BIJLAGE 2: VERWERKERSOVEREENKOMST

Transcriptie

1 BIJLAGE 2: VERWERKERSOVEREENKOMST De ondergetekenden: I., gevestigd en kantoorhoudende te, postcode aan die ter zake rechtsgeldig wordt vertegenwoordigd door (hierna te noemen: de verantwoordelijke) II. De besloten vennootschap met beperkte aansprakelijkheid FLEXFRONT B.V., gevestigd en kantoorhoudende te Nieuwegein (3437 AE) aan de Dukatenburg 82, die ter zake rechtsgeldig wordt vertegenwoordigd door haar bestuurder de heer E. Berrevoet, (hierna te noemen: de verwerker); Verantwoordelijke en Verwerker worden gezamenlijk aangeduid als Partijen, ieder individueel zijnde een Partij: OVERWEGENDE DAT: A. Partijen op de Samenwerkingsovereenkomst ("Overeenkomst") zijn aangegaan inzake de begeleiding en uitvoering van het administratieve proces rondom een hypotheekverstrekking. B. Verantwoordelijke verantwoordelijk is voor de verwerking van de persoonsgegevens zoals omschreven in Annex 1 ( Gegevens ); C. Verwerker bij de uitvoering van de Overeenkomst bepaalde persoonsgegevens zal verwerken voor Verantwoordelijke; D. Verantwoordelijke en Verwerker op grond van artikel 28 van de Algemene Verordening Gegevensbescherming deze Verwerkersovereenkomst sluiten waarin de rechten en verplichtingen ten aanzien van de verwerking van de persoonsgegevens zijn geregeld, in het bijzonder ten aanzien van de beveiliging; E. Deze Verwerkersovereenkomst als bijlage zal worden opgenomen bij de Overeenkomst. KOMEN OVEREEN: Artikel 1. Reikwijdte van de Verwerkersovereenkomst 1.1 In geval van strijdigheid tussen het bepaalde in deze Verwerkersovereenkomst en de Overeenkomst, prevaleert het bepaalde in deze Verwerkersovereenkomst. 1.2 Verantwoordelijke geeft hierbij opdracht aan Verwerker om de Gegevens te verwerken namens de Verantwoordelijke op de wijze zoals omschreven in Annex 1 in overeenstemming met de bepalingen van deze Verwerkersovereenkomst. 1.3 Verwerker verwerkt de Gegevens uitsluitend volgens de instructies van de Verantwoordelijke in overeenstemming met de aanwijzingen in deze Verwerkersovereenkomst, met name die in Annex 1. Verwerker bevestigt de Gegevens niet voor andere of eigen doeleinden te zullen verwerken. 1.4 Verwerker heeft geen zeggenschap over het doel en de middelen voor de verwerking van de Gegevens. 1.5 De Verantwoordelijke kan aanvullende, schriftelijke instructies aan Verwerker geven in geval van aanpassingen of wijzigingen in de van toepassing zijnde regelgeving op het gebied van bescherming van persoonsgegevens. 1.6 Verwerker verwerkt de Gegevens enkel in de Europese Economische Ruimte (EER), tenzij een op Verwerker toepasselijke wettelijke bepaling haar verplicht de Gegevens buiten de EER te verwerken. In dat geval informeert Verwerker Verantwoordelijke hierover voorafgaand aan de verwerking, tenzij dit om gewichtige redenen van algemeen belang niet is toegestaan.

