Bewerkersovereenkomst 1. De besloten vennootschap met beperkte aansprakelijkheid Payroll Resources B.V. handelend onder de naam WePayroll, gevestigd te Eindhoven, te dezen rechtsgeldig vertegenwoordigd door de heer R. Wilbers, verder te noemen Bewerker, 2. De [statutaire naam], statutair gevestigd te [plaats] en kantoorhoudende te [postcode] [plaats] aan [adres], hierna te noemen Verantwoordelijke, In aanmerking genomen: a. Bewerker levert (onder meer) diensten aan Verantwoordelijke of zal die leveren. b. Het gaat om de volgende diensten: personeels- en salarisadministratie. c. Bewerker zal daarbij persoonsgegevens verwerken waarvoor Verantwoordelijke verantwoordelijk is in de zin van de Wet Bescherming Persoonsgegevens (Wbp); d. Verantwoordelijke zal deze persoonsgegevens aan Bewerker verstrekken, althans Bewerker zal deze persoonsgegevens onder verantwoordelijkheid van Verantwoordelijke verkrijgen; e. Partijen kiezen ervoor om, gelet op het bepaalde in artikel 14 Wbp, de voorwaarden van de verwerking van deze persoonsgegevens vastleggen. Verklaren te zijn overeengekomen: Artikel 1 Definities 1.1 In deze overeenkomst betekenen de volgende begrippen hetgeen daarbij hieronder is vermeld wanneer zij met een hoofdletter worden geschreven: Opdracht: Persoonsgegeven: alle dienstverlening van Bewerker aan Verantwoordelijke en iedere andere vorm van samenwerking waarbij Bewerker persoonsgegevens verwerkt waarvoor Verantwoordelijke verantwoordelijk is in de zin van de Wbp, ongeacht het rechtskarakter van de overeenkomst waaronder dat geschiedt; elk gegeven betreffende een geïdentificeerd of identificeerbare
Natuurlijke persoon, dat Bewerker bij of in verband met het uitvoeren van de Opdracht verkrijgt; Betrokkene: betrokkene in de zin van de Wbp. Verwerken/verwerking: alle handelingen of reeks handelingen uitgevoerd op persoonsgegevens, al dan niet door geautomatiseerde middelen, zoals verzamelen, vastleggen, structureren, opslaan, aanpassen of wijzigen, ophalen, raadplegen (zowel bedoeld, als onbedoeld), gebruiken, bekendmaken door overdracht, verspreiding of anderszins beschikbaar maken, afstemmen of combineren, blokkeren, wissen of vernietigen Artikel 2 Onderwerp van de overeenkomst 2.1 Deze Bewerkersovereenkomst is gekoppeld aan de overeenkomst betreffende de (salaris-) administratieve dienstverlening alsmede de Algemene Voorwaarden van Bewerker. Tenzij Partijen anders schriftelijk zijn overeengekomen, zijn de bepalingen van deze Bewerkersovereenkomst van toepassing op iedere Verwerking door Bewerker op grond van genoemde overeenkomsten. 2.2 Verantwoordelijke heeft en houdt volledige zeggenschap over de Persoonsgegevens. 2.3 Bewerker verwerkt de Persoonsgegevens op behoorlijke en zorgvuldige wijze. 2.4 Bewerker verwerkt de Persoonsgegevens uitsluitend voor de Opdracht conform de instructies van Verantwoordelijke, in overeenstemming met de door Verantwoordelijke bepaalde doeleinden en middelen en met inachtneming van de door Verantwoordelijke vastgestelde bewaartermijnen. 2.5 Bewerker zal onder geen omstandigheid de Persoonsgegevens verder verwerken dan hiervoor bepaald. Bewerker zal, bijvoorbeeld, de Persoonsgegevens niet voor eigen doeleinden of die van derden verwerken noch de Persoonsgegevens aan derden verstrekken. 2.6 De in opdracht van Verantwoordelijke te verwerken persoonsgegevens blijven eigendom van Verantwoordelijke en/of de betreffende betrokkenen. Artikel 3 Beveiligingsmaatregelen 3.1 Bewerker neemt alle passende technische en organisatorische maatregelen om de Persoonsgegevens adequaat te beveiligen en beveiligd te houden tegen verlies of enige vorm van onzorgvuldig, ondeskundig of onrechtmatige gebruik of verwerking, waarbij rekening wordt
gehouden met de stand van de techniek. 3.2 Bewerker zorgt ervoor dat het personeel dat betrokken is bij de verwerking van Persoonsgegevens, de in deze overeenkomst opgenomen verplichtingen van Bewerker kent en verplicht is die na te komen. 3.3 Indien Bewerker tekortschiet in het nemen van passende technische en organisatorische beveiligingsmaatregelen en vervolgens nalaat binnen een door Verantwoordelijke gestelde redelijke termijn passende maatregelen te treffen, is Verantwoordelijke gerechtigd, onverminderd diens overige rechten uit deze overeenkomst en/of uit de wet, indien mogelijk deze maatregelen op kosten van Bewerker uit te voeren of te laten voeren. 