VERWERKERSOVEREENKOMST

Transcriptie

1 VERWERKERSOVEREENKOMST Deze verwerkersovereenkomst is opgesteld in aansluiting op de AVG wetgeving. En is van toepassing op samenwerking tussen de gebruikers van het QarQuest-platform (de Verwerkingsverantwoordelijke) en QarQuest BV (de Verwerker). Partij A: : De gebruiker van het QarQuest platform, hierna te noemen de Verwerkingsverantwoordelijke; En Partij B: De aanbieder van het QarQuest platform, QarQuest B.V., hierna te noemen de Verwerker; Verwerkingsverantwoordelijke en Verwerker worden afzonderlijk tevens genoemd Partij of gezamenlijk Partijen. Overwegende, dat: Verwerkingsverantwoordelijke aan Verwerker de opdracht heeft verstrekt voor het gebruik van het QarQuest platform (hierna: de Opdracht ), één en ander conform de tussen partijen gesloten overeenkomst en afspraken (hierna: het Contract ); de Verwerkingsverantwoordelijke in het kader van de uitvoering van de Opdracht en het Contract door Verwerker, aan Verwerker direct of indirect gegevens zal verstrekken die kunnen kwalificeren als Persoonsgegevens, welke gegevens Verwerker ten behoeve van Verwerkingsverantwoordelijke zal Verwerken; Verwerkingsverantwoordelijke en Verwerker in aanvulling op de al tussen partijen gesloten overeenkomsten, waaronder het Contract, de onderhavige Verwerkersovereenkomst wensen te sluiten om de rechten en verplichtingen voortvloeiend uit artikel 28 lid 3 van de AVG ten aanzien van de Verwerking van Persoonsgegevens vast te leggen. 1 DEFINITIES Partijen hanteren in deze Overeenkomst de onderstaande duidingen, afkortingen en definities: AVG Betrokkene Datalek Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de Verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (Algemene Verordening Gegevensbescherming). De natuurlijke persoon op wie een Persoonsgegeven betrekking heeft. Een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de

2 ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins Verwerkte Persoonsgegevens. EU Incident Overeenkomst Persoonsgegeven(s) Privacy Wet- en Regelgeving Subverwerker Vertegenwoordiger Verwerker De lidstaten van de Europese Unie en, vanaf het moment dat de AVG is geïncorporeerd in de overeenkomst betreffende de Europese Economische Ruimte: IJsland, Liechtenstein en Noorwegen. Iedere redelijke kans op of vrees voor een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze kan leiden tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins Verwerkte Persoonsgegevens. Deze verwerkersovereenkomst tussen Verwerkingsverantwoordelijke en Verwerker, inclusief de appendices waarnaar wordt verwezen. Alle informatie die een natuurlijke persoon identificeert of identificeerbaar maakt. Als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon. Alle wetten en regelingen, inclusief de wetten en regelingen zoals afkomstig van (enig orgaan of enige institutie van) de Europese Unie, de Europese Economische Ruimte en hun lidstaten, zoals van toepassing op de Verwerking van Persoonsgegevens onder het Contract, zoals, maar niet beperkt tot de Wbp, de AVG en de wetten en regels die de AVG binnen de Nederlandse rechtsorde implementeert. Degene die de Verwerker bijstaat in de Verwerking van Persoonsgegevens. Een in de Unie gevestigde natuurlijke persoon of rechtspersoon die uit hoofde van artikel 27 AVG schriftelijk door de Verwerkingsverantwoordelijke of de Verwerker is aangewezen om de Verwerkingsverantwoordelijke of de Verwerker te vertegenwoordigen in verband met hun respectieve verplichtingen krachtens de AVG. Een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt. 2

