Bewerkersovereenkomst 1

Transcriptie

1 Bijlage 1 bij Overeenkomst gebruik ZIVVER Bewerkersovereenkomst 1 DE ONDERGETEKENDEN: Praktijknaam:. Adres:. Postcode:. Plaatsnaam:. KVK-nummer:. hierna te noemen Opdrachtgever, en ZIVVER B.V., gevestigd te 1062 XK aan de Overschiestraat 186, Amsterdam, Nederland, ingeschreven in het handelsregister van de Kamer van Koophandel onder nummer , te dezer zake rechtsgeldig vertegenwoordigd door haar directeur, Dhr. R. Goud, hierna te noemen ZIVVER ; hierna gezamenlijk ook aan te duiden als: Partijen en afzonderlijk als Partij. Overwegende dat (a) ZIVVER verricht diensten ten behoeve van Opdrachtgever, zoals beschreven in de Overeenkomst. (b) De diensten brengen met zich dat persoonsgegevens worden verwerkt, waarvoor Opdrachtgever verantwoordelijke is in de zin van de Wet bescherming persoonsgegevens (hierna: Wbp). (c) ZIVVER verwerkt de betreffende gegevens louter in opdracht van Opdrachtgever en niet voor eigen doeleinden. ZIVVER is in dat kader aan te merken als bewerker in de zin van de Wbp. 1 Deze Bewerkersovereenkomst is gebaseerd op de Bewerkersovereenkomst die de NVZ Vereniging van Ziekenhuizen opstelde ten behoeve van haar leden (versie eind 2015). ZIVVER wijkt vanwege de aard van zijn diensten op een paar punten van deze NVZ Bewerkersovereenkomst af. Deze afwijkingen zijn in italics weergegeven. Postbus AG Amsterdam T KvK BTW B01

2 (d) Partijen wensen middels deze Bewerkersovereenkomst de (aanvullende) afspraken met betrekking tot de verwerking van Persoonsgegevens in het kader van de diensten vast te leggen. (e) Deze Bewerkersovereenkomst vormt een Bijlage bij de Overeenkomst tussen Partijen en maakt daarvan onlosmakelijk onderdeel uit. VERKLAREN TE ZIJN OVEREENGEKOMEN ALS VOLGT: Artikel 1. Definities 1.1 Voor zover begrippen met een hoofdletter niet afzonderlijk gedefinieerd zijn in deze Bewerkersovereenkomst, gelden de definities zoals genoemd in de Overeenkomst die als ANNEX A is gevoegd bij de Overeenkomst dd. 16 december 2016 inclusief de toepasselijke bijlagen (verder: Overeenkomst). Begrippen uit de Wet bescherming persoonsgegevens ( Wbp ), zoals verwerken, persoonsgegevens, verantwoordelijke en bewerker hebben de betekenis die daaraan is gegeven in de Wbp. Artikel 2. Onderwerp van deze Bewerkersovereenkomst 2.1 ZIVVER kan gedurende de uitvoering van de in artikel 1 van deze Bewerkersovereenkomst genoemde Overeenkomst ten behoeve van Opdrachtgever en ter voldoening aan enige wettelijke verplichting persoonsgegevens verwerken. Een overzicht van de categorieën Persoonsgegevens en de doeleinden waarvoor de persoonsgegevens ten behoeve van Opdrachtgever worden verwerkt is opgenomen in Annex 1 bij deze Bewerkersovereenkomst. Artikel 3. Uitvoering verwerking 3.1 ZIVVER zal optreden als bewerker en Opdrachtgever als verantwoordelijke in de zin van de Wbp. 3.2 ZIVVER garandeert dat hij ten behoeve van Opdrachtgever uitsluitend persoonsgegevens zal verwerken voor zover dit noodzakelijk is voor de levering van de Prestaties onder de in artikel 1 van deze Bewerkersovereenkomst genoemde Overeenkomst. Overige verwerkingen zullen uitsluitend worden uitgevoerd in expliciete opdracht van Opdrachtgever of als daartoe een wettelijke verplichting bestaat na informeren van en onder verantwoordelijkheid van Opdrachtgever. In geen geval zal ZIVVER persoonsgegevens verwerken voor andere doeleinden dan overeengekomen in de Overeenkomst. 