Verwerkersovereenkomst

Deze verwerkersovereenkomst is van toepassing op alle vormen van verwerking van persoonsgegevens door 2MKB.nl, gevestigd te Brunssum, ingeschreven bij de Kamer van Koophandel onder nummer 65383591, hierna te noemen: “Verwerker”, uitvoert ten behoeve van een wederpartij aan wie zij diensten levert, in dit geval Offistente, hierna te noemen: “Verwerkingsverantwoordelijke”.

Hierna gezamenlijk te noemen ’Partijen’;

In aanmerking nemende:

A. Partijen hebben een overeenkomst gesloten met betrekking tot website onderhoud, hosting services en/of domeinnaamregistraties, hierna te noemen: “Overeenkomst”. Ter uitvoering van de Overeenkomst
verwerkt Verwerker ten behoeve van Verwerkingsverantwoordelijke Persoonsgegevens;
B. Partijen wensen zorgvuldig en in overeenstemming met de AVG en andere Toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens om te gaan met de Persoonsgegevens die
ter uitvoering van de Overeenkomst verwerkt (zullen) worden;
C. Partijen wensen in overeenstemming met de AVG en andere Toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens hun rechten en plichten ten aanzien van de
Verwerking van Persoonsgegevens van Betrokkenen Schriftelijk vast te leggen in deze Verwerkersovereenkomst.
D. Uitsluitend Verwerkingsverantwoordelijke stelt het doel van en de middelen voor de verwerking van persoonsgegevens vast en Verwerker heeft hierop geen invloed;

Zijn als volgt overeengekomen
:
1. Begrippen
1.1 Betrokkene: degene op wie een Persoonsgegeven betrekking heeft.
1.2 Datalek: een inbreuk op de beveiliging van Persoonsgegevens die ernstige nadelige gevolgen heeft voor de bescherming van Persoonsgegevens.
1.3 Personeel: de door Partij en voor de uitvoering van deze Verwerkersovereenkomst in te schakelen personen, welke onder hun verantwoordelijkheid zullen werken.
1.4 Persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon. Ook (herleidbare) gepseudonimiseerde persoonsgegevens vallen onder dit begrip.
1.5 Subverwerker: derde die door Verwerker wordt ingeschakeld om ten behoeve van Verwerker Persoonsgegevens te verwerken, zonder aan het rechtstreeks gezag van Verwerker te zijn onderworpen.
1.6 Verwerkingsverantwoordelijke: de verantwoordelijke voor de Verwerking in de zin van de Wet

bescherming persoonsgegevens (WBP) en/of Europese verordeningen en richtlijnen ten aanzien van
bescherming van persoonsgegevens (AVG).
1.7 Verwerker: degene die ten behoeve van de Verwerkingsverantwoordelijke Persoonsgegevens verwerkt zonder aan zijn rechtstreeks gezag te zijn onderworpen.
1.8 Verwerking: elke handeling of elk geheel van handelingen met betrekking tot Persoonsgegevens,
waaronder in ieder geval het v
erzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen,
raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van
terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het a
fschermen,
uitwissen of vernietigen van gegevens.
2. Onderwerp
2.1 Indien Verwerker alleen toegang heeft tot de Persoonsgegevens, zonder een verplichting om deze te
verwerken, zal Verwerker zowel de nationale en internationale wet
–
en regelgeving met
betrekking tot
persoonsgegevens als de bepalingen van deze Verwerkersovereenkomst in acht nemen; indien en voor
zover Verwerkingsverantwoordelijke Verwerker vooraf tijdig heeft gewezen op de aanwezigheid van
Persoonsgegevens en de plaats (path) waar deze P
ersoonsgegevens zich bevinden.