3 Verwerken / verwerking Verwerkingsverantwoordelijke Wbp Een bewerking of een geheel van bewerkingen met betrekking tot Persoonsgegevens of een geheel van Persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van Persoonsgegevens. De natuurlijke- of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de Verwerking van Persoonsgegevens vaststelt. Wet van 6 juli 2000, houdende regels inzake de bescherming van persoonsgegevens (Wet bescherming persoonsgegevens) van kracht tot 25 mei ARTIKEL 1. DOELEINDEN VAN VERWERKING 1.1 De Verwerker verbindt zich onder de voorwaarden van deze Verwerkersovereenkomst in opdracht van Verwerkingsverantwoordelijke Persoonsgegevens te Verwerken. Verwerking zal uitsluitend plaatsvinden in het kader van het gebruik van het QarQuest platform en de administratie daarvan ten behoeve van de Verwerkingsverantwoordelijke, plus de doeleinden die daarmee redelijkerwijs samenhangen of die met nadere instemming worden bepaald De in opdracht van Verwerkingsverantwoordelijke te Verwerken Persoonsgegevens blijven eigendom van Verwerkingsverantwoordelijke. 1.3 Verwerker zal de Persoonsgegevens niet voor enig ander doel Verwerken dan door Verwerkingsverantwoordelijke is vastgesteld. Verwerkingsverantwoordelijke zal Verwerker op de hoogte stellen van de verwerkingsdoeleinden voor zover deze niet reeds in deze Verwerkersovereenkomst zijn genoemd. Verwerkingsverantwoordelijke instrueert Verwerker hierbij de Persoonsgegevens te Verwerken voor de volgende doeleinden: Verwerking zoals voortvloeit uit het Contract; Verwerking om de eventuele verdere instructies van de Verwerkingsverantwoordelijke op basis van de Overeenkomst na te komen, zoals maar niet beperkt tot instructies per Partijen bevestigen dat Verwerkersverantwoordelijke volledig verantwoordelijk is voor het vaststellen van het doel en de middelen voor de verwerking van Persoonsgegevens. De Verwerker verwerkt de Persoonsgegevens uitsluitend ten behoeve van de Verwerkingsverantwoordelijke. 1.5 De Verwerker zal gegevens Verwerken afkomstig van de Verwerkingsverantwoordelijke. De gegevens kunnen betrekking hebben op de Verwerkingsverantwoordelijke en medewerkers van de Verwerkingsverantwoordelijke.

4 1.6 De Verwerker Verwerkt standaard onder meer de volgende gegevenssoorten: NAW-gegevens, geslacht, nationaliteit, telefoonnummer, adres, geboortegegevens, woongegevens, bankgegevens, functie. ARTIKEL 2. VERPLICHTINGEN VERWERKER 2.1 Ten aanzien van de in artikel 1 genoemde Verwerkingen zal Verwerker zorg dragen voor de naleving van de toepasselijke Privacy Wet- en Regelgeving. 2.2 Verwerker zal Verwerkingsverantwoordelijke, op diens eerst verzoek daartoe, informeren over de door haar genomen maatregelen aangaande haar verplichtingen onder deze Verwerkersovereenkomst. 2.3 De verplichtingen van de Verwerker die uit deze Verwerkersovereenkomst voortvloeien, gelden ook voor degenen die Persoonsgegevens Verwerken onder het gezag van Verwerker, waaronder begrepen maar niet beperkt tot werknemers. Zo gelden de verplichtingen voor Subverwerkers en worden de verplichtingen vastgelegd in een overeenkomst tussen Verwerker en Subverwerker. 2.4 Verwerkingsverantwoordelijke stemt in met het gebruik van Subverwerkers door de Verwerker. Gelet op Artikel 28, lid 4 van de AVG, is de Verwerker aansprakelijk wanneer een directe Subverwerker van de Verwerker de afgesproken verplichtingen niet nakomt. 2.5 Verwerker stelt de Verwerkingsverantwoordelijke in kennis indien naar zijn mening een instructie van Verwerkingsverantwoordelijke een mogelijke inbreuk oplevert op de Privacy Wet- en Regelgeving of hiertoe kan leiden. Verwerker vergezelt deze kennisgeving van de gemotiveerde redenen waarom Verwerker van mening is dat dat een mogelijke inbreuk op de Privacy Wet- en Regelgeving heeft plaats gevonden. 4 ARTIKEL 3. DOORGIFTE VAN PERSOONSGEGEVENS 3.1 Verwerker Verwerkt de Persoonsgegevens in landen binnen de Europese Unie en landen buiten de Europese Unie waarbij de Europese Commissie reeds een positief oordeel heeft gegeven over het beschermingsniveau van persoonsgegevens (verder: Landenlijst ). Zonder de voorafgaande expliciete schriftelijke toestemming van Verwerkingsverantwoordelijke zal Verwerker Persoonsgegevens niet buiten de Europese Unie en de Landenlijst transporteren, noch doorgeven aan Subverwerkers buiten de Europese Unie en de Landenlijst. Voor de interpretatie van dit artikel wordt onder Verwerken tevens uitdrukkelijk verstaan de opslag en kennisname van Persoonsgegevens. ARTIKEL 4. VERDELING VAN VERANTWOORDELIJKHEID 4.1 De toegestane Verwerkingen zullen door medewerkers van Verwerker worden uitgevoerd binnen een (niet)geautomatiseerde omgeving. 4.2 Verwerker is louter verantwoordelijk voor de verwerking van de Persoonsgegevens onder deze Verwerkersovereenkomst, overeenkomstig de instructies van Verwerkingsverantwoordelijke en

