Verwerkersovereenkomst

Transcriptie

1 Verwerkersvereenkmst DB+ B.V. VERTROUWELIJK Pagina 1 van 11

2 Verwerkersvereenkmst De ndergetekenden: I. DB+ B.V., een beslten venntschap met beperkte aansprakelijkheid, gevestigd aan het adres Naaldwijkseweg 100, 2291 PA te Wateringen, hierbij rechtsgeldig vertegenwrdigd dr de heer D.D. Beekhuizen, hierna te nemen, hierna te nemen Verwerker ; En II. De BV/Eenmanszaak/VOF met KVK-nummer Adres Pstcde Plaats hierbij rechtsgeldig vertegenwrdigd dr hierna te nemen Verantwrdelijke ; hierna tevens afznderlijk te nemen: Partij, en gezamenlijk te nemen: Partijen ; zijn p datum van ndertekening deze Verwerkersvereenkmst aangegaan. Overwegingen: a. Verantwrdelijke en Verwerker zijn p datum: - - een vereenkmst inzake de levering van telecmmunicatiediensten ( Overeenkmst ) aangegaan. Vr de dienstverlening is het ndzakelijk dat Verwerker in pdracht van Verantwrdelijke Persnsgegevens Verwerkt. In Bijlage 1 hebben Partijen de aard van de persnsgegevens in kwestie en de categrieën betrkkenen nader gespecificeerd. b. In vereenstemming met de AVG zijn Partijen verplicht m in een Verwerkersvereenkmst nadere afspraken te maken ver de Verwerkingen die plaatsvinden. c. Partijen wensen in deze Verwerkersvereenkmst de afspraken ver de Verwerking van Persnsgegevens in het kader van de diensten vast te leggen. De Partijen zijn het vlgende vereengekmen: Artikel 1. Definities 1.1. Onderstaande begrippen wrden geïnterpreteerd vlgens de AVG. Tt 25 mei 2018 wrden de begrippen geïnterpreteerd vlgens de vergelijkbare bepaling uit de Wbp. AVG Algemene Verrdening Gegevens-bescherming (EU) 2016/679 van het Eurpees Parlement en de Raad van 27 april 2016 ver de bescherming van natuurlijke persnen in verband met de verwerking van persnsgegevens en ver het vrije verkeer van die gegevens (en tt intrekking van Richtlijn 95/46/EG). Betrkkene een geïdentificeerde f identificeerbare natuurlijke persn wiens persnsgegevens wrden verwerkt (artikel 4 sub 1 AVG). VERTROUWELIJK Pagina 2 van 11

3 Datalek EU Standaard Cntract Infrmatieverzek Overeenkmst Persneel Persnsgegeven Privacy Officer (k: Functinaris Gegevens-bescherming) Register Sub-verwerker Telecmmunicatiewet f Tw Verwerkingsverantwrdelijke Verwerker een inbreuk p de beveiliging die per ngeluk f p nrechtmatige wijze leidt tt de vernietiging, het verlies, de wijziging f de ngerlfde verstrekking van f de ngerlfde tegang tt verstuurde, pgeslagen f p andere wijze verwerkte gegevens. Dr de EU pgestelde standaard cntract bepalingen vr de verdracht van Persnsgegevens naar verwerkers gevestigd in derde landen (artikel 46, lid 2, sub c en d AVG). Infrmatieverzek van een Betrkkene ver de verwerking van Persnsgegevens dr Verwerker. de in Bijlage 1 vermelde vereenkmst(en) ver de levering van prducten en/f diensten. de natuurlijke persn die werkzaam is bij, f vr, een van de Partijen. alle infrmatie ver een geïdentificeerde f identificeerbare natuurlijke persn in de zin van artikel 4 nder 1 AVG. een functinaris als bedeld in artikel AVG, die Verwerkingsverantwrdelijke f Verwerker en het Persneel deskundig infrmeert, pleidt en adviseert ver gegevensbescherming, gegevenseffect-berdelingen en samenwerking met de tezichthudende autriteit. Register als bedeld in artikel 30 AVG waarin de verwerkingen wrden bijgehuden met nder meer een beschrijving van de gebruikte systemen, een algemene beschrijving van de technische en rganisatrische beveiligingsmaatregelen die zijn geïmplementeerd, categrieën Persnsgegevens en betrkkenen, bewaartermijnen en cntactgegevens. iedere niet-ndergeschikte derde partij die dr Verwerker is ingeschakeld bij de verwerking van Persnsgegevens. Dit gaat niet m Persneel. Wet van 19 ktber 1998, hudende regels inzake de telecmmunicatie. een natuurlijke persn f rechtspersn, een verheidsinstantie, een dienst f een ander rgaan die, alleen f samen met anderen, het del van en de middelen vr de verwerking van persnsgegevens bepaalt. een natuurlijke persn f rechtspersn, een VERTROUWELIJK Pagina 3 van 11

