Verwerkersovereenkomst

Deze verwerkersovereenkomst gaat bij strijdigheid voor op de algemene voorwaarden, voor zover het de verwerking van persoonsgegevens betreft.

Verwerker verwerkt persoonsgegevens uitsluitend in opdracht van Opdrachtgever en op basis van zijn schriftelijke instructies, voor zover nodig om de Overeenkomst uit te voeren. De Overeenkomst en deze verwerkersovereenkomst gelden samen als die instructies.

Verwerker gebruikt de persoonsgegevens niet voor eigen doeleinden, ook niet in geanonimiseerde vorm, behalve voor zover de Overeenkomst dat uitdrukkelijk toestaat.

Moet Verwerker op grond van Unierecht of Nederlands recht persoonsgegevens verwerken, dan informeert hij Opdrachtgever daarover vooraf, tenzij de wet dat verbiedt.

Is Verwerker van mening dat een instructie in strijd is met de AVG of andere privacywetgeving, dan meldt hij dat direct aan Opdrachtgever. Verwerker mag de uitvoering van die instructie dan opschorten.

Verwerker verwerkt geen bijzondere persoonsgegevens of strafrechtelijke gegevens, tenzij Opdrachtgever die zelf in een systeem opslaat. Opdrachtgever meldt dat vooraf, zodat partijen zo nodig aanvullende maatregelen afspreken.

De verwerking duurt zolang de Overeenkomst loopt, en daarna zolang nodig voor de teruggave en verwijdering volgens artikel 12.

Verwerker verwerkt persoonsgegevens zoveel mogelijk binnen de Europese Economische Ruimte (EER).

Doorgifte buiten de EER vindt alleen plaats als daarvoor een passende waarborg geldt volgens hoofdstuk V AVG, zoals een adequaatheidsbesluit van de Europese Commissie (waaronder het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie.

Bij welke Subverwerkers doorgifte buiten de EER kan plaatsvinden, staat in artikel 10.

Opdrachtgever bepaalt het doel en de middelen van de verwerking en is verantwoordelijk voor de rechtmatigheid daarvan, waaronder een geldige grondslag en het informeren van betrokkenen.

Opdrachtgever staat ervoor in dat de inhoud, het gebruik en de opdracht tot verwerking niet onrechtmatig zijn en geen inbreuk maken op rechten van derden.

Verwerker is verantwoordelijk voor de naleving van de verplichtingen die de AVG aan verwerkers oplegt.

Verwerker neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten en de risico's, zoals bedoeld in artikel 32 AVG.

Medewerkers en andere personen die onder gezag van Verwerker persoonsgegevens verwerken, zijn tot geheimhouding verplicht.

Opdrachtgever erkent dat deze maatregelen, gelet op de aard van de diensten, een passend beveiligingsniveau bieden. Wil Opdrachtgever aanvullende maatregelen, dan maken partijen daar afspraken over, ook over de kosten.

Verwerker informeert Opdrachtgever zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat hij een Datalek heeft ontdekt dat de persoonsgegevens van Opdrachtgever betreft.

Opdrachtgever beslist of het Datalek wordt gemeld aan de Autoriteit Persoonsgegevens en aan betrokkenen, en doet die melding zelf. Verwerker meldt zonder toestemming van Opdrachtgever niets aan toezichthouders of betrokkenen, tenzij de wet hem daartoe verplicht.

Verwerker houdt een overzicht bij van Datalekken en de genomen maatregelen.

Ontvangt Verwerker een verzoek van een betrokkene over zijn rechten, zoals inzage, correctie of verwijdering, dan stuurt hij dat direct door aan Opdrachtgever. Opdrachtgever handelt het verzoek af.

Verwerker helpt Opdrachtgever, voor zover redelijkerwijs mogelijk, bij het afhandelen van zulke verzoeken en bij het nakomen van zijn verplichtingen uit de artikelen 32 tot en met 36 AVG, zoals een gegevensbeschermingseffectbeoordeling (DPIA).

Bijstand die meer dan een beperkte inspanning vraagt, mag Verwerker in rekening brengen tegen het geldende uurtarief.

Verwerker stelt Opdrachtgever alle informatie ter beschikking die nodig is om aan te tonen dat hij deze verwerkersovereenkomst naleeft.

Opdrachtgever mag maximaal eenmaal per jaar, en daarnaast bij een concreet vermoeden van een tekortkoming, een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht. Opdrachtgever kondigt een audit ten minste veertien dagen vooraf aan.

Verwerker werkt mee aan de audit en stelt de redelijkerwijs relevante informatie en medewerkers op tijd beschikbaar. De audit mag de bedrijfsvoering van Verwerker niet onevenredig verstoren en mag geen inzage geven in gegevens van andere klanten.

Partijen bespreken de bevindingen van de audit en spreken af welke maatregelen worden genomen.

De kosten van de audit zijn voor Opdrachtgever, tenzij uit de audit blijkt dat Verwerker deze verwerkersovereenkomst op wezenlijke punten niet naleeft.

Opdrachtgever geeft Verwerker algemene toestemming om Subverwerkers in te schakelen. Verwerker legt Subverwerkers schriftelijk ten minste dezelfde verplichtingen op als die uit deze verwerkersovereenkomst, en blijft tegenover Opdrachtgever verantwoordelijk voor hun naleving.

Verwerker informeert Opdrachtgever ten minste dertig dagen vooraf over een nieuwe of vervangende Subverwerker, via e-mail of door de lijst op deze pagina bij te werken. Opdrachtgever kan binnen die termijn op redelijke gronden bezwaar maken. Komen partijen niet tot een oplossing, dan mag Opdrachtgever de betreffende dienst opzeggen per de datum waarop de wijziging ingaat.

Voor de aansprakelijkheid van Verwerker onder deze verwerkersovereenkomst geldt de aansprakelijkheidsregeling uit de algemene voorwaarden, behalve voor zover artikel 82 AVG dwingend anders bepaalt.

Opdrachtgever vrijwaart Verwerker tegen aanspraken van derden, waaronder betrokkenen, en tegen boetes van toezichthouders, voor zover die het gevolg zijn van een handelen of nalaten van Opdrachtgever, of van instructies van Opdrachtgever.

Deze verwerkersovereenkomst geldt zolang Verwerker persoonsgegevens verwerkt in het kader van de Overeenkomst.

Na het einde van de Overeenkomst kan Opdrachtgever gedurende dertig dagen een kopie van de persoonsgegevens opvragen in een gangbaar formaat.

Daarna verwijdert Verwerker de persoonsgegevens, inclusief bestaande kopieën, tenzij Unierecht of Nederlands recht bewaring verplicht. Back-ups worden verwijderd volgens de normale back-upcyclus, uiterlijk binnen negentig dagen.

Op verzoek bevestigt Verwerker Schriftelijk dat de persoonsgegevens zijn verwijderd.

Op deze verwerkersovereenkomst is Nederlands recht van toepassing.

Geschillen worden voorgelegd aan de bevoegde rechter van de Rechtbank Oost-Brabant.

Vragen over deze verwerkersovereenkomst of de verwerking van persoonsgegevens kunnen worden gestuurd aan privacy@myictsolutions.nl.