Taal: NL · EN summary
Taal: NL · EN summary
Art. 28 AVG processor agreement · Rule Step B.V.
Plain-English summary of dpa-nl.md (DPA), version 1.0, effective 30 September 2026. The Dutch text is legally binding.
The DPA is a Verwerkersovereenkomst under art. 28 AVG between the Verwerkingsverantwoordelijke (client) and Rule Step B.V. as Verwerker (Processor). It applies to all processing of personal data on behalf of the client, for both online services and consulting (when applicable).
For full legal text, see all legal documents.
The Dutch text below is the legally binding version.
Versie: 1.0 Datum van inwerkingtreding: 30 september 2026
Dit document is opgesteld overeenkomstig de vereisten van de Algemene Verordning Gegevensbescherming (hierna: "AVG") en de Uitvoeringswet Algemene Verordening Gegevensbescherming (hierna: "UAVG").
Deze Verwerkersovereenkomst maakt deel uit van de overeenkomst tussen Rule Step B.V. en de Klant (hierna te noemen: "Overeenkomst"), naast de Algemene Voorwaarden ("AW"), de toepasselijke Aanvullende Voorwaarden (AVO voor online diensten; AVC voor consulting), en het Opdrachtformulier. Definities uit de AW (AW Art. 1.1) zijn van overeenkomstige toepassing.
Verwerkingsverantwoordelijke en Verwerker worden hierna gezamenlijk aangeduid als de "Partijen" en elk afzonderlijk als een "Partij".
Overwegende dat:
1.1. De in deze Overeenkomst gebruikte begrippen hebben dezelfde betekenis als in de AVG en de UAVG. Bij twijfel prevaleert de definitie zoals opgenomen in de AVG.
1.2. "AVG": Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen inzake de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens.
1.3. "UAVG": de Uitvoeringswet Algemene Verordening Gegevensbescherming.
1.4. "Persoonsgegevens", "Verwerking", "Datalek", "Sub-verwerker", "Standaard Contractuele Bepalingen" (SCC's), "Toezichthoudende Autoriteit": hebben de betekenis als in de AVG (artikel 4).
1.5. "Diensten": de online diensten (hosting, VPS, domeinen, e-mail, certificaten, licenties, back-up) en — voor zover van toepassing — consulting-diensten, waarbij de Verwerker persoonsgegevens namens de Verwerkingsverantwoordelijke verwerkt.
2.1. De Verwerker verwerkt de Persoonsgegevens uitsluitend op gedocumenteerde instructie van de Verwerkingsverantwoordelijke, met inbegrip van de bevoegdheden tot overdracht van persoonsgegevens, tenzij de Verwerker daartoe krachtens het Unierecht of het recht van de lidstaat wordt verplicht; in dat geval deelt de Verwerker de Verwerkingsverantwoordelijke dit wettelijke vereiste vóór de verwerking mee, tenzij die wet het verbiedt de Verwerkingsverantwoordelijke hiervan in te lichten.
2.2. De aard en het doel van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen zijn vastgelegd in Bijlage A.
2.3. De Verwerkingsverantwoordelijke is te allen tijde bevoegd om nieuwe, gewijzigde of aanvullende instructies te geven met betrekking tot de verwerking. De Verwerker voert deze instructies onverwijld uit, mits deze binnen het kader van de Overeenkomst vallen.
2.4. Indien de Verwerker van oordeel is dat een instructie inbreuk maakt op de AVG, de UAVG of andere toepasselijke wet- of regelgeving, stelt hij de Verwerkingsverantwoordelijke hiervan onverwijld op de hoogte.
2.5. De Verwerker is niet bevoegd om de Persoonsgegevens te verwerken voor eigen doeleinden, noch om deze beschikbaar te stellen aan derden, tenzij dit uitdrukkelijk is voorgeschreven door de Verwerkingsverantwoordelijke of bij wettelijk voorschrift.
2.6. De Verwerker verwijst voor de verwerking van eigen administratieve gegevens (klantbeheer, facturatie) naar het Privacybeleid van Rule Step, dat deel uitmaakt van de Overeenkomst.
