Juridisch

Verwerkersovereenkomst

Laatst bijgewerkt: 16-7-2026

Verwerkersovereenkomst — Ovora®

Laatst bijgewerkt: 16-7-2026

Deze verwerkersovereenkomst maakt onderdeel uit de overeenkomst tussen Ovora® en de gebruiker van de dienst.

Artikel 1 — Partijen

Ovora, ingeschreven bij de Kamer van Koophandel onder nummer 42113429, hierna te noemen: "Verwerker".

De gebruiker van Ovora die persoonsgegevens verwerkt via de dienst, hierna te noemen: "Verwerkingsverantwoordelijke".

Artikel 2 — Doel van verwerking

Verwerker verwerkt persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke.

De verwerking vindt uitsluitend plaats voor het leveren van de diensten van Ovora, waaronder:

het maken en beheren van offertes;
het maken en beheren van facturen;
klantbeheer;
documentopslag;
e-mailfunctionaliteiten;
digitale akkoordverklaringen;
communicatiefunctionaliteiten;
betalingsfunctionaliteiten.

Verwerker zal persoonsgegevens niet verwerken voor eigen doeleinden.

Artikel 3 — Categorieën persoonsgegevens

Afhankelijk van het gebruik van de dienst kunnen onder meer de volgende persoonsgegevens worden verwerkt:

naam;
bedrijfsnaam;
adresgegevens;
e-mailadres;
telefoonnummer;
factuurgegevens;
betaalinformatie;
klantcommunicatie;
offertegegevens;
documentgegevens;
overige gegevens die door Verwerkingsverantwoordelijke worden ingevoerd.

Artikel 4 — Verplichtingen van Ovora

Verwerker verwerkt persoonsgegevens uitsluitend op basis van instructies van Verwerkingsverantwoordelijke.

Verwerker zal persoonsgegevens niet verkopen of gebruiken voor eigen commerciële doeleinden.

Verwerker neemt passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen:

verlies;
onbevoegde toegang;
misbruik;
ongeautoriseerde wijziging;
ongewenste openbaarmaking;
onrechtmatige verwerking.

Verwerker zorgt ervoor dat medewerkers en ingeschakelde derden vertrouwelijk omgaan met persoonsgegevens.

Artikel 5 — Subverwerkers

Voor het leveren van de dienst mag Ovora gebruikmaken van subverwerkers.

Actieve subverwerkers (per 16-7-2026):

Supabase (database, authenticatie en bestandsopslag) — EER-primary;
Vercel (hosting en applicatie-uitvoering) — EER-primary;
Vercel Web Analytics (geaggregeerde gebruiksmeting) — uitsluitend geladen na toestemming voor analytische cookies;
Vercel Speed Insights (geaggregeerde prestatiemeting) — uitsluitend geladen na toestemming voor analytische cookies;
Google Analytics 4 (geaggregeerde gebruiks- en conversiemeting, productie) — Google Consent Mode v2; tag met default denied; analytische opslag en metingen uitsluitend na toestemming voor analytische cookies;
Microsoft Clarity (heatmaps en sessie-opnames, productie) — uitsluitend geïnitialiseerd na toestemming voor analytische cookies; Consent API v2;
Resend (transactionele e-mail) — mogelijke doorgifte VS met SCC's;
Mollie (betalingsverwerking) — Nederland (EER).

Cloudflare en Google Workspace worden niet gebruikt voor verwerking van gebruikersdata via de Ovora-applicatie.

Een uitgebreid register met rol, categorie gegevens, regio's en doel van verwerking is opgenomen in het privacybeleid (sectie 14) en beschikbaar als subverwerkersregister bij Ovora.

Ovora kan de lijst wijzigen wanneer dit noodzakelijk is voor de dienstverlening.

Ovora draagt er zorg voor dat subverwerkers passende beveiligingsmaatregelen treffen en, voor zover wettelijk vereist, contractueel worden gebonden aan passende privacyverplichtingen.

Artikel 6 — Doorgifte buiten de Europese Economische Ruimte

Ovora beoogt primaire klantdata op te slaan via database- en opslagdiensten in datacenters binnen de Europese Economische Ruimte (EER), afhankelijk van de configuratie van subverwerkers.

Sommige subverwerkers kunnen persoonsgegevens ook buiten de EER verwerken (bijvoorbeeld voor platformlogs of internationale e-maillevering).

