Verwerkersovereenkomst

Artikel 1 – Doel van de verwerking

1.1 Verwerker verbindt zich onder de voorwaarden van deze Verwerkersovereenkomst in opdracht van Verwerkingsverantwoordelijke Persoonsgegevens te verwerken. Verwerking zal uitsluitend plaatsvinden in het kader van de uitvoering van de Hoofdovereenkomst en deze Verwerkersovereenkomst in de zin van artikel 28 lid 3 AVG.

1.2 Het is Verwerker verboden om de Persoonsgegevens voor een ander doel te verwerken dan het doel dat door Verwerkingsverantwoordelijke is vastgesteld. Het doel van de verwerking is het verlenen van de door Verwerkingsverantwoordelijke gevraagde diensten zoals omschreven in de Hoofdovereenkomst. Hiertoe worden de volgende werkzaamheden verricht: het beschikbaar stellen van het Platform ten behoeve van de werkzaamheden van Afnemer, en overige daaraan verwante werkzaamheden.

1.3 De categorieën van betrokkenen waarvan Persoonsgegevens verzameld worden betreft: medewerkers van Afnemer, (zakelijke en particuliere) klanten van Afnemer, en/of andere personen c.q. relaties van Afnemer wier gegevens door of namens Afnemer in het Platform worden ingevoerd of anderszins door Verwerker worden verwerkt ten behoeve van Verwerkingsverantwoordelijke.

1.4 De categorieën Persoonsgegevens die verwerkt worden omvatten in ieder geval:

• van medewerkers van Afnemer (gebruikers van het Platform): naam, e-mailadres, (gehashte) inloggegevens, profielfoto, taalvoorkeur, gegevens over de laatste inlog en gebruiksactiviteit, en de rol/rechten binnen het Platform;
• afwezigheidsgegevens van gebruikers, waaronder de soort afwezigheid — met inbegrip van ziekmelding, zijnde een gezondheidsgegeven in de zin van artikel 9 AVG —, de betreffende data en een eventuele vrije toelichting;
• gegevens van klanten van Afnemer, zoals naam, klantnummer, KvK-nummer, rechtsvorm en type (zakelijk of particulier); voor zover het particuliere klanten betreft, is de naam van die klant een persoonsgegeven van een derde;
• werkinhoudelijke gegevens, zoals taken, omschrijvingen, werkinstructies en opmerkingen of vermeldingen over collega's die gebruikers zelf invoeren;
• klantorganisatie- en facturatiegegevens van Afnemer, zoals bedrijfsnaam, adres, KvK-nummer, btw-nummer, factuurcontactgegevens en een gemaskeerd rekeningnummer;
• gebruiksgegevens, zoals welke onderdelen van het Platform door een gebruiker zijn geraadpleegd en hoe vaak, meldingen, en een auditlog van archiverings- en verwijderingshandelingen;
• voor zover Afnemer gebruikmaakt van een koppeling met software van een derde partij: de gegevens van klanten die het Platform via die koppeling ophaalt, zoals naam (bij particuliere klanten voor- en achternaam), klantcode, KvK-nummer, rechtsvorm en de naam en het e-mailadres van de verantwoordelijke medewerker. Bij sommige koppelingen ontvangt het Platform tevens het burgerservicenummer (BSN) van particuliere klanten; dit wordt uitsluitend kortstondig in het werkgeheugen gebruikt om te bepalen of een klant zakelijk of particulier is, en wordt niet opgeslagen en niet gelogd.

Verwerker heeft geen invloed op de aard en omvang van de Persoonsgegevens die Verwerkingsverantwoordelijke of diens Eindgebruikers zelf via het Platform invoeren of laten verwerken. Gelet op het gevoelige karakter van de hierboven onder de afwezigheidsgegevens en het BSN genoemde gegevens wijst Verwerker Verwerkingsverantwoordelijke er uitdrukkelijk op dat Verwerkingsverantwoordelijke zelf dient te beoordelen of, en op welke grondslag, hij deze gegevens mag verwerken en laten verwerken (zie ook Artikel 5.2).

1.5 Verwerker zal de Persoonsgegevens niet voor enig ander doel verwerken dan zoals door Verwerkingsverantwoordelijke is vastgesteld. Verwerkingsverantwoordelijke zal Verwerker op de hoogte stellen van de verwerkingsdoeleinden voor zover deze niet reeds in deze Verwerkersovereenkomst zijn genoemd.

