Verwerkingsovereenkomst – Staats Unie

Achtergrond

Verwerkersovereenkomst en hoofdcontract

1.1 Dit document is een overeenkomst inzake de verwerking van persoonsgegevens, waarbij de gebruiker (hierna de “verantwoordelijke”) optreedt als verantwoordelijke en Staats Unie (hierna de “verwerker”) de rol van verwerker op zich neemt, in de zin van de Algemene Verordening Gegevensbescherming (AVG).

1.2 De verwerker beheert, voor het leveren van diensten aan de verantwoordelijke, verschillende gegevens – waaronder persoonsgegevens van betrokkenen zoals gedefinieerd in de AVG – en neemt daarmee de rol van verwerker in de zin van de AVG op zich.

1.3 De verantwoordelijke heeft behoefte aan een veilige en betrouwbare verwerking, bewerking en beveiliging van deze persoonsgegevens. De verwerker biedt hiervoor de noodzakelijke faciliteiten aan en aanvaardt de opdracht.

1.4 Ter naleving van de AVG hebben de verantwoordelijke en de verwerker deze verwerkingsovereenkomst opgesteld, waarin hun wederzijdse rechten en plichten bij de verwerking van persoonsgegevens worden vastgelegd.

1.5 Deze verwerkersovereenkomst maakt deel uit van het voorstel (hierna “hoofdcontract”) en vormt daarmee een onlosmakelijk onderdeel van de overeenkomst tussen partijen. De looptijd van deze verwerkersovereenkomst is gekoppeld aan de looptijd van het hoofdcontract en eindigt automatisch bij beëindiging van het hoofdcontract.

1.6 Door ondertekening van het voorstel door beide partijen, wordt tevens ingestemd met de bepalingen uit deze verwerkersovereenkomst.

1.7 Voor begrippen die in deze verwerkersovereenkomst met een hoofdletter worden geschreven maar hierin niet zijn gedefinieerd, geldt de betekenis die daaraan is gegeven in het voorstel of in de gebruiksovereenkomst.

Overeenkomst

Artikel 2 – Uitvoering van de verwerking

2.1 De verwerker verplicht zich om de persoonsgegevens zorgvuldig te verwerken, uitsluitend in opdracht en volgens de instructies van de verantwoordelijke en in overeenstemming met deze verwerkersovereenkomst en de AVG.

2.2 De verwerker zal de persoonsgegevens niet voor andere doeleinden verwerken dan de doelen die de verantwoordelijke heeft vastgesteld. De verwerker heeft geen zeggenschap over de doeleinden en middelen van de verwerking.

2.3 De verwerker garandeert dat personen die onder haar verantwoordelijkheid handelen, de persoonsgegevens op wettige wijze en in overeenstemming met deze verwerkersovereenkomst en de AVG verwerken.

2.4 Op verzoek van de verantwoordelijke zal de verwerker informatie verstrekken over de (beveiligings)maatregelen die worden genomen om te voldoen aan de AVG, deze verwerkersovereenkomst en eventuele nadere instructies van de verantwoordelijke.

Artikel 3 – Garantie van de verantwoordelijke

3.1 De verantwoordelijke waarborgt dat de verwerking van de persoonsgegevens van betrokkenen, zoals omschreven in deze verwerkersovereenkomst, rechtmatig is en geen inbreuk maakt op de rechten van derden. De verantwoordelijke vrijwaart de verwerker van alle aanspraken die hieruit voortvloeien.

3.2 De verantwoordelijke bevestigt dat, indien hij persoonsgegevens van betrokkenen heeft ontvangen, direct of als intermediair (zoals beschreven in de gebruiksovereenkomst) en deze aan de verwerker heeft overgedragen, dit altijd is geschied op basis van een geldige wettelijke grondslag conform de AVG.

Artikel 4 – Overdracht van persoonsgegevens

4.1 De verwerker verwerkt de persoonsgegevens uitsluitend binnen de Europese Unie. Het overdragen van persoonsgegevens naar landen buiten de Europese Unie is niet toegestaan, tenzij dit wettelijk vereist is.

4.2 Op verzoek van de verantwoordelijke geeft de verwerker aan in welk(e) land(en) de persoonsgegevens voor de verantwoordelijke worden verwerkt.

Artikel 5 – Beveiligingsmaatregelen

5.1 De verwerker neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beschermen tegen verlies of onrechtmatige verwerking, rekening houdend met de stand van de techniek en de aard van de te verwerken gegevens.

5.2 De verwerker implementeert ten minste de volgende beveiligingsmaatregelen:

• SSL-technologie
• Regelmatige back-ups van persoonsgegevens
• Beperkte toegangsrechten voor medewerkers

5.3 De verwerker verstrekt de verantwoordelijke, indien nodig, informatie ten behoeve van het uitvoeren van beveiligingsmaatregelen, het faciliteren van audits en inspecties, en het ondersteunen bij eventuele gegevensbeschermingseffectbeoordelingen (Data Protection Impact Assessment, DPIA).