3.3 ZIVVER zal alle redelijke instructies van Opdrachtgever in verband met de verwerking van de persoonsgegevens opvolgen. ZIVVER stelt Opdrachtgever onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van persoonsgegevens. 3.4 Opdrachtnemer zal de persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze en in overeenstemming met de op hem als bewerker op grond van de Wbp en overige wetgeving rustende verplichtingen verwerken. Partijen sluiten de Overeenkomst om de expertise die Opdrachtnemer heeft als het gaat om het beveiligen en het verwerken van Persoonsgegevens te gebruiken voor de doeleinden die uiteengezet zijn in de Overeenkomst. Opdrachtnemer is gehouden om, met inachtneming van hetgeen in deze Bewerkersovereenkomst is bepaald, naar eigen inzicht de middelen aan te wenden die hij noodzakelijk acht om die doeleinden na te streven. 3.5 ZIVVER zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Opdrachtgever, geen persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische 2

3 Ruimte ( EER ) zonder een passend beschermingsniveau. ZIVVER stelt de in Annex 3 genoemde medewerker(s) van Opdrachtgever onmiddellijk schriftelijk op de hoogte van alle (geplande) permanente of tijdelijke doorgiftes van persoonsgegevens naar een land buiten de Europese Economische Ruimte en zal pas uitvoering geven aan dergelijke (geplande) doorgiftes na schriftelijke toestemming van Opdrachtgever. 3.6 Onverminderd enige andere contractuele geheimhoudingverplichting die op ZIVVER rust, garandeert ZIVVER dat hij alle persoonsgegevens als strikt vertrouwelijk zal behandelen en dat hij al zijn werknemers, vertegenwoordigers en/of onderaannemers die betrokken zijn bij de verwerking van de Persoonsgegevens van de vertrouwelijke aard van dergelijke (persoons)gegevens op de hoogte zal stellen. 3.7 ZIVVER zal zijn volledige en tijdige medewerking verlenen aan Opdrachtgever om (i) na goedkeuring van en in opdracht van Opdrachtgever betrokkenen toegang te laten krijgen tot de hun betreffende persoonsgegevens, (ii) persoonsgegevens te verwijderen of te corrigeren, (iii) aan te tonen dat persoonsgegevens verwijderd of gecorrigeerd zijn indien zij incorrect zijn (of, ingeval Opdrachtgever het er niet mee eens is dat persoonsgegevens incorrect zijn, het feit vast te leggen dat de betrokkene zijn persoonsgegevens als incorrect beschouwt) en (iv) Opdrachtgever anderszins in de gelegenheid te stellen om aan zijn verplichtingen onder de Wbp of andere toepasselijke wetgeving op het gebied van verwerking van persoonsgegevens te voldoen. De kosten verbonden aan deze ondersteuning zijn niet in de overeengekomen prijzen en vergoedingen van de Overeenkomst inbegrepen en komen voor rekening van Opdrachtgever. Artikel 4. Beveiliging persoonsgegevens & controle 4.1 Onverminderd de beveiligingsnormen die Partijen op mogelijk andere wijze zijn overeengekomen, zal ZIVVER passende technische en organisatorische beveiligingsmaatregelen nemen, die gezien de huidige stand der techniek en de daarmee gemoeide kosten overeenstemmen met de aard van de te verwerken persoonsgegevens, ter bescherming van de persoonsgegevens tegen verlies, onbevoegde kennisname, verminking of onrechtmatige verwerking, alsmede om de (tijdige) beschikbaarheid van de gegevens te garanderen. Deze maatregelen omvatten in ieder geval: (a) maatregelen om te waarborgen dat enkel bevoegd personeel toegang heeft tot de persoonsgegevens