Verwerkersovereenkomst MessageWise

Laatst bijgewerkt: 20 april 2026

Deze verwerkersovereenkomst (hierna: "DPA") is automatisch van toepassing op elke klant van MessageWise. Door gebruik te maken van de dienst ga je akkoord met deze DPA. De DPA vormt een integraal onderdeel van de gebruiksvoorwaarden.

1. Partijen

Verwerker: MessageWise, gevestigd in Nederland.

Verwerkingsverantwoordelijke: jij, als klant van MessageWise (hierna: "de klant").

In deze DPA noemen we jullie samen "partijen".

2. Context en doel

De klant maakt gebruik van MessageWise om een chatbot op zijn website te plaatsen. Bezoekers van de website van de klant voeren gesprekken met deze chatbot. Daarbij worden persoonsgegevens van deze bezoekers verwerkt.

De klant is verwerkingsverantwoordelijke voor deze persoonsgegevens. MessageWise treedt op als verwerker.

Deze DPA regelt de afspraken tussen partijen over hoe MessageWise deze persoonsgegevens verwerkt, in overeenstemming met artikel 28 AVG.

3. Onderwerp en duur

Het onderwerp van de verwerking is het leveren van de MessageWise-dienst zoals beschreven in de gebruiksvoorwaarden. De verwerking duurt zolang de klant een actief abonnement heeft, plus de bewaartermijnen zoals beschreven in artikel 8.

4. Aard en doel van de verwerking

MessageWise verwerkt persoonsgegevens uitsluitend voor:

  • Het laten functioneren van de chatbot (antwoorden genereren, context onthouden binnen een sessie)
  • Het opslaan van gesprekken zodat de klant deze kan terugzien in zijn dashboard
  • Het opslaan van leads (naam, telefoon, e-mail) zodat de klant contact kan opnemen
  • Het versturen van notificaties naar de klant bij nieuwe leads
  • Het beveiligen van de dienst tegen misbruik

5. Typen persoonsgegevens en categorieën betrokkenen

Categorieën betrokkenen: bezoekers van de website van de klant die met de chatbot in gesprek gaan.

Typen persoonsgegevens:

  • Naam (indien gedeeld door de bezoeker)
  • Telefoonnummer (indien gedeeld)
  • E-mailadres (indien gedeeld)
  • Inhoud van het gesprek
  • Eventuele andere informatie die de bezoeker vrijwillig deelt
  • Feedback (duimpje omhoog of omlaag)

MessageWise verwerkt géén bijzondere persoonsgegevens in de zin van artikel 9 AVG. De klant mag de chatbot niet zo configureren dat bezoekers worden aangemoedigd om bijzondere persoonsgegevens te delen (zoals gezondheidsgegevens, religieuze overtuigingen, of BSN).

6. Verplichtingen van MessageWise als verwerker

MessageWise verplicht zich tot:

  • Het uitsluitend verwerken van persoonsgegevens op basis van schriftelijke instructies van de klant (waaronder het gebruiken van de dienst zelf als instructie)
  • Het niet verwerken van persoonsgegevens voor eigen doeleinden
  • Het waarborgen dat personen die toegang hebben tot de gegevens een geheimhoudingsplicht hebben
  • Het nemen van passende technische en organisatorische beveiligingsmaatregelen (zie artikel 7)
  • Het inschakelen van sub-verwerkers alleen conform artikel 9
  • Het bijstaan van de klant bij verzoeken van betrokkenen (inzage, correctie, verwijdering)
  • Het bijstaan van de klant bij datalekken, DPIA's en overleg met toezichthouders
  • Het verwijderen of teruggeven van alle persoonsgegevens na afloop van de dienst, met uitzondering van gegevens waarvoor een wettelijke bewaarplicht geldt

7. Beveiligingsmaatregelen

MessageWise heeft de volgende beveiligingsmaatregelen getroffen:

  • Versleutelde verbindingen (HTTPS/TLS) voor alle datacommunicatie
  • Versleutelde dataopslag (encryption at rest) bij onze leveranciers
  • Wachtwoordloze authenticatie (magic link / OAuth)
  • Toegangscontrole: alleen noodzakelijk personeel heeft toegang tot productiedata
  • Monitoring op ongebruikelijke activiteit
  • Regelmatige beveiligingsupdates van software en afhankelijkheden
  • Back-ups met geografische spreiding
  • Scheiding van ontwikkel-, test- en productieomgevingen

8. Bewaartermijnen

  • Gesprekken en leads: zolang de klant een actief abonnement heeft, daarna 30 dagen
  • Accountgegevens van de klant: duur abonnement + 2 jaar
  • Facturen: 7 jaar (wettelijke bewaarplicht)
  • Gebruikslogs: 90 dagen

Op verzoek van de klant kan MessageWise gegevens eerder verwijderen, voor zover dat wettelijk is toegestaan.