5 onder de uitdrukkelijke (eind)verantwoordelijkheid van Verwerkingsverantwoordelijke. Voor de overige verwerkingen van Persoonsgegevens, waaronder in ieder geval begrepen maar niet beperkt tot de verzameling van de Persoonsgegevens door de Verwerkingsverantwoordelijke, verwerkingen voor doeleinden die niet door Verwerkingsverantwoordelijke aan Verwerker zijn gemeld, verwerkingen door derden en/of voor andere doeleinden, is Verwerker uitdrukkelijk niet verantwoordelijk. 4.3 Verwerkingsverantwoordelijke garandeert dat de inhoud, het gebruik en de opdracht tot de verwerkingen van de Persoonsgegevens zoals bedoeld in deze Overeenkomst, niet onrechtmatig zijn en geen inbreuk maken op enig recht van derden. ARTIKEL 5. BEVEILIGING 5.1 Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de Verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen, treft Verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. Hieronder vallen onder meer de volgende maartregelen: a) De beheersingsmaatregelen op organisatorisch vlak bieden een redelijke mate van zekerheid dat de organisatie taken, bevoegdheden en verantwoordelijkheden goed heeft belegd. b) De beheersingsmaatregelen op het gebied van fysieke beveiliging bieden een redelijke mate van zekerheid ter bescherming tegen bedreigingen van buitenaf om de continuïteit van de dienstverlening te kunnen waarborgen alsmede de integriteit van de geautomatiseerde gegevensverwerking. 5 c) De beheersingsmaatregelen op het gebied van logische beveiliging bieden een redelijke mate van zekerheid om te waarborgen dat de toegang tot het netwerk, kritieke applicaties en systemen alleen mogelijk is voor geïdentificeerde, geauthenticeerde en geautoriseerde personen. d) De beheersingsmaatregelen op het gebied van securitymanagement bieden een redelijke mate van zekerheid dat alle risico's ten aanzien van vertrouwelijkheid, integriteit, beschikbaarheid en controleerbaarheid systematisch in kaart worden gebracht en geadresseerd. e) De beheersingsmaatregelen op het gebied van continuïteitsmanagement bieden een redelijke mate van zekerheid dat alle relevante systemen, data en configuraties adequaat worden geback-upt en aantoonbaar herstelbaar zijn, zodat beschikbaarheid en integriteit van gegevens wordt gewaarborgd. 5.2 Verwerker garandeert hierbij dat de geïmplementeerde maatregelen, zoals genoemd in artikel 5.1, minimaal voldoen aan hetgeen bepaald in de Privacy Wet- en Regelgeving en in het bijzonder aan artikel 32 AVG.

