partijen wijzigt) worden van kracht na redelijke voorafgaande kennisgeving. Voortgezet gebruik van de Service na de kennisgevingsperiode geldt als aanvaarding.
Voor alle zaken met betrekking tot deze VWO, inclusief verzoeken van betrokkenen die niet via de Service kunnen worden afgehandeld, bezwaren
tegen Subverwerkers, auditverzoeken of meldingen van inbreuken, neem contact met ons op via:
- **VWO-vragen, verzoeken van betrokkenen en beveiligingsrapportages** — support@formstep.io
Formstep heeft geen Functionaris voor Gegevensbescherming aangesteld. Op grond van artikel 37 AVG is een FG vereist voor overheidsinstanties en -organen (met uitzondering van rechtbanken), of wanneer kernactiviteiten bestaan uit grootschalige, regelmatige en stelselmatige monitoring van personen, of grootschalige verwerking van bijzondere categorieën gegevens (artikel 9) of gegevens over strafrechtelijke veroordelingen (artikel 10); de kernactiviteiten van Formstep voldoen niet aan een van deze drempelwaarden. Alle VWO-gerelateerde zaken worden afgehandeld via het bovenstaande contactpunt.
Bijlage 1 — Subverwerkers
Formstep schakelt de volgende partijen in verband met de Service in. Convex, Cloudflare R2, Cloudflare, Amazon Web Services (AWS), Axiom en
Unsplash treden op als gegevensverwerkers onder de instructie van Formstep en zijn echte subverwerkers in de zin van artikel 28 AVG. Polar
en Stripe zijn hier vermeld voor transparantie, maar treden op als **onafhankelijke verwerkingsverantwoordelijken** voor de gegevens die ze
rechtstreeks verzamelen van respectievelijk kopers en respondenten; de verplichtingen van Formstep op grond van artikel 28 zijn niet van
toepassing op de gegevens die deze partijen beheren, en hun eigen doorgiftemechanismen zijn waar van toepassing van toepassing. Google biedt
optionele OAuth-aanmelding: gebruikers authenticeren zich rechtstreeks bij Google, dat optreedt als onafhankelijke
verwerkingsverantwoordelijke voor het Google-account; Formstep ontvangt uitsluitend het basisprofiel voor aanmelding (naam, e-mailadres,
profielfoto). PostHog is vermeld voor transparantie: Formstep gebruikt het als verwerkingsverantwoordelijke voor analyses van de eigen
website en accountregistraties, en het ontvangt geen Persoonsgegevens van de Klant.
**Door de Klant gestuurde integraties.** Wanneer de Klant een integratie inschakelt (Notion, Airtable, Google Sheets, Slack, Discord, Linear, GitHub, webhooks, enz.), stuurt Formstep gegevens door naar die service op basis van de gedocumenteerde instructie van de Klant. De dienst van derden is geen Subverwerker van Formstep; de Klant is verantwoordelijk als Verwerkingsverantwoordelijke voor het waarborgen van een rechtmatige grondslag, passende gegevensverwerkingsovereenkomsten en doorgiftemechanismen met elke service die hij verbindt.
Als Formstep een nieuwe Subverwerker inschakelt of een nieuwe LLM-provider toevoegt, wordt [Bijlage 1](#annex-1) bijgewerkt in overeenstemming met [Sectie 9](#subprocessors). De contractuele verplichtingen die Formstep aan elke Subverwerker oplegt, zijn beschreven in [Sectie 9](#subprocessors).
Bijlage 2 — Technische en Organisatorische Maatregelen
Formstep implementeert de volgende technische en organisatorische maatregelen om Persoonsgegevens te beschermen, rekening houdend met de
stand van de techniek, de implementatiekosten en de aard van de Verwerking. Specifieke maatregelen kunnen in de loop van de tijd evolueren,
op voorwaarde dat het algehele beschermingsniveau niet wordt verlaagd.
