Juridisch
Voorwaarden
Versie 15 oktober 2026. De afspraken tussen Certifly en je organisatie, in gewone taal.
1. Wie en wat
1.1 Certifly is een handelsnaam van Protium.digital B.V. (Villapark 7, 3051 BP Rotterdam, KvK 62034049, btw NL854607924B01), hierna "wij". "Klant" is de organisatie die zich aanmeldt.
1.2 Certifly is bedoeld voor organisaties, niet voor consumenten. Wie zich aanmeldt, verklaart bevoegd te zijn de organisatie te binden.
1.3 Op elke overeenkomst zijn ook de Nederland ICT Voorwaarden van toepassing, gedeponeerd bij de KvK onder nummer 30174840. Waar die en deze voorwaarden verschillen, gaan deze voor. Inkoop- of andere voorwaarden van de klant gelden niet.
2. De dienst
2.1 Certifly is software als dienst om een managementsysteem voor informatiebeveiliging (ISO/IEC 27001) in te richten en bij te houden: meting, controls, beleid en documenten, registers, Verklaring van Toepasselijkheid, auditdossier, koppelingen en een scan van het eigen domein.
2.2 Certifly helpt een organisatie klaar te worden voor een audit. Een certificaat wordt verleend door een geaccrediteerde certificerende instelling, niet door ons. Wij garanderen niet dat een audit slaagt. De gereedheid in Certifly is een eigen beoordeling op basis van wat de klant vastlegt, geen auditoordeel.
2.3 Sjablonen en voorstellen in Certifly, ook die van de AI, zijn een vertrekpunt. Een voorstel is gemarkeerd tot iemand het bewaart. De klant beslist over de inhoud en stelt documenten zelf vast.
2.4 Wij spannen ons in om Certifly goed bereikbaar te houden en kondigen gepland onderhoud zo mogelijk vooraf aan. Een gegarandeerde beschikbaarheid hoort niet bij het abonnement, tenzij schriftelijk anders afgesproken.
3. Gebruik
3.1 Gebruikers loggen in met een Google- of Microsoft-account. De klant bepaalt wie toegang heeft, en is verantwoordelijk voor wat gebruikers met hun toegang doen.
3.2 De scan van een domein is alleen toegestaan voor domeinen van de klant zelf, of met toestemming van wie het domein beheert. De scan is passief en vergelijkbaar met wat elke bezoeker kan zien.
3.3 Het is niet toegestaan Certifly te gebruiken in strijd met de wet, de dienst te verstoren, of zonder toestemming beveiligingsonderzoek op Certifly zelf te doen. Een kwetsbaarheid gevonden? Meld die via security.txt; wie dat te goeder trouw doet, zullen we niet aansprakelijk stellen.
4. Prijs en betaling
4.1 Het abonnement kost € 75 per maand, exclusief btw. Een klant in een ander EU-land met een geldig btw-nummer betaalt zonder btw (btw verlegd).
4.2 Betaling gaat vooraf per maand, via Mollie: de eerste maand bij het aanmelden, daarna automatisch. Elke betaling krijgt een factuur per e-mail.
4.3 Een prijswijziging kondigen we minstens een maand van tevoren aan. Gaat de klant er niet mee akkoord, dan kan die opzeggen voordat de nieuwe prijs ingaat.
4.4 Mislukt een betaling en wordt die niet alsnog voldaan, dan sluit de werkruimte aan het einde van de betaalde periode. De gegevens blijven dan nog bewaard zoals in artikel 6.
5. Looptijd en opzeggen
5.1 Het abonnement loopt per maand en verlengt zich steeds met een maand. Dit gaat voor de looptijd en opzegtermijn in de Nederland ICT Voorwaarden.
5.2 De klant kan altijd opzeggen, in Certifly onder Abonnement. De toegang loopt door tot het einde van de betaalde maand. Een lopende maand wordt niet terugbetaald.
5.3 Wij kunnen opzeggen met een termijn van een maand. Bij ernstig misbruik of het niet betalen mogen we de toegang direct opschorten.
6. Gegevens van de klant
6.1 Wat de klant in Certifly vastlegt, blijft van de klant. Wij gebruiken het alleen om de dienst te leveren.
6.2 Tot het einde van het abonnement kan de klant alles inzien en afdrukken. Op verzoek leveren we een export in een gangbaar formaat.
