Common use of Beveiliging Clause in Contracts

Beveiliging. 1. Verwerker zal de uit hoofde van artikel 32 AVG vereiste passende technische en organisatorische maatregelen te treffen om een op het risiconiveau afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat zij een gepast en op het risico afgestemd niveau van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid van de persoonsgegevens garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging. Deze maatregelen betreffen in ieder geval: - maatregelen om te waarborgen dat enkel bevoegd personeel toegang heeft tot de persoonsgegevens voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - maatregelen om de persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - maatregelen om zwakke plekken te identificeren ten aanzien van de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Klant. 2. Zonder schriftelijke toestemming van Klant zal Verwerker de verwerking van persoonsgegevens niet (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindt. 3. Op verzoek van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 en 2, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien deze gelet op de risico’s die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerker. 4. Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learned.

Beveiliging. 1. Verwerker ) Communicativ zal de uit hoofde van artikel 32 AVG vereiste zich inspannen passende technische en organisatorische maatregelen te treffen nemen met betrekking tot de te verrichten Verwerkingen van Persoonsgegevens, vooral als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toe- gang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens. 2) Communicativ treft de technische en organisatorische beveiligingsmaatre- gelen zoals die voortvloeien uit het interne Informatiebeveiligingsbeleid. 3) Communicativ kan wijzigingen aanbrengen in de getroffen beveiligings- maatregelen als dat naar haar oordeel noodzakelijk is om een passend be- veiligingsniveau te blijven bieden. 4) Communicativ staat er niet voor in dat de beveiliging onder alle omstan- digheden doeltreffend is. Communicativ zal zich inspannen om de beveili- ging te laten voldoen aan een niveau dat, gelet op het risiconiveau afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat zij een gepast en op het risico afgestemd niveau van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid de stand van de persoonsgegevens garanderentech- niek, de uitvoeringskosten van de beveiligingsmaatregelen, de aard, om- vang en de context van de Verwerkingen, de doeleinden en het beoogd gebruik van de Dienst, de verwerkingsrisico’s en de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van Betrokke- nen die zij gezien het beoogd gebruik van de Dienst mocht verwachten, niet onredelijk is. 5) De omschreven beveiligingsmaatregelen bieden, naar het oordeel van de Client, rekening houdend met de stand in lid 3 van dit artikel genoemde factoren een op het risico van de techniek en de kosten Verwerking van de tenuitvoerleggingdoor hem gebruikte of ver- strekte Persoonsgegevens afgestemd beveiligingsniveau. 6) Client stelt enkel Persoonsgegevens ter Verwerking aan Communicativ ter beschikking, indien Client zich ervan heeft verzekerd dat de vereiste be- veiligingsmaatregelen zijn getroffen. Deze maatregelen betreffen in ieder geval: - maatregelen om te waarborgen dat enkel bevoegd personeel toegang heeft tot de persoonsgegevens Client is verantwoordelijk voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - maatregelen om de persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - maatregelen om zwakke plekken te identificeren ten aanzien na- leving van de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Klantdoor Partijen afgesproken maatregelen. 2. Zonder schriftelijke toestemming van Klant zal Verwerker de verwerking van persoonsgegevens niet (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindt. 3. Op verzoek van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 en 2, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien deze gelet op de risico’s die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerker. 4. Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learned.

Beveiliging. 1De Aanbieder verbindt zich om ervoor te zorgen dat zijn diensten de toepasselijke wetten en regelgevingen en de regels van goed vakmanschap respecteren. Verwerker Met name zal de uit hoofde van artikel 32 AVG vereiste passende technische en organisatorische maatregelen te treffen om een op het risiconiveau afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat zij een gepast en op het risico afgestemd niveau van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid van de persoonsgegevens garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging. Deze maatregelen betreffen in ieder geval: - maatregelen om te waarborgen dat enkel bevoegd personeel toegang heeft tot de persoonsgegevens voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - maatregelen om de persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - maatregelen om zwakke plekken te identificeren ten aanzien van de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Klant. 2. Zonder schriftelijke toestemming van Klant zal Verwerker de verwerking van persoonsgegevens niet (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen alles in het werk stellen om ervoor te zorgen voor de beveiliging en de vertrouwelijkheid van de gegevens van de Houders, in overeenstemming met de van kracht zijnde regelgeving. De Aanbieder behoudt zich het recht voor om tijdelijk de online toegang tot de Rekening op te schorten om technische redenen, redenen van veiligheid of vanwege onderhoud, zonder dat dit leidt tot het recht op een schadevergoeding. Hij verbindt zich om dit type onderbrekingen tot het strikt noodzakelijke te beperken. De Aanbieder kan echter niet aansprakelijk worden gesteld ten aanzien van de doorgifte Houder voor eventuele fouten, omissies, onderbrekingen of vertragingen van/in de via de Website uitgevoerde handelingen die voortvloeien uit een ongeoorloofde toegang tot de Website. De Aanbieder kan ook niet aansprakelijk worden gesteld voor diefstal, vernieling of ongeoorloofde communicatie van persoonsgegevens naar gegevens voortvloeiend uit een land ongeoorloofde toegang tot de Website. Bovendien blijft de Aanbieder volledig buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindt. 3rechtsbetrekking tussen de Houder en een Gebruiker of tussen de Houder en de Website. Op verzoek De Aanbieder kan niet aansprakelijk worden gesteld voor fouten, tekortkomingen of nalatigheid van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 en 2, waaronder in ieder geval begrepen de locatie een Gebruiker of van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen Houder ten opzichte van elkaar, of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming Website en van de persoonsgegevens Houder ten opzichte van elkaar. Indien de unieke gebruikersnaam of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien deze gelet op de risico’s elke andere informatie die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerker. 4. Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij nodig is voor de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”)Betalingstransactie die door de Houder is verstrekt, mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk onjuist is, is de Aanbieder niet aansprakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande slechte uitvoering van voornoemde Dienst. Het Platform is als enige verantwoordelijk voor de veiligheid en de vertrouwelijkheid van de gebruikelijke uurtarieven gegevens die worden uitgewisseld uit hoofde van Learnedhet gebruik van de Website in overeenstemming met de Algemene voorwaarden van de Website, waarbij de Aanbieder verantwoordelijk is voor de veiligheid en de vertrouwelijkheid van de gegevens die hij uitwisselt met de Houder in het kader van deze overeenkomst op grond van de opening of het beheer van zijn Rekening, alsook op grond van Betalingstransactie in verband met deze Rekening.

Beveiliging. 14.1. Onverminderd de beveiligingsnormen die Partijen elders overeen zijn gekomen, zal Verwerker zal de uit hoofde van artikel 32 AVG vereiste passende technische en organisatorische maatregelen te treffen om een op het risiconiveau afgestemd beveiligingsniveau te waarborgennemen ter beveiliging van de verwerking van Persoonsgegevens. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat zij een gepast en op het risico afgestemd niveau van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid van de persoonsgegevens garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging. Deze maatregelen betreffen omvatten in ieder geval: - : (a) maatregelen om te waarborgen dat enkel bevoegd personeel toegang heeft tot de persoonsgegevens Persoonsgegevens voor de doeleinden die uiteen zijn gezet in Bijlage 1 Annex 2 van deze Overeenkomst; - Verwerkersovereenkomst; (b) maatregelen om de persoonsgegevens Persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - ; (c) maatregelen om zwakke plekken te identificeren ten aanzien van de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan KlantVerantwoordelijke; (d) de maatregelen die Partijen in Annex 3 zijn overeengekomen. 24.2. Zonder schriftelijke toestemming van Klant zal Verwerker heeft te allen tijde een passend, geschreven beveiligingsbeleid geïmplementeerd voor de verwerking van persoonsgegevens niet (laten) uitvoeren de Persoonsgegevens, waarin zij in ieder geval de in artikel 4.1 opgesomde maatregelen uiteenzet. Verwerker zal op verzoek van Verantwoordelijke een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partijexemplaar van dit beleid verstrekken en aantonen welke maatregelen zij heeft genomen op basis van dit artikel 4. 4.3. Indien uit overleg tussen Partijen blijkt dat Verantwoordelijke extra c.q. andere beveiligingsmaatregelen wenst in te zetten, afgezien van hetgeen ▇▇▇▇▇▇▇▇▇ heeft ingezet aan beveiliging op basis van artikel 4 van deze overeenkomst, alsdan zal haar toestemming niet op onredelijke gronden onthoudenVerwerker aangeven aan Verantwoordelijke wat de kosten hiervan zullen zijn voor Verantwoordelijke. 4.4. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte een register van persoonsgegevens naar verwerkingsactiviteiten bijhouden met daarin: (a) een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindt. 3. Op verzoek van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 en 2, waaronder in ieder geval begrepen de locatie beschrijving van de servers en categorieën van verwerkingen die in opdracht van Verantwoordelijke worden uitgevoerd (b) eventuele andere apparatuur waarop organisaties met wie de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien deze gelet op de risico’s die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerker. 4. Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learned.gedeeld

