VERWERKERSOVEREENKOMST KRYB

Transcriptie

1 VERWERKERSOVEREENKOMST KRYB gesloten op (datum) tussen SHARE-ID een besloten vennootschap naar Nederlands recht, ingeschreven in het handelsregister van de Kamer van Koophandel onder nummer gevestigd te Nederland, Citadel 6, 3905 NK, Veenendaal hierna te noemen Verantwoordelijke en (naam) een (rechtsvorm) naar Nederlands recht, ingeschreven in het handelsregister van de Kamer van Koophandel onder nummer gevestigd te Nederland, (adres) hierna te noemen Verwerker hierna gezamenlijk ook aan te duiden als Partijen. Overwegende dat: - Partijen op (datum) een overeenkomst zijn aangegaan met als onderwerp (onderwerp overeenkomst); - in het kader van de uitvoering van die overeenkomst persoonsgegevens worden verwerkt; - Verantwoordelijke grote waarde hecht aan het op adequate wijze beschermen en beveiligen van deze persoonsgegevens en Partijen daarom afspraken wensen vast te leggen met betrekking tot de verwerking van die persoonsgegevens; zijn Partijen als volgt overeengekomen. 1. Definities De hierna volgende dikgedrukte begrippen met hoofdletter geschreven hebben in deze overeenkomst telkens de volgende betekenis: 1.1 Hoofdovereenkomst: de aan deze Overeenkomst ten grondslag liggende overeenkomst; 1.2 Overeenkomst: deze verwerkersovereenkomst, inclusief bijlagen; 1.3 Persoonsgegevens: informatie over een geïdentificeerde of identificeerbare natuurlijke persoon ( Betrokkene ); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name Paraaf Verantwoordelijke: Paraaf Verwerker: Pagina 1 van 8

2 aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon; 1.4 Toezichthouder: de Autoriteit Persoonsgegevens; 1.5 Verwerking: een bewerking of een geheel van bewerkingen met betrekking tot Persoonsgegevens of een geheel van Persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedures, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens; 1.6 Verwerkingsverantwoordelijke: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de Verwerking van Persoonsgegevens vaststelt; 1.7 Verwerker: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de Verwerkingsverantwoordelijke Persoonsgegevens verwerkt. 2. Duur en Beëindiging 2.1 Deze Overeenkomst treedt in werking op het moment van ondertekening door de Partijen en duurt voort zolang de Hoofdovereenkomst tussen Partijen van kracht is. Op het moment dat de Hoofdovereenkomst, om welke reden dan ook, eindigt, komt ook deze Overeenkomst automatisch tot een einde. 2.2 Na beëindiging van deze Overeenkomst blijven op Verwerker rustende lopende verplichtingen uit deze Overeenkomst voortduren indien dat noodzakelijk is om die bepalingen hun doel te geven. Dit betreft in ieder geval de verplichting tot het melden van datalekken, als ook de geheimhoudingsplicht. 3. Verplichtingen Verwerker 3.1 Verwerker zal ten behoeve van Verantwoordelijke de door Verantwoordelijke verzamelde en aan hem ter beschikking gestelde Persoonsgegevens verwerken. 3.2 Verwerker zal enkel handelen in opdracht van Verantwoordelijke conform de Hoofdovereenkomst. Persoonsgegevens, zoals beschreven in Bijlage 1, mogen enkel worden verwerkt volgens de instructies van Verantwoordelijke en voor de in Bijlage 1 beschreven doelen. 3.3 Verwerker dient zich te allen tijde aan de wet te houden en bij de Verwerking van de Persoonsgegevens te handelen op een zorgvuldige en transparante wijze. 3.4 Verwerker zal geen andere personen of bedrijven inschakelen te behoeve van de Verwerking zonder voorafgaande toestemming van Verantwoordelijke. Indien Verantwoordelijke de daarvoor vereiste toestemming geeft, is dit altijd onder de voorwaarde dat zulke personen en bedrijven ook ten minste voldoen aan dezelfde eisen en voorwaarden die gelden voor de Verwerker onder de toepasselijke privacywetgeving en deze Overeenkomst. Paraaf Verantwoordelijke: Paraaf Verwerker: Pagina 2 van 8

