Model Bewerkersovereenkomst Versie 2.0

Transcriptie

1 Mdel Bewerkersvereenkmst Versie 2.0 Deze Mdel Bewerkersvereenkmst is een bijlage bij het Cnvenant Digitale Onderwijsmiddelen en Privacy (hierna: het Cnvenant) afgeslten tussen de PO-Raad, VO-raad en de brancherganisaties van educatieve uitgeverij (GEU), distributeurs van leermiddelen (leden van sectie educatief van de Kninklijke Bekverkpersbnd) en digitale dienstverleners in het nderwijs-ict (VDOD). De uitgangspunten van deze Mdel Bewerkersvereenkmst sluiten aan bij de bepalingen in het Cnvenant, de Wet bescherming persnsgegevens (hierna: Wbp), en de uitgangspunten zals in jurisprudentie en de tezichthuder de Autriteit Persnsgegevens deze in richtsneren en uitspraken heeft aangegeven. De mdel bewerkersvereenkmst versie 2016 is de pvlger van de mdel bewerkersvereenkmst die in 2015 in het kader van het Cnvenant Digitale Onderwijsmiddelen en Privacy, leermiddelen en tetsen is pgesteld. De versie 2.0 ziet naast het gebruik van leermiddelen en tetsen k p Schl- en Leerlinginfrmatiemiddelen. Daarnaast is de vereenkmst p nderdelen bijgesteld naar aanleiding van recente ntwikkelingen in wet- en regelgeving, waarnder de wijziging van de Wbp in verband met de meldplicht datalekken. De nieuwe Mdel Bewerkersvereenkmst 2.0 kmt in de plaats van de Mdel Bewerkersvereenkmst uit Reeds afgeslten bewerkersvereenkmsten p basis van het ude mdel uit 2015 blijven in beginsel hun gelding huden ttdat deze bewerkersvereenkmsten dr partijen wrden beëindigd en aansluitend wrden pgevlgd dr een nieuwe bewerkersvereenkmst p basis van de nieuwe Mdel Bewerkersvereenkmst 2.0. In het Cnvenant is afgesprken dat Onderwijsinstellingen en Ketenpartijen dit mdel gebruiken bij het maken van afspraken. Indien geen gebruik kan wrden gemaakt van (nderdelen van) de Mdel Bewerkersvereenkmst, dan kan daar alleen gemtiveerd en schriftelijk van wrden afgeweken. Gezien het aantal bepalingen dat fwel wettelijk is vrgeschreven, f waarvan de Autriteit Persnsgegevens aangeeft dat deze in de bewerkersvereenkmst meten wrden pgenmen, is de ruimte vr afwijking van de bepalingen in het mdel beperkt. Deze Mdel Bewerkersvereenkmst bevat twee bijlagen: 1. In de Privacy Bijsluiter (Bijlage 1) wrdt een beschrijving gegeven van de dienstverlening, prducteigenschappen en welke categrieën Persnsgegevens wrden verwerkt en nder welke deleinden deze verwerkingen vallen. 2. In de Technische en Organisatrische Maatregelen (Bijlage 2) wrdt mschreven welke beveiligingsmaatregelen er wrden getrffen. De beveiliging dient een cntinu punt van aandacht en zrg te blijven Infrmatie ver het Cnvenant en de mdel bewerkersvereenkmst is te vinden p de website Meer infrmatie en antwrden p vragen ver privacy en de wettelijke rechten en verplichtingen vr Onderwijsinstellingen zijn te vinden p de websites van de sectrraden PO-Raad en VO-raad en bij Kennisnet. Juni 2016 Mdelbewerkersvereenkmst Digitale nderwijsmiddelen en privacy versie juni

2 Partijen: en 1. Het bevegd gezag van <naam + rechtsvrm nderwijsinstelling>, geregistreerd nder BRIN-nummer <brin> bij de Dienst Uitvering Onderwijs van het Ministerie van Onderwijs, gevestigd en kantrhudende aan <adres>, te (<pstcde>) <plaats>, te dezen rechtsgeldig vertegenwrdigd dr <functie + naam>, hierna te nemen: Onderwijsinstelling. 2. De beslten venntschap <Naam> B.V., gevestigd en kantrhudende aan <adres>, te (<pstcde>) <plaats>, te dezen rechtsgeldig vertegenwrdigd dr <functie + naam>, hierna te nemen: Bewerker hierna gezamenlijk te nemen: Partijen, f afznderlijk: Partij Overwegen het vlgende: a. Onderwijsinstelling en Bewerker zijn een vereenkmst aangegaan waarbij <cncrete mschrijving van de dr Bewerker in pdracht van Onderwijsinstelling te leveren prducten/diensten>, ( de Prduct- en Dienstenvereenkmst ). Deze Prduct- en Dienstenvereenkmst leidt erte dat Bewerker in pdracht van Onderwijsinstelling Persnsgegevens verwerkt. b. Partijen wensen, mede gelet p het bepaalde in artikel 14 Wet bescherming persnsgegevens, in deze Bewerkersvereenkmst hun wederzijdse