Beveiliging. 1. Verwerker zal 10.1 Partijen dragen zorg voor de uit hoofde van artikel 32 AVG vereiste passende technische en organisatorische maatregelen te treffen om een op het risiconiveau afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat zij een gepast en op het risico afgestemd niveau van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid van de persoonsgegevens Persoonsgegevens. Hiertoe treffen Partijen afdoende technische en organisatorische maatregelen ten behoeve van de beveiliging van de Persoonsgegevens en de verwerkingen daarvan. Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico's die de verwerking en de aard van te beschermen gegevens met zich meebrengen. Deze De maatregelen betreffen in ieder geval: - maatregelen om zijn er mede op gericht onnodige verzameling en verdere verwerking van Persoonsgegevens te waarborgen dat enkel bevoegd personeel toegang heeft tot voorkomen. Als onderdeel van de op Partijen rustende verplichtingen ter zake van de beveiliging van de persoonsgegevens zal iedere Partij procedures in stand houden die erop gericht zijn om beveiligingsincidenten en datalekken redelijkerwijs te detecteren en daarop actie te ondernemen, daaronder begrepen maatregelen tot herstel. 10.2 Partijen hebben procedures om de betrouwbaarheid, zowel bij aanname als gedurende het dienstverband, van medewerkers vast te stellen en aan te tonen. 10.3 Partijen zijn zich bewust dat alle afspraken ten spijt incidenten kunnen optreden. Ieder incident aangaande een (mogelijk) inbreuk op de beveiliging van gegevens wordt terstond aan de andere Partijen gemeld, indien de mogelijke inbreuk voldoet aan de interne criteria van de Partij. De melding van de ene Partij aan de andere gebeurt via beveiligde e-mail en bevat een korte beschrijving – geanonimiseerd – van het soort incident en de eventueel getroffen mitigerende maatregelen. 10.4 Indien sprake is van een Datalek dat betrekking heeft op het deel waarvoor Partijen gezamenlijk verwerkings- verantwoordelijk zijn, draagt de burgemeester ▇▇▇▇ voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - maatregelen om afhandeling hiervan en de persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - maatregelen om zwakke plekken te identificeren ten aanzien vervulling van de verwerking verplichtingen uit hoofde van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Klantart. 33 en 34 AVG. 210.5 Indien sprake is van een Datalek dat betrekking heeft op het deel waarvoor Partijen zelfstandig verwerkingsver- antwoordelijk zijn, is de partij bij wie het Datalek is geconstateerd verantwoordelijk voor de afhandeling hiervan. 10.6 Indien gezien de aard van het Datalek melding aan de Autoriteit Persoonsgegevens wettelijk is verplicht, stemmen Partijen de melding en woordvoering met elkaar af. Zonder schriftelijke toestemming van Klant zal Verwerker de verwerking van persoonsgegevens niet Partijen zullen op dat moment een nader onderzoek (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partijvoor zover dit hun eigen gegevensverwerking betreft waarvoor zij verwerkings- verantwoordelijke zijn. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindt. 3. Op verzoek van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 Artikel 41 lid 1 sub d UAVG en 2art. 23 lid 1 j 27 lid 1 onder a Wpg bieden de mogelijkheid om de Betrokkene, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel als er sprake is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien deze gelet op de risico’s die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerker. 4. Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”)opsporingsbelang, mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learnedniet of op een later moment te informeren.

Beveiliging. 1. Verwerker zal de uit hoofde van artikel 32 AVG vereiste passende technische en organisatorische maatregelen te treffen om een op het risiconiveau afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat zij een gepast en op het risico afgestemd niveau van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid van de persoonsgegevens garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging. Deze maatregelen betreffen in ieder geval: - geval de maatregelen om te waarborgen dat enkel bevoegd personeel toegang heeft tot de persoonsgegevens voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - gezet, maatregelen om de persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - openbaarmaking en maatregelen om zwakke plekken te identificeren ten aanzien van de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Klant. 2Opdrachtgever. Zonder schriftelijke toestemming van Klant Opdrachtgever zal Verwerker de verwerking van persoonsgegevens niet (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇ Opdrachtgever zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindt. 3. Op verzoek van ▇▇▇▇▇ zal Verwerker Klant de Opdrachtgever informeren over de getroffen maatregelen als bedoeld in artikel 3 12.1 lid 1 en 2, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant Opdrachtgever zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant Opdrachtgever van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot de door Klant of Verwerker Partijen geïdentificeerde risico’s voor de bescherming van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant Opdrachtgever zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien deze gelet op de risico’s die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerker. 4. Opdrachtgever is gerechtigd om met redelijke tussenpozen de naleving door Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder beveiligingsverplichtingen uit dit artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment te (ook wel: “DPIA”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learneddoen) controleren.

Beveiliging. 1. Verwerker zal de uit hoofde van artikel 32 AVG vereiste passende technische en organisatorische maatregelen te treffen om een op het risiconiveau afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat zij een gepast en op het risico afgestemd niveau van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid van de persoonsgegevens garanderen, rekening 6.1 Rekening houdend met de stand van de techniek techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de kosten van verwerkingsdoeleinden en de tenuitvoerlegging. Deze maatregelen betreffen in ieder geval: - maatregelen om te waarborgen dat enkel bevoegd personeel toegang heeft tot de persoonsgegevens voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - maatregelen om de persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - maatregelen om zwakke plekken te identificeren ten aanzien van de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Klant. 2. Zonder schriftelijke toestemming van Klant zal Verwerker de verwerking van persoonsgegevens niet (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindt. 3. Op verzoek van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 qua waarschijnlijkheid en 2, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot de door Klant of Verwerker geïdentificeerde ernst uiteenlopende risico’s voor de bescherming rechten en vrijheden van personen, treft de Verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. Waar passend dienden deze maatregelen onder meer te omvatten: a) De pseudonimisering en versleuteling van persoonsgegevens b) Het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en diensten te garanderen, c) Het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen, d) Een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking Bij de beoordeling van het passend beveiligingsniveau zal de Verwerker met name rekening houden met de verwerkingsrisico’s, vooral als gevolg van vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerker gegevens, hetzij per ongelijk, hetzij onrechtmatig. 6.2 De Verwerker staat er niet voor in dat de beveiliging onder alle omstandigheden doeltreffend is. Verwerker zal zich inspannen om de beveiliging te laten voldoen aan een niveau dat, gelet op de stand van de techniek, de gevoeligheid van de persoonsgegevens of en de rechten en belangen aan het treffen van de betrokkenen. Klant zal haar goedkeuring aan beveiliging verbonden kosten, niet onredelijk is. 6.3 De Verwerkingsverantwoordelijke heeft zich goed geïnformeerd over de voorgestelde beveiligingsmaatregelen die de Verwerker heeft genomen en is van mening dat deze maatregelen niet onthouden indien deze gelet op de risico’s die zijn verbonden met een beveiligingsniveau hebben dat past bij de aard van de persoonsgegevensPersoonsgegevens en de omvang, de voorgenomen verwerkingencontext, de stand doeleinden en risico’s van de techniek en de kosten van tenuitvoerlegging redelijk zijnVerwerking. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerker. 4. Verwerker zal de Klant ondersteunen bij het voldoen Verwerkingsverantwoordelijke stelt dan ook enkel Persoonsgegevens ter verwerking aan de verplichtingen van Verwerker ter beschikking, indien de Klant onder artikel 32 tot en met 36 van Verwerkingsverantwoordelijke zich ervan heeft verzekerd dat de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learnedvereiste beveiligingsmaatregelen zijn getroffen.