3.4 Bewerker zal Verantwoordelijke onmiddellijk - doch uiterlijk binnen 24 uur - gedetailleerd op de hoogte stellen van iedere doorbraak van de beveiliging van de Persoonsgegevens. Artikel 4 Inschakeling derden 4.1 Bewerker is niet gerechtigd bij de verwerking van de Persoonsgegevens een derde in te schakelen zonder voorafgaande schriftelijke toestemming van Verantwoordelijke. Indien Verantwoordelijke zijn toestemming geeft, draagt Bewerker ervoor zorg dat de betreffende derde tenminste dezelfde verplichtingen op zich neemt als opgenomen voor Bewerker in deze overeenkomst. 4.2 Indien de derde die Bewerker wil inschakelen buiten de EU is gevestigd, garandeert Bewerker, onverminderd het voorgaande lid, dat deze derde een passend niveau van bescherming en veiligheid van persoonsgegevens waarborgt in de zin van de Wet bescherming persoonsgegevens en overlegt Bewerker daarvan bewijs aan Verantwoordelijke. 4.3 Toestemming als bedoeld in artikel 4.1 zal niet zonder redelijke grond worden geweigerd. Verantwoordelijke kan aan die toestemming nadere voorwaarden verbinden die door Bewerker aan de derde moeten worden opgelegd. 4.4 Bewerker blijft in de verhouding tussen partijen altijd aanspreekpunt en volledig verantwoordelijk en aansprakelijk voor de naleving van de bepalingen uit deze overeenkomst, inclusief de naleving van de nadere voorwaarden als bedoeld in het voorgaande lid. Artikel 5 Geheimhoudingsplicht 5.1 Op alle persoonsgegevens die Bewerker van Verantwoordelijke ontvangt en/of zelf verzamelt in het kader van deze Bewerkersovereenkomst, rust een geheimhoudingsplicht jegens derden. Deze geheimhoudingsplicht blijft voortduren na het eindigen van onderliggende overeenkomst. Bewerker zal deze informatie niet voor een ander doel gebruiken dan waarvoor zij deze heeft verkregen, zelfs niet wanneer deze in een zodanige vorm is gebracht zodat deze niet tot betrokkenen herleidbaar is.
5.2 Deze geheimhoudingsplicht is niet van toepassing voor zover Verantwoordelijke uitdrukkelijke toestemming heeft gegeven om de informatie aan derden te verschaffen, indien het verstrekken van de informatie aan derden logischerwijs noodzakelijk is gezien de aard van de verstrekte opdracht en de uitvoering van deze Bewerkersovereenkomst, of indien er een wettelijke verplichting bestaat om de informatie aan een derde te verstrekken. 5.3 Onder derden wordt ook het personeel van Bewerker begrepen voor zover het niet noodzakelijk is dat zij bij de Opdracht en/of deze overeenkomst kennis hoeft te nemen van de Persoonsgegevens. Dit gebod geldt niet indien in deze overeenkomst anders is bepaald en/of voor zover een wettelijk voorschrift of vonnis tot enige bekendmaking verplicht. 5.4 Bewerker zorgt dat zijn personeel en contractuele onderaannemers gebonden zijn aan de in dit artikel opgenomen geheimhoudingsplicht en dat Bewerker van die gebondenheid schriftelijk bewijs bezit. Op eerste verzoek van Verantwoordelijke verstrekt Bewerker Verantwoordelijke dat bewijs. De DDMA model integriteits- en geheimhoudingsverklaring levert daarvan bewijs mits ondertekend ofwel bepalingen van soortgelijke strekking die onderdeel uitmaken van het met de personeelsleden afgesloten arbeidscontract. Artikel 6 Vernietiging en back-up 6.1 Bewerker stelt alle Persoonsgegevens op eerste verzoek van Verantwoordelijke, doch uiterlijk binnen tien werkdagen na het einde van deze overeenkomst of het einde van de Opdracht, ter beschikking aan Verantwoordelijke. 6.2 Bewerker is verplicht alle Persoonsgegevens op eerste verzoek van Verantwoordelijke volledig en onherroepelijk te verwijderen. 6.3 Indien na het einde van deze overeenkomst vaststaat dat Verantwoordelijke alle Persoonsgegevens in een door Verantwoordelijke schriftelijk geaccepteerd technisch formaat bezit, verwijdert Bewerker alle Persoonsgegevens volledig en onherroepelijk binnen veertien dagen nadat is vastgesteld dat Verantwoordelijke de Persoonsgegevens bezit. 6.4 Bewerker kan afwijken van het in beide voorgaande leden bepaalde, voor zover ten aanzien van Persoonsgegevens een wettelijke bewaartermijn zou gelden of voor zover dat noodzakelijk is om tegenover Verantwoordelijke nakoming van zijn verbintenissen te bewijzen. 6.5 Bewerker maakt minimaal 1 keer per dag, volgens een door partijen overeengekomen procedure die tenminste voldoet aan de eisen van professionele toewijding, reservekopieën van de Persoonsgegevens. Artikel 7 Recht van inzage, correctie en verzet van Betrokkene 7.1 Bewerker draagt ervoor zorg dat Betrokkene al zijn rechten uit de in artikel 2.1 opgenomen regelgeving kan uitoefenen.
