Common use of Uitvoering verwerking Clause in Contracts

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit Dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven;. 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, AVG en overige wet- en regelgeving. Verwerker zal in dat kader ten minste tenminste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.a) dit noodzakelijk is voor de uitvoering van de Overeenkomst Hoofdovereenkomst (binnen de kader als gespecificeerd gespecificeerde omschrijving in Bijlage 1); of b.b) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven;. 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.43.3. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.53.4. Verwerker zal de Persoonsgegevens aantoonbaar, aantoonbaar op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, AVG en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.73.5. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of door derden laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.83.6. Verwerker waarborgt dat betrokken Medewerkers Xxxxxxxxxxx een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomstdan wel garandeert dat Xxxxxxxxxxx geheimhouding zullen betrachten ten aanzien van de verwerking van de Persoonsgegevens.

Uitvoering verwerking. 3.1. 3.1 Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) zover dit noodzakelijk is voor de uitvoering levering van de Overeenkomst (binnen Prestaties onder de kader in artikel 1 van deze Verwerkersovereenkomst genoemde Hoofdovereenkomst. Overige Verwerkingen zullen uitsluitend worden uitgevoerd in expliciete opdracht van Verwerkingsverantwoordelijke of als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2een wettelijke verplichting bestaat na informeren van Verwerkingsverantwoordelijke. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) geen geval zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerkingvoor eigen doeleinden. 3.3. 3.2 Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking Verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking Verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. 3.3 Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, Wbp en AVG en overige wet- wetgeving rustende verplichtingen verwerken. Partijen sluiten de Hoofdovereenkomst om de expertise die Verwerker heeft als het gaat om het beveiligen en regelgevinghet verwerken van Persoonsgegevens te gebruiken voor de doeleinden die uiteengezet zijn in Annex 1 bij deze Verwerkersovereenkomst. Verwerker is gehouden om, met inachtneming van hetgeen in deze Verwerkersovereenkomst is bepaald, die doeleinden en de bescherming van de Persoonsgegevens met maximale zorg na te streven. 3.4 Het is Verwerker toegestaan om Hulpleveranciers in te schakelen om aan de opdracht te voldoen met dien verstande dat dit geen Hulpleveranciers zullen zijn die gevestigd zijn buiten de Europese Unie. In het geval dat Verwerker een leverancier inschakelt dient deze sub- Verwerkersovereenkomst(en) te sluiten met deze Hulpleverancier(s) en zal zij deze op eerste verzoek van Verwerkingsverantwoordelijke aan Verwerkingsverantwoordelijke ter hand stellen. Verwerker zal in dezelfde of strengere verplichtingen opleggen aan de sub-verwerker die uit deze Verwerkersovereenkomst of uit de wet voortvloeien en ziet toe op de naleving hiervan. 3.5 Het staat Verwerker vrij om te wisselen van Hulpleverancier. Verwerker draagt de verantwoordelijkheid om een nieuwe Hulpleverancier dezelfde of strengere verplichtingen op te leggen die uit deze Verwerkersovereenkomst of uit de wet voortvloeien en ziet toe op de naleving hiervan. Verwerker zal Verwerkingsverantwoordelijke tijdig informeren over een eventuele wisseling. Verwerkingsverantwoordelijke kan een overstap naar een andere Hulppleverancier niet blokkeren. Als Verwerkingsverantwoordelijke van mening is dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG hij of door de wisseling niet meer aan de wettelijke verplichtingen kan voldoen zullen Verwerker en Verwerkingsverantwoordelijke op eerste verzoek in overleg treden over een kopie van dat register verstrekkenalternatieve (maatwerk) oplossing. 3.6. Indien de dienstverlening door 3.6 Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving alle Persoonsgegevens als strikt vertrouwelijk zal handelen. 3.7behandelen en dat hij al zijn werknemers, vertegenwoordigers en/of Hulpleveranciers die betrokken zijn bij de Verwerking van de Persoonsgegevens van de vertrouwelijke aard van dergelijke (Persoons)gegevens op de hoogte zal stellen. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt zal waarborgen dat betrokken Medewerkers personen en Partijen een geheimhoudingsovereenkomst hebben getekend en geeft zal Verwerkingsverantwoordelijke op verzoek inzage geven in deze geheimhoudingsovereenkomst. Het is Verwerker niet toegestaan de Persoonsgegevens aan enige derde te tonen, te verstrekken of anderszins ter beschikking te stellen, tenzij dit noodzakelijk of toegestaan is ingevolge de opdracht beschreven in de Hoofdovereenkomst of in het geval hiervoor expliciete voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke is verkregen. 3.7 Verwerker zal zijn volledige en tijdige medewerking verlenen aan Verwerkingsverantwoordelijke om (i) na goedkeuring van en in opdracht van Verwerkingsverantwoordelijke Betrokkenen toegang te laten krijgen tot de hun betreffende Persoonsgegevens, (ii) Persoonsgegevens te verwijderen of te corrigeren, (iii) aan te tonen dat Persoonsgegevens verwijderd of gecorrigeerd zijn indien zij incorrect zijn (of, ingeval Verwerkingsverantwoordelijke het er niet mee eens is dat Persoonsgegevens incorrect zijn, het feit vast te leggen dat de Betrokkene zijn Persoonsgegevens als incorrect beschouwt) en (iv) Verwerkingsverantwoordelijke anderszins in de gelegenheid te stellen om aan zijn verplichtingen onder de Wbp en AVG of andere toepasselijke wetgeving op het gebied van Verwerking van Persoonsgegevens te voldoen. 3.8 Verwerker zal de Persoonsgegevens van Verwerkingsverantwoordelijke logisch gescheiden verwerken van de Persoonsgegevens die hij voor zichzelf of namens derde Partijen verwerkt.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) : dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) of Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. ; In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst. Verwerker zal aantoonbaar, passende en doeltreffende technische en organisatorische beveiligingsmaatregelen nemen, die gezien de huidige stand der techniek en de daarmee gemoeide kosten overeenstemmen met de (in Bijlage 1 gespecificeerde) aard van de te verwerken Persoonsgegevens, ter bescherming van de Persoonsgegevens tegen verlies, onbevoegde kennisname, verminking of enige vorm van onrechtmatige verwerking, alsmede om de (tijdige) beschikbaarheid van de gegevens te garanderen. In deze beveiligings- maatregelen zijn de mogelijk in de Overeenkomst reeds bepaalde maatregelen begrepen. De maatregelen omvatten in ieder geval: maatregelen om te waarborgen dat enkel bevoegde Medewerkers toegang hebben tot de Persoonsgegevens voor de doeleinden die zijn uiteengezet; maatregelen waarbij de Verwerker zijn Medewerkers en Subverwerkers uitsluitend toegang geeft tot Persoonsgegevens via op naam gestelde accounts, waarbij het gebruik van die accounts adequaat gelogd wordt en waarbij de betreffende accounts alleen toegang geven tot die Persoonsgegevens waartoe de toegang voor de betreffende (rechts)persoon noodzakelijk is; maatregelen om de Persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; maatregelen om zwakke plekken te identificeren ten aanzien van de verwerking van Persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Verwerkingsverantwoordelijke; maatregelen om de tijdige beschikbaarheid van de Persoonsgegevens te garanderen; maatregelen om te waarborgen dat Persoonsgegevens logisch gescheiden worden verwerkt van de Persoonsgegevens die hij voor zichzelf of namens derde partijen verwerkt; de overige maatregelen die Partijen zijn overeengekomen zoals vastgelegd in Bijlage 2. Xxxxxxxxx werkt aantoonbaar in overeenstemming met ISO27001 en/of NEN 7510 en heeft een passend, geschreven beveiligingsbeleid geïmplementeerd voor de verwerking van Persoonsgegevens, waarin in ieder geval de in het eerste lid van dit artikel 4 genoemde maatregelen uiteen zijn gezet. Verwerker voldoet aantoonbaar aan de veiligheidseisen voor netwerkverbindingen zoals beschreven in NEN7512. Verwerker voldoet aantoonbaar aan de eisen ten aanzien van logging zoals beschreven in NEN7513. Verwerker voldoet aantoonbaar aan de eisen van andere NEN-normen voor zover die voor de gezondheidszorg van toepassing zijn verklaard. Verwerker zal op eerste verzoek van Verwerkingsverantwoordelijke een door een onafhankelijke en ter zake deskundige derde afgegeven geldig certificaat overleggen, indien deze daarover beschikt, waaruit volgt dat Verwerker de verplichtingen uit dit artikel naleeft. Verwerkingsverantwoordelijke heeft het recht toe te (laten) zien op de naleving van de hiervoor onder artikel 4.1 tot en met 4.4 genoemde maatregelen. Verwerker stelt Verwerkingsverantwoordelijke, indien Verwerkingsverantwoordelijke daarom verzoekt, hiertoe in elk geval eenmaal per jaar in de gelegenheid op een door Partijen in gezamenlijk overleg nader te bepalen tijdstip en verder indien Verwerkingsverantwoordelijke daar aanleiding toe ziet naar aanleiding van (vermoeden van) informatie- of privacy-incidenten, dat te (laten) controleren. Verwerker zal in alle redelijkheid haar medewerking verlenen aan een dergelijk onderzoek. Verwerker zal eventuele door Verwerkingsverantwoordelijke naar aanleiding van een dergelijk onderzoek in redelijkheid gegeven instructies tot aanpassing van het beveiligingsbeleid binnen een redelijke termijn opvolgen. Partijen erkennen dat beveiligingseisen voortdurend veranderen en dat een effectieve beveiliging frequente evaluatie en regelmatige verbetering van verouderde beveiligingsmaatregelen vereist. Verwerker zal daarom de maatregelen zoals geïmplementeerd op basis van dit artikel 4 periodiek evalueren en, waar nodig, de maatregelen verbeteren om te blijven voldoen aan de verplichtingen onder dit artikel 4. Het voorgaande laat de instructiebevoegdheid van Verwerkingsverantwoordelijke om zo nodig aanvullende maatregelen te (doen) treffen onverlet.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. 3.1 Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke Verantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) zover dit noodzakelijk is voor de uitvoering levering van de Overeenkomst (binnen Prestaties onder de kader in artikel 1 van deze Verwerkersovereenkomst genoemde Hoofdovereenkomst. Overige Verwerkingen zullen uitsluitend worden uitgevoerd in expliciete opdracht van Verantwoordelijke of als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2een wettelijke verplichting bestaat na informeren van Verantwoordelijke. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) geen geval zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerkingvoor eigen doeleinden. 3.3. 3.2 Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke Verantwoordelijke in verband met de verwerking Verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke Verantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking Verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. 3.3 Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, Wbp en AVG en overige wet- wetgeving rustende verplichtingen verwerken. Partijen sluiten de Hoofdovereenkomst om de expertise die Verwerker heeft als het gaat om het beveiligen en regelgevinghet verwerken van Persoonsgegevens te gebruiken voor de doeleinden die uiteengezet zijn in Annex 1 bij deze Verwerkersovereenkomst. Verwerker is gehouden om, met inachtneming van hetgeen in deze Verwerkersovereenkomst is bepaald, die doeleinden en de bescherming van de Persoonsgegevens met maximale zorg na te streven. 3.4 Het is Verwerker toegestaan om Hulpleveranciers in te schakelen om aan de opdracht te voldoen met dien verstande dat dit geen Hulpleveranciers zullen zijn die gevestigd zijn buiten de Europese Unie. In het geval dat Verwerker een leverancier inschakelt dient deze sub- Verwerkersovereenkomst(en) te sluiten met deze Hulpleverancier(s) en zal zij deze op eerste verzoek van Verantwoordelijke aan Verantwoordelijke ter hand stellen. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG dezelfde of strengere verplichtingen opleggen aan de sub-verwerker die uit deze Verwerkersovereenkomst of uit de wet voortvloeien en Verwerkingsverantwoordelijke ziet toe op eerste verzoek een kopie van dat register verstrekkende naleving hiervan. 3.63.5 Het staat Verwerker vrij om te wisselen van Hulpleverancier. Indien Verwerker draagt de dienstverlening door verantwoordelijkheid om een nieuwe Hulpleverancier dezelfde of strengere verplichtingen op te leggen die uit deze Verwerkersovereenkomst of uit de wet voortvloeien en ziet toe op de naleving hiervan. Verwerker de verwerking zal Verantwoordelijke tijdig informeren over een eventuele wisseling. Verantwoordelijke kan een overstap naar een andere Hulppleverancier niet blokkeren. Als Verantwoordelijke van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker mening is dat hij of door de wisseling niet meer aan de wettelijke verplichtingen kan voldoen zullen Verwerker en Verantwoordelijke in strijd met gezondheidswetgeving zal handelenoverleg treden over een alternatieve (maatwerk) oplossing. 3.73.6 Verwerker garandeert dat hij alle Persoonsgegevens als strikt vertrouwelijk zal behandelen en dat hij al zijn werknemers, vertegenwoordigers en/of Hulpleveranciers die betrokken zijn bij de Verwerking van de Persoonsgegevens van de vertrouwelijke aard van dergelijke (Persoons)gegevens op de hoogte zal stellen. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt zal waarborgen dat betrokken Medewerkers personen en Partijen een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke zal Verantwoordelijke op verzoek inzage geven in deze geheimhoudingsovereenkomst. Het is Verwerker niet toegestaan de Persoonsgegevens aan enige derde te tonen, te verstrekken of anderszins ter beschikking te stellen, tenzij dit noodzakelijk of toegestaan is ingevolge de opdracht beschreven in de Hoofdovereenkomst of in het geval hiervoor expliciete voorafgaande schriftelijke toestemming van Verantwoordelijke is verkregen. 3.7 Verwerker zal zijn volledige en tijdige medewerking verlenen aan Verantwoordelijke om (i) na goedkeuring van en in opdracht van Verantwoordelijke Betrokkenen toegang te laten krijgen tot de hun betreffende Persoonsgegevens, (ii) Persoonsgegevens te verwijderen of te corrigeren, (iii) aan te tonen dat Persoonsgegevens verwijderd of gecorrigeerd zijn indien zij incorrect zijn (of, ingeval Verantwoordelijke het er niet mee eens is dat Persoonsgegevens incorrect zijn, het feit vast te leggen dat de Betrokkene zijn Persoonsgegevens als incorrect beschouwt) en (iv) Verantwoordelijke anderszins in de gelegenheid te stellen om aan zijn verplichtingen onder de Wbp en AVG of andere toepasselijke wetgeving op het gebied van Verwerking van Persoonsgegevens te voldoen. 3.8 Verwerker zal de Persoonsgegevens van Verantwoordelijke logisch gescheiden verwerken van de Persoonsgegevens die hij voor zichzelf of namens derde Partijen verwerkt.