2 Artikel 2. Geheimhouding 2.1 Verwerker verplicht de personen die in zijn dienst zijn, dan wel werkzaamheden voor hem verrichten, tot geheimhouding met betrekking tot al hetgeen waarvan zij met betrekking tot de uitvoering van deze Verwerkersovereenkomst en de Overeenkomst kennis kunnen nemen. Indien dit voor voornoemde personen niet reeds contractueel is vastgelegd, zal Verwerker deze personen een geheimhoudingsverplichting opleggen voor de Gegevens waarvan zij kennis zullen nemen. Deze verplichting zal schriftelijk worden vastgelegd en een kopie daarvan zal op eerste verzoek van de Verantwoordelijke ter inzage worden aangeboden. Artikel 3. Geen verdere verstrekking 3.1 Verwerker zal de Gegevens onder geen omstandigheden delen met of verstrekken aan derden, tenzij Verwerker daartoe voorafgaande, schriftelijke toestemming of opdracht heeft verkregen, dit uit de aard van de opdracht voortvloeit (zoals verstrekking aan geldverstrekkers) of op grond van dwingendrechtelijke regelgeving daartoe verplicht is. Indien Verwerker op grond van dwingendrechtelijke regelgeving verplicht is om de Gegevens te delen met of te verstrekken aan de Autoriteit Persoonsgegevens, dan zal Verwerker de Verantwoordelijke hierover voorafgaand schriftelijk en onverwijld informeren, tenzij dit niet is toegestaan onder de genoemde regelgeving. Artikel 4. Beveiligingsmaatregelen 4.1 Verwerker zal rekening houdend met de van toepassing zijnde regelgeving op het gebied van bescherming van persoonsgegevens, de stand van de techniek en de kosten van tenuitvoerlegging technische en organisatorische beveiligingsmaatregelen treffen om te zorgen voor beschikbaarheid, integriteit en vertrouwelijkheid van de Gegevens en om de Gegevens te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking. De door Verwerker genomen beveiligingsmaatregelen zijn op te vragen bij Verwerker. Artikel 5. Toezicht op naleving 5.1 Verantwoordelijke heeft de mogelijkheid jaarlijks een audit te laten uitvoeren door een onafhankelijk register auditor. De kosten hiervan zijn voor Verantwoordelijke. Artikel 6. Datalek 6.1 Zo spoedig mogelijk nadat Verwerker kennisneemt van een (vermoedelijke) inbreuk in verband met Gegevens ( Datalek ), van welke aard dan ook, stelt Verwerker Verantwoordelijke hiervan op de hoogte via de bij Verwerker bekende contactgegevens van Verantwoordelijke en zal Verwerker in ieder geval informatie verstrekken over: a) de aard van het Datalek, b) de (mogelijk) getroffen Gegevens, c) de vastgestelde en verwachte gevolgen van het Data-lek, en d) de maatregelen die Verwerker getroffen heeft en zal treffen om het Datalek op te lossen dan wel de gevolgen/schade zoveel mogelijk te beperken. 6.2 Verwerker zal voor eigen rekening alle benodigde maatregelen treffen die nodig zijn om de (mogelijke) schade te beperken en zal Verantwoordelijke ondersteunen bij meldingen aan betrokkenen en/of autoriteiten. 6.3 Verwerker houdt in haar administratie Datalekken van Verantwoordelijke en de getroffen maatregelen bij en geeft Verantwoordelijke daar op verzoek inzage in.

3 Artikel 7. Medewerking bij klachten, verzoeken en uitoefening rechten door betrokkenen 7.1 Verwerker informeert Verantwoordelijke direct over klachten, verzoeken of vragen van klanten van Verantwoordelijke terzake deze verwerking. Verwerker mag zich niet rechtstreeks tot een klant van Verantwoordelijke wenden, behalve wanneer Verantwoordelijke dit specifiek heeft geïnstrueerd. 7.2 Verwerker stelt Verantwoordelijke in staat om binnen de wettelijke termijnen te voldoen aan de rechten van betrokkenen, zoals het recht op inzage, verbetering of verwijdering. Artikel 8. Sub-verwerkers 8.1 Verantwoordelijke verleent hierbij aan Verwerker toestemming voor het inschakelen van Subverwerkers. Het overzicht van Sub-verwerkers die op het moment van ondertekenen van deze Verwerkersovereenkomst door Verwerker zijn ingeschakeld staat vermeld in het FAST adviseursportal (onder Aankondigingen/AVG) van Verwerker. 8.2 Verwerker zal veranderingen in de Sub-verwerkers steeds vooraf communiceren via deze portal. Verantwoordelijke heeft alsdan de mogelijkheid om bezwaar te maken tegen deze verandering. Komen Partijen niet tot een oplossing, dan heeft Verantwoordelijke het recht de Overeenkomst per direct op te zeggen. 8.3 Op verzoek van Verantwoordelijke zal Verwerker een kopie van de met deze sub-verwerkers gesloten sub-verwerkersovereenkomsten ter inzage verstrekken. Artikel 9. Aansprakelijkheid 9.1 Verwerker is, overeenkomstig het bepaalde in artikel 82 AVG, aansprakelijk voor schade voortvloeiende uit aan Verwerker toerekenbare schendingen van de wet- en regelgeving betreffende de verwerking van Gegevens in het kader van zijn werkzaamheden onder deze Verwerkersovereenkomst en/of niet-nakoming door Verwerker van rechtmatige instructies van Verantwoordelijke. Artikel 10. Duur en beëindiging 10.1 Deze Verwerkersovereenkomst is geldig zolang Verwerker de opdracht heeft van Verantwoordelijke om Gegevens te verwerken op grond van de Overeenkomst tussen Verantwoordelijke en Verwerker. Deze Verwerkersovereenkomst eindigt automatisch zodra de dienstverlening op grond van de Overeenkomst eindigt, een en ander met inachtneming van het in deze Verwerkersovereenkomst bepaalde Bij beëindiging van deze Verwerkersovereenkomst heeft Verantwoordelijke vier weken de tijd om Verwerker te verzoeken om alle Gegevens van Verantwoordelijke te retourneren in een algemeen gebruikelijk leesbaar format aan Verantwoordelijke, ongeacht of de inhoud is vervaardigd of gecreëerd door Verwerker, Verantwoordelijke of een derde. Na het verstrijken van deze termijn zal Verwerker gerechtigd zijn tot vernietiging van de Gegevens tenzij Verwerker op grond van wet- en/of regelgeving gehouden is de Gegevens te bewaren Indien Verwerker op grond van een wettelijke bewaarplicht bepaalde Gegevens een wettelijke bepaalde termijn moet bewaren, dan zal Verwerker zorgdragen voor de vernietiging van deze Gegevens na beëindiging van die wettelijke bewaartermijn Na beëindiging van de Verwerkersovereenkomst zal Verwerker geen Gegevens verwerken in strijd met het bepaalde in deze Verwerkersovereenkomst Zo lang Verwerker Gegevens onder zich heeft blijven alle in deze Verwerkersovereenkomst genoemde afspraken van kracht.

