Mdel Verwerkersvereenkmst Generieke e-learning Tussen De Staat der Nederlanden, namens Ministerie van Financiën, namens het Directraat-Generaal Belastingdienst En [leverancier], Hrend bij de aanbesteding: IUC16-403 Centrum vr facilitaire dienstverlening Inkpuitveringscentrum (IUC) Opdrachtgever Tiberdreef 12-24 3561 GG Utrecht Pstbus 9799 3561 GT Utrecht www.opdrachtgever.nl versie/cntractnummer: Datum: 31 ktber 2017
Inhudspgave Definities... 3 1. Partijen... 5 2 Delen en Middelen... 6 3 Uitvering, Verwerking... 7 4 Beveiliging... 9 5 Datalekken...10 6 Geheimhuding...11 7 Audits...11 8 Wijzigingen...11 9 Lptijd en Beëindiging...12 10 Sltbepalingen...12 11 Ondertekening...13 Bijlage 1. Beschrijving verwerkingen persnsgegevens...14 Bijlage 2 Beveiligingsmaatregelen...15
Definities De in deze Verwerkersvereenkmst met een beginhfdletter aangeduide begrippen hebben de betekenis die daaraan in dit artikel wrdt tegekend en kmen vereen met de begrippen zals bepaald in de AVG. AVG de Algemene Verrdening Gegevensbescherming ((EU) 2016/679), welke p 4 mei 2016 is gepubliceerd in het Publicatieblad van de Eurpese Unie en 20 dagen na deze publicatie in werking is getreden. Vanaf 25 mei 2018 is de AVG van tepassing. Betrkkene(n): degene(n) p wie een Persnsgegeven betrekking heeft. Persnsgegeven(s): elk gegeven betreffende een natuurlijk persn die daardr direct f indirect kan wrden geïdentificeerd, met name aan de hand van een identificatienummer f van één f meer specifieke elementen die kenmerkend zijn vr zijn f haar fysieke, fysilgische, psychische, ecnmische, culturele f sciale identiteit. Verwerkingsverantwrdelijke: Verwerker: de partij die het del van en de middelen vr de Verwerking van de Persnsgegevens vaststelt. In deze Verwerkersvereenkmst is dit <NAAM OPDRACHTGEVER>. de partij die dr Verwerkingsverantwrdelijke wrdt ingeschakeld als verwerker ten beheve van de Verwerking van de Persnsgegevens in het kader van deze Verwerkersvereenkmst en de Overeenkmst. In deze Verwerkersvereenkmst is dit Emplyee Perfrmance Grup. Verwerken/Verwerking: elke handeling f geheel van handelingen met betrekking tt de Persnsgegevens, waarnder in ieder geval het verzamelen, vastleggen, rdenen, bewaren, bijwerken, wijzigen, pvragen, raadplegen, gebruiken, verstrekken dr middel van drzending, verspreiding f enige andere vrm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen f vernietigen van gegevens. Verwerkersvereenkmst: Datalek: de nderhavige verwerkersvereenkmst. een inbreuk p de beveiliging die leidt tt de aanzienlijke kans p ernstige nadelige gevlgen dan wel ernstige nadelige gevlgen
heeft vr de bescherming van Persnsgegevens. Overeenkmst: [Raamvereenkmst Generieke e-learning d.d. [invullen] met cntractnummer [invullen] en daarmee verbnden Nadere vereenkmst [datum, cntractnummer]. Privacywetgeving: alle van tepassing zijnde wet- en regelgeving ten aanzien van de Verwerking van Persnsgegevens, waarnder begrepen maar niet beperkt tt de Wbp en per 25 mei 2018 de AVG. Wbp: Wet bescherming persnsgegevens. Sub-Verwerker: de partij die dr Verwerker wrdt ingeschakeld als Verwerker ten beheve van de Verwerking van de Persnsgegevens in het kader van een Verwerkersvereenkmst tussen Verwerker en Verwerkingsverantwrdelijke waarbij de diensten van Sub- Verwerker aan Verwerker zijn vastgelegd in een separate verwerkersvereenkmst.