6 5.3 Verwerkingsverantwoordelijke stelt enkel Persoonsgegevens beschikbaar aan Verwerker, indien zij zich ervan heeft verzekerd dat de vereiste beveiligingsmaatregelen zijn getroffen. Verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van de door partijen afgesproken maatregelen. 5.4 Wanneer Verwerkingsverantwoordelijke bepaalde beveiligingsmaatregelen mist, kan een verzoek voor een aanvullende maatregel worden ingediend bij Verwerker. Verwerker koppelt binnen 10 werkdagen terug of het verzoek wordt gehonoreerd. Wanneer dit verzoek wordt afgewezen, zal Verwerker een onderbouwing verstrekken waarin de kosten en baten met de bijhorende conclusie staan gedefinieerd. 5.5 Wanneer de Verwerkingsverantwoordelijke een gegevensbeschermingseffectbeoordeling uitvoert waarbij de Verwerker betrokken is, zal de Verwerker meewerken op verzoek van de Verwerkingsverantwoordelijke. Kosten van de afhandeling van verzoeken als bedoeld in dit artikel 5 mag de Verwerker doorbelasten aan de Verwerkingsverantwoordelijke. 5.6 De Verwerker zal indien er grote risico s zijn geconstateerd uit de gegevensbeschermingseffectbeoordeling meewerken aan een voorafgaande raadpleging. ARTIKEL 6. INCIDENTEN EN DATALEKKEN 6.1 Verwerker informeert de Verwerkingsverantwoordelijke zo snel mogelijk over een Incident. Verwerker verzekert zich van de ontvangst van dit bericht door Verwerkingsverantwoordelijke. 6.2 Verwerker informeert de Verwerkingsverantwoordelijke zo snel mogelijk, maar in ieder geval binnen 48 uur na ontdekking hiervan, over een Datalek In de in artikel 6.1 en artikel 6.2 bedoelde meldingen wordt in ieder geval het volgende omschreven of meegedeeld: De aard van het Incident of het Datalek, waar mogelijk onder vermelding van de categorieën van Betrokkenen en Persoonsgegevensregisters in kwestie en, bij benadering, het aantal Betrokkenen en Persoonsgegevensregisters in kwestie; Het contactpunt waar meer informatie kan worden verkregen; de waarschijnlijke gevolgen van het Incident of het Datalek; de maatregelen die de Verwerker voorstelt om het Incident of het Datalek aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan. 6.4 Rekening houdend met de aard van de Verwerking en de hem ter beschikking staande informatie zal de Verwerker de Verwerkingsverantwoordelijke bijstand verlenen bij het doen nakomen van de verplichtingen uit hoofd van artikel 33 en 34 AVG, meer in het bijzonder zal de Verwerker de Verwerkingsverantwoordelijke bijstand verlenen bij het doen van een melding van een Datalek of een vergelijkbaar incident aan de toezichthoudende autoriteit en/of de Betrokkene. 6.5 Verwerker voert een passend beleid ten aanzien van Incidenten en Datalekken, zoals bijvoorbeeld een protocol dat conformeert aan Privacy Wet- en Regelgeving.

