BEWERKERSOVEREENKOMST

BEWERKERSOVEREENKOMST 1. [ORGANISATIE], statutair gevestigd te [PLAATS], kantoor houdende [ADRES], ingeschreven in het handelsregister onder nummer [KVKNR], hierbij vertegenwoordigd door [DHR/MEVR] [NAAM], [FUNCTIE], hierna ook te noemen: Verantwoordelijke ; en 2. Innovero Software Solutions B.V., statutair gevestigd te Den Haag, kantoor houdende, Johan van Oldenbarneveltlaan 11, 2582 NE, den Haag, ingeschreven in het handelsregister onder nummer 27157981, hierbij vertegenwoordigd door dhr. M. Rader, Directeur, hierna te noemen: Bewerker; hierna gezamenlijk te noemen: Partijen OVERWEGENDE DAT A. Verantwoordelijke een zakelijk abonnement (hierna te noemen: Abonnement) heeft afgesloten of gaat afsluiten bij Bewerker met betrekking tot het door Bewerker aan Verantwoordelijke online beschikbaar gestelde formulieren oplossing ten behoeve van Verantwoordelijke. B. Bewerker in het kader van het uitvoeren van het Abonnement persoonsgegevens in de zin van de Wet bescherming persoonsgegevens (hierna: Wbp ) verwerkt voor Verantwoordelijke. C. Partijen met deze bewerkersovereenkomst in overeenstemming met art. 14 Wbp invulling willen geven aan de wijze van verwerking van persoonsgegevens door Bewerker; KOMEN ALS VOLGT OVEREEN: 1. DEFINITIES 1.1 Betrokkene: degene op wie een Persoonsgegeven betrekking heeft, zoals bedoeld in artikel 1, onder f, Wbp. 1.2 Bewerker: bewerker in de zin van de Wet bescherming persoonsgegevens, degene die ten behoeve van de Verantwoordelijke Persoonsgegevens verwerkt zonder aan zijn rechtstreeks gezag te zijn onderworpen. 1.3 Datalek: een inbreuk op de beveiliging van Persoonsgegevens die ernstige nadelige gevolgen heeft voor de bescherming van Persoonsgegevens. 1.4 Persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon. 1.5 Subbewerker: derde die door Bewerker wordt ingeschakeld om ten behoeve van Bewerker Persoonsgegevens te verwerken, zonder aan het rechtstreeks gezag van Bewerker te zijn onderworpen. 1.6 Verantwoordelijke: de verantwoordelijke voor de Verwerking in de zin van de Wet bescherming persoonsgegevens. 1.7 Verwerking van Persoonsgegevens of het verwerken van Persoonsgegevens: elke handeling of elk geheel van handelingen met betrekking tot Persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, 1

raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens. 2. ALGEMEEN 2.1 Bewerker verwerkt/zal verwerken persoonsgegevens in het kader van het Abonnement waarvoor Verantwoordelijke verantwoordelijk is in de zin van de Wbp. 2.2 De verwerking heeft/kan met name betrekking [hebben] op persoonsgegevens van [BETROKKENEN], hierna Betrokkenen. 2.3 Onder de te verwerken persoonsgegevens kunnen onder meer gegevens vallen met betrekking tot [PERSOONSGEGEVENS]. 2.4 De persoonsgegevens worden met name verwerkt voor [DOEL]. 2.5 Partijen zijn verplicht te voldoen aan alle geldende wettelijke verplichtingen in verband met de verwerking van persoonsgegevens. 2.6 Partijen zullen elkaar onverwijld op de hoogte brengen van alle informatie die redelijkerwijs relevant is voor de uitvoering van deze bewerkersovereenkomst en wijzen hiervoor een vaste contactpersoon aan. 3. OMVANG OPDRACHT 3.1 De verwerking van de persoonsgegevens zal uitsluitend in het kader van het Abonnement plaatsvinden. Bewerker zal de persoonsgegevens uitsluitend ten behoeve van Verantwoordelijke en uitsluitend voor het door Verantwoordelijke bepaalde doel verwerken. Het is Bewerker niet toegestaan om de persoonsgegevens voor eigen doeleinden te verwerken. 