Verwerkersovereenkomst

Versie 1 · 22 oktober 2026

1. Partijen

Deze overeenkomst is tussen de organisatie die hem in Architrium accepteert (de klant, verwerkingsverantwoordelijke) en inTime Architecture, ingeschreven bij de Kamer van Koophandel onder nummer 42011960 (de verwerker). Je accepteert hem in je account, onder Verwerkersovereenkomst, namens de organisatie die je daar noemt. Wie accepteert, verklaart dat hij dat namens die organisatie mag. De overeenkomst hoort bij de gebruiksvoorwaarden.

2. Onderwerp en duur

Bij het gebruik van Architrium zet de klant persoonsgegevens in Architrium, en verwerkt de verwerker die voor de klant. Deze overeenkomst regelt hoe, zoals artikel 28 van de Algemene verordening gegevensbescherming (AVG) vraagt. Ze geldt zolang het account bestaat waarmee ze geaccepteerd is.

3. Welke gegevens, van wie, en waarvoor

Gegevens: wat de klant en wie met hem samenwerkt in Architrium zetten: modellen, documentatie (met afbeeldingen), feedback en reacties. Daarin kunnen persoonsgegevens staan, zoals namen, functies en contactgegevens.
Van wie: medewerkers, klanten, leveranciers en andere relaties van de klant over wie die inhoud gaat.
Waarvoor: bewaren, tonen en delen in Architrium, met de mensen aan wie de klant toegang geeft, en de functies die Architrium daarvoor heeft (zoals versies, publicaties, notificaties en exporteren). Niet voor iets anders.

Accounts van gebruikers (gebruikersnaam, e-mailadres, inloggen) en de gegevens voor betalen verwerkt inTime Architecture als verwerkingsverantwoordelijke zelf; daarvoor geldt de privacyverklaring.

4. Alleen op instructie

De verwerker verwerkt de gegevens alleen volgens deze overeenkomst en zoals de klant Architrium gebruikt; dat geldt als de schriftelijke instructie van de klant. Moet de verwerker volgens de wet iets anders doen, dan laat hij dat de klant vooraf weten, tenzij de wet dat verbiedt. Vindt de verwerker dat een instructie in strijd is met de AVG, dan meldt hij dat.

5. Geheimhouding

Wie bij de verwerker toegang heeft tot de gegevens, is tot geheimhouding verplicht en kijkt alleen in de gegevens als dat nodig is voor de dienst, voor de beveiliging of op verzoek van de klant.

6. Beveiliging

De verwerker beveiligt de gegevens passend, zoals artikel 32 van de AVG vraagt. Onder andere:

alle verbindingen zijn versleuteld (https);
inloggen vraagt een wachtwoord en een code uit een authenticator-app;
wie wat mag zien of doen, volgt per project uit de rol die de klant geeft, en wordt bij elk verzoek gecontroleerd;
tokens, deellinks, uitnodigingslinks en de sleutels waarmee Archi verbinding maakt, bewaart Architrium alleen als onleesbare afdruk;
de website laadt geen scripts van andere partijen;
van de gegevens worden regelmatig back-ups gemaakt.

7. Subverwerkers

De klant geeft toestemming voor de inzet van deze subverwerkers:

een hostingpartij in de Europese Unie, bij wie de server van Architrium staat (waarop de gegevens staan);
een maildienst die de e-mails over het account verstuurt.

De verwerker legt hun dezelfde plichten op als in deze overeenkomst. Komt er een subverwerker bij of verandert er een, dan meldt de verwerker dat minstens dertig dagen vooraf op deze pagina en in Architrium. De klant kan dan bezwaar maken, en zo nodig opzeggen.

8. Waar de gegevens staan

De gegevens staan in een datacenter in de Europese Unie. De verwerker brengt ze niet naar een land buiten de Europese Economische Ruimte zonder de waarborgen die de AVG daarvoor vraagt.

9. Hulp aan de klant

De verwerker helpt de klant, voor zover redelijk, bij verzoeken van betrokkenen (zoals inzage of verwijderen), bij een gegevensbeschermingseffectbeoordeling en bij vragen van de toezichthouder. Veel kan de klant zelf in Architrium: gegevens bekijken, wijzigen, exporteren en verwijderen. Komt een verzoek van een betrokkene bij de verwerker binnen, dan stuurt hij het door naar de klant.

10. Datalekken

Ontdekt de verwerker een inbreuk op de beveiliging die de gegevens van de klant raakt, dan meldt hij dat de klant zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat hij het ontdekte, met wat er bekend is: wat er gebeurde, welke gegevens het raakt, de gevolgen en wat hij eraan doet. Melden bij de toezichthouder en bij betrokkenen doet de klant.

11. Controle

De verwerker geeft de klant op verzoek de informatie die nodig is om te laten zien dat hij zich aan deze overeenkomst houdt. Is dat niet genoeg, dan mag de klant, na overleg over het moment en hoogstens één keer per jaar, een controle laten doen door een onafhankelijke deskundige die tot geheimhouding verplicht is. De kosten daarvan zijn voor de klant.