1.6 Verwerker heeft zeggenschap over de middelen voor de verwerking en opslag van de Persoonsgegevens. Verwerkingsverantwoordelijke is verantwoordelijk voor het vaststellen van het doel van de verwerking en dient dit duidelijk vast te leggen.

1.7 De verwerking zal zowel handmatig als (semi)geautomatiseerd plaatsvinden.

1.8 De in opdracht van Verwerkingsverantwoordelijke te verwerken Persoonsgegevens blijven eigendom van Verwerkingsverantwoordelijke en/of de betreffende betrokkenen.

Artikel 2 – Duur van de overeenkomst

2.1 Deze Verwerkersovereenkomst vangt aan op het moment dat de Hoofdovereenkomst tot stand komt en is aangegaan voor de duur van de Hoofdovereenkomst.

2.2 Deze Verwerkersovereenkomst kan niet tussentijds worden opgezegd.

2.3 Wijzigingen in deze Verwerkersovereenkomst ten gevolge van veranderingen in de Hoofdovereenkomst, wet- of regelgeving of andere relevante omstandigheden zijn slechts rechtsgeldig indien deze na overleg en met uitdrukkelijke toestemming van Partijen aan deze Verwerkersovereenkomst worden toegevoegd.

2.4 Deze Verwerkersovereenkomst eindigt van rechtswege indien de Hoofdovereenkomst eindigt.

2.5 Bij beëindiging van deze Verwerkersovereenkomst wordt de toegang tot de Klantomgeving van Verwerkingsverantwoordelijke geblokkeerd c.q. opgeschort. Op Schriftelijk verzoek van Verwerkingsverantwoordelijke zal Verwerker vervolgens binnen een termijn van maximaal 28 dagen na dat verzoek de Persoonsgegevens die in de Klantomgeving aanwezig zijn, naar keuze van Verwerkingsverantwoordelijke, aan hem retourneren en/of verwijderen en/of vernietigen. Indien de Hoofdovereenkomst eindigt door opzegging via het Platform, wordt de toegang tot de Klantomgeving op de dag na het einde van de opzegtermijn geblokkeerd en worden de Persoonsgegevens in de Klantomgeving automatisch verwijderd achtentwintig (28) dagen na die blokkering, zonder dat daarvoor een afzonderlijk verzoek nodig is. Verwerkingsverantwoordelijke wordt hierover vooraf per e-mail geïnformeerd en ontvangt een bevestiging zodra de verwijdering is uitgevoerd. Het retourneren van Persoonsgegevens vindt vooralsnog op handmatige wijze plaats en dient vóór de verwijderdatum te worden verzocht. Na verwijdering bewaart Verwerker uitsluitend een beperkte registratie van het verwijderverzoek (naam van de onderneming, naam en e-mailadres van de eigenaar en het factuurcontact, en de betreffende data) ter verantwoording van de uitgevoerde verwijdering. Facturen worden bewaard bij de betaaldienstverlener (Bijlage 1) en niet in het Platform. Verwijdering van individuele gebruikersaccounts resulteert in beginsel in een zogenoemde zachte verwijdering, waarbij in elk geval de naam, het e-mailadres en de profielfoto van de betreffende gebruiker bewaard kunnen blijven, tenzij Verwerkingsverantwoordelijke uitdrukkelijk verzoekt om algehele verwijdering van deze gegevens. Gegevens die Verwerker op grond van een wettelijke bewaarplicht of ten behoeve van beveiligingsdoeleinden dient te bewaren (zoals applicatielogs gedurende 14 dagen), blijven van het voorgaande uitgezonderd. Eventuele kosten hiervan komen voor rekening van Verwerkingsverantwoordelijke.

2.6 De bepalingen inzake geheimhouding, aansprakelijkheid en geschillenbeslechting blijven na beëindiging van deze Verwerkersovereenkomst onverminderd van kracht.

Artikel 3 – Verplichtingen Verwerker

3.1 Verwerker is verplicht zich te houden aan de voorwaarden die op grond van geldende wet- en regelgeving, in het bijzonder de AVG en de Uitvoeringswet AVG, gesteld worden aan de verwerking van Persoonsgegevens.