1. Partijen I II. de Staat der Nederlanden, namens [invullen per Nadere vereenkmst], ten deze vertegenwrdigd dr xxx, [invullen]: [VERWERKINGSVERANTWOORDELIJKE] De beslten venntschap met beperkte aansprakelijkheid [invullen]., statutair gevestigd en kantrhudende te [invullen], ten deze rechtsgeldig vertegenwrdigd dr [naam, functie], hierna te nemen [VERWERKER] [VERWERKINGSVERANTWOORDELIJKE] en [VERWERKER] hierna gezamenlijk aangeduid als Partijen en afznderlijk als Partij ;
2 Delen en Middelen 2.1 [VERWERKINGSVERANTWOORDELIJKE] is aan te merken als Verwerkingsverantwrdelijke in de zin van de AVG en [VERWERKER] is aan te merken als Verwerker in de zin van de AVG. 2.2 Partijen nderkennen dat met tepasselijke wet- en regelgeving de p dat mment van kracht zijnde tepasselijke wet- en regelgeving wrdt bedeld. Waar in deze Verwerkersvereenkmst begrippen wrden gehanteerd vereenkmstig het bepaalde in de AVG, bedelen Partijen tt 25 mei 2018 eveneens de equivalente bepalingen uit de Wbp. 2.3 [VERWERKER] zal de Persnsgegevens ten beheve van [VERWERKINGSVERANTWOORDELIJKE] Verwerken nder de vrwaarden van deze Verwerkersvereenkmst. In Bijlage 1 bij deze Verwerkersvereenkmst zijn de deleinden van de Verwerkingen, de middelen vr de Verwerkingen, het srt te Verwerken Persnsgegevens en de categrieën van Betrkkenen, het nderwerp van de Verwerking en de duur en lcatie van de pslag van de Persnsgegevens beschreven. Partijen zullen Bijlage 1 indien ndig gedurende de lptijd van de Verwerkersvereenkmst steeds aanpassen. 2.4 Partijen stellen vast dat de te Verwerken Persnsgegevens vr zver deze direct f (indirect) betrekking hebben p ras f etnische afkmst, levensvertuiging, gezndheid, seksuele leven, lidmaatschap van een vakvereniging, genetische gegevens en/f bimetrische gegevens met het g p de unieke identificatie van een persn, mgelijk bijznder gegevens zijn in het kader van de Privacywetgeving. Partijen zullen bij de Verwerking hiervan de betreffende wettelijke vereisten in acht nemen.
3 Uitvering, Verwerking 3.1 [VERWERKER] en [VERWERKINGSVERANTWOORDELIJKE] zullen de Persnsgegevens p behrlijke en zrgvuldige wijze, in vereenstemming met de Privacywetgeving Verwerken. 3.2 [VERWERKINGSVERANTWOORDELIJKE] is verantwrdelijk vr het vaststellen van het del en de middelen van de Verwerking van de Persnsgegevens en is jegens Betrkkene(n) aansprakelijk vr het Verwerken van de Persnsgegevens, nverminderd de verplichtingen van [VERWERKER] p grnd van de Overeenkmst en deze Verwerkersvereenkmst. 3.3 Behudens wettelijke verplichtingen, zal [VERWERKER] de Persnsgegevens uitsluitend Verwerken vr zver dit ndzakelijk is vr de uitvering van zijn verplichtingen p grnd van de Overeenkmst en in pdracht van [VERWERKERINGSVERANTWOORDELIJKE], vlgens de schriftelijke instructies van [VERWERKINGSVERANTWOORDELIJKE] en in vereenstemming met de Overeenkmst en Verwerkersvereenkmst. 