3. De in opdracht van Verantwoordelijke te Verwerken persoonsgegevens blijven eigendom van Verantwoordelijke en/of de betreffende betrokkenen.

Transcriptie

1 Bijlage: Bewerkersvereenkmst FTM Fld Management Versie: 1.0 Datum: Deze bewerkersvereenkmst is een bijlage bij FTM Fld Management Algemene vrwaarden (hierna: de Hfdvereenkmst) tussen klant (hierna: Verantwrdelijke) en FTM Fld Management (hierna: Bewerker). Artikel 1. Deleinden van verwerking 1. Bewerker verbindt zich nder de vrwaarden van deze Bewerkersvereenkmst in pdracht van Verantwrdelijke persnsgegevens te verwerken. Verwerking zal uitsluitend plaatsvinden in het kader van de Hfdvereenkmst en wel het in de clud pslaan van gegevens van Verantwrdelijke plus die deleinden die daarmee redelijkerwijs samenhangen f die met nadere instemming wrden bepaald. 2. Bewerker zal de persnsgegevens niet vr enig ander del verwerken dan zals dr Verantwrdelijke is vastgesteld. Verantwrdelijke zal Bewerker p de hgte stellen van de verwerkingsdeleinden vr zver deze niet reeds in deze Bewerkersvereenkmst zijn genemd. 3. De in pdracht van Verantwrdelijke te Verwerken persnsgegevens blijven eigendm van Verantwrdelijke en/f de betreffende betrkkenen. Artikel 2. Verplichtingen Bewerker 1. Ten aanzien van de in artikel 1 genemde verwerkingen zal Bewerker zrg dragen vr de naleving van de tepasselijke wet- en regelgeving, waarnder in ieder geval begrepen de wet- en regelgeving p het gebied van de bescherming van persnsgegevens, zals de Wet bescherming persnsgegevens. 2. Bewerker zal Verantwrdelijke, p diens eerste verzek daarte, infrmeren ver de dr haar genmen maatregelen aangaande haar verplichtingen nder deze Bewerkersvereenkmst. 3. De verplichtingen van de Bewerker die uit deze Bewerkersvereenkmst vrtvleien, gelden k vr degenen die persnsgegevens verwerken nder het gezag van Bewerker, waarnder begrepen maar niet beperkt tt werknemers, in de ruimste zin van het wrd. 4. De Bewerker zal de Verantwrdelijke nmiddellijk in kennis stellen indien naar zijn mening een instructie van de Verantwrdelijke in strijd is met de in lid 1 bedelde wetgeving. Artikel 3. Drgifte van persnsgegevens

2 1. Bewerker mag de persnsgegevens verwerken in landen binnen de Eurpese Unie. Drgifte naar landen buiten de Eurpese Unie is verbden. 2. De Verantwrdelijke kiest bij bestelling van infrastructuur zelf m welk land f welke landen het gaat. Artikel 4. Verdeling van verantwrdelijkheid 1. Bewerker stelt ten beheve van de verwerkingen ICT-middelen ter beschikking die dr Verantwrdelijke te gebruiken zijn vr de hierbven genemde delen. Bewerker verricht zelf alleen p basis van aparte afspraken verwerkingen. 2. Bewerker is luter verantwrdelijk vr de verwerking van de persnsgegevens nder deze Bewerkersvereenkmst, vereenkmstig de instructies van Verantwrdelijke en nder de uitdrukkelijke (eind-)verantwrdelijkheid van Verantwrdelijke. Vr de verige verwerkingen van persnsgegevens, waarnder in ieder geval begrepen, maar niet beperkt tt, de verzameling van de persnsgegevens dr de Verantwrdelijke, verwerkingen vr deleinden die niet dr Verantwrdelijke aan Bewerker zijn gemeld, verwerkingen dr derden en/f vr andere deleinden, is Bewerker uitdrukkelijk niet verantwrdelijk. 3. Verantwrdelijke garandeert dat de inhud, het gebruik en de pdracht tt de verwerkingen van de persnsgegevens zals bedeld in deze Overeenkmst, niet nrechtmatig is en geen inbreuk maken p enig recht van derden. Artikel 5. Inschakelen van derden f nderaannemers 1. Bewerker mag in het kader van de Overeenkmst geen gebruik maken van een derde znder vrafgaande schriftelijke testemming van Verantwrdelijke, welke testemming nderwerp kan zijn van nadere vrwaarden. 2. Bewerker zrgt er in ieder geval vr dat deze derden schriftelijk ten minste dezelfde plichten p zich nemen als tussen Verantwrdelijke en Bewerker zijn vereengekmen. 3. Bewerker staat in vr een crrecte naleving van de plichten uit deze Bewerkersvereenkmst dr deze derden en is bij futen van deze derden zelf aansprakelijk vr alle schade alsf zij zelf de fut(en) heeft begaan. Artikel 6. Beveiliging 1. Bewerker zal zich inspannen vldende technische en rganisatrische maatregelen te nemen met betrekking tt de te verrichten verwerkingen van persnsgegevens, tegen verlies f tegen enige vrm van nrechtmatige verwerking (zals nbevegde kennisname, aantasting, wijziging f verstrekking van de persnsgegevens). 2. Bewerker heeft in ieder geval de vlgende maatregelen genmen: Lgische tegangscntrle, gebruik makend van: wachtwrden, persnsgebnden tegangspasjes, bimetrische verificatie Autmatische lgging van alle handelingen rnd de persnsgegevens