Beveiliging. 1. Verwerker Vcare treft de in Bijlage B genoemde technische en organisatorische beveiligingsmaatregelen en houdt deze bij. Opdrachtgever is en blijft echter verantwoordelijk voor de bepaling of deze maatregelen afdoende om te zorgen dat de Verwerking van Persoonsgegevens voldoet aan de eisen van de Toepasselijke Weten Regelgeving en te zorgen dat de risico’s voor de rechten en vrijheden van de Betrokkenen bij de Verwerking afdoende zijn gewaarborgd. De in Bijlage B omschreven beveiligingsmaatregelen bieden, naar het oordeel van Vcare & Opdrachtgever, een op het risico van de Verwerking van de door hem gebruikte of verstrekte Persoonsgegevens passend beveiligingsniveau. Vcare zal voor Opdrachtgever periodiek, maar ten minste eenmaal per jaar, beoordelen of deze beschermingsmaatregelen gezien de aan de risico’s verbonden aan de Verwerking van Persoonsgegevens voor de rechten en vrijheden van de Betrokkenen nog steeds adequaat zijn en waar nodig die maatregelen treffen om de risico’s te beperken. 2. Vcare staat er niet voor in dat de beveiliging onder alle omstandigheden doeltreffend is. Indien blijkt dat de beveiligingsmaatregelen onvoldoende zijn, zal ▇▇▇▇▇ zich inspannen dat de beveiliging zal voldoen aan een niveau dat, gelet op de stand van de techniek, de gevoeligheid van de persoonsgegevens en de aan het treffen van de beveiliging verbonden kosten, passend is. 3. Vcare zal regelmatig de door haar gebruikte beschermingsmaatregelen evalueren en daarbij de risico’s van de Verwerking van Persoonsgegevens voor de rechten en vrijheden van de Betrokkenen beoordelen. Indien volgens ▇▇▇▇▇ haar verplichtingen uit hoofde van art. 32 AVG nopen tot een wijziging van de door haar getroffen technische en/of organisatorische maatregelen of tot het nemen van nieuwe maatregelen om een passend beschermingsniveau te blijven bieden, zal Vcare die maatregelen voorstellen en Opdrachtgever, voorafgaand aan de implementatie, over de wijzigingen en de ingangsdatum informeren. Vcare kan de nieuwe of gewijzigde maatregelen vervolgens implementeren. Indien de omstandigheden zodanig zijn dat implementatie niet kan wachten, mag Vcare de gewijzigde of aanvullende maatregelen zonder voorafgaande aankondiging implementeren, zolang zij Opdrachtgever daarover maar zo snel mogelijk na implementatie informeert. Vcare zal deze wijzigingen vastleggen. Als Opdrachtgever niet akkoord kan gaan met de voorgestelde wijzigingen, zal hij Vcare daarover per omgaande informeren en zullen Partijen daarover overleg hebben. Het voorgaande laat verder de instructiebevoegdheid van Opdrachtgever ter zake van de Verwerking van Persoonsgegevens onverlet. 4. Vcare zal Opdrachtgever ondersteunen bij de waarborging van de naleving van de verplichtingen van Opdrachtgever uit hoofde van artikel 32 van de AVG vereiste passende door onder andere Opdrachtgever informatie te verstrekken over zowel de technische en organisatorische maatregelen die Vcare heeft getroffen als de informatie die Opdrachtgever nodig heeft om te treffen om een op het risiconiveau afgestemd beveiligingsniveau te waarborgenkunnen beoordelen of Opdrachtgever voldoet aan haar verplichtingen uit hoofde van artikel 32 AVG. 5. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat zij een gepast en op het risico afgestemd niveau van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid Als onderdeel van de persoonsgegevens garanderenin laatste zin van lid 1 bedoelde maatregelen, rekening houdend met mag Opdrachtgever Vcare verzoeken om aanvullende beschermingsmaatregelen te nemen. Vcare zal die waar mogelijk proberen te faciliteren. 6. Vcare mag de stand van de techniek en de extra kosten van de tenuitvoerlegging. Deze aanvullende of vervangende technische en organisatorische maatregelen betreffen in ieder geval: - maatregelen om te waarborgen dat enkel bevoegd personeel toegang heeft tot de persoonsgegevens voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - maatregelen om de persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - maatregelen om zwakke plekken te identificeren ten aanzien van de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Klant. 2. Zonder schriftelijke toestemming van Klant zal Verwerker de verwerking van persoonsgegevens niet (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindt. 3. Op verzoek van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 en 2, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien deze gelet op de risico’s die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerker. 4. Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten gevraagde informatie in rekening brengen. 7. Indien: a. het in artikel 4 laatste zin bedoelde overleg niet tot een oplossing leid; b. Vcare de in lid 5 verzochte beveiligingsmaatregelen niet volledig implementeert en overleg daarover niet tot een oplossing leid; of c. de in lid 6 bedoelde extra kosten voor Opdrachtgever niet acceptabel zijn, uitgaande van dan mag Opdrachtgever de gebruikelijke uurtarieven van LearnedOvereenkomst beëindigen. Opdrachtgever blijft echter verplicht om reeds gefactureerde bedragen te betalen en er is geen verplichting voor Vcare om reeds betaalde bedragen terug te betalen.

Beveiliging. 1. Verwerker zal 3.1 ENAI treft de uit hoofde van artikel 32 AVG vereiste passende technische en organisatorische maatregelen beveiligingsmaatregelen, zoals o ms chre ven in zijn Data Pro Statement. Bij het treffen van de technische en organisatorische beveiligingsmaatregelen heeft ENAI rekening gehouden met de stand va n d e te chniek, d e uitvoeringskosten van de beveiligingsmaatregelen, de aard, omvang en d e co ntext va n d e verwerkingen, de doeleinden en het beoogd gebruik van zijn producten en diensten, de verwerkingsrisico’s en de qua waarschijnlijkheid en ernst uiteenlopende risico ’s voor de rechten en vrijheden van Data subjects die hij gezien het beoogd gebruik van zijn producten en diensten mocht verwachten. 3.2 Tenzij expliciet anders vermeld in het Data Pro Statement is het product of de dienst van ENAI niet ingericht op de verwerking van bijzondere categorieën va n Pers oonsg egeve ns o f gegevens betreffende strafrechtelijke veroordelingen of strafbare feiten. 3.3 ENAI streeft ernaar dat de door hem te treffen om een op beveiligingsmaatregelen passend zijn voor het risiconiveau afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat zij een gepast en op door ENAI beoogde gebruik van het risico afgestemd niveau van beveiligingproduct of de dienst. 3.4 De omschreven beveiligingsmaatregelen bieden, vertrouwelijkheid, integriteit en beschikbaarheid naar het oordeel van de persoonsgegevens garanderenOpdrachtgever, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging. Deze maatregelen betreffen in ieder geval: - maatregelen om te waarborgen dat enkel bevoegd personeel toegang heeft tot de persoonsgegevens voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - maatregelen om de persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - maatregelen om zwakke plekken te identificeren ten aanzien artikel 3.1 genoemde factoren een op het risico van de verwerking van persoonsgegevens de door hem gebruikte of verstrekte Persoonsgegevens afgestemd beveiligingsn iveau. 3.5 ENAI kan wijzigingen aanbrengen in de systemen getroffen beveiligingsmaatregele n ind ie n d a t na ar zijn oordeel noodzakelijk is om een passend beveiligingsniveau te blijve n b ie d en. ENAI z a l belangrijke wijzigingen vastleggen, bijvoorbeeld in een aangepast Data P ro Sta teme nt, e n zal Opdrachtgever waar relevant van die worden ingezet voor het verlenen van diensten aan Klantwijzigingen op de hoogte stellen. 23.6 Opdrachtgever kan ENAI verzoeken nadere beveiligingsmaatregelen te treffen. Zonder schriftelijke toestemming van Klant zal Verwerker ENAI is nie t verplicht om op een dergelijk verzoek wijzigingen door te voeren in zijn beveiligingsmaatregelen. ENAI kan de verwerking van persoonsgegevens niet (laten) uitvoeren in een land buiten kosten verband houdende met de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindt. 3. Op verzoek van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld Opdrachtgever doorgevoerde wijzigingen in artikel 3 lid 1 en 2, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerktrekening brengen bij Opdrachtgever. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot P a s na da t de door Klant of Verwerker geïdentificeerde risico’s voor Opdrachtgever gewenste gewijzigde beveiligingsmaatregelen schriftelijk zijn overeengekomen en ondertekend door Partijen, heeft ENAI de bescherming van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien verplichting deze gelet op de risico’s die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerkerbeveiligingsmaatregelen daadwerkelijk te implementeren. 4. Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learned.

