Verwerkersovereenkomst

Versie 1.0 — Laatst bijgewerkt: 3 mei 2026

Inleiding

Deze verwerkersovereenkomst (Data Processing Agreement, hierna ‘DPA’) regelt de verwerking van persoonsgegevens door Maak Jouw Impact B.V. (handelend onder de naam Het Passie Profiel, hierna ‘wij’ of ‘Het Passie Kompas’) in opdracht van een zakelijke afnemer (hierna ‘de Organisatie’) die licentieplaatsen voor Het Passie Kompas afneemt voor haar medewerkers of relaties.

Deze DPA maakt onderdeel uit van de zakelijke overeenkomst tussen de Organisatie en Het Passie Kompas en is van toepassing zodra de Organisatie de bijbehorende algemene voorwaarden heeft aanvaard. In geval van strijdigheid tussen deze DPA en de algemene voorwaarden, prevaleert deze DPA voor alle aspecten die persoonsgegevens raken.

Deze DPA voldoet aan de eisen van artikel 28 lid 3 van de Algemene Verordening Gegevensbescherming (AVG / GDPR). De DPA is beschikbaar als webpagina op hetpassiekompas.nl/dpa en kan worden gedownload of geprint voor archivering.

1. Definities

Begrippen die in deze DPA worden gebruikt en in de AVG zijn gedefinieerd, hebben dezelfde betekenis als in de AVG. Specifiek gelden de volgende definities:

Verwerker: Maak Jouw Impact B.V., handelend onder de naam Het Passie Profiel.
Verwerkingsverantwoordelijke: de Organisatie die zakelijk gebruik maakt van Het Passie Kompas en haar medewerkers of relaties uitnodigt als eindgebruikers.
Eindgebruiker: een natuurlijke persoon die door de Organisatie is uitgenodigd om Het Passie Kompas te gebruiken.
Sub-verwerker: een derde partij die door Het Passie Kompas wordt ingeschakeld om persoonsgegevens te verwerken namens de Organisatie.

2. Onderwerp, duur, aard en doel van de verwerking

Onderwerp: de verwerking van persoonsgegevens van eindgebruikers in het kader van het beschikbaar stellen en ondersteunen van Het Passie Kompas voor de Organisatie.

Duur: deze DPA geldt zolang de zakelijke overeenkomst tussen de Organisatie en Het Passie Kompas van kracht is, en blijft daarna van kracht voor zover nodig om verplichtingen ten aanzien van retentie, verwijdering of teruggave van gegevens af te wikkelen.

Aard: elektronische verwerking via een SaaS-webapplicatie, inclusief opslag, weergave, statussynchronisatie en geautomatiseerde communicatie (uitnodigingen, herinneringen).

Doel: het mogelijk maken dat de Organisatie haar medewerkers of relaties toegang biedt tot Het Passie Kompas, hun voortgang kan volgen op statusniveau, en licentieplaatsen kan beheren.

3. Soorten persoonsgegevens en categorieën betrokkenen

In het kader van deze DPA verwerkt Het Passie Kompas de volgende persoonsgegevens namens de Organisatie:

Naam en e-mailadres van uitgenodigde eindgebruikers.
Naam, e-mailadres en functie van organisatiebeheerders.
Status van licentieplaatsen (uitgenodigd, geaccepteerd, gestart, afgerond) en bijbehorende tijdstempels.
Organisatiegegevens (naam, slug, contactgegevens) en factuurgegevens.

Categorieën betrokkenen: medewerkers, relaties of andere natuurlijke personen die door de Organisatie worden uitgenodigd, en de organisatiebeheerders die namens de Organisatie het account beheren.

Bijzondere categorieën: binnen het bereik van deze DPA worden geen bijzondere categorieën persoonsgegevens (art. 9 AVG) verwerkt namens de Organisatie. Inhoudelijke coachingdata valt niet onder deze DPA, zie sectie 4 hieronder.

4. Rolverdeling tussen Het Passie Kompas en de Organisatie

Het is belangrijk om scherp af te bakenen welke verwerkingen onder deze DPA vallen en welke niet, omdat de rolverdeling tussen partijen verschilt per type gegeven.

