VERWERKERSOVEREENKOMST I.O.V. [KLANT.BEDRIJF]

Transcriptie

1 ERWERKERSOEREENKOMST I.O.. [KLANT.BEDRIJF]

2 introductie. verwerkersovereenkomst. 1. doeleinden van verwerking. 2. verplichtingen verwerker. 3. doorgifte van persoonsgegevens. 4. verdeling van verantwoordelijkheid. 5. inschakelen van derden of onderaannemers. 6. beveiliging. 7. meldplicht. 8. afhandeling verzoeken van betrokkenen. 9. geheimhouding en vertrouwelijkheid. 10. audit. 11. aansprakelijkheid en boetebepalingen. 12. duur en beëindiging. 13. toepasselijk recht en geschillenbeslechting. persoonsgegevens en betrokkenen.

3 introductie. Beste [klant.voornaam], Op 25 mei 2018 is de General Data Protection Regulation (hierna: GDPR) in werking gegaan. Een belangrijk onderdeel van de GDPR is dat er tussen de verwerkingsverantwoordelijke (de eigenaar van de data) en de verwerker (Partij belast met het gebruiken/verwerken van de data) een verwerkersovereenkomst afgesloten dient te worden. Bijgaand sturen wij je onze model erwerkersovereenkomst toe. Een verwerkersovereenkomst regelt de verantwoordelijkheden bij de verwerking van persoonsgegevens als een bedrijf voor de verwerking van data een ander bedrijf inschakelt. Een verwerkersovereenkomst of data processing agreement (DPA) is een begrip uit de privacyregelgeving. oor het juiste begrip van de gebruikte termen is het goed deze nader toe te lichten. De verantwoordelijke (controller) is degene die het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. Denk hierbij aan een bedrijf dat persoonsgegevens van zijn werknemers bijhoudt met het oog op de salarisadministratie (naam, adres, bankrekeningnummer enz.). Het bedrijf is verantwoordelijk voor de gegevens; De verwerker (processor) is degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen. In bovengenoemd voorbeeld zou een salarisadministratiekantoor dat voor het bedrijf de salarisadministratie afhandelt verwerker zijn; De verwerkersovereenkomst is de overeenkomst tussen verantwoordelijke en bewerker, waarin wordt vastgelegd hoe de verwerker met de persoonsgegevens moet omgaan. In bovengenoemd voorbeeld moeten het bedrijf en het salarisadministratiekantoor dus een schriftelijke overeenkomst met elkaar aangaan. Het valt onder de verantwoordelijkheid van de verantwoordelijke dat dit ook gebeurt. In deel c geeft u aan welke data/persoonsgegevens kunnen worden verwerkt door de 'erwerker', in dit geval DEA.Amsterdam. Dit is een verplichte bijlage die door u moet worden ingevuld, die integraal onderdeel vormt van deze overeenkomst. Het betreft alle mogelijke (bijzondere) persoonsgegevens van de betrokkenen, waar ons bureau toegang toe heeft. Deze verwerkersovereenkomst is met zorg samengesteld en juridisch gecontroleerd op juistheid door onze juridische partner ICTRecht. Indien er vragen zijn met betrekking tot de

4 invulling van dit document, zijn wij te allen tijde bereikbaar. Hoogachtend, Wouter van der Hucht Managing Director DEA.Amsterdam B..