Uitvoering verwerking. 3.1. 3.1 Opdrachtnemer zal optreden als Verwerker en Opdrachtgever als Verwerkingsverantwoordelijke in de zin van de AVG. 3.2 Opdrachtnemer garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke Opdrachtgever uitsluitend Persoonsgegevens persoonsgegevens zal verwerken voor zover: a.) zover dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen onder de kader in artikel 1 van deze Verwerkersovereenkomst genoemde Hoofdovereenkomst. Overige verwerkingen zullen uitsluitend worden uitgevoerd in expliciete opdracht van Opdrachtgever of als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2een wettelijke verplichting bestaat na informeren van en onder verantwoordelijkheid van Opdrachtgever. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) geen geval zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens Opdrachtnemer persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerkingvoor eigen doeleinden. 3.3. Verwerker 3.3 Opdrachtnemer zal alle redelijke verzoeken en/of instructies van Verwerkingsverantwoordelijke Opdrachtgever in verband met de verwerking van de Persoonsgegevens persoonsgegevens opvolgen. Verwerker Opdrachtnemer stelt Verwerkingsverantwoordelijke Opdrachtgever onmiddellijk op de hoogte indien naar zijn oordeel verzoeken of instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevenspersoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker 3.4 Opdrachtnemer zal de Persoonsgegevens persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVGAVG en overige wetgeving rustende verplichtingen verwerken. Indien er sprake is van het verwerken van bijzondere persoonsgegevens volgens artikel 9 AVG zal Opdrachtnemer zich tevens houden aan de bepalingen van boek 7, voor zover nog titel 7, afdeling 5 BW (de Wet geneeskundige behandelingsovereenkomst, Wgbo) indien deze van toepassing zijn op Opdrachtgever. Partijen sluiten de WbpHoofdovereenkomst om de expertise die Opdrachtnemer heeft als het gaat om het beveiligen en het verwerken van Persoonsgegevens te gebruiken voor de doeleinden die uiteengezet zijn in Annex 1 bij deze Verwerkersovereenkomst. Opdrachtnemer is gehouden om, en overige wet- en regelgeving. Verwerker zal met inachtneming van hetgeen in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekkendeze Verwerkersovereenkomst is bepaald, naar eigen inzicht de middelen aan te wenden die hij noodzakelijk acht om die doeleinden na te streven. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker 3.5 Opdrachtnemer zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van VerwerkingsverantwoordelijkeOpdrachtgever, geen Persoonsgegevens persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”)) zonder een passend beschermingsniveau. Opdrachtnemer stelt de in Annex 4 genoemde medewerker van Opdrachtgever onmiddellijk schriftelijk op de hoogte van alle (geplande) permanente of tijdelijke doorgiftes van persoonsgegevens naar een land buiten de Europese Economische Ruimte en zal pas uitvoering geven aan dergelijke (geplande) doorgiftes na schriftelijke toestemming van Opdrachtgever. Opdrachtgever kan na overleg met Opdrachtnemer aanvullende voorwaarden verbinden aan haar toestemming voor een dergelijke verwerking. 3.8. Verwerker waarborgt 3.6 Onverminderd enige andere contractuele geheimhoudingsverplichting die op Opdrachtnemer rust, garandeert Opdrachtnemer dat hij alle persoonsgegevens als strikt vertrouwelijk zal behandelen en dat hij al zijn werknemers, vertegenwoordigers en/of onderaannemers (‘sub-verwerkers’) die betrokken Medewerkers zijn bij de verwerking van persoonsgegevens ook van deze geheimhoudingsverplichting op de hoogte zal stellen. 3.7 Opdrachtnemer zal, binnen zijn invloedsfeer, zijn volledige en tijdige medewerking verlenen aan Opdrachtgever om: a. Na goedkeuring van en in opdracht van Opdrachtgever betrokkenen toegang te laten krijgen tot de hun betreffende persoonsgegevens; b. Persoonsgegevens te verwijderen of te corrigeren; c. Aan te tonen dat persoonsgegevens verwijderd of gecorrigeerd zijn indien zij incorrect zijn (of, ingeval Opdrachtgever het er niet mee eens is dat persoonsgegevens incorrect zijn, het feit vast te leggen dat de betrokkene zijn persoonsgegevens als incorrect beschouwt); d. De betreffende persoonsgegevens aan Opdrachtgever dan wel aan een geheimhoudingsovereenkomst hebben getekend door de Opdrachtgever aangewezen derde te verstrekken in een gestructureerde, gangbare en geeft Verwerkingsverantwoordelijke machine-leesbare vorm voor zover Opdrachtnemer zelf bestanden heeft aangelegd waarin persoonsgegevens zijn verzameld en ingeval van het verstrekken aan een door de Opdrachtgever aangewezen derde een betrokkene van de betreffende verwerking betreft voor zover de gegevens volledig onder controle van deze betrokkene blijven staan en alleen voor persoonlijke en huishoudelijke doeleinden gebruikt worden.; e. Opdrachtgever anderszins in de gelegenheid te stellen om aan zijn verplichtingen onder de AVG of andere toepasselijke wetgeving op verzoek inzage in deze geheimhoudingsovereenkomsthet gebied van verwerking van persoonsgegevens te voldoen. 3.8 Opdrachtnemer zal de persoonsgegevens betreffende Opdrachtgever strikt gescheiden opslaan en verwerken van de persoonsgegevens die hij voor zichzelf of namens derde partijen verwerkt.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens Persoonsgege- vens zal verwerken voor zover: a.a) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader kaders als gespecificeerd in Bijlage bijlage 1); of b.b) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven;. 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens Persoons- gegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke rechter- lijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand vooraf- gaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk wet- telijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen te- gen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijkenoodza- kelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, AVG en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerkingsverantwoordelijke verleent Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen om Persoonsgegevens te verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”), met dien verstande dat Verwerker de Verwerkingsverantwoordelijke voor de start van de inzet infor- meert. De Verwerkingsverantwoordelijke kan bezwaar maken tegen de verwerking buiten de EER, waarna Partijen in onderling overleg zullen zoeken naar een passende oplossing. Indien geen passende oplossing wordt gevonden is het Verwerkingsverantwoordelijke toegestaan de Overeenkomst met Verwerker met onmiddellijke ingang te beëindigen. 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. 3.1 Verwerker zal optreden als Verwerker en Verwerkingsverantwoordelijke als Verantwoordelijke in de zin van de AVG. 3.2 Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens persoonsgegevens zal verwerken voor zover: a.) zover dit noodzakelijk is voor de uitvoering levering van de Overeenkomst (binnen prestaties onder de kader in artikel 1 van deze Verwerkersovereenkomst genoemde Hoofdovereenkomst. Overige verwerkingen zullen uitsluitend worden uitgevoerd in expliciete opdracht van Verwerkingsverantwoordelijke of als gespecificeerd daartoe een wettelijke verplichting bestaat na informeren van Verwerkingsverantwoordelijke. Informeren van de Verwerkingsverantwoordelijke blijft achterwege waar dat in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2strijd zou zijn met de wet. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) geen geval zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerkingvoor eigen doeleinden. 3.3. 3.3 Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens persoonsgegevens opvolgen. Verwerker stelt Een en ander onverlet de verantwoordelijkheid van Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel om zorg te dragen dat diens instructies in strijd zijn overeenstemming met de toepasselijke wetgeving zijn. Voor zover deze instructies extra werkzaamheden (en kosten) met betrekking tot de verwerking van Persoonsgegevenszich brengen voor Verwerker alsmede consequenties kunnen hebben voor een overeengekomen tijdsplanning, eerst nadat Partijen hierover overeenstemming hebben bereikt. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. 3.4 Verwerker zal de Persoonsgegevens persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, AVG en Nationale wetgeving op het gebied van privacy rustende verplichtingen verwerken. Partijen sluiten de Hoofdovereenkomst om de expertise die Verwerker heeft als het gaat om het beveiligen en het verwerken van Persoonsgegevens te gebruiken voor zover nog van toepassing de Wbp, en overige wet- en regelgevingdoeleinden die uiteengezet zijn in Annex 1 bij deze Verwerkersovereenkomst. Verwerker zal is gehouden om, met inachtneming van hetgeen in dat kader ten minste een register deze Verwerkersovereenkomst is bepaald, die doeleinden en de bescherming van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekkende persoonsgegevens met passende zorg na te streven. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. 3.5 Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens persoonsgegevens verwerken of laten verwerken door hemzelf of door derden Sub-Verwerker in landen buiten de Europese Economische Ruimte (“EER”). 3.8. 3.6 Verwerker waarborgt garandeert dat hij alle persoonsgegevens als strikt vertrouwelijk zal behandelen en dat hij al zijn werknemers, vertegenwoordigers en/of Sub-Verwerker die betrokken zijn bij de verwerking van de Persoonsgegevens van de vertrouwelijke aard van dergelijke (persoons)gegevens op de hoogte zal stellen. 3.7 Verwerker zal waarborgen dat betrokken Medewerkers personen en partijen een geheimhoudingsovereenkomst hebben getekend en geeft zal Verwerkingsverantwoordelijke op verzoek inzage geven in deze geheimhoudingsovereenkomst. Het is Verwerker niet toegestaan de persoonsgegevens aan enige derde te tonen, te verstrekken of anderszins ter beschikking te stellen, tenzij dit noodzakelijk of toegestaan is ingevolge de opdracht van de in lid 1 genoemde Hoofdovereenkomst of in het geval hiervoor expliciete voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke is verkregen of als daartoe wettelijke verplichting bestaat. 3.8 Verwerker zal zijn volledige en tijdige medewerking verlenen aan Verwerkingsverantwoordelijke om: a. na goedkeuring van en in opdracht van Verwerkingsverantwoordelijke Betrokkenen toegang te laten krijgen tot de hun betreffende persoonsgegevens, b. persoonsgegevens te verwijderen of te corrigeren, c. aan te tonen dat persoonsgegevens verwijderd of gecorrigeerd zijn indien zij incorrect zijn (of, ingeval Verwerkingsverantwoordelijke het er niet mee eens is dat persoonsgegevens incorrect zijn, het feit vast te leggen dat de betrokkene zijn persoonsgegevens als incorrect beschouwt) d. Verwerkingsverantwoordelijke anderszins in de gelegenheid te stellen om aan zijn verplichtingen onder de AVG of andere Nationale toepasselijke wetgeving op het gebied van verwerking van persoonsgegevens uit te oefenen, een en ander voor zover Verantwoordelijke (Verwerkingsverantwoordelijke) dit niet zelf kan. En onder de voorwaarden dat de bescherming van de persoonsgegevens van Derden geborgd is alsmede de vertrouwelijkheid van gegevens van Xxxxxx die naar hun aard vertrouwelijk zijn. Van toepassing in geval van bulkopslag: Ten aanzien van de fysieke bulkopslag zoals bedoeld in artikel 2.2 geldt het volgende ten aanzien van het bepaalde in dit artikel 3.8: tegen de overeengekomen uurtarieven en voor zover mogelijk met inachtneming van het bepaalde in artikel 2.2. 3.9 Verwerker zal de persoonsgegevens van Verwerkingsverantwoordelijke (voor zover het digitale opslag betreft) logisch gescheiden verwerken van de persoonsgegevens die hij voor zichzelf of namens derden verwerkt.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) : dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) of Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. ; In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst. Verwerker zal aantoonbaar, passende en doeltreffende technische en organisatorische beveiligingsmaatregelen nemen, die gezien de huidige stand der techniek en de daarmee gemoeide kosten overeenstemmen met de aard van de te verwerken Persoonsgegevens, ter bescherming van de Persoonsgegevens tegen verlies, onbevoegde kennisname, verminking of enige vorm van onrechtmatige verwerking, alsmede om de (tijdige) beschikbaarheid van de gegevens te garanderen. In deze beveiligings- maatregelen zijn de mogelijk in de Overeenkomst reeds bepaalde maatregelen begrepen. De maatregelen omvatten in ieder geval: maatregelen om te waarborgen dat enkel bevoegde Medewerkers toegang hebben tot de Persoonsgegevens voor de doeleinden die zijn uiteengezet; maatregelen waarbij de Verwerker zijn Medewerkers en Sub verwerkers uitsluitend toegang geeft tot Persoonsgegevens via op naam gestelde accounts, waarbij het gebruik van die accounts adequaat gelogd wordt en waarbij de betreffende accounts alleen toegang geven tot die Persoonsgegevens waartoe de toegang voor de betreffende (rechts)persoon noodzakelijk is; maatregelen om de Persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; maatregelen om zwakke plekken te identificeren ten aanzien van de verwerking van Persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Verwerkingsverantwoordelijke; maatregelen om de tijdige beschikbaarheid van de Persoonsgegevens te garanderen; maatregelen om te waarborgen dat Persoonsgegevens logisch gescheiden worden verwerkt van de Persoonsgegevens die hij voor zichzelf of namens derde partijen verwerkt; de overige maatregelen die Partijen zijn overeengekomen zoals vastgelegd in bijlage 2 Verwerker heeft een informatiebeveiligingsbeleid opgesteld en de hierin beschreven maatregelen aantoonbaar geïmplementeerd. Dit beleid wordt met regelmaat getoetst en geactualiseerd. De beveiligingsmaatregelen zijn passend voor en in overeenstemming met de waarde van de te verwerken gegevens. Verwerker zorgt ervoor dat Persoonsgegevens worden verwerkt in een fysiek beveiligde omgeving, met passende bescherming tegen dreigingen van buitenaf. Wanneer medewerkers van de Verwerker toegang op afstand (bijvoorbeeld telewerken via internet) kunnen krijgen tot Persoonsgegevens, is deze toegang afgeschermd met een versleutelde verbinding. Wanneer Persoonsgegevens worden verwerkt op mobiele apparatuur, waaronder tablets, laptops en/of smartphones, dan dienen deze apparaten versleuteld (encrypted) te zijn conform marktstandaarden. Partijen erkennen dat beveiligingseisen voortdurend veranderen en dat een effectieve beveiliging frequente evaluatie en regelmatige verbetering van verouderde beveiligingsmaatregelen vereist. Verwerker zal daarom de maatregelen zoals geïmplementeerd op basis van dit artikel 4 periodiek evalueren en, waar nodig, de maatregelen verbeteren om te blijven voldoen aan de verplichtingen onder dit artikel 4. Het voorgaande laat de instructiebevoegdheid van Verwerkingsverantwoordelijke om zo nodig aanvullende maatregelen te (doen) treffen onverlet.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 0 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. 4.1 Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.(a) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader kaders als gespecificeerd in Bijlage 1de Overeenkomst, alsmede de daarbij behorende bijlagen); of b.(b) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven;. 3.2. In 4.2 Verwerkingsverantwoordelijke garandeert dat de Persoonsgegevens die hij aan Verwerker verstrekt en de verwerkingen daarvan door Verwerker voldoen aan alle toepasselijke wet- en regelgeving op het kader gebied van bescherming van persoonsgegevens (waaronder de AVG). 4.3 Onderdeel van het bepaalde Product Intelligence (geduid in de Overeenkomst), en aldus de aan Verwerker door Verwerkingsverantwoordelijke in dat kader verstrekte opdracht, is het eerste lid anonimiseren van artikel 3 Persoonsgegevens. Deze Persoonsgegevens kunnen, na anonimisering, niet worden herleid tot de Betrokkene(n) en vallen derhalve niet langer onder a) zal de reikwijdte van de AVG. Vanaf het moment dat Verwerkingsverantwoordelijke het Product Intelligence afneemt, is het Verwerker toegestaan om de Persoonsgegevens te anonimiseren en daarna deze geanonimiseerde Persoonsgegevens te gebruiken voor uitsluitend de doeleinden genoemd in Bijlage Annex 1 gespecificeerde (zie het kopje “Doeleinden verwerking (anonimiseren) Intelligence”) en – naar keuze van Verwerker - uitsluitend ten behoeve van het concern waartoe Verwerker behoort (aldus de moeder-, dochter- en zustervennootschappen). De geanonimiseerde gegevens worden niet ter beschikking gesteld aan derde partijen. Voor zover de anonimisering van Persoonsgegevens verwerken wordt beschermd door de AVG en/of enig ander (privacy)recht, verleent Verwerkingsverantwoordelijke hierbij toestemming aan Verwerker de Persoonsgegevens te anonimiseren en vervolgens zowel in het kader van de in die bijlage beschreven aard en doeleinden uitvoering van de verwerkingOvereenkomst, alsmede de in Annex 1 genoemde doeleinden, te verwerken en gebruiken en staat ervoor in – voor zover noodzakelijk – dat ook de Betrokkene hiertoe zijn toestemming verleent. Daarbij dient de Verwerkingsverantwoordelijke de Betrokkene erop te wijzen dat de Betrokkene de door hem/haar verleende toestemming te allen tijde kan intrekken via het zogenoemde digitale “Patiëntenportaal” dan wel door dit schriftelijk of mondeling kenbaar te maken aan Verwerkingsverantwoordelijke. Indien de Betrokkene zijn wens tot het intrekken van de verleende toestemming schriftelijk of mondeling aan Verwerkingsverantwoordelijke kenbaar maakt, dient Verwerkingsverantwoordelijke dit ten spoedigste, maar uiterlijk binnen 48 uur, aan Verwerker door te geven. 3.3. 4.4 Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. 4.5 Onverminderd het bepaalde in het eerste lid van dit artikel 34.1, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. 4.6 Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomstof anderszins tot geheimhouding worden verplicht.

