SUBVERWERKERSOVEREENKOMST (ten behoeve van subverwerkers van Makelaars Netwerk B.V.) ONDERGETEKENDEN: 1. De besloten vennootschap met beperkte aansprakelijkheid Makelaars Netwerk B.V., statutair gevestigd en kantoorhoudende te (8440 AC)Heerenveen, aan de Abe Lenstra Boulevard 10, ingeschreven in het handelsregister onder nummer 01103036, ten deze rechtsgeldig vertegenwoordigd bij volmacht door de heer R.K. Tulner, - hierna te noemen: Verwerker - en 2. Bedrijfsnaam, kantoorhoudende en gevestigd te (Postcode) Plaatsnaam bedrijf, Straatnaam + huisnummer bedrijf, vertegenwoordigd door ondertekenaar, - hierna te noemen: de Subverwerker - hierna afzonderlijk te noemen Partij en gezamenlijk Partijen ; NEMEN HET VOLGENDE IN AANMERKING - In het kader van de uitvoering van opdrachten, welke Makelaars Netwerk B.V. van haar opdrachtgevers ontvangt, zal Makelaars Netwerk persoonsgegevens verwerken. Op grond daarvan is zij aan te merken als Verwerker in de zin van de AVG (Algemene Verordening Gegevensbescherming (EU) 2016/679); - Sub-verwerker is vanwege de uitvoering van (een gedeelte van) de onderliggende opdracht aan te merken als Sub-verwerker ; - In deze overeenkomst worden wederzijdse rechten en verplichtingen in het kader van de AVG tussen Partijen vastgelegd. ZIJN ALS VOLGT OVEREENGEKOMEN: Artikel 1 Voorwerp van deze Subverwerkersovereenkomst 1. Deze Subverwerkersovereenkomst is uitsluitend van toepassing op de verwerking van persoonsgegevens in het kader van de uitvoering van opdrachten, welke door Verwerker aan Subverwerker worden verstrekt (hierna te noemen: Overeenkomst van Opdracht ), welke opdracht op haar beurt weer is gebaseerd op de tussen partijen bestaande samenwerkingsovereenkomst (hierna te noemen: de Samenwerkingsovereenkomst ). 2. Begrippen zoals Verwerking, Persoonsgegevens, Verwerkingsverantwoordelijke, Verwerker hebben de betekenis die daaraan is toegekend in de nationale wetgeving waarin de Richtlijn bescherming persoonsgegevens (1995/46/EG) is uitgewerkt dan wel met ingang van 25 mei 2018 de Algemene Verordening Gegevensbescherming (2016/679/EU), alsmede de daaruit voortvloeiende nationale wet- en regelgeving (hierna gezamenlijk te noemen: de Privacywetgeving ). 3. Het is mogelijk dat de Subverwerker tijdens de uitvoering van de Overeenkomst van Opdracht namens de Verwerker persoonsgegevens (hierna te noemen: de Persoonsgegevens ) verwerkt. In bijlage 1 is een overzicht opgenomen van de categorieën van Persoonsgegevens, de categorieën van betrokkenen, de aard van de verwerking en de doeleinden, waarvoor de Persoonsgegevens worden verwerkt. Artikel 2 De Verwerker en de Subverwerker 1. De Subverwerker treedt op als Subverwerker en de Verwerker treedt op als Verwerker. Pagina 1 van 6
2. De Subverwerker garandeert dat zij de Persoonsgegevens uitsluitend verwerkt op een zodanige wijze als noodzakelijk is voor het verrichten van de diensten ingevolge de Overeenkomst van Opdracht, behoudens andersluidende (schriftelijke) instructies van de Verwerker, en tenzij een wettelijk voorschrift haar tot verwerking verplicht. In dat geval stelt de Subverwerker de Verwerker van dit wettelijke voorschrift in kennis, tenzij de wet deze kennisgeving verbiedt. De Subverwerker verwerkt de Persoonsgegevens nimmer voor haar eigen doeleinden. De Subverwerker treft maatregelen om ervoor te zorgen dat de natuurlijke personen die onder haar gezag handelen en toegang tot de Persoonsgegevens hebben, aan het bepaalde in dit artikel gebonden zijn. 3. Indien de Subverwerker van mening is dat een (schriftelijke) instructie van de Verwerker in strijd is met of inbreuk maakt op het bepaalde in deze Subverwerkersovereenkomst c.q. de geldende wet- en regelgeving, waaronder mede begrepen de geldende Privacywetgeving, stelt de Subverwerker de Verwerker daarvan onmiddellijk schriftelijk in kennis. 