4 verheidsinstantie f een dienst die Persnsgegevens verwerkt ten beheve van de Verwerkingsverantwrdelijke. Verwerking Verwerkersvereenkmst Wet bescherming persnsgegevens f Wbp een bewerking (f een geheel van bewerkingen) ver persnsgegevens (f een geheel van persnsgegevens), al dan niet uitgeverd via geautmatiseerde prcedés. Bijvrbeeld het verzamelen, vastleggen, rdenen, structureren, pslaan, bijwerken f wijzigen, pvragen, raadplegen, gebruiken, verstrekken dr middel van drzending, verspreiden, f p andere wijze ter beschikking stellen, afstemmen f cmbineren, afschermen, wissen f vernietigen van gegevens. deze vereenkmst. Wet van 6 juli 2000, hudende regels inzake de bescherming van persnsgegevens. Artikel 2. Tepasselijkheid 2.1. Deze Verwerkersvereenkmst is een nlsmakelijk nderdeel van de Overeenkmst. Indien de Verwerkersvereenkmst strijdig is met de Overeenkmst, prevaleert de Verwerkersvereenkmst bven de Overeenkmst. Artikel 3. Verplichtingen Verwerker 3.1. Verwerker zal zich bij de uitvering van zijn verplichtingen uit de Verwerkersvereenkmst huden aan alle relevante wet- en regelgeving Verwerker zal de Persnsgegevens zals genemd in Bijlage 1 alleen in vereenstemming met de instructies van Verwerkingsverantwrdelijke neergelegd in deze Verwerkersvereenkmst Verwerken, tenzij bij wet anders is bepaald, en slechts vr zver ndig vr de uitvering van zijn verplichtingen uit de Overeenkmst. Artikel 4. Verplichtingen Verantwrdelijke 4.1. Verantwrdelijke is ten aanzien van de Verwerking van Persnsgegevens krachtens deze Verwerkersvereenkmst de 'Verwerkingsverantwrdelijke' zals mschreven in artikel 4 lid 7 AVG Verantwrdelijke staat ervr in dat de Verwerking (inclusief de verzameling en de drgifte naar Verwerker) van Persnsgegevens vereenkmstig de Verwerkersvereenkmst in vereenstemming is met de AVG en andere, van tepassing zijnde wetgeving inzake gegevensbescherming Verantwrdelijke garandeert dat de inhud, het gebruik en de pdracht tt de Verwerkingen van de persnsgegevens zals bedeld in deze Verwerkersvereenkmst, niet nrechtmatig is en geen inbreuk maakt p enig recht van derden. Verantwrdelijke vrijwaart Verwerker tegen alle aanspraken f claims die hiermee verband huden. Artikel 5. Beveiliging Persnsgegevens 5.1. Verwerker zal cnfrm Bijlage 2 passende technische en rganisatrische maatregelen implementeren ter bescherming van de Persnsgegevens die zij vr Verwerkingsverantwrdelijke zal Verwerken Deze maatregelen zullen, rekening hudend met de stand van de techniek en de ksten van de implementatie en uitvering van de maatregelen, zrgen vr een adequaat niveau van VERTROUWELIJK Pagina 4 van 11