Beveiliging. 1. Verwerker zal heeft de uit hoofde van artikel 32 AVG vereiste passende technische en organisatorische maatregelen te treffen om een op beveiligingsmaatregelen genomen die zijn genoemd in de bijlage 2 die bij deze Verwerkersovereenkomst hoort. Bij het risiconiveau afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat zij een gepast en op het risico afgestemd niveau van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid nemen van de persoonsgegevens garanderenbeveiligingsmaatregelen is rekening gehouden met de te mitigeren risico’s, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerleggingbeveiligingsmaatregelen. Deze maatregelen betreffen beveiligingsmaatregelen omvatten in ieder geval: - maatregelen : a. de encryptie/pseudonimisering (versleuteling) van Persoonsgegevens; b. het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en diensten te waarborgen dat enkel bevoegd personeel garanderen; c. het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang heeft tot de persoonsgegevens Persoonsgegevens tijdig te herstellen; d. een procedure voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - maatregelen om de persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiginghet op gezette tijdstippen testen, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - maatregelen om zwakke plekken te identificeren ten aanzien beoordelen en evalueren van de verwerking doeltreffendheid van persoonsgegevens in de systemen die worden ingezet voor het verlenen technische en organisatorische maatregelen ter beveiliging van diensten aan KlantVerwerking. 2. Zonder Verwerkingsverantwoordelijke heeft zich goed geïnformeerd over de beveiligingsmaatregelen die Verwerker heeft genomen en is van mening dat deze maatregelen een beveiligingsniveau hebben dat past bij de aard van de Persoonsgegevens en de omvang, context, doeleinden en risico’s van de Verwerking. 3. Partijen erkennen dat het waarborgen van een passend beveiligingsniveau voortdurend kan dwingen tot het treffen van aanvullende beveiligingsmaatregelen. Verwerker waarborgt een op het actuele risico afgestemd beveiligingsniveau. Verwerker zal Verwerkingsverantwoordelijke informeren als een van de beveiligingsmaatregelen substantieel wijzigt. 4. Verwerker biedt passende waarborgen voor de toepassing van de technische en organisatorische beveiligingsmaatregelen met betrekking tot de te verrichten Verwerkingen. Indien Verwerkingsverantwoordelijke de wijze waarop Verwerker de beveiligingsmaatregelen naleeft wil laten inspecteren, dan kan Verwerkingsverantwoordelijke hiertoe een verzoek aan Verwerker doen. Verwerker en Verwerkingsverantwoordelijke zullen hierover gezamenlijk afspraken maken. De kosten van een inspectie zijn voor rekening van Verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke stelt aan Verwerker een kopie van het inspectierapport ter beschikking. 5. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Klant zal Verwerker de verwerking van persoonsgegevens niet (laten) uitvoeren Verwerkingsverantwoordelijke, geen Persoonsgegevens Verwerken of laten Verwerken door hemzelf of door derden in een land landen buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partijUnie (“EU”). 6. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindt. 3. Op verzoek van ▇▇▇▇▇▇▇.▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 en 2, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel is garandeert dat de getroffen maatregelen onvoldoende effectief of passend opslag en vernietiging van documenten en audio- opnamen onderworpen zijn in relatie tot aan strenge beveiligingsprotocollen om de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming integriteit en vertrouwelijkheid van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien deze gelet op de risico’s die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerkerklantgegevens te waarborgen. 4. Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learned.

Beveiliging. 1. Verwerker zal 5.1 Partijen spannen zich ertoe in om met de uit hoofde van artikel 32 AVG vereiste passende technische en organisatorische maatregelen te treffen om in deze verwerkersovereenkomst vermelde afspraken een op het risiconiveau afgestemd beveiligingsniveau te waarborgen. Deze bieden dat recht doet aan de bescherming van persoonlijke levenssfeer van betrokkenen wiens persoonsgegevens door partijen worden verwerkt. 5.2 ISRES treft tenminste de maatregelen zullen op een zodanige wijze worden geïmplementeerd dat zij een gepast en op het risico afgestemd niveau zoals opgenomen in bijlage B, teneinde persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking. 5.3 Opdrachtgever geeft ten behoeve van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid de beveiliging van de dienstverlening te allen tijde aan welke (aanvullende) beveiligingsmaatregelen vereist zijn. 5.4 Voorafgaand aan de aanvang van de verwerking van de persoonsgegevens garanderen, rekening houdend stelt Opdrachtgever vast dat het beveiligingsniveau passend is. 5.5 ISRES zal naar de schriftelijk gedocumenteerde veiligheidsinstructies van Opdrachtgever handelen voor zover redelijkerwijs van haar verwacht mag worden en zij daartoe in staat wordt gesteld. 5.6 Met zekere regelmaat zullen partijen beoordelen of het overeengekomen beveiligingsniveau nog steeds past bij de risico's die de verwerking van persoonsgegevens met zich meebrengen en of de beveiligingsmaatregelen nog voldoen. Daarbij betrekken zij ook de stand van de techniek en de kosten nieuwste inzichten binnen het vakgebied informatiebeveiliging. Zo nodig passen zij hierop de beveiligingsmaatregelen in overleg aan. 5.7 Mocht ISRES en/of Opdrachtgever op enig ander moment dan de in 5.6 bedoelde geplande momenten menen dat het beveiligingsniveau niet meer afdoende is, zal zij Opdrachtgever daarvan op de hoogte stellen op basis waarvan partijen in overleg zullen treden over de te nemen maatregelen. 6.1 Mochten de in de dienstverlening door ISRES verwerkte persoonsgegevens, ondanks de in stelling gebrachte technische en organisatorische veiligheidsmaatregelen, blootgesteld worden aan a) verlies of b) onrechtmatige verwerking waarvan redelijkerwijs niet kan worden uitgesloten dat dit daadwerkelijk heeft plaatsgevonden (hierna: datalek) dan zal ISRES het datalek zo snel als redelijkerwijs mogelijk rapporteren aan Opdrachtgever middels een initiële melding. 6.2 Opdrachtgever heeft een contactpersoon of functionaris kenbaar gemaakt die belast is met de afhandeling van datalekken aan wie de tenuitvoerlegginginitiële melding gericht wordt. Deze Een eventuele wijziging van contactpersoon/functionaris geeft Opdrachtgever tijdig door. 6.3 De initiële melding bestaat tenminste uit de feitelijke vaststelling van een zich voordoend datalek als ook op basis van welke informatie deze vaststelling is gedaan. Zodra deze vrijkomt zal ISRES, zo spoedig mogelijk en voor zover redelijkerwijs van haar verlangd mag worden, aanvullende informatie verstrekken over de aard, omvang en impact van het datalek, waaronder de categorieën en aantallen van betrokkenen en gecompromitteerde persoonsgegevens, de getroffen maatregelen betreffen in ieder geval: - en eventueel aanbevolen maatregelen om verdere negatieve gevolgen te waarborgen dat enkel bevoegd personeel toegang heeft tot mitigeren en de persoonsgegevens voor de doeleinden die uiteen zijn gezet contactpersoon van ISRES waar meer informatie verkregen kan worden zodat adequaat en in Bijlage 1 van deze Overeenkomst; - maatregelen om de persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - maatregelen om zwakke plekken te identificeren ten aanzien van de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Klantsamenspraak tussen partijen vervolgacties uitgezet kunnen worden. 2. Zonder schriftelijke toestemming van Klant zal Verwerker 6.4 Opdrachtgever stelt zelf de verwerking van persoonsgegevens niet (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindt. 3. Op verzoek van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 het datalek vast en 2, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen bepaalt zelf of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien deze gelet op de risico’s die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerker. 4. Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen zij hiervan melding maakt bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”), mocht dit noodzakelijk zijnAutoriteit Persoonsgegevens c.q. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learnedbetrokkene of overige toezichthoudende autoriteiten.

Beveiliging. 1. Verwerker zal De verantwoordelijke en de uit hoofde van artikel 32 AVG vereiste verwerker zullen beiden passende technische en organisatorische maatregelen te treffen om een op het risiconiveau afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat treffen, zoals bedoeld in artikel 32 AVG (Spaans: RPGD), zodat zij een gepast en op het risico afgestemd niveau beveiligingsniveau kunnen waarborgen. 2. De verantwoordelijke informeert de verwerker omtrent de wettelijke betrouwbaarheidseisen die op de verwerking van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid toepassing zijn aan de hand van de persoonsgegevens garanderenmogelijke gevolgen voor de betrokkenen, zoals in geval van verlies, corruptie of onrechtmatige verwerking en verstrekt daartoe alle benodigde informatie zodat de verwerker hieraan kan voldoen. 3. Indien de verantwoordelijke een hoger beveiligingsniveau wenst dan wettelijk verplicht, kan de verwerker hiervoor de redelijke kosten separaat in rekening houdend brengen aan de verantwoordelijke. 4. De verwerker houdt bij het treffen van beveiligingsmaatregelen rekening met de stand van de techniek techniek, de uitvoeringskosten, alsook met de aard, omvang, context, verwerkingsdoeleinden, waarschijnlijkheid en de kosten ernst van de tenuitvoerlegginguiteenlopende risico's voor de rechten en vrijheden van personen een en ander conform het bepaalde in artikel 28 lid 3 sub f AVG (Spaans: RPGD). 5. Indien de verantwoordelijke een beoordeling wenst uit te voeren van een beoogde verwerkingsactiviteit, verleent de verwerker alle redelijke medewerking om deze beoordeling in overeenstemming met de geldende wet- en regelgeving uit te voeren. 6. De verwerker verleent eveneens alle redelijke medewerking aan een voorafgaande raadpleging van de Autoriteit Persoonsgegevens. 7. Partijen hebben concrete afspraken gemaakt omtrent de voor de uitvoering van deze overeenkomst noodzakelijke technische en organisatorische beveiligingsmaatregelen, welke de verantwoordelijke op dit moment passend acht. 8. Deze afspraken omvatten ten minste de volgende onderwerpen: 1. de betrouwbaarheidseisen 2. het overeengekomen beveiligingsniveau (indien van toepassing) 3. de maatregelen betreffen in ieder geval: - maatregelen om te waarborgen dat enkel getroffen door de verwerker zodat uitsluitend bevoegd personeel toegang heeft tot de persoonsgegevens voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - persoonsgegevens 4. maatregelen om de persoonsgegevens te beschermen ter bescherming zoals tegen onopzettelijke of onrechtmatige vernietigingverlies, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - 5. de te nemen maatregelen om voor het opsporen van zwakke plekken te identificeren ten aanzien van en incidentenbeheer 9. Partijen zullen de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Klantlid 7 en 8 genoemde afspraken periodiek evalueren en zo nodig aanpassen. 210. Zonder schriftelijke toestemming van Klant zal Verwerker de verwerking van persoonsgegevens niet (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindtDeze afspraken worden als bijlage bij deze overeenkomst aangehecht. 3. Op verzoek van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 en 2, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien deze gelet op de risico’s die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerker. 4. Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learned.