7 6.7 Indien de melding zoals bepaald in artikel 6.1 of artikel 6.2 plaatsvindt, houdt Verwerker zich beschikbaar en bereikbaar voor overleg met Verwerkingsverantwoordelijke. 6.8 Verwerkingsverantwoordelijke is exclusief verantwoordelijk voor enige melding aan de Autoriteit Persoonsgegevens of Betrokkenen. ARTIKEL 7. GEHEIMHOUDING 7.1 Verwerker zal de personen die in zijn dienst zijn dan wel werkzaamheden ten behoeve van haar verrichten verplichten tot geheimhouding met betrekking tot de Persoonsgegevens waarvan zij kennis kunnen nemen. 7.2 Hiervan is de verstrekking van Persoonsgegevens uitgezonderd die op verzoek van Verantwoordelijke plaatsvindt of waartoe de Bewerker op grond van een wettelijk voorschrift verplicht is. ARTIKEL 8. AFHANDELING VERZOEKEN VAN BETROKKENEN 8.1 Verwerker zal, rekening houdend met de aard van de Verwerking, de Verwerkingsverantwoordelijke door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bijstand verlenen bij het vervullen van diens plicht om verzoeken om uitoefening van de in hoofdstuk III AVG vastgestelde rechten van de Betrokkene te beantwoorden Verwerker zal, voor zover wettelijk toegestaan, Verwerkingsverantwoordelijke zo spoedig mogelijk op de hoogte stellen indien Verwerker een verzoek van een Betrokkene ontvangt in verband met de rechten die de Privacy Wet- en Regelgeving de Betrokkene biedt. Verwerker zal niet aan enig verzoek van een Betrokkene tegemoet komen zonder overleg met Verwerkingsverantwoordelijke, behoudens om te bevestigen dat het verzoek verband houdt met Verwerkingsverantwoordelijke. 8.2 Indien de Betrokkene een aanvraag voor het uitoefenen van de Privacy Wet- en Regelgeving doet bij de Verwerkingsverantwoordelijke, zal de Verwerker indien geïnformeerd helpen bij het uitoefenen van de Privacy Wet- en Regelgeving. 8.3 Kosten van de afhandeling van verzoeken als bedoeld in dit artikel 8 mag de Verwerker doorbelasten aan de Verwerkingsverantwoordelijke. ARTIKEL 9. AANSPRAKELIJKHEID 9.1 De aansprakelijkheid van Verwerker is beperkt tot schade die door Verwerker is veroorzaakt wanneer bij het Verwerken niet is voldaan aan de specifieke tot Verwerker gerichte instructies voortvloeiend uit Privacy Wet- en Regelgeving of buiten dan wel in strijd met de rechtmatige instructies van de Verwerkingsverantwoordelijke is gehandeld. Daarnaast, en voor zover toelaatbaar op grond van Privacy Wet- en Regelgeving, is de aansprakelijkheid van Verwerker beperkt tot directe

8 schade en tot maximaal de in een jaar door Verwerker ontvangen vergoedingen voor de uitgevoerde werkzaamheden. 9.2 De beperking van aansprakelijkheid als bedoeld in artikel 9.1 komt te vervallen wanneer schade het gevolg is van bewuste roekeloosheid, opzet of het niet treffen van de gestelde maatregelen door Verwerker. ARTIKEL 10. AUDITS 10.1 Verwerkingsverantwoordelijke heeft het recht om op eigen kosten audits uit te (laten) voeren, maar moet de Verwerker hier wel over inlichten. De Verwerker zal alle relevante informatie ter beschikking stellen om aan te kunnen tonen dat er wordt voldaan aan de in dit document genoemde verplichtingen. ARTIKEL 11. DUUR EN BEËINDIGING 11.1 De Overeenkomst treedt in werking na ondertekening door beide Partijen en wordt aangegaan voor de duur van het Contract. De Overeenkomst eindigt van rechtswege wanneer het Contract eindigt, om welke reden dan ook Bij opzegging door een van de partijen wordt een opzegtermijn van twee maanden gehanteerd Als deze Overeenkomst wordt beëindigd zal de Verwerker binnen een redelijke termijn alle Persoonsgegevens die bij haar aanwezig zijn op een passende manier verwijderen, met uitzondering van de geldende wettelijke bewaarplicht van Verwerker. Op aanvraag van de Verwerkingsverantwoordelijke zal de Verwerker de gegevens op een passende manier beschikbaar stellen Deze Overeenkomst mag alleen worden gewijzigd met wederzijdse instemming. ARTIKEL 12. TOEPASSELIJK RECHT 12.1 Alle geschillen die betrekking hebben op, voortvloeien uit, of in verband staan tot deze overeenkomst, kunnen uitsluitend worden voorgelegd aan de bevoegde rechter te s-hertogenbosch Op deze Overeenkomst is Nederlands recht van toepassing. Aldus getekend op 23 mei 2018, Namens Verwerker

9 QarQuest BV Jan Kusters Managing partner 9