3 Fysieke maatregelen vr tegangsbeveiliging Encryptie (versleuteling) van digitale bestanden met persnsgegevens Organisatrische maatregelen vr tegangsbeveiliging Steekprefsgewijze cntrle p naleving beleid Beveiliging van netwerkverbindingen via Secure Scket Layer (SSL) technlgie Een beveiligd intern netwerk Del gebnden tegangsbeperkingen Cntrle p tegekende bevegdheden 3. Bewerker staat er niet vr in dat de beveiliging nder alle mstandigheden deltreffend is. Indien een uitdrukkelijk mschreven beveiliging in de Bewerkersvereenkmst ntbreekt, zal Bewerker zich inspannen de beveiliging te laten vlden aan een niveau dat, gelet p de stand van de techniek, de geveligheid van de persnsgegevens en de aan het treffen van de beveiliging verbnden ksten, niet nredelijk is. 4. Verantwrdelijke stelt enkel persnsgegevens aan Bewerker ter beschikking vr verwerking, indien zij zich ervan heeft verzekerd dat de vereiste beveiligingsmaatregelen zijn getrffen. Verantwrdelijke is verantwrdelijk vr de naleving van de dr Partijen afgesprken maatregelen. 5. Bewerker werkt cnfrm ISO 27001, NEN 7510, ISAE3402 en de PCI Security Standard, welke wrden geacht te vlden aan de beveiligingseisen gezien de stand van de techniek. Bewerker beschikt daarnaast ver een Third Party Mededeling (TPM) ten aanzien van de dr haar getrffen beveiliging vr de persnsgegevens. Deze wrdt p verzek verstrekt aan de Verantwrdelijke. Artikel 7. Meldplicht 1. Verantwrdelijke is te allen tijde verantwrdelijk vr het melden van een beveiligingslek en/f datalek (waarnder wrdt verstaan: een inbreuk p de beveiliging van persnsgegevens die leidt tt een kans p nadelige gevlgen, dan wel nadelige gevlgen heeft, vr de bescherming van persnsgegevens) aan de tezichthuder en/f betrkkenen. Om Verantwrdelijke in staat te stellen aan deze wettelijke plicht te vlden, stelt Bewerker de Verantwrdelijke binnen 48 uur nadat het lek bij hem bekend is gewrden p de hgte van het beveiligingslek en/f het datalek. 2. Een melding met altijd wrden gedaan, maar alleen als de gebeurtenis zich daadwerkelijk vrgedaan heeft. 3. De meldplicht behelst in ieder geval het melden van het feit dat er een lek is geweest. Daarnaast behelst de meldplicht: Wat de (vermeende) rzaak is van het lek Wat het (vralsng bekende en/f te verwachten) gevlg is Wat de (vrgestelde) plssing is Cntactgegevens vr de pvlging van de melding

4 Wie geïnfrmeerd is (zals betrkkene zelf, Verantwrdelijke, tezichthuder) Artikel 8. Afhandeling verzeken van betrkkenen 1. In het geval dat een betrkkene een verzek tt inzage, zals bedeld in artikel 35 Wbp, f verbetering, aanvulling, wijziging f afscherming, zals bedeld in artikel 36 Wbp, richt aan Bewerker, zal Bewerker het verzek drsturen aan Verantwrdelijke, en zal Verantwrdelijke het verzek verder afhandelen. Bewerker mag de betrkkene daarvan p de hgte stellen. Artikel 9. Geheimhuding en vertruwelijkheid 1. Op alle persnsgegevens die Bewerker van Verantwrdelijke ntvangt en/f zelf verzamelt in het kader van deze Bewerkersvereenkmst, rust een geheimhudingsplicht jegens derden. Bewerker zal deze infrmatie niet vr een ander del gebruiken dan waarvr zij deze heeft verkregen, zelfs niet wanneer deze in een zdanige vrm is gebracht zdat deze niet tt betrkkenen herleidbaar is. 2. Deze geheimhudingsplicht is niet van tepassing vr zver Verantwrdelijke uitdrukkelijke testemming heeft gegeven m de infrmatie aan derden te verschaffen, indien het verstrekken van de infrmatie aan derden lgischerwijs ndzakelijk is gezien de aard van de verstrekte pdracht en de uitvering van deze Bewerkersvereenkmst, f indien er een wettelijke verplichting bestaat m de infrmatie aan een derde te verstrekken. Artikel 10. Audit 1. Verantwrdelijke heeft het recht m audits uit te laten veren dr een nafhankelijke derde die aan geheimhuding is gebnden ter cntrle van naleving van de beveiligingseisen, naleving van de algemene regels rnd verwerking van persnsgegevens, en alles dat daar direct verband mee hudt. 2. Deze audit mag plaatsvinden bij een cncreet vermeden van misbruik van persnsgegevens. 3. Bewerker zal aan de audit meewerken en alle vr de audit redelijkerwijs relevante infrmatie, inclusief ndersteunende gegevens zals systeemlgs, en medewerkers z tijdig mgelijk ter beschikking stellen. 4. De bevindingen naar aanleiding van de uitgeverde audit zullen dr Bewerker wrden berdeeld en kunnen, naar eigen geddunken van Bewerker en p de wijze zals Bewerker zelf bepaalt, wrden drgeverd dr Bewerker. 5. De ksten van de audit wrden dr Bewerker gedragen indien er niet cnfrm de Bewerkersvereenkmst blijkt te zijn gewerkt, en/f er futen wrden gevnden in de bevindingen, die tegerekend meten wrden aan Bewerker. In ieder ander geval zullen de ksten van de Audit wrden gedragen dr Verantwrdelijke. Artikel 11. Aansprakelijkheid

