Verwerkersovereenkomst CarTwin

Versie 1.0 — 27 augustus 2026

Partijen

De verwerkingsverantwoordelijke

hierna: de klant

De verwerker

ORshoots, handelend onder de naam CarTwin Schildersplein 211, 5172 BD Kaatsheuvel KvK 77785142

hierna: CarTwin

Overwegingen

1. CarTwin maakt uit een video-opname van een voertuig een driedimensionaal model en stelt dat aan de klant beschikbaar.

2. De klant bepaalt welke opnames hij aanlevert, met welk doel, en of hij een model met derden deelt. De klant is daarmee verwerkingsverantwoordelijke.

3. CarTwin verwerkt die opnames uitsluitend in opdracht van de klant en is daarmee verwerker.

4. Partijen leggen in deze overeenkomst vast hoe die verwerking plaatsvindt, zoals de Algemene verordening gegevensbescherming voorschrijft.

5. Deze overeenkomst maakt deel uit van de overeenkomst tussen partijen en van de algemene voorwaarden van CarTwin. Bij tegenstrijdigheid gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

Artikel 1 — Definities

De begrippen persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene, subverwerker en inbreuk in verband met persoonsgegevens hebben de betekenis die de Algemene verordening gegevensbescherming eraan geeft.

Opname — het door de klant aangeleverde videobestand van een voertuig.

Model — het driedimensionale bestand dat CarTwin uit een opname vervaardigt.

Beschikbaarheidstermijn — de periode waarin een model via CarTwin te bekijken en te downloaden is, zoals bepaald door het afgenomen pakket.

Artikel 2 — Onderwerp, aard en duur

2.1 CarTwin verwerkt persoonsgegevens uitsluitend om de overeengekomen dienst te leveren: het vervaardigen van een model uit een opname en het beschikbaar stellen daarvan.

2.2 De aard van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen staan in bijlage 1.

2.3 Deze overeenkomst geldt zolang CarTwin voor de klant persoonsgegevens verwerkt, en eindigt niet eerder dan het moment waarop alle gegevens zijn verwijderd of teruggegeven overeenkomstig artikel 13.

Artikel 3 — Instructies

3.1 CarTwin verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de klant. Deze overeenkomst, de algemene voorwaarden en het gebruik dat de klant van de dienst maakt, gelden als die instructies.

3.2 Als de klant een model deelbaar maakt, geldt dat als een uitdrukkelijke instructie aan CarTwin om dat model toegankelijk te maken zonder authenticatie, voor iedereen die over de deellink beschikt. De klant is zich ervan bewust dat een model kentekens leesbaar weergeeft. De klant beoordeelt zelf of hij daarvoor een grondslag heeft.

3.3 CarTwin verwerkt de gegevens niet voor eigen doeleinden en verstrekt ze niet aan derden, behoudens een wettelijke verplichting. Bestaat zo'n verplichting, dan stelt CarTwin de klant daarvan vooraf op de hoogte, tenzij de wet dat verbiedt.

3.4 CarTwin stelt de klant onverwijld op de hoogte als naar haar oordeel een instructie in strijd is met de gegevensbeschermingswetgeving. CarTwin mag de uitvoering van die instructie opschorten tot de klant hem heeft bevestigd of aangepast.

3.5 CarTwin gebruikt de opnames en modellen niet om systemen te trainen, en maakt daar geen afgeleide producten van.

Artikel 4 — Verplichtingen van de klant

4.1 De klant staat ervoor in dat hij gerechtigd is de opnames te maken, aan te leveren en te laten verwerken, en dat hij daarvoor een geldige grondslag heeft.

4.2 De klant is verantwoordelijk voor de inhoud van de opnames, waaronder uitdrukkelijk kentekens, personen, omstanders, gebouwen en eigendommen van derden die in beeld komen.