Type gegeven	Verantwoordelijke	Onder deze DPA?
Uitnodigingen, licentiebeheer, voortgangsstatus	Organisatie	Ja
Coachinginhoud (gesprekken met Noa, oefeningen, dashboard)	Het Passie Kompas (zelfstandige verwerkingsverantwoordelijke)	Nee — valt onder ons privacybeleid
Organisatieaccount, facturatie	Het Passie Kompas (zelfstandige verwerkingsverantwoordelijke)	Nee

De coachinginhoud wordt door eindgebruikers vrijwillig en op basis van uitdrukkelijke toestemming (artikel 9 lid 2 sub a AVG) rechtstreeks aan Het Passie Kompas verstrekt. De Organisatie heeft geen instructiebevoegdheid over deze data en geen recht op inzage daarin, tenzij de eindgebruiker zelf actief inzage geeft via een door de eindgebruiker geïnitieerde deelfunctie.

5. Plichten van Het Passie Kompas als verwerker

Met betrekking tot de in sectie 3 genoemde gegevens verbindt Het Passie Kompas zich tot het volgende:

Wij verwerken persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Organisatie, behoudens wettelijke verplichtingen.
Wij waarborgen dat personen die betrokken zijn bij de verwerking gehouden zijn aan vertrouwelijkheid.
Wij nemen passende technische en organisatorische maatregelen conform artikel 32 AVG (zie sectie 7).
Wij schakelen geen sub-verwerkers in zonder voorafgaande algemene of specifieke schriftelijke toestemming van de Organisatie (zie sectie 8).
Wij bieden de Organisatie redelijke bijstand bij het voldoen aan rechten van betrokkenen (zie sectie 10) en aan haar verplichtingen rond datalekken, beveiliging en gegevensbeschermingseffectbeoordelingen.
Wij stellen de Organisatie alle informatie ter beschikking die nodig is om aan te tonen dat aan deze verplichtingen wordt voldaan, en werken mee aan audits zoals beschreven in sectie 12.
Bij beëindiging van de overeenkomst wissen of geven wij de gegevens terug, naar keuze van de Organisatie, conform sectie 13.

6. Plichten van de Organisatie als verwerkingsverantwoordelijke

De Organisatie zorgt voor een geldige rechtsgrond voor het verstrekken van persoonsgegevens van eindgebruikers aan Het Passie Kompas.
De Organisatie informeert haar eindgebruikers over de verwerking conform artikel 13 AVG, en wijst hen op het privacybeleid van Het Passie Kompas.
De Organisatie zorgt dat haar instructies aan Het Passie Kompas niet in strijd zijn met de AVG of andere toepasselijke wetgeving.
De Organisatie werkt mee aan vragen van Het Passie Kompas die voortvloeien uit deze DPA, waaronder het afhandelen van rechten van betrokkenen die zich bij Het Passie Kompas melden.

7. Beveiligingsmaatregelen (artikel 32 AVG)

Het Passie Kompas heeft passende technische en organisatorische maatregelen getroffen, waaronder:

Versleuteling: alle gegevens zijn versleuteld tijdens transport (TLS 1.2+) en op opslagniveau (Supabase platformversleuteling).
Toegangscontrole: Row Level Security (RLS) op databaseniveau, magic-link-authenticatie zonder lokale wachtwoordopslag, principe van minste rechten.
Misbruikpreventie: rate-limiting op alle gevoelige endpoints, dagelijkse kostenplafonds op AI-functies, HMAC-handtekeningverificatie op binnenkomende webhooks.
Auditlog: administratieve handelingen door medewerkers van Het Passie Kompas worden vastgelegd in een interne auditlog.
Back-ups: dagelijkse point-in-time recovery via ons databaseplatform.
Datacenters in de EU: primaire opslag en verwerking vinden plaats in Ierland en Duitsland (zie sectie 8 voor uitzonderingen).
Periodieke audits: wij voeren regelmatig interne security-audits uit en houden een register van openstaande en gesloten bevindingen bij.