9. Sub-verwerkers

De klant geeft MessageWise algemene toestemming om sub-verwerkers in te schakelen voor het leveren van de dienst. MessageWise maakt gebruik van de volgende sub-verwerkers:

| Sub-verwerker | Doel | Locatie | |---|---|---| | Anthropic | AI-model voor chatbot-antwoorden | Verenigde Staten | | Supabase | Database en authenticatie | Verenigde Staten / EU | | Stripe | Betalingsverwerking | Ierland | | Resend | E-mailverzending | Verenigde Staten | | Lovable | Ontwikkelplatform en hosting | Zweden | | Google (Gemini), via Lovable AI | Ordenen van de openbare websitetekst bij onboarding | VS/EU | | Jina AI | Uitlezen van openbare websites die JavaScript gebruiken (alleen webadres) | Zie jina.ai/legal |

MessageWise heeft met elk van deze sub-verwerkers een verwerkersovereenkomst gesloten die minimaal gelijkwaardige bescherming biedt als deze DPA.

Bij wijzigingen in de lijst van sub-verwerkers informeert MessageWise de klant minimaal 30 dagen van tevoren per e-mail of via een update op de website. De klant kan bezwaar maken tegen nieuwe sub-verwerkers; als partijen er niet uit komen, heeft de klant het recht het abonnement kosteloos op te zeggen.

10. Doorgifte buiten de EER

Sommige sub-verwerkers (Anthropic, Supabase, Resend) zijn gevestigd buiten de Europese Economische Ruimte. Voor deze doorgifte wordt gebruikgemaakt van:

  • EU-US Data Privacy Framework (waar van toepassing)
  • Standard Contractual Clauses (SCC) van de Europese Commissie
  • Aanvullende maatregelen zoals versleuteling

11. Rechten van betrokkenen

Als een bezoeker van de website van de klant een beroep doet op zijn rechten onder de AVG (inzage, correctie, verwijdering, etc.), is de klant primair verantwoordelijk voor de afhandeling. MessageWise ondersteunt de klant hierbij:

  • De klant kan gegevens van bezoekers bekijken, aanpassen of verwijderen via het dashboard
  • Voor uitgebreidere verzoeken (bijvoorbeeld volledige export) kan de klant contact opnemen via info@messagewise.eu

12. Datalekken

Indien MessageWise een datalek constateert dat gevolgen heeft voor de persoonsgegevens van bezoekers van de klant, informeert MessageWise de klant zonder onredelijke vertraging, in ieder geval binnen 48 uur na ontdekking. MessageWise verstrekt alle informatie die de klant nodig heeft om aan de meldplicht bij de Autoriteit Persoonsgegevens te voldoen.

13. Audit

De klant heeft het recht om, maximaal één keer per jaar, na redelijke kennisgeving (minimaal 30 dagen vooraf), een audit uit te laten voeren naar de naleving van deze DPA door MessageWise. De kosten van deze audit zijn voor rekening van de klant, tenzij de audit substantiële tekortkomingen aan het licht brengt.

In plaats van een eigen audit kan de klant ook genoegen nemen met beschikbare certificeringen of audit-rapporten van MessageWise of haar sub-verwerkers.

14. Aansprakelijkheid

De aansprakelijkheid van MessageWise onder deze DPA is beperkt tot het bedrag zoals vastgelegd in de gebruiksvoorwaarden.

15. Duur en beëindiging

Deze DPA is geldig zolang de klant een abonnement heeft bij MessageWise. Na beëindiging verwijdert MessageWise de persoonsgegevens binnen de in artikel 8 genoemde termijnen, tenzij de klant schriftelijk verzoekt om eerdere verwijdering of een wettelijke bewaarplicht van toepassing is.

16. Toepasselijk recht

Op deze DPA is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde Nederlandse rechter.

17. Contact

Voor vragen over deze DPA of privacy-gerelateerde onderwerpen: info@messagewise.eu.