3.1. De Verwerker waarborgt dat alle personen die onder zijn gezag bevoegd zijn om Persoonsgegevens te verwerken, een uitdrukkelijke, schriftelijke of elektronische vertrouwelijkheidsverplichting hebben aanvaard, alvorens zij toegang krijgen tot de Persoonsgegevens.
3.2. De in het vorige lid bedoelde vertrouwelijkheidsverplichting blijft van kracht na beëindiging van de arbeidsovereenkomst of opdrachtrelatie.
3.3. De Verwerker treft adequate maatregelen om te waarborgen dat slechts die personen die strikt noodzakelijk zijn voor de uitvoering van de Overeenkomst toegang hebben tot de Persoonsgegevens (beginsel van minimale gegevenstoegang, artikel 5 lid 1 onder c AVG).
4.1. Rekening houdend met de stand van de techniek, de kosten van de tenuitvoerlegging en de aard, omvang, context en verwerkingsdoeleinden, treft de Verwerker passende technische en organisatorische maatregelen om een niveau van beveiliging te waarborgen dat passend is voor het risico, waaronder de in artikel 32 lid 1 AVG genoemde maatregelen.
4.2. De Verwerker hanteert in ieder geval de in Bijlage C gespecificeerde beveiligingsmaatregelen.
4.3. De Verwerkingsverantwoordelijke keurt de in Bijlage C opgenomen beveiligingsmaatregelen goed. De Verwerker mag deze maatregelen niet substantieel wijzigen of intrekken zonder voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke, tenzij de wijziging leidt tot een versterking van de beveiliging.
4.4. Indien de Verwerkingsverantwoordelijke van oordeel is dat de beveiligingsmaatregelen onvoldoende zijn, stelt zij de Verwerker hiervan schriftelijk in kennis. Partijen plegen overleg om de maatregelen te versterken. De kosten verbonden aan dergelijke verzoeken komen voor rekening van de Verwerkingsverantwoordelijke, tenzij de verzoeken voortvloeien uit een wettelijke verplichting die op de Verwerker rust.
5.1. De Verwerkingsverantwoordelijke verleent bij deze een algemene, voorafgaande schriftelijke toestemming aan de Verwerker voor het inschakelen van de in Bijlage B vermelde Sub-verwerkers.
5.2. De Verwerker brengt de Verwerkingsverantwoordelijke op de hoogte van elke voorgenomen wijziging met betrekking tot de toevoeging of vervanging van Sub-verwerkers, waardoor de Verwerkingsverantwoordelijke de mogelijkheid krijgt om bezwaar te maken.
5.3. De Verwerkingsverantwoordelijke heeft het recht om bezwaar te maken tegen de voorgenomen wijziging van Sub-verwerkers. Het bezwaar dient schriftelijk en met redenen omkleed te worden ingediend binnen dertig (30) kalenderdagen na de kennisgeving. Indien de Verwerkingsverantwoordelijke bezwaar maakt, treden Partijen in overleg om een aanvaardbare oplossing te vinden. Indien Partijen niet tot overeenstemming komen, is de Verwerkingsverantwoordelijke gerechtigd de Overeenkomst te ontbinden door middel van een schriftelijke kennisgeving aan de Verwerker, onverminderd het recht van de Verwerkingsverantwoordelijke op vergoeding van schade.
5.4. Wanneer de Verwerker bij de uitvoering van de Overeenkomst gebruik maakt van de diensten van een Sub-verwerker, legt hij deze Sub-verwerker dezelfde verplichtingen op als die welke in deze Overeenkomst zijn vastgelegd, in het bijzonder met betrekking tot passende technische en organisatorische maatregelen.
5.5. De Verwerker blijft te allen tijde volledig aansprakelijk jegens de Verwerkingsverantwoordelijke voor de nakoming van de verplichtingen van de Sub-verwerker.
5.6. De actuele lijst van Sub-verwerkers is opgenomen in Bijlage B.
6.1. De Verwerker ondersteunt de Verwerkingsverantwoordelijke met passende technische en organisatorische maatregelen voor de uitoefening van de rechten van betrokkenen (inzage, rectificatie, wissing, beperking van de verwerking, gegevensoverdraagbaarheid, bezwaar).