4. De Verwerker kan voor elk van de in bijlage 1 genoemde categorieën van Persoonsgegevens specifieke instructies verstrekken ten aanzien van de bewaartermijn ter zake. 5. De Subverwerker is vrij in de keuze en het gebruik van de middelen die hij/zij nodig acht ter uitvoering van de Overeenkomst van Opdracht en de (schriftelijke) instructies van de Verwerker. De Subverwerker garandeert dat de getroffen maatregelen te allen tijde een passend beschermingsniveau bieden. Artikel 3 Geheimhouding 1. Onverminderd de bestaande contractuele afspraken tussen Partijen garandeert de Subverwerker dat zij ten aanzien van alle Persoonsgegevens en documentatie strikte geheimhouding zal betrachten en dat zij al haar medewerkers, vertegenwoordigers en/of goedgekeurde Subverwerkers die bij de verwerking van de Persoonsgegevens betrokken zijn, van de vertrouwelijke aard daarvan in kennis zal stellen. De Subverwerker draagt ervoor zorg dat al deze personen c.q. partijen een passende geheimhoudingsovereenkomst hebben ondertekend en/of anderszins aan een geheimhoudingsplicht zijn onderworpen en verstrekt desgevraagd een kopie van deze overeenkomsten en/of verklaringen aan de Verwerker. 2. Partijen betrachten strikte geheimhouding ten aanzien van alle informatie in deze Subverwerkersovereenkomst. Deze bepaling is ook van toepassing nadat de overeenkomst is beëindigd. 3. De vertrouwelijke aard van de informatie als bedoeld in dit artikel 3 laat onverlet de mogelijkheid van Partijen om deze informatie met derden uit te wisselen indien en voor zover zij dit wettelijk zijn verplicht. Artikel 4 Veiligheid 1. Onverminderd overige tussen Partijen overeengekomen beveiligingsstandaarden treft de Subverwerker passende technische en organisatorische maatregelen ten behoeve van een veilige verwerking van de Persoonsgegevens. Deze maatregelen behelzen in ieder geval: a) maatregelen om ervoor te zorgen dat de toegang tot de Persoonsgegevens uitsluitend is voorbehouden aan bevoegd personeel ten behoeve van de in bijlage 1 bij deze Subverwerkersovereenkomst vermelde doeleinden; b) maatregelen ter bescherming van de Persoonsgegevens tegen vernietiging, verlies of wijziging, hetzij per ongeluk hetzij onrechtmatig, alsmede tegen ongeoorloofde of onrechtmatige opslag, verwerking, inzage of verstrekking; c) maatregelen tot tijdig herstel van de beschikbaarheid van en de toegang tot de Persoonsgegevens in geval van een fysiek of technisch incident, bijvoorbeeld door backups te maken; Pagina 2 van 6
d) maatregelen ter signalering van inbreuken op en kwetsbaarheden in de beveiliging van de systemen die ten behoeve van de dienstverlening aan de Verwerker ingezet worden; 2. De Subverwerker beschikt ten aanzien van de verwerking van Persoonsgegevens te allen tijde over een passend, schriftelijk veiligheidsbeleid, waarin in ieder geval de in artikel 4.1 bedoelde maatregelen staan beschreven. Op verzoek van de Verwerker doet de Subverwerker een kopie van dit veiligheidsbeleid aan de Verwerker toekomen, toont de Subverwerker aan dat zij de in artikel 4 bedoelde maatregelen heeft getroffen, wordt aan de Verwerker de gelegenheid geboden om deze maatregelen te controleren en te testen en brengt de Subverwerker wijzigingen in haar veiligheidsbeleid aan conform de nadere schriftelijke instructies van de Verwerker. Artikel 5 Verbetering van de veiligheid 1. Partijen zijn ermee bekend dat de veiligheidseisen doorlopend veranderen en dat het voor een effectieve beveiliging en gegarandeerde vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en -processen structureel van belang is dat er regelmatig wordt geëvalueerd en dat verouderde veiligheidsmaatregelen regelmatig worden vernieuwd. De overeenkomstig artikel 4 getroffen maatregelen worden dan ook doorlopend door de Subverwerker geëvalueerd, aangescherpt, aangevuld en verbeterd om blijvend aan de in artikel 4 vermelde eisen te voldoen. 2. De Verwerker kan de Subverwerker opdragen aanvullende veiligheidsmaatregelen te treffen. Indien voor het opvolgen van deze instructie een wijziging nodig is van de Overeenkomst van Opdracht, komen Partijen in overleg te goeder trouw een wijziging van die overeenkomst overeen. Artikel 6 Controle 1. De Verwerker heeft het recht om bij de Subverwerker een controle te verrichten om vast te stellen in hoeverre de Subverwerker het bepaalde in de Subverwerkersovereenkomst nakomt. Deze controle wordt uitgevoerd door een onafhankelijke derde op een tussen partijen gezamenlijk vast te stellen tijdstip. De Subverwerker verleent de controleur desgevraagd zodanige toegang tot haar faciliteiten, medewerkers, beleidsdocumenten en overige bescheiden als redelijkerwijze nodig is voor het doel van de controle. 