Uitvoering verwerking. 3.1. De door Verwerkingsverantwoordelijke aan Verwerker garandeert dat hij beschikbaar gestelde Persoonsgegevens worden verwerkt ten behoeve van Verwerkingsverantwoordelijke en uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor verwerkt op basis van schriftelijke instructies van Verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke garandeert dat de uitvoering Persoonsgegevens, die door Verwerker ten behoeve van de Overeenkomst Verwerkingsverantwoordelijke worden Verwerkt, juist zijn en dat de Verwerking rechtmatig is en geheel in overeenstemming wordt Verwerkt met de AVG en/of andere (binnen de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven;privacy)wetgeving en dat daarmee geen inbreuk wordt gemaakt op rechten van derden. 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken De in het kader van deze Verwerkersovereenkomst te Verwerken Persoonsgegevens zijn beperkt tot de Persoonsgegevens genoemd in Annex 1. Verwerker zal die bijlage beschreven Persoonsgegevens Verwerken in het kader van deze Verwerkersovereenkomst, in Annex 1 en de Overeenkomst omschreven aard en doeleinden van de verwerkingVerwerking. 3.3. De Verwerking vindt plaats onder de verantwoordelijkheid van Verwerkingsverantwoordelijke. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens Verwerking opvolgen. 3.4. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies Partijen verbinden zich ertoe te allen tijde in strijd zijn overeenstemming te handelen met de toepasselijke wetgeving met betrekking tot AVG en alle aanverwante wet- en regelgeving betreffende de verwerking Verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal Partijen zullen ieder voor zich de Persoonsgegevens aantoonbaardoor hen verrichte Verwerkingen, op behoorlijke alsmede hun daarop gerichte technische en zorgvuldige wijze verwerken en organisatorische beveiligingsmaatregelen, documenteren in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat dit register verstrekkenbijhouden. 3.6. Indien Verwerker zal Verwerkingsverantwoorde bijstaan bij het voldoen aan haar verplichtingen uit de dienstverlening door AVG, waaronder verplichtingen van de Verwerkingsverantwoordelijke ten opzichte van Betrokkenen, een eventuele gegevensbeschermingseffectbeoordeling en een Datalek en ook zal Verwerker – indien op haar een plicht rust die voortvloeit uit de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceertAVG, garandeert Verwerker dat hij niet zoals bedoeld in strijd de artikelen 32 tot en met gezondheidswetgeving zal handelen36 AVG – bijstand verlenen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, streeft ernaar om geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten te Verwerken binnen de Europese Economische Ruimte (“EER”)Ruimte. 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) : dit noodzakelijk is voor de uitvoering van de Overeenkomst Hoofdovereenkomst (binnen de kader als gespecificeerd gespecificeerde omschrijving in Bijlage 1); of b.) of Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, aantoonbaar op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, AVG en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of door derden laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers Xxxxxxxxxxx een geheimhoudingsovereenkomst hebben getekend dan wel garandeert dat Xxxxxxxxxxx geheimhouding zullen betrachten ten aanzien van de verwerking van de Persoonsgegevens. Verwerker zal aantoonbaar passende en geeft doeltreffende technische en organisatorische beveiligingsmaatregelen nemen die, gezien de huidige stand der techniek en de daarmee gemoeide kosten, afgestemd zijn op de (in Bijlage 1 gespecificeerde) aard van de te verwerken Persoonsgegevens, ter bescherming van de Persoonsgegevens tegen verlies, onbevoegde kennisname, verminking of enige vorm van onrechtmatige verwerking, alsmede om de (tijdige) beschikbaarheid en integriteit van de gegevens te garanderen. In deze beveiligingsmaatregelen zijn de mogelijk in de Hoofdovereenkomst reeds beschreven maatregelen begrepen. Verwerker beschikt over ISO 27001-certificering, vergelijkbare certificering of werkt aantoonbaar in overeenstemming met ISO 27001 en heeft een passend, geschreven beveiligingsbeleid geïmplementeerd voor de verwerking van Persoonsgegevens, waarin in ieder geval de in het eerste lid van dit artikel 4 genoemde maatregelen uiteengezet zijn. Verwerker beschikt over NEN 7510-certificering of werkt aantoonbaar in overeenstemming met NEN 7510 en heeft een passend, geschreven beveiligingsbeleid geïmplementeerd voor de verwerking van Persoonsgegevens. Verwerker voldoet aantoonbaar (indien van toepassing) aan de veiligheidseisen voor netwerkverbindingen zoals beschreven in NEN 7512 en aan de eisen ten aanzien van logging zoals beschreven in NEN 7513. Verwerker zal op eerste verzoek van Verwerkingsverantwoordelijke een (kopie van een) door een onafhankelijke en ter zake deskundige derde afgegeven geldig certificaat overleggen alsmede de verklaring van toepasselijkheid, indien deze daarover beschikt, of een Third Party Memorandum (TPM), waaruit volgt dat Verwerker de verplichtingen uit dit artikel naleeft. Xxxxxxxxx laat zelf regelmatig interne en/of externe audits uitvoeren met betrekking tot de naleving van bovengenoemde normen. Verwerkingsverantwoordelijke heeft het recht toe te (laten) zien op verzoek inzage de naleving van de hiervoor onder artikel 4.1 tot en met 4.3 genoemde maatregelen naar aanleiding van (vermoeden van) informatiebeveiligings- of privacy-Inbreuken. Verwerker en Verwerkingsverantwoordelijke bepalen in deze geheimhoudingsovereenkomstgezamenlijk wanneer en door welke onafhankelijke derde partij de controle wordt uitgevoerd. Verwerker zal eventuele door Verwerkingsverantwoordelijke naar aanleiding van een dergelijk onderzoek in redelijkheid gegeven instructies tot aanpassing van het beveiligingsbeleid binnen een redelijke termijn opvolgen. Partijen erkennen dat beveiligingseisen voortdurend veranderen en dat een effectieve beveiliging frequente evaluatie en regelmatige verbetering van verouderde beveiligingsmaatregelen vereist. Verwerker zal daarom de maatregelen zoals geïmplementeerd op basis van dit artikel 4 periodiek evalueren en, waar nodig, de maatregelen verbeteren om te blijven voldoen aan de verplichtingen onder dit artikel 4. Het voorgaande laat de instructiebevoegdheid van Verwerkingsverantwoordelijke om zo nodig aanvullende maatregelen te (doen) treffen onverlet.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 12.); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 2. gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomstgetekend.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: : a.) dit noodzakelijk is voor de uitvoering hosting van websites van Verantwoordelijke, en bijbehorende online diensten; b.) De opslag van gegevens van Verantwoordelijke ten behoeve van online werkplekken en bijbehorende online diensten, plus die doeleinden die daarmee redelijkerwijs samenhangen of die met nadere instemming worden bepaald; c.) het op vraag van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.Verwerker verlenen van service plus die doeleinden die daarmee redelijkerwijs samenhangen of die met nadere instemming worden bepaald. d.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) a tot en met c zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, AVG en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen.. BeautyFile/PodoFile xxx.xxxxxxxx.xxx/xxxxxxxx xxxxxxxx@xxxxxxxx.xx Telefoon 070 - 777 1000 Xxxxxx xxx xxx Xxxx KvK: BTW: IBAN: 68286511 NL85 7376 081B 01 XX00 XXXX 0000 0000 00 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”)) tenzij daarbij voldaan wordt aan de adequaatheidsbesluiten genoemd in Artikel 45 van de AVG. 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. 3.1 Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens persoonsgegevens zal verwerken voor zover: a.) zover dit noodzakelijk is voor de uitvoering levering van de Overeenkomst (binnen prestaties onder de kader in artikel 1 van deze Verwerkersovereenkomst genoemde Hoofdovereenkomst. Overige verwerkingen zullen uitsluitend worden uitgevoerd in expliciete opdracht van Verwerkingsverantwoordelijke of als gespecificeerd daartoe een wettelijke verplichting bestaat na informeren van Verwerkingsverantwoordelijke. Informeren van Verwerkingsverantwoordelijke blijft achterwege waar dat in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2strijd zou zijn met de wet. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) geen geval zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerkingvoor eigen doeleinden. 3.3. 3.2 Verwerker zal alle redelijke instructies verzoeken van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevenspersoonsgegevens. 3.43.3 Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG. Verwerker is gehouden om, met inachtneming van hetgeen in deze Verwerkersovereenkomst is bepaald, die doeleinden en de bescherming van de persoonsgegevens met maximale zorg na te streven. 3.4 Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”) zonder een passend beschermingsniveau. Verwerker stelt de in Annex 3 genoemde medewerker van Verwerkingsverantwoordelijke onmiddellijk schriftelijk op de hoogte van alle (geplande) permanente of tijdelijke doorgiftes van persoonsgegevens naar een land buiten de Europese Economische Ruimte. Verwerker zal pas uitvoering geven aan dergelijke (geplande) doorgiftes na schriftelijke toestemming van Verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke heeft te allen tijde het recht om aanvullende voorwaarden te verbinden aan haar toestemming voor een dergelijke verwerking. 3.5 Verwerker zal Verwerkingsverantwoordelijke informeren over iedere wijziging van de locatie waar de gegevens van Verwerkingsverantwoordelijke worden opgeslagen, evenals over de identiteit van eventuele derde partijen die hierbij betrokken zijn. 3.6 Verwerker garandeert dat hij alle persoonsgegevens als strikt vertrouwelijk zal behandelen en dat hij al zijn werknemers, vertegenwoordigers en/of onderaannemers die betrokken zijn bij de verwerking van de Persoonsgegevens van de vertrouwelijke aard van dergelijke (persoons)gegevens op de hoogte zal stellen. Verwerker zal waarborgen dat betrokken personen en partijen een geheimhoudingsovereenkomst hebben getekend. Het is Verwerker niet toegestaan de persoonsgegevens aan enige derde te tonen, te verstrekken of anderszins ter beschikking te stellen, tenzij dit noodzakelijk of toegestaan is ingevolge de opdracht van de in lid 1 genoemde Hoofdovereenkomst of in het geval hiervoor expliciete voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke is verkregen. 3.7 Verwerker zal, binnen zijn invloedsfeer, zijn volledige en tijdige medewerking verlenen aan Verwerkingsverantwoordelijke om (i) na goedkeuring van en in opdracht van Verwerkingsverantwoordelijke betrokkenen toegang te laten krijgen tot de hun betreffende persoonsgegevens, (ii) persoonsgegevens te verwijderen of te corrigeren, (iii) aan te tonen dat persoonsgegevens verwijderd of gecorrigeerd zijn indien zij incorrect zijn (of, ingeval Verwerkingsverantwoordelijke het er niet mee eens is dat persoonsgegevens incorrect zijn, het feit vast te leggen dat de betrokkene zijn persoonsgegevens als incorrect beschouwt) en (iv) Verwerkingsverantwoordelijke anderszins in de gelegenheid te stellen om aan zijn verplichtingen onder andere toepasselijke wetgeving op het gebied van verwerking van persoonsgegevens te voldoen. 3.8 Verwerker zal de persoonsgegevens van Verwerkingsverantwoordelijke logisch gescheiden verwerken van de persoonsgegevens die hij voor zichzelf of namens derde partijen verwerkt. 3.9 Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. 3.10 Voor zover de (verzameling van) Persoonsgegevens wordt beschermd door enig intellectueel eigendomsrecht, verleent Verwerkingsverantwoordelijke toestemming aan Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en te gebruiken in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond het kader van de AVG, voor zover nog uitvoering van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekkendeze Verwerkersovereenkomst. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. 3.1 Opdrachtnemer zal optreden als Verwerker en Opdrachtgever als Verwerkingsverantwoordelijke in de zin van de AVG. 3.2 Opdrachtnemer garandeert dat hij zij ten behoeve van Verwerkingsverantwoordelijke Opdrachtgever uitsluitend Persoonsgegevens persoonsgegevens zal verwerken voor zover: a.) zover dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader Opdrachten. Overige verwerkingen zullen uitsluitend worden uitgevoerd in expliciete opdracht van Opdrachtgever of als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2een wettelijke verplichting bestaat na informeren van en onder verantwoordelijkheid van Opdrachtgever. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) geen geval zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens Opdrachtnemer persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerkingvoor eigen doeleinden. 3.3. Verwerker 3.3 Opdrachtnemer zal alle redelijke verzoeken en/of instructies van Verwerkingsverantwoordelijke Opdrachtgever in verband met de verwerking van de Persoonsgegevens persoonsgegevens opvolgen. Verwerker Opdrachtnemer stelt Verwerkingsverantwoordelijke Opdrachtgever onmiddellijk op de hoogte indien naar zijn haar oordeel verzoeken of instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevenspersoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker 3.4 Opdrachtnemer zal de Persoonsgegevens aantoonbaar, persoonsgegevens op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem haar als Verwerker rustende verplichtingen op grond van de AVG en overige wetgeving rustende verplichtingen verwerken. Indien er sprake is van het verwerken van bijzondere persoonsgegevens volgens artikel 9 AVG, voor zover nog zal Opdrachtnemer zich tevens houden aan de bepalingen van boek 7, titel 7, afdeling 5 Burgerlijk Wetboek, indien deze van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke zijn op eerste verzoek een kopie van dat register verstrekkenOpdrachtgever. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker 3.5 Opdrachtnemer zal, tenzij hij zij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van VerwerkingsverantwoordelijkeOpdrachtgever, geen Persoonsgegevens persoonsgegevens verwerken of laten verwerken door hemzelf haarzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). Opdrachtnemer stelt de in Annex 4 genoemde contactpersoon van Opdrachtgever onmiddellijk schriftelijk op de hoogte van alle (geplande) permanente of tijdelijke doorgiftes van persoonsgegevens naar een land buiten de Europese Economische Ruimte en zal pas uitvoering geven aan dergelijke geplande doorgiftes na schriftelijke toestemming van Opdrachtgever. Opdrachtgever heeft te allen tijde het recht om aanvullende voorwaarden te verbinden aan haar toestemming voor een dergelijke verwerking. 3.83.6 Opdat Opdrachtnemer de producten en diensten op grond van de Opdrachten kan leveren, kunnen, in afwijking van het bepaalde in artikel 3.5, persoonsgegevens worden verwerkt door een sub-verwerker van Opdrachtnemer buiten de EER, namelijk een entiteit gevestigd in de Xxxxxxxxxxxxxx Xxxxx. Verwerker waarborgt Aan deze entiteit worden geen persoonsgegevens verstrekt anders dan de gebitsafdrukken van patiënten. Omdat deze verwerking valt onder de EER-beperkingen op doorgifte van persoonsgegevens, zal Opdrachtnemer een verwerkers overeenkomst sluiten met deze entiteit en wordt de ongewijzigde door de EU goedgekeurde versie van een modelcontract (zonder facultatieve clausules) door verwijzing opgenomen in dit document en zijn deze bedingen op de verwerking van toepassing. Door ondertekening van deze Verwerkers overeenkomst verleent Opdrachtgever toestemming aan Opdrachtnemer om de gebitsafdrukken van patiënten aan de genoemde entiteit te verstrekken. 3.7 Onverminderd enige andere contractuele geheimhoudingsverplichting die op Opdrachtnemer rust, garandeert Opdrachtnemer dat zij alle persoonsgegevens als strikt vertrouwelijk zal behandelen en dat zij al haar werknemers, vertegenwoordigers en/of onderaannemers (“sub-verwerkers”) die betrokken Medewerkers zijn bij de verwerking van persoonsgegevens, ook van deze geheimhoudingsverplichting op de hoogte zal stellen. 3.8 Opdrachtnemer zal, binnen haar invloedsfeer, haar volledige, tijdige en kosteloze medewerking verlenen aan Opdrachtgever om: (i) na goedkeuring van en in opdracht van Opdrachtgever betrokkenen toegang te laten krijgen tot de hen betreffende persoonsgegevens; (ii) persoonsgegevens te verwijderen of te corrigeren; (iii) aan te tonen dat persoonsgegevens verwijderd of gecorrigeerd zijn indien zij incorrect zijn (of, ingeval Opdrachtgever het er niet mee eens is dat persoonsgegevens incorrect zijn, het feit vast te leggen dat de betrokkene zijn persoonsgegevens als incorrect beschouwt); (iv) de betreffende persoonsgegevens aan Opdrachtgever dan wel aan een geheimhoudingsovereenkomst hebben getekend door de Opdrachtgever aangewezen derde te verstrekken in een gestructureerde, gangbare en geeft Verwerkingsverantwoordelijke machine leesbare vorm en; (v) Opdrachtgever anderszins in de gelegenheid te stellen om aan haar verplichtingen onder de AVG of andere toepasselijke wetgeving op verzoek inzage in deze geheimhoudingsovereenkomsthet gebied van verwerking van persoonsgegevens te voldoen.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaarPersoonsgegevens, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers die toegang hebben tot de Persoonsgegevens een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk zonder onredelijke vertraging op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens, onverlet de verantwoordelijkheid van Verwerkingsverantwoordelijke om zorg te dragen dat diens instructies in overeenstemming met de toepasselijke wetgeving zijn. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 lid 2 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij conform de specifieke wetgeving op het gebied van de gezondheidszorg handelt waar deze voorgaat op overige relevante wetgeving, waaronder in ieder geval begrepen de AVG, mits de instructies van Verwerkingsverantwoordelijke niet in strijd zijn met gezondheidswetgeving zal handelenvoornoemde zorg-specifieke wetgeving. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”).. Een onderdeel van het bedrijf van Verwerker, Caresharing Inc. is gevestigd in de Filippijnen. De medewerkers van Caresharing Inc. hebben toegang tot persoonsgegevens, maar de persoonsgegevens worden enkel opgeslagen binnen de EER. Caresharing Inc. waarborgt een passend beschermingsniveau met betrekking tot de persoonsgegevens. Door ondertekening van deze Verwerkersovereenkomst stemt Verwerkingsverantwoordelijke expliciet in met de inschakeling van Caresharing Inc. 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst geheimhoudings- overeenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: : a.) dit noodzakelijk is voor de uitvoering hosting van websites van Verantwoordelijke, en bijbehorende online diensten; b.) De opslag van gegevens van Verantwoordelijke ten behoeve van online werkplekken en bijbehorende online diensten, plus die doeleinden die daarmee redelijkerwijs samenhangen of die met nadere instemming worden bepaald; c.) het op vraag van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.Verwerker verlenen van service plus die doeleinden die daarmee redelijkerwijs samenhangen of die met nadere instemming worden bepaald. d.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) a tot en met c zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, AVG en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen.. 55329373 KVK Ondernemingsweg 66t ADRES xxx.xxxx.xx WEB NL 8060.89.660.B01 BTW 0000 XX Xxxxx x/x Xxxx xxxxxxxx@xxxx.xx DIR XX00XXXX0000000000 BANK xxxxxxxx@xxxx.xx HELP 000-0000000 TEL 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”)) tenzij daarbij voldaan wordt aan de adequaatheidsbesluiten genoemd in Artikel 45 van de AVG. 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) zover dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) Overeenkomst, of Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven;. 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.43.3. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.53.4. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.63.5. Indien de dienstverlening door Het is Verwerker de verwerking van gezondheidsgegevens of andere bijzondere toegestaan Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens te verwerken of te laten verwerken door hemzelf of door derden in landen buiten binnen de Europese Economische Ruimte (“EER”)Unie. 3.83.6. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomstgetekend.