6.2. Indien een betrokkenene een verzoek tot uitoefening van één van zijn rechten rechtstreeks indient bij de Verwerker, verwijst de Verwerker de betrokkene door naar de Verwerkingsverantwoordelijke en stelt de Verwerkingsverantwoordelijke onverwijld, doch uiterlijk binnen achtenveertig (48) uur na ontvangst van het verzoek, schriftelijk op de hoogte, dan wel zo spoedig als redelijkerwijs mogelijk na vaststelling van het verzoek.
6.3. De Verwerker verleent de Verwerkingsverantwoordelijke volledige bijstand bij de afhandeling van dergelijke verzoeken, binnen vijf (5) werkdagen na het verzoek van de Verwerkingsverantwoordelijke.
6.4. De kosten verbonden aan de bijstand van de Verwerker bij de uitoefening van de rechten van betrokkenen zijn begrepen in de vergoeding voor de dienstverlening, tenzij het verzoek buiten de scope van de Overeenkomst valt of onevenredig veel inspanning vereist.
7.1. De Verwerker stelt de Verwerkingsverantwoordelijke onverwijld, en in ieder geval niet later dan achtenveertig (48) uur nadat hij een Datalek heeft ontdekt, op de hoogte van een Datalek.
7.2. De kennisgeving bevat in ieder geval:
(a) de aard van het Datalek, inclusief de categorieën en het geschatte aantal betrokkenen en Persoonsgegevens; (b) de waarschijnlijke gevolgen van het Datalek voor de betrokkenen; (c) de maatregelen die de Verwerker heeft genomen of voorstelt om het Datalek in te dammen; (d) de contactgegevens van de DPO of een ander contactpunt.
7.3. Indien niet alle informatie tegelijkertijd kan worden verstrekt, mag de Verwerker de informatie in fasen verstrekken, zonder onredelijke vertraging, overeenkomstig artikel 33 lid 4 AVG.
7.4. De Verwerker documenteert alle Datalekken, inclusief feiten, effecten en herstellende maatregelen, conform artikel 33 lid 5 AVG.
7.5. De Verwerker is niet bevoegd om zelfstandig een Datalek te melden aan de Toezichthoudende Autoriteit, tenzij daartoe krachtens het Unierecht of het nationale recht wordt verplicht.
7.6. De Verwerker neemt alle redelijke maatregelen om de oorzaak van het Datalek onverwijld te verhelpen en herhaalde inbreuken te voorkomen.
8.1. De Verwerkingsverantwoordelijke, of een daartoe schriftelijk aangewezen derde die gebonden is aan een geheimhoudingsverplichting, heeft het recht om audits uit te voeren om zich te vergewissen van de naleving van deze Overeenkomst en de AVG door de Verwerker.
8.2. De Verwerker verleent volledige medewerking aan dergelijke audits en stelt alle relevante informatie ter beschikking.
8.3. De Verwerkingsverantwoordelijke stelt de Verwerker tijdig, en in ieder geval minimaal tien (10) werkdagen voorafgaand aan de audit, in kennis van de voorgenomen audit, tenzij de audit een ongecontroleerd karakter vereist in het kader van een onderzoek naar een Datalek.
8.4. Indien de Verwerker beschikt over een actueel certificaat of rapport van een onafhankelijke, gekwalificeerde auditor (zoals ISO 27001, SOC 2 Type II), kan de Verwerkingsverantwoordelijke dit certificaat in overweging nemen en, voor zover daarmee voldoende zekerheid wordt geboden, afzien van een verdere audit.
8.5. De kosten van een door de Verwerkingsverantwoordelijke geïnitieerde audit komen voor rekening van de Verwerkingsverantwoordelijke, tenzij de audit aan het licht brengt dat de Verwerker toerekenbaar tekortgeschoten is in de nakoming van zijn verplichtingen.
9.1. Na het einde van de dienstverlening retourneert of verwijdert de Verwerker, naar keuze van de Verwerkingsverantwoordelijke, alle Persoonsgegevens die namens de Verwerkingsverantwoordelijke zijn verwerkt, tenzij de opslag krachtens het Unierecht of het nationale recht is vereist.
9.2. De retournering of veilige verwijdering vindt plaats binnen dertig (30) kalenderdagen na beëindiging van de Overeenkomst.