Een gedetailleerde beschrijving van onze technische en organisatorische maatregelen, en het volledige register van verwerkingsactiviteiten conform artikel 30 AVG, is op verzoek beschikbaar voor de Organisatie via info@hetpassiekompas.nl.

8. Sub-verwerkers

De Organisatie geeft Het Passie Kompas algemene toestemming voor het inschakelen van de hieronder vermelde sub-verwerkers. Deze lijst weerspiegelt de stand op de datum bovenaan deze DPA en wordt actueel gehouden in het privacybeleid sectie 5.

Sub-verwerker	Functie	Locatie
Supabase	Database, authenticatie, opslag	EU (Ierland)
Vercel	Hosting	EU (Dublin)
Lettermint	Transactionele e-mails	EU
Plug & Pay / Mollie	Betalingsverwerking	Nederland
Upstash	Rate-limiting (technische tellers)	EU (Dublin)
PostHog	Productanalytics (op basis van toestemming eindgebruiker)	EU (Frankfurt)
Anthropic	AI-verwerking (raakt geen gegevens onder deze DPA)	Verenigde Staten
ElevenLabs	Spraakverwerking (raakt geen gegevens onder deze DPA)	Verenigde Staten

Anthropic en ElevenLabs verwerken uitsluitend coachinginhoud die onder onze eigen verwerkingsverantwoordelijkheid valt (zie sectie 4) en raken geen gegevens die onder deze DPA vallen. Zij zijn voor volledigheid in de tabel opgenomen.

Wijzigingen in de sub-verwerkerslijst: wij informeren de Organisatie ten minste 30 dagen vooraf via e-mail aan het bekende contactadres van de organisatiebeheerder, en kondigen de wijziging tegelijkertijd aan in het privacybeleid. De Organisatie heeft binnen die periode het recht om gemotiveerd bezwaar te maken tegen de toevoeging of vervanging. Bij gegrond bezwaar treden partijen in overleg; als geen overeenstemming wordt bereikt, kan de Organisatie de overeenkomst opzeggen tegen de datum waarop de wijziging zou ingaan.

Met elke sub-verwerker hebben wij een schriftelijke overeenkomst die ten minste dezelfde bescherming biedt als deze DPA.

9. Internationale doorgifte

Voor de gegevens die onder deze DPA vallen vindt geen doorgifte buiten de Europese Economische Ruimte (EER) plaats. Alle in sectie 8 genoemde sub-verwerkers die deze gegevens raken (Supabase, Vercel, Lettermint, Plug & Pay/Mollie, Upstash, PostHog) zijn binnen de EER gevestigd of verwerken vanuit EU-instances.

Voor verwerkers die uitsluitend coachinginhoud raken (Anthropic en ElevenLabs in de Verenigde Staten) gelden EU Standard Contractual Clauses respectievelijk het Data Privacy Framework als waarborg voor doorgifte. Deze verwerkingen vallen buiten de reikwijdte van deze DPA en worden geregeld in ons privacybeleid.

10. Bijstand bij rechten van betrokkenen

Het Passie Kompas biedt de Organisatie redelijke technische en organisatorische bijstand bij het voldoen aan verzoeken van betrokkenen op grond van artikel 15 t/m 22 AVG (recht op inzage, rectificatie, verwijdering, beperking, dataportabiliteit, bezwaar en niet-onderwerping aan geautomatiseerde besluitvorming).

In de praktijk:

Eindgebruikers kunnen zelf inzage krijgen, hun account bewerken en hun account verwijderen via ‘Mijn account’ binnen Het Passie Kompas.
Een verzoek dat zich bij Het Passie Kompas meldt en betrekking heeft op gegevens onder deze DPA, wordt zonder onnodige vertraging doorgeleid naar de Organisatie en, indien mogelijk, door ons binnen een redelijke termijn ondersteund.
Redelijke kosten voor uitgebreide of repetitieve verzoeken die buiten de standaardfunctionaliteit vallen, kunnen op basis van een vooraf afgestemd uurtarief in rekening worden gebracht.