3.2 Het is Verwerker verboden om haar eigen database(s) en/of bestanden te verrijken met (persoons)gegevens uit de database(s) van Verwerkingsverantwoordelijke, behoudens het geval dat Verwerker tijdelijke database(s) en/of bestanden dient aan te maken ten behoeve van een goede verwerking van de Persoonsgegevens. Dergelijke tijdelijke bestanden worden verwijderd zodra zij niet langer nodig zijn voor de verwerking.

3.3 Verwerker zal Verwerkingsverantwoordelijke op diens eerste verzoek informeren over de door haar genomen maatregelen ter zake haar verplichtingen op grond van deze Verwerkersovereenkomst.

3.4 Indien Verwerkingsverantwoordelijke instructies met betrekking tot de verwerking van Persoonsgegevens aan Verwerker geeft, dient Verwerker deze instructies op te volgen voor zover dit noodzakelijk is voor een juiste verwerking, behoudens het geval dat deze instructies in strijd zijn met wet- en regelgeving of eventuele toepasselijke beroeps- en gedragsregels. Uitsluitend Verwerkingsverantwoordelijke is bevoegd hierover een oordeel te geven.

3.5 Alle verplichtingen die op Verwerker rusten, gelden ook voor de personen die onder gezag van Verwerker Persoonsgegevens verwerken, waaronder medewerkers en ingeschakelde derden van Verwerker.

3.6 Verwerker is ervoor verantwoordelijk dat alleen medewerkers en/of derden toegang hebben tot de Persoonsgegevens voor zover die toegang noodzakelijk is voor de uitvoering van de Overeenkomst. Deze medewerkers en/of derden werken onder verantwoordelijkheid van Verwerker. Verwerker wijst erop dat interne beheerders van Verwerker, vanwege het beheer en de ondersteuning van het Platform, via een intern beheerpaneel toegang kunnen hebben tot alle Klantomgevingen.

3.7 Verwerkingsverantwoordelijke heeft, voor zover redelijkerwijs mogelijk, te allen tijde inzage in de bij Verwerker aanwezige Persoonsgegevens die op Verwerkingsverantwoordelijke betrekking hebben. Verwerker verleent hiertoe op verzoek van Verwerkingsverantwoordelijke haar medewerking.

3.8 Deze Verwerkersovereenkomst is niet overdraagbaar, tenzij uitdrukkelijk anders overeengekomen.

Artikel 4 – Doorgifte van persoonsgegevens

4.1 Verwerker maakt voor de uitvoering van de Hoofdovereenkomst gebruik van subverwerkers die (mede) zijn gevestigd buiten de Europese Unie/Europese Economische Ruimte (EU/EER), of die vanuit een dergelijk land persoonsgegevens kunnen inzien of verwerken. Deze subverwerkers en hun vestigingsland zijn opgenomen in Bijlage 1. Voor deze doorgiften zorgt Verwerker voor een passend doorgiftemechanisme in de zin van de artikelen 44 tot en met 50 AVG, zoals een adequaatheidsbesluit van de Europese Commissie, deelname van de ontvangende partij aan het EU-U.S. Data Privacy Framework (DPF), of de toepasselijke EU-standaardcontractbepalingen (SCC's).

4.2 Verwerker verschaft op eerste verzoek van Verwerkingsverantwoordelijke inzicht in de locatie(s) waarop de verwerking plaatsvindt en de voor de doorgifte getroffen waarborgen.

4.3 Verwerker zal zorgvuldig omgaan met de Persoonsgegevens van Verwerkingsverantwoordelijke.

Artikel 5 – Verantwoordelijkheid Verwerker

5.1 Verwerker zal voor Verwerkingsverantwoordelijke in het kader van deze Verwerkersovereenkomst de werkzaamheden verrichten zoals benoemd in Artikel 1.2, alsmede de overige werkzaamheden zoals neergelegd in de Hoofdovereenkomst.