rechten en verplichtingen vr de Verwerking van Persnsgegevens vast te leggen. Kmen het vlgende vereen: Artikel 1: Definities In deze Bewerkersvereenkmst wrdt verstaan nder: a. Betrkkene, Bewerker, Derde, Persnsgegevens, Verwerking van Persnsgegevens, en Verantwrdelijke: de begrippen zals gedefinieerd in artikel 1 van de Wbp; b. Bewerkersvereenkmst: deze Bewerkersvereenkmst, inclusief Bijlagen; c. Bijlage: een bijlage bij deze Bewerkersvereenkmst, welke daarvan een nlsmakelijk deel uitmaakt; d. Cnvenant: het Cnvenant Digitale Onderwijsmiddelen en Privacy; e. Datalek: een inbreuk p de beveiliging, zals bedeld in artikel 13 Wbp, die leidt tt de aanzienlijke kans p ernstig nadelige gevlgen, dan wel ernstig nadelige gevlgen heeft vr de bescherming van persnsgegevens, zals bedeld in artikel 34a, lid 1, Wbp; f. Digitaal Onderwijsmiddel: Leermiddelen en Tetsen, en Schl- en Leerlinginfrmatiemiddelen; g. Leermiddelen en Tetsen: digitaal prduct en/f digitale dienst bestaande uit leerstf en/f tetsen en de daarmee samenhangende digitale diensten, gericht p nderwijsleersituaties, ten beheve van het geven van nderwijs dr f namens Onderwijsinstellingen; h. Schl- en Leerlinginfrmatiemiddelen: een digitaal prduct en/f digitale dienst ten beheve van het nderwijs(prces), zals een leerling administratiesysteem, Mdelbewerkersvereenkmst Digitale nderwijsmiddelen en privacy versie juni

3 rstersysteem, uderprtaal, leerling- en udercmmunicatiesysteem, een elektrnische leermgeving en een leerling vlgsysteem; i. Privacy Bijsluiter: de privacy bijsluiter zals pgenmen in Bijlage 1; j. Prduct- en Dienstenvereenkmst: de vereenkmst tussen Onderwijsinstelling en Bewerker, zals mschreven in verweging a; k. Mdel Bewerkersvereenkmst: het mdel vr een bewerkersvereenkmst die als bijlage is bijgevegd bij het Cnvenant; l. Subbewerker: de partij die dr Bewerker wrdt ingeschakeld als Bewerker ten beheve van de Verwerking van de Persnsgegevens in het kader van deze Bewerkersvereenkmst en de Prduct- en Dienstenvereenkmst; m. Wbp: Wet bescherming persnsgegevens. Artikel 2: Onderwerp en pdracht Bewerkersvereenkmst 1. Deze Bewerkersvereenkmst is van tepassing p de Verwerking van Persnsgegevens in het kader van de uitvering van de Prduct- en Dienstenvereenkmst. 2. De Onderwijsinstelling verstrekt aan de Bewerker de pdracht tt Verwerking van Persnsgegevens ten beheve van de uitvering van de Prduct- en Dienstenvereenkmst. Artikel 3: Rlverdeling 1. Onderwijsinstelling is ten aanzien van de in diens pdracht uit te veren Verwerkingen van Persnsgegevens de Verantwrdelijke. Bewerker is bewerker in de zin van de Wbp. De Onderwijsinstelling heeft en hudt zelfstandige zeggenschap ver het del en de middelen van de Verwerking van de Persnsgegevens. 2. Bewerker draagt er zrg vr dat de Onderwijsinstelling vrafgaande aan het sluiten van deze Bewerkersvereenkmst tereikend wrdt geïnfrmeerd ver de dienst(en) die de Bewerker verleent, en de uit te veren Verwerkingen. De gegeven infrmatie met de Onderwijsinstelling in staat stellen een keuze te maken met betrekking tt de aangebden diensten als zdanig, en daarnaast een afznderlijke keuze te maken vr eventueel aangebden ptinele diensten. 3. De in lid 2 bedelde diensten, waarnder eventuele ptinele diensten, meten in de Privacy Bijsluiter bij deze Bewerkersvereenkmst in begrijpelijke taal zijn beschreven, waarna de Onderwijsinstelling geïnfrmeerd akkrd kan gaan met de afname van deze dienst(en). 4. De Onderwijsinstelling kan verplicht zijn de Verwerking van de Persnsgegevens te melden bij de Autriteit Persnsgegevens. De Onderwijsinstelling nderzekt f zij hiervan is vrijgesteld en det melding bij de Autriteit Persnsgegevens indien zij hierte verplicht is. 5. Onderwijsinstelling en Bewerker verstrekken elkaar ver en weer alle bendigde infrmatie teneinde een gede naleving van de relevante privacywet- en regelgeving mgelijk te maken. Artikel 4: Privacy cnvenant Mdelbewerkersvereenkmst Digitale nderwijsmiddelen en privacy versie juni