11. Datalekken

Indien Het Passie Kompas een inbreuk in verband met persoonsgegevens (datalek) detecteert die de gegevens onder deze DPA raakt, informeren wij de Organisatie zonder onnodige vertraging, zodat de Organisatie tijdig kan voldoen aan haar meldplicht richting de Autoriteit Persoonsgegevens (artikel 33 AVG, 72 uur na constatering).

Onze melding bevat ten minste:

De aard van de inbreuk en, indien mogelijk, de categorieën en aantallen betrokkenen en gegevens.
De waarschijnlijke gevolgen.
De maatregelen die wij hebben getroffen of voorstellen om de inbreuk aan te pakken.
Een contactpersoon voor verdere informatie.

Wij ondersteunen de Organisatie waar nodig bij haar eventuele meldplicht aan betrokkenen op grond van artikel 34 AVG.

12. Audit-recht

De Organisatie heeft het recht om te controleren of Het Passie Kompas voldoet aan de verplichtingen onder deze DPA. Wij bieden hiertoe de volgende vormen van toetsing:

Schriftelijke toetsing: wij beantwoorden een schriftelijke vragenlijst van de Organisatie en stellen op redelijk verzoek bewijs van getroffen technische en organisatorische maatregelen ter beschikking. Dit is de standaardvorm van toetsing.
On-site of remote audit: ten hoogste eenmaal per kalenderjaar, met een aankondigingstermijn van ten minste 30 dagen, op kosten van de Organisatie en uitgevoerd door een onafhankelijke auditor met een geheimhoudingsverklaring. De audit vindt plaats tijdens kantooruren en mag onze normale bedrijfsvoering niet onevenredig verstoren. Bevindingen die de Organisatie kennis geven van vertrouwelijke informatie van derden of van bedrijfsgeheimen kunnen worden geanonimiseerd of samengevat.
Onmiddellijke audit bij datalek: bij een gedocumenteerd datalek dat de Organisatie raakt, vervalt de jaarlimiet en kan op redelijke termijn een aanvullende audit worden uitgevoerd.

13. Bewaartermijn en beëindiging

Bij beëindiging van de overeenkomst, om welke reden dan ook, geldt het volgende:

Eindgebruikers behouden gedurende 30 dagen na beëindiging de mogelijkheid om hun gegevens via ‘Mijn account’ te exporteren.
De Organisatie kan, op haar verzoek en binnen die 30 dagen, een export ontvangen van de onder deze DPA verwerkte gegevens (uitnodigingen, statussen, organisatieconfiguratie). Dit op een gangbaar, machineleesbaar formaat.
Na afloop van het exportvenster verwijderen wij alle gegevens onder deze DPA binnen 30 dagen, behoudens gegevens waarvan de bewaring wettelijk verplicht is (zoals fiscale gegevens, met een wettelijke bewaartermijn van zeven jaar).
Coachinginhoud van eindgebruikers valt onder ons eigen privacybeleid en wordt door de eindgebruiker zelf beheerd via self-service verwijdering.

14. Aansprakelijkheid

De aansprakelijkheid van partijen onder of in verband met deze DPA wordt beheerst door de bepalingen daarover in de zakelijke hoofdovereenkomst tussen de Organisatie en Het Passie Kompas. Deze DPA voegt geen extra aansprakelijkheidsregeling toe en beperkt geen aansprakelijkheid die uit de AVG voortvloeit.

15. Toepasselijk recht en geschillen

Op deze DPA is Nederlands recht van toepassing. Geschillen die voortvloeien uit of verband houden met deze DPA worden voorgelegd aan de bevoegde rechter van de Rechtbank Den Haag, behoudens dwingendrechtelijke uitzonderingen.

16. Wijzigingen in deze DPA

Wij kunnen deze DPA van tijd tot tijd wijzigen om te blijven voldoen aan veranderende wet- en regelgeving, om sub-verwerkers actueel te houden of om verbeteringen door te voeren. Materiële wijzigingen worden ten minste 30 dagen vooraf via e-mail aan de organisatiebeheerder gecommuniceerd. Niet-materiële wijzigingen (tekstuele verduidelijkingen, contactgegevens, kleine correcties) gaan in op het moment van publicatie.

