Verwerkersovereenkomst Leadpiloot

Versie 2 oktober 2026. Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van Leadpiloot en maakt deel uit van de overeenkomst tussen jou en ons. Door Leadpiloot te gebruiken ga je ermee akkoord; een ondertekende versie sturen we je op verzoek toe.

1. Partijen en begrippen

Deze overeenkomst is gesloten tussen jou, de klant van Leadpiloot (verwerkingsverantwoordelijke, "jij"), en Converzo Webdevelopment BV, Schijfstraat 8, 5061 KB Oisterwijk, KvK 94254923, handelend onder de naam Leadpiloot (verwerker, "wij"). Begrippen als persoonsgegevens, verwerking, betrokkene, subverwerker en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG). De begrippen uit de algemene voorwaarden (zoals Dienst, Bezoeker en Herkend bedrijf) gelden ook hier.

2. Onderwerp en instructies

• Wij verwerken persoonsgegevens namens jou om de Dienst te leveren: bezoeken aan je website meten, bezoeken van bedrijfsnetwerken aan een bedrijf koppelen, dat in je dashboard tonen en meldingen versturen. Welke gegevens dat zijn en van wie, staat in bijlage 1.
• Wij verwerken de persoonsgegevens alleen op jouw instructies. Die instructies zijn deze overeenkomst, de algemene voorwaarden en de keuzes die je in het dashboard maakt (zoals triggers, meldingen en webhooks). Andere instructies geef je per e-mail.
• Wij gebruiken de persoonsgegevens niet voor eigen doeleinden en verkopen ze niet. De netwerk- en bedrijfsgegevens die wij uit openbare bronnen opzoeken (zoals het IP-register en het Handelsregister), gebruiken we voor alle klanten van Leadpiloot; daarin staan geen bezoekgegevens.
• Vinden wij dat een instructie in strijd is met de AVG of andere privacyregels, dan laten we je dat meteen weten.

3. Geheimhouding

Alleen medewerkers die de gegevens nodig hebben voor de Dienst of voor ondersteuning op jouw verzoek, hebben er toegang toe. Zij zijn tot geheimhouding verplicht. Dat geldt ook voor de subverwerkers in artikel 5.

4. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten en de risico's. De belangrijkste maatregelen staan in bijlage 2.

5. Subverwerkers

• Je geeft ons algemene toestemming om de subverwerkers in bijlage 3 in te schakelen.
• Willen we een subverwerker toevoegen of vervangen, dan laten we je dat minimaal 30 dagen van tevoren per e-mail weten. Heb je gegronde bezwaren, dan zoeken we samen een oplossing; lukt dat niet, dan mag je de overeenkomst opzeggen tegen de datum van de wijziging.
• Wij leggen elke subverwerker minstens dezelfde privacyverplichtingen op als in deze overeenkomst staan, en blijven tegenover jou verantwoordelijk voor hun werk.

6. Doorgifte buiten de Europese Economische Ruimte

Bezoekgegevens blijven op onze servers in Nederland. Meldingen en dagelijkse overzichten per e-mail versturen wij via Twilio SendGrid (Verenigde Staten); om profielen aan te vullen sturen wij openbare tekst van de website van een bedrijf naar Anthropic (Verenigde Staten). Die doorgifte vindt plaats op basis van een passende waarborg uit hoofdstuk V van de AVG: het EU-VS Data Privacy Framework voor zover de leverancier daaronder is gecertificeerd, en anders de standaardcontractbepalingen van de Europese Commissie. Koppel je zelf Slack, Microsoft Teams of een webhook, dan kies jij die ontvanger.

7. Rechten van betrokkenen

• Een bezoek is niet aan een persoon te koppelen: we gebruiken geen cookies, slaan geen IP-adressen op en de dagelijkse bezoekcode wisselt elke dag. Een verzoek van een bezoeker om inzage kunnen we daardoor meestal niet aan bezoeken koppelen.
• Vraagt een organisatie of persoon om gegevens te verwijderen, dan kun je het bedrijf op "Negeren" zetten, notities verwijderen of de website verwijderen. Lukt dat niet zelf, dan helpen we je binnen een redelijke termijn. Komt een verzoek bij ons binnen, dan sturen we het naar jou door.

8. Datalekken

• Ontdekken wij een datalek dat de persoonsgegevens uit deze overeenkomst raakt, dan melden we dat zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan het e-mailadres van je contactpersoon.
• We geven daarbij, voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het ongeveer betreft, de waarschijnlijke gevolgen en de maatregelen die we hebben genomen of voorstellen.
• Jij beoordeelt of het lek moet worden gemeld aan de Autoriteit Persoonsgegevens of aan betrokkenen, en doet die melding. Wij helpen je daarbij.

9. Bijstand en controle

• Wij helpen je, voor zover redelijk, bij een gegevensbeschermingseffectbeoordeling (DPIA), een afweging van het gerechtvaardigd belang en bij vragen van de Autoriteit Persoonsgegevens over de Dienst.
• Op verzoek geven we je de informatie die nodig is om aan te tonen dat we ons aan deze overeenkomst houden. Is dat niet genoeg, dan mag je maximaal één keer per jaar, met een aankondiging van minimaal vier weken, een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht. De kosten zijn voor jou, tenzij de audit laat zien dat wij deze overeenkomst op belangrijke punten niet naleven.