Uitvoering verwerking. 3.1. 3.1 Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens persoonsgegevens zal verwerken voor zover: a.) zover dit noodzakelijk is voor de uitvoering levering van de Overeenkomst (binnen prestaties onder de kader in artikel 1 van deze Verwerkersovereenkomst genoemde Hoofdovereenkomst. Overige verwerkingen zullen uitsluitend worden uitgevoerd in expliciete opdracht van Verwerkingsverantwoordelijke of als gespecificeerd daartoe een wettelijke verplichting bestaat na informeren van Verwerkingsverantwoordelijke. Informeren van Verwerkingsverantwoordelijke blijft achterwege waar dat in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2strijd zou zijn met de wet. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) geen geval zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerkingvoor eigen doeleinden. 3.3. 3.2 Verwerker zal alle redelijke instructies verzoeken van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevenspersoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. 3.3 Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG AVG. Verwerker is gehouden om, met inachtneming van hetgeen in deze Verwerkersovereenkomst is bepaald, die doeleinden en Verwerkingsverantwoordelijke op eerste verzoek een kopie de bescherming van dat register verstrekkende persoonsgegevens met maximale zorg na te streven. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. 3.4 Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”)) zonder een passend beschermingsniveau. Verwerker stelt de in Annex 3 genoemde medewerker van Verwerkingsverantwoordelijke onmiddellijk schriftelijk op de hoogte van alle (geplande) permanente of tijdelijke doorgiftes van persoonsgegevens naar een land buiten de Europese Economische Ruimte. Verwerker zal pas uitvoering geven aan dergelijke (geplande) doorgiftes na schriftelijke toestemming van Verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke heeft te allen tijde het recht om aanvullende voorwaarden te verbinden aan haar toestemming voor een dergelijke verwerking. 3.83.5 Verwerker zal Verwerkingsverantwoordelijke informeren over iedere wijziging van de locatie waar de gegevens van Verwerkingsverantwoordelijke worden opgeslagen, evenals over de identiteit van eventuele derde partijen die hierbij betrokken zijn. 3.6 Verwerker garandeert dat hij alle persoonsgegevens als strikt vertrouwelijk zal behandelen en dat hij al zijn werknemers, vertegenwoordigers en/of onderaannemers die betrokken zijn bij de verwerking van de Persoonsgegevens van de vertrouwelijke aard van dergelijke (persoons)gegevens op de hoogte zal stellen. Verwerker waarborgt zal waarborgen dat betrokken Medewerkers personen en partijen een geheimhoudingsovereenkomst hebben getekend getekend. Het is Verwerker niet toegestaan de persoonsgegevens aan enige derde te tonen, te verstrekken of anderszins ter beschikking te stellen, tenzij dit noodzakelijk of toegestaan is ingevolge de opdracht van de in lid 1 genoemde Hoofdovereenkomst of in het geval hiervoor expliciete voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke is verkregen. 3.7 Verwerker zal, binnen zijn invloedsfeer, zijn volledige en geeft tijdige medewerking verlenen aan Verwerkingsverantwoordelijke op verzoek inzage om (i) na goedkeuring van en in deze geheimhoudingsovereenkomst.opdracht van Verwerkingsverantwoordelijke betrokkenen toegang te laten krijgen tot de hun betreffende persoonsgegevens, (ii) persoonsgegevens te verwijderen of te corrigeren,

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.2. De Verwerkingsverantwoordelijke waarborgt dat de te verwerken Persoonsgegevens zorgvuldig zijn ingevoerd, actueel en juist zijn. 3.3. Verwerker zal alle redelijke uitsluitend Persoonsgegevens verwerken op basis van schriftelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving Verwerkingsverantwoordelijke, onder meer met betrekking tot doorgiften van persoonsgegevens aan een derde land of een internationale organisatie, tenzij een op de verwerking Verwerker van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke toepassing zijnde Unierechtelijke of bestuurlijke bevelen) lidstaatrechtelijke bepaling hem tot een verwerking verplicht. In ; in dat geval stelt de Verwerker de Verwerkingsverantwoordelijke, voorafgaand aan de verwerking Verwerkingsverantwoordelijke verwerking, in kennis van de beoogde verwerking en het dat wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.53.4. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekkenlid 2 AVG. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.73.5. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.83.6. Verwerker waarborgt dat betrokken Medewerkers de tot het verwerken van de Persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomstpassende wettelijke verplichting van vertrouwelijkheid zijn gebonden.

Uitvoering verwerking. 3.1. Verwerker 3.1 De verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke de opdrachtgever uitsluitend Persoonsgegevens persoonsgegevens zal verwerken voor zover: a.) zover dit noodzakelijk is voor de uitvoering levering van de Overeenkomst (binnen diensten onder de kader hoofdovereenkomst. Overige verwerkingen zullen uitsluitend worden uitgevoerd in expliciete schriftelijke opdracht van de opdrachtgever of, als gespecificeerd daartoe een wettelijke verplichting bestaat, uitsluitend na informeren van de opdrachtgever. Informeren van de opdrachtgever blijft achterwege waar dat in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2strijd zou zijn met de wet. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) geen geval zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerker persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerkingvoor eigen doeleinden. 3.3. Verwerker 3.2 De verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke de opdrachtgever in verband met de verwerking van de Persoonsgegevens persoonsgegevens opvolgen. Verwerker De verwerker stelt Verwerkingsverantwoordelijke de opdrachtgever onmiddellijk op de hoogte indien wanneer naar zijn oordeel instructies van de opdrachtgever in strijd zijn met de toepasselijke wetgeving met betrekking tot over de verwerking van Persoonsgegevenspersoonsgegevens. 3.43.3 De verwerker zal bij de verwerking van persoonsgegevens handelen in overeenstemming met deze verwerkersovereenkomst, de AVG en andere wet- en regelgeving, waaronder ook de gepubliceerde richtlijnen van de wetgever en de Privacycommissie over de beveiliging van persoonsgegevens 3.4 De verwerker garandeert dat hij alle persoonsgegevens als strikt vertrouwelijk zal behandelen en dat hij al zijn werknemers, vertegenwoordigers en/of onderaannemers die betrokken zijn bij de verwerking van de persoonsgegevens van de vertrouwelijke aard van dergelijke (persoons)gegevens op de hoogte zal stellen. Onverminderd het bepaalde De verwerker zal waarborgen dat betrokken personen en partijen een geheimhoudingsovereenkomst hebben getekend en zal de opdrachtgever op verzoek inzage geven in deze geheimhoudingsovereenkomst. 3.5 Het is de verwerker niet toegestaan de persoonsgegevens aan enige derde te tonen, te verstrekken of anderszins ter beschikking te stellen, tenzij dit noodzakelijk of toegestaan is in het eerste lid kader van dit artikel 3de hoofdovereenkomst, in het geval hiervoor expliciete voorafgaande schriftelijke toestemming van de opdrachtgever is het Verwerker toegestaan om Persoonsgegevens te verwerken verkregen, of indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot toezichthouder, op grond van een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, de verwerker daartoe verplicht. De verwerker zal de opdrachtgever op de hoogte stellen van ieder verzoek van de toezichthouder tot kennisneming, verstrekking of andere vorm van opvragen en mededeling van de persoonsgegevens, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.53.6 De verwerker zal steeds volledige en tijdige medewerking verlenen aan de opdrachtgever bij de uitoefening van dienst plicht om verzoeken van betrokkenen, inzake de uitoefening van de in de AVG neergelegde rechten, te beantwoorden. Verwerker De verwerker zal onder meer zijn volledige en tijdige medewerking verlenen aan de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken opdrachtgever om: na goedkeuring van en in overeenstemming met opdracht van Opdrachtgever betrokkenen toegang te laten krijgen tot de op hem hun betreffende persoonsgegevens, persoonsgegevens te verwijderen of te corrigeren, aan te tonen dat persoonsgegevens verwijderd of gecorrigeerd zijn indien zij incorrect zijn (of, ingeval de opdrachtgever het er niet mee eens is dat persoonsgegevens incorrect zijn, het feit vast te leggen dat de betrokkene zijn persoonsgegevens als Verwerker rustende verplichtingen op grond van incorrect beschouwt), inzage te krijgen in de AVG, voor zover nog van toepassing door de Wbp, verwerker bijgehouden register en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen documentatie als bedoeld in artikel 30 AVG, en de opdrachtgever anderszins in de gelegenheid te stellen om aan zijn verplichtingen onder de AVG en Verwerkingsverantwoordelijke of andere toepasselijke wetgeving op eerste verzoek een kopie het gebied van dat register verstrekkenverwerking van persoonsgegevens te voldoen. 3.6. Indien 3.7 De verwerker zal de dienstverlening door Verwerker persoonsgegevens van de verwerking opdrachtgever logisch gescheiden verwerken van gezondheidsgegevens de persoonsgegevens die hij voor zichzelf of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelennamens derde partijen verwerkt. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. 2.1 Verwerker garandeert dat hij ten behoeve verwerkt de Persoonsgegevens onder de verantwoordelijkheid van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor Verwerkingsverantwoorde- lijke op basis van diens schriftelijke instructies (waar- onder mede begrepen de uitvoering van opdracht zoals verwoord in de Overeenkomst (binnen en de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving deze Bijlage 1) met betrekking tot de verwerking van PersoonsgegevensPersoons- gegevens, behoudens een afwijkende wettelijke ver- plichting. 3.42.2 Een en ander laat onverlet de verantwoordelijkheid van Verwerkingsverantwoordelijke om zorg te dra- gen dat diens instructies in overeenstemming met de toepasselijke wetgeving zijn. Onverminderd het bepaalde in het eerste lid Voor zover deze instructies de verplichtingen van dit artikel 3Verwerker onder de Overeenkomst (inclusief Bijlage 1) overstijgen en kosten met zich meebrengen voor Verwerker alsmede consequenties kunnen hebben voor een overeenge- komen tijdsplanning, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt ontstaat de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken verplichting tot het strikt noodzakelijkeuitvoeren van dergelijke instructies pas nadat Partijen hierover schriftelijk overeenstemming hebben bereikt. 3.5. 2.3 Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken zoals nader gespe- cificeerd in de Overeenkomst en deze Bijlage 1 con- form de Toepasselijke Wet. 2.4 Verwerkingsverantwoordelijke staat er jegens Ver- werker voor in overeenstemming dat de inhoud, het gebruik door of namens Verwerkingsverantwoordelijke en de op- gedragen verwerking niet onrechtmatig is en geen inbreuk maakt op rechten van betrokkenen alsmede dat de Persoonsgegevens zijn verkregen op een wijze die overeenstemt met de op hem als geldende wettelijke voorschriften, in het bijzonder die voortvloeien uit de Toepasselijke Wet. 2.5 Verwerker rustende verplichtingen zal de Persoonsgegevens niet langer bewaren dan nodig is voor de nakoming van de ver- plichtingen op grond van de AVGOvereenkomst. 2.6 Verwerker zal, indien dit redelijkerwijs binnen zijn invloedsfeer ligt en rekening houdende met de aard van de Verwerking, door middel van passende tech- nische en organisatorische maatregelen, voor zover nog mogelijk, haar bijstand verlenen aan de Verwerkings- verantwoordelijke bij het vervullen van toepassing diens wettelij- ke plichten op grond van de WbpToepasselijke Wet, zoals – waar relevant – het uitvoeren van een gegevens- beschermingseffectbeoordeling (artikel 35 AVG) en overige wet- en regelgevingvoldoen aan de rechten van betrokkenen onder de Toepasselijke Wet. Verwerker zal heeft het recht de re- delijke kosten die hiermee gemoeid zijn in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekkenrekening te brengen bij Verwerkingsverantwoordelijke. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens persoonsgegevens zal verwerken voor zover: a.) : dit noodzakelijk is voor de uitvoering van de Overeenkomst Hoofdovereenkomst (binnen de kader als gespecificeerd gespecificeerde omschrijving in Bijlage 1); of b.) of Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. ; Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4persoonsgegevens. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, AVG en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend dan wel garandeert dat Xxxxxxxxxxx geheimhouding zullen betrachten ten aanzien van de verwerking van de persoonsgegevens. Verwerker zal aantoonbaar, passende en geeft doeltreffende technische en organisatorische beveiligingsmaatregelen nemen, die gezien de huidige stand der techniek en de daarmee gemoeide kosten overeenstemmen met de (in 0 gespecificeerde) aard van de te verwerken persoonsgegevens, ter bescherming van de persoonsgegevens tegen verlies, onbevoegde kennisname, verminking of enige vorm van onrechtmatige verwerking, alsmede om de (tijdige) beschikbaarheid en integriteit van de gegevens te garanderen. In deze beveiligings- maatregelen zijn de mogelijk in de Hoofdovereenkomst reeds bepaalde maatregelen begrepen. Verwerker beschikt over een ISO27001 certificering, een vergelijkbare certificering of werkt aantoonbaar in overeenstemming met ISO27001 en heeft een passend, geschreven beveiligingsbeleid geïmplementeerd voor de verwerking van persoonsgegevens, waarin in ieder geval de in het eerste lid van dit artikel 4 genoemde maatregelen uiteengezet zijn. Verwerker beschikt over een NEN7510-certificering of werkt aantoonbaar in overeenstemming met NEN7510 en heeft een passend, geschreven beveiligingsbeleid geïmplementeerd voor de verwerking van persoonsgegevens. Daarbij voldoet Verwerker aantoonbaar (indien van toepassing) aan de veiligheidseisen voor netwerkverbindingen zoals beschreven in NEN7512 en aan de eisen ten aanzien van logging zoals beschreven in NEN7513. Verwerker zal op eerste verzoek van Verwerkingsverantwoordelijke een (kopie van een) door een onafhankelijke en ter zake deskundige derde afgegeven geldig certificaat overleggen alsmede de verklaring van toepasselijkheid, indien deze daarover beschikt, of een Third Party Memorandum (TPM), waaruit volgt dat Verwerker de verplichtingen uit dit artikel naleeft. Xxxxxxxxx laat zelf regelmatig interne en/of externe audits uitvoeren met betrekking tot de naleving van bovengenoemde normen. Verwerkingsverantwoordelijke heeft het recht toe te (laten) zien op verzoek inzage de naleving van de hiervoor onder artikel 4.1 tot en met 4.3 genoemde maatregelen indien Verwerkingsverantwoordelijke daarom vraagt naar aanleiding van (vermoeden van) informatie- of privacy-inbreuken. Verwerker en Verwerkingsverantwoordelijke bepalen in deze geheimhoudingsovereenkomstgezamenlijk overleg het tijdstip waarop en de onafhankelijke derde partij die de controle uitvoert. Verwerker zal eventuele door Verwerkingsverantwoordelijke naar aanleiding van een dergelijk onderzoek in redelijkheid gegeven instructies tot aanpassing van het beveiligingsbeleid binnen een redelijke termijn opvolgen. Partijen erkennen dat beveiligingseisen voortdurend veranderen en dat een effectieve beveiliging frequente evaluatie en regelmatige verbetering van verouderde beveiligingsmaatregelen vereist. Verwerker zal daarom de maatregelen zoals geïmplementeerd op basis van dit artikel 4 periodiek evalueren en, waar nodig, de maatregelen verbeteren om te blijven voldoen aan de verplichtingen onder dit artikel 4. Het voorgaande laat de instructiebevoegdheid van Verwerkingsverantwoordelijke om zo nodig aanvullende maatregelen te (doen) treffen onverlet.