Versie 24 oktober 2026.
Tussen de klant (verwerkingsverantwoordelijke, “de klant”) en Cubli B.V., Gemert (verwerker, “Cubli”).
1. Onderwerp
Cubli host de sites, apps, databases en mail van de klant. Daarbij verwerkt Cubli persoonsgegevens die de klant (of de bezoekers van de klant) in die sites en apps zetten. Cubli doet dat alleen om de dienst te leveren en alleen op instructie van de klant; de instructies zijn de overeenkomst, de instellingen die de klant in het dashboard kiest en wat de klant ons schriftelijk vraagt.
2. Welke gegevens, van wie
De klant bepaalt welke gegevens in de sites en apps komen (bijvoorbeeld namen, e-mailadressen, bestellingen van de eigen klanten). Cubli bekijkt die gegevens niet, behalve als de klant om support vraagt en daarvoor toegang geeft (support kan alleen met toestemming van de klant in WordPress inloggen, en dat wordt gelogd). Wel controleert Cubli automatisch de openbare pagina’s van live sites op misbruik (phishing, malware, oplichting): bij livegang en daarna elke 30 dagen, met vaste regels en deels via Anthropic, dat de zichtbare tekst leest. Een mogelijk probleem bekijkt een medewerker; de controle zelf stopt niets.
3. Beveiliging
Cubli neemt passende maatregelen, waaronder:
- elke klant in een eigen afgeschermde omgeving (namespace) met netwerkregels;
- versleutelde verbindingen (https) en versleuteld opgeslagen geheimen;
- tweestapsverificatie voor elk account; toegang van medewerkers alleen waar nodig en gelogd;
- back-ups in een ander EU-land dan de servers (Nederland, bij Backblaze), 14 dagen bewaard en wekelijks getest;
- updates van de systemen en van de templates die Cubli bijhoudt.
4. Subverwerkers
De klant geeft toestemming voor de subverwerkers in de privacyverklaring (onder meer Hetzner voor servers en opslag, Backblaze voor back-ups, Amazon SES voor mail, Cloudflare voor DNS en Anthropic voor de automatische controle op misbruik). Cubli meldt een nieuwe subverwerker minstens 30 dagen vooraf; de klant mag daartegen bezwaar maken en dan opzeggen.
5. Waar
De gegevens staan in de EU (servers in Duitsland, back-ups in Nederland). Doorgifte buiten de EU (zoals de openbare tekst van live pagina’s naar Anthropic in de VS) gebeurt alleen met passende waarborgen.
6. Datalekken
Cubli meldt een datalek dat de gegevens van de klant raakt zonder onredelijke vertraging, uiterlijk 48 uur nadat Cubli het ontdekt, met wat bekend is, zodat de klant zelf kan melden.
7. Hulp en controle
Cubli helpt de klant bij verzoeken van betrokkenen en bij een DPIA voor zover redelijk. De klant mag de naleving laten controleren, eens per jaar, op eigen kosten, met 30 dagen vooraankondiging.
8. Einde
Na het einde van de overeenkomst verwijdert Cubli de gegevens: een verwijderd project is nog 14 dagen terug te zetten, daarna gaan de gegevens en back-ups definitief weg. Daarvóór kan de klant zijn gegevens zelf exporteren (databases, bestanden, code).
9. Aansprakelijkheid
Zoals in de algemene voorwaarden.