10. Bewaren en verwijderen

• Bezoeken en paginaweergaven worden automatisch verwijderd na de bewaartermijn van je pakket (Basis 6, Pro 12, Business 24 maanden). Status, tags en notities van een bedrijf blijven staan tot je ze verwijdert.
• Verwijder je een website in het dashboard, dan zijn alle bezoeken, bedrijven, notities en triggers van die website direct verwijderd.
• Eindigt de overeenkomst, dan verwijderen we alle persoonsgegevens uit deze overeenkomst binnen 30 dagen, tenzij een wettelijke plicht ons dwingt iets te bewaren. Wil je de gegevens eerst hebben, laat het ons dan vóór het einde weten.

11. Jouw verantwoordelijkheden

• Jij bepaalt het doel en de middelen van de verwerking en zorgt voor een geldige grondslag, meestal een gerechtvaardigd belang bij zakelijke acquisitie.
• Je informeert bezoekers in je privacyverklaring dat je Leadpiloot gebruikt (zie de voorbeeldtekst).
• Je gebruikt de gegevens alleen voor zakelijke contacten met organisaties en niet om personen te volgen of te profileren. Contactpersonen die op de website van een bedrijf staan, benader je volgens de AVG en de Telecommunicatiewet.
• Je beveiligt je eigen account en de apparaten waarmee je het dashboard gebruikt, en je deelt je inloggegevens niet.

12. Aansprakelijkheid, looptijd en recht

• Voor de aansprakelijkheid gelden de afspraken in de algemene voorwaarden (artikel 15), voor zover de wet niet anders bepaalt.
• Deze overeenkomst loopt zolang wij persoonsgegevens voor je verwerken. Artikelen die naar hun aard doorlopen (zoals geheimhouding en verwijderen) blijven daarna gelden.
• Bij tegenstrijdigheid gaat deze verwerkersovereenkomst voor de algemene voorwaarden, voor zover het gaat om de verwerking van persoonsgegevens.
• Nederlands recht is van toepassing; geschillen gaan naar de rechtbank Zeeland-West-Brabant.

Bijlage 1: welke gegevens, van wie en waarvoor

Betrokkenen

• Bezoekers van websites waarop jij het Leadpiloot-script plaatst.
• Contactpersonen van organisaties die op de openbare website van die organisatie staan (alleen bij Pro en Business).
• Gebruikers van je eigen account, voor notities en meldingen.

Persoonsgegevens

• Bezoekgegevens: bezochte pagina's en paginatitels, tijdstippen en bezoekduur, verwijzende website en campagnecodes (utm), type apparaat (computer, mobiel, tablet) en land.
• Het IP-adres en de browserkenmerken: alleen tijdelijk, om het netwerk op te zoeken en om een dagelijks wisselende, niet terug te rekenen bezoekcode te maken. Het IP-adres slaan we niet op.
• Het netwerk en de organisatie waartoe een bezoek hoort (bij een eenmanszaak kan dat een persoonsgegeven zijn).
• Namen en functies van contactpersonen zoals die op de website van een organisatie staan, en de notities die jij zelf toevoegt.

Doelen

• Laten zien welke organisaties je website bezoeken en wat ze bekeken, met een leadscore.
• Meldingen en overzichten sturen volgens jouw triggers en instellingen.
• Statistieken van je website tonen en misbruik tegengaan.

Bijlage 2: beveiligingsmaatregelen

• Alle verbindingen met de Dienst en met onze subverwerkers zijn versleuteld (HTTPS/TLS). Webhooks zijn ondertekend (HMAC-SHA256).
• Inloggen gaat via het centrale Marketingpiloot-account, met gehashte wachtwoorden en de mogelijkheid van tweestapsverificatie.
• Elke klant ziet alleen de eigen websites, bezoeken en bedrijven; dat wordt bij elk verzoek gecontroleerd.
• Het script neemt alleen bezoeken aan van de websites die bij de klant horen.
• Dataminimalisatie: geen cookies, geen opslag van IP-adressen, een bezoekcode die dagelijks wisselt, automatisch verwijderen na de bewaartermijn.
• Logo's van bedrijven worden via onze server opgehaald, zodat bezochte bedrijven niet zien wie hun profiel bekijkt.
• Beheertoegang tot de servers is beperkt tot een klein aantal medewerkers; software wordt regelmatig bijgewerkt. De servers staan in Nederland.

Bijlage 3: subverwerkers

Openbare registers die we raadplegen (RIPE NCC, Team Cymru, de KvK) ontvangen alleen het IP-adres of de bedrijfsnaam die we opzoeken, geen bezoekgegevens.

Converzo Webdevelopment BV · Schijfstraat 8, 5061 KB Oisterwijk · KvK 94254923 · btw NL866694353B01 · info@converzo.nl · 085 401 5005