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.23.8. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.12.1 Verwerker zal de Persoonsgegevens alleen verwerken op basis van schriftelijke instructies van Verwerkingsverantwoor- delijke (waaronder mede begrepen de opdracht zoals verwoord in de Overeenkomst) of als daartoe voor Verwerker een wettelijke verplichting bestaat (inclusief verwerking noodzakelijk is uit hoofde van een wettelijke verplichting, een bevoegd gegeven rechterlijk bevel, een door het bevoegd gezag gegeven last, een bevoegd gegeven aanwijzing of rechtmatig verzoek van de relevante toezichthouder, zoals de Autoriteit Persoonsgegevens). Verwerker garandeert dat hij ten behoeve Een en ander onverlet de verantwoordelijkheid van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel om zorg te dragen dat diens instructies in strijd zijn overeenstemming met de toepasselijke wetgeving zijn. Voor zover deze instructies extra werkzaamheden (en kosten) met betrekking tot de verwerking van Persoonsgegevenszich brengen voor Verwerker alsmede consequenties kunnen hebben voor een overeengekomen tijdsplanning, eerst nadat Partijen hierover overeenstemming hebben bereikt. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. 2.2 Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken zoals nader gespecificeerd in de Overeenkomst en deze Verwerkers- overeenkomst conform de Toepasselijke Wet. De Verwerking heeft betrekking op de door Verwerkingsverantwoordelijke gestelde en gespecificeerde verwerkingsdoel(en), de categorieën Persoonsgegevens en betrokkenen en de door Verwerker gespecificeerde verwerkingshandelingen en de daarbij betrokken categorieën medewerkers, zoals opgenomen in overeenstemming Bijlage A bij deze Verwerkersovereenkomst. 2.3 Verwerkingsverantwoordelijke is verantwoordelijk voor het juist en volledig aanleveren van de Persoonsgegevens. Verwerkingsverantwoordelijke is tevens gehouden verwerkte Persoonsgegevens op juistheid en volledigheid te controleren. 2.4 Verwerkingsverantwoordelijke staat er jegens Verwerker voor in dat de opgedragen verwerking niet onrechtmatig is en geen inbreuk maakt op rechten van betrokkenen alsmede dat de Persoonsgegevens zijn verkregen op een wijze die overeenstemt met de op hem als Verwerker rustende verplichtingen op grond van geldende wettelijke voorschriften, in het bijzonder die voortvloeien uit de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekkenToepasselijke Wet. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. 2.5 Verwerker zal, tenzij dit noodzakelijk voortvloeit uit de Overeenkomst, hiertoe een wettelijke verplichting bestaat dan wel hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, en voldaan wordt aan de toepasselijke wettelijke vereisten, geen Persoonsgegevens verwerken opslaan in of laten verwerken door hemzelf of door derden in doorgeven aan landen buiten de Europese Economische Ruimte (“EER”)Ruimte. Verwerker zal Verwerkingsverantwoordelijke op diens eerste verzoek informeren over de plaats(en) van opslag. 3.82.6 Verwerker zal, indien dit redelijkerwijs binnen zijn invloedsfeer ligt en rekening houdende met de aard van de Verwerking, door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, haar bijstand verlenen aan de Verwerkingsverantwoordelijke bij het vervullen van diens wettelijke plichten op grond van de Toepasselijke Wet, meer in het bijzonder de rechten van betrokkenen, zoals het (i) betrokkenen een afschrift van of anderszins inzicht te laten verkrijgen in hun verwerkte Persoonsgegevens waarbij de bescherming van de persoonsgegevens van andere geborgd is alsmede de vertrouwelijkheid van andere gegevens die naar hun aard vertrouwelijk zijn, (ii) persoonsgegevens te verwijderen, te corrigeren, aan te vullen of af te schermen, en/of (iii) aan te tonen dat persoonsgegevens verwijderd of gecorrigeerd zijn, (iv) indien Verwerkingsverantwoordelijke meent dat de persoonsgegevens correct zijn, het feit vast te leggen dat de betrokkene zijn persoonsgegevens als incorrect beschouwt en/of (v) betrokkenen in staat te stellen andere rechten onder de toepasselijke geldende wetgeving ter bescherming persoonsgegevens uit te oefenen. Verwerker waarborgt dat betrokken Medewerkers heeft het recht de redelijke kosten die hiermee gemoeid zijn in rekening te brengen bij Verwerkingsverantwoordelijke. 2.7 Onderhavige Verwerkersovereen- komst maakt integraal onderdeel uit van de Overeenkomst en de bepalingen daarin zijn onverkort van toepassing op deze Verwerkersovereenkomst; waarbij in geval van tegenstrijdigheid tussen een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage bepaling in deze geheimhoudingsovereenkomstVerwerkersovereenkomst en een bepaling in de Overeenkomst, de bepaling in deze Verwerkersovereenkomst prevaleert boven de bepaling in de Overeenkomst.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke verwerkingsverantwoordelijke uitsluitend Persoonsgegevens persoonsgegevens zal verwerken voor zover: a.) : dit noodzakelijk is voor de uitvoering van de Overeenkomst overeenkomst (binnen de kader kaders als gespecificeerd in Bijlage 1hierboven gespecificeerd); of b.) Verwerkingsverantwoordelijke verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het onder a genoemde in het eerste lid van dit artikel 3 onder a) zal Verwerker verwerker uitsluitend de in Bijlage 1 onderdeel B (de hoofdovereenkomst, betrokkenpersoonsgegevens en beveiliging) gespecificeerde Persoonsgegevens persoonsgegevens verwerken in het kader van de in die bijlage daar beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4persoonsgegevens. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, AVG en overige aanverwante wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken onder zijn gezag werkende Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst. Verwerker zal aantoonbaar passende en doeltreffende technische en organisatorische beveiligingsmaatregelen nemen, die gezien de huidige stand der techniek en de daarmee gemoeide kosten overeenstemmen met de (hierboven gespecificeerde) aard, omvang en context van de te verwerken persoonsgegevens. Dit ter bescherming van de persoonsgegevens tegen verlies, onbevoegde kennisname, verminking of enige vorm van onrechtmatige verwerking, alsmede om de (tijdige) beschikbaarheid van de gegevens te garanderen. In deze beveiligingsmaatregelen zijn de mogelijk in de Overeenkomst reeds bepaalde maatregelen begrepen. De maatregelen zijn opgenomen in het hierbovenstaande onderdeel B (de hoofdovereenkomst, betrokkenpersoonsgegevens en beveiliging) en omvatten in ieder geval: maatregelen om te waarborgen dat enkel bevoegde medewerkers toegang hebben tot de persoonsgegevens voor de doeleinden die zijn uiteengezet; maatregelen waarbij de verwerker zijn medewerkers en subverwerkers uitsluitend toegang geeft tot persoonsgegevens via op naam gestelde accounts, waarbij het gebruik van die accounts adequaat gelogd wordt en waarbij de betreffende accounts alleen toegang geven tot die persoonsgegevens waartoe de toegang voor de betreffende (rechts)persoon noodzakelijk is; maatregelen om de persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; maatregelen om zwakke plekken te identificeren ten aanzien van de verwerking van persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Verwerkingsverantwoordelijke; maatregelen om de tijdige beschikbaarheid van de persoonsgegevens te garanderen; maatregelen om te waarborgen dat persoonsgegevens logisch gescheiden worden verwerkt van de persoonsgegevens die hij voor zichzelf of namens derde partijen verwerkt; waar mogelijk pseudonimisering en versleuteling van persoonsgegevens; de overige maatregelen die Partijen zijn overeengekomen zoals vastgelegd in onderdeel B. Verwerkingsverantwoordelijke heeft het recht toe te (laten) zien op de naleving van de in dit artikel 4 genoemde maatregelen door middel van controle, audits etc. Verwerker stelt verwerkingsverantwoordelijke, indien verwerkingsverantwoordelijke daarom verzoekt, hiertoe in elk geval eenmaal per jaar in de gelegenheid op een door partijen in gezamenlijk overleg nader te bepalen tijdstip en verder indien Verwerkingsverantwoordelijke daartoe aanleiding ziet naar aanleiding van (vermoeden van) informatie- of privacy-incidenten, dat te (laten) controleren. Verwerker zal in alle redelijkheid haar medewerking verlenen aan een dergelijk onderzoek. Verwerker zal eventuele door verwerkingsverantwoordelijke naar aanleiding van een dergelijk onderzoek in redelijkheid gegeven instructies tot aanpassing van het beveiligingsbeleid binnen een redelijke termijn opvolgen. Partijen erkennen dat beveiligingseisen voortdurend veranderen en dat een effectieve beveiliging frequente evaluatie en regelmatige verbetering van verouderde beveiligingsmaatregelen vereist. Verwerker zal daarom de maatregelen zoals geïmplementeerd op basis van dit artikel 4 periodiek evalueren en, waar nodig, de maatregelen verbeteren om te blijven voldoen aan de verplichtingen onder dit artikel. Het voorgaande laat de instructiebevoegdheid van Verwerkingsverantwoordelijke om zo nodig aanvullende maatregelen te (doen) treffen onverlet.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. 2.1 Verwerker zal alle redelijke de Persoonsgegevens alleen verwerken op basis van schriftelijke instructies van Verwerkingsverantwoordelijke (waaronder mede begrepen de opdracht zoals verwoord in verband met de Overeenkomst) of als daartoe voor Verwerker een wettelijke verplichting bestaat (inclusief verwerking die noodzakelijk is uit hoofde van een bevoegd gegeven rechterlijk bevel, een door het bevoegd gezag gegeven last, een bevoegd gegeven aanwijzing of rechtmatig verzoek van de Persoonsgegevens opvolgenrelevante toezichthouder, zoals de Autoriteit Persoonsgegevens). Verwerker stelt Één en ander onverlet de verantwoordelijkheid van Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel om zorg te dragen dat diens instructies in strijd zijn overeenstemming met de toepasselijke wetgeving zijn. Voor zover deze instructies extra werkzaamheden (en kosten) met betrekking tot de verwerking van Persoonsgegevenszich brengen voor Verwerker alsmede consequenties kunnen hebben voor een overeengekomen tijdsplanning, dienen Partijen hierover eerst overeenstemming te hebben bereikt. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. 2.2 Verwerker zal de Persoonsgegevens aantoonbaar, conform de Toepasselijke Wet op behoorlijke en zorgvuldige wijze verwerken zoals nader gespecificeerd in de Overeenkomst en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond deze Verwerkersvoorwaarden. 2.3 Indien en voor zover Verwerkingsverantwoordelijke gebruik maakt van Maxlead Diensten, zijn ten aanzien van de AVG, voor zover nog verwerkingen die hiervoor plaatsvinden van toepassing de Wbpdoor Verwerkingsverantwoordelijke gestelde en gespecificeerde verwerkingsdoel(en), de categorieën Persoonsgegevens en overige wet- betrokkenen en regelgevingde door Verwerker gespecificeerde verwerkingshandelingen en de daarbij betrokken categorieën medewerkers, zoals opgenomen in Appendix A onderaan deze Verwerkersvoorwaarden. 2.4 Indien en voor zover Verwerkingsverantwoordelijke gebruik maakt van Google 360, zijn ten aanzien van de verwerkingen die hiervoor plaatsvinden van toepassing de door Verwerkingsverantwoordelijke gestelde en gespecificeerde verwerkingsdoel(en), de categorieën Persoonsgegevens en betrokkenen en de door Verwerker gespecificeerde verwerkingshandelingen en de daarbij betrokken categorieën medewerkers, zoals opgenomen in Appendix B onderaan deze Verwerkersvoorwaarden. 2.5 Verwerkingsverantwoordelijke is verantwoordelijk voor het juist en volledig aanleveren van de Persoonsgegevens. Verwerkingsverantwoordelijke is tevens gehouden verwerkte Persoonsgegevens op juistheid en volledigheid te controleren. 2.6 Verwerkingsverantwoordelijke staat er jegens Verwerker zal voor in dat kader ten minste de opgedragen verwerking niet onrechtmatig is en geen inbreuk maakt op rechten van betrokkenen alsmede dat de Persoonsgegevens zijn verkregen op een register van verwerkingen aanleggen als bedoeld wijze die overeenstemt met de geldende wettelijke voorschriften, in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekkenhet bijzonder die voortvloeien uit de Toepasselijke Wet. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. 2.7 Verwerker zal, tenzij dit noodzakelijk voortvloeit uit de Overeenkomst dan wel hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, en voldaan wordt aan de toepasselijke wettelijke vereisten, geen Persoonsgegevens verwerken opslaan in of laten verwerken door hemzelf of door derden in doorgeven aan landen buiten de Europese Economische Ruimte (“EER”)Ruimte. Verwerker zal Verwerkingsverantwoordelijke op diens eerste verzoek informeren over de plaats(en) van opslag. 3.82.8 Verwerker zal, indien dit redelijkerwijs binnen zijn invloedsfeer ligt en rekening houdende met de aard van de Verwerking, door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, haar bijstand verlenen aan de Verwerkingsverantwoordelijke bij het vervullen van diens wettelijke plichten op grond van de Toepasselijke Wet, meer in het bijzonder de rechten van betrokkenen, zoals het (i) betrokkenen een afschrift van of anderszins inzicht te laten verkrijgen in hun verwerkte Persoonsgegevens waarbij de bescherming van de persoonsgegevens van andere geborgd is alsmede de vertrouwelijkheid van andere gegevens die naar hun aard vertrouwelijk zijn, (ii) persoonsgegevens te verwijderen, te corrigeren, aan te vullen of af te schermen, en/of (iii) aan te tonen dat persoonsgegevens verwijderd of gecorrigeerd zijn, (iv) indien Verwerkingsverantwoordelijke meent dat de persoonsgegevens correct zijn, het feit vast te leggen dat de betrokkene zijn persoonsgegevens als incorrect beschouwt en/of (v) betrokkenen in staat te stellen andere rechten onder de toepasselijke geldende wetgeving ter bescherming persoonsgegevens uit te oefenen. Verwerker waarborgt dat betrokken Medewerkers heeft het recht de redelijke kosten die hiermee gemoeid zijn in rekening te brengen bij Verwerkingsverantwoordelijke. 2.9 Onderhavige Verwerkersvoorwaarden maken integraal onderdeel uit van de Overeenkomst en de bepalingen daarin zijn onverkort van toepassing op deze Verwerkersvoorwaarden; waarbij in geval van tegenstrijdigheid tussen een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage bepaling in deze geheimhoudingsovereenkomstVerwerkersvoorwaarden en een bepaling in de Overeenkomst, de bepaling in deze Verwerkersvoorwaarden prevaleert boven de bepaling in de Overeenkomst.