5 bescherming, rekening hudend met de bij de Verwerking betrkken risic s en de aard van de te beveiligen gegevens Verwerkingsverantwrdelijke heeft zich ged geïnfrmeerd ver de beveiligingsmaatregelen zals genemd in dit artikel en bevestigt dat deze maatregelen een beveiligingsniveau hebben dat past bij de aard van de Persnsgegevens en de risic s van de Verwerking. Artikel 6. Meldplicht datalekken 6.1. Nadat Verwerker een Datalek heeft ntdekt f daarver dr zijn sub-verwerker is geïnfrmeerd stelt Verwerker de Verwerkingsverantwrdelijke z spedig mgelijk, uiterlijk binnen 36 uur, in kennis daarvan via de cntactgegevens zals beschreven in Bijlage 1. Verwerker zal per het vlgende vermelden: a.) welke persnsgegevens het betreft en wie dr de inbreuk is getrffen; b.) de aard van de inbreuk; c.) de aanbevlen maatregelen; en d.) de gecnstateerde en vermedelijke gevlgen van de inbreuk, vr zver Verwerker hier kennis van heeft Verwerker zal medewerking verlenen aan het nderzek rndm het Datalek en zal vldende infrmatie en ndersteuning verschaffen in relatie tt alle nderzeken daarte. De ksten die Verwerker in dat kader maakt kan Verwerker drberekenen aan Verwerkingsverantwrdelijke. Artikel 7. Cntrle p de beveiligingsmaatregelen 7.1. Verantwrdelijke is gerechtigd naleving van de hiervr nder artikel 5 genemde beveiligingsmaatregelen in verband met de Verwerkingsactiviteiten die nder deze Verwerkersvereenkmst vallen, te (laten) nderzeken (het Onderzek ). Op verzek zal Verwerker Verantwrdelijke in staat stellen m de Verwerkingen te (laten) cntrleren p een dr Partijen in gezamenlijk verleg nader te bepalen tijdstip. Verwerker zal in alle redelijkheid haar medewerking verlenen aan een dergelijk Onderzek Het Onderzek kan niet vaker dan eenmaal per jaar bij Verwerker wrden uitgeverd Verantwrdelijke kan besluiten een nderzeksinstantie het Onderzek te laten uitveren. De nderzeksinstantie dient, naar het redelijk rdeel van Verantwrdelijke, neutraal en deskundig te zijn. Verantwrdelijke ziet erp te dat de nderzeksinstantie van haar bevindingen tegenver derden tt geheimhuding verplicht is Verantwrdelijke zal alle ksten, vergedingen en nksten in verband met het Onderzek betalen, met inbegrip van redelijke dr Verwerker gemaakte interne ksten Indien naar aanleiding van het Onderzek in redelijkheid gegeven verzeken tt aanpassing van het beveiligingsbeleid f maatregelen wrden gevraagd, zal de Verwerker deze binnen 6 maanden implementeren Verantwrdelijke zal Verwerker een exemplaar van het rapprt van het Onderzek verstrekken De Autriteit Persnsgegevens mag, naast Verantwrdelijke, tezien p de naleving van de beveiligingsmaatregelen. Verwerker zal de Autriteit Persnsgegevens in staat stellen de Verwerkingen te (laten) cntrleren. Artikel 8. Persneel en geheimhuding 8.1. Verwerker zal ervr zrgen dat bij de uitvering van de Verwerkersvereenkmst alleen zijn geautriseerde Persneel en dr hem ingeschakelde geautriseerde derden tegang krijgen tt Persnsgegevens Elke Partij bevestigt dat zij bekend is met de tepasselijke regelgeving inzake gegevensbescherming en verzekert dat zij haar Persneel, dat bij de uitvering van de VERTROUWELIJK Pagina 5 van 11

