Verwerkersovereenkomst

Verwerkersovereenkomst (DPA) — Pomio CRM (Nederlands)

Verwerker: S. Simon Communication, handelend onder de naam Pomio CRM (“Pomio”).

Pomio CRM is een handelsnaam van S. Simon Communication, de juridische aanbieder van de Pomio CRM-dienst.

Versie: pomio-dpa@2026-11-04-draft
Taal: Nederlands

1. Partijen en reikwijdte

1.1 Deze verwerkersovereenkomst (“Verwerkersovereenkomst”) wordt gesloten tussen de klant die een Abonnement of Proefperiode voor Pomio CRM is aangegaan (de “Klant”, als verwerkingsverantwoordelijke) en S. Simon Communication, handelend onder de naam Pomio CRM (“Pomio”, als verwerker). Pomio is ingeschreven in het Handelsregister van de Kamer van Koophandel (KvK) onder nummer 62685252, heeft btw-identificatienummer NL002218668B93 en is gevestigd aan Pier Christiaanswei 11A, 8508 SB Delfstrahuizen, Nederland.

1.2 Deze Verwerkersovereenkomst maakt deel uit van de Algemene voorwaarden / Abonnementsvoorwaarden van Pomio CRM (de “Voorwaarden”) en is van toepassing op alle verwerkingen van persoonsgegevens die Pomio namens de Klant uitvoert bij het leveren van de Pomio CRM-dienst (de “Dienst”).

1.3 Deze Verwerkersovereenkomst is niet van toepassing op persoonsgegevens die Pomio als verwerkingsverantwoordelijke voor eigen doeleinden verwerkt, zoals de marketingwebsite, de intake van proefperiodes, demo’s en contactverzoeken, accountbeheer, betaling en facturatie, en productsupport (behalve Persoonsgegevens van de Klant die in supportverzoeken worden gedeeld; zie Bijlage C). Die verwerkingen zijn beschreven in de Privacyverklaring.

1.4 Deze Verwerkersovereenkomst is bedoeld om te voldoen aan de eisen van artikel 28, lid 3, van Verordening (EU) 2016/679 (Algemene verordening gegevensbescherming, “AVG”).

2. Definities

2.1 Begrippen als “persoonsgegevens”, “verwerking”, “verwerkingsverantwoordelijke”, “verwerker”, “betrokkene”, “inbreuk in verband met persoonsgegevens” en “toezichthoudende autoriteit” hebben de betekenis die de AVG daaraan geeft. Begrippen met een hoofdletter die in deze Verwerkersovereenkomst niet zijn gedefinieerd, hebben de betekenis uit de Voorwaarden.

Persoonsgegevens van de Klant: persoonsgegevens in de Klantgegevens die Pomio namens de Klant verwerkt op grond van de Voorwaarden en deze Verwerkersovereenkomst.
Subverwerker: een door Pomio ingeschakelde derde die Persoonsgegevens van de Klant namens de Klant verwerkt.
Toepasselijk gegevensbeschermingsrecht: de AVG, de Uitvoeringswet AVG en andere gegevensbeschermingswetgeving van de Europese Unie of haar lidstaten die op de verwerking van toepassing is.

3. Onderwerp, aard, doel en duur

3.1 Het onderwerp van de verwerking is het leveren van de Dienst: een multi-tenant SaaS-applicatie voor Customer Relationship Management (CRM) voor leads, bedrijven, contacten en pipeline.

3.2 De aard en het doel van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen zijn beschreven in Bijlage A.

3.3 De verwerking duurt zolang het Abonnement of de Proefperiode loopt en daarna zolang Pomio nog Persoonsgegevens van de Klant onder zich heeft overeenkomstig artikel 13 van deze Verwerkersovereenkomst.

4. Rollen van partijen

4.1 Voor Persoonsgegevens van de Klant is de Klant verwerkingsverantwoordelijke en Pomio verwerker. De Klant bepaalt het doel van en de middelen voor de verwerking.

4.2 De Klant is verantwoordelijk voor de rechtmatigheid van de verwerking, waaronder een geldige grondslag, het informeren van betrokkenen en de juistheid van de persoonsgegevens die hij in de Dienst invoert.

