Verwerkersovereenkomst

In aanmerking nemende dat

• Verwerkingsverantwoordelijke met zijn klanten een overeenkomst heeft gesloten en voor de uitvoering daarvan Verwerker wenst in te schakelen.
• Verwerkingsverantwoordelijke en Verwerker daartoe een Overeenkomst hebben gesloten teneinde de diensten te leveren en uit te voeren zoals besproken in de overeenkomst.
• Verwerker bij de uitvoering van de Overeenkomst kan worden aangemerkt als Verwerker in de zin van artikel 4 lid 8 AVG.
• Verwerkingsverantwoordelijke wordt aangemerkt als verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 AVG.
• Waar in deze Verwerkersovereenkomst gesproken wordt over persoonsgegevens, hiermee persoonsgegevens in de zin van artikel 4 lid 1 AVG worden bedoeld.
• Partijen hun rechten en plichten schriftelijk wensen vast te leggen middels deze Verwerkersovereenkomst.

Zijn als volgt overeengekomen:

Artikel 1. Doeleinden van verwerking

1. Verwerker verbindt zich onder de voorwaarden van deze Verwerkersovereenkomst in opdracht van Verwerkingsverantwoordelijke persoonsgegevens te verwerken. Verwerking vindt uitsluitend plaats in het kader van de Overeenkomst en de daarmee redelijkerwijs samenhangende doeleinden.

2. De persoonsgegevens die door Verwerker in het kader van de Overeenkomst worden verwerkt, en de categorieën betrokkenen van wie deze afkomstig zijn, zijn opgenomen in Annex 1.

3. Verwerker verwerkt de persoonsgegevens niet voor enig ander doel dan zoals door Verwerkingsverantwoordelijke is vastgesteld.

4. Verwerker heeft geen zeggenschap over het doel en de middelen voor de verwerking van persoonsgegevens.

Artikel 2. Verplichtingen Verwerker

1. Verwerker draagt zorg voor naleving van de voorwaarden die op grond van de Wbp en AVG worden gesteld aan het verwerken van persoonsgegevens door Verwerker vanuit diens rol.

2. Verwerker informeert Verwerkingsverantwoordelijke op diens verzoek binnen een redelijke termijn over de genomen maatregelen.

3. De verplichtingen van Verwerker gelden ook voor degenen die persoonsgegevens verwerken onder het gezag van Verwerker.

4. Verwerker verrijkt zijn databases niet met gegevens afkomstig uit datasets van Verwerkingsverantwoordelijke, tenzij het geaggregeerde en niet-herleidbare gegevens betreft. 5. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk in kennis indien een instructie naar zijn mening in strijd is met toepasselijke wetgeving.

Artikel 3. Doorgifte van persoonsgegevens

1. Verwerker mag persoonsgegevens verwerken binnen de Europese Economische Ruimte. Doorgifte naar een land buiten de EER vindt uitsluitend plaats indien wordt voldaan aan hoofdstuk V van de AVG.

2. Indien geen toepasselijk adequaatheidsbesluit bestaat, kan Verwerker gebruikmaken van de door de Europese Commissie vastgestelde Standard Contractual Clauses (SCC’s), zo nodig aangevuld met een doorgifte-effectbeoordeling en aanvullende technische, organisatorische of contractuele maatregelen.

3. Voor doorgifte aan een in de Verenigde Staten gevestigde organisatie mag het EU-US Data Privacy Framework worden gebruikt voor zover de ontvanger aantoonbaar en actueel gecertificeerd is en het kader rechtsgeldig van toepassing is.

4. Microsoft, Pax8, Acronis, Datto, NinjaOne en andere leveranciers mogen persoonsgegevens buiten de EER verwerken, mits voor iedere doorgifte een geldige grondslag en een rechtmatig doorgiftemechanisme onder de AVG aanwezig zijn.

5. Verwerker publiceert en onderhoudt een actuele lijst van subverwerkers, met ten minste de naam, de aard of locatie van de verwerking en, voor zover van toepassing, het gebruikte doorgiftemechanisme.

Artikel 4. Verdeling van verantwoordelijkheid

1. De toegestane verwerkingen worden door Verwerker uitgevoerd binnen een geautomatiseerde of semi-geautomatiseerde omgeving.

2. Verwerker is uitsluitend verantwoordelijk voor verwerking overeenkomstig de instructies van Verwerkingsverantwoordelijke.

3. Voor overige verwerkingen, waaronder verzameling door Verwerkingsverantwoordelijke, verwerking door derden of verwerking voor andere doeleinden, is Verwerker niet verantwoordelijk.

4. Verwerkingsverantwoordelijke staat ervoor in dat inhoud, gebruik en opdracht tot verwerking rechtmatig zijn en geen inbreuk maken op rechten van derden.

5. Partijen houden waar vereist een register bij van de onder deze Verwerkersovereenkomst geregelde verwerkingen.

Artikel 5. Inschakelen van derden of onderaannemers

1. Verwerkingsverantwoordelijke verleent Verwerker algemene schriftelijke toestemming om subverwerkers in te schakelen voor de uitvoering van de Overeenkomst, met inachtneming van de AVG en deze Verwerkersovereenkomst.

2. Verwerker publiceert en onderhoudt een actuele subverwerkerslijst. Deze kan, afhankelijk van de afgenomen diensten, onder meer Microsoft, Enreach, Acronis, Pax8, NinjaOne, Exact, Basecone, AFAS, Datto en datacenter- en hostingpartners bevatten.

3. Verwerker informeert Verwerkingsverantwoordelijke vooraf over voorgenomen wezenlijke toevoegingen of vervangingen van subverwerkers, met een redelijke termijn om bezwaar te maken.

4. Een bezwaar moet schriftelijk en gemotiveerd zijn en betrekking hebben op aantoonbare risico’s voor de bescherming van persoonsgegevens. Partijen treden vervolgens in overleg over een redelijke oplossing, waaronder een alternatief, aanvullende waarborgen of, indien geen oplossing mogelijk is, beëindiging van het betrokken dienstonderdeel.

5. Verwerker legt subverwerkers schriftelijk ten minste gelijkwaardige verplichtingen inzake gegevensbescherming, vertrouwelijkheid, beveiliging, medewerking en verwijdering of teruggave van persoonsgegevens op.

6. Verwerker blijft jegens Verwerkingsverantwoordelijke verantwoordelijk voor de nakoming van de gegevensbeschermingsverplichtingen door de door hem ingeschakelde subverwerkers, voor zover de AVG dit bepaalt.

Artikel 6. Beveiliging

1. Verwerker treft, rekening houdend met de stand van de techniek, uitvoeringskosten, aard, omvang, context en doeleinden van de verwerking en de risico’s voor betrokkenen, passende technische en organisatorische maatregelen.

2. De maatregelen omvatten, voor zover passend bij de dienstverlening en het risicoprofiel, ten minste:

1. multifactorauthenticatie voor beheerdersaccounts
2. beheer van geprivilegieerde toegang volgens het beginsel van minimale rechten
3. logging, monitoring en opvolging van beveiligingsgebeurtenissen
4. endpoint protection en beveiligde configuratie van werkplekken en servers
5. versleuteling van laptops en andere draagbare gegevensdragers
6. encryptie van persoonsgegevens tijdens transport
7. periodiek patchmanagement en kwetsbaarhedenbeheer
8. een passend back-up-, herstel- en testbeleid
9. periodieke beveiligings- en privacybewustwording voor medewerkers
10. risicogebaseerde screening en beoordeling van leveranciers.

3. Verwerker evalueert de maatregelen periodiek en past deze aan indien risico’s, technologie, dienstverlening of toepasselijke wetgeving daartoe aanleiding geven.

4. Verwerker kan maatregelen proportioneel invullen en documenteren, mits het overeengekomen beschermingsniveau en de wettelijke verplichtingen worden gewaarborgd.

Artikel 7. Meldplicht

1. Bij een inbreuk in verband met persoonsgegevens informeert Verwerker Verwerkingsverantwoordelijke zonder onredelijke vertraging en uiterlijk binnen vierentwintig (24) uur nadat Verwerker daarvan kennis heeft genomen. Verwerkingsverantwoordelijke beoordeelt of melding aan de toezichthouder en/of betrokkenen vereist is.

2. Verwerker verstrekt de op dat moment beschikbare informatie en vult deze zonder onredelijke vertraging aan zodra meer gegevens bekend zijn.

3. De melding bevat voor zover bekend ten minste: datum of periode van het incident, vermoedelijke oorzaak, moment van bekendwording, aard en omvang, categorieën en een indicatie van het aantal betrokkenen en persoonsgegevens, waarschijnlijke gevolgen, toegepaste versleuteling of andere beschermingsmaatregelen, genomen of voorgenomen herstelmaatregelen en contactgegevens voor opvolging.

4. Verwerker verleent redelijke medewerking aan onderzoek, beperking van gevolgen, herstel, bewijsbewaring en eventuele wettelijke meldingen.

Artikel 8. Cyberbeveiliging en NIS2

1. Voor zover NIS2, nationale implementatiewetgeving of andere toepasselijke cyberbeveiligingsregels op een Partij of op de dienstverlening van toepassing zijn, treffen Partijen passende en evenredige maatregelen voor cyberbeveiligingsrisicobeheer en incidentrespons.

2. Partijen informeren elkaar zonder onredelijke vertraging over ernstige cyberincidenten die de dienstverlening of de vertrouwelijkheid, integriteit, beschikbaarheid of authenticiteit van persoonsgegevens of netwerk- en informatiesystemen wezenlijk kunnen aantasten.

3. Partijen verlenen elkaar redelijke ondersteuning bij wettelijke onderzoek-, informatie- en meldplichten, met inachtneming van ieders eigen verantwoordelijkheid en toepasselijke termijnen.

4. Een noodzakelijke beveiligingsmaatregel mag niet zonder redelijke grond worden geweigerd indien het achterwege laten daarvan een aantoonbaar en wezenlijk beveiligings- of continuïteitsrisico oplevert. Partijen maken vooraf afspraken over uitvoerbaarheid, kosten, planning en gevolgen voor de dienstverlening.

Artikel 9. Kunstmatige intelligentie

1. Verwerker gebruikt persoonsgegevens die hij in opdracht verwerkt niet voor het trainen, ontwikkelen of verbeteren van generatieve AI-modellen, tenzij dit vooraf expliciet en schriftelijk is overeengekomen en voldoet aan de AVG en overige toepasselijke wetgeving.

2. Het gebruik van AI-functionaliteit dat technisch noodzakelijk is voor de overeengekomen dienstverlening, zonder gebruik voor algemene modeltraining, is toegestaan voor zover dit binnen de gedocumenteerde instructies en toepasselijke waarborgen valt.

3. Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid, juistheid, noodzakelijkheid en beveiliging van persoonsgegevens die hij of zijn gebruikers zelfstandig invoeren in AI-diensten, waaronder Copilot, ChatGPT, Claude of vergelijkbare diensten, voor zover die invoer buiten de door Verwerker beheerde en overeengekomen verwerking valt.

4. Indien Verwerker namens Verwerkingsverantwoordelijke een AI-dienst configureert of inzet, worden doeleinden, gegevenscategorieën, bewaartermijnen, leveranciers, doorgiften en toepasselijke beveiligingsinstellingen vooraf vastgelegd.

Artikel 10. Rechten van betrokkenen

1. Indien een betrokkene een verzoek tot uitoefening van wettelijke rechten richt aan Verwerker, stuurt Verwerker dit verzoek door aan Verwerkingsverantwoordelijke en informeert de betrokkene hierover.

2. Verwerkingsverantwoordelijke handelt het verzoek zelfstandig af. Indien hulp van Verwerker nodig is, kan Verwerker hiervoor kosten in rekening brengen.

Artikel 11. Geheimhoudingsplicht

1. Op alle persoonsgegevens die Verwerker ontvangt of verzamelt in het kader van deze Verwerkersovereenkomst rust een geheimhoudingsplicht jegens derden.

2. Verwerker gebruikt deze informatie niet voor een ander doel dan waarvoor hij deze heeft verkregen, tenzij de gegevens niet tot betrokkenen herleidbaar zijn.

3. De geheimhoudingsplicht geldt niet indien Verwerkingsverantwoordelijke toestemming heeft gegeven, verstrekking noodzakelijk is voor de uitvoering van de opdracht, of een wettelijke verplichting tot verstrekking bestaat.

Artikel 12. Audit

1. Verwerkingsverantwoordelijke heeft het recht audits te laten uitvoeren door een onafhankelijke ICT-deskundige die aan geheimhouding is gebonden.

2. Een audit vindt uitsluitend plaats nadat bestaande soortgelijke auditrapportages zijn opgevraagd en beoordeeld, en redelijke argumenten bestaan voor een aanvullende audit.

3. De audit vindt plaats na voorafgaande aankondiging en maximaal eenmaal per jaar.

4. Verwerker werkt aan de audit mee en stelt redelijkerwijs relevante informatie en medewerkers tijdig beschikbaar.

5. Bevindingen worden door Partijen in onderling overleg beoordeeld en waar nodig opgevolgd.

6. De redelijke kosten van de audit worden door Verwerkingsverantwoordelijke gedragen.

7. Verwerker ondersteunt Verwerkingsverantwoordelijke bij een Data Protection Impact Assessment indien dit op grond van de AVG verplicht is.

Artikel 13. Duur en beëindiging

1. Deze Verwerkersovereenkomst geldt voor de duur zoals bepaald in de Overeenkomst en bij gebreke daarvan voor de duur van de samenwerking.

2. De Verwerkersovereenkomst kan tussentijds niet worden opgezegd. 3. Wijziging is uitsluitend mogelijk met wederzijdse schriftelijke instemming. 4. Na beëindiging vernietigt Verwerker de ontvangen persoonsgegevens onverwijld, tenzij Partijen anders overeenkomen.

Artikel 14. Overige bepalingen

1. Op deze Verwerkersovereenkomst en de uitvoering daarvan is Nederlands recht van toepassing.

2. Geschillen worden voorgelegd aan de bevoegde rechter die ook bevoegd is in het kader van de Overeenkomst.

3. Indien bepalingen niet rechtsgeldig blijken, blijft de Verwerkersovereenkomst voor het overige van kracht en treden Partijen in overleg over een vervangende regeling.

4. Bij wijziging van privacywetgeving werken Partijen mee aan aanpassing van deze Verwerkersovereenkomst.

5. Bij strijdigheid geldt de volgende rangorde: de Overeenkomst, deze Verwerkersovereenkomst, de Algemene Voorwaarden van Verwerker en eventuele aanvullende voorwaarden.

Annex 1. Specificatie persoonsgegevens en betrokkenen