6 werkzaamheden betrkken is, instrueert ver de relevante bepalingen ver gegevensbescherming en hen verplicht tt geheimhuding met betrekking tt persnsgegevens. Artikel 9. Inschakeling derden en Sub-verwerkers 9.1. Indien Verwerker de verplichtingen uit hfde van deze Verwerkersvereenkmst aan derden uitbesteedt, zal Verwerker Verwerkingsverantwrdelijke daarver vrafgaand testemming vragen. Verwerker zal de bendigde maatregelen treffen m ervr te zrgen dat de Subverwerkers dezelfde verplichtingen hebben als die waaraan Verwerker uit hfde van de Verwerkersvereenkmst en de wet jegens Verwerkingsverantwrdelijke met vlden Indien ten tijde van het aangaan van deze Verwerkersvereenkmst bekend is dat Verwerker cnfrm dit artikel de verplichtingen uit hfde van deze Verwerkersvereenkmst aan een f meerdere Sub-verwerkers uitbesteedt, wrden deze Sub-verwerkers vermeld in Bijlage 1. Daarmee geeft Verwerkingsverantwrdelijke aan Verwerker testemming m deze Subverwerkers in te schakelen. Artikel 10. Drgifte Persnsgegevens buiten de EER Verwerker geeft geen Persnsgegevens dr aan, en Verwerkt Persnsgegevens niet in, een land buiten de EER, tenzij: a.) Verwerkingsverantwrdelijke vrafgaand aan de drgifte testemming daarte heeft gegeven; b.) Verwerkingsverantwrdelijke vrafgaand aan de drgifte is geïnfrmeerd ver de Verwerking buiten de EER en daartegen binnen een redelijke termijn geen bezwaar heeft gemaakt; f c.) de drgifte is tegestaan p basis van een andere grndslag nder de Wbp f de AVG. Artikel 11. Verzeken van Betrkkenen Betrkkenen hebben p grnd van de AVG recht p inzage, crrectie, verwijdering en afscherming van hun Persnsgegevens. Verwerker zal redelijke bijstand verlenen zdat Verwerkingsverantwrdelijke kan vlden aan zijn wettelijke verplichtingen als Betrkkene haar rechten uitefent p grnd van de AVG, zals k bij een klacht f een infrmatieverzek. De ksten die Verwerker in dat kader maakt zal Verwerker drberekenen aan Verwerkingsverantwrdelijke. Artikel 12. Aansprakelijkheid en vrijwaring Partijen zijn ieder verantwrdelijk en aansprakelijk vr hun eigen handelen. Een beperking van aansprakelijkheid is niet mgelijk in geval van pzet f grve schuld Verwerkingsverantwrdelijke staat er vr in dat de Verwerking van Persnsgegevens p basis van deze Verwerkersvereenkmst rechtmatig is en geen inbreuk maakt p de rechten van Betrkkenen Indien Verwerkingsverantwrdelijke niet in vereenstemming handelt met de AVG, de Wbp, de Tw en / f andere wet- en regelgeving, zal zij Verwerker vrijwaren vr eventuele aanspraken van derden als gevlg van deze nalatigheid, zals betes en schade Indien in de Overeenkmst geen bepaling is pgenmen inzake de beperking van aansprakelijkheid vr schade zal de vlgende beperking van aansprakelijkheid gelden: De ttale aansprakelijkheid van Verwerker wegens een terekenbare tekrtkming in de nakming van de Verwerkersvereenkmst f uit enige andere hfde, waarnder nadrukkelijk begrepen eventuele garantie- en/f vrijwaringsverplichtingen, is beperkt tt vergeding van directe schade tt maximaal het nett factuurbedrag crrespnderende met de dr Verwerker aan Verwerkingsverantwrdelijke geznden c.q. te zenden factuur met betrekking tt de verrichte werkzaamheden waarmee de betreffende aansprakelijkheid verband hudt c.q. waaruit de VERTROUWELIJK Pagina 6 van 11

7 betreffende aansprakelijkheid vrtvleit. In geen geval zal de ttale aansprakelijkheid van Verwerker vr directe schade uit welke hfde dan k meer bedragen dan ,= (hnderdduizend Eur) De aansprakelijkheid van Verwerker vr indirecte schade, gevlgschade, gederfde winst, gemiste besparingen, geleden verlies, verminderde gdwill, schade dr bedrijfsstagnatie en schade verband hudende met de inschakeling van dr Verwerkingsverantwrdelijke aan Verwerker vrgeschreven televeranciers en/f derde-leveranciers is uitgeslten. Eveneens is uitgeslten de aansprakelijkheid van Verwerker wegens verminking, vernietiging f verlies van gegevens f dcumenten en eventueel daarmee verband hudende schade. Artikel 13. Duur en beëindiging verwerkersvereenkmst De lptijd van deze Verwerkersvereenkmst zal dezelfde lptijd hebben als de Overeenkmst. Indien de verleende diensten na de beëindiging van de Overeenkmst meten wrden vrtgezet, dan zijn de bepalingen van de Verwerkersvereenkmst blijvend van kracht p deze verdere levering van diensten vr de gehele duur van de feitelijke samenwerking Na beëindiging van de Overeenkmst zal Verwerker vr zver mgelijk alle relevante dcumenten die zij heeft ntvangen aan Verwerkingsverantwrdelijke verdragen. Daarnaast zal Verwerker, na instemming van Verwerkingsverantwrdelijke, alle Verwerkingen en pgeleverde gebruiksresultaten, databestanden en back-ups welke betrekking hebben p de cntractuele relatie vernietigen p een manier die vldet aan de eisen die wrden gesteld aan gegevensbescherming. Artikel 14. Cntactgegevens Meldingen die wrden gedaan p grnd van deze Verwerkersvereenkmst wrden gericht aan de in Bijlage 1 pgenmen Persneel van Verwerkingsverantwrdelijke f, indien relevant, aan een andere dr Verwerkingsverantwrdelijke tijdens de duur van deze Verwerkersvereenkmst schriftelijk bekendgemaakte Persneel van Verwerkingsverantwrdelijke. Artikel 15. Sltbepalingen Deze Verwerkersvereenkmst vervangt alle eerdere Bewerkersvereenkmsten tussen Partijen De verwegingen maken nderdeel uit van deze Verwerkersvereenkmst Indien één f meer bepalingen van deze Verwerkersvereenkmst niet rechtsgeldig blijkt te zijn, zal de Verwerkersvereenkmst vr het verige van kracht blijven. Partijen zullen ver de bepalingen welke niet rechtsgeldig zijn verleg plegen, teneinde een vervangende regeling te treffen die wel rechtsgeldig is en zveel mgelijk aansluit bij de strekking van de te vervangen regeling In alle gevallen waarin deze Verwerkersvereenkmst niet vrziet beslissen Partijen in nderling verleg Op deze Verwerkersvereenkmst is Nederlands recht van tepassing Geschillen ver f in verband met deze Verwerkersvereenkmst zullen uitsluitend wrden vrgelegd aan de bevegde Nederlandse rechter. VERTROUWELIJK Pagina 7 van 11