4.3 Treedt de Klant zelf op als verwerker voor een derde, dan staat de Klant ervoor in dat zijn instructies door die verwerkingsverantwoordelijke zijn geautoriseerd; Pomio treedt dan op als subverwerker van de Klant.

5. Instructies

5.1 Pomio verwerkt Persoonsgegevens van de Klant uitsluitend op basis van schriftelijke instructies van de Klant, ook wat betreft doorgiften naar een derde land, tenzij een op Pomio van toepassing zijnde Unierechtelijke of lidstatelijke bepaling anders vereist. In dat geval stelt Pomio de Klant vóór de verwerking van dat wettelijke voorschrift in kennis, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.

5.2 De Voorwaarden, deze Verwerkersovereenkomst en het gebruik en de configuratie van de Dienst door de Klant (waaronder instellingen van geautoriseerde gebruikers) vormen de volledige schriftelijke instructies van de Klant. Aanvullende instructies worden schriftelijk gegeven en moeten passen binnen de Voorwaarden en de functionaliteit van de Dienst.

5.3 Pomio stelt de Klant onmiddellijk in kennis als een instructie naar zijn mening inbreuk oplevert op de AVG of op andere Unierechtelijke of lidstatelijke bepalingen inzake gegevensbescherming. Pomio mag de uitvoering van zo’n instructie opschorten totdat deze is bevestigd of aangepast.

5.4 Pomio verwerkt Persoonsgegevens van de Klant niet voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet voor advertenties of voor profilering buiten de instructies van de Klant.

6. Vertrouwelijkheid

6.1 Pomio waarborgt dat de personen die gemachtigd zijn om Persoonsgegevens van de Klant te verwerken, zich tot geheimhouding hebben verbonden of door een passende wettelijke verplichting tot geheimhouding zijn gebonden.

6.2 Toegang door Pomio tot Persoonsgegevens van de Klant is beperkt tot wat nodig is om de Dienst te leveren, te beveiligen en te ondersteunen, of om aan de wet te voldoen.

7. Beveiliging van de verwerking

7.1 Pomio neemt passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG, rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard, de omvang, de context en het doel van de verwerking en het risico voor de rechten en vrijheden van natuurlijke personen. De maatregelen zijn beschreven in Bijlage B.

7.2 Pomio mag de maatregelen bijwerken, mits het algehele beveiligingsniveau niet daalt.

7.3 De Klant is verantwoordelijk voor de beveiliging van zijn eigen accounts en apparaten, waaronder het beheer van gebruikers en rechten, het gebruik van sterke wachtwoorden en, waar beschikbaar, multifactorauthenticatie.

8. Subverwerkers

8.1 De Klant verleent Pomio algemene schriftelijke toestemming om Subverwerkers in te schakelen. De Subverwerkers die op de datum van deze Verwerkersovereenkomst zijn ingeschakeld, staan in Bijlage C.

8.2 Pomio informeert de Klant ten minste veertien (14) dagen vooraf, per e-mail en/of in de Dienst, over een voorgenomen toevoeging of vervanging van een Subverwerker. Is een vervanging met spoed nodig om de beveiliging of de continuïteit van de Dienst te waarborgen, dan mag Pomio de nieuwe Subverwerker eerder inschakelen; Pomio informeert de Klant daarover dan zonder onredelijke vertraging. De Klant kan schriftelijk en op redelijke gronden van gegevensbescherming bezwaar maken binnen de termijn van veertien (14) dagen vóór de wijziging of, bij een spoedvervanging, binnen veertien (14) dagen na de melding. Pomio beoordeelt het bezwaar en zoekt in overleg met de Klant binnen een redelijke termijn naar een redelijke oplossing, zoals een alternatief of aanvullende maatregelen. Komen partijen niet tot een oplossing, dan kan de Klant het betrokken deel van het Abonnement opzeggen met ingang van de datum waarop de nieuwe Subverwerker wordt ingeschakeld of, bij een spoedvervanging, met onmiddellijke ingang; reeds betaalde bedragen worden niet gerestitueerd, tenzij dwingend recht anders bepaalt. In afwijking daarvan restitueert Pomio, uitsluitend als de Klant een gerechtvaardigd bezwaar op gronden van gegevensbescherming tegen een toegevoegde of vervangen Subverwerker heeft gemaakt, Pomio geen passende oplossing biedt en de Klant om die reden het betrokken deel opzegt, pro rata het vooruitbetaalde bedrag over de resterende vooruitbetaalde periode van dat deel, gerekend vanaf de ingangsdatum van de opzegging.

