Cloud Computing. Bijzondere inkoopvoorwaarden. Hoogheemraadschap van Delfland

Transcriptie

1 Cloud Computing Bijzondere inkoopvoorwaarden Hoogheemraadschap van Delfland

2 Inhoud 1 INKOOPVOORWAARDEN CLOUD COMPUTING ARTIKEL 1 - DEFINITIES Artikel 2 Dienstverlening algemeen Artikel 3 Kwaliteit van de dienstverlening Artikel 4 Beveiliging Artikel 5 Vertrouwelijkheid van de gegevens... Fout! Bladwijzer niet gedefinieerd. 1.6 Artikel 6 De verwerking van Persoonsgegevens Artikel 7 Doorgifte van Persoonsgegevens en toegang door nationale instanties Artikel 8 Intellectueel Eigendom en zeggenschap Artikel 9 Beëindiging van de dienst en beschikbaarheid van Gegevens Artikel 10 Overig... Fout! Bladwijzer niet gedefinieerd. Pag: 2-7

3 1 INKOOPVOORWAARDEN CLOUD COMPUTING 1.1 ARTIKEL 1 - DEFINITIES In deze Bijzondere inkoopvoorwaarden worden de navolgende definities met een beginhoofdletter, zowel in enkel- als meervoud gebruikt, de volgende betekenis: a. Inkoopvoorwaarden: deze Algemene Inkoopvoorwaarden met betrekking tot Cloud Computing. b. Leverancier: de partij die krachtens de Overeenkomst Clouddiensten aan het Hoogheemraadschap van Delfland verleent. c. Gebruiker: Een aan het Hoogheemraadschap van Delfland gelieerde (natuurlijke) persoon, zoals personeel, die door het Hoogheemraadschap van Delfland geautoriseerd is tot het gebruik van (een bepaald deel) van de Clouddienst. d. Overeenkomst: iedere schriftelijk vastgelegde wilsovereenstemming tussen het Hoogheemraadschap van Delfland en de Leverancier gericht op het leveren van een (Cloud-)dienst aan het Hoogheemraadschap van Delfland en op grond waarvan Leverancier ten behoeve van het Hoogheemraadschap van Delfland Gegevens verwerkt. e. Clouddienst: De onder de Overeenkomst te leveren dienst, waarbij Leverancier op afstand en ondemand IT faciliteiten zoals onder andere servers, opslag, applicaties en diensten in het algemeen aan het Hoogheemraadschap van Delfland ter beschikking stelt en houdt via het internet of enig ander (openbaar) netwerk. f. Gegevens: Alle Gegevens, data, informatie en enig ander materiaal of content die Het Hoogheemraadschap van Delfland en/of Gebruikers in het kader van de overeenkomst invoeren, versturen, plaatsen of anderszins verwerken met behulp van de Clouddienst. Onder Gegevens zijn mede begrepen Persoonsgegevens. g. Persoonsgegevens: Elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, dat op welke wijze dan ook door Leverancier verwerkt wordt of verwerkt zal worden in het kader van de Overeenkomst. h. Betrokkene: Degene op wie persoonsgegevens betrekking hebben. i. Verwerken: Elke handeling of elk geheel van handelingen met betrekking tot Gegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, wissen of vernietigen van gegevens. j. Partij: het Hoogheemraadschap van Delfland dan wel Leverancier. k. Partijen: Contractspartijen bij de Overeenkomst, zijnde het Hoogheemraadschap van Delfland en de Leverancier. 1.2 Artikel 2 Dienstverlening algemeen 2.1. Ter uitvoering van de in de overeenkomst genoemde dienstverlening kunnen Persoonsgegevens worden verwerkt Indien een wijziging in de te verwerken Persoonsgegevens of een risicoanalyse van de te verwerken gegevens daartoe aanleiding geeft treden Partijen op eerste verzoek van het Hoogheemraadschap van Delfland in overleg over het aanpassen van de gemaakte afspraken binnen deze Overeenkomst Leverancier is verplicht het Hoogheemraadschap van Delfland onmiddellijk te informeren over toekomstige wijzigingen in de uitvoering van de Overeenkomst zodat het Hoogheemraadschap van Delfland kan toezien op de naleving van afspraken met Leverancier. Hieronder wordt mede begrepen de inschakeling van (nieuwe) hulpleveranciers Nieuw gemaakte afspraken zijn niet eerder van kracht dan dat zij schriftelijk zijn vastgelegd en deel uitmaken van deze Overeenkomst. Pag: 3-7