5.2 Verwerker is verantwoordelijk voor de verwerking van de Persoonsgegevens onder deze Verwerkersovereenkomst, overeenkomstig de instructies van Verwerkingsverantwoordelijke. Voor overige verwerkingen van Persoonsgegevens – waaronder in ieder geval, maar niet beperkt tot, de verzameling van Persoonsgegevens door Verwerkingsverantwoordelijke zelf, verwerkingen voor doeleinden die niet door Verwerkingsverantwoordelijke aan Verwerker zijn gemeld, en verwerkingen door derden en/of voor andere doeleinden – is Verwerkingsverantwoordelijke verantwoordelijk. Dit laatste omvat in ieder geval de beoordeling door Verwerkingsverantwoordelijke van de grondslag waarop hij bijzondere categorieën van persoonsgegevens (zoals gezondheidsgegevens) en het burgerservicenummer via het Platform laat verwerken.

Artikel 6 – Sub-verwerkers

6.1 Verwerker mag voor de uitvoering van de Hoofdovereenkomst gebruikmaken van sub-verwerkers. Bijlage 1 bij deze Verwerkersovereenkomst wijst aan waar het actuele overzicht van de door Verwerker ingeschakelde sub-verwerkers te vinden is.

6.2 Indien Verwerker voornemens is een nieuwe sub-verwerker in te schakelen, of een bestaande sub-verwerker te vervangen, informeert Verwerker Verwerkingsverantwoordelijke daarover voorafgaand Schriftelijk (of via het Platform dan wel de website van Verwerker). Verwerkingsverantwoordelijke kan binnen veertien (14) dagen na deze kennisgeving Schriftelijk en gemotiveerd bezwaar maken tegen de betreffende (wijziging van) sub-verwerker, in het bijzonder indien deze wijziging naar redelijk oordeel van Verwerkingsverantwoordelijke een verhoogd risico voor de bescherming van de Persoonsgegevens meebrengt. Partijen treden in dat geval in overleg om tot een oplossing te komen. Komen Partijen niet tot overeenstemming, dan is Verwerkingsverantwoordelijke gerechtigd de Overeenkomst op te zeggen tegen de datum waarop de betreffende sub-verwerker wordt ingeschakeld.

6.3 Verwerker zorgt ervoor dat iedere sub-verwerker Schriftelijk ten minste dezelfde verplichtingen op het gebied van gegevensbescherming op zich neemt als de verplichtingen die op grond van deze Verwerkersovereenkomst op Verwerker rusten.

6.4 Verwerker blijft jegens Verwerkingsverantwoordelijke volledig aansprakelijk voor de nakoming van de verplichtingen van iedere door haar ingeschakelde sub-verwerker, met inachtneming van de aansprakelijkheidsbeperkingen van Artikel 10.

Artikel 7 – Beveiligingsmaatregelen Persoonsgegevens

7.1 Verwerker spant zich in om voldoende en passende organisatorische en technische maatregelen te nemen tegen elke vorm van onrechtmatige verwerking met betrekking tot de door haar te verrichten verwerkingen van de Persoonsgegevens. Een nadere beschrijving van de getroffen maatregelen is opgenomen in het document “Beveiliging en privacy binnen het Flowkeeper-platform”.

7.2 Het beveiligingsniveau van de maatregelen dient ten minste te voldoen aan een niveau dat, gelet op de daaraan verbonden kosten, de gevoeligheid van de betreffende Persoonsgegevens, de stand van de techniek en de risico's, niet onredelijk is. Verwerker staat er niet voor in dat de door haar genomen beveiligingsmaatregelen te allen tijde en onder alle omstandigheden doeltreffend zijn. Partijen kunnen in onderling overleg aanvullende of nadere beveiligingsmaatregelen overeenkomen.

7.3 Verwerker heeft een eigen verantwoordelijkheid om haarzelf, haar medewerkers en ingeschakelde derden op de hoogte te stellen van alle protocollen, het (beveiligings)beleid en overige instructies die een veilige verwerking mogelijk maken en bevorderen.

7.4 Verwerker is verantwoordelijk en aansprakelijk voor haar deel van de verwerking, met inachtneming van Artikel 10.

7.5 Indien sprake is van een inbreuk in verband met de beveiliging van Persoonsgegevens die schade kan veroorzaken of nadelige gevolgen kan hebben voor de bescherming van Persoonsgegevens, informeert Verwerker Verwerkingsverantwoordelijke hierover onmiddellijk, althans zonder onredelijke vertraging en in ieder geval binnen 24 uur nadat Verwerker hiervan redelijkerwijs op de hoogte had kunnen zijn. Verwerkingsverantwoordelijke zal vervolgens, indien vereist, de Autoriteit Persoonsgegevens binnen 48 uur en eventuele betrokkenen zo spoedig mogelijk informeren over de inbreuk.