Toegangscontrole
- Rolgebaseerde toegangscontroles binnen de Service, met machtigingen op werkruimteniveau voor eigenaars en leden;
- Wachtwoordloze authenticatie via magic-link e-mail of Google OAuth-aanmelding (door de Klant beheerde meervoudige authenticatie is beschikbaar op het Google-account dat wordt gebruikt voor aanmelding), met snelheidsbeperking op de aanmeldingseindpunten; anonieme gastsessies (aangemaakt wanneer een gebruiker de Service probeert zonder zich te registreren) worden automatisch verwijderd na een korte periode;
- Interne toegang tot productiesystemen beperkt op basis van noodzaak.
Versleuteling
- TLS 1.2 of hoger voor alle gegevens in transit tussen Betrokkenen, Klanten, de Service en Subverwerkers;
- Versleuteling in rust voor de primaire database, bestandsopslag en back-ups, met behulp van industriestandaard cijfers beheerd door Convex en de onderliggende cloudprovider;
- Geheimen en API-sleutels opgeslagen in versleutelde geheime opslag; wachtwoorden worden niet opgeslagen — de Service gebruikt wachtwoordloze authenticatie.
Logische isolatie
- Multi-tenant architectuur met toegangsbeperking op rijniveau per Werkruimte en Klant;
- Logische scheiding tussen ontwikkelings-, staging- en productieomgevingen; productiegegevens worden niet gebruikt in niet-productieomgevingen;
- Subverwerker-integraties zijn beperkt tot de minimale gegevens die nodig zijn om hun functie uit te voeren.
Veerkracht en back-ups
- Geautomatiseerde, versleutelde dagelijkse back-ups van de primaire database (gedelegeerd aan Convex onder de infrastructuurservicevoorwaarden); bestandsuploads in Cloudflare R2 worden niet gedekt door objectversiebeheer;
- Gebruik van cloudproviders met redundante infrastructuur en DDoS-beveiliging.
Kwetsbaarheidsbeheer
- Beveiligingsupdates voor applicatieafhankelijkheden worden waar nodig toegepast.
Organisatorische maatregelen
- Toegang tot productiesystemen is beperkt tot bevoegd personeel;
- Procedures voor inbreukmelding in overeenstemming met [Sectie 11](#breach);
- Bijhouden van registers van verwerkingsactiviteiten in overeenstemming met artikel 30(2) AVG, beschikbaar gesteld aan toezichthoudende autoriteiten op verzoek zoals vereist door artikel 30(4) AVG.
Aanvullende maatregelen voor internationale doorgiften (Schrems II)
Naast de algemene beveiligingsmaatregelen hierboven past Formstep de volgende aanvullende maatregelen toe voor doorgiften naar landen zonder een adequaatheidsbesluit, in overeenstemming met de EDPB-aanbevelingen 01/2020:
- Versleuteling in transit (TLS 1.2+) en in rust zoals beschreven in de sectie [Versleuteling](#encryption); versleutelingssleutels worden beheerd door de sleutelbeheerservice van de cloudprovider en zijn niet toegankelijk voor overheidsinstanties van derde landen zonder een rechtmatig bevel.
Dataminimalisatie en bewaring
- De Service verzamelt alleen de gegevens die de Klant kiest te verzamelen via Formulieren en de operationele gegevens die nodig zijn om de Service te draaien. Bewaar- en verwijderingsregels zijn beschreven in [Sectie 12](#return-deletion);
- Aggregatie wordt toegepast op productanalyses waar de onderliggende identificatoren niet nodig zijn voor het doel;
- AI-invoer en -uitvoer verzonden naar Amazon Bedrock worden verwerkt onder de [AWS Service Terms](https://aws.amazon.com/service-terms/) en worden niet door AWS bewaard na verwerking.
- [Privacybeleid](/nl/legal/privacy-policy) — Hoe we persoonsgegevens verzamelen, gebruiken en delen.
- [Servicevoorwaarden](/nl/legal/terms-of-service) — De regels die jouw gebruik van Formstep regelen.
- [Juridisch overzicht](/nl/legal/overview) — Index van juridische documenten van Formstep.