Beveiliging. 1. Verwerker zal de uit hoofde van artikel 32 AVG vereiste passende technische en organisatorische maatregelen (state-of-the-art) nemen met betrekking tot de te treffen verrichten verwerkingen van Persoonsgegevens die artikel 32 van de AVG van haar eist, een en ander tegen verlies of tegen enige vorm van onrechtmatige verwerking (zoals onbevoegde kennisname, aantasting, wijziging of verstrekking van de Persoonsgegevens). 2. De Verwerker en Verwerkingsverantwoordelijke leggen voor het gedeelte waarvoor zij verantwoordelijk zijn, passende technische en organisatorische maatregelen ten uitvoer om een op het risiconiveau afgestemd beveiligingsniveau Persoonsgegevens te waarborgenbeveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat zij een gepast en op het risico afgestemd niveau van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid van de persoonsgegevens garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging. Deze maatregelen betreffen in ieder geval: - maatregelen om te waarborgen dat enkel bevoegd personeel toegang heeft tot de persoonsgegevens voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - maatregelen om de persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijzigingeen passend beveiligingsniveau, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - maatregelen om zwakke plekken te identificeren ten aanzien van de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Klant. 2. Zonder schriftelijke toestemming van Klant zal Verwerker de verwerking van persoonsgegevens niet (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindt. 3. Op verzoek van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 en 2, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien deze gelet op de risico’s die zijn verbonden met de verwerking en de aard van de persoonsgegevenste beschermen gegevens met zich meebrengen. Het gaat dan bijvoorbeeld om: (i) bedrijfsprocessen van de Verwerkingsverantwoordelijke die dienen te voldoen aan de AVG; (ii) autorisatiemodellen waarbij personeel dat niets met bepaalde gegevens te maken heeft, geen toegang heeft tot die gegevens; (iii) beveiliging werkstations; 4. Verwerker staat er niet voor in dat de voorgenomen verwerkingenbeveiliging onder alle omstandigheden doeltreffend is. Indien een uitdrukkelijk omschreven beveiliging in deze Verwerkersovereenkomst ontbreekt, zal Verwerker zich inspannen dat de beveiliging zal voldoen aan een niveau dat, gelet op de stand van de techniek techniek, de gevoeligheid van de Persoonsgegevens en de kosten van tenuitvoerlegging redelijk zijn. De kosten aan het treffen van de tenuitvoerlegging beveiliging verbonden kosten, niet onredelijk is. 5. Verwerker draagt er zorg voor dat de personen die bij Verwerker aan de verwerkingen meewerken, zulks niet beperkt tot haar werknemers, gebonden zijn aan een geheimhoudingsverplichting ter zake van de voorgestelde maatregelen worden gedragen door VerwerkerPersoonsgegevens. 46. Verwerker zal de Klant ondersteunen Verwerkingsverantwoordelijke, voor zover redelijkerwijs mogelijk, bijstand verlenen bij het voldoen (doen) nakomen van diens plicht onder de AVG tot het treffen van passende technische en organisatorische maatregelen teneinde een op het risico afgestemd beveiligingsniveau te waarborgen. Eventueel daarmee gepaard gaande kosten zijn voor rekening van Verwerkingsverantwoordelijke. 7. Indien de Verwerker vermoedt, of te weten is gekomen, dat de Persoonsgegevens van de Verwerkingsverantwoordelijke gecompromitteerd zijn (security breach of datalek), of zijn geweest, meldt de Verwerker dit zo spoedig mogelijk aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van LearnedVerwerkingsverantwoordelijke.

Beveiliging. 1. Verwerker zal De verantwoordelijke en de uit hoofde van artikel 32 AVG vereiste verwerker zullen beiden passende technische en organisatorische maatregelen te treffen om een op het risiconiveau afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat treffen, zoals bedoeld in artikel 32 AVG, zodat zij een gepast en op het risico afgestemd niveau beveiligingsniveau kunnen waarborgen. 2. De verantwoordelijke informeert de verwerker omtrent de wettelijke betrouwbaarheidseisen die op de verwerking van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid toepassing zijn aan de hand van de persoonsgegevens garanderenmogelijke gevolgen voor de betrokkenen, zoals in geval van verlies, corruptie of onrechtmatige verwerking en verstrekt daartoe alle benodigde informatie zodat de verwerker hieraan kan voldoen. 3. Indien de verantwoordelijke een hoger beveiligingsniveau wenst dan wettelijk verplicht, kan de verwerker hiervoor de redelijke kosten separaat in rekening houdend brengen aan de verantwoordelijke. 4. De verwerker houdt bij het treffen van beveiligingsmaatregelen rekening met de stand van de techniek techniek, de uitvoeringskosten, alsook met de aard, omvang, context, verwerkingsdoeleinden, waarschijnlijkheid en de kosten ernst van de tenuitvoerlegginguiteenlopende risico's voor de rechten en vrijheden van personen een en ander conform het bepaalde in artikel 28 lid 3 sub f AVG. 5. Indien de verantwoordelijke een beoordeling wenst uit te voeren van een beoogde verwerkingsactiviteit, verleent de verwerker alle redelijke medewerking om deze beoordeling in overeenstemming met de geldende wet- en regelgeving uit te voeren. 6. De verwerker verleent eveneens alle redelijke medewerking aan een voorafgaande raadpleging van de Autoriteit Persoonsgegevens. 7. Partijen hebben concrete afspraken gemaakt omtrent de voor de uitvoering van deze overeenkomst noodzakelijke technische en organisatorische beveiligingsmaatregelen, welke de verantwoordelijke op dit moment passend acht. 8. Deze afspraken omvatten ten minste de volgende onderwerpen: 1. De betrouwbaarheidseisen 2. Het overeengekomen beveiligingsniveau (indien van toepassing) 3. De maatregelen betreffen in ieder geval: - maatregelen om te waarborgen dat enkel getroffen door de verwerker zodat uitsluitend bevoegd personeel toegang heeft tot de persoonsgegevens voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - maatregelen om de persoonsgegevens te beschermen persoonsgegevens 4. Maatregelen ter bescherming zoals tegen onopzettelijke of onrechtmatige vernietigingverlies, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - 5. De te nemen maatregelen om voor het opsporen van zwakke plekken te identificeren ten aanzien van en incidentenbeheer 9. Partijen zullen de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Klantlid 7 en 8 genoemde afspraken periodiek evalueren en zo nodig aanpassen. 210. Zonder schriftelijke toestemming van Klant zal Verwerker de verwerking van persoonsgegevens niet (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindt. 3. Op verzoek van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 en 2, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend Deze afspraken zijn in relatie tot de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien bijlage 2 bij deze gelet op de risico’s die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerkerovereenkomst aangehecht. 4. Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learned.