9.3. Retournering geschiedt in een gestructureerd, algemeen gebruikt en machineleesbaar formaat (zoals CSV of JSON), overeenkomstig artikel 20 AVG.
9.4. Verwijdering geschiedt zodanig dat de gegevens niet meer hersteld kunnen worden (data wiping / cryptografische vernietiging).
9.5. Op verzoek verstrekt de Verwerker binnen tien (10) werkdagen na de verwijdering een schriftelijke certificatie van verwijdering.
9.6. Reeds gemaakte back-ups worden binnen negentig (90) dagen na beëindiging veilig verwijderd of geanonimiseerd.
10.1. De Verwerker mag Persoonsgegevens alleen overdragen naar een land buiten de Europese Economische Ruimte (EER) indien daartoe door de Verwerkingsverantwoordelijke schriftelijke toestemming is verleend en aan de voorwaarden van Hoofdstuk V AVG is voldaan.
10.2. Voor zover de verwerking plaatsvindt binnen de infrastructuur van hostingpartners in Duitsland of andere EER-landen, vindt geen internationale overdracht plaats aangezien deze landen deel uitmaken van de EER.
10.3. Voor overdrachten naar derde landen (bijvoorbeeld naar ICANN in de Verenigde Staten) sluiten Partijen de Standaard Contractuele Bepalingen (SCC's) conform Uitvoeringsbesluit (EU) 2021/914. De toepasselijke modules zijn: Module 2 (Verwerkingsverantwoordelijke naar Verwerker) en Module 3 (Verwerker naar Sub-verwerker).
10.4. Voor overdrachten naar de Verenigde Staten maakt de Verwerker, waar van toepassing, uitsluitend gebruik van Sub-verwerkers die aantoonbaar en actueel zijn gecertificeerd onder het EU-VS Data Privacy Framework (DPF) van 2023, overeenkomstig Uitvoeringsbesluit (EU) 2023/1795. ICANN is niet gecertificeerd onder het EU-VS DPF; voor ICANN gelden SCC's + TIA.
10.5. De Verwerker heeft, overeenkomstig de aanbevelingen van het Europees Gegevensbeschermingscomité (EDPB 01/2020), een Transfer Impact Assessment (TIA) uitgevoerd of zal deze uitvoeren voor elke overdracht naar een derde land.
10.6. Indien de TIA aanvullende maatregelen vereist, worden deze op eigen kosten geïmplementeerd, tenzij specifieke aanpassingen vereist zijn die buiten de standaard dienstverlening vallen.
10.7. De Verwerker stelt de Verwerkingsverantwoordelijke onverwijld in kennis van (i) een verzoek van een derde-landsoverheid om toegang tot Persoonsgegevens, en (ii) eventuele beperkingen die hem worden opgelegd om een dergelijk verzoek te melden, tenzij hem dit wettelijk is verboden.
11.1. De Verwerker is aansprakelijk voor schade die voortvloeit uit een tekortkoming in de nakoming van haar verplichtingen uit deze Overeenkomst, de AVG, de UAVG, of uit onrechtmatige daad (6:162 BW) en wanprestatie (6:74 e.v. BW), overeenkomstig artikel 82 lid 2 AVG.
11.2. De Verwerker vrijwaart de Verwerkingsverantwoordelijke voor alle aanspraken van derden, waaronder betrokkenen, die voortvloeien uit een toerekenbare tekortkoming van de Verwerker.
11.3. Indien zowel de Verwerkingsverantwoordelijke als de Verwerker aansprakelijk zijn, zijn zij jegens de betrokkene hoofdelijk aansprakelijk voor de volledige schadevergoeding, overeenkomstig artikel 82 lid 4 AVG. Tussen Partijen stelt de Verwerker de Verwerkingsverantwoordelijke schadeloos voor het door de Verwerkingsverantwoordelijke aan betrokkenen betaalde bedrag, voor zover de schade is veroorzaakt door de Verwerker.
11.4. De Verwerker onderhoudt te allen tijde een adequate beroeps- en aansprakelijkheidsverzekering die dekking biedt voor de aansprakelijkheden uit deze Overeenkomst en de AVG. Op eerste verzoek toont de Verwerker het bestaan van deze verzekering aan.