De steeds actuele versie van deze DPA is te vinden op hetpassiekompas.nl/dpa. Eerdere versies bewaren wij intern en stellen wij op verzoek beschikbaar.

Contact

Voor vragen over deze DPA, een verzoek om aanvullende documentatie, of het inplannen van een audit kun je contact opnemen via info@hetpassiekompas.nl.

Maak Jouw Impact B.V.

Handelend onder de naam Het Passie Profiel

Industrieweg 9, 2254 AE Voorschoten

KvK-nummer: 78341396

info@hetpassiekompas.nl

English version

Data Processing Agreement

Version 1.0 — Last updated: 3 May 2026

The Dutch text above is the legally binding version. This English translation is provided for convenience so non-Dutch-speaking organization administrators can understand the agreement. Where any interpretation differs, the Dutch version prevails.

Introduction

This Data Processing Agreement (hereinafter ‘DPA’) governs the processing of personal data by Maak Jouw Impact B.V. (trading as Het Passie Profiel, hereinafter ‘we’ or ‘Het Passie Kompas’) on behalf of a business customer (hereinafter ‘the Organization’) that purchases license seats for Het Passie Kompas for its employees or contacts.

This DPA forms part of the business agreement between the Organization and Het Passie Kompas and applies as soon as the Organization has accepted the associated terms and conditions. In the event of conflict between this DPA and the terms and conditions, this DPA prevails for all aspects concerning personal data.

This DPA meets the requirements of Article 28(3) of the General Data Protection Regulation (GDPR). The DPA is available as a web page at hetpassiekompas.nl/dpa and can be downloaded or printed for archiving.

1. Definitions

Terms used in this DPA that are defined in the GDPR have the same meaning as in the GDPR. Specifically, the following definitions apply:

Processor: Maak Jouw Impact B.V., trading as Het Passie Profiel.
Controller: the Organization that makes business use of Het Passie Kompas and invites its employees or contacts as end users.
End user: a natural person invited by the Organization to use Het Passie Kompas.
Sub-processor: a third party engaged by Het Passie Kompas to process personal data on behalf of the Organization.

2. Subject, duration, nature and purpose of the processing

Subject:the processing of end users’ personal data in the context of making Het Passie Kompas available to, and supporting it for, the Organization.

Duration: this DPA applies for as long as the business agreement between the Organization and Het Passie Kompas is in force, and remains in force thereafter to the extent necessary to settle obligations regarding retention, deletion or return of data.

Nature: electronic processing via a SaaS web application, including storage, display, status synchronization and automated communication (invitations, reminders).

Purpose: enabling the Organization to offer its employees or contacts access to Het Passie Kompas, follow their progress at status level, and manage license seats.

3. Types of personal data and categories of data subjects

Under this DPA, Het Passie Kompas processes the following personal data on behalf of the Organization:

Name and email address of invited end users.
Name, email address and role of organization administrators.
Status of license seats (invited, accepted, started, completed) and associated timestamps.
Organization details (name, slug, contact details) and billing details.

Categories of data subjects: employees, contacts or other natural persons invited by the Organization, and the organization administrators who manage the account on behalf of the Organization.

Special categories: within the scope of this DPA, no special categories of personal data (Art. 9 GDPR) are processed on behalf of the Organization. Coaching content does not fall under this DPA, see section 4 below.

4. Role allocation between Het Passie Kompas and the Organization

It is important to clearly delineate which processing activities fall under this DPA and which do not, because the allocation of roles between the parties differs per type of data.

Type of data	Controller	Under this DPA?
Invitations, license management, progress status	Organization	Yes
Coaching content (conversations with Noa, exercises, dashboard)	Het Passie Kompas (independent controller)	No — covered by our privacy policy
Organization account, billing	Het Passie Kompas (independent controller)	No

Coaching content is provided by end users voluntarily and on the basis of explicit consent (Article 9(2)(a) GDPR) directly to Het Passie Kompas. The Organization has no authority to issue instructions regarding this data and no right to access it, unless the end user actively grants access via a sharing feature initiated by the end user.