Artikel 6 – Beveiligingsincidenten

6.1 In geval van diefstal, verlies of onrechtmatig gebruik van persoonsgegevens, of in het geval van een datalek, zal de verwerker de verantwoordelijke onverwijld informeren. Deze melding bevat, indien mogelijk, ten minste: de aard van het incident, de betrokken categorieën en omvang van de persoonsgegevens, de potentiële gevolgen van het datalek, de reeds door de verwerker ondernomen maatregelen en de contactpersoon bij wie de verantwoordelijke nadere informatie kan opvragen.

6.2 De verwerker zal de verantwoordelijke, wanneer nodig, volledig ondersteunen bij het informeren van de betrokken personen over het datalek. De verwerker werkt mee aan risicobeoordelingen, oorzaakanalyses en de implementatie van de benodigde corrigerende maatregelen.

Artikel 7 – Beëindiging

7.1 Bepalingen over vertrouwelijkheid, aansprakelijkheid, vrijwaring en andere bepalingen die naar hun aard ook na beëindiging in stand behoren te blijven, blijven onverminderd van kracht na het eindigen van deze verwerkersovereenkomst.

7.2 Na afloop of beëindiging van deze verwerkersovereenkomst zal de verwerker, op verzoek van de verantwoordelijke, alle persoonsgegevens en afgeleide gegevens die onder deze verwerkersovereenkomst bij de verwerker aanwezig zijn, overdragen aan de verantwoordelijke. Dit verzoek dient binnen drie (3) maanden na beëindiging schriftelijk te worden gedaan. Na afloop van deze termijn verwijdert of vernietigt de verwerker veilig alle resterende gegevens (inclusief kopieën), tenzij de wet een verplichting tot langer bewaren voorschrijft.

Artikel 8 – Vertrouwelijkheid en geheimhouding

8.1 De verwerker behandelt alle persoonsgegevens en andere ontvangen informatie van de verantwoordelijke strikt vertrouwelijk. De verwerker beperkt de toegang tot deze gegevens tot medewerkers die de toegang strikt nodig hebben voor de verwerking namens de verantwoordelijke.

8.2 Op alle persoonsgegevens die de verwerker van de verantwoordelijke ontvangt, rust een geheimhoudingsplicht. Deze geldt voor zowel werknemers als andere personen die handelen onder de verantwoordelijkheid van de verwerker, alsmede voor de verwerker zelf.

8.3 Zonder toestemming van de verantwoordelijke zal de verwerker de persoonsgegevens niet aan derden verstrekken, kopiëren, reproduceren of openbaar maken.

Artikel 9 – Rechten van betrokkenen

9.1 De verwerker ondersteunt de verantwoordelijke bij het afhandelen van verzoeken van betrokkenen met betrekking tot hun persoonsgegevens, onder andere ten aanzien van inzage, correctie en verwijdering.

9.2 Indien een derde de verwerker verzoekt om inzage in persoonsgegevens, omdat sprake zou zijn van een wettelijke of andere verplichting, zal de verwerker eerst de verantwoordelijke hiervan in kennis stellen, zodat de verantwoordelijke kan beoordelen of het verzoek gerechtvaardigd is.

Artikel 10 – Personen werkzaam onder verantwoordelijkheid van de verwerker

De verplichtingen voor de verwerker uit deze verwerkersovereenkomst zijn eveneens van toepassing op ieder die, onder verantwoordelijkheid van de verwerker, persoonsgegevens verwerkt, waaronder – maar niet beperkt tot – medewerkers en eventuele door de verwerker ingeschakelde derden.

Artikel 11 – Subverwerkers

11.1 De verwerker is gerechtigd bij de verwerking van persoonsgegevens externe partijen (“subverwerkers”) in te schakelen.

11.2 De verwerker mag nieuwe subverwerkers inschakelen om persoonsgegevens te verwerken. De verwerker zal de verantwoordelijke hierover informeren. De verantwoordelijke heeft het recht bezwaar te maken tegen de toevoeging of vervanging van subverwerkers. Op verzoek van de verantwoordelijke verschaft de verwerker een overzicht van alle ingeschakelde subverwerkers.

Artikel 12 – Vrijwaring

12.1 De verwerker is aansprakelijk voor schade die de verantwoordelijke lijdt als gevolg van schending van specifieke instructies van de verantwoordelijke, deze verwerkersovereenkomst, de AVG of andere toepasselijke regelgeving op het gebied van gegevensbescherming en privacy.

12.2 De verwerker is eveneens aansprakelijk voor schade die derden lijden indien deze schade voortvloeit uit het feit dat de verwerker handelde in strijd met de rechtmatige instructies van de verantwoordelijke of met de voor verwerkers relevante bepalingen uit de AVG.

12.3 De verwerker is niet aansprakelijk voor schade die voortvloeit uit de verwerking volgens schriftelijke instructies van de verantwoordelijke, indien deze instructies in strijd zijn met de AVG of andere geldende privacywetgeving.

12.4 De verwerker vrijwaart de verantwoordelijke voor alle aanspraken van derden indien de verwerker verantwoordelijk is voor de schade die bij deze derden is ontstaan.