4 1. Partijen nderschrijven de bepalingen in het Cnvenant Digitale Onderwijsmiddelen en Privacy. Artikel 5: Gebruik Persnsgegevens 1. Bewerker verplicht zich m de van Onderwijsinstelling verkregen Persnsgegevens niet vr andere deleinden f p andere wijze te gebruiken dan vr het del, en de wijze waarvr, de gegevens zijn verstrekt f aan hem bekend zijn gewrden. Het is Bewerker derhalve niet tegestaan andere gegevensverwerkingen uit te veren dan dr de Onderwijsinstelling (mndeling, schriftelijk dan wel elektrnisch) aan Bewerker zijn pgedragen. Deze verplichting geldt zwel gedurende de lptijd van deze vereenkmst als na aflp daarvan. 2. Een verzicht van de categrieën Persnsgegevens en gebruik waarvr de Persnsgegevens wrden verwerkt, is uiteengezet in de Privacy Bijsluiter bij deze Bewerkersvereenkmst. 3. De Bewerker dient in de Privacy Bijsluiter aan te geven f de Privacy Bijsluiter ziet p een Leermiddel en Tets en/f Schl- en Leerlinginfrmatiemiddel. Bewerker specificeert in de Privacy Bijsluiter vr welke (in het Cnvenant pgenmen) deleinden persnsgegevens wrden verwerkt bij het gebruik zijn prduct en/f dienst, en welke categrieën Persnsgegevens daarbij wrden verwerkt. Indien aangegeven in de telichting in de Privacy Bijsluiter, dient de Bewerker tevens aan te geven nder welke van de in het Cnvenant mschreven deleinden bij het gebruik van het prduct en/f de dienst de Verwerking van Persnsgegevens plaatsvindt. 4. Bewerker nthudt zich van verstrekking van Persnsgegeven aan een Derde, tenzij deze uitwisseling plaatsvindt in pdracht van de Onderwijsinstelling f wanneer dit ndzakelijk is m te vlden aan een p de Bewerker rustende wettelijke verplichting. In geval van een wettelijke verplichting, verifieert Bewerker vrafgaande de verstrekking de grndslag van het verzek en de identiteit van de verzeker. Daarnaast infrmeert Bewerker de Onderwijsinstelling indien wettelijk tegestaan - nmiddellijk, z mgelijk vrafgaand aan de verstrekking. 5. SPECIFIEKE BEPALING IN GEVAL VAN UITWISSELING VAN HET ONDERWIJSKUNDIG RAPPORT: In aanvulling p het bepaalde in lid 4, geldt dat indien Bewerker wrdt verzcht Persnsgegevens te verstrekken aan een dr Onderwijsinstelling aangewezen en geselecteerde Derde, zijnde een andere nderwijsinstelling, de Bewerker slechts tt die verstrekking zal vergaan nadat deze nderwijsinstelling zijn administratieve nderwijsidentiteit (bijvrbeeld BRIN f OiN), vr zver hij daarver beschikt, kenbaar heeft gemaakt. 6. [SPECIFIEKE BEPALING IN GEVAL VAN DISTRIBUTIE VAN LEERMIDDELEN: Partijen zullen jaarlijks bij het pstellen van de leermiddelenlijsten vr het eerstvlgende schljaar, welke leermiddelenlijsten ten beheve van de uitvering van de Prduct- en Dienstenvereenkmst wrden pgesteld, de Privacy Bijsluiter aanvullen en/f wijzigen dr het pnemen van de categrieën Persnsgegevens en het gebruik dat van deze Persnsgegevens wrdt gemaakt, met betrekking tt de (digitale) leermiddelen die p de desbetreffende leermiddelenlijsten wrden pgenmen.] Artikel 6: Geheimhuding Mdelbewerkersvereenkmst Digitale nderwijsmiddelen en privacy versie juni

5 1. Bewerker zrgt er vr dat een ieder, waarnder haar werknemers, vertegenwrdigers en/f Subbewerkers, die betrkken zijn bij de Verwerking van de Persnsgegevens deze gegevens als vertruwelijk behandelt. Bewerker bewerkstelligt dat vr een ieder die betrkken is bij de Verwerking van de Persnsgegevens een geheimhudingsvereenkmst f beding is geslten. 2. De in dit artikel bedelde geheimhudingsplicht geldt niet vr zver Onderwijsinstelling uitdrukkelijk testemming heeft gegeven m de Persnsgegevens aan een Derde te verstrekken, indien het verstrekken van de Persnsgegevens aan een Derde ndzakelijk is gezien de aard van de dr Bewerker aan Onderwijsinstelling te verlenen diensten, f indien er een wettelijke verplichting bestaat m de Persnsgegevens aan een Derde te verstrekken. Artikel 7: Beveiliging en cntrle 1. Bewerker zal, gelijk de Onderwijsinstelling, zrg dragen vr passende technische en rganisatrische maatregelen m Persnsgegevens te beveiligen tegen verlies f enige vrm van nrechtmatige Verwerking. Deze maatregelen zullen, met inachtneming van de stand van de techniek en de ksten gemeid met de implementatie en de uitvering van de maatregelen, een passend beschermingsniveau verzekeren, zulks met inachtneming van de risic s die het verwerken van Persnsgegevens, en de aard daarvan, meebrengen. 