Verwerkersovereenkomst AVG (Algemene Verordening Gegevensbescherming)
Verwerkersovereenkomst AVG (Algemene Verordening Gegevensbescherming)
The Others Online – Incrowd Pro Versie: 1.1 – 10 december 2018
Deze Verwerkersovereenkomst is van toepassing op alle vormen van verwerking van persoonsgegevens die The Others Online B.V., ingeschreven bij de Kamer van Koophandel onder nummer 58953825, (hierna genoemd als “Verwerker”), uitvoert ten behoeve van een wederpartij aan wie zij Incrowd Pro levert, de opdrachtgever (hierna genoemd als
“Verwerkingsverantwoordelijke”).
Deze verwerkersovereenkomst en de Bijlagen maken integraal onderdeel uit van het Incrowd Pro abonnement en de Gebruikersvoorwaarden tenzij tussen Partijen anders is overeengekomen.
Artikel 1. Doeleinden van verwerking
1.1 Verwerker verbindt zich onder de voorwaarden van deze Verwerkersovereenkomst in opdracht van Verwerkingsverantwoordelijke persoonsgegevens te verwerken. Verwerking zal uitsluitend plaatsvinden in het kader zoals in de Overeenkomst zijn overeengekomen, plus die
doeleinden die daarmee redelijkerwijs samenhangen of die met nadere instemming worden bepaald.
1.2 De persoonsgegevens die door Verwerker in het kader van de werkzaamheden als bedoeld
in het vorige lid worden verwerkt en de categorieën van de betrokkenen van wie deze afkomstig zijn, zijn opgenomen in Bijlage 1.
1.3 Verwerker zal de persoonsgegevens niet voor enig ander doel verwerken dan zoals door Verwerkingsverantwoordelijke is vastgesteld. Verwerkingsverantwoordelijke zal Verwerker op de hoogte stellen van de verwerkingsdoeleinden voor zover deze niet reeds in deze Verwerkersovereenkomst zijn genoemd.
1.4 De in opdracht van Verwerkingsverantwoordelijke te Verwerken persoonsgegevens blijven eigendom van Verwerkingsverantwoordelijke en/of de betreffende betrokkenen.
Artikel 2. Verplichtingen Verwerker
2.1 Ten aanzien van de in artikel 1 genoemde verwerkingen zal Verwerker zorg dragen voor de naleving van de toepasselijke wet- en regelgeving, waaronder in ieder geval begrepen de wet- en regelgeving op het gebied van de bescherming van persoonsgegevens, zoals de Algemene Verordening Gegevensbescherming.
2.2 Verwerker zal Verwerkingsverantwoordelijke, op diens eerste verzoek daartoe, informeren over de door haar genomen maatregelen aangaande haar verplichtingen onder deze Verwerkersovereenkomst.
2.3 De verplichtingen van de Verwerker die uit deze Verwerkersovereenkomst voortvloeien, gelden ook voor degenen die persoonsgegevens verwerken onder het gezag van Verwerker, waaronder begrepen maar niet beperkt tot werknemers, in de ruimste zin van het woord.
2.4 De Verwerker zal de Verwerkingsverantwoordelijke onmiddellijk in kennis stellen indien naar zijn mening een instructie van de Verwerkingsverantwoordelijke in strijd is met de in lid 1 bedoelde wetgeving.
2.5 Verwerker zal, voor zover dat binnen haar macht ligt, redelijkerwijs bijstand verlenen aan Verwerkingsverantwoordelijke ten behoeve van het uitvoeren van
gegevensbeschermingseffectbeoordelingen (PIA’s). De tijd die hieraan wordt besteed, wordt door Verwerker bij Verwerkingsverantwoordelijke in rekening gebracht.
Artikel 3. Doorgifte van persoonsgegevens
3.1 Verwerker mag de persoonsgegevens verwerken in landen binnen de Europese Unie. Doorgifte naar landen buiten de Europese Unie is niet toegestaan, mits Verwerkingsverantwoordelijke daar toestemming voor geeft.
3.2 Verwerker zal Verwerkingsverantwoordelijke melden om welk land of welke landen het gaat.
Artikel 4. Verdeling van verantwoordelijkheid
4.1 De toegestane verwerkingen zullen door medewerkers van Verwerker worden uitgevoerd binnen een geautomatiseerde omgeving.