2.2 Indien Verwerker zich in de Overeenkomst heeft verplicht tot het verwerken van Persoonsgegevens,
zal Verwerker dit doen met grote zorgvuldigheid en in overeenstemming met de doeleinden van de
verwerking en daarbij zowel
de nationale en internationale wet
–
en regelgeving met betrekking tot
persoonsgegevens en de bepalingen van deze Verwerkersovereenkomst in acht nemen; indien en voor
zover Verwerkingsverantwoordelijke Verwerker vooraf tijdig heeft gewezen op de aanwezighei
d van
Persoonsgegevens en de plaats waar deze Persoonsgegevens zich bevinden.
3. Verplichtingen van de Verwerkingsverantwoordelijke
3.1 Verwerkingsverantwoordelijke zal wijzigingen met betrekking tot de Verwerking (indien van
toepassing) en de eventuele g
evolgen daarvan tijdig, in principe binnen 10 werkdagen, aan Verwerker
bekend maken.
3.2 Verwerkingsverantwoordelijke garandeert dat de opdracht tot de Verwerking van de
Persoonsgegevens (indien van toepassing) niet onrechtmatig is en geen inbreuk maakt op
rechten van
derden.
MARKETING, EVENT & BUSINESS SUPPORT
Pagina
3
van
8
2MKB.nl
|
www.2mkb.nl
|
info@2mkb.nl
Grachtstraat 9 | 6441 CA Brunssum | +31(0)88
–
428 26 10
4. Verplichtingen van de Verwerker
4.1 Verwerker zal de Persoonsgegevens slechts inzien en/of verwerken indien en voor zover dit
noodzakelijk is voor de uitvoering van de Overeenkomst en zal alle redelijke instructies van
Verwerkingsverantwoordelijke opvolgen.
4.2 Verwerker zal de Persoons
gegevens niet opslaan op een locatie buiten de Europese Economische
Ruimte. Voor domeinregistraties kan het noodzakelijk zijn om persoonsgegevens door te geven aan
landen buiten de Europese Economische Ruimte. Dit wordt dan beperkt tot wat vereist wordt do
or de
betreffende registry.
4.3 Verwerker staat ervoor in dat haar Personeel zich houdt aan het gestelde in deze
Verwerkersovereenkomst, indien en voor zover zij op enigerlei wijze betrokken zijn bij de Verwerking van
Persoonsgegevens. De werknemers van Ve
rwerker zijn gehouden aan een geheimhoudingsplicht.
4.4 Verwerker heeft een functionaris voor gegevensbescherming aangewezen.
4.5 Verwerker zal op eerste verzoek van Verwerkingsverantwoordelijke onmiddellijk alle kopieën van
Verwerkingsverantwoordelijke a
fkomstige en/of in opdracht van Verwerkingsverantwoordelijke
verwerkte Persoonsgegevens aan Verwerkingsverantwoordelijke ter hand stellen of desgevraagd
vernietigen.
4.6 Verwerker zal passende technische en organisatorische beveiligingsmaatregelen treffen
om de
Persoonsgegevens te beveiligen tegen verlies en tegen onrechtmatige verwerking. Deze maatregelen
garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging
daarvan, een passend beveiligingsniveau gelet op de risic
o’s die de verwerking en de aard van de te
beschermen gegevens meebrengen.
4.7 Verwerker houdt een register bij van alle categorieën van verwerkingsactiviteiten die zij ten behoeve
van de Verwerkingsverantwoordelijke heeft verricht.
4.8 Verwerker verleent
Verwerkingsverantwoordelijke haar volledige en tijdige medewerking om
Betrokkenen inzage in hun persoonsgegevens te laten krijgen, hun persoonsgegevens te laten
verwijderen of te corrigeren, en/of aan te laten tonen dat deze persoonsgegevens verwijderd of
gecorrigeerd zijn of, indien Verwerkingsverantwoordelijke het standpunt van Betrokkene bestrijdt, vast
te leggen dat Betrokkene zijn persoonsgegevens als incorrect beschouwt.
4.9 Verwerker neemt adequate interne beheersmaatregelen om de verplichtingen ui
t deze
overeenkomst na te komen en legt deze vast op een manier die controle op de naleving ervan eenvoudig
mogelijk maakt. Bij Verwerking van Persoonsgegevens worden activiteiten en incidenten met betrekking
tot de Persoonsgegevens vastgelegd in logbestan
den.
4.10 Op aangeven van Verwerkingsverantwoordelijke werkt Verwerker mee aan encryptie (versleuteling)
en pseudonimisering van Persoonsgegevens. Indien dit leidt tot hogere kosten voor Verwerker, zal
Verwerkingsverantwoordelijke deze kosten vergoeden.
4.
11 Verwerkingsverantwoordelijke kan eenmaal per jaar de Verwerking van Persoonsgegevens laten
controleren op correcte naleving van de Verwerkersovereenkomst door middel van een onderzoek door
een onafhankelijke register EDP
–
Auditor. De Auditor zal worden v
erplicht tot geheimhouding. Verwerker
MARKETING, EVENT & BUSINESS SUPPORT
Pagina
4
van
8
2MKB.nl
|
www.2mkb.nl
|
info@2mkb.nl
Grachtstraat 9 | 6441 CA Brunssum | +31(0)88
–
428 26 10
zal alle door de Auditor gevraagde informatie verstrekken. De Auditor zal in algemene termen
rapporteren aan Verwerkingsverantwoordelijke, maar zal geen details over de getroffen
beveiligingsmaatregelen bekend maken. D
e kosten van het onderzoek komen voor rekening van
Verwerkingsverantwoordelijke.
4.12 Inhoud en omvang van de opdracht tot Verwerking en de daarvoor te betalen vergoeding is conform
hetgeen daarover is geregeld in de Overeenkomst. Verwerker zal instructie
s van
Verwerkingsverantwoordelijke met betrekking tot de verwerking en/of opslag van Persoonsgegevens
opvolgen.
5. Subverwerker
5.1 Verwerker kan de uitvoering van de Verwerkersovereenkomst geheel of ten dele uitbesteden aan een
Subverwerker. Verwerker bli
jft voor Verwerkingsverantwoordelijke te allen tijde aanspreekpunt en
verantwoordelijk voor de naleving van de bepalingen uit deze Verwerkersovereenkomst.
5.2 Verwerker zal aan de Subverwerker dezelfde verplichtingen opleggen
–
en een en ander schriftelijk
vastleggen in een contract
–
als voor hemzelf uit deze Verwerkersovereenkomst voortvloeien en toezien
op de naleving daarvan door Subverwerker. Verwerker is volledig aansprakelijk jegens
Verwerkingsverantwoordelijke voor de gevolgen van het uitbesteden va
n werkzaamheden aan een
Subverwerker.
5.3 Een uitzondering op artikel 5.1 en 5.2 is de uitbesteding van domeinnaamregistraties. Afhankelijk van
het Top Level Domain kunnen uw persoonsgegevens publiek worden gemaakt en/of kan verwerker niet
instaan voor de
beveiliging van uw persoonsgegevens.
6. Verstrekken van Persoonsgegevens
6.1 Het is Verwerker niet toegestaan Persoonsgegevens aan anderen dan Verwerkingsverantwoordelijke
te verstrekken, tenzij op grond van een wettelijke verplichting of ten behoeve van
de overeenkomst met
Verwerkingsverantwoordelijke.
6.2 Indien Verwerker op grond van een wettelijke verplichting Persoonsgegevens dient te verstrekken, zal
Verwerker:
•
de grondslag van het verzoek en de identiteit van de verzoeker verifiëren en, voorafgaan
d aan de
verstrekking, Verwerkingsverantwoordelijke ter zake informeren;
•
de verstrekking beperken tot hetgeen wettelijk verplicht is;
•
Verwerkingsverantwoordelijke in staat stellen om de rechten van Verwerkingsverantwoordelijke
en Betrokkenen uit te oefenen
en de belangen van Verwerkingsverantwoordelijke en
Betrokkenen te verdedigen;
•
bij afgifte aan een Betrokkene de gegevens in een gestructureerde, gangbare en machine leesbare
vorm verstrekken.
MARKETING, EVENT & BUSINESS SUPPORT
Pagina
5
van
8
2MKB.nl
|
www.2mkb.nl
|
info@2mkb.nl
Grachtstraat 9 | 6441 CA Brunssum | +31(0)88
–
428 26 10
7. Beveiliging
7.1 Verwerkingsverantwoordelijke en Verwerker tr
effen passende technische en organisatorische
maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, opdat de Verwerking aan
de vereisten van de AVG en andere Toepasselijke wet
–
en regelgeving betreffende de Verwerking van
Persoonsgeg
evens voldoet en de bescherming van de rechten van Betrokkenen is gewaarborgd. De
beveiligingsmaatregelen die Verwerker treft zijn opgenomen in Bijlage A.
7.2 Verwerkingsverantwoordelijke en Verwerker zullen zich maximaal inspannen om de
Persoonsgegevens t
e beveiligen en beveiligd te houden tegen indringers en tegen van buiten komend
onheil alsmede tegen onzorgvuldige verwerking, onrechtmatige verstrekking of ongeoorloofde
verstrekking en tegen verlies, vernietiging of beschadiging. Beide partijen zorgen er
voor dat hun IT
–
voorzieningen en apparatuur fysiek beschermd zijn tegen toegang door onbevoegden en tegen schade en
storingen en nemen maatregelen om onbevoegde toegang tot informatiesystemen te voorkomen.
7.3 Verwerkingsverantwoordelijke en Verwerker zul
len continue bewaken of de gebruikte
verwerkingssystemen (blijven) voldoen aan adequate eisen van vertrouwelijkheid, integriteit,
beschikbaarheid en veerkracht (snel herstel na tijdelijke onbeschikbaarheid).
7.4 Indien Verwerkingsverantwoordelijke daarom s
chriftelijk verzoekt, zal Verwerker ten aanzien van de
daarbij aangeduide (categorieën van) Persoonsgegevens bijzondere maatregelen treffen voor de
beveiliging en/of de geheimhouding daarvan. Indien dit leidt tot hogere kosten voor Verwerker, zal
Verwerkin
gsverantwoordelijke deze kosten vergoeden.
8. Datalek
8.1 Wanneer zich een Datalek voordoet bij Verwerker, meldt Verwerker dit onmiddellijk, maar in ieder
geval binnen 24 uur, aan Verwerkingsverantwoordelijke onder opgave van de aard van het Datalek, de
(v
ermoedelijke) gevolgen daarvan en de maatregelen die zijn getroffen om de gevolgen te verhelpen of
te beperken.
9. Geheimhouding
9.1 Alle gegevens van Verwerkingsverantwoordelijke en haar klanten zijn vertrouwelijk en zullen door
Verwerker als zodanig word
en behandeld. Verwerker is gehouden tot geheimhouding van alle
Persoonsgegevens en informatie die zij verwerkt, of waarvan zij in het kader van de Overeenkomst of
deze Verwerkersovereenkomst kennis krijgt.
9.2 De geheimhouding is niet van toepassing op in
formatie:
•
Die openbaar bekend is zonder dat deze openbaarmaking een gevolg is van een ongeoorloofde
daad;
MARKETING, EVENT & BUSINESS SUPPORT
Pagina
6
van
8
2MKB.nl
|
www.2mkb.nl
|
info@2mkb.nl
Grachtstraat 9 | 6441 CA Brunssum | +31(0)88
–
428 26 10
•
Waarvan vrijgave is vereist op grond van enige wettelijke bepaling of Rechterlijk bevel, een en
ander op voorwaarde van voorafgaande schriftelijke ke
nnisgeving van de openbarende partij, aan
de partij wiens informatie het betreft;
•
Die een Partij onafhankelijk ontwikkeld heeft;
•
Die een Partij reeds in haar bezit heeft zonder verplichting tot vertrouwelijkheid.
•
Na het beëindigen van deze Verwerkersoveree
nkomst zal dit artikel en de hierin vastgelegde
geheimhoudingsplicht van kracht blijven.