4.3 De klant informeert betrokkenen voor zover de wet dat van hem verlangt.

4.4 De klant levert geen bijzondere categorieën persoonsgegevens of strafrechtelijke gegevens aan.

4.5 De klant vrijwaart CarTwin voor aanspraken van derden en voor boetes van toezichthouders die voortvloeien uit het niet nakomen van dit artikel.

Artikel 5 — Geheimhouding

5.1 CarTwin verplicht iedereen die onder haar gezag toegang heeft tot de persoonsgegevens tot geheimhouding.

5.2 Toegang wordt uitsluitend verleend voor zover dat nodig is om de dienst te leveren, te onderhouden of te ondersteunen.

5.3 Deze verplichting blijft na afloop van deze overeenkomst van kracht.

Artikel 6 — Beveiliging

6.1 CarTwin treft passende technische en organisatorische maatregelen zoals bedoeld in artikel 32 van de verordening. De maatregelen staan beschreven in bijlage 2.

6.2 CarTwin mag die maatregelen aanpassen, mits het beschermingsniveau niet afneemt.

6.3 De klant beoordeelt zelf of de maatregelen passend zijn voor de gegevens die hij aanlevert.

6.4 De klant is verantwoordelijk voor het beheer van zijn eigen accounts en inloggegevens, en voor de verspreiding van deellinks die hij aanmaakt.

Artikel 7 — Subverwerkers

7.1 De klant geeft CarTwin een algemene toestemming om subverwerkers in te schakelen. De op dit moment ingeschakelde subverwerkers staan in bijlage 3.

7.2 CarTwin legt aan iedere subverwerker verplichtingen op die ten minste gelijk zijn aan die uit deze overeenkomst.

7.3 CarTwin informeert de klant voorafgaand aan het toevoegen of vervangen van een subverwerker. De klant kan daartegen binnen veertien dagen schriftelijk en gemotiveerd bezwaar maken.

7.4 Komen partijen er bij een bezwaar niet uit, dan mag de klant de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat. Dat is zijn enige rechtsmiddel in dat geval.

7.5 CarTwin blijft jegens de klant verantwoordelijk voor het handelen van haar subverwerkers.

Artikel 8 — Doorgifte buiten de Europese Economische Ruimte

8.1 De opslag van opnames en modellen vindt plaats binnen de Europese Unie.

8.2 De webapplicatie, de serverroutes en de netwerklaag daarvoor worden uitgeserveerd via wereldwijd verspreide infrastructuur. Daardoor kan de verwerking van verzoeken buiten de Europese Economische Ruimte plaatsvinden, ook al blijft de opslag binnen de Unie.

8.3 Voor die verwerkingen zijn passende waarborgen getroffen, in de vorm van de standaardcontractbepalingen van de Europese Commissie of een andere erkende doorgiftegrondslag. CarTwin verstrekt op verzoek inzicht in die waarborgen.

Artikel 9 — Rechten van betrokkenen

9.1 Ontvangt CarTwin rechtstreeks een verzoek van een betrokkene over gegevens die zij voor de klant verwerkt, dan handelt CarTwin dat verzoek niet zelf af en verwijst zij de betrokkene naar de klant. CarTwin informeert de klant onverwijld.

9.2 CarTwin verleent de klant redelijke medewerking bij het beantwoorden van verzoeken tot inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar.

9.3 Voor werkzaamheden die verder gaan dan wat de dienst standaard biedt, mag CarTwin de redelijke kosten in rekening brengen. CarTwin meldt dat vooraf.

Artikel 10 — Inbreuken in verband met persoonsgegevens

10.1 CarTwin informeert de klant zonder onredelijke vertraging, en uiterlijk binnen achtenveertig uur nadat zij bekend is geworden met een inbreuk die de gegevens van de klant raakt.

10.2 Die melding bevat ten minste: de aard van de inbreuk, de betrokken categorieën en aantallen voor zover bekend, de waarschijnlijke gevolgen, de getroffen en voorgenomen maatregelen, en een contactpunt.