2. De maatregelen zals genemd in artikel 7.1 mvatten in ieder geval: a. maatregelen m te waarbrgen dat enkel bevegd persneel tegang heeft tt de Persnsgegevens die in het kader van de Bewerkersvereenkmst wrden verwerkt; b. maatregelen m de Persnsgegevens te beschermen tegen met name npzettelijke f nrechtmatige vernietiging, verlies, npzettelijke wijziging, nbevegde f nrechtmatige pslag, tegang f penbaarmaking; c. maatregelen m zwakke plekken te identificeren ten aanzien van de Verwerking van Persnsgegevens in de systemen die wrden ingezet vr het verlenen van diensten aan de Onderwijsinstelling; d. een passend infrmatiebeveiligingsbeleid vr de Verwerking van de Persnsgegevens. 3. Bewerker zal de dr haar getrffen infrmatiebeveiligingsmaatregelen evalueren en verscherpen, aanvullen f verbeteren vr zver de eisen f (technlgische) ntwikkelingen daarte aanleiding geven. 4. In Bijlage 2 wrden de afspraken tussen Partijen vastgelegd ver de technische en rganisatrische beveiligingsmaatregelen, alsmede ver de inhud en de frequentie van de rapprtages die Bewerker aan de Onderwijsinstelling plevert ver de beveiligingsmaatregelen. Deze maatregelen liggen in het verlengde van de beveiligingsmaatregelen die de Onderwijsinstelling met treffen. 5. De Bewerker stelt de Onderwijsinstelling in staat m te kunnen vlden aan zijn wettelijke verplichting m tezicht te huden p de naleving dr de Bewerker van de technische en rganisatrische beveiligingsmaatregelen alsmede p de naleving van de in artikel 8 genemde verplichtingen ten aanzien van Datalekken. Naast rapprtages dr de Bewerker kan dat aan de hand van, maar niet beperkt tt, een geldige certificering f een gelijkwaardig cntrle- f bewijsmiddel. Mdelbewerkersvereenkmst Digitale nderwijsmiddelen en privacy versie juni

6 6. In aanvulling p artikel 7, lid 4 heeft de Onderwijsinstelling te allen tijde het recht m, in verleg met de Bewerker en met inachtneming van een redelijke termijn, p eigen ksten, de dr Bewerker genmen technische en rganisatrische beveiligingsmaatregelen te laten tetsen dr een nafhankelijke Register EDP auditr. Partijen kunnen in nderling verleg afspreken dat de audit wrdt uitgeverd dr een dr Bewerker in te schakelen gecertificeerde en nafhankelijke auditr die een derden-verklaring (TPM) afgeeft. De Onderwijsinstelling wrdt geïnfrmeerd ver de uitkmsten van de audit. Artikel 8: Datalekken 1. Bewerker heeft een passend beleid vr de mgang met Datalekken. 2. Indien Onderwijsinstelling dan wel Bewerker een Datalek vaststelt, dan zal deze de andere Partij nverwijld infrmeren. Bewerker verstrekt ingeval van een Datalek alle relevante infrmatie aan Verantwrdelijke met betrekking tt het Datalek, waarnder infrmatie ver eventuele ntwikkelingen rnd het Datalek, en de maatregelen die de Bewerker treft m aan zijn kant de gevlgen van het Datalek te beperken en herhaling te vrkmen. Aanvullend infrmeren Partijen elkaar nverwijld indien blijkt dat de inbreuk p de beveiliging waarschijnlijk ngunstige gevlgen zal hebben vr de persnlijke levenssfeer van Betrkken zals bedeld in artikel 34a, lid 2, Wbp. 3. Bewerker stelt bij een Datalek de Verantwrdelijke in staat m passende vervlgstappen te (laten) nemen ten aanzien van het Datalek Bewerker dient hierbij aansluiting te zeken bij de bestaande prcessen die Verantwrdelijke daarte heeft ingericht. Partijen nemen z spedig mgelijk alle redelijkerwijs bendigde maatregelen m (verdere) schending f inbreuken betreffende de Verwerking de Persnsgegevens, en meer in het bijznder (verdere) schending van de Wbp f andere regelgeving betreffende de Verwerking van de Persnsgegevens, te vrkmen f te beperken. 