Beveiliging. 1. Verwerker Leverancier zal de uit hoofde van artikel 32 AVG vereiste zich inspannen passende technische en organisatorische maatregelen te treffen nemen met betrekking tot de te verrichten Verwerkingen van Persoonsgegevens, vooral als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens. 2. Leverancier treft de technische en organisatorische beveiligingsmaatregelen zoals die voortvloeien uit de meest recente versie van het Informatiebeveiligingsbeleid zoals is gepubliceerd op ▇▇▇▇▇://▇▇▇.▇▇▇▇▇.▇▇/▇▇▇▇▇▇▇▇▇/▇▇▇▇▇▇▇▇▇▇▇▇▇▇▇▇▇▇▇▇▇▇▇▇▇▇▇▇. 3. Leverancier kan wijzigingen aanbrengen in de getroffen beveiligingsmaatregelen indien dat naar haar oordeel noodzakelijk is om een op het risiconiveau afgestemd passend beveiligingsniveau te waarborgenblijven bieden. 4. Deze maatregelen zullen Leverancier staat er niet voor in dat de beveiliging onder alle omstandigheden doeltreffend is. Leverancier zal zich inspannen om de beveiliging te laten voldoen aan een niveau dat, gelet op een zodanige wijze worden geïmplementeerd dat zij een gepast en op het risico afgestemd niveau van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid de stand van de persoonsgegevens garanderentechniek, de uitvoeringskosten van de beveiligingsmaatregelen, de aard, omvang en de context van de Verwerkingen, de doeleinden en het beoogd gebruik van de Dienst, de verwerkingsrisico’s en de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van ▇▇▇▇▇▇▇▇▇▇▇ die zij gezien het beoogd gebruik van de Dienst mocht verwachten, niet onredelijk is. 5. De omschreven beveiligingsmaatregelen bieden, naar het oordeel van de Opdrachtgever, rekening houdend met de stand in lid 3 van dit artikel genoemde factoren een op het risico van de techniek en de kosten Verwerking van de tenuitvoerleggingdoor hem gebruikte of verstrekte Persoonsgegevens afgestemd beveiligingsniveau. 6. Deze maatregelen betreffen in ieder geval: - maatregelen om te waarborgen Opdrachtgever stelt enkel Persoonsgegevens ter Verwerking aan Leverancier ter beschikking, indien Opdrachtgever zich ervan heeft verzekerd dat enkel bevoegd personeel toegang heeft tot de persoonsgegevens vereiste beveiligingsmaatregelen zijn getroffen. Opdrachtgever is verantwoordelijk voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - maatregelen om de persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - maatregelen om zwakke plekken te identificeren ten aanzien naleving van de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Klantdoor Partijen afgesproken maatregelen. 2. Zonder schriftelijke toestemming van Klant zal Verwerker de verwerking van persoonsgegevens niet (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindt. 3. Op verzoek van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 en 2, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien deze gelet op de risico’s die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerker. 4. Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learned.

Beveiliging. 1. Verwerker zal de uit hoofde van artikel 32 AVG vereiste 20.1 Het Vertrouwde Dorp zorgt voor passende technische en organisatorische maatregelen om (papier en elektronisch) persoonsgegevens te treffen om een op het risiconiveau afgestemd beveiligingsniveau te waarborgenbeveiligen tegen verlies of enige vorm van onrechtmatige verwerking in overeenstemming is met de geldende wet- en regelgeving. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat zij een gepast Het Vertrouwde Dorp en op het risico afgestemd niveau van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid van de persoonsgegevens garanderen, verwerker nemen rekening houdend met de stand van de techniek en de kosten uitvoeringskosten passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. De maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen. Uitgangspunten zijn hierbij Privacy By Design en Privacy By Default. De bovengenoemde maatregelen kunnen, waar passend, onder meer het volgende omvatten: a) de pseudonimisering en versleuteling van persoonsgegevens; b) het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de tenuitvoerlegging. Deze maatregelen betreffen in ieder geval: - maatregelen verwerkingssystemen en diensten te garanderen; c) het vermogen om te waarborgen dat enkel bevoegd personeel bij een fysiek of technisch incident de beschikbaarheid van en de toegang heeft tot de persoonsgegevens tijdig te herstellen; d) een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeleinden die uiteen zijn gezet doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking. 20.2 Bij de beoordeling van het passende beveiligingsniveau wordt met name rekening gehouden met de verwerkingsrisico's, met name als gevolg van vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig. 20.3 Het aansluiten bij een goedgekeurde gedragscode of een goedgekeurd certificeringsmechanisme kan worden gebruikt als element om aan te tonen dat de in Bijlage lid 1 van deze Overeenkomst; - maatregelen om de persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - maatregelen om zwakke plekken te identificeren ten aanzien van de verwerking van persoonsgegevens in de systemen die dit artikel bedoelde vereisten worden ingezet voor het verlenen van diensten aan Klantnageleefd. 2. Zonder schriftelijke toestemming van Klant zal Verwerker 20.4 Het Vertrouwde Dorp en de verwerking van persoonsgegevens niet (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen verwerker treffen maatregelen om ervoor te zorgen dat iedere natuurlijke persoon die handelt onder het gezag van Het Vertrouwde Dorp of van de doorgifte verwerker en toegang heeft tot persoonsgegevens, deze slechts in opdracht van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindtHet Vertrouwde Dorp verwerkt, tenzij hij daartoe volgens wet- en regelgeving is gehouden. 320.5 Conform de AVG zal voorafgaand aan de invoering van een nieuwe verwerking een Gegevensbescherming-effectbeoordeling (Data Protection Impact Assessment, DPIA) worden uitgevoerd. Op verzoek Zo nodig zal Het Vertrouwde Dorp op basis van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 en 2, waaronder uitkomst van de DPIA de Autoriteit Persoonsgegevens raadplegen voorafgaand aan de invoering van de verwerking. 20.6 Het Vertrouwde Dorp houdt een register bij van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid plaatsvinden. Desgevraagd stelt hij het register ter beschikking van de Autoriteit Persoonsgegevens. Dat register bevat in ieder geval begrepen de locatie volgende gegevens: a) de naam en de contactgegevens van Het Vertrouwde Dorp en eventuele gezamenlijke verwerkingsverantwoordelijken, en van de servers functionaris voor gegevensbescherming; b) de verwerkingsdoeleinden; c) een beschrijving van de categorieën van betrokkenen en andere apparatuur waarop van de categorieën van persoonsgegevens; d) de categorieën van ontvangers aan wie de persoonsgegevens zijn opgeslagen of waarmee de zullen worden verstrekt, onder meer ontvangers in derde landen of internationale organisaties; e) indien van toepassing, doorgiften van persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging aan een derde land of een internationale organisatie, met inbegrip van de maatregelen indien Klant vermelding van oordeel is dat de getroffen maatregelen onvoldoende effectief derde land of passend zijn die internationale organisatie en, in relatie tot de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming geval van de persoonsgegevens of de rechten en belangen in artikel 49, lid 1, tweede alinea, van de betrokkenen. Klant zal haar goedkeuring aan AVG bedoelde doorgiften, de voorgestelde maatregelen niet onthouden documenten inzake de passende waarborgen; f) indien deze gelet op mogelijk, de risico’s die zijn verbonden met beoogde termijnen waarbinnen de aard verschillende categorieën van gegevens moeten worden gewist; g) indien mogelijk, een algemene beschrijving van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek technische en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerkerorganisatorische beveiligingsmaatregelen. 4. Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learned.

Beveiliging. 1. Verwerker zal De verantwoordelijke en de uit hoofde van artikel 32 AVG vereiste verwerker zullen beiden passende technische en organisatorische maatregelen te treffen om een op het risiconiveau afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat treffen, zoals bedoeld in artikel 32 AVG, zodat zij een gepast en op het risico afgestemd niveau beveiligingsniveau kunnen waarborgen. 2. De verantwoordelijke informeert de verwerker omtrent de wettelijke betrouwbaarheidseisen die op de verwerking van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid toepassing zijn aan de hand van de persoonsgegevens garanderenmogelijke gevolgen voor de betrokkenen, zoals in geval van verlies, corruptie of onrechtmatige verwerking en verstrekt daartoe alle benodigde informatie zodat de verwerker hieraan kan voldoen. 3. Indien de verantwoordelijke een hoger beveiligingsniveau wenst dan wettelijk verplicht, kan de verwerker hiervoor de redelijke kosten separaat in rekening houdend brengen aan de verantwoordelijke. 4. De verwerker houdt bij het treffen van beveiligingsmaatregelen rekening met de stand van de techniek techniek, de uitvoeringskosten, alsook met de aard, omvang, context, verwerkingsdoeleinden, waarschijnlijkheid en de kosten ernst van de tenuitvoerlegginguiteenlopende risico's voor de rechten en vrijheden van personen een en ander conform het bepaalde in artikel 28 lid 3 sub f AVG. 5. Indien de verantwoordelijke een beoordeling wenst uit te voeren van een beoogde verwerkingsactiviteit, verleent de verwerker alle redelijke medewerking om deze beoordeling in overeenstemming met de geldende wet- en regelgeving uit te voeren. Versie 1.0 2 6. De verwerker verleent eveneens alle redelijke medewerking aan een voorafgaande raadpleging van de Autoriteit Persoonsgegevens. 7. Partijen hebben concrete afspraken gemaakt omtrent de voor de uitvoering van deze overeenkomst noodzakelijke technische en organisatorische beveiligingsmaatregelen, welke de verantwoordelijke op dit moment passend acht. 8. Deze afspraken omvatten ten minste de volgende onderwerpen: 1. de betrouwbaarheidseisen 2. het overeengekomen beveiligingsniveau (indien van toepassing) 3. de maatregelen betreffen in ieder geval: - maatregelen om te waarborgen dat enkel getroffen door de verwerker zodat uitsluitend bevoegd personeel toegang heeft tot de persoonsgegevens voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - persoonsgegevens 4. maatregelen om de persoonsgegevens te beschermen ter bescherming zoals tegen onopzettelijke of onrechtmatige vernietigingverlies, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - 5. de te nemen maatregelen om voor het opsporen van zwakke plekken te identificeren ten aanzien van en incidentenbeheer 9. Partijen zullen de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Klantlid 7 en 8 genoemde afspraken periodiek evalueren en zo nodig aanpassen. 210. Zonder schriftelijke toestemming van Klant zal Verwerker de verwerking van persoonsgegevens niet (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindtDeze afspraken worden als bijlage bij deze overeenkomst aangehecht. 3. Op verzoek van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 en 2, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien deze gelet op de risico’s die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerker. 4. Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learned.