4 2.5. In deze Inkoopvoorwaarden wordt onder wettelijk niet alleen Nederlandse maar ook buitenlandse weten regelgeving verstaan. 1.3 Artikel 3 Kwaliteit van de dienstverlening 3.1. Leverancier is verantwoordelijk voor de beschikbaarheid van de Clouddienst aan Het Hoogheemraadschap van Delfland overeenkomstig hetgeen in de Overeenkomst en de Algemene Waterschapsinkoopvoorwaarden voor ICT (AWIVI 2012 bepaald is Ter waarborging van de beschikbaarheid van de Gegevens draagt Leverancier zorg voor adequate back-up en restore voorzieningen welke op elk gewenst moment aan het Hoogheemraadschap van Delfland ter beschikking staan. 1.4 Artikel 4 Beveiliging 4.1. Leverancier zal passende organisatorische en technische maatregelen nemen, in stand houden en zo nodig aanpassen, om de Clouddienst te beveiligen tegen verlies, aantasting, enige vorm van onbevoegde kennisneming, wijziging, verstrekking of onrechtmatige verwerking van Gegevens. Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico s die de verwerking en de aard van de te beschermen Gegevens met zich meebrengen. De maatregelen worden schriftelijk vastgelegd en zullen in ieder geval voldoen aan de beveiligingseisen van de Wbp en de code voor informatiebeveiliging van ISO en In het geval van vermoedelijke of daadwerkelijke onbevoegde kennisneming, wijziging of verstrekking van gegevens, verlies van gegevens of een schending van de beveiligingsmaatregelen zal Leverancier het Hoogheemraadschap van Delfland hier onmiddellijk van op de hoogte stellen. Leverancier zal vervolgens, onverminderd enig recht van het Hoogheemraadschap van Delfland op schadevergoeding of andere maatregelen, op eigen kosten alle benodigde maatregelen nemen om de Gegevens veilig te stellen en de tekortkomingen in de beveiliging te herstellen ter voorkoming van verdere onbevoegde kennisneming, wijziging en verstrekking. Op verzoek van het Hoogheemraadschap van Delfland zal Leverancier meewerken aan het informeren van de bevoegde autoriteit(en) en Betrokkene(n) Op eerste verzoek zal Leverancier het Hoogheemraadschap van Delfland onverwijld schriftelijk informatie verstrekken met betrekking tot (de organisatie van) de beveiliging en verwerking van de Gegevens. 1.5 Artikel 6 De verwerking van Persoonsgegevens 6.1. Indien Leverancier in het kader van de uitvoering van de Overeenkomst Persoonsgegevens Het Hoogheemraadschap van Delfland verwerkt die van het Hoogheemraadschap van Delfland zijn verkregen, verplichten beide Partijen zich over en weer te handelen conform de Wet Bescherming Persoonsgegevens (Wbp) en andere toepasselijke regelgeving. Bij de verwerking is het Hoogheemraadschap van Delfland aan te merken als verantwoordelijke in de zin van de Wbp en wordt Leverancier aangemerkt als bewerker. Indien Leverancier zonder inhoudelijke tussenkomst van Het Hoogheemraadschap van Delfland beslist tot inzage in of verstrekking van Persoonsgegevens aan een toezichthouder of een overheidsinstantie, geldt Leverancier als verantwoordelijke Leverancier zal de Persoonsgegevens uitsluitend verwerken in opdracht en conform de instructies van het Hoogheemraadschap van Delfland. Het is Leverancier niet toegestaan Persoonsgegevens die van het Pag: 4-7