10.3 Is nog niet alle informatie beschikbaar, dan meldt CarTwin wat er wel bekend is en vult zij aan zodra dat kan.

10.4 De klant beoordeelt zelf of een melding aan de Autoriteit Persoonsgegevens of aan betrokkenen nodig is, en doet die melding zelf. CarTwin doet dat niet namens de klant.

10.5 CarTwin verleent daarbij redelijke medewerking.

Artikel 11 — Gegevensbeschermingseffectbeoordeling

CarTwin verleent de klant redelijke medewerking bij een gegevensbeschermingseffectbeoordeling en bij een voorafgaande raadpleging van de toezichthouder, voor zover die betrekking heeft op de verwerkingen uit deze overeenkomst en voor zover de daarvoor benodigde informatie redelijkerwijs alleen bij CarTwin beschikbaar is.

Artikel 12 — Controle

12.1 CarTwin stelt de klant op verzoek de informatie ter beschikking die nodig is om de naleving van deze overeenkomst aan te tonen.

12.2 De klant mag ten hoogste eenmaal per kalenderjaar een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden deskundige, na een aankondiging van ten minste dertig dagen.

12.3 De audit verstoort de bedrijfsvoering van CarTwin niet onnodig en raakt nooit gegevens van andere klanten.

12.4 De kosten van een audit komen voor rekening van de klant, tenzij daaruit een wezenlijke tekortkoming van CarTwin blijkt.

12.5 Beschikt CarTwin of een subverwerker over een recente onafhankelijke certificering of auditrapportage, dan mag CarTwin die overleggen ter vervanging van een eigen audit.

Artikel 13 — Bewaren, teruggeven en verwijderen

13.1 CarTwin verwijdert een opname en het bijbehorende model na afloop van de beschikbaarheidstermijn van het afgenomen pakket. De klant geeft daarvoor bij het aangaan van de overeenkomst opdracht.

13.2 De klant is er zelf verantwoordelijk voor een model binnen die termijn te downloaden. CarTwin is geen archief- of back-updienst.

13.3 Bij beëindiging van de overeenkomst verwijdert CarTwin alle persoonsgegevens die zij voor de klant verwerkt binnen dertig dagen, tenzij de klant binnen die termijn om teruggave verzoekt of een wettelijke bewaarplicht zich daartegen verzet.

13.4 Gegevens in reservekopieën worden verwijderd volgens de reguliere bewaartermijn van die kopieën.

13.5 CarTwin bevestigt de verwijdering op verzoek schriftelijk.

13.6 Zodra de klant een model heeft gedownload, heeft CarTwin daar geen zeggenschap meer over. De klant is vanaf dat moment zelf verwerkingsverantwoordelijke voor die kopie.

Artikel 14 — Aansprakelijkheid

14.1 De aansprakelijkheidsregeling uit de algemene voorwaarden van CarTwin is onverkort van toepassing op deze overeenkomst.

14.2 Wordt aan een van beide partijen een boete opgelegd of een schadevergoeding toegekend, dan draagt elke partij dat deel dat aan haar eigen handelen is toe te rekenen.

Artikel 15 — Duur en beëindiging

15.1 Deze overeenkomst gaat in op het moment van digitale aanvaarding, of op het moment dat de klant de dienst in gebruik neemt, en loopt zolang de onderliggende overeenkomst duurt.

15.2 De artikelen die naar hun aard bedoeld zijn om voort te duren, waaronder geheimhouding, verwijdering en aansprakelijkheid, blijven na afloop van kracht.

Artikel 16 — Slotbepalingen

16.1 Wijzigingen zijn alleen geldig als beide partijen daar schriftelijk mee instemmen. CarTwin mag deze overeenkomst eenzijdig aanpassen als gewijzigde wetgeving of aangepaste toezichthoudersrichtlijnen daartoe nopen; zij informeert de klant daar dertig dagen vooraf over.

16.2 Is een bepaling nietig of vernietigbaar, dan blijven de overige bepalingen van kracht.

16.3 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter van de rechtbank Rotterdam.