7.2 Bewerker zal verder op eerste verzoek van Verantwoordelijke zo spoedig mogelijk, doch uiterlijk binnen vijf werkdagen nadat daartoe een verzoek is gedaan, overgaan tot: a. het schriftelijk verstrekken van alle benodigde informatie die Verantwoordelijke nodig mocht hebben; b. het verbeteren, aanvullen, verwijderen of afschermen van Persoonsgegevens. Artikel 8 Aansprakelijkheid 8.1 Bewerker is aansprakelijk voor alle schade voortvloeiende uit of verband houdend met het niet-nakomen van deze Bewerkersovereenkomst dan wel handelen in strijd met de Wbp. 8.2 Bewerker vrijwaart Verantwoordelijke tegen aanspraken van derden, waaronder Betrokkenen, in verband met het toerekenbaar tekortschieten van Bewerker in de nakoming van de Bewerkersovereenkomst of overtreding door Bewerker van de Wbp en zal alle daarmee verband houdende en daaruit voortvloeiende kosten (waaronder mede begrepen kosten van juridische bijstand) en schade van Verantwoordelijke vergoeden Artikel 9 Controle 9.1 Verantwoordelijke heeft het recht de naleving van de bepalingen van deze overeenkomst ten hoogste eenmaal per jaar te controleren. Verantwoordelijke kan dat na toestemming van Bewerker daartoe zelf doen of hij kan dat laten doen door een onafhankelijke registeraccountant, registerinformaticus of andere daartoe gecertificeerde auditor. 9.2 Verantwoordelijke draagt de kosten van controle met uitzondering van de kosten van het personeel van Bewerker dat de controle begeleidt. Deze laatste kosten zijn voor Bewerker. Indien uit de controle blijkt dat Bewerker materieel tekortschiet in de nakoming van deze overeenkomst, komen alle kosten voor rekening van Bewerker, onverminderd de overige rechten van Verantwoordelijke. Indien Bewerker tekortschiet doch de tekortkomingen zijn niet materieel, zal Bewerker die tekortkomingen op zo kort mogelijke termijn herstellen. 9.3 Een controle mag de bedrijfsactiviteiten van Bewerker niet onnodig verstoren. 9.4 Verantwoordelijke zal de controle minimaal tien dagen voor aanvang schriftelijk aankondigen aan Bewerker, voorzien van een omschrijving op welke onderdelen de controle ziet en het controleproces. 9.5 Indien Bewerker zelf de naleving van deze overeenkomst laat controleren door een onafhankelijke daartoe gecertificeerde partij, verstrekt Bewerker daarvan de eindresultaten aan Verantwoordelijke
Artikel 10 Overig 10.1 Wijzigingen van deze overeenkomst zijn uitsluitend geldig indien deze tussen partijen schriftelijk zijn overeengekomen. 10.2 Deze overeenkomst duurt zolang de Opdracht duurt. De bepalingen van deze overeenkomst blijven gelden voor zover nodig voor de afwikkeling van deze overeenkomst en voor zover die bedoeld zijn het einde van deze overeenkomst te overleven. Tot die laatste categorie bepalingen behoren onder meer, zonder daartoe te zijn beperkt, de bepalingen omtrent geheimhouding en geschillen. 10.3 Bewerker is niet gerechtigd de nakoming van zijn verplichtingen uit deze overeenkomst op te schorten, te verrekenen of afhankelijk te stellen van enige actie of verklaring van Verantwoordelijke. Verzuim van Verantwoordelijke bij de Opdracht of vernietiging van de overeenkomst op basis waarvan de opdracht wordt uitgevoerd, kan op geen enkele manier leiden tot het niet nakomen van de verplichtingen van Bewerker onder deze overeenkomst. 10.4 Deze overeenkomst prevaleert boven alle overige overeenkomsten tussen Verantwoordelijke en Bewerker. 10.5 Op deze overeenkomst is uitsluitend Nederlands recht van toepassing. 10.6 Partijen zullen hun geschillen verband houdende met deze overeenkomst uitsluitend voorleggen aan de Nederlandse rechter. De bevoegde Nederlandse rechter is de rechter van het arrondissement waarin Bewerker is gevestigd.