voor de doeleinden die zijn uiteengezet in de Overeenkomst; (b) maatregelen waarbij de bewerker zijn medewerkers, onderaannemers uitsluitend toegang geeft tot persoonsgegevens via op naam gestelde accounts, waarbij het gebruik van die accounts adequaat gelogd wordt en waarbij de betreffende accounts alleen toegang geven tot die persoonsgegevens waartoe de toegang voor de betreffende persoon noodzakelijk is; (c) maatregelen om de persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag verwerking, toegang of openbaarmaking; (d) maatregelen om zwakke plekken te identificeren ten aanzien van de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Opdrachtgever; (e) maatregelen om de tijdige beschikbaarheid van de gegevens te garanderen, een en ander zoals nader uitgewerkt in Annex 2 en in de Overeenkomst; (f) de overige maatregelen die Partijen in Annex 2 en in de Overeenkomst zijn overeengekomen. 3

4 4.2 ZIVVER heeft te allen tijde een passend, geschreven beveiligingsbeleid conform ISO27001 geïmplementeerd voor de verwerking van persoonsgegevens, waarin in ieder geval de in lid 1 van dit artikel 4 genoemde maatregelen uiteen zijn gezet. 4.3 Het uitoefenen van toezicht bij ZIVVER geschiedt door een onafhankelijke derde, gecertificeerd voor het uitvoeren van toezicht op basis van de ISO27001 richtlijn ( Derde ). ZIVVER zal op eerste verzoek van Opdrachtgever de gegevens betreffende de bewaring en het gebruik van vertrouwelijke informatie door ZIVVER met Opdrachtgever delen. ZIVVER zal verder eventuele door de opdrachtgever in redelijkheid gegeven instructies tot aanpassing van het beveiligingsbeleid binnen een redelijke termijn opvolgen. 4.4 Partijen erkennen dat beveiligingseisen voortdurend veranderen en dat een effectieve beveiliging frequente evaluatie en regelmatige verbetering van verouderde beveiligingsmaatregelen vereist. ZIVVER zal daarom de maatregelen zoals geïmplementeerd op basis van dit artikel 4 voortdurend evalueren en verscherpen, aanvullen of verbeteren om te blijven voldoen aan zijn verplichtingen onder dit artikel 4. Artikel 5. Monitoring, informatieplichten en incidentenmanagement 5.1 ZIVVER zal actief monitoren op inbreuken op beveiligingsmaatregelen en over de resultaten van de monitoring in overeenstemming met dit artikel 5 rapporteren aan Opdrachtgever. 5.2 In geval van een inbreuk op of aantasting van de beveiliging van persoonsgegevens, of in geval van een serieuze poging daartoe, zal ZIVVER hiervan onverwijld nadat de inbreuk of serieuze poging daartoe is ontdekt door ZIVVER, melding doen aan Opdrachtgever. Bij deze melding zal ZIVVER alle relevante informatie verstrekken omtrent de aard van de inbreuk, de relevante persoonsgegevens en maatregelen die getroffen zullen worden om de inbreuk te beëindigen of te voorkomen en om de negatieve gevolgen van de inbreuk te beperken. 5.3 Opdrachtnemer is, onverminderd de overige verplichtingen uit dit artikel, verplicht om de eventuele negatieve gevolgen die voortvloeien uit een incident zo snel mogelijk ongedaan te maken dan wel de verdere gevolgen te minimaliseren. 