4 Namens Namens FlexFront (Handtekening) Naam: Functie: Datum: (Handtekening) Naam: Functie: Datum: Annexes: 1. Overzicht Gegevens en doeleinden en toegang 2. Overzicht beveiligingsmaatregelen getroffen door Verwerker

5 Annex 1: Overzicht Gegevens, doeleinden en toegang Verzameldoel: Het vastleggen en doorgeven van benodigde gegevens aan aanbieders van financiële producten voor aangaan en uitvoeren van verzekerings-, en (hypothecair) krediet- overeenkomsten. Categorieën persoonsgegevens: NAW-gegevens Burgerlijke staat Geboortedatum Nationaliteit Telefoon / gegevens Beroep / functie Gezinssamenstelling Geslacht Werkgever(s) Inkomens- of salarisgegevens Gegevens betreffende afgesloten financiële producten (via verantwoordelijke, dan wel bij of via derde(n)) Bankrekeningnummer(s) Toetsing BKR, Crif, Schufa, NBB, KSV, CBB Categorieën betrokkenen: aanvragers van verzekerings-, en (hypothecair) krediet- overeenkomsten Bewaartermijnen: Gegevens die in het kader van het Cliëntenonderzoek zoals bedoeld in de WWFT zijn vergaard worden 5 jaar bewaard na het uitvoeren van de transactie. Overige persoonsgegevens worden bewaard tot 5 jaar nadat de betreffende aanvraag voor een verzekerings-, en/of (hypothecair) kredietovereenkomst tot een daadwerkelijke overeenkomst heeft geleid. Indien een aanvraag niet tot een daadwerkelijke overeenkomst heeft geleid worden de persoonsgegevens bewaard tot één jaar nadat de aanvraag is afgewezen.

6 Annex 2: Overzicht beveiligingsmaatregelen getroffen door Verwerker Verwerker heeft de volgende maatregelen getroffen ter beveiliging van verwerkte persoonsgegevens. Kantoor netwerk Internet toegang: o Eigen internet verbinding o Watchguard Firewall met Unified Threat Management Werkplek omgeving o Hosted in datacenter - ISO gecertificeerd o Toegang middels Citrix beveiligingschil Applicatie SSL beveiligd Toegang medewerkers met two factor authenticatie Hosted in datacenter - ISO gecertificeerd Web Application Firewall DDOS protectie schil Documenten worden encrypted (versleuteld) opgeslagen Database data is encrypted (versleuteld) opgeslagen Gegevens uitwisseling in de keten op basis van HDN