5 verwerkersovereenkomst. Ondergetekenden: [klant.bedrijf] gevestigd op [klant.adres] te [klant.plaats] en ingeschreven bij de Kamer van Koophandel onder nummer [klant.kvknummer], hierbij rechtsgeldig vertegenwoordigd door [klant.volledigenaamcontactpersoon], verder te noemen erwerkingsverantwoordelijke, én DEA.Amsterdam B.., gevestigd aan de alschermkade 18 te Amsterdam en ingeschreven bij de Kamer van Koophandel onder nummer , hierbij rechtsgeldig vertegenwoordigd door de heer J.W. van der Hucht, verder te noemen erwerker, hierna gezamenlijk te noemen Partijen of afzonderlijk aan te duiden als Partij ; in aanmerking nemende dat: 1. de erwerkingsverantwoordelijke beschikt over persoonsgegevens van diverse betrokkenen; 2. de erwerkingsverantwoordelijke bepaalde vormen van verwerking wil laten verrichten door de erwerker, te weten marketing en consultancy diensten, waarbij de erwerkingsverantwoordelijke doel en middelen aanwijst en erwerkingsverantwoordelijke en erwerker hiertoe een overeenkomst hebben gesloten, verder te noemen Overeenkomst; 3. de erwerker hiertoe bereid is en tevens bereid is verplichtingen omtrent beveiliging en andere aspecten van de Wet bescherming persoonsgegevens (Wbp) en Algemene erordening Gegevensbescherming (AG) na te komen, voor zover dit binnen zijn macht ligt; 4. de Wbp en AG aan de erwerkingsverantwoordelijke de plicht opleggen om ervoor zorg te dragen dat erwerker voldoende waarborgen biedt ten aanzien van de technische en organisatorische beveiligingsmaatregelen met betrekking tot de te verrichten verwerkingen; 5. partijen, mede gelet op Wbp en AG, hun rechten en plichten schriftelijk wensen vast te leggen middels deze erwerkersovereenkomst; 6. waar in deze erwerkersovereenkomst wordt gerefereerd aan begrippen of bepalingen uit de Wbp, per 25 mei 2018 de corresponderende begrippen uit de AG worden bedoeld; 7. waar in deze erwerkersovereenkomst wordt gerefereerd aan begrippen uit de Wbp, aan die begrippen de betekenis dient te worden toegekend die daaraan in de Wbp zijn toegekend.

6 verklaren als volgt te zijn overeengekomen:

7 1. doeleinden van verwerking. 1.1 erwerker verbindt zich onder de voorwaarden van deze erwerkersovereenkomst in opdracht van erwerkingsverantwoordelijke persoonsgegevens te verwerken. erwerking zal uitsluitend plaatsvinden in het kader van marketing en consultancy diensten ten behoeve van erwerkingsverantwoordelijke, plus die doeleinden die daarmee redelijkerwijs samenhangen of die met nadere instemming worden bepaald; 1.2. De persoonsgegevens die door erwerker in het kader van de Overeenkomst (zullen) worden verwerkt, en de categorieën betrokkenen van wie deze afkomstig zijn, zijn opgenomen in Bijlage 1. erwerker zal de persoonsgegevens niet voor enig ander doel verwerken dan zoals door erwerkingsverantwoordelijke is vastgesteld. erwerkingsverantwoordelijke zal erwerker op de hoogte stellen van de verwerkingsdoeleinden voor zover deze niet reeds in deze erwerkersovereenkomst zijn genoemd; 1.3. De in opdracht van erwerkingsverantwoordelijke te verwerken persoonsgegevens blijven eigendom van erwerkingsverantwoordelijke en/of de betreffende betrokkenen; 1.4. erwerkingsverantwoordelijke staat ervoor in dat zij, indien zij hiertoe wettelijk wordt verplicht, een register zal bijhouden van de onder deze erwerkersovereenkomst geregelde verwerkingen, zoals bedoeld in artikel 30 AG. erwerkingsverantwoordelijke vrijwaart erwerker voor alle aanspraken en claims die verband houden met het niet of niet juist naleven van de registerplicht. 2. verplichtingen verwerker Ten aanzien van de in artikel 1 genoemde verwerkingen, zal erwerker zorgdragen voor de naleving van de voorwaarden die, op grond van de Wbp en AG, worden gesteld aan het verwerken van persoonsgegevens door erwerker vanuit diens rol; 2.2. erwerker zal erwerkingsverantwoordelijke, op diens eerste verzoek daartoe, informeren over de door haar genomen maatregelen aangaande haar verplichtingen onder deze erwerkersovereenkomst; 2.3. De verplichtingen van de erwerker die uit deze erwerkersovereenkomst voortvloeien, gelden ook voor degenen die persoonsgegevens verwerken onder het gezag van erwerker, waaronder begrepen maar niet beperkt tot werknemers, in de ruimste zin van het woord.