5.4 ZIVVER zal, alle ondersteuning verlenen aan de door Opdrachtgever na te komen verplichtingen als bedoeld in de Wbp. 5.5 Onder incident wordt in elk geval het volgende verstaan: (a) een klacht of (informatie)verzoek van een natuurlijk persoon met betrekking tot de verwerking van persoonsgegevens door ZIVVER; (b) een onderzoek naar of beslaglegging door overheidsfunctionarissen op de persoonsgegevens of een vermoeden dat dit gaat plaatsvinden; (c) iedere ongeautoriseerde toegang, verwerking, verwijdering, verminking, verlies of enige vorm van onrechtmatige verwerking van de persoonsgegevens; (d) een inbreuk op de beveiliging en/of de vertrouwelijkheid, zoals uiteengezet in artikel 3 en 4 van deze Bewerkersovereenkomst, althans ieder ander incident, die/dat leidt (of mogelijk leidt) tot onopzettelijke of onrechtmatige vernietiging, verlies, wijziging, onbevoegde openbaarmaking van of toegang tot de persoonsgegevens, of enige aanwijzing dat een dergelijke inbreuk zal plaatsvinden of heeft plaatsgevonden. 5.6 ZIVVER zal te allen tijde geschreven procedures voorhanden hebben die hem in staat stellen om Opdrachtgever van een onmiddellijke reactie over een incident te voorzien, en om effectief samen te werken met Opdrachtgever om het incident af te handelen en zal Opdrachtgever voorzien van een exemplaar van dergelijke procedures indien Opdrachtgever daarom verzoekt. 5.7 Meldingen die worden gedaan op grond van dit artikel worden gericht aan de in Annex 3 opgenomen werknemer(s) van Opdrachtgever of, indien relevant, aan een andere 4

5 door Opdrachtgever tijdens de duur van deze Bewerkersovereenkomst schriftelijk bekendgemaakte andere werknemer van Opdrachtgever. 5.8 Opdrachtgever zal, indien naar haar oordeel noodzakelijk, betrokkenen en andere derden w.o. de Autoriteit Persoonsgegevens (AP) informeren over incidenten. Het is ZIVVER niet toegestaan informatie te verstrekken over incidenten aan betrokkenen of andere derde partijen, behoudens voor zover ZIVVER daartoe wettelijk verplicht is. Artikel 6. Gebruik onderaannemers 6.1 Opdrachtnemer mag in het kader van de Bewerkersovereenkomst gebruik maken van derde partijen, mits hij minstens een (1) maand voor de start van de inzet van de derde partij opgave doet van de beoogde inzet van die derde en Opdrachtgever zich hiertegen niet verzet. Indien Opdrachtgever zich verzet, zoeken Partijen in onderling overleg naar een oplossing. Opdrachtnemer biedt Opdrachtgever altijd actueel inzicht in de derde partijen die hij voor de verwerking van persoonsgegevens als onderaannemer inzet. Opdrachtgever geeft door het ondertekenen van deze overeenkomst toestemming voor de inzet van de Annex 4 genoemde partijen als onderaannemer voor de uitvoering van werkzaamheden die voortvloeien uit deze overeenkomst. 6.2 ZIVVER zal aan de door hem ingeschakelde derde dezelfde verplichtingen opleggen als voor hemzelf uit deze Bewerkersovereenkomst en de wet voortvloeien en ziet toe op de naleving daarvan door de derde. De betreffende afspraken met de derde zullen schriftelijk worden vastgelegd. ZIVVER zal Opdrachtgever op verzoek afschrift verstrekken van deze overeenkomst(en). 6.3 Niettegenstaande de toestemming van Opdrachtgever voor het inschakelen van een derde partij blijft ZIVVER volledig aansprakelijk jegens Opdrachtgever voor de gevolgen van het uitbesteden van werkzaamheden aan een derde. De toestemming van Opdrachtgever voor het uitbesteden van werkzaamheden aan een derde partij laat onverlet dat voor de inzet van sub-bewerkers in een land buiten de Europese Economische Ruimte zonder een passend beschermingsniveau toestemming vereist is in overeenstemming met artikel 3.5 van deze Bewerkersovereenkomst. Artikel 7. Aansprakelijkheid 7.1 Ten aanzien van de aansprakelijkheid tussen Partijen geldt hetgeen daarover is overeengekomen in de overeenkomst op grond waarvan de Diensten worden verleend. 