3.2 Bewerker houdt zich bij het uitvoeren van de werkzaamheden in het kader van het Abonnement aan de redelijke aanwijzingen van Verantwoordelijke. Het is Bewerker niet toegestaan handelingen te verrichten met betrekking tot de persoonsgegevens waar Verantwoordelijke geen opdracht toe heeft gegeven. 3.3 Bewerker zal de persoonsgegevens behoorlijk en zorgvuldig verwerken. 3.4 Bewerker zal de persoonsgegevens in beginsel opslaan en verwerken binnen de Europese Unie. Ingeval de persoonsgegevens buiten de Europese Unie worden verwerkt, via opslag in de cloud, of door verwerking door een ingeschakelde persoon vanuit een locatie buiten de Europese Unie zal Bewerker Verantwoordelijke daarover informeren, waarbij aan Verantwoordelijke een alternatief geboden wordt, bijvoorbeeld door deze verwerking buiten de bestaande functionaliteit af te zonderen, of een uitfaseerperiode te bieden. 3.5 Bewerker stelt Verantwoordelijke te allen tijde in staat om binnen de wettelijke termijnen te kunnen voldoen aan de op Verantwoordelijke rustende verplichtingen op grond van de geldende wettelijke verplichtingen in verband met de verwerking van persoonsgegevens, meer in het bijzonder betreffende de rechten van betrokkenen, waaronder een verzoek om inzage, verbetering, aanvulling, verwijdering of afscherming van diens persoonsgegevens. 2

4. VERPLICHTINGEN VERANTWOORDELIJKE 4.1 Verantwoordelijke is onder de Wbp bevoegd de verwerking van de persoonsgegevens aan Bewerker uit te besteden. 4.2 Verantwoordelijke zal alleen persoonsgegevens door Bewerker laten verwerken die in overeenstemming zijn met het doel van de gegevensverwerking en zal Bewerker tijdig informeren over wijzigingen die betrekking hebben op de verwerking van deze persoonsgegevens. 5. BEVEILIGING PERSOONSGEGEVENS 5.1 Bewerker zal in overeenstemming met artikel 13 Wbp en de invulling die daaraan is gegeven door het CBP in de Richtsnoeren Beveiliging van persoonsgegevens (zie: https://cbpweb.nl/sites/default/files/downloads/rs/rs_2013_richtsnoeren-beveiligingpersoonsgegevens.pdf) zodanige technische en organisatorische maatregelen treffen, in stand houden en zo nodig aanpassen, dat de verwerkte persoonsgegevens op adequate wijze zijn beveiligd tegen verlies, onrechtmatige verwerking of onrechtmatige toegang. Bewerker draagt er zorg voor dat het door haar gebruikte systeem (inclusief beveiligingssoftware en verbindingen) en de door haar te leveren diensten voldoen aan de geldende wettelijke verplichtingen in verband met de verwerking van persoonsgegevens. Bewerken biedt hiertoe verschillende beveiligingsinstellingen aan die Verantwoordelijke in de gelegenheid stelt het meest passende beveiligingsniveau te kiezen. De keuze voor het beveiligingsniveau is de verantwoordelijkheid van Verantwoordelijke. De goede werking van de gekozen beveiliging als bedoeld in dit artikel is de verantwoordelijkheid van Bewerker. 5.2 Bewerker is zich bewust van de vertrouwelijkheid van de gegevens die worden verwerkt en zal zich tot het uiterste inspannen om onrechtmatige verwerking en ongeoorloofd gebruik van de persoonsgegevens tegen te gaan. Bij het vaststellen van het beveiligingsniveau zal Bewerker als uitgangspunt aanhouden dat er gegevens kunnen worden verwerkt met een hoog gevoelig karakter voor de betrokkene of de context waarin deze worden gebruikt een grote bedreiging voor de persoonlijke levenssfeer kunnen betekenen. 