8 3. doorgifte van persoonsgegevens erwerker mag de persoonsgegevens verwerken in landen binnen de Europese Unie. erwerkingsverantwoordelijke geeft erwerker daarnaast toestemming voor de verwerking van persoonsgegevens in landen buiten de Europese Unie, met inachtneming van geldende wet- en regelgeving; 3.2. erwerker zal, indien van toepassing, erwerkingsverantwoordelijke melden om welk land of landen het gaat. 4. verdeling van verantwoordelijkheid De toegestane verwerkingen worden hoofdzakelijk langs volledig geautomatiseerde weg onder controle van erwerker uitgevoerd. Indien nodig, zullen medewerkers van erwerker tevens handmatig verwerkingen verrichten; 4.2. erwerker is louter verantwoordelijk voor de verwerking van de persoonsgegevens onder deze erwerkersovereenkomst, overeenkomstig de instructies van erwerkingsverantwoordelijke en onder de uitdrukkelijke (eind)verantwoordelijkheid van erwerkingsverantwoordelijke. oor de overige verwerkingen van persoonsgegevens, waaronder in ieder geval begrepen maar niet beperkt tot de verzameling van de persoonsgegevens door de erwerkingsverantwoordelijke, verwerkingen voor doeleinden die niet door erwerkingsverantwoordelijke aan erwerker zijn gemeld, verwerkingen door derden en/of voor andere doeleinden, is erwerker uitdrukkelijk niet verantwoordelijk. De verantwoordelijkheid voor deze verwerkingen rust uitsluitend bij erwerkingsverantwoordelijke; 4.3. erwerkingsverantwoordelijke garandeert dat de inhoud, het gebruik en de opdracht tot de verwerkingen van de persoonsgegevens zoals bedoeld in deze erwerkersovereenkomst, niet onrechtmatig zijn en geen inbreuk maken op enig recht van derden. 5. inschakelen van derden of onderaannemers erwerkingsverantwoordelijke geeft erwerker hierbij toestemming om bij de verwerking van persoonsgegevens, op grond van deze erwerkersovereenkomst, gebruik te maken van een derde met inachtneming van de toepasselijke privacywetgeving;

9 5.2. Op verzoek van de erwerkingsverantwoordelijke zal erwerker de erwerkingsverantwoordelijke zo spoedig mogelijk informeren over de door haar ingeschakelde derden. erwerkingsverantwoordelijke heeft het recht om tegen enige, door erwerker ingeschakelde derden, bezwaar te maken. Wanneer erwerkingsverantwoordelijke bezwaar maakt tegen de door erwerker ingeschakelde derden, zullen Partijen onderling in overleg treden om hiertoe tot een oplossing te komen; 5.3. erwerker zorgt er in ieder geval voor dat deze derden schriftelijk dezelfde plichten op zich nemen als tussen erwerkingsverantwoordelijke en erwerker zijn overeengekomen. erwerker staat in voor een correcte naleving van deze plichten door deze derden en is bij fouten van deze derden zelf jegens erwerkingsverantwoordelijke aansprakelijk voor alle schade alsof hij zelf de fout(en) heeft begaan. 6. beveiliging erwerker zal zich inspannen passende technische en organisatorische maatregelen te nemen met betrekking tot de te verrichten verwerkingen van persoonsgegevens, tegen verlies of tegen enige vorm van onrechtmatige verwerking (zoals onbevoegde kennisname, aantasting, wijziging of verstrekking van de persoonsgegevens); 6.2. erwerker heeft in ieder geval de volgende maatregelen genomen: logische toegangscontrole, gebruik makend van wachtwoorden; automatische logging van alle handelingen rond de persoonsgegevens; fysieke maatregelen voor toegangsbeveiliging; encryptie (versleuteling) van digitale bestanden met persoonsgegevens; organisatorische maatregelen voor toegangsbeveiliging; steekproefsgewijze controle op naleving beleid; beveiliging van netwerkverbindingen via Secure Socket Layer (SSL) technologie; een beveiligd intern netwerk; 6.3. erwerker staat er niet voor in dat de beveiliging onder alle omstandigheden doeltreffend is. Indien een uitdrukkelijk omschreven beveiliging in de erwerkersovereenkomst ontbreekt, zal erwerker zich inspannen dat de beveiliging zal voldoen aan een niveau dat, gelet op de stand van de techniek, de gevoeligheid van de persoonsgegevens en de aan het treffen van de beveiliging verbonden kosten, niet onredelijk is; 6.4. erwerkingsverantwoordelijke stelt enkel persoonsgegevens aan erwerker ter beschikking voor verwerking, indien zij zich ervan heeft verzekerd dat de vereiste beveiligingsmaatregelen