5 1. De aansprakelijkheid van Bewerker vr schade als gevlg van een terekenbare tekrtkming in de nakming van de Bewerkersvereenkmst, dan wel uit nrechtmatige daad f anderszins, is uitgeslten. Vr zver vrnemde aansprakelijkheid niet kan wrden uitgeslten is deze per gebeurtenis (een reeks peenvlgende gebeurtenissen geldt als één gebeurtenis) beperkt tt de vergeding van directe schade, tt maximaal het bedrag van de dr Bewerker ntvangen vergedingen vr de werkzaamheden nder deze Bewerkersvereenkmst ver de maand vrafgaande aan de schadeverrzakende gebeurtenis. De aansprakelijkheid van Bewerker vr directe schade zal in ttaal nit meer bedragen dan , Onder directe schade wrdt uitsluitend verstaan alle schade bestaande uit: schade direct tegebracht aan stffelijke zaken ( zaakschade ); redelijke en aantnbare ksten m de Bewerker erte te manen de Bewerkersvereenkmst (weer) deugdelijk na te kmen; redelijke ksten ter vaststelling van de rzaak en de mvang van de schade vr zver betrekking hebbende p de directe schade zals hier bedeld is; en redelijke en aantnbare ksten die Verantwrdelijke heeft gemaakt ter vrkming f beperking van de directe schade zals in dit artikel bedeld. 3. De aansprakelijkheid van Bewerker vr indirecte schade is uitgeslten. Onder indirecte schade wrdt verstaan alle schade die geen directe schade is en daarmee in ieder geval, maar niet beperkt tt, gevlgschade, gederfde winst, gemiste besparingen, verminderde gdwill, schade dr bedrijfsstagnatie, schade dr het niet behalen van marketingdeleinden, schade verband hudende met het gebruik van dr Verantwrdelijke vrgeschreven gegevens f databestanden, f verlies, verminking f vernietiging van gegevens f databestanden. 4. De in dit artikel bedelde uitsluitingen en beperkingen kmen te vervallen indien en vr zver de schade het gevlg is van pzet f bewuste rekelsheid van Bewerker f haar bedrijfsleiding. 5. Tenzij nakming dr Bewerker blijvend nmgelijk is, ntstaat de aansprakelijkheid van Bewerker wegens terekenbare tekrtkming in de nakming van de Overeenkmst slechts indien Verantwrdelijke de Bewerker nverwijld schriftelijk in gebreke stelt, waarbij een redelijke termijn vr de zuivering van de tekrtkming wrdt gesteld, en Bewerker k na die termijn terekenbaar blijft tekrtschieten in de nakming van haar verplichtingen. De ingebrekestelling dient een z vlledig en gedetailleerd mgelijke mschrijving van de tekrtkming te bevatten, pdat Bewerker in de gelegenheid wrdt gesteld adequaat te reageren. 6. Iedere vrdering tt schadevergeding dr Verantwrdelijke tegen Bewerker die niet gespecificeerd en expliciet is gemeld, vervalt dr het enkele verlp van twaalf (12) maanden na het ntstaan van de vrdering. Artikel 12. Duur en beëindiging 1. Deze Bewerkersvereenkmst kmt tt stand dr elektrnische aanmelding p een Dienst f Aanvullende Dienst via bijvrbeeld de website van FTM Fld Management.

6 2. Deze Bewerkersvereenkmst is aangegaan vr de duur zals bepaald in de hfdvereenkmst tussen Partijen en bij gebreke daarvan in ieder geval vr de duur van de samenwerking. 3. Zdra de Bewerkersvereenkmst, m welke reden en p welke wijze dan k, is beëindigd, zal Bewerker alle persnsgegevens die bij haar aanwezig zijn deze en eventuele kpieën daarvan verwijderen en/f vernietigen. 4. Deze bewerkersvereenkmst mag wrden gewijzigd p dezelfde wijze als de Hfdvereenkmst.