Deze verwerkersovereenkomst is alleen van toepassing als Opdrachtgever zelf persoonsgegevens aan LT Business Advisors aanlevert, zoals een bellijst of klantgegevens (zie artikel 2 hieronder en artikel 14 van de algemene voorwaarden). Stelt LT Business Advisors de bellijsten zelf samen, dan is deze verwerkersovereenkomst niet nodig.
Partijen
LT Business Advisors B.V., gevestigd aan de Mendelweg 32, 2333 CS Leiden, ingeschreven bij de Kamer van Koophandel onder nummer 99760215, hierna: LTBA of Verwerker;
en
de opdrachtgever zoals vermeld in de offerte en de overeenkomst van opdracht, hierna: Opdrachtgever of Verwerkingsverantwoordelijke.
Overwegingen
• Opdrachtgever heeft LTBA opdracht gegeven tot het uitvoeren van leadgeneratiecampagnes, waaronder het telefonisch benaderen en kwalificeren van zakelijke contactpersonen en het inplannen van afspraken.
• LTBA stelt de bellijsten voor die campagnes in beginsel zelf samen en is daarvoor zelf verwerkingsverantwoordelijke. Levert Opdrachtgever zelf persoonsgegevens aan, zoals een bellijst of gegevens van (oud-)klanten, dan verwerkt LTBA die gegevens namens Opdrachtgever. Alleen voor die situatie leggen partijen in deze verwerkersovereenkomst vast welke afspraken gelden, zoals artikel 28 van de Algemene Verordening Gegevensbescherming (AVG) vereist.
1. Begrippen
1.1 Begrippen als persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis die de AVG eraan geeft.
1.2 Overeenkomst: de overeenkomst van opdracht tussen Opdrachtgever en LTBA voor leadgeneratie, zoals vastgelegd in een geaccepteerde offerte, een contract of beide, waarop de algemene voorwaarden van LTBA van toepassing zijn.
1.3 Subverwerker: een derde die LTBA inschakelt en die bij de uitvoering persoonsgegevens namens Opdrachtgever verwerkt.
2. Onderwerp en reikwijdte
2.1 Deze verwerkersovereenkomst geldt uitsluitend voor persoonsgegevens die Opdrachtgever aan LTBA aanlevert voor de uitvoering van de Overeenkomst, zoals bellijsten, klant- of prospectbestanden en gegevens van (oud-)klanten, en voor de gegevens die LTBA tijdens de campagne over die personen vastlegt, zoals gespreksverslagen, kwalificaties en leads. Bijlage 1 beschrijft welke gegevens het betreft, van wie, met welk doel en hoe lang.
2.2 Voor contactgegevens die LTBA uit eigen bronnen selecteert, aankoopt of verrijkt om voor een campagne te benaderen, is LTBA zelf verwerkingsverantwoordelijke. Op die verwerking is deze verwerkersovereenkomst niet van toepassing, maar de privacyverklaring van LTBA. Vanaf het moment dat LTBA zo’n contact als lead aan Opdrachtgever verstrekt, is Opdrachtgever voor zijn eigen verwerking daarvan zelf verwerkingsverantwoordelijke.
2.3 Bij strijd tussen deze verwerkersovereenkomst en de Overeenkomst gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.
3. Instructies van Opdrachtgever
3.1 LTBA verwerkt de persoonsgegevens uitsluitend op basis van de schriftelijke instructies van Opdrachtgever. De Overeenkomst en deze verwerkersovereenkomst gelden als die instructies. LTBA verwerkt de aangeleverde gegevens niet voor eigen doeleinden en voegt ze niet toe aan eigen bestanden.
3.2 Is LTBA wettelijk verplicht tot een verwerking die niet uit de instructies volgt, dan meldt LTBA dat vooraf aan Opdrachtgever, tenzij de wet dat verbiedt.
3.3 Vindt LTBA dat een instructie in strijd is met de AVG of andere privacywetgeving, dan meldt LTBA dat direct aan Opdrachtgever.