8.3 Pomio legt elke Subverwerker bij schriftelijke overeenkomst verplichtingen inzake gegevensbescherming op die ten minste hetzelfde beschermingsniveau bieden als deze Verwerkersovereenkomst, in het bijzonder voldoende garanties voor passende technische en organisatorische maatregelen.

8.4 Pomio blijft jegens de Klant volledig aansprakelijk voor de nakoming van de verplichtingen van zijn Subverwerkers, binnen de grenzen van artikel 14.

9. Doorgifte buiten de EER

9.1 Pomio geeft Persoonsgegevens van de Klant alleen door naar een land buiten de Europese Economische Ruimte (EER) als aan de voorwaarden van hoofdstuk V AVG is voldaan, bijvoorbeeld op basis van een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework voor gecertificeerde ontvangers) of de door de Europese Commissie vastgestelde standaardcontractbepalingen (Besluit (EU) 2021/914), zo nodig met aanvullende maatregelen.

9.2 De doorgiften die op de datum van deze Verwerkersovereenkomst bekend zijn en de waarborgen die daarvoor worden gebruikt, staan in Bijlage D.

10. Bijstand aan de Klant

10.1 Rechten van betrokkenen: rekening houdend met de aard van de verwerking helpt Pomio de Klant door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bij het vervullen van zijn plicht om verzoeken van betrokkenen te beantwoorden (inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar). De Dienst biedt hiervoor functies, waaronder privacy- en inzageverzoekfuncties (DSAR) voor geautoriseerde beheerders. Ontvangt Pomio rechtstreeks een verzoek, dan stuurt Pomio dit zonder onredelijke vertraging door naar de Klant en reageert Pomio niet zelf, tenzij de Klant daartoe opdracht geeft.

10.2 Overige verplichtingen: rekening houdend met de aard van de verwerking en de informatie waarover Pomio beschikt, helpt Pomio de Klant bij het doen nakomen van de artikelen 32 tot en met 36 AVG (beveiliging, melding van inbreuken in verband met persoonsgegevens, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthoudende autoriteit).

10.3 Pomio kan na voorafgaande mededeling redelijke kosten in rekening brengen voor bijstand die verder gaat dan de standaardfuncties van de Dienst, tenzij de bijstand nodig is door een schending van deze Verwerkersovereenkomst door Pomio.

11. Inbreuken in verband met persoonsgegevens

11.1 Pomio meldt een inbreuk in verband met persoonsgegevens die Persoonsgegevens van de Klant betreft zonder onredelijke vertraging nadat Pomio ervan kennis heeft genomen, en waar mogelijk binnen 48 uur, zodat de Klant zijn eigen verplichtingen uit de artikelen 33 en 34 AVG kan nakomen.

11.2 De melding bevat, voor zover bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevensregistraties, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een contactpunt voor nadere informatie. De eerste melding mag voorlopig zijn. Informatie die nog niet beschikbaar is, wordt verstrekt zodra die beschikbaar is, zonder verdere onredelijke vertraging en zo nodig in fasen.

11.3 Pomio neemt redelijke maatregelen om de inbreuk in te dammen en de gevolgen te beperken, en documenteert de inbreuk. Een melding door Pomio is geen erkenning van schuld of aansprakelijkheid.

11.4 De Klant beslist als verwerkingsverantwoordelijke of melding aan de toezichthoudende autoriteit en aan betrokkenen plaatsvindt.

12. Informatie en audits

12.1 Pomio stelt alle informatie ter beschikking die nodig is om de nakoming van de verplichtingen uit artikel 28 AVG aan te tonen, zoals een beschrijving van de beveiligingsmaatregelen en relevante documentatie van Subverwerkers.