5.3 Bewerker zal in ieder geval voldoen aan de beveiligingseisen conform document Identiteit en toegangsbeheer versie 1.2 van april 2014 opgesteld door Bewerker en zal Verantwoordelijke onverwijld informeren indien Bewerker niet voldoet. 5.4 Bewerker verstrekt Verantwoordelijke op diens verzoek een kopie van zijn op deze dienstverlening van toepassing zijnde veiligheidsbeleid waarin de technische en organisatorische maatregelen zijn opgenomen die Bewerker hanteert om te kunnen voldoen aan de eisen van deze bewerkersovereenkomst. Bewerker brengt Verantwoordelijke op de hoogte van wijzigingen in zijn veiligheidsbeleid. 5.5 Bewerker staat er voor in dat haar personeel en ieder ander die is ingeschakeld door Bewerker in het kader van de uitvoering van het Abonnement en betrokken is bij de verwerking van persoonsgegevens zich houdt aan de geldende wettelijke verplichtingen in verband met de verwerking van persoonsgegevens en het gestelde in deze bewerkersovereenkomst. 3

5.6 Bewerker houdt de persoonsgegevens die zij verwerkt in het kader van de uitvoering van het Abonnement geheim en zal alle nodige maatregelen treffen om geheimhouding van de persoonsgegevens te verzekeren. Bewerker zal de verplichting tot geheimhouding tevens opleggen aan haar personeel en andere door haar ingeschakelde personen. 5.7 Bewerker staat ervoor in dat alleen geautoriseerde medewerkers toegang hebben tot de persoonsgegevens van Verantwoordelijke. 6. DOORBREKING BEVEILIGING EN DATALEKKEN 6.1 Iedere doorbreking van de beveiliging van de persoonsgegevens en ieder vergroot risico daarop zal Bewerker aan Verantwoordelijke melden. Bewerker meldt daarbij in ieder geval aard, tijdstip, duur, oorzaak en alle andere informatie waar Verantwoordelijke om verzoekt om vervolgstappen te kunnen vaststellen. Bewerker zal Verantwoordelijke tevens direct informeren over enig verlies, corruptie, onrechtmatige verwerking of onrechtmatige toegang tot de persoonsgegevens van Verantwoordelijke. 6.2 In geval van een (dreigende) doorbreking van de beveiliging van de persoonsgegevens zal Bewerker tevens Verantwoordelijke zo spoedig mogelijk informeren over de door haar te nemen en genomen maatregelen ter voorkoming van een nieuw incident. Indien nodig zal Bewerker meewerken aan het informeren van de personen op wiens persoonsgegevens het incident betrekking heeft. 6.3 In aanvulling op artikel 5.1 zal Bewerker vanaf de inwerkingtreding van het wetsvoorstel meldplicht datalekken (wetsvoorstel 33662) alle verplichtingen op grond van deze regelgeving naleven, waaronder de verplichting tot het direct melden van diefstal, verlies of misbruik van persoonsgegevens aan Verantwoordelijke, de betrokken personen en aan het CBP, indien de wet dit vereist. 6.4 Bewerker zal Verantwoordelijke per voorval informeren over de risico s op incidenten en de voorgevallen incidenten met betrekking tot de persoonsgegevens van Verantwoordelijke en de beveiliging van de verwerking van deze persoonsgegevens inclusief de daaromtrent getroffen of te treffen maatregelen. 7. CONTROLE DOOR VERANTWOORDELIJKE 7.1 Bewerker streeft er naar haar organisatie zodanig in te richten dat zij in staat zal zijn om periodiek een rapport van een onafhankelijke deskundige over de staat van de technische en organisatorische maatregelen ter beveiliging van de persoonsgegevens die Bewerker heeft getroffen in het kader van deze bewerkersovereenkomst aan Verantwoordelijke kan verstrekken. 7.2 Verantwoordelijke heeft het recht om zelf of door onafhankelijke deskundigen een audit te laten uitvoeren inzake de verwerking van persoonsgegevens door Bewerker ter controle van de naleving van de onderhavige bewerkersovereenkomst en de relevante regelgeving en beveiligingseisen. 7.3 Bewerker zal om niet alle redelijke medewerking verlenen aan een audit zoals genoemd in artikel 6.3, waaronder het verlenen van toegang tot gebouwen en databases en het ter beschikking stellen van terzake relevante informatie. 4