4. In geval van een Datalek, vldet Onderwijsinstelling aan eventuele wettelijke meldingsplichten. Partijen kunnen in nderling verleg bepalen f, en z ja he, Bewerker een melding aan de Autriteit Persnsgegevens kan verrichten. Op verzek van de Onderwijsinstelling kan Bewerker Onderwijsinstelling hierbij bijstaan en adviseren. De Onderwijsinstelling zal de Betrkkenen, indien wettelijk vereist, infrmeren ver een dergelijke inbreuk. Partijen zullen te geder truw in nderling verleg afspraken maken ver de redelijke verdeling van de eventuele ksten die verbnden zijn aan het vlden aan de meldingsplichten. 5. Over incidenten met betrekking tt de beveiliging, anders dan een Datalek, die vallen buiten het bereik van artikel 1 sub e, infrmeert de Bewerker de Onderwijsinstelling cnfrm de afspraken zals neergelegd in Bijlage 2. Artikel 9: Prcedure rechten betrkkenen 1. Een klacht f verzek van een Betrkkene met betrekking tt de Verwerking van de Persnsgegevens wrdt dr de Bewerker nverwijld drgestuurd naar de Onderwijsinstelling, die verantwrdelijk is vr de afhandeling van het verzek. 2. Bewerker verleent Onderwijsinstelling vr zver redelijkerwijs mgelijk - vlledige medewerking m binnen de wettelijke termijnen te vlden aan de verplichtingen p grnd van de Wbp, meer in het bijznder de rechten van Betrkkenen zals een verzek Mdelbewerkersvereenkmst Digitale nderwijsmiddelen en privacy versie juni

7 m inzage, verbetering, aanvulling, verwijdering f afscherming van Persnsgegevens. Partijen zullen te geder truw verleggen ver de redelijke verdeling van de eventuele ksten die hiermee gemeid zijn. Artikel 10: Verwerking buiten de Eurpese Ecnmische Ruimte 1. Partijen zien er p te dat vr zver Persnsgegevens buiten de Eurpese Ecnmische Ruimte (verder: EER) wrden Verwerkt, dit alleen plaatsvindt cnfrm wettelijke vrschriften, en eventuele verplichtingen die in dit verband p Onderwijsinstellingen rusten. Indien gegevens buiten de EER wrden verwerkt wrdt dit in Bijlage 1 aangegeven, inclusief een pgave van de landen waar de gegevens wrden verwerkt. Artikel 11: Inschakeling Subbewerker 1. Bewerker kan een Subbewerker inschakelen, van wie de identiteit en vestigingsgegevens zullen wrden pgenmen in de Privacy Bijsluiter. 2. Bewerker verplicht iedere Subbewerker cntractueel de geheimhudingsverplichtingen, meldingsverplichtingen en beveiligingsmaatregelen na te leven met betrekking tt de Verwerking van Persnsgegevens welke verplichtingen en maatregelen minimaal dienen te vlden aan het bepaalde in deze Bewerkersvereenkmst. 3. Bewerker verplicht iedere Subbewerker cntractueel m Persnsgegevens niet verder te verwerken anders dan in het kader van deze Bewerkersvereenkmst is vereengekmen. Artikel 12: Bewaartermijnen en vernietiging Persnsgegevens 1. Onderwijsinstelling zal Bewerker adequaat infrmeren ver (wettelijke) bewaartermijnen die van tepassing zijn p de Verwerking van Persnsgegevens dr Bewerker. Bewerker zal de Persnsgegevens niet langer Verwerken dan vereenkmstig deze bewaartermijnen. 2. Onderwijsinstelling verplicht Bewerker m de in pdracht van Onderwijsinstelling Verwerkte Persnsgegevens bij de beëindiging van de Bewerkersvereenkmst te (den) vernietigen, tenzij de Persnsgegevens langer bewaard meten wrden, zals in het kader van (wettelijke) verplichtingen, dan wel p verzek van de Onderwijsinstelling. De Onderwijsinstelling kan p eigen ksten een cntrle laten uitveren f vernietiging heeft plaatsgevnden. 3. Bewerker zal Onderwijsinstelling (schriftelijk f elektrnisch) bevestigen dat vernietiging van de Verwerkte persnsgegevens heeft plaatsgevnden. 4. Bewerker zal alle Subbewerkers die betrkken zijn bij de Verwerking van de Persnsgegevens p de hgte stellen van een beëindiging van de Bewerkersvereenkmst en zal waarbrgen dat alle Subbewerkers de Persnsgegevens (laten) vernietigen. Artikel 13: Tegenstrijdigheid en wijziging Bewerkersvereenkmst 1. In het geval van tegenstrijdigheid tussen de bepalingen uit deze Bewerkersvereenkmst en de bepalingen van de Prduct- en Dienstenvereenkmst, dan zullen de bepalingen van deze Bewerkersvereenkmst leidend zijn. Mdelbewerkersvereenkmst Digitale nderwijsmiddelen en privacy versie juni