3.4 [VERWERKER] zal de Persnsgegevens niet wijzigen znder pdracht daarte van [VERWERKINGSVERANTWOORDELIJKE]. 3.5 [VERWERKINGSVERANTWOORDELIJKE] is verantwrdelijk vr het infrmeren van de Betrkkenen en het waarbrgen van de rechten die Betrkkenen p basis van de Privacywetgeving kunnen uitefenen en vr de cmmunicatie met Betrkkenen. [VERWERKER] zal de redelijkerwijs ndzakelijke medewerking verlenen aan [VERWERKINGSVERANTWOORDELIJKE] m [VERWERKINGSVERANTWOORDELIJKE] in staat te stellen aan haar verplichtingen te vlden ten aanzien van de Privacywetgeving, waarnder begrepen, maar niet beperkt tt (i) Betrkkenen inzage geven in hun Persnsgegevens, (ii) Persnsgegevens p verzek van Betrkkenen verwijderen f crrigeren, en/f (iii) aantnen dat Persnsgegevens na een verzek daarte van een Betrkkene verwijderd f gecrrigeerd zijn. Indien de instructie van [VERWERKINGSVERANTWOORDELIJKE] ten aanzien van de verwerking van Persnsgegevens naar de mening van [VERWERKER] in strijd is met de Privacywetgeving, zal [VERWERKER] dit nverwijld mededelen aan [VERWERKINGSVERANTWOORDELIJKE]. 3.6 [VERWERKER] is niet gerechtigd zijn verplichtingen uit deze Verwerkersvereenkmst geheel f gedeeltelijk aan (een) Sub-Verwerker(s) ver te dragen c.q. Sub-Verwerkers in te schakelen bij de Verwerking znder vrafgaande, uitdrukkelijke en schriftelijke testemming van [VERWERKINGSVERANTWOORDELIJKE]. [VERWERKER] zal [VERWERKINGSVERANTWOORDELIJKE] tijdig infrmeren ver de gewenste verdracht c.q. inschakeling en de identiteit van de betreffende Sub-Verwerker. [VERWERKER] blijft jegens [VERWERKINGSVERANTWOORDELIJKE] en Betrkkene(n) vlledig verantwrdelijk vr de handelingen van de Sub-Verwerker(s). [VERWERKER] zal met de Sub-Verwerker ten aanzien van de Verwerking gelijksrtige afspraken maken als in deze Verwerkersvereenkmst vastgelegd. 3.7 [VERWERKER] verwerkt geen Persnsgegevens buiten Nederland, tenzij [VERWERKINGSVERANTWOORDELIJKE] daarte schriftelijk testemming heeft verleend.
3.8 Indien [VERWERKER] p grnd van een wettelijke verplichting gegevens dient te verstrekken, verifieert [VERWERKER] de grndslag van het verzek en de identiteit van de verzeker en infrmeert hij z spedig mgelijk, z mgelijk vrafgaand aan de verstrekking, [VERWERKINGSVERANTWOORDELIJKE] ter zake.
4 Beveiliging 4.1 [VERWERKER] zal de technische en rganisatrische beveiligingsmaatregelen die vlden aan de Privacywetgeving, stand der techniek en de ksten van de implementatiemaatregelen treffen die ndig zijn m de beschikbaarheid, integriteit en vertruwelijkheid van de Persnsgegevens te waarbrgen en te beveiligen tegen verlies f nrechtmatige Verwerking. Deze maatregelen zijn beschreven in Bijlage 2 en zullen bvendien te allen tijde vlden aan de daarvr geldende algemeen geaccepteerde beveiligingsstandaarden. Tevens zullen de maatregelen vlden aan de eisen en vrwaarden zals pgenmen in de Overeenkmst.