11.5. De algemene aansprakelijkheidsbeperking uit de Algemene Voorwaarden (AW Art. 9) is van overeenkomstige toepassing op deze Overeenkomst.
12.1. Deze Overeenkomst treedt in werking op de datum van ondertekening en geldt voor de duur van de hoofdovereenkomst tussen Partijen, tenzij zij schriftelijk anders overeenkomen.
12.2. De opzegtermijn van deze Overeenkomst is gelijk aan de opzegtermijn van de hoofdovereenkomst.
12.3. De Verwerkingsverantwoordelijke kan deze Overeenkomst te allen tijde met onmiddellijke ingang ontbinden indien:
(a) de Verwerker een wezenlijke verplichting uit deze Overeenkomst of de AVG niet nakomt en niet in staat is deze tekortkoming binnen een redelijke termijn te herstellen; (b) de Verwerker in staat van faillissement wordt verklaard, surseance van betaling aanvraagt, of een vergelijkbare procedure wordt ingesteld; (c) de Verwerkingsverantwoordelijke bezwaar maakt tegen een Sub-verwerker en Partijen niet tot overeenstemming komen.
12.4. Na beëindiging blijven de artikelen 3, 9, 10 (voor zover van toepassing op reeds overgedragen gegevens), 11 en dit artikel 12 van kracht.
13.1. Op deze Overeenkomst is Nederlands recht van toepassing. De toepasselijkheid van het Weens Koopverdrag (CISG) wordt uitgesloten.
13.2. Alle geschillen die mochten ontstaan naar aanleiding van deze Overeenkomst worden, voor zover de wet dit toelaat, voorgelegd aan de bevoegde rechter in het arrondissement waarin Rule Step B.V. statutair is gevestigd (Amsterdam).
13.3. Onverminderd het bepaalde in dit artikel heeft de betrokkene, overeenkomstig artikel 79 AVG, het recht om een rechtsvordering in te dienen bij de bevoegde rechter in de lidstaat van zijn gewone verblijfplaats.
13.4. [B2C] Voor een Klant die Consument is, gelden de aanvullende forumkeuze-beschermingen van AW Art. 16.2 (artikel 18 lid 1 van Verordening (EU) Nr. 1215/2012, Brussel I bis, artikel 6:194 lid 3 sub w BW).
14.1. Wijzigingen en aanvullingen op deze Overeenkomst, inclusief de Bijlagen, zijn slechts geldig indien deze schriftelijk zijn overeengekomen en door bevoegde vertegenwoordigers van beide Partijen zijn ondertekend.
14.2. Indien enige bepaling van deze Overeenkomst nietig of vernietigbaar is, laat dit de geldigheid van de overige bepalingen onverlet.
14.3. Geen der Partijen is bevoegd haar rechten en verplichtingen uit deze Overeenkomst over te dragen aan een derde zonder voorafgaande schriftelijke toestemming van de andere Partij.
Aldus overeengekomen en ondertekend in tweevoud.
Plaats: Amsterdam, Nederland Datum: 30 september 2026
VOOR DE VERWERKINGSVERANTWOORDELIJKE: [Naam verwerkingsverantwoordelijke]
Naam: _______________________________________ Functie: ______________________________________ Handtekening: _________________________________
VOOR DE VERWERKER (Rule Step B.V.):
Naam: J.J. van Grondelle Functie: Directeur (alleen/zelfstandig bevoegd) Handtekening: _________________________________
Dit Bijlage A maakt integraal onderdeel uit van de Verwerkersovereenkomst en specificeert de verwerkingen als bedoeld in van de AVG (artikel 28 lid 3 onder a).
A1. Doel(en) van de verwerking:
Online diensten:
Consulting (uitsluitend indien en voor zover de Verwerker in een concrete Opdracht persoonsgegevens verwerkt ten behoeve van de Verwerkingsverantwoordelijke):
A2. Categorieën betrokkenen:
Online diensten:
Consulting:
A3. Categorieën persoonsgegevens:
A4. Bijzondere categorieën van persoonsgegevens (Art. 9 AVG):
Partijen zijn overeengekomen dat de verwerking in het kader van deze Overeenkomst niet betrekking heeft op bijzondere categorieën van persoonsgegevens. De Verwerker verwerkt geen persoonsgegevens waaruit ras, etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische gegevens, biometrische gegevens, gezondheidsgegevens, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid blijken. Indien de Verwerkingsverantwoordelijke desondanks dergelijke gegevens verstrekt, is de Verwerkingsverantwoordelijke uitsluitend aansprakelijk voor de naleving van artikel 9 AVG.