8 2. Indien Partijen van de artikelen in de Mdel Bewerkersvereenkmst dr mstandigheden meten afwijken, f deze willen aanvullen, dan zullen deze wijzigingen en/f aanvullingen dr Partijen wrden beschreven en gemtiveerd in een verzicht dat als Bijlage 3 aan deze Bewerkersvereenkmst zal wrden gehecht. Het bepaalde in dit lid geldt niet vr aanvullingen en/f wijzigingen van de Bijlagen 1 en Bij belangrijke wijzigingen in het prduct en/f de (aanvullende) diensten die van invled zijn p de Verwerking van de Persnsgegevens wrdt, alvrens de Onderwijsinstelling de keuze hierte aanvaardt, de Onderwijsinstelling in begrijpelijke taal geïnfrmeerd ver de cnsequenties van deze wijzigingen. Onder belangrijke wijzigingen wrdt in ieder geval verstaan: de teveging f wijziging van een functinaliteit die leidt tt een uitbreiding ten aanzien van de te Verwerken Persnsgegevens, de deleinden waarnder de Persnsgegevens wrden Verwerkt en het inschakelen van een (andere) Subbewerker. De wijzigingen zullen in Bijlage 1 wrden pgenmen. 4. Wijzigingen in de artikelen van de Bewerkersvereenkmst kunnen uitsluitend in gezamenlijkheid wrden vereengekmen. 5. In het geval enige bepaling van deze Bewerkersvereenkmst nietig, vernietigbaar f anderszins niet afdwingbaar is f wrdt, blijven de verige bepalingen van deze Bewerkersvereenkmst vlledig van kracht. Partijen zullen in dat geval met elkaar in verleg treden m de nietige, vernietigbare f anderszins niet afdwingbare bepaling te vervangen dr een uitverbare alternatieve bepaling. Daarbij zullen partijen zveel mgelijk rekening huden met het del en de strekking van de nietige, vernietigde f anderszins niet afdwingbare bepaling. Artikel 14: Duur en beëindiging 1. De lptijd van deze Bewerkersvereenkmst is gelijk aan de lptijd van de tussen Partijen geslten Prduct- en Dienstenvereenkmst, inclusief eventuele verlengingen daarvan. 2. Deze Bewerkersvereenkmst eindigt van rechtswege bij de beëindiging van de Prducten Dienstenvereenkmst. De beëindiging van deze Bewerkersvereenkmst zal Partijen niet ntslaan van hun verplichtingen die vrtvleien uit deze Bewerkersvereenkmst die naar hun aard wrden geacht k na beëindiging vrt te duren. Mdelbewerkersvereenkmst Digitale nderwijsmiddelen en privacy versie juni

9 BIJLAGE 1: PRIVACY BIJSLUITER [naam prduct/dienst] Schlen maken in tenemende mate gebruik van digitale tepassingen binnen het nderwijs. Bij het gebruik en levering van deze prducten en diensten zijn gegevens ndig die te herleiden zijn tt persnen (zals leerlingen). Schlen meten met Bewerkers afspraken maken ver het gebruik van die Persnsgegevens. Deze bijsluiter geeft schlen infrmatie ver de dienstverlening die bewerker verleent en welke persnsgegevens de Bewerker daarbij verwerkt. Alles bij elkaar eigenlijk ver de vraag wie, wat, waar, waarm en he wrdt mgegaan met de privacy van de betrkken persnen wiens gegevens wrden uitgewisseld. Het gebruik van deze Privacy Bijsluiter helpt Onderwijsinstellingen m beter te begrijpen wat de werking van het prduct en/f dienst is en welke gegevens daarvr wrden uitgewisseld. In het kader van de herkenbaarheid is het wenselijk dat Bewerkers z veel mgelijk p unifrme wijze gebruik maken van de Privacy Bijsluiter. Afwijkingen van dit mdel zijn weliswaar mgelijk, maar dienen bij vrkeur beperkt te blijven. Indien de ruimte in deze bijlage nvldende is m de bendigde infrmatie te beschrijven, is het mgelijk de infrmatie p te nemen in separate Bijlage(n), welke als vlgt genummerd wrden: Bijlage 1A, Bijlage 1B, etc.. Deze Bijlagen wrden aan de Bewerkersvereenkmst gehecht. A. Algemene infrmatie Naam prduct en/f dienst : Naam Bewerker en vestigingsgegevens : Beknpte uitleg en werking prduct en dienst : Link naar leverancier en/f prductpagina : Delgrep (zals PO/VO, nderbuw/bvenbuw) : Gebruikers : leerlingen/uders/verzrgers/dcenten B. De specifieke diensten Omschrijving van de specifiek verleende diensten en bijbehrende Verwerkingen 1. Verwerkingen die een nlsmakelijk nderdeel vrmen van de aangebden dienst. a. [.] b. [.] [.] 