Uitvoering verwerking. 3.1. De door Verwerkingsverantwoordelijke aan Verwerker garandeert dat hij beschikbaar gestelde Persoonsgegevens worden verwerkt ten behoeve van Verwerkingsverantwoordelijke en uitsluitend Persoonsgegevens zal verwerken voor zover: a.) zover dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) en voor zover Verwerkingsverantwoordelijke daartoe nadere aan Verwerker schriftelijke instructies heeft gegeven; 3.2. In het kader Het is Verwerker in afwijking van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker bovenstaande toegestaan om Persoonsgegevens te verwerken Verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke toepasselijke wet of bestuurlijke bevelen) hem regel tot een verwerking die Verwerking verplicht. In dat geval stelt de zal Verwerker Verwerkingsverantwoordelijke voorafgaand aan de verwerking Verwerkingsverantwoordelijke Verwerking in kennis stellen van de beoogde verwerking en het wettelijk voorschriftdie wet of regel, tenzij die wetgeving deze wet of regel die kennisgeving om gewichtige redenen van algemeen belang verbiedt. De in het kader van deze Verwerkersovereenkomst te verwerken Persoonsgegevens zijn beperkt tot de Persoonsgegevens genoemd in Bijlage A. Verwerker zal die Persoonsgegevens uitsluitend Verwerken in het kader van de in bijlage 1 en de Overeenkomst omschreven aard en doeleinden van de Verwerking. De Verwerking vindt plaats onder de verantwoordelijkheid van Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, alle redelijke instructies van Verwerkingsverantwoordelijke opvolgen. Verwerkingsverantwoordelijke garandeert dat Verwerking te allen tijde plaats vindt op behoorlijke en zorgvuldige wijze verwerken en basis van een rechtsgeldige grondslag in overeenstemming met de op AVG. Partijen verbinden zich ertoe te allen tijde in overeenstemming met de AVG te handelen ter zake de bescherming van Persoonsgegevens. De Verwerker zal de door hem als voor Verwerkingsverantwoordelijke verrichte verwerkingen, alsmede zijn daarop gerichte technische en organisatorische beveiligingsmaatregelen, documenteren in een register en dit register bijhouden. Verwerker rustende zal Verwerkingsverantwoordelijke bijstaan bij het voldoen aan haar verplichtingen op grond van uit de AVG, voor zover nog waaronder maar niet beperkt tot de verplichtingen van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader Verwerkingsverantwoordelijke ten minste een register opzichte van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekkenBetrokkenen. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij zal ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1)Overeenkomst; of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van die door Verwerkingsverantwoordelijke aan Verwerker middels de in die bijlage beschreven aard computerapparatuur, telefonie -en navigatieapparatuur en doeleinden van de verwerkingonline diensten worden verstrekt. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, AVG en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomstgetekend.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke verwerkingsverantwoordelijke uitsluitend Persoonsgegevens persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor de uitvoering van de Overeenkomst overeenkomst (binnen de kader kaders als gespecificeerd in Bijlage 1bijlage 5.1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven;. 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 bijlage 5.1 gespecificeerde Persoonsgegevens persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevenspersoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijkeverwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijkeverwerkingsverantwoordelijke, geen Persoonsgegevens persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.112.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.a) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1)Gebruiksovereenkomst; of b.b) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.212.2. In het kader van het bepaalde in het eerste lid van artikel 3 12.1 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerkingverwerking voortvloeiend uit de Gebruiksovereenkomst. 3.312.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking het Verwerken van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking het Verwerken van Persoonsgegevens. 3.412.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3artikel, is het Verwerker toegestaan om Persoonsgegevens te verwerken Verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking Verwerken verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking het Verwerken Verwerkingsverantwoordelijke in kennis van de het beoogde verwerking Verwerken en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking dit verplicht Verwerken en ook overigens de het verplichte verwerking Verwerken beperken tot het strikt noodzakelijke. 3.512.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken Verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.612.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.712.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken Verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.812.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst geheimhoudingsclausule hebben getekend en geeft Verwerkingsverantwoordelijke als onderdeel van de door hen ondertekende (arbeids-)overeenkomst op verzoek inzage in deze geheimhoudingsovereenkomstbasis waarvan zij hun werkzaamheden voor Verwerker verrichten.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) : dit noodzakelijk is voor de uitvoering van de Overeenkomst Hoofdovereenkomst (binnen de kader als gespecificeerd gespecificeerde omschrijving in Bijlage 1); of b.) of Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, aantoonbaar op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, AVG en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of door derden laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers Xxxxxxxxxxx een geheimhoudingsovereenkomst hebben getekend dan wel garandeert dat Xxxxxxxxxxx geheimhouding zullen betrachten ten aanzien van de verwerking van de Persoonsgegevens. Verwerker zal aantoonbaar passende en doeltreffende technische en organisatorische beveiligingsmaatregelen nemen die, gezien de huidige stand der techniek en de daarmee gemoeide kosten, afgestemd zijn op de (in Bijlage 1 gespecificeerde) aard van de te verwerken Persoonsgegevens, ter bescherming van de Persoonsgegevens tegen verlies, onbevoegde kennisname, verminking of enige vorm van onrechtmatige verwerking, alsmede om de (tijdige) beschikbaarheid en integriteit van de gegevens te garanderen. In deze beveiligingsmaatregelen zijn de mogelijk in de Hoofdovereenkomst reeds beschreven maatregelen begrepen. De maatregelen omvatten in ieder geval: maatregelen om te waarborgen dat enkel bevoegde Medewerkers toegang hebben tot de Persoonsgegevens voor de doeleinden die zijn uiteengezet; maatregelen waarbij de Verwerker zijn Medewerkers en Subverwerkers uitsluitend toegang geeft tot Persoonsgegevens via op naam gestelde accounts, waarbij het gebruik van die accounts adequaat gelogd wordt en waarbij de betreffende accounts alleen toegang geven tot die Persoonsgegevens waartoe de toegang voor de betreffende (rechts)persoon noodzakelijk is; maatregelen om de Persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; maatregelen om zwakke plekken te identificeren ten aanzien van de verwerking van Persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Verwerkingsverantwoordelijke; maatregelen om de tijdige beschikbaarheid van de Persoonsgegevens te garanderen; maatregelen om te waarborgen dat Persoonsgegevens logisch gescheiden worden verwerkt van de Persoonsgegevens die hij voor zichzelf of namens derde partijen verwerkt; de overige maatregelen die Partijen zijn overeengekomen zoals vastgelegd in bijlage 2 Verwerker beschikt over ISO 27001-certificering, vergelijkbare certificering of werkt aantoonbaar in overeenstemming met ISO 27001 en heeft een passend, geschreven beveiligingsbeleid geïmplementeerd voor de verwerking van Persoonsgegevens, waarin in ieder geval de in het eerste lid van dit artikel 4 genoemde maatregelen uiteengezet zijn. Verwerker beschikt over NEN 7510-certificering of werkt aantoonbaar in overeenstemming met NEN 7510 en heeft een passend, geschreven beveiligingsbeleid geïmplementeerd voor de verwerking van Persoonsgegevens. Verwerker voldoet aantoonbaar (indien van toepassing) aan de veiligheidseisen voor netwerkverbindingen zoals beschreven in NEN 7512 en aan de eisen ten aanzien van logging zoals beschreven in NEN 7513. Verwerker zal op eerste verzoek van Verwerkingsverantwoordelijke een (kopie van een) door een onafhankelijke en ter zake deskundige derde afgegeven geldig certificaat overleggen alsmede de verklaring van toepasselijkheid, indien deze daarover beschikt, of een Third Party Memorandum (TPM), waaruit volgt dat Verwerker de verplichtingen uit dit artikel naleeft. Xxxxxxxxx laat zelf regelmatig interne en/of externe audits uitvoeren met betrekking tot de naleving van bovengenoemde normen. Verwerkingsverantwoordelijke heeft het recht toe te (laten) zien op verzoek inzage de naleving van de hiervoor onder artikel 4.1 tot en met 4.5 genoemde maatregelen naar aanleiding van (vermoeden van) informatiebeveiligings- of privacy-Inbreuken. Verwerker en Verwerkingsverantwoordelijke bepalen in deze geheimhoudingsovereenkomstgezamenlijk wanneer en door welke onafhankelijke derde partij de controle wordt uitgevoerd. Verwerker zal eventuele door Verwerkingsverantwoordelijke naar aanleiding van een dergelijk onderzoek in redelijkheid gegeven instructies tot aanpassing van het beveiligingsbeleid binnen een redelijke termijn opvolgen. Partijen erkennen dat beveiligingseisen voortdurend veranderen en dat een effectieve beveiliging frequente evaluatie en regelmatige verbetering van verouderde beveiligingsmaatregelen vereist. Verwerker zal daarom de maatregelen zoals geïmplementeerd op basis van dit artikel 4 periodiek evalueren en, waar nodig, de maatregelen verbeteren om te blijven voldoen aan de verplichtingen onder dit artikel 4. Het voorgaande laat de instructiebevoegdheid van Verwerkingsverantwoordelijke om zo nodig aanvullende maatregelen te (doen) treffen onverlet.

Uitvoering verwerking. 3.1. 3.1 Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke Opdrachtgever uitsluitend Persoonsgegevens persoonsgegevens zal verwerken voor zover: a.) zover dit noodzakelijk is voor de uitvoering levering van de Overeenkomst (binnen diensten onder de kader Hoofdovereenkomst. Overige verwerkingen zullen uitsluitend worden uitgevoerd in expliciete schriftelijke opdracht van Opdrachtgever of als gespecificeerd daartoe een wettelijke verplichting bestaat, dan echter uitsluitend na informeren van Opdrachtgever. Informeren van Opdrachtgever blijft achterwege waar dat in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2strijd zou zijn met de wet. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) geen geval zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerkingvoor eigen doeleinden. 3.3. 3.2 Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke Opdrachtgever in verband met de verwerking van de Persoonsgegevens persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke Opdrachtgever onmiddellijk op de hoogte indien naar zijn oordeel instructies van Opdrachtgever in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevenspersoonsgegevens. 3.43.3 Verwerker zal bij de verwerking van persoonsgegevens handelen in overeenstemming met deze Verwerkersovereenkomst, de Avg en andere wet- en regelgeving, waaronder ook de op 19 februari 2013 door het College Bescherming Persoonsgegevens gepubliceerde richtlijnen ten aanzien van beveiliging van persoonsgegevens (xxxx://xxxxxx.xxxxxxxx.xx/XXXX0000000/). 3.4 Verwerker garandeert dat hij alle persoonsgegevens als strikt vertrouwelijk zal behandelen en dat hij al zijn werknemers, vertegenwoordigers en/of onderaannemers die betrokken zijn bij de verwerking van de Persoonsgegevens van de vertrouwelijke aard van dergelijke (persoons)gegevens op de hoogte zal stellen. Onverminderd het bepaalde Verwerker zal waarborgen dat betrokken personen en partijen een geheimhoudingsovereenkomst hebben getekend en zal Opdrachtgever op verzoek inzage geven in deze geheimhoudingsovereenkomst. 3.5 Het is Verwerker niet toegestaan de persoonsgegevens aan enige derde te tonen, te verstrekken of anderszins ter beschikking te stellen, tenzij dit noodzakelijk of toegestaan is ingevolge de opdracht neergelegd in de Hoofdovereenkomst, in het eerste lid geval hiervoor expliciete voorafgaande schriftelijke toestemming van dit artikel 3Opdrachtgever is verkregen, is het Verwerker toegestaan om Persoonsgegevens te verwerken of indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot toezichthouder, op grond van een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, Verwerker daartoe verplicht. De Verwerker zal de Opdrachtgever op de hoogte stellen van ieder verzoek van de toezichthouder tot kennisneming, verstrekking of andere vorm van opvragen en mededeling van de persoonsgegevens, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. 3.6 Verwerker zal steeds volledige en tijdige medewerking verlenen aan Opdrachtgever bij de uitoefening van dienst plicht om verzoeken van betrokkenen, inzake de uitoefening van de in de Avg neergelegde rechten, te beantwoorden. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking onder meer zijn volledige en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken tijdige medewerking verlenen aan Opdrachtgever om (i) na goedkeuring van en in overeenstemming met opdracht van Opdrachtgever betrokkenen toegang te laten krijgen tot de op hem hun betreffende persoonsgegevens, (ii) persoonsgegevens te verwijderen of te corrigeren, (iii) aan te tonen dat persoonsgegevens verwijderd of gecorrigeerd zijn indien zij incorrect zijn (of, ingeval Opdrachtgever het er niet mee eens is dat persoonsgegevens incorrect zijn, het feit vast te leggen dat de betrokkene zijn persoonsgegevens als incorrect beschouwt), (iv) inzage te krijgen in de door Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, bijgehouden register en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen documentatie als bedoeld in artikel 30 AVG Avg, en Verwerkingsverantwoordelijke (v) Opdrachtgever anderszins in de gelegenheid te stellen om aan zijn verplichtingen onder de Avg of andere toepasselijke wetgeving op eerste verzoek een kopie het gebied van dat register verstrekkenverwerking van persoonsgegevens te voldoen. 3.6. Indien 3.7 Verwerker zal de dienstverlening door Verwerker persoonsgegevens van Opdrachtgever logisch gescheiden verwerken van de verwerking van gezondheidsgegevens persoonsgegevens die hij voor zichzelf of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelennamens derde partijen verwerkt. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.13.1 Verwerker zal optreden als Verwerker en Verwerkingsverantwoordelijke als verantwoordelijke in de zin van de Wet. Verwerkingsverantwoordelijke heeft en houdt zelfstandige zeggenschap over het doel en de middelen van de Verwerking van de Persoonsgegevens. 3.2 Verwerker garandeert dat hij ten behoeve verplicht zich om de verkregen Persoonsgegevens niet voor andere doeleinden of op andere wijze te gebruiken dan voor het doel, en de wijze waarvoor, de gegevens zijn verstrekt of aan hem bekend zijn geworden. Het is Verwerker derhalve niet toegestaan andere gegevensverwerkingen uit te voeren dan door Verwerkingsverantwoordelijke (mondeling, schriftelijk dan wel elektronisch) aan Verwerker zijn opgedragen. Deze verplichting geldt zowel gedurende de looptijd van deze overeenkomst als na afloop daarvan. 3.3 Verwerker onthoudt zich van verstrekking van Persoonsgegevens aan een derde, tenzij deze uitwisseling plaatsvindt in opdracht van de Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) of wanneer dit noodzakelijk is voor om te voldoen aan een op de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerkingrustende wettelijke verplichting. 3.3. 3.4 Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd (kunnen) zijn met enige op de toepasselijke wetgeving opdracht van toepassing zijnde wet- en regelgeving of met betrekking tot de verwerking van Persoonsgegevenseen tussen Partijen geldende overeenkomst. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. 3.5 Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, Wet en overige andere toepasselijke wet- en regelgevingregelgeving rustende verplichtingen verwerken. Verwerker zal zich tevens houden aan de bepalingen die op grond van de Wet geneeskundige behandelingsovereenkomst (Wgbo) van toepassing zijn op Verwerkingsverantwoordelijke. Partijen sluiten deze overeenkomst om te profiteren van de expertise die Verwerker heeft als het gaat om het beveiligen en het verwerken van Persoonsgegevens voor de doeleinden die uiteengezet zijn in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekkenBijlage 1. Het is Verwerker toegestaan om naar eigen inzicht de middelen aan te wenden die hij noodzakelijk acht om die doeleinden te bereiken. 3.6. Indien de dienstverlening door 3.6 Het is Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke zonder voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Verwerkingsverantwoordelijke niet toegestaan Verwerkingsverantwoordelijke Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in te verstrekken aan landen buiten de Europese Economische Ruimte (“EER”). Verwerker stelt de in Bijlage 3 genoemde medewerker van Verwerkingsverantwoordelijke onmiddellijk op de hoogte van alle (geplande) permanente of tijdelijke doorgiftes van Persoonsgegevens naar een land buiten de Europese Economische Ruimte en zal pas uitvoering geven aan dergelijke (geplande) doorgiftes nadat zij hiervoor schriftelijke toestemming van Verwerkingsverantwoordelijke heeft gekregen. Verwerkingsverantwoordelijke heeft te allen tijde het recht om aanvullende voorwaarden te verbinden aan haar toestemming voor een dergelijke verwerking. 3.8. 3.7 Verwerker waarborgt zal zijn volledige medewerking verlenen aan Verwerkingsverantwoordelijke om (i) na goedkeuring van en in opdracht van Verwerkingsverantwoordelijke betrokkenen toegang te laten krijgen tot de hun betreffende Persoonsgegevens, (ii) Persoonsgegevens te verwijderen of te corrigeren, (iii) aan te tonen dat betrokken Medewerkers Persoonsgegevens verwijderd of gecorrigeerd zijn indien zij incorrect zijn (of, ingeval Verwerkingsverantwoordelijke het er niet mee eens is dat Persoonsgegevens incorrect zijn, het feit vast te leggen dat de betrokkene zijn Persoonsgegevens als incorrect beschouwt) en (iv) Verwerkingsverantwoordelijke anderszins in de gelegenheid te stellen om aan haar verplichtingen onder de wet- en regelgeving te voldoen. 3.8 Verwerkingsverantwoordelijke en Verwerker verstrekken elkaar over en weer alle benodigde informatie teneinde een geheimhoudingsovereenkomst hebben getekend goede naleving van de relevante wet- en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomstregelgeving mogelijk te maken.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- wet− en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. 3.1 Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens persoonsgegevens zal verwerken voor zover: a.) zover dit noodzakelijk is voor de uitvoering levering van de Overeenkomst (binnen diensten onder de kader Hoofdovereenkomst. Overige verwerkingen zullen uitsluitend worden uitgevoerd na expliciete schriftelijke opdracht van Verwerkingsverantwoordelijke of als gespecificeerd daartoe een wettelijke verplichting bestaat, dan echter uitsluitend na informeren van Verwerkingsverantwoordelijke. Informeren van Verwerkingsverantwoordelijke blijft achterwege waar dat in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2strijd is met de wet. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) geen geval zal de Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerkingvoor eigen doeleinden. 