10 zijn getroffen. erwerkingsverantwoordelijke is verantwoordelijk voor de naleving van de door Partijen afgesproken maatregelen; 6.5 erwerker kan persoonsgegevens gebruiken ten behoeve van digital advertising diensten, waarbij doelgroepen worden aangemaakt aan de hand van de persoonsgegevens. De platformen die worden gebruikt om gerichte advertenties te tonen aan deze doelgroepen, maken gebruik van hashing. Hashing stelt de erwerker in staat om geanonimiseerde persoonsgegevens te gebruiken zonder dat deze ter herleiden zijn naar een individu en/of individuen. erwerker zal zorgen dat de hashing gebeurt binnen een browser die aan de minimale beveiligingseisen voldoet. 7. meldplicht In het geval van een beveiligingslek en/of een datalek bij erwerker (waaronder wordt verstaan: een inbreuk op de beveiliging van persoonsgegevens die leidt tot een aanzienlijke kans op nadelige gevolgen, dan wel ernstige nadelige gevolgen heeft, voor de bescherming van persoonsgegevens, zoals bedoeld in artikel 34a Wbp), zal erwerker zich naar beste kunnen inspannen om erwerkingsverantwoordelijke daarover onmiddellijk te infomeren naar aanleiding waarvan erwerkingsverantwoordelijke beoordeelt of zij de toezichthoudende autoriteiten en/of betrokkenen zal informeren of niet. erwerker spant zich naar beste kunnen in om de verstrekte informatie volledig, correct en accuraat te maken. De meldplicht geldt enkel indien het lek daadwerkelijk heeft plaatsgevonden; 7.2. erwerkingsverantwoordelijke zal zorgdragen voor het voldoen aan eventuele (wettelijke) meldplichten. Indien de wet- en/of regelgeving dit vereist zal erwerker meewerken aan het informeren van de ter zake relevante autoriteiten en/of betrokkenen; 7.3. De meldplicht behelst in ieder geval het melden van het feit dat er een lek is geweest, alsmede: de datum waarop het lek heeft plaatsgevonden (indien geen exacte datum bekend is: de periode waarbinnen het lek heeft plaatsgevonden; wat de (vermeende) oorzaak is van het lek; de datum en het tijdstip waarop het lek bekend is geworden bij erwerker of bij hem ingeschakelde derde of onderaannemer; het aantal personen waarvan gegevens zijn gelekt (indien geen exact aantal bekend is: het minimale en maximale aantal personen waarvan gegevens zijn gelekt); een omschrijving van de groep personen van wie gegevens zijn gelekt, inclusief het soort of de soorten persoonsgegevens die zijn gelekt;