2. Omschrijving van de ptinele Verwerkingen die de bewerker aanbiedt Telichting: Het gaat hier m aanvullende diensten en bijhrende Verwerkingen die geen nlsmakelijk nderdeel vrmen van de aangebden dienst. Dit zijn bijvrbeeld ptinele diensten vr de Onderwijsinstelling die behulpzaam kunnen zijn vr de Onderwijsinstelling t.b.v. het primaire (leer)prces en administratieve werkzaamheden De Onderwijsinstelling dient een keuze te maken (pdracht te geven) vr het afnemen van deze diensten. Dat kan dr de keuze schriftelijk aan te geven in deze bijlage (bijvrbeeld dr het aanvinken van een tick-bx ). Instemming kan k plaatsvinden drdat de Onderwijsinstelling in de praktijk de dienst activeert, bijvrbeeld dr een prduct f dienst aan f uit zetten. De Onderwijsinstelling die p deze wijze de Mdelbewerkersvereenkmst Digitale nderwijsmiddelen en privacy versie juni

10 keuze maakt, dient dit p basis van eerder verstrekte infrmatie (zals bijvrbeeld pgenmen in deze bijsluiter) te kunnen den. a. [.] b. [.] [.] C. Deleinden vr het verwerken van gegevens De Bewerker dient in deze Bijsluiter expliciet aan te geven f deze: I. leverancier is van een digitaal prduct en/f digitale dienst bestaande uit leerstf en/f tetsen, f II. (tevens) leverancier is van een Schl- en Leerlinginfrmatiemiddel. Ad I. Indien de Bewerker leverancier is van een digitaal prduct en/f digitale dienst bestaande uit Leermiddelen en Tetsen, dan zijn de mgelijke delstellingen van deze prducten en diensten mschreven in het daarp betrekking hebbende nderdeel van artikel 5 lid 1 van het Cnvenant Digitale Onderwijsmiddelen en Privacy 2.0. Deze heven in deze Bijsluiter verder niet benemd te wrden. Ad II. (Alleen) indien de bewerker (tevens) leverancier is van een digitaal prduct en/f digitale dienst bestaande uit een Schl- en Leerlinginfrmatiemiddel dan dient in deze Privacy Bijsluiter expliciet te wrden aangegeven vr welke deleinden er Persnsgegevens wrden verwerkt bij het gebruik van het prduct en/f de dienst. De Bewerker dient hierbij z veel mgelijk aansluiting te zeken bij de in artikel 5 lid 2 van het Cnvenant Digitale Onderwijsmiddelen en Privacy 2.0 pgenmen lijst met deleinden. D. Categrieën en srten persnsgegevens Omschrijving en psmming categrieën Persnsgegevens die gebruikt wrden: Eventuele ptinele Persnsgegevens (die wrden niet standaard gevraagd en pgeslagen): Srten van gegevens (zals bijzndere gegevens, f financiële gegevens): E. Algemene infrmatie ver getrffen beveiligingsmaatregelen: Vr de genmen veiligheidsmaatregelen wrdt krtheidshalve verwezen naar Bijlage 2 bij de Bewerkersvereenkmst. Specifieke beveiligingsmaatregelen vr deze dienst/prduct [indien van tepassing]: Eventuele certificeringen: Audits/derden-verklaringen: Plaats/Land van pslag en Verwerking van de Persnsgegevens: F. Subbewerkers Bewerker maakt vr dienst/prduct gebruik van de vlgende Subbewerkers: [partijnaam, beknpte mschrijving taak/dienst waaruit blijkt welke infrmatie wrdt Verwerkt dr deze Subbewerker] Mdelbewerkersvereenkmst Digitale nderwijsmiddelen en privacy versie juni

11 Plaats/Land van pslag en Verwerking van de Persnsgegevens (indien de Persnsgegevens buiten de EER wrden verwerkt wrdt apart pgave gedaan van de landen waar de Persnsgegevens wrden verwerkt). G. Cntactgegevens Vr vragen f pmerkingen ver deze bijsluiter f de werking van dit prduct f deze dienst, kunt u terecht bij: [cntactgegevens]. H. Versie [versie nummer en datum laatste aanpassing] Deze privacy bijsluiter maakt nderdeel uit van de afspraken die zijn gemaakt in het Cnvenant Digitale Onderwijsmiddelen en Privacy 2.0, een initiatief van de PO-Raad, VO-raad, de verschillende betrkken ketenpartijen (GEU, KBB-e en VDOD) en het ministerie van Onderwijs, Cultuur en Wetenschap. Meer infrmatie hierver vindt u hier: Mdelbewerkersvereenkmst Digitale nderwijsmiddelen en privacy versie juni