A5. Omvang van de verwerking:
De verwerking omvat alle handelingen die noodzakelijk zijn voor de uitvoering van de in A1 genoemde doeleinden, waaronder het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, doorzenden, verspreiden, afschermen, wissen en vernietigen van gegevens.
Dit Bijlage B maakt integraal onderdeel uit van de Verwerkersovereenkomst en bevat de actuele lijst van Sub-verwerkers als bedoeld in artikel 5 van de Overeenkomst.
| Naam Sub-verwerker | Categorie / Dienst | Land van vestiging | Reikwijdte verwerking / Doel | Doorgifte buiten EER? |
|---|---|---|---|---|
| Hostingpartners (EU) | Hosting / Infrastructuur | Duitsland (EER) en andere EER-landen | Leveren van dedicated servers en VPS'en voor data-opslag en verwerking. | Nee |
| Realtime Register B.V. | Domeinregistratie | Nederland (EER) | Domeinnaam registratie en beheer, DNS hosting, WHOIS-verwerking. | Nee |
| TransIP B.V. | Domeinregistratie | Nederland (EER) | Domeinnaam registratie en beheer. | Nee |
| Gandi SAS | Domeinregistratie | Frankrijk (EER) | Domeinnaam registratie en beheer. | Nee |
| Proxmox Server Solutions GmbH | Virtualisatie / Infrastructuur | Oostenrijk (EER) | Server virtualisatie beheer (Proxmox VE). | Nee |
| Billing-partner (per opdracht) | Billing / Automatisering | Wordt per opdracht bepaald | Klantenbeheer, facturatie, service automatisering (SCC's + TIA vereist bij doorgifte buiten EER). | Indien buiten EER |
| ICANN | Domeinregistratie (Beheer) | Verenigde Staten (Derde land) | Globale domeinnaam beheer en WHOIS-gegevensuitwisseling (SCC's + TIA; ICANN is niet gecertificeerd onder EU-VS DPF). | Ja |
| SIDN (Stichting Internet Domeinregistratie Nederland) | Domeinregistratie (.nl) | Nederland (EER) | Validatie en registratie van .nl domeinnamen. | Nee |
| Betalingsverwerker (per opdracht) | Betalingsverwerking | Nederland/EU | Verwerken van financiële transacties en betalingen van klanten. | Nee (mits EU-verwerker) |
Opmerking: Voor consulting-opdrachten worden geen aanvullende sub-verwerkers ingeschakeld boven de hierboven vermelde lijst, tenzij uitdrukkelijk overeengekomen in het Opdrachtformulier. Indien nieuwe Sub-verwerkers worden toegevoegd, zal de Verwerker conform artikel 5.2 van de Overeenkomst een kennisgeving verstrekken.
Dit Bijlage C maakt integraal onderdeel uit van de Verwerkersovereenkomst en specificeert de maatregelen als bedoeld in artikel 4 en artikel 32 AVG.
C1. Encryptie at-rest (Art. 32 lid 1 onder a AVG):
C2. Encryptie in-transit (Art. 32 lid 1 onder a AVG):
C3. Toegangsbeheer — RBAC (Art. 32 lid 1 onder b AVG):
C4. Meervoudige verificatie (MFA) (Art. 32 lid 1 onder b AVG):
C5. Incidentresponse (Art. 32 lid 1 onder d AVG):
C6. Pseudonimisering (Art. 32 lid 1 onder a AVG):
C7. Data segregation (Art. 32 lid 1 onder b AVG):
C8. Business continuity en back-ups (Art. 32 lid 1 onder b en c AVG):
C9. Regelmatige testing en evaluatie (Art. 32 lid 1 onder d AVG):
Voor vragen over deze Verwerkersovereenkomst: privacy@rulestep.com