11 of de gegevens versleuteld, gehasht of op een andere manier onbegrijpelijk of ontoegankelijk zijn gemaakt voor onbevoegden; wat de voorgenomen en/of reeds ondernomen maatregelen zijn om het lek te dichten en om de gevolgen van het lek te beperken; de contactgegevens voor de opvolging van de melding; wat het (vooralsnog bekende en/of te verwachten) gevolg is; wat de (voorgestelde) oplossing is; wat de reeds ondernomen maatregelen zijn; 8. afhandeling verzoeken van betrokkenen. In het geval dat een betrokkene een verzoek tot uitoefening van zijn/haar wettelijke rechten richt aan erwerker, zal erwerker het verzoek doorsturen aan erwerkingsverantwoordelijke, en zal erwerkingsverantwoordelijke het verzoek verder afhandelen. erwerker mag de betrokkene daarvan op de hoogte stellen. Indien blijkt dat de erwerkingsverantwoordelijke hulp nodig heeft van de erwerker voor de uitvoering van een verzoek van een betrokkene, dan kan de erwerker hiervoor kosten in rekening brengen. 9. geheimhouding en vertrouwelijkheid Op alle persoonsgegevens die erwerker van erwerkingsverantwoordelijke ontvangt en/of zelf verzamelt in het kader van deze erwerkersovereenkomst, rust een geheimhoudingsplicht jegens derden. erwerker zal deze informatie niet voor een ander doel gebruiken dan waarvoor zij deze heeft verkregen, zelfs niet wanneer deze in een zodanige vorm is gebracht zodat deze niet tot betrokkenen herleidbaar is; 9.2. Deze geheimhoudingsplicht is niet van toepassing voor zover erwerkingsverantwoordelijke uitdrukkelijke toestemming heeft gegeven om de informatie aan derden te verschaffen, indien het verstrekken van de informatie aan derden logischerwijs noodzakelijk is gezien de aard van de verstrekte opdracht en de uitvoering van deze erwerkersovereenkomst, of indien er een wettelijke verplichting bestaat om de informatie aan een derde te verstrekken. 10. audit erwerkingsverantwoordelijke heeft het recht om audits uit te voeren ter controle van naleving van alle punten uit de erwerkersovereenkomst, en alles dat daar direct verband mee

12 houdt; Deze audit mag plaatsvinden bij een concreet vermoeden van misbruik van persoonsgegevens; erwerker zal aan de audit meewerken en alle voor de audit redelijkerwijs relevante informatie, inclusief ondersteunende gegevens zoals systeemlogs, en medewerkers zo tijdig mogelijk ter beschikking stellen. erwerkingsverantwoordelijke zal er zorg voor dragen dat de audit een zo min mogelijk bedrijfsverstorend effect op de overige werkzaamheden van de erwerker veroorzaakt; De bevindingen naar aanleiding van de uitgevoerde audit zullen door Partijen in onderling overleg worden beoordeeld en, naar aanleiding daarvan, al dan niet worden doorgevoerd door één van de Partijen of door beide Partijen gezamenlijk; De kosten van de audit worden door erwerkingsverantwoordelijke gedragen. 11. aansprakelijkheid en boetebepalingen De aansprakelijkheid van Partijen voor schade als gevolg van een toerekenbare tekortkoming in de nakoming van de erwerkersovereenkomst, dan wel uit onrechtmatige daad of anderszins, is per gebeurtenis (een reeks opeenvolgende gebeurtenissen geldt als één gebeurtenis) beperkt tot de vergoeding van directe schade, tot maximaal het bedrag van de door de andere Partij ontvangen vergoedingen voor de werkzaamheden onder deze erwerkersovereenkomst over de maand voorafgaande aan de schadeveroorzakende gebeurtenis. De aansprakelijkheid van Partijen voor directe schade zal in totaal nooit meer bedragen dan ,-; Onder directe schade wordt uitsluitend verstaan de kosten die een Partij redelijkerwijs moet maken om de tekortkoming van de andere Partij te herstellen of op te heffen, alsmede de redelijke kosten ter voorkoming of beperking van zulke schade en redelijke kosten ter vaststelling van de oorzaak en omvang daarvan; De aansprakelijkheid van Partijen voor indirecte schade is uitgesloten. Onder indirecte schade wordt onder andere, maar niet beperkt tot, verstaan alle schade die geen directe schade is en daarmee in ieder geval, maar niet beperkt tot, gevolgschade, gederfde winst, gemiste besparingen, verminderde goodwill, schade door bedrijfsstagnatie, schade door het niet bepalen van marketingdoeleinden, schade verband houdende met het gebruik van door