5 Datalekken 5.1 [VERWERKER] dient z snel mgelijk, maar uiterlijk binnen 24 uur nadat een Datalek is gecnstateerd bij [VERWERKER] f dr een Sub-Verwerker, cnfrm de Privacywetgeving, [VERWERKINGSVERANTWOORDELIJKE] p de hgte te stellen van ieder Datalek. Deze verplichting geldt gedurende 24 uur per dag en 7 dagen in de week. Bij [VERWERKER] fungeert [naam, functie] te bereiken p [telefnnummer] en [email] als cntactpersn vr de nderlinge cmmunicatie ver datalekken. Bij [VERWERKERSVERANTWOORDELIJKE] fungeert [naam, functie], te bereiken p [telefnnummer en emailadres] hiervr als cntactpersn. 5.2 [VERWERKER] dient [VERWERKINGSVERANTWOORDELIJKE] bij een Datalek binnen de termijn genemd in 4.1, vr zver redelijkerwijs bekend, de vlgende infrmatie te verstrekken: een samenvatting van de gebeurtenissen aangaande het Datalek; de datum waarp, f de peride waarin het Datalek heeft plaatsgevnden; de (vermeende) rzaak van het Datalek; een beschrijving van de srt grep en het aantal persnen waarvan de gegevens bij het Datalek (mgelijk) betrkken zijn en, indien bekend, de identiteit van deze Betrkkenen; de categrieën persnsgegevens die (mgelijk) zijn getrffen dr het Datalek; een beschrijving f de getrffen persnsgegevens p enige wijze zijn versleuteld, geannimiseerd, gepseudnimiseerd f p afstand kunnen wrden gewist; de getrffen f te nemen maatregelen m de gevlgen van het lek te beperken en herhaling te vrkmen. 5.3 [VERWERKER] dient [VERWERKINGSVERANTWOORDELIJKE] uit eigen beweging p de hgte huden van alle relevante ntwikkelingen mtrent het Datalek die zich vrden na het mment van het verstrekken van de infrmatie genemd in 4.2. [VERWERKER] dient binnen z snel mgelijk, dch uiterlijk binnen 24 uur te reageren p aanvullende vragen van [VERWERKINGSVERANTWOORDELIJKE] met betrekking tt het Datalek. 5.4 [VERWERKER] dient, zdra een Datalek is gecnstateerd, z spedig mgelijk vr eigen rekening en risic alle maatregelen te treffen die redelijkerwijs ndzakelijk zijn m de schadelijke gevlgen van het Datalek te beperken en m herhaling te vrkmen. 5.5 [VERWERKER] zal [VERWERKINGSVERANTWOORDELIJKE] alle redelijkerwijs ndzakelijke medewerking en infrmatie verlenen die ndig is m de Autriteit Persnsgegevens, nderscheidenlijk de Betrkkene vereenkmstig de Privacywetgeving adequaat in te lichten ver de rzaak en mvang het lek. Het is [VERWERKER] niet tegestaan het Datalek zelfstandig te melden bij de Autriteit Persnsgegevens en de Betrkkenen.
6 Geheimhuding 6.1 [VERWERKER] zal de Persnsgegevens en verdere infrmatie die zij als uitvleisel van deze Verwerkersvereenkmst en de Overeenkmst verwerkt, geheimhuden. Ingeval dit niet cntractueel is vereengekmen met persnen in dienst van dan wel werkzaam ten beheve van de [VERWERKER], alsmede [VERWERKER] zelf, zal [VERWERKER] een geheimhudingsverplichting pleggen aan die persnen met betrekking tt de Persnsgegevens waarvan zij kennis kunnen nemen. 6.2 [VERWERKER] zal de Persnsgegevens p geen enkele wijze penbaar maken f aan derden ter beschikking stellen, tenzij [VERWERKINGSVERANTWOORDELIJKE] daarvr vrafgaand testemming heeft verleend f wanneer een wettelijk vrschrift [VERWERKER] verplicht m de Persnsgegevens te verstrekken. 6.3 Het bepaalde inzake geheimhuding zals pgenmen in de Overeenkmst blijft nverminderd van kracht. 