7.2 Bewerker is op grond van de Wet zelfstandig aansprakelijk voor door een Betrokkene geleden schade of nadeel voor zover dat voortvloeit uit de door Bewerker uitgevoerde Diensten, tenzij de schade niet aan Bewerker kan worden toegerekend. 7.3 Bewerker vrijwaart Verantwoordelijke tegen aanspraken van derden, waaronder maar niet daartoe beperkt de redelijke kosten van juridische bijstand, boetes van toezichthouder(s) en aanspraken van Betrokkene, die het gevolg zijn van een tekortkoming in de nakoming van deze Bewerkersovereenkomst. Verantwoordelijke zal, zo spoedig mogelijk nadat het bekend is geworden met een aanspraak, Bewerker daarvan op de hoogte brengen. Artikel 8. Duur en beëindiging 8.1 De begindatum en de duur van deze Bewerkersovereenkomst is gelijk aan de begindatum en duur van de in artikel 1 van deze Bewerkersovereenkomst genoemde Overeenkomst. 8.2 Er bestaat samenhang tussen de Bewerkersovereenkomst en de Overeenkomst. Dat wil zeggen dat beëindiging van de Bewerkersovereenkomst, op welke grond dan ook (opzegging/ontbinding), tot gevolg heeft dat de Overeenkomst eveneens op dezelfde 5

6 grond beëindigd wordt (en vice versa), tenzij partijen in voorkomend geval anders overeenkomen. 8.3 Verplichtingen welke naar hun aard bestemd zijn om ook na beëindiging van deze Bewerkersovereenkomst voort te duren, blijven na beëindiging van de Bewerkersovereenkomst gelden. Tot deze bepalingen behoren onder meer die welke voortvloeien uit de bepalingen betreffende geheimhouding, aansprakelijkheid en toepasselijk recht. 8.4 Ieder der partijen is gerechtigd, onverminderd hetgeen daartoe bepaald is in de Overeenkomst, de uitvoering van deze Bewerkersovereenkomst en de daarmee samenhangende Overeenkomst op te schorten, dan wel zonder rechterlijke tussenkomst met onmiddellijke ingang te ontbinden, indien: (a) de andere partij wordt ontbonden of anderszins ophoudt te bestaan; (b) de andere partij aantoonbaar tekortschiet in de nakoming van de verplichtingen die voortvloeien uit deze Bewerkersovereenkomst en die ernstige toerekenbare tekortkoming niet binnen 30 dagen is hersteld na een daartoe strekkende schriftelijke ingebrekestelling; (c) een partij in staat van faillissement wordt verklaard of surséance van betaling aanvraagt. 8.5 Opdrachtgever is gerechtigd deze Bewerkersovereenkomst en de Overeenkomst per direct te ontbinden indien ZIVVER te kennen geeft niet (langer) te kunnen voldoen aan de betrouwbaarheidseisen die op grond van ontwikkelingen in de wet en/of rechtspraak aan de verwerking van de persoonsgegevens worden gesteld. Artikel 9.2 is van overeenkomstige toepassing. Artikel 9. Bewaartermijnen, teruggave en vernietiging van Persoonsgegevens 9.1 ZIVVER bewaart de persoonsgegevens niet langer dan strikt noodzakelijk en in geen geval langer dan tot het einde van deze Bewerkersovereenkomst of, indien tussen partijen een bewaartermijn is overeengekomen, niet langer dan deze termijn. 9.2 Bij beëindiging van de Bewerkersovereenkomst, of indien van toepassing aan het einde van de overeengekomen bewaartermijnen, of op schriftelijk verzoek van Opdrachtgever zal ZIVVER, kosteloos, naar keuze van Opdrachtgever, de persoonsgegevens vernietigen of teruggeven aan Opdrachtgever. Op verzoek van Opdrachtgever verstrekt ZIVVER bewijs van het feit dat de gegevens vernietigd of verwijderd zijn. Indien teruggave, vernietiging of verwijdering niet mogelijk zijn, stelt ZIVVER Opdrachtgever daarvan onmiddellijk op de hoogte. In dat geval garandeert ZIVVER dat hij de persoonsgegevens vertrouwelijk zal behandelen en niet langer zal verwerken. 