13 erwerkingsverantwoordelijke voorgeschreven gegevens of databestanden, of verlies, verminking of vernietiging van gegevens of databestanden; De in dit artikel bedoelde uitsluitingen en beperkingen komen te vervallen indien en voor zover de schade het gevolg is van opzet of bewuste roekeloosheid van de betreffende Partij of haar bedrijfsleiding; Aansprakelijkheid wegens toerekenbare tekortkoming in de nakoming van de erwerkersovereenkomst ontstaat slechts indien de tekortkoming na ingebrekestelling blijft bestaan. Een ingebrekestelling dient onverwijld in schriftelijke vorm toegestuurd te worden. De ingebrekestelling is slechts rechtsgeldig indien deze een redelijke termijn bevat waarbinnen de tekortkomende Partij het gebrek kan herstellen. De ingebrekestelling dient een zo volledig en gedetailleerd mogelijke omschrijving van de tekortkoming te bevatten, zodat de betreffende Partij adequaat kan reageren. Het bovenstaande is niet van toepassing indien nakoming door de betreffende Partij blijvend onmogelijk is; Iedere vordering tot schadevergoeding door de ene Partij tegen de andere Partij die niet gespecificeerd en expliciet is gemeld, vervalt door het enkele verloop van twaalf (12) maanden na het ontstaan van de vordering; Partijen zullen zich gedurende de erwerkersovereenkomst adequaat verzekerd hebben en houden voor aansprakelijkheid conform dit artikel. De verzekeringsvoorwaarden hiertoe kunnen op verzoek worden ingezien. 12. duur en beëindiging Deze erwerkersovereenkomst komt tot stand door ondertekening van Partijen en op de datum van de laatste ondertekening; Deze erwerkersovereenkomst eindigt van rechtswege op het moment dat de Overeenkomst eindigt; Uiterlijk één maand na beëindiging van de erwerkersovereenkomst, om welke reden en op welke wijze dan ook, zal erwerker alle persoonsgegevens die bij haar aanwezig zijn in originele of kopievorm retourneren aan erwerkingsverantwoordelijke, en daarna deze en eventuele kopieën daarvan verwijderen en/of vernietigen; Partijen mogen deze erwerkersovereenkomst alleen wijzigen met wederzijdse instemming.

14 13. toepasselijk recht en geschillenbeslechting De erwerkersovereenkomst en de uitvoering daarvan worden beheerst door Nederlands recht; Alle geschillen, welke tussen Partijen mochten ontstaan in verband met de erwerkersovereenkomst, zullen worden voorgelegd aan de bevoegde rechter voor het arrondissement waarin erwerker gevestigd is; Indien één of meer bepalingen van de erwerkersovereenkomst niet rechtsgeldig blijken te zijn, zal de erwerkersovereenkomst voor het overige van kracht blijven. Partijen overleggen alsdan over de bepalingen welke niet rechtsgeldig zijn, teneinde een vervangende regeling te treffen die wel rechtsgeldig is en zoveel mogelijk aansluit bij de strekking van de te vervangen regeling. aldus verklaard en ondertekend, Namens erwerkingsverantwoordelijke Namens erwerker Datum: Datum: 5 maart 2018 Plaats: Naam: Functie: Plaats: Amsterdam Naam: J.W. van der Hucht Functie: Managing Director

15 persoonsgegevens en betrokkenen. De erwerkersovereenkomst is gesloten door Partijen om erwerkingsverantwoordelijke in de gelegenheid te stellen om gebruik te maken van de diensten van erwerker. Ter uitvoering van de in dit kader reeds gesloten Overeenkomst, zal erwerker de volgende (bijzondere) persoonsgegevens verwerken van betrokkenen in naam en opdracht van de erwerkingsverantwoordelijke: