Verwerkersovereenkomst

Inleiding

Tenant is verwerkingsverantwoordelijke voor persoonsgegevens in de workspace; Leverancier is daarvoor verwerker. Voor accountbeheer, facturatie, beveiliging en eigen wettelijke verplichtingen kan Leverancier zelfstandig verwerkingsverantwoordelijke zijn.

Onderwerp, duur en rangorde

Deze Verwerkersovereenkomst maakt deel uit van de Overeenkomst tussen Tenant (‘Verwerkingsverantwoordelijke’) en Leverancier (‘Verwerker’). Zij geldt zolang Verwerker namens Verwerkingsverantwoordelijke persoonsgegevens verwerkt en daarna zolang gegevens nog niet rechtmatig zijn verwijderd of teruggegeven.

Bij strijd over de bescherming van persoonsgegevens gaat deze Verwerkersovereenkomst vóór op de Algemene voorwaarden en het Orderformulier, behalve wanneer een specifieke schriftelijke bepaling aantoonbaar meer bescherming aan betrokkenen biedt. Niets in deze Verwerkersovereenkomst beperkt rechten van betrokkenen of bevoegdheden van een toezichthouder.

Rollen en instructies

Verwerker verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructies van Verwerkingsverantwoordelijke, waaronder de instructies die uit gebruik van de Dienst en de Overeenkomst volgen, tenzij Unierecht of toepasselijk lidstatelijk recht verwerking verplicht. In dat geval informeert Verwerker vooraf, tenzij de wet dat om zwaarwegende redenen verbiedt.

Verwerker informeert Verwerkingsverantwoordelijke onmiddellijk indien een instructie naar zijn oordeel inbreuk maakt op de AVG of andere toepasselijke gegevensbeschermingswetgeving en mag uitvoering opschorten totdat de instructie is bevestigd, gewijzigd of ingetrokken.

Verwerkingsverantwoordelijke bepaalt doeleinden en middelen, beschikt over een geldige grondslag, verstrekt de vereiste informatie aan betrokkenen en waarborgt dat gegevens en instructies rechtmatig, proportioneel en juist zijn. Verwerker beslist zelfstandig over zuiver interne organisatorische en beveiligingsmiddelen voor zover deze de instructie niet wijzigen.

Vertrouwelijkheid en personeel

Verwerker waarborgt dat personen met toegang tot persoonsgegevens zich contractueel of wettelijk tot vertrouwelijkheid hebben verbonden, alleen toegang krijgen volgens noodzaak en passende instructies en training ontvangen. Toegang wordt periodiek beoordeeld en tijdig ingetrokken.

Beveiliging

Rekening houdend met stand van techniek, uitvoeringskosten, aard, omvang, context en doeleinden en de risico’s voor betrokkenen treft Verwerker passende technische en organisatorische maatregelen overeenkomstig artikel 32 AVG. De hoofdlijnen staan in Bijlage B en mogen worden verbeterd mits het beschermingsniveau niet materieel afneemt.

Verwerker garandeert geen absolute beveiliging. Verwerkingsverantwoordelijke blijft verantwoordelijk voor veilige configuratie, Gebruikersbeheer, endpoints, gekoppelde accounts, gegevensminimalisatie, lokale exports en eigen procedures.

Inbreuk in verband met persoonsgegevens

Verwerker stelt Verwerkingsverantwoordelijke zonder onredelijke vertraging op de hoogte nadat een bevestigde inbreuk in verband met namens Tenant verwerkte persoonsgegevens bekend is geworden. Waar praktisch streeft Verwerker naar een eerste melding binnen 48 uur na bevestiging. Een melding is geen erkenning van aansprakelijkheid.

De melding bevat, voor zover dan beschikbaar: aard en vermoedelijke omvang, categorieën van gegevens en betrokkenen, waarschijnlijke gevolgen, genomen of voorgestelde maatregelen en een contactpunt. Ontbrekende informatie wordt gefaseerd verstrekt. Verwerker documenteert het incident, ondersteunt redelijke beoordeling en bewaart forensische integriteit.

Verwerkingsverantwoordelijke beslist over meldingen aan toezichthouders en betrokkenen, tenzij Verwerker daartoe zelfstandig wettelijk verplicht is. Kosten van ondersteuning zijn inbegrepen voor zover het incident aan Verwerker is toe te rekenen; anders gelden redelijke professionele tarieven na voorafgaande afstemming.

Rechten van betrokkenen, DPIA en toezicht

Verwerker helpt, rekening houdend met de aard van de verwerking en beschikbare informatie, met passende technische en organisatorische maatregelen bij verzoeken van betrokkenen en bij verplichtingen rond beveiliging, datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging. Een rechtstreeks ontvangen verzoek wordt doorgestuurd en niet zelfstandig inhoudelijk afgehandeld, tenzij wettelijk vereist.

Subverwerkers

Verwerkingsverantwoordelijke geeft algemene schriftelijke toestemming voor de subverwerkers op de actuele Subverwerkerslijst. Verwerker legt iedere subverwerker schriftelijk in wezen dezelfde gegevensbeschermingsverplichtingen op en blijft jegens Verwerkingsverantwoordelijke verantwoordelijk voor de uitvoering daarvan zoals artikel 28 AVG bepaalt.

Een voorgenomen nieuwe of vervangende kernsubverwerker wordt waar redelijk ten minste dertig dagen vooraf aangekondigd. Verwerkingsverantwoordelijke kan binnen veertien dagen gemotiveerd bezwaar maken op concrete privacy- of beveiligingsgronden. Partijen zoeken een redelijke oplossing; als die ontbreekt, mag Verwerkingsverantwoordelijke uitsluitend het wezenlijk getroffen onderdeel beëindigen. Dit ontslaat hem niet van reeds verschuldigde bedragen.

Internationale doorgiften

Persoonsgegevens worden alleen buiten de EER doorgegeven indien hoofdstuk V AVG wordt nageleefd, bijvoorbeeld op grond van een adequaatheidsbesluit, bindende bedrijfsvoorschriften of de toepasselijke standaardcontractbepalingen van de Europese Commissie met aanvullende maatregelen waar nodig.

Indien de standaardcontractbepalingen van Uitvoeringsbesluit (EU) 2021/914 nodig zijn, worden de passende module, bijlagen en bevoegde toezichthouder door verwijzing onderdeel van deze Verwerkersovereenkomst. Aanvullende commerciële bepalingen mogen die standaardbepalingen niet tegenspreken of rechten van betrokkenen aantasten.

Audit en informatie

Verwerker stelt informatie beschikbaar die redelijkerwijs nodig is om naleving van artikel 28 AVG aan te tonen. Als onafhankelijke assurance, certificeringen, penetratietestsamenvattingen of gestandaardiseerde vragenlijsten onvoldoende zijn, mag Verwerkingsverantwoordelijke eenmaal per twaalf maanden een aanvullende audit laten uitvoeren, en vaker na een relevant bevestigd incident of op bevel van een toezichthouder.

Audits worden ten minste dertig dagen vooraf aangekondigd, tijdens kantooruren uitgevoerd door een onafhankelijke deskundige onder geheimhouding, beginnen op afstand en mogen de beveiliging, continuïteit, privacy van andere klanten of vertrouwelijke informatie niet schaden. Verwerkingsverantwoordelijke draagt de redelijke kosten, behalve bij een materiële tekortkoming van Verwerker.

Teruggave, verwijdering en bewijs

Na einde van de dienstverlening verwijdert of retourneert Verwerker persoonsgegevens naar keuze van Verwerkingsverantwoordelijke, binnen de technische en contractuele exportmogelijkheden, tenzij toepasselijk recht bewaring vereist. De workspace blijft minimaal zestig dagen in herstelretentie na einde van operationele toegang. Daarna volgt een gecontroleerde verwijderingsbeoordeling; legal holds of wettelijke plichten blokkeren verwijdering.

Back-ups worden volgens hun beveiligde cyclus overschreven en worden niet opnieuw voor normale bedrijfsdoeleinden in gebruik genomen. Contractacceptaties, auditlogs, facturen, beveiligingsbewijs en beperkte suppressie- of bewijsgegevens kunnen afzonderlijk worden bewaard voor wettelijke verplichtingen of rechtsvorderingen.

Aansprakelijkheid

De onderlinge aansprakelijkheid van partijen uit deze Verwerkersovereenkomst valt onder de aansprakelijkheidsregeling van de Algemene voorwaarden. Die regeling beperkt niet de rechten van betrokkenen op grond van artikel 82 AVG, regres voor zover dwingend geregeld, of de bevoegdheden van toezichthouders. Geen partij is gehouden de ander te vrijwaren voor het deel van schade dat door de eigen schending van de AVG is veroorzaakt.

Bijlage A — verwerkingsdetails

Bijlage B — technische en organisatorische maatregelen

Bijlage C — subverwerkers

De actuele Subverwerkerslijst maakt door verwijzing deel uit van deze Verwerkersovereenkomst. Bij verschillen is de meest recent rechtsgeldig meegedeelde versie leidend voor toekomstige verwerkingen.