5 Hoogheemraadschap van Delfland zijn verkregen voor andere doeleinden dan zijn overeengekomen tussen het Hoogheemraadschap van Delfland en Leverancier of voor eigen doeleinden of doeleinden van derden te verwerken Indien een Betrokkene zijn rechten op grond van de Wbp of andere regelgeving wenst uit te oefenen zal Leverancier aan het Hoogheemraadschap van Delfland hiertoe haar volledige medewerking verlenen Indien Betrokkene met betrekking tot de uitoefening van haar rechten hierover direct contact opneemt met Leverancier, zal Leverancier hier behoudens uitdrukkelijk andersluidende instructie van het Hoogheemraadschap van Delfland- in eerste instantie niet (inhoudelijk) op in gaan, maar met het Hoogheemraadschap van Delfland hierover contact opnemen in afwachting van verdere instructies Zonder de toestemming van het Hoogheemraadschap van Delfland verleent Leverancier derden geen toegang tot de Persoonsgegevens Aan toestemming van het Hoogheemraadschap van Delfland voor het inschakelen van derden zullen in ieder geval de volgende voorwaarden worden verbonden: De derde is rechtstreeks betrokken bij de levering van diensten onder de Overeenkomst; Leverancier heeft een schriftelijke overeenkomst met de betreffende derde waarin in ieder geval is opgenomen dat de betreffende derde handelt in overeenstemming met alle bepalingen van de Overeenkomst tussen het Hoogheemraadschap van Delfland en Leverancier Indien Leverancier een derde inschakelt voor de verlening van de Clouddienst ontheft dit Leverancier niet van haar verplichtingen met betrekking tot de verwerking van Persoonsgegevens. Leverancier vrijwaart Het Hoogheemraadschap van Delfland voor alle aanspraken van derden, daaronder begrepen Betrokkenen, die jegens het Hoogheemraadschap van Delfland worden ingesteld wegens een aan Leverancier of door haar ingeschakelde derde toe te rekenen schending van de Wbp of andere toepasselijke regelgeving betreffende de verwerking van Persoonsgegevens Indien het College Bescherming Persoonsgegevens in het kader van haar taak als handhaver een maatregel oplegt aan het Hoogheemraadschap van Delfland en indien de oorzaak voor het opleggen van de maatregel te wijten is aan het niet nakomen van de in de Overeenkomst gemaakte afspraken door Leverancier, kan het Hoogheemraadschap van Delfland de kosten voor deze maatregel verhalen op Leverancier Leverancier zal Persoonsgegevens die haar in het kader van de Overeenkomst ter beschikking zijn gesteld niet langer bewaren dan ofwel noodzakelijk is voor de uitvoering van de Overeenkomst, ofwel voor het nakomen van een op haar rustende wettelijke verplichting. 1.6 Artikel 7 Doorgifte van Persoonsgegevens en toegang door nationale instanties 7.1. Leverancier garandeert dat elke verwerking van Persoonsgegevens welke door of namens Leverancier of een door hem ingeschakelde derde wordt verricht in verband met het uitvoeren van de Overeenkomst binnen de Europese Economische Ruimte (EER) plaats zal vinden, dan wel uitsluitend naar of vanuit landen die een passend beschermingsniveau waarborgen in overeenstemming met de van toepassing zijnde privacywetgeving, waaronder de Wbp. Hieronder is begrepen de verwerking naar of vanuit vestigingen van Leverancier of door haar ingeschakelde derden die naleving van de Safe Harbor Beginselen waarborgen Behoudens voorafgaande schriftelijke toestemming van Het Hoogheemraadschap van Delfland zal Leverancier in het kader van de Overeenkomst geen Persoonsgegevens (laten) overbrengen naar of toegankelijk (laten) maken vanuit landen buiten de Europese Economische Ruimte (EER) die geen passend beschermingsniveau waarborgen conform de van toepassing zijnde privacywetgeving of naar of vanuit locaties van Leverancier of door haar ingeschakelde derden die naleving van de Safe Harbor Beginselen niet waarborgen. Bij het verzoek om toestemming zal Leverancier vermelden welke landen respectievelijk derde partijen het verzoek betreft. Aan het verstrekken van toestemming kunnen door het Hoogheemraadschap van Delfland nadere voorwaarden worden verbonden. Pag: 5-7