3.4 Opdrachtgever staat ervoor in dat de persoonsgegevens die hij aanlevert rechtmatig zijn verkregen en dat hij een geldige grondslag heeft voor de verwerking door LTBA, waaronder het telefonisch benaderen van de betrokkenen.
4. Geheimhouding
4.1 LTBA houdt de persoonsgegevens geheim. Alleen medewerkers die de gegevens nodig hebben voor de uitvoering van de Overeenkomst krijgen toegang.
4.2 Iedereen die namens LTBA met de persoonsgegevens werkt, heeft een geheimhoudingsplicht, via de arbeidsovereenkomst, een opdrachtovereenkomst of een aparte geheimhoudingsverklaring.
4.3 Zelfstandige bellers die LTBA inzet, werken uitsluitend in de systemen van LTBA, onder het gezag en volgens de instructies van LTBA, en hebben met LTBA een schriftelijke geheimhoudings- en verwerkersafspraak. LTBA staat voor hen in zoals voor eigen medewerkers.
5. Beveiliging
5.1 LTBA neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking. Daarbij houdt LTBA rekening met de stand van de techniek, de kosten en de risico’s voor de betrokkenen.
5.2 Bijlage 2 beschrijft de maatregelen die LTBA in elk geval treft. LTBA mag die maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.
6. Subverwerkers
6.1 Opdrachtgever geeft LTBA algemene toestemming om subverwerkers in te schakelen. Bijlage 3 bevat de subverwerkers op het moment van totstandkoming. LTBA houdt de actuele lijst bij op ltbusinessadvisors.nl, naast deze verwerkersovereenkomst.
6.2 Wil LTBA een nieuwe of vervangende subverwerker inzetten, dan zet LTBA die minimaal vier weken vooraf op de actuele lijst en meldt LTBA dat per e-mail aan de vaste contactpersoon van Opdrachtgever. Opdrachtgever kan binnen die termijn op redelijke gronden bezwaar maken. Komen partijen er dan niet samen uit, dan mag Opdrachtgever de Overeenkomst opzeggen voor het deel waarvoor de subverwerker nodig is.
6.3 LTBA legt aan elke subverwerker ten minste dezelfde verplichtingen op als die in deze verwerkersovereenkomst staan, en blijft tegenover Opdrachtgever verantwoordelijk voor de nakoming daarvan.
7. Doorgifte buiten de EER
7.1 LTBA verwerkt de persoonsgegevens bij voorkeur binnen de Europese Economische Ruimte (EER).
7.2 Een subverwerker mag persoonsgegevens alleen buiten de EER verwerken of daar toegankelijk maken als daarvoor een geldige grondslag uit hoofdstuk V van de AVG bestaat, zoals een adequaatheidsbesluit (waaronder het EU-U.S. Data Privacy Framework) of de modelcontractbepalingen van de Europese Commissie.
8. Rechten van betrokkenen
8.1 LTBA helpt Opdrachtgever, voor zover redelijk, bij het afhandelen van verzoeken van betrokkenen, zoals een verzoek om inzage, correctie, verwijdering of bezwaar.
8.2 Krijgt LTBA zo’n verzoek rechtstreeks binnen, dan stuurt LTBA het binnen drie werkdagen door aan Opdrachtgever. Een betrokkene die bezwaar maakt tegen telefonisch benaderen, belt LTBA voor die campagne niet meer.
9. Datalekken
9.1 LTBA meldt een datalek dat de persoonsgegevens van Opdrachtgever raakt zonder onredelijke vertraging aan Opdrachtgever, en uiterlijk binnen 48 uur nadat LTBA het heeft ontdekt.
9.2 De melding bevat de informatie die Opdrachtgever nodig heeft om te beoordelen of het lek gemeld moet worden aan de Autoriteit Persoonsgegevens of aan de betrokkenen. Denk aan de aard van het lek, de betrokken gegevens en betrokkenen, de waarschijnlijke gevolgen en de genomen maatregelen.