12. Na afloop

Gegevens die de klant verwijdert, of die bij een project horen dat verwijderd wordt, verwijdert de verwerker; ook als het account gesloten wordt. Ze kunnen daarna nog in back-ups staan, die hoogstens veertien dagen bewaard worden. Wil de klant de gegevens houden, dan exporteert hij ze vooraf zelf (bijvoorbeeld het model in Archi en de documentatie als website).

13. Aansprakelijkheid

Voor de aansprakelijkheid geldt wat in de gebruiksvoorwaarden staat.

14. Wijzigingen, rangorde en recht

De verwerker kan deze overeenkomst aanpassen, bijvoorbeeld als de wet verandert. Een nieuwe versie staat op deze pagina, met de datum bovenaan, en moet opnieuw worden geaccepteerd. Bij strijd tussen deze overeenkomst en de gebruiksvoorwaarden gaat deze overeenkomst voor, voor wat betreft persoonsgegevens. Op deze overeenkomst is Nederlands recht van toepassing.

15. Contact

Vragen over deze overeenkomst? Mail naar info@intimearchitecture.nl.

Data processing agreement

Version 1 · 22 October 2026 · This is a translation; the Dutch text prevails.

1. Parties

This agreement is between the organisation that accepts it in Architrium (the customer, controller) and inTime Architecture, registered with the Dutch Chamber of Commerce (KvK) under number 42011960 (the processor). You accept it in your account, under Data processing agreement, on behalf of the organisation you name there. Whoever accepts declares that they may do so on behalf of that organisation. The agreement forms part of the terms of use.

2. Subject and duration

When using Architrium, the customer puts personal data into Architrium, and the processor processes it on the customer's behalf. This agreement sets out how, as Article 28 of the General Data Protection Regulation (GDPR) requires. It applies as long as the account with which it was accepted exists.

3. Which data, about whom, and for what

Data: what the customer and the people they work with put into Architrium: models, documentation (with images), feedback and replies. These may contain personal data, such as names, roles and contact details.
About whom: employees, customers, suppliers and other contacts of the customer whom that content is about.
For what: storing, showing and sharing in Architrium, with the people the customer gives access, and the features Architrium has for that (such as versions, publications, notifications and exporting). Not for anything else.

inTime Architecture processes user accounts (username, email address, signing in) and the data for payment itself, as controller; the privacy statement applies to those.

4. Only on instruction

The processor processes the data only in accordance with this agreement and the way the customer uses Architrium; that counts as the customer's written instruction. If the law requires the processor to do something else, it tells the customer beforehand, unless the law forbids that. If the processor believes an instruction violates the GDPR, it says so.

5. Confidentiality

Whoever has access to the data at the processor is bound to confidentiality and only looks at the data when that is needed for the service, for security or at the customer's request.

6. Security

The processor secures the data appropriately, as Article 32 of the GDPR requires. Among other things:

all connections are encrypted (https);
signing in requires a password and a code from an authenticator app;
who may see or do what follows per project from the role the customer gives, and is checked on every request;
Architrium stores tokens, share links, invitation links and the keys Archi connects with only as an unreadable fingerprint;
the website doesn't load scripts from other parties;
backups of the data are made regularly.

7. Sub-processors

The customer consents to the use of these sub-processors:

a hosting provider in the European Union, where the Architrium server is (which holds the data);
a mail service that sends the emails about the account.

The processor imposes the same obligations on them as in this agreement. If a sub-processor is added or changes, the processor announces it at least thirty days beforehand on this page and in Architrium. The customer can then object, and cancel if needed.

8. Where the data is

The data is kept in a data centre in the European Union. The processor doesn't transfer it to a country outside the European Economic Area without the safeguards the GDPR requires for that.

9. Assisting the customer

The processor assists the customer, as far as reasonable, with requests from data subjects (such as access or erasure), with a data protection impact assessment and with questions from the supervisory authority. The customer can do much of this in Architrium: view, change, export and delete data. If a request from a data subject reaches the processor, it forwards it to the customer.

10. Data breaches

If the processor discovers a security breach affecting the customer's data, it notifies the customer without undue delay and at the latest within 48 hours of discovering it, with what is known: what happened, which data it affects, the consequences and what it is doing about it. The customer notifies the supervisory authority and data subjects.

11. Audits

On request, the processor gives the customer the information needed to show that it complies with this agreement. If that isn't enough, the customer may, after agreeing on the timing and at most once a year, have an audit carried out by an independent expert bound to confidentiality. The costs are borne by the customer.

12. Afterwards

Data the customer deletes, or that belongs to a project that is deleted, the processor deletes; also when the account is closed. It may then still be in backups, which are kept for fourteen days at most. If the customer wants to keep the data, they export it themselves beforehand (for example the model in Archi and the documentation as a website).

13. Liability

For liability, what is in the terms of use applies.

14. Changes, precedence and law

The processor may change this agreement, for example when the law changes. A new version is on this page, with the date at the top, and must be accepted again. In case of conflict between this agreement and the terms of use, this agreement prevails as far as personal data is concerned. This agreement is governed by Dutch law.

15. Contact

Questions about this agreement? Email info@intimearchitecture.nl.