2. De kosten van de controle zijn voor rekening van de Verwerker, tenzij uit de controle blijkt dat de Subverwerker het bepaalde in de Subverwerkersovereenkomst niet naleeft. In dat geval zijn de kosten van de controle voor rekening van de Subverwerker. Artikel 7 Internationale gegevensdoorgifte 1. De Subverwerker stelt de Verwerker onmiddellijk in kennis van een (geplande) permanente of tijdelijke doorgifte van Persoonsgegevens aan een land buiten de Europese Economische Ruimte en gaat slechts tot deze (geplande) doorgifte over na toestemming van de Verwerker. 2. De Verwerker kan voorwaarden aan de in artikel 7.1 vermelde toestemming verbinden, zoals de voorwaarde dat een doorgifte uitsluitend kan plaatsvinden indien aan de relevante bepalingen in de AVG is voldaan, zoals ondertekening van standaardbepalingen inzake gegevensbescherming. Artikel 8 Informatieplicht en incidentenbeheer 1. De Subverwerker verstrekt de Verwerker op diens eerste verzoek alle zodanige informatie als door de Verwerker redelijkerwijze nodig wordt geacht om te voldoen aan, dan wel aan te tonen dat zij voldoet aan, haar wettelijke verplichtingen, waaronder in ieder geval begrepen de eisen in de AVG (zoals het in behandeling nemen van inzageverzoeken van betrokkenen, het melden van inbreuken op persoonsgegevens, het uitvoeren van gegevensbeschermingseffectbeoordelingen, voorafgaande raadpleging van de toezichthoudende autoriteiten, etc.). Pagina 3 van 6
2. De Subverwerker meldt alle incidenten met betrekking tot de verwerking van de Persoonsgegevens aan de Verwerker en voldoet aan elk redelijk informatieverzoek, zodat de Verwerker op het incident kan reageren en passende, nadere maatregelen ter zake kan treffen. 3. Onder het begrip incident als bedoeld in artikel 8.2 wordt in ieder geval verstaan: a) een klacht of een (informatie)verzoek van een natuurlijke persoon met betrekking tot de verwerking van de Persoonsgegevens door de Subverwerker; b) een onderzoek naar of inbeslagname van de Persoonsgegevens door overheidsfunctionarissen, dan wel een aanwijzing dat dit dreigt te gebeuren; c) een inbreuk op de beveiliging en/of vertrouwelijkheid als bedoeld in artikel 32 AVG of artikel 3 of 4 van deze Subverwerkersovereenkomst die resulteert in verlies of onrechtmatige verwerking van de Persoonsgegevens, waaronder begrepen vernietiging, wijziging of ongeoorloofde verstrekking c.q. inzage daarvan, dan wel een aanwijzing dat een zodanige inbreuk heeft plaatsgevonden of dreigt plaats te vinden. 4. De Subverwerker meldt een incident als bedoeld in artikel 8.3(c) binnen 24 uur na constatering daarvan aan de Verwerker. Daarbij dient het volgende te worden gemeld: (i) de aard van het incident, (ii) datum en tijdstip waarop het incident heeft plaatsgevonden en is ontdekt, (iii) de betrokkenen die door het incident zijn getroffen (inclusief het aantal betrokken), (iv) welke categorieën van Persoonsgegevens bij het incident zijn betrokken, (v) of en, zo ja, welke veiligheidsmaatregelen zoals versleuteling waren getroffen om de Persoonsgegevens onbegrijpelijk of ontoegankelijk te maken voor onbevoegden, alsmede (vi) alle nadere informatie die de Verwerker nodig heeft om aan de eisen in de AVG omtrent de melding van gegevensinbreuken te voldoen. 5. De Subverwerker beschikt te allen tijde over schriftelijke procedures aan de hand waarvan zij de Verwerker onmiddellijk over een incident kan informeren en effectieve bijstand aan de Verwerker kan verlenen bij de aanpak van het incident. De Subverwerker doet de Verwerker op diens schriftelijke verzoek een kopie van deze procedures toekomen. 6. De Subverwerker is nimmer gerechtigd om van een incident als bedoeld in artikel 8.3 melding te doen bij een autoriteit gegevensbescherming. Artikel 9 Inschakelen van Subverwerkers 1. Het is de Subverwerker niet toegestaan om haar werkzaamheden als beschreven in de Overeenkomst van Opdracht geheel of gedeeltelijk zonder voorafgaande schriftelijke toestemming van de Verwerker uit te besteden aan een derde. In geval van algemene schriftelijke toestemming voor het inschakelen van Subverwerkers stelt de Subverwerker de Verwerker vooraf in kennis van de toevoeging en/of vervanging van een Subverwerker, in welk geval de Verwerker het recht heeft om tegen (het inschakelen van) die Subverwerker bezwaar te maken. 