9.3 Opdrachtgever beslist of het datalek wordt gemeld aan de Autoriteit Persoonsgegevens en aan de betrokkenen. LTBA doet dat niet zelf, tenzij de wet dat verplicht.
10. Bijstand en controle
10.1 LTBA helpt Opdrachtgever, voor zover redelijk, bij een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens.
10.2 LTBA stelt op verzoek de informatie beschikbaar die nodig is om aan te tonen dat LTBA deze verwerkersovereenkomst naleeft. Opdrachtgever kan eenmaal per jaar, na schriftelijke aankondiging van ten minste twee weken, een audit uitvoeren of laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding verplicht is. Na een datalek dat de gegevens van Opdrachtgever raakt, of op verzoek van de Autoriteit Persoonsgegevens, kan dat ook vaker en op kortere termijn.
10.3 De kosten van een audit zijn voor Opdrachtgever, tenzij uit de audit blijkt dat LTBA deze verwerkersovereenkomst op wezenlijke punten niet naleeft.
11. Aansprakelijkheid
11.1 Voor de aansprakelijkheid van partijen geldt wat daarover in de Overeenkomst en de algemene voorwaarden van LTBA is afgesproken, voor zover de wet dat toestaat.
12. Duur, einde en teruggave van gegevens
12.1 Deze verwerkersovereenkomst geldt zolang LTBA persoonsgegevens namens Opdrachtgever verwerkt. Zij eindigt niet eerder dan de Overeenkomst.
12.2 Na het einde van de Overeenkomst levert LTBA, naar keuze van Opdrachtgever, de persoonsgegevens terug of verwijdert LTBA ze. LTBA doet dat binnen dertig dagen, tenzij een wettelijke plicht tot bewaren geldt. LTBA bevestigt de verwijdering op verzoek schriftelijk.
12.3 Bepalingen die naar hun aard ook na het einde van deze verwerkersovereenkomst blijven gelden, zoals geheimhouding, blijven van kracht.
13. Totstandkoming, wijziging en toepasselijk recht
13.1 Deze verwerkersovereenkomst komt tot stand voordat LTBA de door Opdrachtgever aangeleverde persoonsgegevens gaat verwerken, doordat partijen haar ondertekenen, of doordat Opdrachtgever uitdrukkelijk met deze versie instemt, bijvoorbeeld bij het accepteren van de offerte. Een elektronisch akkoord legt LTBA vast met naam, e-mailadres, datum, tijdstip en versienummer, en geldt als ondertekening.
13.2 Wijzigingen zijn alleen geldig als partijen ze schriftelijk of elektronisch overeenkomen.
13.3 Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de rechter die in de Overeenkomst of de algemene voorwaarden van LTBA is aangewezen.
Bijlage 1. Specificatie van de verwerking
| Doel | Het uitvoeren van leadgeneratiecampagnes voor Opdrachtgever met de door Opdrachtgever aangeleverde gegevens: de contactpersonen telefonisch en per e-mail benaderen, hun behoefte kwalificeren (BANT), afspraken inplannen, leads aan Opdrachtgever overdragen en over de campagne rapporteren. |
|---|---|
| Categorieën betrokkenen | Contactpersonen in de bestanden die Opdrachtgever aanlevert, zoals (potentiële) zakelijke klanten en (oud-)klanten van Opdrachtgever. |
| Categorieën persoonsgegevens | Naam, functie, organisatie, zakelijk e-mailadres, zakelijk telefoonnummer, LinkedIn-profiel, gespreksverslagen en notities, kwalificatiegegevens (budget, beslissingsbevoegdheid, behoefte, tijdpad), afspraakgegevens, gespreksopnames en contacthistorie. |
| Bijzondere persoonsgegevens | Geen. LTBA verwerkt geen bijzondere of strafrechtelijke persoonsgegevens en geen burgerservicenummers. |
| Bron | Uitsluitend door Opdrachtgever aangeleverde bestanden, aangevuld met wat LTBA tijdens de campagne over deze contactpersonen vastlegt. Voor gegevens uit eigen bronnen van LTBA geldt artikel 2.2. |
| Bewaartermijn | Zolang de Overeenkomst loopt, en daarna uiterlijk dertig dagen, zoals beschreven in artikel 12. |
Bijlage 2. Beveiligingsmaatregelen
• Toegang tot systemen alleen met persoonlijk account en tweestapsverificatie waar het systeem dat ondersteunt.