10. Intellectuele eigendom
10.1 Alle Intellectuele Eigendomsrechten waaronder inbegrepen auteursrechten, databankrechten en
alle overige rechten van intellectuele eige
ndom alsmede soortgelijke rechten tot bescherming van
informatie op de verzameling van data en Persoonsgegevens, kopieën of bewerkingen daarvan, berusten
bij Verwerkingsverantwoordelijke (of een klant van Verwerkingsverantwoordelijke).
10.2 Alle intellect
uele eigendomsrechten
–
waaronder auteursrechten, databankrechten en alle overige
rechten van intellectuele eigendom alsmede soortgelijke rechten tot bescherming van informatie
–
op de
producten en dienstverlening van Verwerker, berusten bij Verwerker.
11. Aansprakelijkheid en verzekering
11.1 Verwerker is aansprakelijk voor schade die Verwerkingsverantwoordelijke lijdt en boetes die
Verwerkingsverantwoordelijke verbeurt als gevolg van het niet
–
nakomen van, of in strijd handelen van,
Verwerker met voorsc
hriften bij of krachtens de Wet bescherming persoonsgegevens en/of Europese
verordeningen en richtlijnen ten aanzien van bescherming van persoonsgegevens en/of overige wet
–
en
regelgeving terzake en/of deze Verwerkersovereenkomst.
11.2 De aansprakelijkhei
d van Verwerker voor door Verwerkingsverantwoordelijke geleden schade en/of
verbeurde boetes zoals bedoeld in artikel 11.1 is beperkt tot € 100.000 per gebeurtenis. Deze beperking
van de aansprakelijkheid komt te vervallen, indien en voor zover de schade h
et gevolg is van opzet of
grove schuld (bewuste roekeloosheid) van Verwerker.
11.3 Verwerkingsverantwoordelijke vrijwaart Verwerker voor aanspraken van derden (met name
Betrokkenen) en de eventuele schade als gevolg daarvan, gebaseerd op niet naleving van
voorschriften
bij of krachtens de Wet bescherming persoonsgegevens en/of Europese verordeningen en richtlijnen ten
aanzien van bescherming van persoonsgegevens en/of overige wet
–
en regelgeving terzake en/of deze
Verwerkersovereenkomst.
11.4 Verwerker ver
plicht zich om de risico’s zoals bedoeld in de artikelen 11.1 t/m 11.2 af te dekken door
middel van een aansprakelijkheidsverzekering.
MARKETING, EVENT & BUSINESS SUPPORT
Pagina
7
van
8
2MKB.nl
|
www.2mkb.nl
|
info@2mkb.nl
Grachtstraat 9 | 6441 CA Brunssum | +31(0)88
–
428 26 10
12. Duur en beëindiging
12.1 De Verwerkersovereenkomst treedt in werking op het moment dat de algemene voorwaarden zijn
g
eaccepteerd.
12.2 De bepalingen over duur en beëindiging van de Overeenkomst gelden als bepalingen over duur en
beëindiging van de Verwerkersovereenkomst. Wanneer de Overeenkomst om welke reden dan ook
eindigt, eindigt ook de Verwerkersovereenkomst.
12.3
In geval van beëindiging van de Verwerkersovereenkomst zal Verwerker alle Persoonsgegevens
overdragen aan Verwerkingsverantwoordelijke, of, op uitdrukkelijk schriftelijk verzoek van
Verwerkingsverantwoordelijke de Persoonsgegevens die Verwerker onder zich
heeft vernietigen.
12.4 Verplichtingen die naar hun aard bestemd zijn om ook na beëindiging van de
Verwerkersovereenkomst voort te duren, blijven na beëindiging gelden. Tot deze verplichtingen behoren
onder meer de bepalingen betreffende geheimhouding, ov
erdracht en vernietiging, aansprakelijkheid en
toepasselijk recht.
13. Ontbinding
13.1 Elke Partij kan de Overeenkomst geheel of gedeeltelijk ontbinden indien de wederpartij
toerekenbaar tekortschiet in de nakoming van de Verwerkersovereenkomst en ook na i
ngebrekestelling
de tekortkoming niet is opgeheven, onverminderd het recht op schadevergoeding.
13.2 Elke Partij kan de Overeenkomst met onmiddellijke ingang zonder ingebrekestelling geheel of
gedeeltelijk ontbinden indien de wederpartij surséance van bet
aling wordt verleend, indien ten aanzien
van de wederpartij faillissement wordt aangevraagd, indien de onderneming van de wederpartij wordt
geliquideerd of beëindigd anders dan ten behoeve van reconstructie of samenvoeging van
ondernemingen.
14. Overige
1
4.1 Wijzigingen van deze Overeenkomst of aanvullingen daarop worden tussen Verwerker en
Verwerkingsverantwoordelijke schriftelijk overeengekomen. Wijzigingen of aanvullingen worden
vastgelegd in een addendum bij deze overeenkomst en zijn bindend als dit ad
dendum door beide Partijen
is ondertekend.
14.2 Eventuele uit deze overeenkomst voortvloeiende geschillen zullen, nadat een poging om het geschil
in onderling overleg op te lossen vruchteloos is gebleken, worden beslecht door arbitrage volgens de
regels en
procedures van het Nederlands Arbitrage Instituut, waarbij de arbiter(s) Nederlands recht
zullen toepassen.
MARKETING, EVENT & BUSINESS SUPPORT
Pagina
8
van
8
2MKB.nl
|
www.2mkb.nl
|
info@2mkb.nl
Grachtstraat 9 | 6441 CA Brunssum | +31(0)88
–
428 26 10
Bijlage A
–
Beveiligingsmaatregelen
1.
De werknemers
en partners
van de Verwerker die betrokken zijn bij de verwerking van
persoonsgegevens zijn geh
ouden aan een geheimhoudingsplicht/integriteitscode en indien van
toepassing heeft voorafgaand aan de indiensttreding een screening plaatsgevonden.
2.
IT
–
voorzieningen en apparatuur zijn fysiek beschermd tegen toegang door onbevoegden en tegen
schade en stori
ngen.
3.
Er zijn
voorzieningen
om bevoegde gebruikers toegang te geven tot de informatiesystemen en
–
diensten die ze voor de uitvoering van hun taken nodig hebben en om onbevoegde toegang tot
informatiesystemen te voorkomen.
4.
Bij transport van door de Verwerki
ngsverantwoordelijke expliciet als zodanig aangemerkte
vertrouwelijke informatie over netwerken dient altijd adequate encryptie te worden toegepast.
5.
R
elevante gebeurtenissen
m.b.t Persoonsgegevens
zoals pogingen om ongeautoriseerd toegang
te krijgen en verstoringen die kunnen leiden tot verminking of verlies van persoonsgegevens
worden geregistreerd.
Logging van specifieke data is mogelijk op basis van maatwerk
waarvoor
wij op aanvraag
een offerte
aanbieden.
6.
In alle toepassingssystemen zijn beveiligingsmaatregelen ingebouwd waaronder een adequaat
toegangsbeheer.
7.
Het netwerk en de informatiesystemen worden actief gemonitord en beheerd. Er is tevens een
voorziening
om eventuele datalekken af te handel
en. Onderdeel hiervan is het informeren van de
Verwerkingsverantwoordelijke.
8.
De Verwerker installeert tijdig oplossingen die de leveranciers
en ontwikkelaars
uitbrengen voor
beveiligingslekken. Dit alles uitsluitend indien en voor zover de betreffende soft
ware door de
Verwerker is/wordt geleverd, of gebruikt, of onderhouden ten behoeve van de
Verwerkingsverantwoordelijke.
9.
De Verwerkingsverantwoordelijke meldt datalekken die onder een wettelijke meldplicht vallen bij
de betreffende toezichthouder (veelal de
Autoriteit Persoonsgegevens).