VERWERKERSOVEREENKOMST

Knaken Cryptohandel B.V. – Versie 2026.1

Deze Verwerkersovereenkomst (hierna: "DPA") regelt de verwerking van persoonsgegevens door Knaken Cryptohandel B.V., gevestigd te Rotterdam aan de Schiedamse Vest 154, ingeschreven bij de Kamer van Koophandel onder nummer 70149054 (hierna: "Verwerker"), voor de partij die gebruikmaakt van de diensten van Knaken (hierna: "Verwerkingsverantwoordelijke").

PREAMBULE (Achtergrond)

1. Dienstverlening: Verwerker biedt diensten aan als Crypto-Asset Service Provider (CASP), waaronder het exploiteren van een handelsplatform, het wisselen van crypto-activa en het bieden van bewaring (custody).
2. Wetgevend kader: Deze DPA is opgesteld om te voldoen aan Artikel 28 van de AVG, maar is tevens versterkt om te voldoen aan de Markets in Crypto-Assets Regulation (MiCAR) en de Digital Operational Resilience Act (DORA).
3. Transparantie: Partijen erkennen dat in de cryptosector het waarborgen van gegevensintegriteit en systeembeveiliging direct verbonden is aan het voorkomen van marktmisbruik en financiële schade.

ARTIKEL 1. DEFINITIES EN BEGRIPPEN

• 1.1 Persoonsgegevens: Alle informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon (Betrokkene). In de context van Knaken omvat dit specifiek: naam, adres, BSN (indien wettelijk vereist), kopie ID, IP-adressen, Device-ID's en Public Wallet Addresses.
• 1.2 Verwerking: Elke bewerking (handmatig of geautomatiseerd) zoals het verzamelen, ordenen, opslaan, bijwerken, raadplegen en vernietigen van gegevens.
• 1.3 Crypto-activa: Digitale weergaven van waarde of rechten die elektronisch kunnen worden overgedragen en opgeslagen met gebruikmaking van Distributed Ledger Technology (DLT).
• 1.4 Datalek: Een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van persoonsgegevens.
• 1.5 CASP: Crypto-Asset Service Provider, de juridische status van Knaken onder MiCAR.
• 1.6 Subverwerker: Een externe partij die door Knaken wordt ingeschakeld om een specifiek deel van de verwerking uit te voeren (bijv. een KYC-provider of Cloud-hoster).

ARTIKEL 2. ONDERWERP EN TOEPASSELIJKHEID

• 2.1 Verwerker verbindt zich ertoe Persoonsgegevens te verwerken uitsluitend ten behoeve van de uitvoering van de tussen Partijen gesloten Hoofdovereenkomst.
• 2.2 De aard van de verwerking betreft het faciliteren van cryptotransacties, beheer van digitale portemonnees, uitvoeren van wettelijke controles (KYC/AML) en klantenondersteuning.
• 2.3 Deze DPA prevaleert boven de privacybepalingen in de Hoofdovereenkomst, tenzij expliciet anders schriftelijk overeengekomen.

ARTIKEL 3. RECHTEN EN PLICHTEN VAN DE VERANTWOORDELIJKE

• 3.1 Verwerkingsverantwoordelijke bepaalt het doel van de verwerking en garandeert dat de verzameling van gegevens rechtmatig is geschied.
• 3.2 Verwerkingsverantwoordelijke heeft het recht om instructies te geven aan Verwerker, mits deze binnen de kaders van de wet vallen.
• 3.3 Verwerkingsverantwoordelijke zal wijzigingen in de categorieën gegevens of betrokkenen direct aan Verwerker melden.

ARTIKEL 4. VERPLICHTINGEN VAN KNAKEN (VERWERKER)

• 4.1 Instructieopvolging: Verwerker verwerkt gegevens uitsluitend op basis van schriftelijke instructies, tenzij Verwerker op grond van Unierecht of nationaal recht (zoals MiCAR of Wwft) tot verwerking is verplicht. In dat geval stelt Verwerker de Verantwoordelijke vooraf in kennis, tenzij die wetgeving dergelijke kennisgeving verbiedt.
• 4.2 Geheimhouding: Verwerker garandeert dat alle personen (werknemers en ingehuurd personeel) die gemachtigd zijn om de gegevens te verwerken, zich tot vertrouwelijkheid hebben verbonden of door een wettelijke verplichting van vertrouwelijkheid zijn gebonden.
• 4.3 Medewerkingsplicht: Verwerker verleent, rekening houdend met de aard van de verwerking, bijstand aan Verantwoordelijke voor het vervullen van de plicht om verzoeken van Betrokkenen (zoals inzage of verwijdering) te beantwoorden.

ARTIKEL 5. BEVEILIGINGSMAATREGELEN (BETROUWBAARHEID & DORA)

• 5.1 Stand van de techniek: Verwerker treft passende technische en organisatorische maatregelen. Onder de DORA-verordening garandeert Verwerker een "hoge graad van digitale weerbaarheid".
• 5.2 Specifieke Maatregelen: Deze omvatten onder meer:
  • HSM-modules: Gebruik van Hardware Security Modules voor het versleutelen van private keys.
  • Cold Storage: Fysieke scheiding van gevoelige data en activa van het publieke internet waar mogelijk.
  • Multi-Factor Authenticatie (MFA): Verplichte MFA voor alle medewerkers met toegang tot beheersystemen.
  • Logging & Monitoring: Ononderbroken registratie van alle toegangspogingen en handelingen in de database.
  • DDoS-bescherming: Maatregelen om de beschikbaarheid van gegevens te garanderen tijdens netwerkaanvallen.

ARTIKEL 6. SUBVERWERKERS

• 6.1 Algemene Toestemming: Verwerkingsverantwoordelijke geeft algemene toestemming voor het inschakelen van subverwerkers. Knaken houdt een actuele lijst bij van deze partners.
• 6.2 Due Diligence: Knaken voert een diepgaand onderzoek uit naar de betrouwbaarheid van elke subverwerker. Zij moeten voldoen aan vergelijkbare standaarden als Knaken zelf.
• 6.3 Contractuele Waarborgen: Knaken legt aan subverwerkers dezelfde gegevensbeschermingsverplichtingen op als vastgelegd in deze DPA.

ARTIKEL 7. DATALEKKEN EN INCIDENTEN

• 7.1 Melding: Verwerker meldt elk Datalek onverwijld en uiterlijk binnen 24 uur na ontdekking aan de Verantwoordelijke.
• 7.2 Informatievoorziening: De melding bevat ten minste:
  • De aard van de inbreuk en de categorieën betrokkenen.
  • De vermoedelijke gevolgen van de inbreuk.
  • De voorgestelde maatregelen om de negatieve gevolgen te beperken.
• 7.3 Rapportage: Verwerker documenteert alle inbreuken, inclusief de feiten, de gevolgen en de genomen corrigerende maatregelen.

ARTIKEL 8. AUDIT EN TRANSPARANTIE

• 8.1 Recht op Audit: Verwerkingsverantwoordelijke heeft het recht om eenmaal per jaar een audit te laten uitvoeren door een onafhankelijke, gecertificeerde IT-auditor (bijv. RE of CISA).
• 8.2 Medewerking: Verwerker stelt alle benodigde informatie ter beschikking om naleving van Artikel 28 AVG en de MiCAR-vereisten aan te tonen.
• 8.3 Kosten: De kosten van de audit worden gedragen door de Verantwoordelijke, tenzij uit de audit blijkt dat Verwerker materieel tekort is geschoten in de nakoming van deze DPA.

ARTIKEL 10. RECHTEN VAN BETROKKENEN EN BLOCKCHAIN

• 10.1 Blockchain-specifiek: Partijen erkennen dat bepaalde gegevens op de blockchain (zoals transactie-hashes en wallet-adressen) vanwege de aard van DLT technisch niet verwijderbaar zijn.
• 10.2 Oplossing: In geval van een beroep op het 'recht om vergeten te worden', zal Verwerker de gegevens in haar off-chain systemen verwijderen en de koppeling tussen natuurlijke personen en on-chain adressen vernietigen, conform de richtlijnen van de Europese privacytoezichthouders.

ARTIKEL 11. BEWAARTERMIJNEN (MICAR & WWFT)

• 11.1 Wettelijke Voorrang: In afwijking van de algemene AVG-verwijderplicht, is Verwerker onder de Wwft en MiCAR Artikel 75 verplicht om identificatie- en transactiegegevens gedurende 5 jaar (met een uitloop naar 7 jaar) na beëindiging van de zakelijke relatie te bewaren voor toezichthouders.
• 11.2 Archivering: Deze gegevens worden na beëindiging van de actieve dienstverlening gearchiveerd en uitsluitend nog geraadpleegd voor wettelijke verplichtingen.

ARTIKEL 12. DUUR EN BEËINDIGING

• 12.1 Looptijd: Deze DPA is geldig zolang de Hoofdovereenkomst voortduurt.
• 12.2 Overdracht: Bij beëindiging draagt Verwerker alle gegevens over aan Verantwoordelijke of vernietigt deze, behoudens de wettelijke bewaartermijnen uit Artikel 11.
• 12.3 Exit-plan: Verwerker verleent medewerking aan een soepele overdracht van gegevens naar een eventuele nieuwe dienstverlener van de Verantwoordelijke.

ARTIKEL 13. AANSPRAKELIJKHEID

• 13.1 Beperking: De aansprakelijkheid van Verwerker is beperkt tot de directe schade als gevolg van een toerekenbare tekortkoming, met een maximum van € 100.000 per gebeurtenis.
• 13.2 Uitzondering: Deze beperking geldt niet bij opzet of bewuste roekeloosheid, of indien specifieke boetes door de Autoriteit Persoonsgegevens direct aan Knaken worden opgelegd wegens falen van de Verwerker.
• 13.3 Vrijwaring: Verantwoordelijke vrijwaart Verwerker tegen aanspraken van derden die voortvloeien uit het door de Verantwoordelijke onrechtmatig verzamelen van gegevens.

ARTIKEL 14. SLOTBEPALINGEN

• 14.1 Toepasselijk recht: Op deze DPA is uitsluitend Nederlands recht van toepassing.
• 14.2 Forumkeuze: Geschillen worden voorgelegd aan de bevoegde rechter te Rotterdam.
• 14.3 Deelbaarheid: Indien een bepaling uit deze DPA nietig blijkt, blijven de overige bepalingen volledig van kracht.

BIJLAGE A: SPECIFIEKE BEVEILIGINGSMATREGELEN KNAKEN

• Fysieke beveiliging: Servers in Tier-4 datacenters binnen de EU met biometrische toegang.
• Logische beveiliging: Netwerksegmentatie (VLANs), Web Application Firewalls (WAF) en continue vulnerability scanning.
• Integriteit: Regelmatige controle van database-snapshots tegen blockchain-data om corruptie uit te sluiten.
• Personeel: Verplichte integriteitstraining en screening voor alle 'high-risk' functies.