4.2 Verwerker is louter verantwoordelijk voor de verwerking van de persoonsgegevens onder
deze Verwerkersovereenkomst, overeenkomstig de instructies van Verwerkingsverantwoordelijke en onder de uitdrukkelijke (eind-)verantwoordelijkheid van Verwerkingsverantwoordelijke. Voor de overige verwerkingen van persoonsgegevens, waaronder in ieder geval begrepen, maar niet beperkt tot, de verzameling van de persoonsgegevens door de Verwerkingsverantwoordelijke, verwerkingen voor doeleinden die niet door Verwerkingsverantwoordelijke aan Verwerker zijn gemeld, verwerkingen door derden en/of voor andere doeleinden, is Verwerker uitdrukkelijk niet verantwoordelijk.
4.3 Verwerkingsverantwoordelijke garandeert dat de inhoud, het gebruik en de opdracht tot de verwerkingen van de persoonsgegevens zoals bedoeld in deze verwerkersovereenkomst
niet onrechtmatig zijn en geen inbreuk maken op enig recht van derden.
Artikel 5. Inschakelen van derden of onderaannemers
5.1 Verwerker is niet gerechtigd bij de Verwerking een derde als subverwerker in te schakelen zonder voorafgaande toestemming van de Verwerkersverantwoordelijke. Die toestemming kan ook betrekking hebben op categorieën van subverwerkers. In dat geval informeert de Verwerker de Verwerkingsverantwoordelijke schriftelijk over toevoegingen of vervangingen van door hem ingeschakelde subverwerkers. De Verwerkingsverantwoordelijke kan binnen 30 dagen daarna bezwaar maken tegen een specifieke subverwerker die Verwerker inschakelt. In dat geval kan Verwerker eventuele hogere kosten van de oorspronkelijke subverwerker bij Verwerkersverantwoordelijke in rekening brengen.
5.2 Indien Verwerkingsverantwoordelijke zijn toestemming geeft, draagt Verwerker ervoor zorg dat de betreffende derde een overeenkomst sluit waarin hij zich tenminste houdt aan dezelfde wettelijke verplichtingen en de eventuele aanvullende verplichtingen uit deze overeenkomst als die Verwerker heeft. Indien een subverwerker de aanvullende verplichtingen uit deze overeenkomst niet wenst te accepteren, kan Verwerkingsverantwoordelijke beslissen om voor de betreffende verwerkingen Verwerker van die aanvullende verplichtingen ontheffen opdat Verwerker toch de subverwerkingsovereenkomst kan sluiten.
5.3 Verwerkingsverantwoordelijke geeft hierbij toestemming voor het inschakelen van de in Bijlage 2 opgenomen subverwerkers en/of categorieën van subverwerkers.
Artikel 6. Beveiliging
6.1 Verwerker zal zich inspannen voldoende technische en organisatorische maatregelen te nemen met betrekking tot de te verrichten verwerkingen van persoonsgegevens, tegen verlies of tegen enige vorm van onrechtmatige verwerking (zoals onbevoegde kennisname, aantasting, wijziging of verstrekking van de persoonsgegevens).
6.2 Verwerker staat er niet voor in dat de beveiliging onder alle omstandigheden doeltreffend is. Indien een uitdrukkelijk omschreven beveiliging in de Verwerkersovereenkomst ontbreekt, zal Verwerker zich inspannen de beveiliging te laten voldoen aan een niveau dat, gelet op de stand van
de techniek, de gevoeligheid van de persoonsgegevens en de aan het treffen van de beveiliging verbonden kosten, niet onredelijk is.
6.3 Verwerkingsverantwoordelijke stelt enkel persoonsgegevens aan Verwerker ter beschikking voor verwerking, indien zij zich ervan heeft verzekerd dat de vereiste beveiligingsmaatregelen zijn getroffen. Verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van de door Partijen afgesproken maatregelen.
Artikel 7. Meldplicht
7.1 Verwerkingsverantwoordelijke is te allen tijde verantwoordelijk voor het melden van een beveiligingslek en/of datalek (waaronder wordt verstaan: een inbreuk op de beveiliging van persoonsgegevens die leidt tot een kans op nadelige gevolgen, dan wel nadelige gevolgen heeft, voor de bescherming van persoonsgegevens) aan de toezichthouder en/of betrokkenen. Om Verwerkingsverantwoordelijke in staat te stellen aan deze wettelijke plicht te voldoen, stelt Verwerker de Verwerkingsverantwoordelijke binnen 48 uur nadat het lek bij hem bekend is geworden op de hoogte van het beveiligingslek en/of het datalek.