12.2 (a) Reguliere audit: is die informatie aantoonbaar onvoldoende, dan kan de Klant een audit laten uitvoeren, ten hoogste eenmaal per kalenderjaar, met een schriftelijke aankondiging van ten minste dertig (30) dagen, tijdens kantooruren en zonder onevenredige verstoring van de bedrijfsvoering van Pomio. (b) Uitzonderingsaudit: daarnaast kan de Klant, ongeacht of de informatie uit artikel 12.1 toereikend is en zonder jaarlimiet, een audit laten uitvoeren bij: (i) een inbreuk in verband met persoonsgegevens die de Persoonsgegevens van de Klant heeft getroffen; (ii) een ernstig beveiligingsincident dat de Persoonsgegevens van de Klant raakt of kan raken; (iii) een concrete aanwijzing voor een schending van deze Verwerkersovereenkomst; of (iv) een verzoek of bevel van een bevoegde toezichthoudende autoriteit. Voor een uitzonderingsaudit geldt een kortere, redelijke aankondigingstermijn of, waar dat wettelijk vereist is, onmiddellijke medewerking; zo’n audit is proportioneel en blijft waar mogelijk beperkt tot de betrokken gegevens en systemen. Elke audit wordt uitgevoerd door de Klant of door een onafhankelijke auditor die tot geheimhouding is verplicht, onder redelijke vertrouwelijkheids- en beveiligingsvoorwaarden; de auditor krijgt geen toegang tot gegevens van andere klanten van Pomio. Dit artikel 12 beperkt geen wettelijke audit- of inspectierechten van de Klant of van toezichthoudende autoriteiten.

12.3 De kosten van een reguliere audit komen in beginsel voor rekening van de Klant. Blijkt uit een audit een aantoonbare wezenlijke tekortkoming van Pomio in de nakoming van deze Verwerkersovereenkomst, dan draagt Pomio de redelijke kosten van die audit. Kostenafspraken schorten de wettelijk vereiste medewerking aan de Klant of aan een toezichthoudende autoriteit nooit op en blokkeren die niet. Audits bij Subverwerkers verlopen via de auditrapporten en certificeringen die zij beschikbaar stellen.

13. Teruggave en verwijdering

13.1 Na afloop van het Abonnement krijgt de Klant een redelijke gelegenheid om Klantgegevens te exporteren met de exportfuncties van de Dienst (Voorwaarden, artikel 12.3).

13.2 Na de exportperiode en een eventuele Bewaartermijn (Voorwaarden, artikelen 4.7, 4.8 en 12.4) verwijdert Pomio de Persoonsgegevens van de Klant op beheerste wijze, tenzij opslag op grond van Unierecht of lidstatelijk recht verplicht is of een legal hold geldt.

13.3 Kopieën in back-ups worden niet voor andere doeleinden teruggezet en worden in de normale back-upcyclus overschreven (zie Bijlage B). Tot dat moment blijven zij onder deze Verwerkersovereenkomst beschermd.

13.4 Op verzoek van de Klant bevestigt Pomio schriftelijk dat de verwijdering heeft plaatsgevonden.

14. Aansprakelijkheid

14.1 De aansprakelijkheid van partijen onder deze Verwerkersovereenkomst is onderworpen aan de aansprakelijkheidsbeperkingen in de Voorwaarden (artikel 18), voor zover de wet dat toestaat.

14.2 Niets in deze Verwerkersovereenkomst beperkt de rechten van betrokkenen op grond van artikel 82 AVG of aansprakelijkheid die op grond van dwingend recht niet kan worden beperkt.

15. Duur en beëindiging

15.1 Deze Verwerkersovereenkomst wordt bij de registratie in de Dienst aanvaard, geldt vanaf de start van de Proefperiode (en, zonder Proefperiode, vanaf de start van het Abonnement) en blijft van kracht zolang Pomio namens de Klant Persoonsgegevens van de Klant verwerkt.