6.3 Na het einde bewaren we de gegevens nog 90 dagen, zodat de klant terug kan komen. Daarna verwijderen we ze, behalve wat we wettelijk moeten bewaren, zoals facturen.
6.4 Wat de klant openbaar zet in het Trust center, is de verantwoordelijkheid van de klant.
7. Auditors uit het netwerk
7.1 Via Certifly kan de klant een onafhankelijke auditor boeken, voor een interne audit of een certificeringsaudit. Wij toetsen of de auditor onafhankelijk is van de klant, en voor een certificeringsaudit of de auditor geaccrediteerd is.
7.2 Het oordeel van een auditor is van die auditor. Wij zijn daar niet verantwoordelijk voor. De auditor ziet alleen wat bij de opdracht hoort, zolang de opdracht loopt, en kan bij een beoordelende opdracht niets wijzigen.
8. Aansprakelijkheid
8.1 Onze aansprakelijkheid is per jaar beperkt tot het bedrag dat de klant in de twaalf maanden voor de schade aan ons heeft betaald. Voor indirecte schade, zoals gevolgschade, gederfde winst of een niet behaalde certificering, zijn we niet aansprakelijk.
8.2 Deze beperkingen gelden niet bij opzet of bewuste roekeloosheid van onze leiding.
9. Vertrouwelijkheid
Wij houden geheim wat de klant in Certifly vastlegt. Alleen wie het voor het leveren of beveiligen van de dienst nodig heeft, krijgt toegang. Wie bij ons werkt, heeft een geheimhoudingsplicht.
10. Wijzigen van deze voorwaarden
Wijzigingen kondigen we minstens 30 dagen van tevoren aan. Gaat de klant niet akkoord, dan kan die opzeggen voordat de wijziging ingaat.
11. Verwerking van persoonsgegevens
Dit artikel is de verwerkersovereenkomst bedoeld in artikel 28 van de AVG. De klant is verwerkingsverantwoordelijke, wij zijn verwerker.
11.1 Wat: wij verwerken de persoonsgegevens die de klant in Certifly vastlegt of laat inlezen, alleen om de dienst te leveren en volgens de instructies van de klant. Het gaat vooral om gegevens van medewerkers (naam, e-mailadres, functie, dienstverband, trainingen), van gebruikers (naam, e-mailadres, rol), en uit gekoppelde systemen (accounts, status, tweestapsverificatie, beheerdersrechten, laatste inlog). In registers, zoals incidenten, kan de klant zelf andere gegevens vastleggen. Bijzondere persoonsgegevens horen daar niet in.
11.2 Subverwerkers: DigitalOcean (hosting en database, Amsterdam), Postmark (e-mail) en Anthropic (het taalmodel achter de voorstellen, alleen bij gebruik daarvan; zonder namen of e-mailadressen van medewerkers, en niet voor het trainen van modellen). Een nieuwe subverwerker melden we 30 dagen vooraf; de klant kan bezwaar maken en, als we er niet uitkomen, opzeggen. Wij leggen subverwerkers dezelfde verplichtingen op. Doorgifte buiten de EER gebeurt alleen met passende waarborgen, zoals het EU-VS-gegevensprivacykader of standaardcontractbepalingen.
11.3 Beveiliging: wij nemen passende technische en organisatorische maatregelen, waaronder versleutelde verbindingen, scheiding van gegevens per organisatie, toegang op basis van rollen, inloggen via de identiteitsprovider van de klant, en versleutelde opslag van tokens van koppelingen.
11.4 Datalekken: een inbreuk op de beveiliging die persoonsgegevens van de klant raakt, melden we zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat we die ontdekten, met wat we op dat moment weten.
11.5 Bijstand: wij helpen de klant redelijkerwijs bij verzoeken van betrokkenen, bij een gegevensbeschermingseffectbeoordeling en bij vragen van de toezichthouder.
11.6 Controle: op verzoek geven we de informatie die nodig is om na te gaan of we ons aan dit artikel houden. Een audit door of namens de klant kan in overleg, op kosten van de klant.
11.7 Einde: na het einde van de overeenkomst verwijderen we de persoonsgegevens zoals in artikel 6.3, tenzij de wet bewaren verplicht.
12. Recht en geschillen
Op deze voorwaarden en de overeenkomst is Nederlands recht van toepassing. Geschillen gaan naar de bevoegde rechter in Rotterdam.
Zie ook de privacyverklaring. Vragen? Neem contact op.