Verwerkersovereenkomst

Transcriptie

1 Verwerkersvereenkmst Versie 1.0 (Nederlands) 21 januari 2018 De inhud van deze vereenkmst kmt vereen met de AVG-prf Standaard Mdel Verwerkersvereenkmst van de Nederlandse brancherganisatie Data Driven Marketing Assciatin (DDMA), waarin de belangen van zwel de adverteerders ( Verwerkingsverantwrdelijken ) als de dienstverleners ( Verwerkers ) zijn behartigd. 1 van 12

2 PARTIJEN: 1. U als klant en/f partner van Sptler Nederland B.V., specifiek en vlledig benemd p het tekenblad waarmee deze vereenkmst wrdt afgeslten, hierna te nemen Verwerkingsverantwrdelijke ; en 2. de beslten venntschap Sptler Nederland B.V., statutair gevestigd te Zetermeer en kantrhudende te (2719 DA) Zetermeer, aan de Bris Pasternaklaan 16, in deze vertegenwrdigd dr de heer M. Schüssler, hierna te nemen Verwerker. sluiten deze vereenkmst middels het nderteken dr Verwerkingsverantwrdelijke van het Tekenblad Versie V1.0 NL ( Tekenblad- ) welke nafscheidelijk nderdeel uitmaakt van deze vereenkmst. OVERWEGINGEN: I. Verwerkingsverantwrdelijke heeft met Verwerker een f meer vereenkmsten geslten tt het leveren van diverse diensten dr Verwerker aan Verwerkingsverantwrdelijke f zal een dergelijke vereenkmst sluiten. Deze vereenkmst f deze vereenkmsten gezamenlijk wrdt f wrden hierna als de Hfdvereenkmst aangeduid. II. Verwerker zal bij het uitveren van de Hfdvereenkmst gegevens verwerken waarvr Verwerkingsverantwrdelijke verantwrdelijk is en blijft. Tt die gegevens behren persnsgegevens in de zin van de Algemene Verrdening Gegevensbescherming (EU 2016/679), hierna de AVG. III. Partijen willen, gelet p het bepaalde in artikel 28 lid 3 AVG, de vrwaarden van de verwerking van deze persnsgegevens in deze vereenkmst vastleggen. OVEREENKOMST: 1 Tepassingsgebied 1.1 Deze vereenkmst is van tepassing vr zver bij het leveren van de diensten nder de Hfdvereenkmst een f meer verwerkingen plaatsvinden die zijn pgenmen in Bijlage 1. 2 van 12

3 1.2 De verwerkingen van Bijlage 1 die bij het leveren van de diensten plaatsvinden wrden hierna: de Verwerkingen genemd. De persnsgegevens die daarbij wrden verwerkt: de Persnsgegevens. 1.3 Met betrekking tt de Verwerkingen is Verwerkingsverantwrdelijke de verwerkingsverantwrdelijke en Verwerker de verwerker. De natuurlijke persnen die nder de Hfdvereenkmst feitelijk gebruik maken van de diensten van Verwerker en, eventueel, hun vertegenwrdigers, wrden hierna k als de Eindgebruikers aangeduid. 1.4 Alle begrippen in deze vereenkmst hebben de betekenis die daar in de AVG aan wrdt gegeven. 1.5 Indien meer en andere persnsgegevens in pdracht van Verwerkingsverantwrdelijke wrden verwerkt f indien anders wrdt verwerkt dan in dit artikel mschreven, geldt deze vereenkmst zveel mgelijk k vr die verwerkingen. 1.6 De bijlagen maken nderdeel uit van deze vereenkmst. Het gaat m: Bijlage 1 de Verwerkingen, de Persnsgegevens en de bewaartermijnen; Bijlage 2 de subverwerkers en/f categrieën van subverwerkers die Verwerkingsverantwrdelijke gedkeurt. 2 Onderwerp 2.1 Verwerkingsverantwrdelijke heeft en hudt vlledige zeggenschap ver de Persnsgegevens. Indien de Verwerkingsverantwrdelijke de Persnsgegevens niet zelf verwerkt met gebruikmaking van de systemen van Verwerker, verwerkt Verwerker uitsluitend p basis van schriftelijke instructies van Verwerkingsverantwrdelijke, nder meer met betrekking tt de eventuele drgifte van Persnsgegevens naar derde partijen buiten de Eurpese Unie. De Hfdvereenkmst geldt als een generieke instructie ter zake. 2.2 De Verwerkingen geschieden uitsluitend in het kader van de Hfdvereenkmst. Verwerker verwerkt Persnsgegevens niet anders dan in de Hfdvereenkmst vrzien. Met name gebruikt de Verwerker de Persnsgegevens niet vr eigen deleinden. 2.3 Verwerker verricht de Verwerkingen p behrlijke en zrgvuldige wijze. 3 van 12