7.4 De kosten voor de audit zijn voor rekening van Verantwoordelijke. 7.5 Bewerker zal in overleg met Verantwoordelijke en binnen de door Verantwoordelijke naar redelijkheid gestelde termijn de naar redelijkheid uit te voeren aanbevelingen ter verbetering van de onafhankelijke deskundigen uitvoeren. 7.6 Bewerker zal alle redelijke medewerking verlenen in geval van een onderzoek door een bevoegde autoriteit. 8. AANSPRAKELIJKHEID 8.1 Bewerker is aansprakelijk voor de in het kader van deze bewerkersovereenkomst verrichte verwerkingshandelingen en werkzaamheden. 8.2 Indien Bewerker tekortschiet in de nakoming van deze bewerkersovereenkomst is Bewerker aansprakelijk voor alle schade en kosten die daardoor ontstaan. De vergoeding voor de uit deze aansprakelijkheid voortvloeiende schade is beperkt tot een bedrag van 500.000,- per aanspraak en 1.000.000,- per jaar. 8.3 Bewerker vrijwaart Verantwoordelijke voor schade van derden voor zover de schade het gevolg is van het niet naleven van deze bewerkersovereenkomst en/of de daarin genoemde relevante regelgeving en beveiligingseisen. 9. SUBBEWERKERS 9.1 Bewerker zal bij de verwerking van de persoonsgegevens niet overgaan tot het inschakelen van subbewerkers, zonder de voorafgaande toestemming van Verantwoordelijke. Verantwoordelijke zal deze toestemming voor zover redelijk niet onthouden. 9.2 Bewerker biedt Verantwoordelijke specifieke functionaliteiten aan zoals het versturen van SMS of de mogelijkheid Betrokkene online te laten betalen waarbij een koppeling wordt gelegd met derden. Bewerker maakt bij het instellen en activeren van de functionaliteit door Verantwoordelijke aan Verantwoordelijke duidelijk wie de derde is. 9.3 Het instellen en in gebruik nemen van de functionaliteiten zoals bedoeld in 8.2 door Verantwoordelijke houdt een expliciete toestemming van Verantwoordelijke aan Bewerker in om uitsluitend die gegevens uit te wisselen met de derde die benodigd zijn voor het functioneren van de betreffende functionaliteit. 9.4 Voor het functioneren van de onder art. 8.2 bedoelde functionaliteiten moet Verantwoordelijke een account, abonnement en/of overeenkomst afsluiten bij de onder art. 8.2 bedoelde derde. Verantwoordelijke zal indien de derde persoonlijke gegevens van Verantwoordelijke verwerkt een bewerkersovereenkomst met deze derde afsluiten. 9.5 Bewerker is verplicht om met de door haar ingeschakelde subbewerkers met uitzondering van derden zoals bedoeld in art. 8.2, een (bewerkers)overeenkomst te sluiten die in overeenstemming is met de relevante regelgeving en deze bewerkersovereenkomst. Bewerker verstrekt Verantwoordelijke op verzoek een kopie van de gesloten (bewerkers)overeenkomst met de subbewerker. 5