Beveiliging. 1. Verwerker zal De verantwoordelijke en de uit hoofde van artikel 32 AVG vereiste verwerker zullen beiden passende technische en organisatorische maatregelen te treffen om een op het risiconiveau afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat treffen, zoals bedoeld in artikel 32 AVG, zodat zij een gepast en op het risico afgestemd niveau beveiligingsniveau kunnen waarborgen. 2. De verantwoordelijke informeert de verwerker omtrent de wettelijke betrouwbaarheidseisen die op de verwerking van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid toepassing zijn aan de hand van de persoonsgegevens garanderenmogelijke gevolgen voor de betrokkenen, zoals in geval van verlies, corruptie of onrechtmatige verwerking en verstrekt daartoe alle benodigde informatie zodat de verwerker hieraan kan voldoen. 3. Indien de verantwoordelijke een hoger beveiligingsniveau wenst dan wettelijk verplicht, kan de verwerker hiervoor de redelijke kosten separaat in rekening houdend brengen aan de verantwoordelijke. 4. De verwerker houdt bij het treffen van beveiligingsmaatregelen rekening met de stand van de techniek techniek, de uitvoeringskosten, alsook met de aard, omvang, context, verwerkingsdoeleinden, waarschijnlijkheid en de kosten ernst van de tenuitvoerlegginguiteenlopende risico’s voor de rechten en vrijheden van personen een en ander conform het bepaalde in artikel 28 lid 3 sub f AVG. 5. Indien de verantwoordelijke een beoordeling wenst uit te voeren van een beoogde verwerkingsactiviteit, verleent de verwerker alle redelijke medewerking om deze beoordeling in overeenstemming met de geldende wet- en regelgeving uit te voeren. 6. De verwerker verleent eveneens alle redelijke medewerking aan een voorafgaande raadpleging van de Autoriteit Persoonsgegevens. 7. Partijen hebben concrete afspraken gemaakt omtrent de voor de uitvoering van deze overeenkomst noodzakelijke technische en organisatorische beveiligingsmaatregelen, welke de verantwoordelijke op dit moment passend acht. 8. Deze afspraken omvatten ten minste de volgende onderwerpen: 1. de betrouwbaarheidseisen 2. het overeengekomen beveiligingsniveau (indien van toepassing) 3. de maatregelen betreffen in ieder geval: - maatregelen om te waarborgen dat enkel getroffen door de verwerker zodat uitsluitend bevoegd personeel toegang heeft tot de persoonsgegevens voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - persoonsgegevens 4. maatregelen om de persoonsgegevens te beschermen ter bescherming zoals tegen onopzettelijke of onrechtmatige vernietigingverlies, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - 5. de te nemen maatregelen om voor het opsporen van zwakke plekken te identificeren ten aanzien van en incidentenbeheer 9. Partijen zullen de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Klantlid 7 en 8 genoemde afspraken periodiek evalueren en zo nodig aanpassen. 210. Zonder schriftelijke toestemming van Klant zal Verwerker de verwerking van persoonsgegevens niet (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindtDeze afspraken worden als bijlage bij deze overeenkomst aangehecht. 3. Op verzoek van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 en 2, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien deze gelet op de risico’s die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerker. 4. Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learned.

Beveiliging. 1. Verwerker Leverancier zal de uit hoofde van artikel 32 AVG vereiste zich inspannen passende technische en organisatorische maatregelen te treffen nemen met betrekking tot de te verrichten Verwerkingen van Persoonsgegevens, vooral als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens. 2. Leverancier besteed de Dienst alleen uit aan een Partner met een strikt informatiebeveiligingsbeleid. Het informatiebeveiligingsbeleid kan door Leverancier aan Opdrachtgever worden verstrekt na schriftelijk verzoek. 3. Leverancier kan wijzigingen aanbrengen in de getroffen beveiligingsmaatregelen indien dat naar haar oordeel noodzakelijk is om een op het risiconiveau afgestemd passend beveiligingsniveau te waarborgenblijven bieden. 4. Deze maatregelen zullen Leverancier staat er niet voor in dat de beveiliging onder alle omstandigheden doeltreffend is. Leverancier zal zich inspannen om de beveiliging te laten voldoen aan een niveau dat, gelet op een zodanige wijze worden geïmplementeerd dat zij een gepast en op het risico afgestemd niveau van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid de stand van de persoonsgegevens garanderentechniek, de uitvoeringskosten van de beveiligingsmaatregelen, de aard, omvang en de context van de Verwerkingen, de doeleinden en het beoogd gebruik van de Dienst, de verwerkingsrisico’s en de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van Betrokkenen die zij gezien het beoogd gebruik van de Dienst mocht verwachten, niet onredelijk is. 5. De omschreven beveiligingsmaatregelen bieden, naar het oordeel van de Opdrachtgever, rekening houdend met de stand in lid 3 van dit artikel genoemde factoren een op het risico van de techniek en de kosten Verwerking van de tenuitvoerleggingdoor hem gebruikte of verstrekte Persoonsgegevens afgestemd beveiligingsniveau. 6. Deze maatregelen betreffen in ieder geval: - maatregelen om te waarborgen Opdrachtgever stelt enkel Persoonsgegevens ter Verwerking aan Leverancier ter beschikking, indien Opdrachtgever zich ervan heeft verzekerd dat enkel bevoegd personeel toegang heeft tot de persoonsgegevens vereiste beveiligingsmaatregelen zijn getroffen. Opdrachtgever is verantwoordelijk voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - maatregelen om de persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - maatregelen om zwakke plekken te identificeren ten aanzien naleving van de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Klantdoor Partijen afgesproken maatregelen. 2. Zonder schriftelijke toestemming van Klant zal Verwerker de verwerking van persoonsgegevens niet (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindt. 3. Op verzoek van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 en 2, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien deze gelet op de risico’s die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerker. 4. Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learned.

Beveiliging. 1. Verwerker zal De verantwoordelijke en de uit hoofde van artikel 32 AVG vereiste verwerker zullen beiden passende technische en organisatorische maatregelen te treffen om een op het risiconiveau afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat treffen, zoals bedoeld in artikel 32 AVG, zodat zij een gepast en op het risico afgestemd niveau beveiligingsniveau kunnen waarborgen. 2. De verantwoordelijke informeert de verwerker omtrent de wettelijke betrouwbaarheidseisen die op de verwerking van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid toepassing zijn aan de hand van de persoonsgegevens garanderenmogelijke gevolgen voor de betrokkenen, zoals in geval van verlies, corruptie of onrechtmatige verwerking en verstrekt daartoe alle benodigde informatie zodat de verwerker hieraan kan voldoen. 3. Indien de verantwoordelijke een hoger beveiligingsniveau wenst dan wettelijk verplicht, kan de verwerker hiervoor de redelijke kosten separaat in rekening houdend brengen aan de verantwoordelijke. 4. De verwerker houdt bij het treffen van beveiligingsmaatregelen rekening met de stand van de techniek techniek, de uitvoeringskosten, alsook met de aard, omvang, context, verwerkingsdoeleinden, waarschijnlijkheid en de kosten ernst van de tenuitvoerlegginguiteenlopende risico's voor de rechten en vrijheden van personen een en ander conform het bepaalde in artikel 28 lid 3 sub f AVG. 5. Indien de verantwoordelijke een beoordeling wenst uit te voeren van een beoogde verwerkingsactiviteit, verleent de verwerker alle redelijke medewerking om deze beoordeling in overeenstemming met de geldende wet- en regelgeving uit te voeren. 6. De verwerker verleent eveneens alle redelijke medewerking aan een voorafgaande raadpleging van de Autoriteit Persoonsgegevens. 7. Partijen hebben concrete afspraken gemaakt omtrent de voor de uitvoering van deze overeenkomst noodzakelijke technische en organisatorische beveiligingsmaatregelen, welke de verantwoordelijke op dit moment passend acht. 8. Deze afspraken omvatten ten minste de volgende onderwerpen: a. de betrouwbaarheidseisen b. het overeengekomen beveiligingsniveau (indien van toepassing) c. de maatregelen betreffen in ieder geval: - maatregelen om te waarborgen dat enkel getroffen door de verwerker zodat uitsluitend bevoegd personeel toegang heeft tot de persoonsgegevens voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - persoonsgegevens d. maatregelen om de persoonsgegevens te beschermen ter bescherming zoals tegen onopzettelijke of onrechtmatige vernietigingverlies, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - e. de te nemen maatregelen om voor het opsporen van zwakke plekken te identificeren ten aanzien van en incidentenbeheer 9. Partijen zullen de verwerking van persoonsgegevens in de systemen die lid 7 en 8 genoemde afspraken periodiek evalueren en zo nodig aanpassen. Deze afspraken worden ingezet voor het verlenen van diensten aan Klantals bijlage bij deze overeenkomst aangehecht. 2. Zonder schriftelijke toestemming van Klant zal Verwerker de verwerking van persoonsgegevens niet (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindt. 3. Op verzoek van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 en 2, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien deze gelet op de risico’s die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerker. 4. Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learned.

