Verwerkersovereenkomst

Artikel 1 - Definities

De begrippen uit de Algemene Verordening Gegevensbescherming (AVG) hebben in deze overeenkomst dezelfde betekenis. Verder geldt:

• Verwerker: Updreef VOF.
• Verwerkingsverantwoordelijke: de Opdrachtgever die het doel en de middelen van de verwerking bepaalt.
• Hoofdovereenkomst: de overeenkomst tussen partijen op grond waarvan Updreef diensten levert.
• Persoonsgegevens: de persoonsgegevens die Updreef in opdracht van de Verwerkingsverantwoordelijke verwerkt, zoals omschreven in Bijlage 1.
• Subverwerker: een derde die door Updreef wordt ingeschakeld om persoonsgegevens te verwerken.

Artikel 2 - Voorwerp en rangorde

2.1 Deze overeenkomst regelt de verwerking van persoonsgegevens door Updreef in het kader van de Hoofdovereenkomst.

2.2 Bij tegenstrijdigheid tussen deze verwerkersovereenkomst en de Hoofdovereenkomst gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

2.3 Deze overeenkomst geldt zolang Updreef persoonsgegevens verwerkt voor de Verwerkingsverantwoordelijke, en eindigt zodra de Hoofdovereenkomst eindigt en alle persoonsgegevens conform Artikel 12 zijn verwijderd of teruggegeven.

Artikel 3 - Onderwerp, aard en doel van de verwerking

3.1 Updreef verwerkt de persoonsgegevens uitsluitend voor de doeleinden en op de wijze zoals omschreven in Bijlage 1.

3.2 Updreef verwerkt de persoonsgegevens niet voor eigen doeleinden.

Artikel 4 - Instructies

4.1 Updreef verwerkt de persoonsgegevens uitsluitend op basis van de schriftelijke instructies van de Verwerkingsverantwoordelijke, tenzij een wettelijke verplichting anders voorschrijft. In dat geval meldt Updreef dit vooraf, tenzij de wet dat verbiedt.

4.2 Meent Updreef dat een instructie in strijd is met de AVG of andere privacywetgeving, dan meldt Updreef dit direct aan de Verwerkingsverantwoordelijke.

Artikel 5 - Geheimhouding

5.1 Updreef houdt de persoonsgegevens geheim.

5.2 Updreef zorgt dat personen die toegang hebben tot de persoonsgegevens tot geheimhouding zijn verplicht.

Artikel 6 - Beveiliging

6.1 Updreef treft passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking. De maatregelen staan in Bijlage 2.

6.2 De maatregelen zijn afgestemd op de stand van de techniek, de kosten, en de aard en risico's van de verwerking. Updreef mag de maatregelen actualiseren zolang het beveiligingsniveau gelijkwaardig blijft.

Artikel 7 - Subverwerkers

7.1 De Verwerkingsverantwoordelijke geeft Updreef algemene toestemming voor het inschakelen van de subverwerkers genoemd in Bijlage 3.

7.2 Wil Updreef een nieuwe subverwerker inschakelen of een bestaande vervangen, dan meldt Updreef dit vooraf. De Verwerkingsverantwoordelijke mag hier binnen 14 dagen gemotiveerd bezwaar tegen maken.

7.3 Updreef legt aan iedere subverwerker dezelfde verplichtingen op als in deze overeenkomst, en blijft jegens de Verwerkingsverantwoordelijke verantwoordelijk voor de subverwerker.

Artikel 8 - Doorgifte buiten de EER

8.1 Updreef geeft persoonsgegevens alleen door aan een land buiten de Europese Economische Ruimte als daarvoor een geldige grondslag bestaat, zoals een adequaatheidsbesluit of de modelcontractbepalingen (Standard Contractual Clauses).

8.2 Een aantal subverwerkers in Bijlage 3 is gevestigd in de Verenigde Staten. Voor die doorgifte gelden de daar genoemde waarborgen.

Artikel 9 - Rechten van betrokkenen

9.1 Ontvangt Updreef een verzoek van een betrokkene (zoals inzage, correctie of verwijdering), dan stuurt Updreef dat door aan de Verwerkingsverantwoordelijke en handelt het niet zelf af, tenzij anders afgesproken.

9.2 Updreef verleent de Verwerkingsverantwoordelijke redelijke medewerking bij het afhandelen van dergelijke verzoeken.

Artikel 10 - Datalekken

10.1 Bij een inbreuk in verband met persoonsgegevens (datalek) informeert Updreef de Verwerkingsverantwoordelijke zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking.

