Verwerkersovereenkomst Reflowly

Versie 2026-10

Partijen

1. De klant die een account heeft bij Reflowly en in de app akkoord geeft op deze overeenkomst, hierna: "Verwerkingsverantwoordelijke" of "jij"; en
2. Reflowly V.O.F., gevestigd aan Bezaan 33, 1319 EP Almere, ingeschreven bij de KVK onder nummer 42052210, hierna: "Verwerker" of "Reflowly".

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van Reflowly. Bij tegenstrijdigheid over persoonsgegevens gaat deze verwerkersovereenkomst voor.

1. Waar gaat het over

1.1 Jij gebruikt Reflowly om je eigen klanten (hierna: "eindklanten") na een klus één keer te vragen om een Google-review. Dat doe je door het BCC-adres van Reflowly toe te voegen aan een factuur of 'klus klaar'-mail, of door in de app met de hand een verzoek te versturen.

1.2 Daarbij verwerkt Reflowly persoonsgegevens van jouw eindklanten namens jou en alleen voor dat doel. Jij bent verwerkingsverantwoordelijke, Reflowly is verwerker in de zin van de AVG.

1.3 Deze overeenkomst geldt niet voor gegevens die Reflowly voor zichzelf verwerkt (zoals jouw accountgegevens en betalingen). Daarvoor is Reflowly zelf verantwoordelijk; zie de privacyverklaring op app.reflowly.com/privacy.

2. Welke gegevens, van wie, en waarom

3. Alleen op jouw instructie

3.1 Reflowly verwerkt de gegevens alleen voor het doel in artikel 2 en volgens jouw instructies. Jouw instructies zijn: de instellingen die je in de app kiest (zoals je factuuradressen en je Google-reviewlink) en de e-mails die je met het BCC-adres verstuurt.

3.2 Reflowly gebruikt de gegevens van eindklanten niet voor eigen doeleinden: niet voor eigen marketing, niet om te verkopen, niet om AI-modellen te trainen.

3.3 Vindt Reflowly dat een instructie in strijd is met de AVG, dan laat Reflowly je dat direct weten.

3.4 Moet Reflowly op grond van de wet gegevens afgeven (bijvoorbeeld aan een toezichthouder), dan laat Reflowly je dat vooraf weten, tenzij de wet dat verbiedt.

4. Geheimhouding

Iedereen die bij Reflowly toegang heeft tot de gegevens (op dit moment alleen de vennoten van Reflowly V.O.F.) is tot geheimhouding verplicht.

5. Beveiliging

5.1 Reflowly neemt passende technische en organisatorische maatregelen (art. 32 AVG). Op dit moment in elk geval:

• de database staat in de EU (AWS eu-north-1, Stockholm, via Lovable Cloud / Supabase);
• verbindingen zijn versleuteld (HTTPS/TLS);
• toegang tot de database is per account afgeschermd (row level security); alleen beheerders van Reflowly hebben beheerderstoegang;
• de BCC-verwerking accepteert alleen e-mails vanaf adressen die jij in de app als factuuradres hebt ingesteld;
• e-mails met een hoge spamscore worden niet verwerkt;
• er is een dagelijkse limiet per bedrijf (standaard 50 verzoeken per dag).

5.2 Reflowly mag de maatregelen aanpassen, zolang het beveiligingsniveau niet daalt.

6. Subverwerkers

6.1 Je geeft Reflowly toestemming om de volgende subverwerkers in te schakelen:

6.2 Reflowly legt aan elke subverwerker minstens dezelfde verplichtingen op als in deze overeenkomst staan.

6.3 Wil Reflowly een subverwerker toevoegen of vervangen, dan meldt Reflowly dat minstens 30 dagen vooraf per e-mail. Je kunt binnen die termijn bezwaar maken. Komen we er niet uit, dan mag je de overeenkomst opzeggen zonder kosten.

7. Doorgifte buiten de EU

Reflowly geeft gegevens alleen door buiten de Europese Economische Ruimte als daar een geldige grondslag voor is (zoals een adequaatheidsbesluit, waaronder het EU-VS Data Privacy Framework, of standaardcontractbepalingen van de Europese Commissie).

8. Datalekken en hulp

8.1 Ontdekt Reflowly een inbreuk op de beveiliging die gevolgen heeft voor de gegevens van jouw eindklanten, dan meldt Reflowly je dat zonder onnodige vertraging en uiterlijk binnen 36 uur na ontdekking, met wat op dat moment bekend is: wat er gebeurd is, welke gegevens, hoeveel mensen ongeveer, en welke maatregelen zijn genomen. Zo kun je zelf binnen 72 uur melden bij de Autoriteit Persoonsgegevens als dat nodig is.

8.2 Reflowly helpt je, voor zover redelijk, bij:

• verzoeken van eindklanten (inzage, verwijdering, bezwaar). Een eindklant die zich afmeldt via de link in het reviewverzoek, wordt automatisch uitgesloten;
• een DPIA of vragen van de Autoriteit Persoonsgegevens, als die nodig zijn.

8.3 Krijgt Reflowly zelf een verzoek van een eindklant, dan stuurt Reflowly dat door naar jou, behalve een afmelding: die voert Reflowly direct uit.

9. Bewaren en verwijderen

Bij het einde van de overeenkomst verwijdert Reflowly de gegevens van jouw eindklanten binnen 30 dagen, tenzij je binnen die periode vraagt om een export. Wettelijke bewaarplichten blijven gelden.

10. Controle

Reflowly geeft je op verzoek de informatie die nodig is om te laten zien dat deze overeenkomst wordt nageleefd. Een audit door een onafhankelijke deskundige is mogelijk na overleg, maximaal één keer per jaar, op jouw kosten, tenzij de audit een ernstige tekortkoming aantoont.

11. Jouw verantwoordelijkheden

11.1 Jij zorgt dat je een grondslag hebt om je eindklanten een reviewverzoek te sturen, en dat je ze daarover informeert. Een voorbeeldzin voor je offerte, factuur of privacyverklaring:

"Na afronding van de klus vragen we je één keer per e-mail om een review. Dit verzoek wordt namens ons verstuurd door Reflowly. Wil je dat niet? Laat het ons weten of gebruik de afmeldlink in de e-mail."

11.2 Je zet het BCC-adres alleen op e-mails aan echte klanten van wie je een klus hebt gedaan, aan iedereen (dus niet alleen aan tevreden klanten) en je biedt geen beloning voor een review. Zo wil Google het en zo wil de wet het.

11.3 Je stuurt geen e-mails met bijzondere persoonsgegevens naar het BCC-adres.

12. Aansprakelijkheid

Voor aansprakelijkheid geldt wat in de algemene voorwaarden van Reflowly staat. Een boete of schade die het rechtstreekse gevolg is van het niet nakomen van deze overeenkomst door een partij, komt voor rekening van die partij.

13. Looptijd

Deze overeenkomst geldt zolang je Reflowly gebruikt om reviewverzoeken te versturen, en eindigt automatisch als je account of abonnement eindigt. Artikel 9 blijft daarna gelden tot alle gegevens zijn verwijderd.

14. Recht

Op deze overeenkomst is Nederlands recht van toepassing.