5. Obligations of Het Passie Kompas as processor

With regard to the data referred to in section 3, Het Passie Kompas commits to the following:

We process personal data solely on the basis of written instructions from the Organization, except where required by law.
We ensure that persons involved in the processing are bound by confidentiality.
We take appropriate technical and organizational measures in accordance with Article 32 GDPR (see section 7).
We do not engage sub-processors without the prior general or specific written authorization of the Organization (see section 8).
We provide the Organization with reasonable assistance in complying with data subject rights (see section 10) and with its obligations regarding data breaches, security and data protection impact assessments.
We make available to the Organization all information necessary to demonstrate compliance with these obligations, and cooperate with audits as described in section 12.
Upon termination of the agreement, we delete or return the data, at the Organization’s choice, in accordance with section 13.

6. Obligations of the Organization as controller

The Organization ensures a valid legal basis for providing end users’ personal data to Het Passie Kompas.
The Organization informs its end users about the processing in accordance with Article 13 GDPR, and points them to the privacy policy of Het Passie Kompas.
The Organization ensures that its instructions to Het Passie Kompas do not conflict with the GDPR or other applicable legislation.
The Organization cooperates with requests from Het Passie Kompas arising from this DPA, including the handling of data subject rights requests submitted to Het Passie Kompas.

7. Security measures (Article 32 GDPR)

Het Passie Kompas has taken appropriate technical and organizational measures, including:

Encryption: all data is encrypted in transit (TLS 1.2+) and at rest (Supabase platform encryption).
Access control: Row Level Security (RLS) at database level, magic-link authentication without local password storage, principle of least privilege.
Abuse prevention: rate limiting on all sensitive endpoints, daily cost caps on AI functions, HMAC signature verification on incoming webhooks.
Audit log: administrative actions by Het Passie Kompas staff are recorded in an internal audit log.
Backups: daily point-in-time recovery via our database platform.
Data centers in the EU: primary storage and processing take place in Ireland and Germany (see section 8 for exceptions).
Periodic audits: we regularly perform internal security audits and maintain a register of open and closed findings.

A detailed description of our technical and organizational measures, and the complete record of processing activities in accordance with Article 30 GDPR, is available to the Organization on request via info@hetpassiekompas.nl.

8. Sub-processors

The Organization grants Het Passie Kompas general authorization to engage the sub-processors listed below. This list reflects the state as of the date at the top of this DPA and is kept up to date in section 5 of the privacy policy.

Sub-processor	Function	Location
Supabase	Database, authentication, storage	EU (Ireland)
Vercel	Hosting	EU (Dublin)
Lettermint	Transactional email	EU
Plug & Pay / Mollie	Payment processing	The Netherlands
Upstash	Rate limiting (technical counters)	EU (Dublin)
PostHog	Product analytics (based on end-user consent)	EU (Frankfurt)
Anthropic	AI processing (does not touch data under this DPA)	United States
ElevenLabs	Voice processing (does not touch data under this DPA)	United States

Anthropic and ElevenLabs process only coaching content that falls under our own responsibility as controller (see section 4) and do not touch any data covered by this DPA. They are included in the table for completeness.

Changes to the sub-processor list: we inform the Organization at least 30 days in advance by email to the known contact address of the organization administrator, and simultaneously announce the change in the privacy policy. Within that period, the Organization has the right to object to the addition or replacement on reasonable grounds. In the event of a justified objection, the parties will consult; if no agreement is reached, the Organization may terminate the agreement effective as of the date the change would take effect.

With each sub-processor we have a written agreement that offers at least the same level of protection as this DPA.

9. International transfers

No data covered by this DPA is transferred outside the European Economic Area (EEA). All sub-processors listed in section 8 that touch this data (Supabase, Vercel, Lettermint, Plug & Pay/Mollie, Upstash, PostHog) are established within the EEA or process from EU instances.