4 3 Beveiligingsmaatregelen 3.1 Verwerker neemt alle technische en rganisatrische beveiligingsmaatregelen die p grnd van de AVG en in het bijznder p grnd van artikel 32 AVG van haar wrden geëist. 3.2 Verwerker draagt ervr zrg dat persnen, niet beperkt tt werknemers, die bij Verwerker deelnemen aan de Verwerkingen zijn gebnden aan een geheimhudingsverplichting ter zake van de Persnsgegevens. 4 Datalekken & Privacy Impact Assessment 4.1 Verwerker zal Verwerkingsverantwrdelijke p de hgte stellen van iedere inbreuk in verband met persnsgegevens als bedeld in artikel 4 sub 12 AVG. Z n inbreuk wrdt hierna: Datalek genemd. 4.2 Verwerker verschaft Verwerkingsverantwrdelijke tijdig alle infrmatie die zij bezit en die ndig is m aan de verplichtingen uit artikel 33 AVG te vlden. Verwerker verschaft de betreffende infrmatie verigens z snel mgelijk in een dr Verwerker te bepalen gangbaar frmaat. Dit hudt in dat Verwerker de Verwerkingsverantwrdelijke ver een Datalek nverwijld p de hgte brengt indien het duidelijk is dat dat Datalek waarschijnlijk een risic inhudt vr de rechten en vrijheden van natuurlijke persnen. Datalekken waarbij duidelijk is dat die geen risic inhuden vr de rechten en vrijheden van natuurlijke persnen kan Verwerker k nverwijld melden maar k p een later tijdstip mits dit znder nredelijke vertraging geschiedt. Indien er ruimte is vr twijfel mtrent de vraag f het al dan niet waarschijnlijk is dat een Datalek een risic inhudt vr de rechten en vrijheden van natuurlijke persnen, meldt Verwerker het Datalek altijd nverwijld aan de Verwerkingsverantwrdelijke. 4.3 Het is uitsluitend aan Verwerkingsverantwrdelijke te bepalen f een bij Verwerker gecnstateerd Datalek wrdt gemeld aan de Autriteit Persnsgegevens en/f aan betreffende betrkkenen. 4.4 Verwerker verleent de Verwerkingsverantwrdelijke, vr zver redelijkerwijs mgelijk en rekening hudend met de aard van de verwerkingen en de stand van de techniek, bijstand bij het vlden aan de verplichtingen uit artikel 35 en 36 AVG. 4 van 12

5 5 Inschakeling subverwerkers 5.1 Verwerker is niet gerechtigd bij de Verwerking een derde als subverwerker in te schakelen znder vrafgaande testemming van de Verwerkersverantwrdelijke. Die testemming kan k betrekking hebben p categrieën van subverwerkers. In dat geval infrmeert de Verwerker de Verwerkingsverantwrdelijke schriftelijk ver tevegingen f vervangingen van dr hem ingeschakelde subverwerkers. De Verwerkingsverantwrdelijke kan binnen 30 dagen daarna bezwaar maken tegen een specifieke subverwerker die Verwerker inschakelt. In dat geval kan Verwerker eventuele hgere ksten van de rsprnkelijke subverwerker bij Verwerkersverantwrdelijke in rekening brengen. 5.2 Indien Verwerkingsverantwrdelijke zijn testemming geeft, draagt Verwerker ervr zrg dat de betreffende derde een vereenkmst sluit waarin hij zich tenminste hudt aan dezelfde wettelijke verplichtingen en de eventuele aanvullende verplichtingen uit deze vereenkmst als die Verwerker heeft. Indien een subverwerker de aanvullende verplichtingen uit deze vereenkmst niet wenst te accepteren, kan Verwerkingsverantwrdelijke beslissen m vr de betreffende verwerkingen Verwerker van die aanvullende verplichtingen ntheffen pdat Verwerker tch de subverwerkingsvereenkmst kan sluiten. 5.3 Ingeval de testemming betrekking heeft p een bepaalde srt derden, licht Verwerker Verwerkingsverantwrdelijke in ver de dr hem ingeschakelde subverwerkers. Verwerkingsverantwrdelijke kan dan bezwaar maken tegen tevegingen f vervangingen met betrekking tt de subverwerkers van Verwerker. 5.4 Verwerkingsverantwrdelijke geeft hierbij testemming vr het inschakelen van de in Bijlage 2 pgenmen subverwerkers en/f categrieën van subverwerkers. 6 Geheimhudingsplicht 6.1 Verwerker hudt de Persnsgegevens geheim. Verwerker draagt ervr zrg dat de Persnsgegevens niet direct f indirect ter beschikking kmen van derden. Onder derden wrdt k het persneel van Verwerker begrepen vr zver het niet ndzakelijk is dat zij kennis nemen van de Persnsgegevens. Dit gebd geldt niet indien in deze vereenkmst anders is bepaald en/f vr zver een wettelijk vrschrift f vnnis tt enige bekendmaking verplicht. 6.2 Verwerker zal Verwerkingsverantwrdelijke p de hgte stellen van ieder verzek van een ander dan de betrkkenen tt kennisneming, verstrekking f andere vrm van 5 van 12