10.2 Updreef verstrekt daarbij ten minste: de aard van het lek, de betrokken categorieën en aantallen, de waarschijnlijke gevolgen, en de genomen of voorgestelde maatregelen.

10.3 De Verwerkingsverantwoordelijke beoordeelt of het lek gemeld moet worden aan de Autoriteit Persoonsgegevens of aan betrokkenen. Updreef verleent daarbij medewerking.

Artikel 11 - Bijstand

11.1 Updreef verleent de Verwerkingsverantwoordelijke, voor zover redelijkerwijs mogelijk, bijstand bij het nakomen van diens verplichtingen op grond van de AVG, waaronder beveiliging, datalekken en een eventuele gegevensbeschermingseffectbeoordeling (DPIA).

11.2 Kost deze bijstand meer dan incidentele inspanning, dan mag Updreef daarvoor een redelijke vergoeding rekenen.

Artikel 12 - Teruggave en verwijdering

12.1 Bij het einde van de verwerking verwijdert Updreef alle persoonsgegevens, of geeft die op verzoek terug aan de Verwerkingsverantwoordelijke, binnen 30 dagen.

12.2 Dit geldt niet voor zover Updreef wettelijk verplicht is bepaalde gegevens te bewaren.

Artikel 13 - Audits

13.1 Updreef stelt de Verwerkingsverantwoordelijke op verzoek de informatie ter beschikking die nodig is om aan te tonen dat aan de verplichtingen uit deze overeenkomst wordt voldaan.

13.2 De Verwerkingsverantwoordelijke mag maximaal eenmaal per jaar een audit laten uitvoeren, mits ten minste 14 dagen vooraf aangekondigd en tegen vergoeding van de redelijke kosten van Updreef.

Artikel 14 - Aansprakelijkheid

14.1 De aansprakelijkheid van Updreef onder deze overeenkomst is beperkt overeenkomstig de aansprakelijkheidsbepalingen in de Algemene Voorwaarden en de Hoofdovereenkomst, voor zover dwingend recht dat toelaat.

Artikel 15 - Toepasselijk recht

15.1 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement waar Updreef is gevestigd.

Bijlage 1 - Overzicht van de verwerking

Deze bijlage wordt per opdracht ingevuld.

• Doel van de verwerking: bijvoorbeeld het beheren en onderhouden van een klantportaal waarin gegevens van klanten van Opdrachtgever worden getoond en verwerkt.
• Aard van de verwerking: bijvoorbeeld opslaan, raadplegen, wijzigen en verwijderen in het kader van beheer en support.
• Categorieën betrokkenen: medewerkers van Opdrachtgever, klanten en relaties van Opdrachtgever, eindgebruikers van de applicatie.
• Categorieën persoonsgegevens: contactgegevens (naam, e-mailadres, telefoonnummer), accountgegevens (gebruikersnaam, inloggegevens), order- en transactiegegevens.
• Bewaartermijn: persoonsgegevens blijven in de systemen van Opdrachtgever staan. Updreef bewaart zelf geen persoonsgegevens langer dan nodig voor het leveren van de dienst, en verwijdert deze conform Artikel 12 bij einde van de opdracht.

Worden bijzondere persoonsgegevens (bijvoorbeeld gezondheid) of BSN verwerkt, dan wordt dat hier expliciet benoemd en worden extra maatregelen getroffen.

Bijlage 2 - Beveiligingsmaatregelen

• Toegang tot systemen en gegevens uitsluitend op need-to-know-basis
• Sterke, unieke wachtwoorden en tweefactorauthenticatie waar beschikbaar
• Versleutelde verbindingen (TLS) voor gegevensoverdracht
• Versleutelde opslag waar de gebruikte diensten dat ondersteunen
• Beperkte en beheerde toegang tot broncode en productieomgevingen
• Periodieke back-ups voor zover Updreef daar verantwoordelijk voor is
• Actueel gehouden software en afhankelijkheden
• Geheimhouding door alle betrokken personen

Bijlage 3 - Subverwerkers

Per opdracht worden alleen de subverwerkers opgenomen die daadwerkelijk persoonsgegevens verwerken. Wordt gekoppeld met bijvoorbeeld het ERP, de boekhouding of het CRM van Opdrachtgever, dan wordt die dienst hier aangevuld.