3 3.5 Indien Verantwoordelijke een verzoek van een Betrokkene ontvangt om diens Persoonsgegevens in te zien, te wijzigen, te verwijderen, over te dragen of indien een Betrokkene anderszins diens rechten wenst uit te uitoefenen onder de toepasselijke privacywetgeving, dan dient Verwerker hier zijn volledige medewerking aan te verlenen en aan elk verzoek te voldoen binnen 14 dagen na ontvangst daarvan. 3.6 Indien Verantwoordelijke informatie wenst te ontvangen voor het maken van risicobeoordelingen van de Verwerking van Persoonsgegevens, dan dient Verwerker zulke informatie onverwijld aan Verantwoordelijke te verschaffen. 3.7 Verwerker spant zich ten volste in om te voldoen aan alle bepalingen van deze Overeenkomst. 4. Beveiliging Persoonsgegevens 4.1 Verwerker draagt zorg voor adequate en passende beveiliging van ontvangen Persoonsgegevens en neemt technische en organisatorische maatregelen om te voorkomen dat data verloren gaan of op andere wijze onrechtmatig worden verwerkt. In Bijlage 2 is een overzicht opgenomen van maatregelen die, gebaseerd op het risico van de Verwerking, door Verwerker worden genomen. 4.2 Verwerker zal, om Verantwoordelijke in staat te stellen controle uit te oefenen op de genomen beveiligingsmaatregelen, jaarlijks een rapport opmaken omtrent deze beveiligingsmaatregelen en het gevoerde beleid. 4.3 Verantwoordelijke is, op eigen kosten, gerechtigd om van Verwerker een evaluatierapport te vragen met betrekking tot de Verwerking van Persoonsgegevens alsmede om bij Verwerker een audit uit te laten voeren zodat Verantwoordelijke kan bepalen of de Verwerking van Persoonsgegevens conform de wettelijke bepalingen en deze Overeenkomst plaatsvindt. Verwerker is verplicht hieraan zijn volledige medewerking te verlenen. Mocht uit de resultaten van een dergelijke evaluatie of audit blijken dat enige bepaling niet behoorlijk wordt nagekomen, dan zal Verwerker de kosten van die evaluatie of audit aan Verantwoordelijke vergoeden. Deze vergoeding laat onverlet alle andere juridische maatregelen die Verantwoordelijke in zo n geval ten dienste staan. 5. Exporteren Persoonsgegevens 5.1 Verwerker zal geen Persoonsgegevens laten verwerken door personen of organisaties die niet gevestigd zijn in de Europese Economische Ruimte zonder de voorafgaande toestemming van Verantwoordelijke. 6. Geheimhouding 6.1 Verwerker dient ontvangen Persoonsgegevens te allen tijde geheim te houden, tenzij Verwerker op basis van een wettelijke verplichting gedwongen is Persoonsgegevens vrij te geven. 6.2 Verwerker is er zelfstandig voor verantwoordelijk dat en zal waarborgen dat al zijn personeelsleden en ingeschakelde hulppersonen aan een zelfde verplichting tot geheimhouding worden verbonden. Paraaf Verantwoordelijke: Paraaf Verwerker: Pagina 3 van 8