7.6 De melding van een inbreuk door Verwerker bevat ten minste:

• de aard van de inbreuk, waar mogelijk onder vermelding van de categorieën van betrokkenen en Persoonsgegevens in kwestie en, bij benadering, het aantal betrokkenen en betreffende gegevensverzamelingen;
• de naam en contactgegevens van het contactpunt bij Verwerker waar meer informatie kan worden verkregen (zie de aanhef van deze Verwerkersovereenkomst);
• de waarschijnlijke gevolgen van de inbreuk;
• de maatregelen die Verwerker heeft voorgesteld of genomen om de inbreuk aan te pakken, waaronder, in voorkomend geval, maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.

7.7 Verwerkingsverantwoordelijke houdt een register van alle inbreuken bij, conform artikel 33 lid 5 AVG.

7.8 Indien bij Verwerker een inbreuk op de beveiliging van Persoonsgegevens heeft plaatsgevonden, is Verwerker verplicht om op eigen kosten passende maatregelen te treffen ter voorkoming van toekomstige incidenten en/of inbreuken.

Artikel 8 – Geheimhouding

Verwerker en diens medewerkers, alsmede de door Verwerker ingeschakelde derden, zijn verplicht tot geheimhouding van alle door deze Verwerkersovereenkomst verkregen Persoonsgegevens, gevoelige informatie en/of bedrijfsgegevens. Deze geheimhoudingsplicht geldt niet indien Verwerkingsverantwoordelijke uitdrukkelijk en Schriftelijk toestemming heeft gegeven om deze gegevens en informatie met een derde te delen, of indien een wettelijke verplichting bestaat om de gegevens en informatie aan een derde te verstrekken. Na afloop van deze Verwerkersovereenkomst blijven Partijen aan deze geheimhoudingsverplichting gebonden.

Artikel 9 – Rechten van betrokkenen

9.1 Indien Verwerker een verzoek tot inzage ontvangt van een betrokkene of een daartoe bevoegde instantie, handelt Verwerker dit verzoek zo spoedig mogelijk af, doch uiterlijk binnen 5 werkdagen. Indien het niet mogelijk is het verzoek zelf af te handelen, stuurt Verwerker het verzoek binnen 5 werkdagen door aan Verwerkingsverantwoordelijke (t.a.v. het in de aanhef genoemde contactpunt). Verwerker verleent, indien daarom wordt gevraagd, medewerking aan de uitvoering van het verzoek. De kosten die Verwerker in dat kader redelijkerwijs dient te maken, komen voor rekening van Verwerkingsverantwoordelijke.

9.2 Het bepaalde in Artikel 9.1 is van overeenkomstige toepassing indien een betrokkene andere rechten wil uitoefenen, zoals het recht op rectificatie, het recht op gegevenswissing, het recht op beperking van de verwerking, het recht op overdraagbaarheid van gegevens, het recht van bezwaar en rechten in verband met geautomatiseerde individuele besluitvorming, zoals neergelegd in de afdelingen 3 en 4 van de AVG.

9.3 Voor zover een verzoek van een betrokkene ziet op het recht op overdraagbaarheid van gegevens, faciliteert Verwerker dit verzoek vooralsnog op handmatige wijze, in een gestructureerde en gangbare machineleesbare vorm, in afwachting van een geautomatiseerde exportfunctionaliteit binnen het Platform.

Artikel 10 – Aansprakelijkheid

10.1 Verwerker is verantwoordelijk voor de verwerking van de Persoonsgegevens onder deze Verwerkersovereenkomst en staat ervoor in dat deze verwerking rechtmatig is en geen inbreuk maakt op rechten van betrokkenen. Verwerker is uitsluitend aansprakelijk voor schade die het rechtstreekse gevolg is van het handelen en/of nalaten van Verwerker in strijd met deze Verwerkersovereenkomst, de AVG, of de rechtmatige instructies van Verwerkingsverantwoordelijke.