15.2 Verplichtingen die naar hun aard bedoeld zijn om na het einde van deze Verwerkersovereenkomst door te lopen, zoals geheimhouding, verwijdering en aansprakelijkheid, blijven van kracht.

16. Rangorde

16.1 Bij strijdigheid tussen deze Verwerkersovereenkomst en de Voorwaarden over de verwerking van Persoonsgegevens van de Klant gaat deze Verwerkersovereenkomst voor. Standaardcontractbepalingen gaan, waar van toepassing, voor op deze Verwerkersovereenkomst.

17. Wijzigingen en versies

17.1 Elke versie van deze Verwerkersovereenkomst heeft een versie-aanduiding. Pomio legt bij aanvaarding vast: de versie-aanduiding, een controlewaarde (hash) van de aanvaarde tekst, de gebruiker die namens de Klant aanvaardt en het tijdstip van aanvaarding. De website en de Dienst gebruiken dezelfde versie van deze Verwerkersovereenkomst.

17.2 Pomio mag deze Verwerkersovereenkomst wijzigen als dat nodig is door wijzigingen in de wet, richtsnoeren van toezichthoudende autoriteiten of wijzigingen in de Dienst of de Subverwerkers. Wezenlijke wijzigingen worden met een redelijke termijn vooraf aangekondigd. Wijzigingen mogen het door de AVG vereiste beschermingsniveau van Persoonsgegevens van de Klant niet verlagen.

18. Toepasselijk recht en geschillen

18.1 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter overeenkomstig artikel 20 van de Voorwaarden.

18.2 Deze Verwerkersovereenkomst is beschikbaar in het Nederlands, Engels en Duits. Bij verschillen tussen taalversies prevaleert de Nederlandse tekst.

Bijlage A — Beschrijving van de verwerking

Onderdeel	Beschrijving
Categorieën betrokkenen	Gebruikers van de Klant (medewerkers en andere door de Klant gemachtigde personen); contactpersonen van leads, prospects, klanten, leveranciers en andere zakelijke relaties van de Klant; andere personen van wie de Klant gegevens in de Dienst invoert.
Soorten persoonsgegevens	Identificatie- en contactgegevens (naam, functie, bedrijf, zakelijk e-mailadres, telefoonnummer, adresgegevens zoals door de Klant ingevoerd); CRM-inhoud (notities, activiteiten, taken, deals, pipeline- en salesgegevens, communicatie die vanuit de Dienst wordt verstuurd); gebruikersaccountgegevens (naam, e-mailadres, rol en rechten, authenticatiegegevens, MFA-status); gebruiks- en loggegevens (audittrail van handelingen, IP-adres en technische metadata).
Bijzondere categorieën persoonsgegevens	Niet beoogd. De Klant voert geen bijzondere categorieën persoonsgegevens (artikel 9 AVG) of strafrechtelijke gegevens (artikel 10 AVG) in de Dienst in, tenzij hij daarvoor een rechtmatige grondslag heeft en zelf passende maatregelen heeft genomen.
Aard van de verwerking	Verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending (waaronder het versturen van e-mail op instructie van gebruikers), aligneren, combineren, afschermen, wissen en vernietigen, telkens via de Dienst.
Doel van de verwerking	Het leveren, hosten, onderhouden, beveiligen en ondersteunen van de Dienst voor de Klant, inclusief back-ups, monitoring en incidentafhandeling.
Duur en bewaring	Gedurende het Abonnement of de Proefperiode; daarna tijdens de exportperiode en de Bewaartermijn, gevolgd door beheerste verwijdering (artikel 13). Back-ups volgen de cyclus in Bijlage B.
Frequentie	Doorlopend, zolang de Dienst wordt gebruikt.