4 7. Datalekken 7.1 Indien er sprake is van een (mogelijk) datalek of beveiligingsincident, dient Verwerker Verantwoordelijke hierover zo snel mogelijk, maar in ieder geval binnen 24 uur nadat dit lek of incident is ontdekt, te informeren. 7.2 Een melding als bedoeld in 7.1 dient in ieder geval de informatie te bevatten als bedoeld in Bijlage 3. Deze informatie is benodigd om de Verantwoordelijke in staat te stellen om, in voorkomend geval, zo volledig mogelijk te rapporteren aan de Toezichthouder. 7.3 Na melding van een datalek of incident zal Verwerker Verantwoordelijke volledig en op regelmatige basis op de hoogte houden van ontwikkelingen met betrekking tot het datalek alsmede de maatregelen die worden genomen door Verwerker om het lek te dichten en soortgelijke lekken in de toekomst te voorkomen. 7.4 Het informeren van de Toezichthouder en eventuele Betrokkenen is exclusief voorbehouden aan Verantwoordelijke. Indien Verwerker direct wordt benaderd door een Betrokkene zal Verwerker de Betrokkene doorverwijzen naar Verantwoordelijke en zelf geen enkele andere actie ondernemen. 8. Aansprakelijkheid 8.1 Verwerker is aansprakelijk voor alle schade voortvloeiend uit of samenhangend met het niet nakomen van een op hem rustende verplichting uit de wet of deze Overeenkomst. 8.2 Verwerker is ook aansprakelijk voor het vergoeden van een bestuurlijke boete opgelegd aan Verantwoordelijke als die het gevolg is van of direct samenhangt met het schenden van enige verplichting uit de wet of deze Overeenkomst of ander onrechtmatig handelen van Verwerker. 8.3 Verantwoordelijke is niet aansprakelijk voor schade geleden door Betrokkenen en andere personen of bedrijven waarmee Verwerker samenwerkt, indien die schade het gevolg is van het onrechtmatig handelen of nalaten van Verwerker. 9. Bewaartermijn en Teruggave Persoonsgegevens 9.1 Op het moment dat deze Overeenkomst eindigt, dient Verwerker alle Persoonsgegevens waarover hij beschikt in het kader van de Hoofdovereenkomst terug te geven aan Verantwoordelijke. Indien Persoonsgegevens achterblijven, om welke reden dan ook, dienen deze permanent en op zorgvuldige wijze te worden verwijderd en vernietigd door Verwerker. 9.2 Op verzoek van Verantwoordelijke, of op het moment dat een wettelijke bewaartermijn is verstreken, dient Verwerker Persoonsgegevens permanent en op zorgvuldige wijze te verwijderen en vernietigen. 9.3 Op verzoek van Verantwoordelijke zal Verwerker een schriftelijke verklaring ondertekenen dat hij aan bovenstaande verplichtingen tot verwijdering en vernietiging heeft voldaan. 10. Algemeen Paraaf Verantwoordelijke: Paraaf Verwerker: Pagina 4 van 8

5 10.1 Deze Overeenkomst kan slechts worden gewijzigd door ondertekening van een schriftelijke verklaring door beide Partijen Deze Overeenkomst, tezamen met de Hoofdovereenkomst, bevat alle afspraken tussen Partijen met betrekking tot het onderwerp van deze Overeenkomst en vervangt alle voorgaande afspraken, overeenkomsten, voorstellen en communicatie tussen Partijen met betrekking tot het onderwerp van deze Overeenkomst. 11. Toepasselijk Recht 11.1 Op deze Overeenkomst en de uitvoering ervan is Nederlands recht van toepassing Geschillen voortvloeiend uit of verband houdend met deze Overeenkomst worden voorgelegd aan de rechtbank Midden-Nederland, tenzij wettelijke competentieregels dwingend anders voorschrijven. Aldus overeengekomen en ondertekend voor akkoord in tweevoud. VERANTWOORDELIJKE namens SHARE-ID B.V. VERWERKER namens (bedrijf) (handtekening) (handtekening) B. Smits, directeur (naam), (functie) (plaats) (plaats) (datum) (datum) Paraaf Verantwoordelijke: Paraaf Verwerker: Pagina 5 van 8

6 BIJLAGE 1 Beschrijving verwerkingsactiviteiten Verwerkingsverantwoordelijke Verwerker Sub-verwerkers Verwerkingsdoelen Verwerkte Persoonsgegevens Locatie Verwerkingen Bewaartermijn Paraaf Verantwoordelijke: Paraaf Verwerker: Pagina 6 van 8

7 BIJLAGE 2 Overzicht van technische en organisatorische beveiligingsmaatregelen en het beveiligingsbeleid van Verwerker. Paraaf Verantwoordelijke: Paraaf Verwerker: Pagina 7 van 8

8 BIJLAGE 3 Informatie voor de Verantwoordelijke in geval van een (mogelijk) datalek of beveiligingsincident (hierna samen te noemen incident ). 1. Samenvatting van het incident. 2. Datum van het incident of periode waarin (zo nauwkeurig mogelijk) het incident plaatsvond. 3. Oorzaak van het incident en (indien mogelijk) een inschatting van hoe dit heeft kunnen gebeuren. 4. Typen Persoonsgegevens betrokken bij het incident (zoals naam, adres, adres, Burgerservicenummer, pasfoto en ieder ander tot een persoon te herleiden gegeven). 5. Aantal (minimum en maximum aantal) personen van wie Persoonsgegevens betrokken zijn bij het incident. 6. Omschrijving groep personen om wiens Persoonsgegevens het gaat. 7. Contactgegevens van de Betrokkenen (indien Betrokkenen geïnformeerd moeten worden over het incident, hoe hen te bereiken). Paraaf Verantwoordelijke: Paraaf Verwerker: Pagina 8 van 8