Beveiliging. 1. Verwerker zal De verantwoordelijke en de uit hoofde van artikel 32 AVG vereiste verwerker zullen beiden passende technische en organisatorische maatregelen te treffen om een op het risiconiveau afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat treffen, zoals bedoeld in artikel 32 AVG, zodat zij een gepast en op het risico afgestemd niveau beveiligingsniveau kunnen waarborgen. 2. De verantwoordelijke informeert de verwerker omtrent de wettelijke betrouwbaarheidseisen die op de verwerking van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid toepassing zijn aan de hand van de persoonsgegevens garanderenmogelijke gevolgen voor de betrokkenen, zoals in geval van verlies, corruptie of onrechtmatige verwerking en verstrekt daartoe alle benodigde informatie zodat de verwerker hieraan kan voldoen. 3. Indien de verantwoordelijke een hoger beveiligingsniveau wenst dan wettelijk verplicht, kan de verwerker hiervoor de redelijke kosten separaat in rekening houdend brengen aan de verantwoordelijke. 4. De verwerker houdt bij het treffen van beveiligingsmaatregelen rekening met de stand van de techniek techniek, de uitvoeringskosten, alsook met de aard, omvang, context, verwerkingsdoeleinden, waarschijnlijkheid en de kosten ernst van de tenuitvoerlegginguiteenlopende risico's voor de rechten en vrijheden van personen een en ander conform het bepaalde in artikel 28 lid 3 sub f AVG. 5. Indien de verantwoordelijke een beoordeling wenst uit te voeren van een beoogde verwerkingsactiviteit, verleent de verwerker alle redelijke medewerking om deze beoordeling in overeenstemming met de geldende wet- en regelgeving uit te voeren. 6. De verwerker verleent eveneens alle redelijke medewerking aan een voorafgaande raadpleging van de Autoriteit Persoonsgegevens. 7. Partijen hebben concrete afspraken gemaakt omtrent de voor de uitvoering van deze overeenkomst noodzakelijke technische en organisatorische beveiligingsmaatregelen, welke de verantwoordelijke op dit moment passend acht. 8. Deze afspraken omvatten ten minste de volgende onderwerpen: 1. de betrouwbaarheidseisen 2. het overeengekomen beveiligingsniveau (indien van toepassing) 3. de maatregelen betreffen in ieder geval: - maatregelen om te waarborgen dat enkel getroffen door de verwerker zodat uitsluitend bevoegd personeel toegang heeft tot de persoonsgegevens voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - persoonsgegevens 4. maatregelen om de persoonsgegevens te beschermen ter bescherming zoals tegen onopzettelijke of onrechtmatige vernietigingverlies, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - 5. de te nemen maatregelen om voor het opsporen van zwakke plekken te identificeren ten aanzien van en incidentenbeheer 9. Partijen zullen de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Klantlid 7 en 8 genoemde afspraken periodiek evalueren en zo nodig aanpassen. 2. Zonder schriftelijke toestemming van Klant zal Verwerker de verwerking van persoonsgegevens niet (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindt. 3. Op verzoek van ▇▇▇▇▇ zal Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 en 2, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerkt. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging van de maatregelen indien Klant van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien deze gelet op de risico’s die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerker. 4. Verwerker zal de Klant ondersteunen bij het voldoen aan de verplichtingen van de Klant onder artikel 32 tot en met 36 van de AVG, zoals het ondersteunen bij de uitvoering van een Data Protection Impact Assessment (ook wel: “DPIA”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learned.

Beveiliging. 1. Verwerker zal heeft de uit hoofde van artikel 32 AVG vereiste passende technische en organisatorische maatregelen te treffen om een op beveiligingsmaatregelen genomen die zijn genoemd in de bijlage 2die bij deze Verwerkersovereenkomst hoort. Bij het risiconiveau afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zullen op een zodanige wijze worden geïmplementeerd dat zij een gepast en op het risico afgestemd niveau van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid nemen van de persoonsgegevens garanderenbeveiligingsmaatregelen is rekening gehouden met de te mitigeren risico's, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerleggingbeveiligingsmaatregelen. Deze maatregelen betreffen beveiligingsmaatregelen omvatten in ieder geval: - maatregelen de encryptie/pseudonimisering (versleuteling) van Persoonsgegevens; het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemenen diensten te waarborgen dat enkel bevoegd personeel garanderen; het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang heeft tot de persoonsgegevens Persoonsgegevens tijdig te herstellen; een procedure voor de doeleinden die uiteen zijn gezet in Bijlage 1 van deze Overeenkomst; - maatregelen om de persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiginghet op gezette tijdstippen testen, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; - maatregelen om zwakke plekken te identificeren ten aanzien beoordelen en evalueren van de verwerking doeltreffendheid van persoonsgegevens in de systemen die worden ingezet voor het verlenen technische en organisatorische maatregelen ter beveiliging van diensten aan KlantVerwerking. 2. Zonder schriftelijke toestemming Verwerkingsverantwoordelijke heeft zich goed geïnformeerd over de beveiligingsmaatregelen die Verwerker heeft genomen en is van Klant zal Verwerker mening dat deze maatregelen een beveiligingsniveau hebben dat past bij de verwerking aard van persoonsgegevens niet (laten) uitvoeren in een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau of Persoonsgegevens en de verwerking laten uitvoeren door een derde partij. ▇▇▇▇▇ zal haar toestemming niet op onredelijke gronden onthouden. Verwerker zal passende waarborgen nemen om ervoor te zorgen dat omvang, context, doeleinden en risico's van de doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte zonder passend beschermingsniveau rechtmatig plaatsvindtVerwerking. 3. Op verzoek Partijen erkennen dat het waarborgen van ▇▇▇▇▇ zal een passend beveiligingsniveau voortdurend kan dwingen tot het treffen van aanvullende beveiligingsmaatregelen. Verwerker Klant informeren over de getroffen maatregelen als bedoeld in artikel 3 lid 1 en 2, waaronder in ieder geval begrepen de locatie van de servers en andere apparatuur waarop de persoonsgegevens zijn opgeslagen of waarmee de persoonsgegevens anderszins worden verwerktwaarborgt een op het actuele risico afgestemd beveiligingsniveau. Verwerker zal Klant zo spoedig mogelijk voorstellen doen voor de wijziging Verwerkingsverantwoordelijke informeren als een van de maatregelen indien Klant van oordeel is dat de getroffen maatregelen onvoldoende effectief of passend zijn in relatie tot de door Klant of Verwerker geïdentificeerde risico’s voor de bescherming van de persoonsgegevens of de rechten en belangen van de betrokkenen. Klant zal haar goedkeuring aan de voorgestelde maatregelen niet onthouden indien deze gelet op de risico’s die zijn verbonden met de aard van de persoonsgegevens, de voorgenomen verwerkingen, de stand van de techniek en de kosten van tenuitvoerlegging redelijk zijn. De kosten van de tenuitvoerlegging van de voorgestelde maatregelen worden gedragen door Verwerkerbeveiligingsmaatregelen substantieel wijzigt. 4. Verwerker zal biedt passende waarborgen voor de Klant ondersteunen bij het voldoen aan de verplichtingen toepassing van de Klant onder artikel 32 technische en organisatorische beveiligingsmaatregelen met betrekking tot de te verrichten Verwerkingen. Indien Verwerkingsverantwoordelijke de wijze waarop Verwerker de beveiligingsmaatregelen naleeft wil laten inspecteren, dan kan Verwerkingsverantwoordelijke hiertoe een verzoek aan Verwerker doen. Verwerker en met 36 van de AVG, zoals het ondersteunen bij de uitvoering Verwerkingsverantwoordelijke zullen hierover gezamenlijk afspraken maken. De kosten van een Data Protection Impact Assessment inspectie zijn voor rekening van Verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke stelt aan Verwerker een kopie van het inspectierapport ter beschikking. 5. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens Verwerken of laten Verwerken door hemzelf of door derden in landen buiten de Europese Unie (ook wel: “DPIAEU”), mocht dit noodzakelijk zijn. Learned kan indien noodzakelijk voor de verleende medewerking kosten in rekening brengen, uitgaande van de gebruikelijke uurtarieven van Learned.