10.2 De aansprakelijkheid van Verwerker onder deze Verwerkersovereenkomst is onderworpen aan dezelfde beperkingen als opgenomen in Artikel 15 (Aansprakelijkheid) van de Algemene Voorwaarden van Verwerker, met dien verstande dat de aansprakelijkheid van Verwerker uit hoofde van de Hoofdovereenkomst en deze Verwerkersovereenkomst gezamenlijk nimmer meer bedraagt dan de in dat artikel opgenomen maxima. Alle gevolgschade is uitgesloten van aansprakelijkheid van Verwerker, voor zover een dergelijke uitsluiting rechtens is toegestaan.

10.3 Onverminderd het bepaalde in dit artikel is Verwerker aansprakelijk voor schade die door de verwerking is veroorzaakt indien bij die verwerking niet is voldaan aan de specifiek tot Verwerker gerichte verplichtingen van de AVG, of indien is gehandeld in strijd met de rechtmatige instructies van Verwerkingsverantwoordelijke.

10.4 Verwerker is niet aansprakelijk voor schade indien zij aantoont op geen enkele wijze verantwoordelijk te zijn voor het schadeveroorzakende feit.

Artikel 11 – Vrijwaring

11.1 Verwerkingsverantwoordelijke vrijwaart Verwerker voor aanspraken, boetes en/of dwangsommen van of namens de Autoriteit Persoonsgegevens en/of andere autoriteiten, voor zover is komen vast te staan dat de betreffende overtreding onder de verantwoordelijkheid van Verwerkingsverantwoordelijke valt.

11.2 Verwerker kan opgelegde boetes en/of dwangsommen verhalen op Verwerkingsverantwoordelijke indien en voor zover Verwerkingsverantwoordelijke verantwoordelijk gehouden kan worden voor de betreffende overtreding.

Artikel 12 – Geschillenbeslechting

12.1 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.

12.2 Alle geschillen die tussen Partijen ontstaan en die voortvloeien uit, verband houden met of betrekking hebben op deze Verwerkersovereenkomst worden beslecht door de bevoegde rechter in het arrondissement waar Verwerker gevestigd is (te weten het arrondissement Zeeland-West-Brabant), tenzij door de regels van dwingend recht anders wordt voorgeschreven.

Bijlage 1 – Sub-verwerkers

Een actueel overzicht van de sub-verwerkers die Verwerker inschakelt voor de uitvoering van de Hoofdovereenkomst, met hun vestigingsland en de aard van hun verwerking, verstrekt Verwerker op eerste verzoek Schriftelijk aan Verwerkingsverantwoordelijke.

Voor de doorgifte van persoonsgegevens aan de in dat overzicht genoemde partijen buiten de EU/EER geldt Artikel 4 van deze Verwerkersovereenkomst.

Toelichting koppelingen:

Koppelingen met software van derden worden door Afnemer zelf tot stand gebracht met zijn eigen inloggegevens. De aanbieders van die software zijn in dat kader geen sub-verwerkers van Verwerker, maar treden op als zelfstandige verwerkers van Afnemer. Zij zijn daarom niet in dat overzicht opgenomen. Verwerker wijst Verwerkingsverantwoordelijke erop dat hij voor de verwerking door deze partijen, voor zover nog niet gebeurd, zelf een verwerkersovereenkomst met hen dient te sluiten.

Verwerker werkt dat overzicht bij zodra nieuwe sub-verwerkers worden ingeschakeld of bestaande sub-verwerkers wijzigen, en meldt die wijziging conform Artikel 6.2 van deze Verwerkersovereenkomst.

Aanvaarding

Deze Verwerkersovereenkomst maakt integraal onderdeel uit van de Overeenkomst tussen Verwerker en Verwerkingsverantwoordelijke en wordt aanvaard doordat Verwerkingsverantwoordelijke bij het aanmaken van een Account op het Platform uitdrukkelijk akkoord gaat met de Algemene Voorwaarden en deze Verwerkersovereenkomst (zie Artikel 3.3 en Artikel 14 van de Algemene Voorwaarden van Verwerker). Een afzonderlijke ondertekening is niet vereist, tenzij Partijen dit uitdrukkelijk overeenkomen. De versie waarmee Verwerkingsverantwoordelijke akkoord is gegaan, kan te allen tijde via de website van Verwerker worden gedownload.