9.3 Bij het einde van de Bewerkersovereenkomst zal ZIVVER alle derden die betrokken zijn bij het verwerken van persoonsgegevens op de hoogte stellen van de beëindiging van de Bewerkersovereenkomst. De verplichtingen uit artikel 9.2 zijn van overeenkomstige toepassing op de deze derden. ZIVVER zal waarborgen dat alle betrokken derden hieraan uitvoering zullen geven. Artikel 10. Slotbepalingen 10.1 De overwegingen en bijlagen maken onderdeel uit van deze Bewerkersovereenkomst In geval van tegenstrijdigheid tussen de hoofdovereenkomst op grond waarvan de Diensten worden verleend en deze Bewerkersovereenkomst, hebben de bepalingen van deze Bewerkersovereenkomst voorrang voor zover het gaat om bepalingen betreffende het verwerken van Persoonsgegevens. Bij overige tegenstrijdige bepalingen gaan die van de dienstenovereenkomst voor In geval van tegenstrijdigheid tussen deze Bewerkersovereenkomst en een Bijlage, gaat het bepaalde in de Bewerkersovereenkomst voor, tenzij Partijen uitdrukkelijk anders overeenkomen. 6

7 10.2 Op deze Bewerkersovereenkomst is louter Nederlands recht van toepassing Eventuele conflicten zullen eerst met elkaar besproken worden waarbij beide partijen zich inspannen om deze in goed overleg met elkaar op te lossen Geschillen over of in verband met deze Bewerkersovereenkomst worden uitsluitend voorgelegd aan de bevoegde rechter in een door Opdrachtgever te bepalen arrondissement In alle gevallen waarin deze Bewerkersovereenkomst niet voorziet beslissen partijen in onderling overleg. Aldus overeengekomen en in tweevoud getekend door ZIVVER en Opdrachtgever, van wie elk een originele ondertekende versie heeft verkregen: Namens ZIVVER Naam: dr. Rick Goud Plaats: Amsterdam Datum: 16 december 2016 Handtekening: Namens Naam: Plaats: Datum: Handtekening: ANNEX 1: Persoonsgegevens en doeleinden van verwerking ANNEX 2: Beveiligingsmaatregelen ANNEX 3: Contactgegevens ANNEX 4: Overzicht subbewerkers 7

8 ANNEX 1: Te verwerken persoonsgegevens en doeleinden ZIVVER business accounts Persoonsgegeven Voor- en achternaam adres mobiel telefoonnummer profielfoto Functie Organisatorische indeling Taal Noodzaak Communicatie unieke identifier ZIVVER platform / communicatie Aanbieden tweede factor Optioneel, verhogen herkenbaarheid van ontvanger voor verzenders Instellen business rules Instellen business rules Instellen ZIVVER platform op gewenste taal ZIVVER account passwords Persoonsgegeven adres gehashed wachtwoord Noodzaak Unieke ZIVVER identificatie beveiliging berichtenverkeer via ZIVVER Tickets supportsite Persoonsgegeven adres Voor- en achternaam telefoonnummers Functie organisatie Noodzaak communicatie communicatie communicatie communicatie communicatie ZIVVER berichtendatabase Persoonsgegeven adres verzender adres ontvanger IP-adres verzender onderwerp bericht bestandsnamen bijlagen versleutelde berichtinhoud versleutelde inhoud bijlagen Noodzaak Unieke identifier ZIVVER platform / onderzoek bij datalekken Communicatie / onderzoek bij datalekken Logging voor onderzoek bij datalekken Logging voor onderzoek bij datalekken Logging voor onderzoek bij datalekken Uitvoeren dienstverlening (volledig versleuteld in opslag) Uitvoeren dienstverlening (volledig versleuteld in opslag) 8