8 Aldus vereengekmen en ndertekend: Handtekening namens Verwerker: Handtekening namens Verantwrdelijke: Naam: D.D. Beekhuizen Functie: Algemeen Directeur Datum: Naam: Functie: Datum: VERTROUWELIJK Pagina 8 van 11

9 Bijlage 1 : Specificatie verwerkingen Verwerkingsactiviteiten Verzamelen, vastleggen, rdenen, bewaren, bijwerken, wijzigen, pvragen, raadplegen, gebruiken, drzenden, beschikbaar stellen, samenbrengen, met elkaar in verband brengen, afschermen, uitwissen en vernietigen van gegevens, annimiseren, aggregeren, versleutelen. Betrkken categrieën persnsgegevens Gewne gegevens Vrletters, vrnaam, tussenvegsel, achternaam Telefnnummer(s) adres Geslacht Functie Gebrtedatum Gebrteplaats ID-nummer ID-vervaldatum Kpie ID Verkeersgegevens (gegevens uit een dienst) Telefnnummer(s) IP-Adres Device ID s Vlume verkeer (data, SMS, bellen) Deleinden van de verwerking Uitvering van de vereenkmst Categrieën betrkkenen Cntactpersn Verwerkingsverantwrdelijke Eindgebruikers Verwerkingsverantwrdelijke Afgesprken bewaartermijnen DB+ bewaart persnsgegevens niet langer in een vrm die het mgelijk maakt klanten en/f gebruikers te identificeren dan ndzakelijk is vr de verwerkelijking van de deleinden waarvr de persnsgegevens zijn verzameld f vervlgens wrden verwerkt. VERTROUWELIJK Pagina 9 van 11

10 Cntactgegevens primair aanspreekpunt Verantwrdelijke T.a.v. Verwerker T.a.v. Privacy Officer E: E: T: T: Adres: Adres: Naaldwijkseweg PA Wateringen VERTROUWELIJK Pagina 10 van 11

11 Bijlage 2 : Omschrijving nadere beveiligingsmaatregelen Er is een infrmatiebeveiligingsbeleid pgesteld. In het beleid zijn regels pgenmen ver de mgang met Persnsgegevens. Medewerkers zijn p de hgte van de inhud van dit beleid. Er is een prcedure ingesteld ver de mgang met en de afhandeling van Datalekken. Er wrdt dagelijks een back-up gemaakt van de servers m beschadiging f verlies van (Persns)gegevens te vrkmen. Medewerkers van Verwerker maken gebruik van sterke wachtwrden (minimaal 8 tekens, inclusief minimaal één nummer en één speciaal karakter zals!@#$%^&()*) en gebruiken niet hetzelfde wachtwrd vr verschillende systemen. Alle medewerkers van Verwerker hebben een geheimhudingsverklaring getekend. Waar mgelijk is antivirus en antimalware sftware geïnstalleerd en actief. Er is een prcedure ingesteld m applicaties up-t-date te huden. Er geldt een retentiebeleid waarin de bewaartermijnen van (Persns)gegevens zijn pgenmen. Waar mgelijk is het verwijderen van (Persns)gegevens geautmatiseerd. Het merendeel van de systemen beschikt ver uitgebreide lgging waar actieve mnitring p plaats vindt. Er wrdt p regelmatige basis getest p technische kwetsbaarheden. Er is een lgisch tegangsbeleid m ngeautriseerde tegang te vrkmen. Er is p verschillende systemen een tw-factr authenticatie aanwezig. VERTROUWELIJK Pagina 11 van 11