7 Audits 7.1 [VERWERKER] stelt [VERWERKINGSVERANTWOORDELIJKE] te allen tijde in staat m de naleving dr [VERWERKER] van de in deze Verwerkersvereenkmst genemde verplichtingen te den cntrleren dr nafhankelijke auditrs znder - vr zver redelijkerwijs mgelijk - vertruwelijke gegevens van [VERWERKER] te gebruiken en in te zien. [VERWERKER] zal [VERWERKINGSVERANTWOORDELIJKE] alle gegevens en infrmatie verstrekken die zij redelijkerwijs ndig heeft vr de cntrle. Als uit de cntrle blijkt dat [VERWERKER] niet vlledig vldet aan zijn verplichtingen, zal [VERWERKER] de dr de cntrle aangetnde tekrtkmingen nmiddellijk en p zijn eigen ksten beëindigen. [VERWERKER] zal in dat geval k de ksten van de cntrle vergeden. 7.2 [VERWERKINGSVERANTWOORDELIJKE] zal alle bij de audit gevnden infrmatie geheim huden en uitsluitend gebruiken m de naleving dr [VERWERKER] van de verplichtingen uit hfde van deze Verwerkersvereenkmst te cntrleren en de infrmatie z snel als mgelijk wissen. 8 Wijzigingen 8.1 Partijen zullen in geval van wijzigingen in dr [VERWERKER] en/f [VERWERKINGSVERANTWOORDELIJKE] uit te veren werkzaamheden uit hfde van de Overeenkmst die mgelijk gevlgen hebben vr de Verwerkingen, steeds met elkaar verleggen ver de mgelijk ndzakelijke wijzigingen in deze Verwerkersvereenkmst, waarnder uitdrukkelijk begrepen wijzigingen in de technische en rganisatrische maatregelen als bedeld in artikel 3 van deze Verwerkersvereenkmst. 8.2 [VERWERKINGSVERANTWOORDELIJKE] kan te allen tijde aanvullende, schriftelijke instructies geven f de in deze Verwerkersvereenkmst bedelde bestaande instructies aanpassen.
8.3 Wijzigingen in deze Verwerkersvereenkmst zijn slechts bindend vr zver zij uitdrukkelijk tussen Partijen schriftelijk zijn vereengekmen. 9 Lptijd en Beëindiging 9.1 Deze Verwerkersvereenkmst is van tepassing zlang [VERWERKER] de Persnsgegevens in verband met de Overeenkmst Verwerkt. Indien de Overeenkmst eindigt, eindigt deze Verwerkersvereenkmst autmatisch. Geen van beide Partijen kan deze Verwerkersvereenkmst tussentijds pzeggen. 9.2 Indien en zdra deze Verwerkersvereenkmst eindigt, zal [VERWERKER] de dcumenten, cmputerschijven en andere gegevensdragers met daarp de Persnsgegevens die [VERWERKER] verwerkt ten beheve van [VERWERKINGSVERANTWOORDELIJKE] aan [VERWERKINGSVERANTWOORDELIJKE] returneren, inclusief alle kpieën en eventuele bewerkingen daarvan. Vr zver de Persnsgegevens zijn pgenmen in een cmputersysteem en/f in een andere vrm waardr deze redelijkerwijs niet kunnen wrden teruggegeven, zal [VERWERKER] de Persnsgegevens daaruit vr zver dit technisch mgelijk is, vlledig verwijderen en een kpie van de Persnsgegevens aan [VERWERKINGSVERANTWOORDELIJKE] verstrekken. 9.3 Als [VERWERKER] een wettelijke verplichting heeft m de Persnsgegevens en/f dcumenten, cmputerschijven en andere gegevensdragers met daarp de Persnsgegevens te bewaren vr een bepaalde peride, zal [VERWERKER] de dcumenten, cmputerschijven en andere gegevensdragers met daarp de Persnsgegevens gedurende de betreffende peride bewaren. 9.4 Na beëindiging van deze Verwerkersvereenkmst blijven de bepalingen, die naar hun aard bestemd zijn m k nadien van kracht te blijven, waarnder begrepen de geheimhudingsverplichting, nverminderd van kracht. 10 Sltbepalingen 10.1 Deze Verwerkersvereenkmst vrmt een aanvulling p de Overeenkmst. Bij de tegenspraak tussen bepalingen uit deze Verwerkersvereenkmst en de Overeenkmst prevaleren de bepalingen uit de Overeenkmst. 10.2 Ksten vr [VERWERKER] die gemeid zijn met de naleving van de verplichtingen uit deze Verwerkersvereenkmst zijn reeds inbegrepen in de tarieven vr de dienstverlening uit de Overeenkmst. 10.3 Deze Verwerkersvereenkmst wrdt beheerst dr Nederlands recht. Alle geschillen zullen alleen en uitsluitend wrden vrgelegd aan de bevegde rechter te Midden Nederland, lcatie Utrecht.