6 7.3. In geval van verwerking van Persoonsgegevens naar of vanuit vestigingen van Leverancier of door haar ingeschakelde derden die naleving van de Safe Harbor Beginselen waarborgen zal Leverancier op verzoek van het Hoogheemraadschap van Delfland bewijs overleggen dat de Safe Harbor Beginselen ook daadwerkelijk worden nageleefd door de betreffende vestigingen. Indien de technische karakteristieken van een transmissiemedium een dergelijke garantie onmogelijk maken, zal de transmissie van Persoonsgegevens uitsluitend versleuteld plaatsvinden, waarbij voor de versleuteling minstens zo geavanceerd als in de markt gebruikelijke technieken worden gebruikt Leverancier verschaft op eerste verzoek van het Hoogheemraadschap van Delfland inzicht in de locaties waar de verwerking van Persoonsgegevens plaatsvindt Indien Leverancier een verzoek of bevel van een Nederlandse of buitenlandse toezichthouder of opsporings-, strafvorderings- of nationale veiligheidsinstantie ontvangt om (inzage in) Persoonsgegevens te verschaffen, waaronder maar niet beperkt tot een verzoek op grond van de USA Patriot Act, zal Leverancier het Hoogheemraadschap van Delfland hier onverwijld van op de hoogte brengen. Bij de behandeling van het verzoek of het bevel zal Leverancier alle instructies van het Hoogheemraadschap Delfland in acht nemen en alle redelijkerwijs benodigde medewerking verlenen Indien het Leverancier op grond van het verzoek of bevel is verboden om te voldoen aan zijn verplichtingen op grond van artikel 7.5, dan zal Leverancier de redelijke belangen van het Hoogheemraadschap van Delfland behartigen. Leverancier zal daartoe in ieder geval: i. juridisch laten toetsen in hoeverre Leverancier wettelijk verplicht is om aan het verzoek of bevel te voldoen; en of het Leverancier daadwerkelijk is verboden om aan haar verplichtingen jegens het Hoogheemraadschap van Delfland op grond van artikel 7.5 te voldoen; ii. alleen aan het verzoek of bevel meewerken indien zij hiertoe wettelijk verplicht is en waar mogelijk (in rechte) bezwaar maken tegen het verzoek of het bevel of het verbod om het Hoogheemraadschap Delfland hierover te informeren of haar instructies op te volgen; iii. niet meer of andere Persoonsgegevens verstrekken dan strikt noodzakelijk om aan het verzoek of bevel te voldoen; iv. indien sprake is van doorgifte naar een land buiten de EER: de mogelijkheden onderzoeken om te voldoen aan de artikelen 76 en 77 van de Wbp; v. Leverancier onverwijld te informeren zodra dit is toegestaan. 1.7 Artikel 8 Intellectueel Eigendom en zeggenschap 8.1. Alle rechten van (Intellectueel) Eigendom, waaronder begrepen Auteursrecht en databankenrecht, op de Gegevens van het Hoogheemraadschap van Delfland komen toe aan en blijven te allen tijde rusten bij het Hoogheemraadschap van Delfland, haar Gebruikers, en/of hun licentiegevers Leverancier komt geen zelfstandige zeggenschap toe over de Gegevens die door het Hoogheemraadschap van Delfland ter verwerking aan haar zijn toevertrouwd. De zeggenschap over de Gegevens blijft, ook in het geval zij in de Cloud worden geplaatst, rusten bij het Hoogheemraadschap Delfland. 1.8 Artikel 9 Beëindiging van de dienst en beschikbaarheid van Gegevens 9.1. Bij beëindiging van de Overeenkomst dan wel op eerste verzoek van het Hoogheemraadschap van Delfland gedurende de looptijd van de Overeenkomst zal Leverancier tegen geen of hoogstens redelijke kosten -ervoor zorgdragen dat de haar door het Hoogheemraadschap van Delfland in het kader van de Overeenkomst ter beschikking gestelde Gegevens worden vernietigd, aan een opvolgend dienstverlener ter beschikking worden gesteld, dan wel dat het Pag: 6-7

7 Hoogheemraadschap van Delfland in de gelegenheid wordt gesteld de Gegevens aan de Clouddienst te onttrekken. Het Hoogheemraadschap van Delfland kan zo nodig nadere eisen stellen aan de wijze van beschikbaarstelling, waaronder eisen aan het bestandsformaat, dan wel aan de vernietiging Leverancier zal te allen tijde de in het vorige lid beschreven dataportabiliteit van de Gegevens waarborgen zodat er geen sprake is van verlies van functionaliteit of (delen van) de Gegevens. Pag: 7-7