9.6 Bewerker zal in geval van inschakeling van subbewerkers met uitzondering van derden zoals bedoeld in art. 8.2, alle nodige maatregelen treffen om geheimhouding van de persoonsgegevens te verzekeren in het kader van de uitvoering van het Abonnement. Bewerker zal de verplichting tot geheimhouding opleggen aan de ingeschakelde subbewerker en het personeel van de subbewerkers. 9.7 Bij gebruikmaking van de diensten van een derde(n) voor de opslag van de persoonsgegevens of de gegevensdragers van de persoonsgegevens met uitzondering van derden zoals bedoeld in art. 8.2, zal Bewerker zorg dragen voor een met deze derde gesloten overeenkomst, waarin adequate waarborgen zijn opgenomen voor de beveiliging van de opslag en de continuïteit van de verwerking van de persoonsgegevens ook in het geval van faillissement van deze derde. Bewerker verstrekt Verantwoordelijke een kopie van de met deze derde(n) gesloten overeenkomst. 9.8 Bewerker draagt er zorg voor dat bij inschakeling van een subbewerker met uitzondering van derden zoals bedoeld in art. 8.2, de persoonsgegevens op geen enkele wijze buiten de Europese Unie worden verwerkt, niet via opslag in de cloud, noch door verwerking (zoals in het kader van onderhoud op de IT-systemen) van de persoonsgegevens vanuit een locatie buiten de Europese Unie door een ingeschakelde subbewerker. 9.9 Uitsluitend in het geval dat Verantwoordelijke toestemming heeft gegeven aan Bewerker om de persoonsgegevens buiten de Europese Unie te laten verwerken door een subbewerker zal Bewerker in overleg met Verantwoordelijke maatregelen treffen om ervoor te zorgen dat de doorgifte van de persoonsgegevens in overeenstemming is met de geldende wettelijke verplichtingen in dit verband. 9.10 Bewerker staat in voor de naleving van de geldende wettelijke verplichtingen in verband met de verwerking van persoonsgegevens en het gestelde in deze bewerkersovereenkomst door de door haar ingeschakelde derden met uitzondering van derden zoals bedoeld in art. 8.2. 10. DUUR EN BEËINDIGING 10.1 Deze bewerkersovereenkomst treedt in werking op de datum van ondertekening of op de ingangsdatum van het Abonnement indien dit later plaats vindt. 10.2 Deze bewerkersovereenkomst eindigt van rechtswege bij beëindiging van het Abonnement. 10.3 Bewerker is verplicht om bij beëindiging van het Abonnement de persoonsgegevens die Bewerker voor Verantwoordelijke verwerkt onmiddellijk en volledig ter beschikking te stellen aan Verantwoordelijke of aan een door Verantwoordelijke aangewezen derde. 10.4 Bewerker garandeert dat zij zelf of de door haar ingeschakelde derden na beëindiging van het Abonnement de nog aanwezige persoonsgegevens binnen een termijn van maximaal 6 maanden ten behoeve van back up te zullen vernietigen. 11. TOEGANG TOT DE PERSOONSGEGEVENS 11.1 De persoonsgegevens die onder deze bewerkersovereenkomst vallen behoren uitsluitend toe aan Verantwoordelijke. 6

11.2 In geval van een conflict tussen partijen om welke reden of op welke wijze dan ook garandeert Bewerker de continue en onbelemmerde toegang tot de persoonsgegevens. 11.3 In geval van faillissement van Bewerker worden de persoonsgegevens onmiddellijk en volledig ter beschikking gesteld aan Verantwoordelijke of aan een door Verantwoordelijke aangewezen derde. 12. TOEPASSELIJK RECHT/BEVOEGDE RECHTER 12.1 Op deze bewerkersovereenkomst is uitsluitend Nederlands recht van toepassing. 12.2 Alle geschillen die ontstaan naar aanleiding van deze bewerkersovereenkomst worden beslecht op dezelfde wijze zoals bepaald in de voorwaarden van Bewerker. ALDUS OVEREENGEKOMEN EN IN TWEEVOUD GETEKEND Namens Verantwoordelijke [PLAATS], [DATUM] [ORGANISATIE] Namens Bewerker Den Haag, [DATUM] Innovero Software Solutions B.V. [DHR/MEVR] [NAAM] [FUNCTIE] Dhr. M. Rader Directeur 7