3.3. 3.2 Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies van Verwerkingsverantwoordelijke in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevenspersoonsgegevens. 3.43.3 Verwerker zal bij de verwerking van persoonsgegevens handelen in overeenstemming met deze Verwerkersovereenkomst, de AVG en andere wet- en regelgeving. 3.4 Verwerker garandeert dat hij alle persoonsgegevens als strikt vertrouwelijk zal behandelen en dat hij al zijn werknemers, vertegenwoordigers en/of onderaannemers die betrokken zijn bij de verwerking van de persoonsgegevens van de vertrouwelijke aard van dergelijke (persoons)gegevens op de hoogte zal stellen. Onverminderd het bepaalde Verwerker zal waarborgen dat betrokken personen en partijen een geheimhoudingsplicht hebben, dit staat in de handtekening van de mail. 3.5 Het is Verwerker niet toegestaan de persoonsgegevens aan enige derde te tonen, te verstrekken of anderszins ter beschikking te stellen, tenzij dit noodzakelijk of toegestaan is in gevolge de opdracht neergelegd in de Hoofdovereenkomst, in het eerste lid geval hiervoor expliciete voorafgaande schriftelijke toestemming van dit artikel 3Verwerkingsverantwoordelijke is verkregen, is het Verwerker toegestaan om Persoonsgegevens te verwerken of indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot toezichthouder, op grond van een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, Verwerker daartoe verplicht. De Verwerker zal de Verwerkingsverantwoordelijke op de hoogte stellen van ieder verzoek van de toezichthouder tot kennisneming, verstrekking of andere vorm van opvragen en mededeling van de persoonsgegevens, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. 3.6 Verwerker zal steeds volledige en tijdige medewerking verlenen aan Verwerkingsverantwoordelijke bij de uitoefening van dienst of plicht om verzoeken van betrokkenen, inzake de uitoefening van de in de AVG neergelegde rechten, te beantwoorden. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking onder meer zijn volledige en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken tijdige medewerking verlenen aan Verwerkingsverantwoordelijke om (i) na goedkeuring van en in overeenstemming met opdracht van Verwerkingsverantwoordelijke betrokkenen toegang te laten krijgen tot de op hem als Verwerker rustende verplichtingen op grond van de AVGhun betreffende persoonsgegevens, voor zover nog van toepassing de Wbp, middels een afspraak en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekkendaarna fysiek inzage onder begeleiding. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. 3.1 Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke Opdrachtgever uitsluitend Persoonsgegevens persoonsgegevens zal verwerken voor zover: a.) zover dit noodzakelijk is voor de uitvoering levering van de Overeenkomst (binnen diensten onder de kader Hoofdovereenkomst. Overige verwerkingen zullen uitsluitend worden uitgevoerd in expliciete schriftelijke opdracht van Opdrachtgever of als gespecificeerd daartoe een wettelijke verplichting bestaat, dan echter uitsluitend na informeren van Opdrachtgever. Informeren van Opdrachtgever blijft achterwege waar dat in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2strijd is met de wet. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) geen geval zal de Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerkingvoor eigen doeleinden. 3.3. 3.2 Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke Opdrachtgever in verband met de verwerking van de Persoonsgegevens persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke Opdrachtgever onmiddellijk op de hoogte indien naar zijn oordeel instructies van Opdrachtgever in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevenspersoonsgegevens. 3.43.3 Verwerker zal bij de verwerking van persoonsgegevens handelen in overeenstemming met deze Verwerkersovereenkomst, de AVG en andere wet- en regelgeving. 3.4 Verwerker garandeert dat hij alle persoonsgegevens als strikt vertrouwelijk zal behandelen en dat hij al zijn werknemers, vertegenwoordigers en/of onderaannemers die betrokken zijn bij de verwerking van de Persoonsgegevens van de vertrouwelijke aard van dergelijke (persoons)gegevens op de hoogte zal stellen. Onverminderd het bepaalde Verwerker zal waarborgen dat betrokken personen en partijen een geheimhoudingsplicht hebben 3.5 Het is Verwerker niet toegestaan de persoonsgegevens aan enige derde te tonen, te verstrekken of anderszins ter beschikking te stellen, tenzij dit noodzakelijk of toegestaan is in gevolge de opdracht neergelegd in de Hoofdovereenkomst, in het eerste lid geval hiervoor expliciete voorafgaande schriftelijke toestemming van dit artikel 3Opdrachtgever is verkregen, is het Verwerker toegestaan om Persoonsgegevens te verwerken of indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot toezichthouder, op grond van een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, Verwerker daartoe verplicht. De Verwerker zal de Opdrachtgever op de hoogte stellen van ieder verzoek van de toezichthouder tot kennisneming, verstrekking of andere vorm van opvragen en mededeling van de persoonsgegevens, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. 3.6 Verwerker zal steeds volledige en tijdige medewerking verlenen aan Opdrachtgever bij de uitoefening van dienst of plicht om verzoeken van betrokkenen, inzake de uitoefening van de in de AVG neergelegde rechten, te beantwoorden. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking onder meer zijn volledige en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken tijdige medewerking verlenen aan Opdrachtgever om (i) na goedkeuring van en in overeenstemming met opdracht van Opdrachtgever betrokkenen toegang te laten krijgen tot de op hem hun betreffende persoonsgegevens, (ii) persoonsgegevens te verwijderen of te corrigeren, (iii) aan te tonen dat persoonsgegevens verwijderd of gecorrigeerd zijn indien zij incorrect zijn (of, ingeval Opdrachtgever het er niet mee eens is dat persoonsgegevens incorrect zijn, het feit vast te leggen dat de betrokkene zijn persoonsgegevens als incorrect beschouwt), (iv) inzage te krijgen in de door Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, bijgehouden register en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen documentatie als bedoeld in artikel 30 AVG, en (v) Opdrachtgever anderszins in de gelegenheid te stellen om aan zijn verplichtingen onder de AVG en Verwerkingsverantwoordelijke of andere toepasselijke wetgeving op eerste verzoek een kopie het gebied van dat register verstrekkenverwerking van persoonsgegevens te voldoen. 3.6. Indien 3.7 Verwerker zal de dienstverlening door Verwerker persoonsgegevens van Opdrachtgever logisch gescheiden verwerken van de verwerking van gezondheidsgegevens persoonsgegevens die hij voor zichzelf of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelennamens derde partijen verwerkt. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker gegeven uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. Verwerker 3.1 Opdrachtnemer zal optreden als bewerker en Opdrachtgever als verantwoordelijke in de zin van de Wbp. 3.2 Opdrachtnemer garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke Opdrachtgever uitsluitend Persoonsgegevens persoonsgegevens zal verwerken voor zover: a.) zover dit noodzakelijk is voor de uitvoering levering van de Overeenkomst (binnen Prestaties onder de kader in artikel 1 van deze Bewerkersovereenkomst genoemde Hoofdovereenkomst. Overige verwerkingen zullen uitsluitend worden uitgevoerd in expliciete opdracht van Opdrachtgever of als gespecificeerd daartoe een wettelijke verplichting bestaat na informeren van Opdrachtgever. Informeren van de Opdrachtgever blijft achterwege waar dat in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2strijd zou zijn met de wet. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) geen geval zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens Opdrachtnemer persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerkingvoor eigen doeleinden. 3.3. Verwerker 3.3 Opdrachtnemer zal alle redelijke instructies van Verwerkingsverantwoordelijke Opdrachtgever in verband met de verwerking van de Persoonsgegevens persoonsgegevens opvolgen. Verwerker Opdrachtnemer stelt Verwerkingsverantwoordelijke Opdrachtgever onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevenspersoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker 3.4 Opdrachtnemer zal de Persoonsgegevens persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen bewerker op grond van de AVGWbp en overige wetgeving rustende verplichtingen verwerken. Indien er sprake is van het verwerken van bijzondere persoonsgegevens volgens artikel 21 Wbp zal Opdrachtnemer zich tevens houden aan de bepalingen die op grond van boek 7, voor zover nog titel 7, afdeling 5 BW (de Wet geneeskundige behandelingsovereenkomst, Wgbo) van toepassing zijn op Opdrachtgever. Partijen sluiten de WbpHoofdovereenkomst om de expertise die Opdrachtnemer heeft als het gaat om het beveiligen en het verwerken van Persoonsgegevens te gebruiken voor de doeleinden die uiteengezet zijn in Annex 1 bij deze Bewerkersovereenkomst. Opdrachtnemer is gehouden om, met inachtneming van hetgeen in deze Bewerkersovereenkomst is bepaald, die doeleinden en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register de bescherming van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekkende persoonsgegevens met maximale zorg na te streven. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker 3.5 Opdrachtnemer zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van VerwerkingsverantwoordelijkeOpdrachtgever, geen Persoonsgegevens persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”)) zonder een passend beschermingsniveau. Opdrachtnemer stelt de in Annex 3 genoemde medewerker van Opdrachtgever onmiddellijk schriftelijk op de hoogte van alle (geplande) permanente of tijdelijke doorgiftes van persoonsgegevens naar een land buiten de Europese Economische Ruimte. Opdrachtnemer zal pas uitvoering geven aan dergelijke (geplande) doorgiftes na schriftelijke toestemming van Opdrachtgever. Opdrachtgever heeft te allen tijde het recht om aanvullende voorwaarden te verbinden aan haar toestemming voor een dergelijke verwerking. 3.83.6 Opdrachtnemer zal de Opdrachtgever informeren over iedere wijziging van de locatie waar de gegevens van Opdrachtgever worden opgeslagen, evenals over de identiteit van eventuele derde partijen die hierbij betrokken zijn. 3.7 Opdrachtnemer garandeert dat hij alle persoonsgegevens als strikt vertrouwelijk zal behandelen en dat hij al zijn werknemers, vertegenwoordigers en/of onderaannemers die betrokken zijn bij de verwerking van de Persoonsgegevens van de vertrouwelijke aard van dergelijke (persoons)gegevens op de hoogte zal stellen. Verwerker waarborgt Opdrachtnemer zal waarborgen dat betrokken Medewerkers personen en partijen een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke zal Opdrachtgever op verzoek inzage geven in deze geheimhoudingsovereenkomst. Het is Opdrachtnemer niet toegestaan de persoonsgegevens aan enige derde te tonen, te verstrekken of anderszins ter beschikking te stellen, tenzij dit noodzakelijk of toegestaan is ingevolge de opdracht van de in lid 1 genoemde Hoofdovereenkomst of in het geval hiervoor expliciete voorafgaande schriftelijke toestemming van Opdrachtgever is verkregen. 3.8 Opdrachtnemer zal zijn volledige en tijdige medewerking verlenen aan Opdrachtgever om (i) na goedkeuring van en in opdracht van Opdrachtgever betrokkenen toegang te laten krijgen tot de hun betreffende persoonsgegevens, (ii) persoonsgegevens te verwijderen of te corrigeren, (iii) aan te tonen dat persoonsgegevens verwijderd of gecorrigeerd zijn indien zij incorrect zijn (of, ingeval Opdrachtgever het er niet mee eens is dat persoonsgegevens incorrect zijn, het feit vast te leggen dat de betrokkene zijn persoonsgegevens als incorrect beschouwt) en (iv) Opdrachtgever anderszins in de gelegenheid te stellen om aan zijn verplichtingen onder de Wbp of andere toepasselijke wetgeving op het gebied van verwerking van persoonsgegevens te voldoen. 3.9 Opdrachtnemer zal de persoonsgegevens van Opdrachtgever logisch gescheiden verwerken van de persoonsgegevens die hij voor zichzelf of namens derde partijen verwerkt.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit Dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor 4.1 Partijen wensen de uitvoering voorwaarden van de Overeenkomst uitwisseling en verwerking van persoonsgegevens schriftelijk in deze overeenkomst (binnen de kader als gespecificeerd ‘Verwerkersovereenkomst’) vast te leggen, zodat Partijen aan hun respectievelijke verplichtingen uit hoofde van de Algemene Verordening Gegevensbescherming (‘AVG’) kunnen voldoen. 4.2 Het is Verwerker in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2afwijking van het bovenstaande toegestaan Persoonsgegevens te Verwerken indien een toepasselijke wet of regel tot die Verwerking verplicht. In dat geval zal Verwerker Verwerkingsverantwoordelijke voorafgaand aan de Verwerking in kennis stellen van die wet of regel, tenzij die wet of regel die kennisgeving om gewichtige redenen van algemeen belang verbiedt. 4.3 De in het kader van het bepaalde deze Verwerkersovereenkomst te verwerken Persoonsgegevens zijn beperkt tot de Persoonsgegevens genoemd in het eerste lid van artikel 3 onder a) bijlage 1. Verwerker zal Verwerker die Persoonsgegevens uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken Verwerken in het kader van de in die bijlage beschreven 1 en de Overeenkomst omschreven aard en doeleinden van de verwerkingVerwerking. 3.34.4 De Verwerking vindt plaats onder de verantwoordelijkheid van Verwerkingsverantwoordelijke. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens Verwerking opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies . 4.5 Partijen verbinden zich ertoe te allen tijde in strijd zijn overeenstemming met de toepasselijke wetgeving met betrekking tot AVG te handelen ter zake de verwerking bescherming van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. 4.6 De Verwerker zal de Persoonsgegevens aantoonbaardoor hem voor Verwerkingsverantwoordelijke verrichte verwerkingen, op behoorlijke alsmede zijn daarop gerichte technische en zorgvuldige wijze verwerken organisatorische beveiligingsmaatregelen, documenteren in een register en in overeenstemming met de op hem als dit register up to date houden. 4.7 Verwerker rustende zal Verwerkingsverantwoordelijkheid bijstaan bij het voldoen aan haar verplichtingen op grond van uit de AVG, voor zover nog waaronder maar niet beperkt tot de verplichtingen van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader Verwerkingsverantwoordelijke ten minste een register opzichte van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekkenBetrokkenen. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. 3.1 Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke verantwoordelijke uitsluitend Persoonsgegevens persoonsgegevens zal verwerken voor zover: a.) zover dit noodzakelijk is voor de uitvoering levering van de Overeenkomst (binnen prestaties onder de kader in artikel 1 van deze verwerkersovereenkomst genoemde hoofdovereenkomst. Overige verwerkingen zullen uitsluitend worden uitgevoerd in expliciete opdracht van verantwoordelijke of als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2een wettelijke verplichting bestaat na informeren van verantwoordelijke. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) geen geval zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerker persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerkingvoor eigen doeleinden. 3.3. 3.2 Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke verantwoordelijke in verband met de verwerking van de Persoonsgegevens persoonsgegevens opvolgen. Verwerker Xxxxxxxxx stelt Verwerkingsverantwoordelijke verantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevenspersoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. 3.3 Verwerker zal de Persoonsgegevens persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen verwerker op grond van de AVG, voor zover nog van toepassing de Wbp, Wbp en AVG en overige wet- wetgeving rustende verplichtingen verwerken. Partijen sluiten de hoofdovereenkomst om de expertise die verwerker heeft als het gaat om het beveiligen en regelgevinghet verwerken van persoonsgegevens te gebruiken voor de doeleinden die uiteengezet zijn in annex 1 bij deze verwerkersovereenkomst. Verwerker is gehouden om, met inachtneming van hetgeen in deze verwerkersovereenkomst is bepaald, die doeleinden en de bescherming van de persoonsgegevens met maximale zorg na te streven. 3.4 Het is verwerker toegestaan om hulpleveranciers in te schakelen om aan de opdracht te voldoen met dien verstande dat dit geen hulpleveranciers zullen zijn die gevestigd zijn buiten de Europese Unie. In het geval dat verwerker een leverancier inschakelt dient deze sub-­‐ verwerkersovereenkomst(en) te sluiten met deze hulpleverancier(s) en zal zij deze op eerste verzoek van verantwoordelijke aan verantwoordelijke ter hand stellen. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG dezelfde of strengere verplichtingen opleggen aan de sub-­‐verwerker die uit deze verwerkersovereenkomst of uit de wet voortvloeien en Verwerkingsverantwoordelijke ziet toe op eerste verzoek een kopie van dat register verstrekkende naleving hiervan. 3.63.5 Het staat verwerker vrij om te wisselen van hulpleverancier. Indien Verwerker draagt de dienstverlening verantwoordelijkheid om een nieuwe hulpleverancier dezelfde of strengere verplichtingen op te leggen die uit deze verwerkersovereenkomst of uit de wet voortvloeien en ziet toe op de naleving hiervan. Xxxxxxxxx zal verantwoordelijke tijdig informeren over een eventuele wisseling. Verantwoordelijke kan een overstap naar een andere hulppleverancier niet blokkeren. Als verantwoordelijke van mening is dat hij of door de wisseling niet meer aan de wettelijke verplichtingen kan voldoen zullen verwerker en verantwoordelijke in overleg treden over een alternatieve (maatwerk) oplossing. 3.6 Verwerker garandeert dat hij alle persoonsgegevens als strikt vertrouwelijk zal behandelen en dat hij al zijn werknemers, vertegenwoordigers en/of hulpleveranciers die betrokken zijn bij de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving de persoonsgegevens van de vertrouwelijke aard van dergelijke (persoons)gegevens op de hoogte zal handelen. 3.7stellen. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt zal waarborgen dat betrokken Medewerkers personen en partijen een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke zal verantwoordelijke op verzoek inzage geven in deze geheimhoudingsovereenkomst. Het is verwerker niet toegestaan de persoonsgegevens aan enige derde te tonen, te verstrekken of anderszins ter beschikking te stellen, tenzij dit noodzakelijk of toegestaan is ingevolge de opdracht beschreven in de hoofdovereenkomst of in het geval hiervoor expliciete voorafgaande schriftelijke toestemming van verantwoordelijke is verkregen. 3.7 Verwerker zal zijn volledige en tijdige medewerking verlenen aan verantwoordelijke om na goedkeuring van en in opdracht van verantwoordelijke betrokkenen toegang te laten krijgen tot de hun betreffende persoonsgegevens, persoonsgegevens te verwijderen of te corrigeren, aan te tonen dat persoonsgegevens verwijderd of gecorrigeerd zijn indien zij incorrect zijn (of, ingeval verantwoordelijke het er niet mee eens is dat persoonsgegevens incorrect zijn, het feit vast te leggen dat de betrokkene zijn persoonsgegevens als incorrect beschouwt) en verantwoordelijke anderszins in de gelegenheid te stellen om aan zijn verplichtingen onder de Wbp en AVG of andere toepasselijke wetgeving op het gebied van verwerking van persoonsgegevens te voldoen. 3.8 Verwerker zal de persoonsgegevens van verantwoordelijke logisch gescheiden verwerken van de persoonsgegevens die hij voor zichzelf of namens derde partijen verwerkt.