11 Ondertekening Aldus vereengekmen en vastgelegd en in tweevud ndertekend. Namens Verwerkingsverantwrdelijke, [naam, functie] [deelnemende rganisatie] Namens Verwerker, [naam, functie] [leverancier] te..p:..-..-. te p:..-..-..
Bijlage 1. Beschrijving verwerkingen persnsgegevens 1. ONDERWERP VAN DE VERWERKING [ ] 2. CATEGORIEËN VAN BETROKKEN [ ] 3. TE VERWERKEN PERSOONSGEGEVENS: [VERWERKINGSVERANTWOORDELIJKE]/ werknemers namen [VERWERKINGSVERANTWOORDELIJKE]/ / werknemers cntactgegevens (werkadres, e-mailadres, naam leidinggevende, afdeling, (rl) [VERWERKINGSVERANTWOORDELIJKE]/ / klanten namen [VERWERKINGSVERANTWOORDELIJKE]/ /klanten adressen [VERWERKINGSVERANTWOORDELIJKE]/ /klanten cntactgegevens [VERWERKINGSVERANTWOORDELIJKE]/ / klanten nummer [VERWERKINGSVERANTWOORDELIJKE]/ / klanten Cntract infrmatie 4. DOELEINDE(N) VERWERKING Beheer en supprt van sftwaretepassingen die het bedrijfsprces van [VERWERKINGSVERANTWOORDELIJKE]/ ndersteunen. 5. BESCHRIJVING VERWERKING(EN) EN MIDDELEN [VERWERKER] zal de hiervr genemde Persnsgegevens Verwerken in verband met de activiteiten die zij nderneemt ter uitvering van de Raamvereenkmst. [VERWERKER] zal dat den met behulp van de in de Raamvereenkmst genemde IT-middelen. 6. BEWAARTERMIJN [VERWERKER] zal de Persnsgegevens vr de duur van de uitvering van de Overeenkmst bewaren. 7. LOCATIE DATA [ ]
Bijlage 2 Beveiligingsmaatregelen De technische en rganisatrische beveiligingsprcedures en maatregelen zullen vlden aan het beschrijvend dcument inclusief bijlagen en de tepasselijke en algemeen aanvaarde beveiligingsstandaarden. De dr [VERWERKER] te nemen beveiligingsmaatregelen zijn daarm ten minste de vlgende: [bijvrbeeld:] geïmplementeerd beveiligingsbeleid en het peridiek updaten en implementeren van het geüpdatet beveiligingsbeleid; geïmplementeerde gedragscde; geheimhudingsverplichtingen in arbeidscntracten; veilige wijze vr het pslaan van gegevensbestanden; lgische tegangscntrles dr middel van kennis, zals passwrd f persnlijke tegangscdes; lgische tegangscntrles dr middel van fysieke tegangsmiddelen, zals een beveiligingspas; cntrleren van tegekende rechten; lgging en cntrle van tegang tt het systeem (waarnder begrepen het cntrleren p tekenen van nrechtmatige tegang tt de Persnsgegevens); herstelprcedures; encryptie van Persnsgegevens tijdens elektrnische verdracht naar externe partijen; vlden aan de geheimhudingsbepaling van deze Verwerkersvereenkmst; en het aanwijzen van een beperkt aantal persnen, die met de uitvering van de Verwerking van Persnsgegevens zijn belast en geautriseerd zijn m zichzelf tegang te verlenen tt de Persnsgegevens, welke persnen uitdrukkelijk alleen gerechtigd zijn m de vr de uitvering van de Overeenkmst ndzakelijke handelingen te verrichten.