6 pvragen en mededeling van de Persnsgegevens, in strijd met de in dit artikel pgenmen geheimhudingsplicht tenzij de wet dat verbiedt. Verzeken van betrkkenen geeft Verwerker dr aan Verwerkingsverantwrdelijke f Verwerker verwijst betrkkenen naar Verwerkersverantwrdelijke. 7 Bewaartermijnen en wissen 7.1 Verwerkingsverantwrdelijke is verantwrdelijk vr het bepalen van de bewaartermijnen met betrekking tt de Persnsgegevens. Vr zver Persnsgegevens nder cntrle van de Verwerkingsverantwrdelijke zijn (bijvrbeeld in het geval van hsting diensten) wist hij die zelf tijdig. 7.2 Verwerker zal de Persnsgegevens binnen dertig dagen na het einde van de Hfdvereenkmst wissen f, naar keuze van de Verwerkingsverantwrdelijke, aan deze verdragen, tenzij de Persnsgegevens langer bewaard meten wrden, zals in het kader van (wettelijke) verplichtingen van Verwerker, dan wel indien Verwerkingsverantwrdelijke verzekt Persnsgegevens langer te bewaren en Verwerker en Verwerkingsverantwrdelijke ver de ksten en verige vrwaarden van dat langere bewaren vereenstemming bereiken, dit laatste nverminderd de verantwrdelijkheid van Verwerkingsverantwrdelijke de wettelijke bewaartermijnen in acht te nemen. Een eventuele verdracht aan de Verwerkingsverantwrdelijke geschiedt p ksten van de Verwerkingsverantwrdelijke. 7.3 Verwerker zal p verzek van Verwerkingsverantwrdelijke verklaren dat het wissen in het vrgaande lid bedeld heeft plaatsgevnden. Verwerkingsverantwrdelijke kan p eigen ksten een cntrle laten uitveren f dat inderdaad is gebeurd. Artikel 10 van deze vereenkmst is van tepassing p die cntrle. Verwerker zal vr zver ndig alle subverwerkers die betrkken zijn bij de verwerking van de Persnsgegevens p de hgte stellen van een beëindiging van de Hfdvereenkmst en zal hen instrueren te handelen zals hierin bepaald is. 7.4 Tenzij partijen anders afspreken, draagt Verwerkingsverantwrdelijke zelf zrg vr een back up van de Persnsgegevens. 6 van 12