Uitvoering verwerking. 3.1. 3.1 Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens persoonsgegevens zal verwerken voor zover: a.) zover dit noodzakelijk is voor de uitvoering levering van de Overeenkomst (binnen diensten onder de kader Hoofdovereenkomst. Overige verwerkingen zullen uitsluitend worden uitgevoerd na expliciete schriftelijke opdracht van Verwerkingsverantwoordelijke of als gespecificeerd daartoe een wettelijke verplichting bestaat, dan echter uitsluitend na informeren van Verwerkingsverantwoordelijke. Informeren van Verwerkingsverantwoordelijke blijft achterwege waar dat in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2strijd is met de wet. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) geen geval zal de Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerkingvoor eigen doeleinden. 3.3. 3.2 Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies van Verwerkingsverantwoordelijke in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevenspersoonsgegevens. 3.43.3 Verwerker zal bij de verwerking van persoonsgegevens handelen in overeenstemming met deze Verwerkersovereenkomst, de AVG en andere wet- en regelgeving. 3.4 Verwerker garandeert dat hij alle persoonsgegevens als strikt vertrouwelijk zal behandelen en dat hij al zijn werknemers, vertegenwoordigers en/of onderaannemers die betrokken zijn bij de verwerking van de persoonsgegevens van de vertrouwelijke aard van dergelijke (persoons)gegevens op de hoogte zal stellen. Onverminderd het bepaalde Verwerker zal waarborgen dat betrokken personen en partijen een geheimhoudingsplicht hebben, dit staat in de handtekening van de mail. 3.5 Het is Verwerker niet toegestaan de persoonsgegevens aan enige derde te tonen, te verstrekken of anderszins ter beschikking te stellen, tenzij dit noodzakelijk of toegestaan is in gevolge de opdracht neergelegd in de Hoofdovereenkomst, in het eerste lid geval hiervoor expliciete voorafgaande schriftelijke toestemming van dit artikel 3Verwerkingsverantwoordelijke is verkregen, is het Verwerker toegestaan om Persoonsgegevens te verwerken of indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot toezichthouder, op grond van een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, Verwerker daartoe verplicht. De Verwerker zal de Verwerkingsverantwoordelijke op de hoogte stellen van ieder verzoek van de toezichthouder tot kennisneming, verstrekking of andere vorm van opvragen en mededeling van de persoonsgegevens, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. 3.6 Verwerker zal steeds volledige en tijdige medewerking verlenen aan Verwerkingsverantwoordelijke bij de uitoefening van dienst of plicht om verzoeken van betrokkenen, inzake de uitoefening van de in de AVG neergelegde rechten, te beantwoorden. Verwerker zal Verwerkingsverantwoordelijkeonder meer zijn volledige en tijdige medewerking verlenen aan Verwerkingsverantwoordelijke om (i) na goedkeuring van en in opdracht van Verwerkingsverantwoordelijke betrokkenen toegang te laten krijgen tot de hun betreffende persoonsgegevens, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking middels een afspraak en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijkedaarna fysiek inzage onder begeleiding. 3.5. (ii) persoonsgegevens te verwijderen of te corrigeren, (iii) aan te tonen dat persoonsgegevens verwijderd of gecorrigeerd zijn indien zij incorrect zijn (of, ingeval Verwerkingsverantwoordelijke het er niet mee eens is dat persoonsgegevens incorrect zijn, het feit vast te leggen dat de betrokkene zijn persoonsgegevens als incorrect beschouwt), (iv) inzage te krijgen in de door Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke bijgehouden register en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen documentatie als bedoeld in artikel 30 AVG, en (v) Verwerkingsverantwoordelijke anderszins in de gelegenheid te stellen om aan zijn verplichtingen onder de AVG en Verwerkingsverantwoordelijke of andere toepasselijke wetgeving op eerste verzoek een kopie het gebied van dat register verstrekkenverwerking van persoonsgegevens te voldoen. 3.6. Indien 3.7 Verwerker zal de dienstverlening door Verwerker persoonsgegevens van Verwerkingsverantwoordelijke logisch gescheiden verwerken van de verwerking van gezondheidsgegevens persoonsgegevens die hij voor zichzelf of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelennamens derde partijen verwerkt. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.12.1 Verwerker zal de Persoons- gegevens alleen verwerken op basis van schriftelijke instructies van Verwerkings- verantwoordelijke (waaronder mede begrepen de opdracht zoals verwoord in de Overeenkomst) of als daartoe voor Verwerker een wettelijke verplichting bestaat (inclusief verwerking noodzakelijk is uit hoofde van een wettelijke verplichting, een bevoegd gegeven rechterlijk bevel, een door het bevoegd gezag gegeven last, een bevoegd gegeven aanwijzing of rechtmatig verzoek van de relevante toezichthouder, zoals de Autoriteit Persoonsgegevens). Verwerker garandeert dat hij ten behoeve Een en ander onverlet de verantwoordelijkheid van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel om zorg te dragen dat diens instructies in strijd zijn overeen- stemming met de toepasselijke wetgeving zijn. Voor zover deze instructies extra werkzaamheden (en kosten) met betrekking tot de verwerking van Persoonsgegevenszich brengen voor Verwerker alsmede consequenties kunnen hebben voor een overeengekomen tijdsplanning, eerst nadat Partijen hierover overeenstemming hebben bereikt. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. 2.2 Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken zoals nader gespecificeerd in de Overeenkomst en deze Verwerkersovereenkomst conform de Toepasselijke Wet. De Verwerking heeft betrekking op de door Verwerkings- verantwoordelijke gestelde en gespecificeerde verwerkingsdoel(en), de categorieën Persoonsgegevens en betrokkenen en de door Verwerker gespecificeerde verwerkingshandelingen en de daarbij betrokken categorieën medewerkers, zoals opgenomen in overeenstemming Bijlage A bij deze Verwerkersovereenkomst. 2.3 Verwerkingsverantwoordelijke is verantwoordelijk voor het juist en volledig aanleveren van de Persoonsgegevens. Verwerkingsverantwoordelijke is tevens gehouden verwerkte Persoonsgegevens op juistheid en volledigheid te controleren. 2.4 Verwerkingsverantwoordelijke staat er jegens Verwerker voor in dat de opgedragen verwerking niet onrechtmatig is en geen inbreuk maakt op rechten van betrokkenen alsmede dat de Persoons- gegevens zijn verkregen op een wijze die overeenstemt met de op hem als Verwerker rustende verplichtingen op grond van geldende wettelijke voorschriften, in het bijzonder die voortvloeien uit de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekkenToepasselijke Wet. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. 2.5 Verwerker zal, tenzij dit noodzakelijk voortvloeit uit de Overeenkomst, hiertoe een wettelijke verplichting bestaat dan wel hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van VerwerkingsverantwoordelijkeVerwerkings- verantwoordelijke, en voldaan wordt aan de toepasselijke wettelijke vereisten, geen Persoonsgegevens verwerken opslaan in of laten verwerken door hemzelf of door derden in doorgeven aan landen buiten de Europese Economische Ruimte (“EER”)Ruimte. Verwerker zal Verwerkingsverantwoordelijke op diens eerste verzoek informeren over de plaats(en) van opslag. 3.8. 2.6 Verwerker waarborgt zal, indien dit redelijkerwijs binnen zijn invloedsfeer ligt en rekening houdende met de aard van de Verwerking, door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, haar bijstand verlenen aan de Verwerkings- verantwoordelijke bij het vervullen van diens wettelijke plichten op grond van de Toepasselijke Wet, meer in het bijzonder de rechten van betrokkenen, zoals het (i) betrokkenen een afschrift van of anderszins inzicht te laten verkrijgen in hun verwerkte Persoonsgegevens waarbij de bescherming van de persoons- gegevens van andere geborgd is alsmede de vertrouwelijkheid van andere gegevens die naar hun aard vertrouwelijk zijn, (ii) persoonsgegevens te verwijderen, te corrigeren, aan te vullen of af te schermen, en/of (iii) aan te tonen dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.persoons- gegevens verwijderd of gecorrigeerd zijn,

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader als gespecificeerd in Bijlage 1); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, en overige wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst.

Uitvoering verwerking. 3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover: a.) : dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de kader kaders als gespecificeerd in Bijlage 1hierboven gespecificeerd); of b.) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven; 3.2. ; In het kader van het bepaalde in het eerste lid van artikel 3 onder a) zal Verwerker uitsluitend de in Bijlage 1 gespecificeerde Persoonsgegevens verwerken in het kader van de in die bijlage beschreven aard en doeleinden van de verwerking. 3.3. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens. 3.4. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke. 3.5. Verwerker zal de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG, voor zover nog van toepassing de Wbp, AVG en overige aanverwante wet- en regelgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in artikel 30 AVG en Verwerkingsverantwoordelijke op eerste verzoek een kopie van dat register verstrekken. 3.6. Indien de dienstverlening door Verwerker de verwerking van gezondheidsgegevens of andere bijzondere Persoonsgegevens impliceert, garandeert Verwerker dat hij niet in strijd met gezondheidswetgeving zal handelen. 3.7. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of laten verwerken door hemzelf of door derden in landen buiten de Europese Economische Ruimte (“EER”). 3.8. Verwerker waarborgt dat betrokken onder zijn gezag werkende Medewerkers een geheimhoudingsovereenkomst hebben getekend en geeft Verwerkingsverantwoordelijke op verzoek inzage in deze geheimhoudingsovereenkomst. Verwerker zal aantoonbaar passende en doeltreffende technische en organisatorische beveiligingsmaatregelen nemen, die gezien de huidige stand der techniek en de daarmee gemoeide kosten overeenstemmen met de (hierboven gespecificeerde) aard, omvang en context van de te verwerken Persoonsgegevens. Dit ter bescherming van de Persoonsgegevens tegen verlies, onbevoegde kennisname, verminking of enige vorm van onrechtmatige verwerking, alsmede om de (tijdige) beschikbaarheid van de gegevens te garanderen. In deze beveiligingsmaatregelen zijn de mogelijk in de Overeenkomst reeds bepaalde maatregelen begrepen. De maatregelen zijn opgenomen in bijlage 2 en omvatten in ieder geval: maatregelen om te waarborgen dat enkel bevoegde Medewerkers toegang hebben tot de Persoonsgegevens voor de doeleinden die zijn uiteengezet; maatregelen waarbij de Verwerker zijn Medewerkers en Subverwerkers uitsluitend toegang geeft tot Persoonsgegevens via op naam gestelde accounts, waarbij het gebruik van die accounts adequaat gelogd wordt en waarbij de betreffende accounts alleen toegang geven tot die Persoonsgegevens waartoe de toegang voor de betreffende (rechts)persoon noodzakelijk is; maatregelen om de Persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, onopzettelijk verlies of wijziging, onbevoegde of onrechtmatige opslag, verwerking, toegang of openbaarmaking; maatregelen om zwakke plekken te identificeren ten aanzien van de verwerking van Persoonsgegevens in de systemen die worden ingezet voor het verlenen van diensten aan Verwerkingsverantwoordelijke; maatregelen om de tijdige beschikbaarheid van de Persoonsgegevens te garanderen; maatregelen om te waarborgen dat Persoonsgegevens logisch gescheiden worden verwerkt van de Persoonsgegevens die hij voor zichzelf of namens derde partijen verwerkt; waar mogelijk pseudonimisering en versleuteling van persoonsgegevens; de overige maatregelen die Partijen zijn overeengekomen zoals vastgelegd in Bijlage 2. Verwerkingsverantwoordelijke heeft het recht toe te (laten) zien op de naleving van de in dit artikel 4 genoemde maatregelen door middel van controle, audits etc. Verwerker stelt Verwerkingsverantwoordelijke, indien Verwerkingsverantwoordelijke daarom verzoekt, hiertoe in elk geval eenmaal per jaar in de gelegenheid op een door Partijen in gezamenlijk overleg nader te bepalen tijdstip en verder indien Verwerkingsverantwoordelijke daartoe aanleiding ziet naar aanleiding van (vermoeden van) informatie- of privacy-incidenten, dat te (laten) controleren. Verwerker zal in alle redelijkheid haar medewerking verlenen aan een dergelijk onderzoek. Verwerker zal eventuele door Verwerkingsverantwoordelijke naar aanleiding van een dergelijk onderzoek in redelijkheid gegeven instructies tot aanpassing van het beveiligingsbeleid binnen een redelijke termijn opvolgen. Partijen erkennen dat beveiligingseisen voortdurend veranderen en dat een effectieve beveiliging frequente evaluatie en regelmatige verbetering van verouderde beveiligingsmaatregelen vereist. Verwerker zal daarom de maatregelen zoals geïmplementeerd op basis van dit artikel 4 periodiek evalueren en, waar nodig, de maatregelen verbeteren om te blijven voldoen aan de verplichtingen onder dit artikel. Het voorgaande laat de instructiebevoegdheid van Verwerkingsverantwoordelijke om zo nodig aanvullende maatregelen te (doen) treffen onverlet.