12 BIJLAGE 2: Technische en rganisatrische beveiligingsmaatregelen De Bewerker is vereenkmstig de Wbp en artikel 7 Bewerkersvereenkmst verplicht technische en rganisatrische maatregelen te nemen ter beveiliging van de Verwerking van Persnsgegevens. Indien de ruimte in deze bijlage nvldende is m de bendigde infrmatie te beschrijven, is het mgelijk de infrmatie p te nemen in separate Bijlage(n), welke als vlgt genummerd wrden: Bijlage 2A, Bijlage 2B, etc.. Deze Bijlagen wrden aan de Bewerkersvereenkmst gehecht. Omschrijving van de maatregelen zals bedeld in artikel 7.2 Bewerkersvereenkmst I. Omschrijving van de maatregelen m te waarbrgen dat enkel bevegd persneel tegang heeft tt de Verwerking van Persnsgegevens. Meer in het bijznder de uitwerking welke (grepen) medewerkers van de Bewerker tegang hebben tt welke Persnsgegevens, inclusief een mschrijving van handelingen die deze medewerkers uit mgen veren met de persnsgegevens. a. (grepen van) medewerkers die tegang hebben tt welke Persnsgegevens: b. handelingen die deze medewerkers uitveren met de Persnsgegevens: II. Omschrijving van de maatregelen m de Persnsgegevens te beschermen tegen npzettelijke f nrechtmatige vernietiging, npzettelijk verlies f wijziging, nbevegde f nrechtmatige pslag, Verwerking, tegang f penbaarmaking. Meer in het bijznder de uitwerking van de dr Bewerker getrffen technische en rganisatrische (beveiligings-)maatregelen en de daarbij gehanteerde beveiligingsnrm. [beschrijving beveiliging applicatie/platfrm] [beschrijving wijze van identificatie/authenticatie/autrisatie en beveiliging daarvan] [beschrijving beveiliging van wijze van uitwisseling/transprt van gegevens] III. Omschrijving van de maatregelen m zwakke plekken te identificeren ten aanzien van de Verwerking van Persnsgegevens in de systemen die wrden ingezet vr het verlenen van diensten aan de Onderwijsinstelling. [zals een peridieke analyse van (security) incidenten, het peridiek uitveren van een extern/intern kwetsbaarhedennderzek (ethical hack) f het peridiek uitveren van cntrles p beveiliging van systemen] Rapprtage (artikel 7.4 van de Bewerkersvereenkmst Bewerker rapprteert peridiek met een frequentie van [ ] maal per jaar, uiterlijk p [ ] aan Verantwrdelijke ver de dr Bewerker genmen maatregelen aangaande de getrffen technische en rganisatrische beveiligingsmaatregelen en eventuele aandachtspunten daarin.] Mdelbewerkersvereenkmst Digitale nderwijsmiddelen en privacy versie juni

13 [cntactgegevens helpdesk/servicedesk vr beveiligingsincidenten] Infrmeren ver Datalekken en/f incidenten met betrekking tt beveiliging Afspraken ver het infrmeren in geval van Datalekken en/f incidenten met betrekking tt beveiliging, met name ver De wijze waarp mnitring en identificatie van incidenten plaatsvindt, De wijze waarp infrmatie wrdt gedeeld: Op welke manier (via , telefn); Aan wie gericht (cntactpersnen en cntactgegevens); Met wie kan (bij vervlgacties) cntact wrden pgenmen. Infrmatie die in ieder geval ver een incident gedeeld met wrden De kenmerken van het incident, zals: datum en tijdstip cnstatering, samenvatting incident, kenmerk en aard incident (p wat vr nderdeel van de beveiliging ziet het, he heeft het zich vrgedaan, heeft het betrekking p lezen, kpiëren, veranderen, verwijderen/vernietigen en/f diefstal van persnsgegevens); De rzaak van het beveiligingsincident; De maatregelen die getrffen zijn m eventuele/verdere schade te vrkmen; Benemen van betrkkenen die gevlgen kunnen ndervinden van het incident, en de mate waarin; De mvang van de grep betrkkenen; Het srt gegevens dat dr het incident wrdt getrffen (met name bijzndere gegevens, f gegevens van gevelige aard, waarnder tegangs- f identificatiegegevens, financiële gegevens f leerprestaties). Eventuele afspraken f, en z ja he, Bewerker een melding aan de Autriteit Persnsgegevens kan verrichten. Versie [versie nummer en datum laatste aanpassing] Deze privacy bijsluiter maakt nderdeel uit van de afspraken die zijn gemaakt in het Cnvenant Digitale Onderwijsmiddelen en Privacy 2.0, een initiatief van de PO-Raad, VO-raad, de verschillende betrkken ketenpartijen (GEU, KBB-e en VDOD) en het ministerie van Onderwijs, Cultuur en Wetenschap. Meer infrmatie hierver vindt u hier: Mdelbewerkersvereenkmst Digitale nderwijsmiddelen en privacy versie juni