7 8 Rechten van betrkkenen 8.1 Indien Verwerkingsverantwrdelijke zelf tegang heeft tt de Persnsgegevens vldet hij zelf aan alle verzeken van de betrkkenen met betrekking tt de Persnsgegevens. Verwerker zal eventueel dr Verwerker ntvangen verzeken nverwijld aan Verwerkingsverantwrdelijke drgeven. 8.2 Alleen vr zver het in het vrgaande lid bedelde niet mgelijk is, zal Verwerker zijn vlledige en tijdige medewerking verlenen aan Verwerkingsverantwrdelijke m: (i) na gedkeuring van en in pdracht van Verwerkingsverantwrdelijke betrkkenen tegang te laten krijgen tt de hun betreffende Persnsgegevens, (ii) Persnsgegevens te verwijderen f te crrigeren, (iii) aan te tnen dat Persnsgegevens verwijderd f gecrrigeerd zijn indien zij incrrect zijn (f, ingeval Verwerkingsverantwrdelijke het er niet mee eens is dat de Persnsgegevens incrrect zijn, het feit vast te leggen dat de betrkkene zijn Persnsgegevens als incrrect beschuwt) (iv) de betreffende Persnsgegevens aan Verwerkingsverantwrdelijke dan wel aan een dr de Verwerkingsverantwrdelijke aangewezen derde te verstrekken in een gestructureerde, gangbare en machineleesbare vrm en (v) Verwerkingsverantwrdelijke anderszins in de gelegenheid te stellen m aan zijn verplichtingen nder de AVG f aan andere tepasselijke wetgeving p het gebied van verwerking van de Persnsgegevens te vlden. 8.3 De ksten van en eisen aan de in het vrgaande lid genemde medewerking stellen partijen gezamenlijk vast. Znder een afspraak daarmtrent zijn de ksten vr de Verwerkingsverantwrdelijke. 9 Aansprakelijkheid 9.1 Verwerkingsverantwrdelijke draagt, nder meer, de verantwrdelijkheid en is uit dien hfde vlledig aansprakelijk vr (het gestelde del van) de Verwerkingen, het gebruik en de inhud van de Persnsgegevens, de verstrekking aan derden, de duur van de pslag van de Persnsgegevens, de wijze van verwerking en de daarte gehanteerde middelen. 9.2 Verwerker is jegens Verwerkingsverantwrdelijke aansprakelijk zals bepaald in de Hfdvereenkmst. 7 van 12

8 10 Cntrle 10.1 Verwerkingsverantwrdelijke heeft het recht de naleving van de bepalingen van deze vereenkmst eenmaal per jaar p eigen ksten te cntrleren f deze te laten cntrleren dr een nafhankelijke registeraccuntant f registerinfrmaticus Verwerker stelt de Verwerkingsverantwrdelijke alle infrmatie ter beschikking die ndig is m aan te tnen dat wrdt vldaan aan de verplichtingen in artikel 28 AVG. Indien de dr de Verantwrdelijke ingeschakelde derde een instructie geeft die naar mening van de Verwerker inbreuk plevert p de AVG dan stelt de Verwerker de Verantwrdelijke daarvan nmiddellijk in kennis Het nderzek van Verwerkingsverantwrdelijke zal zich altijd beperken tt de systemen van Verwerker die vr de Verwerkingen wrden gebruikt. Verwerkingsverantwrdelijke zal de bij de cntrle gevnden infrmatie geheim huden en alleen gebruiken m de naleving dr Verwerker van de verplichtingen uit deze vereenkmst te cntrleren en de infrmatie f delen daarvan z snel als kan wissen. Verwerkingsverantwrdelijke staat er vr in dat eventuele ingeschakelde derden deze verplichtingen k p zich nemen. 11 Overige bepalingen 11.1 Wijzigingen van deze vereenkmst zijn uitsluitend geldig indien deze tussen partijen schriftelijk zijn vereengekmen Partijen zullen deze vereenkmst aanpassen aan gewijzigde f aangevulde regelgeving, aanvullende instructies van de relevante autriteiten en vrtschrijdend inzicht in de tepassing van de AVG (bijvrbeeld dr, maar niet beperkt tt, jurisprudentie f rapprten), de intrductie van standaardbepalingen en/f andere gebeurtenissen f inzichten die een dergelijke aanpassing ndig maken Deze vereenkmst duurt zlang de Hfdvereenkmst duurt. De bepalingen van deze vereenkmst blijven gelden vr zver ndig vr de afwikkeling van deze vereenkmst en vr zver die bedeld zijn het einde van deze vereenkmst te verleven. Tt die laatste categrie bepalingen behren nder meer, znder daarte te zijn beperkt, de bepalingen mtrent geheimhuding en geschillen Deze vereenkmst prevaleert bven alle verige vereenkmsten tussen Verwerkingsverantwrdelijke en Verwerker. 8 van 12