• Toegang op basis van rol: medewerkers zien alleen de campagnes en gegevens waar zij aan werken.
• Gegevens worden opgeslagen bij professionele leveranciers die versleuteling toepassen tijdens verzending en opslag.
• Medewerkers werken ook op eigen telefoons. Daarvoor geldt: schermvergrendeling met code of biometrie, een versleuteld toestel, tweestapsverificatie op zakelijke apps, en verwijdering van zakelijke accounts en gegevens bij vertrek.
• Back-ups op losse gegevensdragers zijn versleuteld en worden achter slot bewaard.
• Medewerkers zijn tot geheimhouding verplicht en worden geïnstrueerd over zorgvuldig omgaan met persoonsgegevens.
• Accounts van vertrekkende medewerkers worden direct na uitdiensttreding geblokkeerd.
• Een vaste procedure voor het herkennen, vastleggen en melden van datalekken.
Bijlage 3. Subverwerkers
| Subverwerker | Dienst | Locatie van verwerking |
|---|---|---|
| HubSpot Inc. / HubSpot Ireland Ltd. | CRM: contactgegevens, deals, contacthistorie en formulieren | EU-datacenter (Duitsland); doorgifte op basis van EU-U.S. Data Privacy Framework en modelcontractbepalingen |
| Google Ireland Ltd. | Google Workspace: e-mail, agenda, bestandsopslag (ook via gekoppelde Android-toestellen), Google Meet en Gemini binnen het Workspace-account | EER; doorgifte op basis van EU-U.S. Data Privacy Framework en modelcontractbepalingen |
| CloudTalk s.r.o. | Telefonie: bellen, gespreksopnames en belregistratie | EER en Verenigde Staten; doorgifte op basis van EU-U.S. Data Privacy Framework en modelcontractbepalingen |
| Microsoft Ireland Operations Ltd. | Microsoft 365: e-mail, bestandsopslag en Microsoft Teams | EER (EU Data Boundary); doorgifte op basis van EU-U.S. Data Privacy Framework en modelcontractbepalingen |
| Anthropic, PBC / Anthropic Ireland, Limited | Claude: AI-assistent voor het verwerken en samenvatten van gespreksverslagen en campagnegegevens | Verenigde Staten; doorgifte op basis van de modelcontractbepalingen van de Europese Commissie |
| OpenAI Ireland Ltd. | ChatGPT: AI-assistent voor het verwerken en samenvatten van gespreksverslagen en campagnegegevens | Verenigde Staten; doorgifte op basis van de modelcontractbepalingen van de Europese Commissie |
| Apple Distribution International Ltd. | iCloud: bestandsopslag en synchronisatie op iPhones en MacBooks die voor het werk worden gebruikt | EER en Verenigde Staten; doorgifte op basis van EU-U.S. Data Privacy Framework en modelcontractbepalingen |
| Restly, Inc. h.o.d.n. Zite (OutboundOS) | Belplatform: campagnebeheer, belregistratie en leadoverdracht | Verenigde Staten; doorgifte op basis van de modelcontractbepalingen van de Europese Commissie |
Dit is de actuele lijst van subverwerkers (stand 9 oktober 2026). Wijzigingen melden wij volgens artikel 6.2.
Ondertekening
Deze verwerkersovereenkomst (versie 1.1) wordt ondertekend of elektronisch geaccepteerd (artikel 13.1). Een exemplaar om te ondertekenen is op te vragen via info@ltbusinessadvisors.nl.