Indien persoonsgegevens buiten de EER worden verwerkt, zorgt Ovora voor passende waarborgen overeenkomstig de AVG, waaronder — indien van toepassing — door de Europese Commissie goedgekeurde standaardcontractbepalingen (SCC's).

Ovora doet geen absolute garantie dat alle verwerking uitsluitend binnen de EU plaatsvindt.

Artikel 7 — Meldplicht datalekken

Ovora meldt beveiligingsincidenten of datalekken zonder onredelijke vertraging nadat deze zijn vastgesteld, voor zover deze betrekking hebben op persoonsgegevens die namens Verwerkingsverantwoordelijke worden verwerkt.

Voor zover beschikbaar bevat een melding informatie over:

de aard van het incident;
de mogelijke gevolgen;
de reeds genomen maatregelen;
eventuele aanbevolen vervolgstappen.

Artikel 8 — Rechten van betrokkenen

Verwerkingsverantwoordelijke blijft verantwoordelijk voor het afhandelen van verzoeken van betrokkenen.

Ovora zal redelijkerwijs meewerken aan verzoeken met betrekking tot:

inzage;
correctie;
verwijdering;
dataportabiliteit;
beperking van verwerking;
bezwaar tegen verwerking.

Artikel 9 — Bewaartermijnen en verwijdering

Persoonsgegevens worden niet langer bewaard dan noodzakelijk voor het leveren van de dienst of zolang wettelijk verplicht.

Na beëindiging van de dienstverlening wordt het account gesloten. Gegevens worden niet direct verwijderd; Ovora kan gegevens gedurende toepasselijke wettelijke bewaartermijnen bewaren (standaard tot zeven jaar na sluiting), waarna gegevens definitief worden verwijderd (account-purge).

Voor zover technisch mogelijk kan Verwerkingsverantwoordelijke vóór sluiting zelf gegevens exporteren via Instellingen → Privacy & gegevens. Na sluiting is self-service export niet meer beschikbaar.

De export omvat klanten, offertes, facturen en bedrijfsgegevens, maar geen PDF-bestanden, bijlagen, auditlogs of volledige bewijsmetadata. Zie het privacybeleid (sectie 8) voor de exacte scope.

Administratieve en financiële gegevens kunnen worden bewaard voor zover dit noodzakelijk is om te voldoen aan wettelijke verplichtingen.

Artikel 10 — Audit en controle

Verwerkingsverantwoordelijke mag redelijke vragen stellen over de beveiligingsmaatregelen van Ovora.

Ovora is niet verplicht interne beveiligingsdocumentatie, broncode, auditrapporten of andere vertrouwelijke bedrijfsinformatie openbaar te maken.

Auditverzoeken mogen de normale bedrijfsvoering van Ovora niet onredelijk verstoren.

Ovora mag redelijke voorwaarden stellen aan audit- of controleverzoeken.

Artikel 11 — Aansprakelijkheid

De aansprakelijkheid van Ovora onder deze verwerkersovereenkomst is beperkt overeenkomstig de algemene voorwaarden van Ovora.

Voor zover niet anders bepaald in deze verwerkersovereenkomst blijven de algemene voorwaarden van Ovora onverminderd van toepassing.

Artikel 12 — Duur, beëindiging en versiebeheer

Deze verwerkersovereenkomst geldt zolang Ovora persoonsgegevens verwerkt namens Verwerkingsverantwoordelijke.

Bij beëindiging van de dienstverlening eindigt automatisch deze verwerkersovereenkomst.

Bepalingen die naar hun aard bedoeld zijn om na beëindiging van kracht te blijven, blijven ook na beëindiging van toepassing.

Versiebeheer en heracceptatie

Ovora kan deze verwerkersovereenkomst wijzigen. De actuele versie wordt gepubliceerd op https://ovora.app. Wanneer een nieuwe versie wordt gepubliceerd die contractuele of wettelijke heracceptatie vereist, moet Verwerkingsverantwoordelijke de nieuwe versie accepteren vóór verdere verwerking van klantgegevens (bijvoorbeeld vóór het aanmaken van nieuwe klanten). Eerdere acceptaties worden in een audittrail bewaard.

Artikel 13 — Toepasselijk recht

Op deze verwerkersovereenkomst is Nederlands recht van toepassing.

Geschillen worden voorgelegd aan de bevoegde rechter in Nederland.

Contact

Ovora

Adres: De Wiemel 21, 9461DH Gieten Vestigingsland: Nederland

KvK-nummer: 42113429

BTW-id: NL005504135B79

E-mail: hello@ovora.app Telefoon: 0644550869