9 11.5 Op deze vereenkmst is uitsluitend Nederlands recht van tepassing Partijen zullen hun geschillen verband hudende met deze vereenkmst uitsluitend vrleggen aan de Rechtbank Amsterdam. 9 van 12

10 Bijlage 1 Verwerkingen van persnsgegevens en bewaartermijnen Deze bijlage is nderdeel van de Verwerkersvereenkmst v1.0 (Nederlands). I. De Persnsgegevens die partijen verwachten te verwerken: Unieke referenties(s) (bijvrbeeld klantnummer) Vrletters, vrnaam, tussenvegsel, achternaam Straat, huisnummer, pstcde, wnplaats, land Bedrijfsnaam, bedrijfsnderdeel, afdeling Telefnnummer(s) adres Gebrtedatum Geslacht Functie / berep Typeringen (bijvrbeeld klant, prspect, bezeker) Achtergrnd, (lifestyle-) kenmerken (bijvrbeeld gezinssamenstelling, pleiding, wnsituatie) Interesses, vrkeuren, categrieën (bijvrbeeld taal, sprt, vakgebied) Gegevens met betrekking tt transacties / dnaties / aankpgeschiedenis / betalingen Permissies (pt-ins) Interacties (bijvrbeeld pen- en klikgedrag) Verwerkingsverantwrdelijke bepaalt uiteindelijk zelf welke persnsgegevens er wrden verwerkt binnen de diensten uit de Hfdvereenkmst. Een actueel verzicht van persnsgegevens is dr Verwerkingsverantwrdelijke te allen tijde te raadplegen na inlggen in het eigen accunt van de geleverde sftware van Verwerker. II. Het gebruik (= wijze(n) van verwerking) van de Persnsgegevens en de deleinden van en de middelen vr de verwerking: De persnsgegevens hebben betrekking p de natuurlijke persnen (betrkkenen) die: een relatie hebben met Verwerkingsverantwrdelijke (bijvrbeeld, maar niet beperkt tt: klanten, leden, bezekers, leads, prspects, dnateurs, gasten, medewerkers, cnsumenten, burgers); en/f zich hebben ingeschreven vr cmmunicatie-uitingen van Verwerkingsverantwrdelijke. De deleinden van de verwerkingen van persnsgegevens wrden bepaald dr Verwerkingsverantwrdelijke. Vrbeelden van deleinden zijn, maar beperken zich niet tt: marketing (-cmmunicatie), nderzek, wettelijke verplichtingen, klantenwerving, uitvering vereenkmst met betrkkenen. De verwerkingen wrden dr Verwerkingsverantwrdelijke f betrkkene zelfstandig uitgeverd met gebruikmaking van de systemen van Verwerker, tenzij anders vereen gekmen. Vrbeelden van verwerkingen zijn, maar beperken zich niet tt: verzamelen, 10 van 12

11 vastleggen, rdenen, segmenteren, filteren, structureren, pslaan, mailen (bijvrbeeld per f SMS), bijwerken f wijzigen, synchrniseren, verrijken, analyseren, pvragen, raadplegen, gebruiken, delen, verspreiden f p andere wijze ter beschikking stellen, aligneren f cmbineren, afschermen, wissen f vernietigen. III. De gebruiks- en bewaartermijnen van de (verschillende srten) Persnsgegevens: Verwerker zal de Persnsgegevens binnen dertig dagen na het einde van de Hfdvereenkmst wissen (zals genemd in art. 7.2 van deze vereenkmst). Daarnaast wrden persnsgegevens verwijderd indien Verwerkingsverantwrdelijke het recht p vergetelheid van betrkkene ten uitver brengt. 11 van 12

12 Bijlage 2 Categrieën van subverwerkers Deze bijlage is nderdeel van de Verwerkersvereenkmst v1.0 (Nederlands). In deze bijlage staat een verzicht van categrieën van subverwerkers zals genemd in art. 5.4 van deze vereenkmst. Verwerker kan, afhankelijk van de te leveren diensten, bij de Verwerking gebruik maken van de vlgende categrieën van subverwerkers: SMS-prvider Supprt sftware Clud prvider Een telichting p deze categrieën, inclusief de bijbehrende specifieke subverwerkers, is dr Verwerkingsverantwrdelijke te allen tijde te raadplegen na inlggen in het eigen accunt van de geleverde sftware van Verwerker. 12 van 12