9 ANNEX 2: Beveiligingsmaatregelen ZIVVER voldoet aan de best practices op het gebied van privacybescherming en heeft hiervoor het certificaat Privacy Verified ontvangen (beschikbaar op ZIVVER heeft een Information Security Management System dat is gecertificeerd voor ISO27001 en NEN7510; ZIVVER heeft de broncode van zijn software op veiligheid laten controleren door Madison Gurkha in een Crystal Box review. De software is veilig bevonden. Het rapport is op verzoek beschikbaar. Halfjaarlijks beoordeelt Deloitte de veiligheid van de ZIVVER website, plug-in en webapplicatie (inclusief broncode) als onderdeel van hun dienst Hacking as a Service level Goud. ZIVVER maakt voor de opslag en verwerking van gegevens gebruik van leveranciers die voldoen aan ISO27001 en waarmee bewerkersovereenkomsten zijn gesloten. ZIVVER gebruikt servers in de Europese Economische Ruimte (EER) voor opslag van data. De data verlaten de EER niet. Medewerkers van ZIVVER beschikken over een verklaring omtrent het gedrag en zijn contractueel, op straffe van ontslag, een boete en schadevergoeding, tot geheimhouding gehouden. Toegang tot gegevens op basis van need-to-know, vastgelegd in een autorisatiematrix, inclusief logging van activiteiten. Berichten en bijlagen zijn versleuteld op een manier waardoor alleen verzender en ontvanger toegang hebben. ZIVVER zelf heeft ook geen toegang tot deze informatie. ZIVVER gebruikt SSL-verbindingen op zijn website en voor zijn plug-in en webapplicatie. De authenticiteit van de ZIVVER plug-in kan door middel van een certificaat worden geverifieerd. ZIVVER notificatieberichten zijn voorzien van een digitale handtekening om authenticiteit van de afzender te verifiëren. ZIVVER monitort capaciteitsbeslag van processors en servers om zeer hoge beschikbaarheid te realiseren. Twee-factor authenticatie (2FA) is verplicht om toegang te krijgen tot een ZIVVER account. 2FA is beschikbaar bij het verzenden van individuele berichten. ZIVVER heeft een Privacy en Security Officer die toeziet op de handhaving van het informatiebeveiligingsbeleid. ZIVVER heeft een protocol voor signaleren en opvolgen van incidenten. ZIVVER versleutelt alle informatie verwerkende apparatuur. ZIVVER hanteert gescheiden ontwikkel- en productieomgevingen. ZIVVER zorgt voor volledige logging van berichtenverkeer en frequente back-ups van de operationele databases 9

10 ANNEX 3: Contactgegevens Naam: Functie: Adres: 10

11 ANNEX 4: Overzicht subbewerkers ZIVVER kan de onderstaande subbewerkers inzetten bij het uitvoeren van zijn dienstverlening: Bewerking Subbewerkers Opmerkingen Huur van processorcapaciteit voor analyse berichtinhoud o.b.v. business rules Amazon AWS, Microsoft Azure, CloudVPS ISO27001 gecertificeerde datacenters in de EER. Geen opslag van data. Bewerkersovereenkomsten Huur van servercapaciteit voor opslag versleutelde berichten + bijlagen Verzenden notificatieberichten Verzenden smsauthenticatieberichten Amazon AWS, Microsoft Azure, CloudVPS Amazon AWS, Microsoft Azure MessageBird, Spryng, BulkSMScenter, CM gesloten. ISO27001 gecertificeerde datacenters in de EER. Bewerkersovereenkomsten gesloten. ISO27001 gecertificeerde datacenters in de EER. Bewerkersovereenkomsten gesloten. ISO27001 gecertificeerde datacenters in de EER. Bewerkersovereenkomsten gesloten. 11