Bijlage B — Technische en organisatorische maatregelen

Scheiding tussen tenants: elke klantomgeving (tenant) is logisch gescheiden; toegangsregels worden server-side en in de databaseregels afgedwongen, niet alleen in de gebruikersinterface.
Toegangsbeheer: rolgebaseerde rechten per tenant; de beheerders van de Klant beheren gebruikers en rollen; een gebruiker heeft alleen toegang tot de tenants waarvan hij actief lid is.
Authenticatie: persoonlijke accounts met wachtwoorden; multifactorauthenticatie (TOTP) is beschikbaar.
Audittrail: relevante handelingen in de Dienst worden per tenant vastgelegd in een audittrail.
Versleuteling: gegevens tijdens transport worden versleuteld met TLS; opgeslagen gegevens worden standaard versleuteld door de hostingprovider (Google Cloud).
Beheer van geheimen: API-sleutels en andere geheimen worden in een secret manager bewaard en niet in de broncode opgeslagen.
Hostinglocatie (productieomgeving): de primaire database (Cloud Firestore) en de CRM-bestanden worden opgeslagen in de regio europe-west4 (Nederland). Tenantlogo’s worden opgeslagen in de regio us-east1 (Verenigde Staten); in die opslag staan geen klantdocumenten. Het merendeel van de applicatiefuncties (Cloud Functions) draait in de regio us-central1 (Verenigde Staten), waaronder de functies voor facturatie, mailbox, privacyverzoeken, trial, communicatie, documenten, het downloaden van CRM-bestanden, Stripe-webhooks en gebruikersbeheer; de overige functies draaien in de regio europe-west4 (Nederland). De functies in us-central1 verwerken Persoonsgegevens, waaronder bij het downloaden de inhoud van CRM-bestanden, tijdens de uitvoering in de Verenigde Staten. Persoonsgegevens worden dus in de EU opgeslagen, maar deels in de Verenigde Staten verwerkt. Authenticatie (Firebase Authentication) wordt in de Verenigde Staten verwerkt. De Dienst wordt geleverd via het wereldwijde CDN van Firebase Hosting; systeemlogs (Google Cloud Logging) worden op een globale locatie opgeslagen. Pomio biedt geen volledige gegevensopslag of -verwerking binnen de EU. Zie Bijlage D.
Back-ups en herstel: point-in-time recovery van de database voor 7 dagen, dagelijkse back-ups met een bewaartermijn van 7 dagen en wekelijkse back-ups met een bewaartermijn van 84 dagen (12 weken). Volgens de documentatie van Google worden back-ups van de database in dezelfde regio als de database bewaard (europe-west4). Verwijderbeveiliging op de productiedatabase; herstelprocedures zijn getest.
Monitoring: logbased monitoring en alerts op fouten en ongebruikelijke gebeurtenissen in de productieomgeving.
Gescheiden omgevingen: ontwikkel- en testomgevingen zijn gescheiden van productie.
Privacyfuncties: functies voor bewaarbeleid, legal holds en verzoeken van betrokkenen (export, rectificatie, wissing) voor geautoriseerde beheerders.
Organisatorische maatregelen: geheimhouding, toegang tot productiegegevens alleen waar nodig, wijzigingen in productie alleen na review en goedkeuring.

Bijlage C — Subverwerkers

Subverwerker	Dienst	Persoonsgegevens	Locatie
Google (Google Cloud / Firebase), Google Cloud EMEA Limited (Ierland)	Hosting, database (Cloud Firestore), applicatiefuncties, authenticatie, bestandsopslag, beheer van geheimen, logging en monitoring	Alle Persoonsgegevens van de Klant	Opslag database, back-ups (volgens Google-documentatie) en CRM-bestanden: EU (europe-west4, Nederland). Tenantlogo’s: Verenigde Staten (us-east1). Applicatiefuncties: merendeel Verenigde Staten (us-central1; o.a. facturatie, mailbox, privacyverzoeken, trial, communicatie, documenten, downloaden van CRM-bestanden, Stripe-webhooks, gebruikersbeheer), overige EU (europe-west4); verwerking van Persoonsgegevens, inclusief inhoud van CRM-bestanden bij download, in de VS. Authenticatie: Verenigde Staten. Hosting: wereldwijd CDN. Logging: globale locatie. Verdere doorgifte aan Google LLC (VS) als subverwerker van Google: zie Bijlage D.
Resend (Plus Five Five, Inc.)	Versturen van transactionele e-mail vanuit de Dienst, waaronder e-mail die gebruikers vanuit het CRM versturen	E-mailadressen en namen van ontvangers, inhoud van berichten en afleveringsmetadata	Verenigde Staten: opslag en primaire verwerking (waaronder berichtinhoud en afleverlogs) volgens de voorwaarden van Resend. De verzendregio bepaalt alleen de route waarlangs e-mail wordt verzonden, niet waar gegevens worden opgeslagen. Zie Bijlage D.
Google (Google Workspace), Google Cloud EMEA Limited (Ierland)	Zakelijke e-mail van Pomio, waaronder de supportmailbox	Persoonsgegevens van de Klant die in supportcorrespondentie worden gedeeld, zoals namen, contactgegevens en inhoud van berichten	Op basis van de standaardvoorwaarden van Google. Geen dataregio vastgelegd; verwerking kan ook in de VS en andere landen plaatsvinden (zie Bijlage D).
Typeform SL (Barcelona, Spanje)	Supportformulier van Pomio	Persoonsgegevens van de Klant die gebruikers in een supportverzoek of bijlage delen, zoals namen, contactgegevens, schermafbeeldingen en inhoud van berichten	Opslag standaard in de Verenigde Staten (Amazon Web Services, Virginia) via de subverwerkers van Typeform. Zie Bijlage D.