For processors that only touch coaching content (Anthropic and ElevenLabs in the United States), EU Standard Contractual Clauses and the Data Privacy Framework respectively serve as safeguards for the transfer. These processing activities fall outside the scope of this DPA and are governed by our privacy policy.

10. Assistance with data subject rights

Het Passie Kompas provides the Organization with reasonable technical and organizational assistance in complying with data subject requests under Articles 15 to 22 GDPR (right of access, rectification, erasure, restriction, data portability, objection and not being subject to automated decision-making).

In practice:

End users can access, edit and delete their account themselves via ‘My account’ within Het Passie Kompas.
A request submitted to Het Passie Kompas that concerns data under this DPA is forwarded to the Organization without undue delay and, where possible, supported by us within a reasonable period.
Reasonable costs for extensive or repetitive requests that fall outside standard functionality may be charged on the basis of a pre-agreed hourly rate.

11. Data breaches

If Het Passie Kompas detects a personal data breach affecting the data covered by this DPA, we inform the Organization without undue delay, so that the Organization can meet its notification obligation to the Dutch Data Protection Authority in time (Article 33 GDPR, 72 hours after becoming aware).

Our notification includes at least:

The nature of the breach and, where possible, the categories and numbers of data subjects and records concerned.
The likely consequences.
The measures we have taken or propose to address the breach.
A contact person for further information.

Where necessary, we support the Organization with its obligation, if any, to notify data subjects under Article 34 GDPR.

12. Audit right

The Organization has the right to verify that Het Passie Kompas complies with its obligations under this DPA. We offer the following forms of review:

Written review: we answer a written questionnaire from the Organization and, upon reasonable request, provide evidence of the technical and organizational measures taken. This is the standard form of review.
On-site or remote audit:at most once per calendar year, with a notice period of at least 30 days, at the Organization’s expense and performed by an independent auditor bound by a confidentiality agreement. The audit takes place during office hours and may not disproportionately disrupt our normal operations. Findings that would give the Organization knowledge of third parties’ confidential information or of trade secrets may be anonymized or summarized.
Immediate audit in the event of a data breach: in the event of a documented data breach affecting the Organization, the annual limit lapses and an additional audit may be performed within a reasonable period.

13. Retention and termination

Upon termination of the agreement, for whatever reason, the following applies:

End users retain the ability to export their data via ‘My account’ for 30 days after termination.
The Organization may, upon request and within those 30 days, receive an export of the data processed under this DPA (invitations, statuses, organization configuration), in a common, machine-readable format.
After the export window closes, we delete all data under this DPA within 30 days, except for data whose retention is legally required (such as tax records, with a statutory retention period of seven years).
End users’ coaching content is covered by our own privacy policy and is managed by the end user via self-service deletion.

14. Liability

The liability of the parties under or in connection with this DPA is governed by the relevant provisions of the main business agreement between the Organization and Het Passie Kompas. This DPA does not add any additional liability regime and does not limit any liability arising from the GDPR.

15. Governing law and disputes

This DPA is governed by Dutch law. Disputes arising from or related to this DPA will be submitted to the competent court of the District Court of The Hague, subject to mandatory legal exceptions.

16. Changes to this DPA

We may amend this DPA from time to time to remain compliant with changing laws and regulations, to keep the sub-processor list up to date, or to make improvements. Material changes are communicated to the organization administrator by email at least 30 days in advance. Non-material changes (textual clarifications, contact details, minor corrections) take effect upon publication.

The current version of this DPA can always be found at hetpassiekompas.nl/dpa. We keep previous versions internally and make them available on request.

Contact

For questions about this DPA, a request for additional documentation, or scheduling an audit, please contact us at info@hetpassiekompas.nl.

Maak Jouw Impact B.V.

Trading as Het Passie Profiel

Industrieweg 9, 2254 AE Voorschoten, the Netherlands

Dutch Chamber of Commerce (KvK) number: 78341396

info@hetpassiekompas.nl