2. De toestemming van de Verwerker als bedoeld in het voorgaande lid laat onverlet de aansprakelijkheid van de Subverwerker jegens de Verwerker voor de gevolgen van de uitbesteding aan die derde waaronder begrepen eventuele schade als bedoeld in artikel 11. 3. De Subverwerker draagt ervoor zorg dat de Subverwerker aan dezelfde verplichtingen is gebonden als de Subverwerker ingevolge deze Subverwerkersovereenkomst en houdt toezicht op de naleving daarvan. De Subverwerker doet de Verwerker op diens eerste verzoek een kopie toekomen van de (voorgenomen) schriftelijke overeenkomst met de Subverwerker. De Verwerker wordt ten aanzien van de Subverwerker conform deze overeenkomst het recht van toezicht en controle verleend. Artikel 10 Terugbezorgen of vernietigen van persoonsgegevens 1. Bij beëindiging van deze Subverwerkersovereenkomst dan wel op schriftelijk verzoek van de Verwerker worden de Persoonsgegevens naar keuze van de Verwerker door de Pagina 4 van 6
Subverwerker vernietigd en/of aan de Verwerker terugbezorgd op een door de Verwerker aan te geven wijze en in een door haar te bepalen vorm (voor zover van toepassing). De Subverwerker vernietigt tevens alle bestaande kopieën van de Persoonsgegevens, tenzij opslag van de Persoonsgegevens wettelijk is verplicht. 2. De Subverwerker stelt alle bij de verwerking van de Persoonsgegevens betrokken Subverwerkers in kennis van de beëindiging van de Subverwerkersovereenkomst en draagt ervoor zorg dat alle Persoonsgegevens naar keuze van de Verwerker door de Subverwerkers worden vernietigd of aan de Verwerker worden terugbezorgd. Artikel 11 Aansprakelijkheid en vrijwaring De Subverwerker vrijwaart de Verwerker tegen en stelt de Verwerker schadeloos voor alle vorderingen, aanspraken van derden, schade en kosten die rechtstreeks of indirect voor de Verwerker voortvloeien uit of verband houden met een tekortkoming in de nakoming van het bepaalde in deze Subverwerkersovereenkomst door de Subverwerker. Artikel 12 Duur en beëindiging 1. Deze Subverwerkersovereenkomst vangt aan op 25 mei 2018 en komt bij beëindiging van de Samenwerkingsovereenkomst automatisch te vervallen. 2. Afloop of beëindiging van deze Subverwerkersovereenkomst ontslaat de Subverwerker niet van haar verplichtingen ten aanzien van Persoonsgegevens die (nog) niet overeenkomstig artikel 10.1. zijn vernietigd of terugbezorgd, noch van haar verplichtingen die bestemd zijn om ook na afloop of beëindiging van de Subverwerkersovereenkomst voort te duren, waaronder bijvoorbeeld begrepen de verplichtingen ingevolge de artikelen 3, 6, 10 en 11 van deze Subverwerkersovereenkomst. Artikel 13 Overige bepalingen 1. Ingeval van strijdigheid tussen het bepaalde in deze Subverwerkersovereenkomst en het bepaalde in de Samenwerkingsovereenkomst en/of Overeenkomst van Opdracht heeft het bepaalde in deze Subverwerkersovereenkomst voorrang. 2. Op deze Subverwerkersovereenkomst is Nederlands recht van toepassing. Alle geschillen voortvloeiende uit of verband houdende met deze Subverwerkersovereenkomst worden bij uitsluiting voorgelegd aan de bevoegde rechter te Noord-Nederland.. Pagina 5 van 6
Bijlage 1: Categorieën van persoonsgegevens die in het kader van de Overeenkomst van Opdracht worden verwerkt, categorieën van betrokkenen, aard van de verwerking en de doeleinden waarvoor deze gegevens worden verwerkt. Betrokkenen de eigenaar/eigenaren van een onroerende zaak Persoonsgegevens Contactgegevens: NAW gegevens e-mailadres, mobiele telefoonnummers, telefoonnummers Specifieke gegevens gegevens over de woning klantnummer/hypotheeknummer contactpersonen gegevens curator/bewindvoerder eventuele bijzondere omstandigheden Verwerkingsactiviteiten De Persoonsgegevens zijn bestemd voor de volgende basisverwerkingen: Bemiddeling bij de aan- en verkoop van een onroerende zaak en alle daarvoor bevorderlijke en alle daarmee rechtstreeks verband houdende werkzaamheden Taxeren van een onroerende zaak en alle daarvoor bevorderlijke en daarmee verband houdende werkzaamheden Pagina 6 van 6