Geen subverwerkers voor Persoonsgegevens van de Klant (Pomio is voor deze gegevens verwerkingsverantwoordelijke, zie de Privacyverklaring): Stripe (betalingen), WeFact (facturatie), Typeform (overige formulieren op de marketingwebsite), Cloudflare (marketingwebsite, DNS en de Turnstile-botcontrole bij het aanmelden in de Dienst). VIES, het btw-controlesysteem van de Europese Commissie, is een externe openbare bron en geen subverwerker.

Omdat supportverzoeken Persoonsgegevens van de Klant kunnen bevatten, zijn Google Workspace en Typeform hierboven als Subverwerker opgenomen.

Bijlage D — Internationale doorgiften

Ontvanger	Land	Waarborg (hoofdstuk V AVG)
Google LLC (VS), subverwerker van Google Cloud EMEA Limited voor Google Cloud / Firebase (en Google Workspace): het merendeel van de applicatiefuncties in us-central1 (waaronder verwerking van inhoud van CRM-bestanden bij download), opslag van tenantlogo’s in us-east1 en Firebase Authentication; voor Firebase Hosting (wereldwijd CDN), Cloud Logging (globale locatie) en Google Workspace mogelijk ook verwerking op andere locaties van Google	Verenigde Staten; voor Firebase Hosting, Cloud Logging en Google Workspace mogelijk ook andere landen	EU-VS Data Privacy Framework (adequaatheidsbesluit (EU) 2023/1795; Google LLC is gecertificeerd, zie dataprivacyframework.gov/list), toegepast als Googles Alternative Transfer Solution (cloud.google.com/terms/alternative-transfer-solution); als terugval standaardcontractbepalingen (Besluit (EU) 2021/914, module 3, verwerker-aan-verwerker) tussen Google en haar subverwerkers volgens de Cloud Data Processing Addendum (cloud.google.com/terms/sccs/eu-p2p-google-exporter).
Resend (Plus Five Five, Inc.)	Verenigde Staten	Standaardcontractbepalingen (Besluit (EU) 2021/914), opgenomen in de verwerkersovereenkomst van Resend; de standaardcontractbepalingen zijn de primaire waarborg; het EU-VS Data Privacy Framework geldt aanvullend voor zover de certificering van Resend actief is (www.dataprivacyframework.gov/list)
Typeform SL, met opslag bij haar subverwerkers in de Verenigde Staten (waaronder Amazon Web Services)	Verenigde Staten	Standaardcontractbepalingen (Besluit (EU) 2021/914, module 3: verwerker naar verwerker) die Typeform volgens haar verwerkersovereenkomst (www.typeform.com/dpa/) met deze subverwerkers sluit; Typeform is niet gecertificeerd onder het EU-VS Data Privacy Framework

Contact voor privacyzaken en verzoeken onder deze Verwerkersovereenkomst: via [email protected] of de contactpagina.

Einde Verwerkersovereenkomst (NL).