Aanvaarding

Bijlage 1 — De verwerking

Onderwerp Het vervaardigen van een driedimensionaal model uit een door de klant aangeleverde video-opname van een voertuig, en het beschikbaar stellen daarvan.

Aard van de verwerking Ontvangen, opslaan, geautomatiseerd verwerken, beschikbaar stellen en na afloop verwijderen.

Doel Uitsluitend het leveren van de overeengekomen dienst.

Categorieën betrokkenen

• Personen die te herkennen zijn in de opname of het model, waaronder de houder

van een voertuig voor zover die via het kenteken herleidbaar is

• Personen die toevallig in beeld komen, zoals omstanders, passanten en

medewerkers

• Gebruikers van het account van de klant

Soorten persoonsgegevens

• Beeldmateriaal van voertuigen, waaronder kentekens, die in het model

leesbaar worden weergegeven

• Beeldmateriaal waarop personen, gebouwen of eigendommen van derden zichtbaar

kunnen zijn

• Gegevens van gebruikers van het account: naam, e-mailadres, versleuteld

wachtwoord

• Gegevens over het gebruik: titels van scans, tijdstippen, status, technische

meetwaarden van de verwerking

• Technische gegevens: IP-adres, browsertype, tijdstippen

Bijzondere categorieën persoonsgegevens Niet van toepassing. De klant levert die niet aan.

Duur van de verwerking Voor opnames en modellen: tot het einde van de beschikbaarheidstermijn van het afgenomen pakket. Voor accountgegevens: zolang het account bestaat, met inachtneming van wettelijke bewaartermijnen.

Bijlage 2 — Beveiligingsmaatregelen

Toegang tot gegevens

• Opnames en modellen staan in afgeschermde opslag die niet publiek toegankelijk

is.

• Toegang verloopt uitsluitend via tijdelijke, ondertekende links met een

beperkte geldigheidsduur.

• Iedere klant heeft uitsluitend toegang tot zijn eigen gegevens. Dat is

afgedwongen op databaseniveau en niet alleen in de applicatie.

• Schrijfrechten zijn per kolom beperkt: een gebruiker kan uitsluitend zijn

eigen naam en de titel van zijn scans wijzigen. Alle overige gegevens worden uitsluitend door de server gezet.

• Er zijn geen rechten toegekend aan niet-ingelogde bezoekers.

Authenticatie

• Wachtwoorden worden uitsluitend versleuteld opgeslagen.
• Gekozen wachtwoorden worden gecontroleerd tegen bekende gelekte wachtwoorden.
• Er geldt een minimale wachtwoordlengte.

Sleutels en geheimen

• Sleutels voor de onderliggende diensten staan uitsluitend in de

serveromgeving en komen nooit in de browser terecht.

• Achtergrondprocessen zijn beveiligd met een gedeeld geheim; verzoeken zonder

geldig geheim worden geweigerd.

Transport

• Al het verkeer verloopt versleuteld.
• Toegangstokens in tijdelijke links worden niet vastgelegd in logboeken.

Deellinks

• Delen staat standaard uit en wordt uitsluitend door de klant ingeschakeld.
• Een deellink gebruikt een willekeurig gegenereerd token dat losstaat van

interne identificatiegegevens.

• Uitschakelen maakt de link onmiddellijk ongeldig.
• Gedeelde pagina's worden uitgesloten van indexering door zoekmachines.

Bewaking

• De uitvoering van achtergrondprocessen wordt vastgelegd, zodat uitval

zichtbaar is en niet onopgemerkt blijft.

Verwijdering

• Opnames en modellen worden na afloop van de beschikbaarheidstermijn

verwijderd.

• Een opname staat tijdens het verwerken kortstondig op de rekenomgeving en

wordt daar na afloop verwijderd.

Bijlage 3 — Subverwerkers

De actuele lijst is op verzoek beschikbaar via service@cartwin.nl.