7.2 Een melding moet altijd worden gedaan, maar alleen als de gebeurtenis zich daadwerkelijk voorgedaan heeft.
7.3 De meldplicht behelst in ieder geval het melden van het feit dat er een lek is geweest. Daarnaast behelst de meldplicht:
• de aard van de inbreuk in verband met persoonsgegevens, waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie;
• de naam en de contactgegevens van de functionaris voor gegevensbescherming of
een ander contactpunt waar meer informatie kan worden verkregen;
• de waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens;
• de maatregelen die de Verwerker heeft voorgesteld of genomen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.
Artikel 8. Afhandeling verzoeken van betrokkenen
8.1 In het geval dat een betrokkene een verzoek tot uitoefening van zijn/haar wettelijke rechten
richt aan Verwerker, zal Xxxxxxxxx het verzoek doorsturen aan Verwerkingsverantwoordelijke, en zal Verwerkingsverantwoordelijke het verzoek verder afhandelen. Verwerker mag de betrokkene daarvan op de hoogte stellen.
Artikel 9. Geheimhouding en vertrouwelijkheid
9.1 Verwerker houdt de Persoonsgegevens geheim. Verwerker draagt ervoor zorg dat de Persoonsgegevens niet direct of indirect ter beschikking komen van derden. Onder derden wordt ook het personeel van Verwerker begrepen voor zover het niet noodzakelijk is dat zij kennis nemen van de Persoonsgegevens. Dit gebod geldt niet indien in deze overeenkomst anders is bepaald en/of voor zover een wettelijk voorschrift of vonnis tot enige bekendmaking verplicht.
9.2 Verwerker zal Verwerkingsverantwoordelijke op de hoogte stellen van ieder verzoek van een ander dan de betrokkenen tot kennisneming, verstrekking of andere vorm van opvragen en mededeling van de Persoonsgegevens, in strijd met de in dit artikel opgenomen geheimhoudingsplicht tenzij de wet dat verbiedt. Verzoeken van betrokkenen geeft Verwerker door aan Verwerkingsverantwoordelijke of Verwerker verwijst betrokkenen naar Verwerkersverantwoordelijke.
Artikel 10. Audit
10.1 Verwerker geeft hierbij Verwerkingsverantwoordelijke het recht om een audit uit te laten voeren door een onafhankelijke derde die aan geheimhouding is gebonden ter controle van naleving van de bepalingen in deze Verwerkersovereenkomst of Verwerker verstrekt aan Verwerkingsverantwoordelijke een third party-mededeling, waarmee kan worden aangenomen dat Verwerker overeenkomstig de bepalingen in deze Verwerkersovereenkomst handelt. Voornoemde naar oordeel van Verwerker.
10.2 Deze audit mag eens per jaar plaatsvinden alsook bij een concreet vermoeden van misbruik van persoonsgegevens.
10.3 Verwerker zal aan de audit meewerken en alle voor de audit redelijkerwijs relevante informatie, inclusief ondersteunende gegevens zoals systeemlogs, en medewerkers zo tijdig mogelijk ter beschikking stellen.
10.4 De bevindingen naar aanleiding van de uitgevoerde audit zullen door Verwerker worden beoordeeld en kunnen, naar eigen goeddunken van Verwerker en op de wijze zoals Verwerker zelf bepaalt, worden doorgevoerd door Verwerker.
10.5. De kosten van de audit worden door Verwerkingsverantwoordelijke gedragen.
Artikel 11. Aansprakelijkheid
11.1 Verwerker is niet aansprakelijk voor schade die voortvloeit uit of samenhangt met het raadplegen of gebruiken van Incrowd, waaronder maar niet beperkt tot schade ontstaan als gevolg van eventuele fouten of, onvolledigheden, storingen of onderbrekingen in Incrowd.
11.2 De aansprakelijkheid van Verwerker voor indirecte schade is uitgesloten. Onder indirecte schade wordt verstaan alle schade die geen directe schade is en daarmee in ieder geval,
maar niet beperkt tot, gevolgschade, gederfde winst, gemiste besparingen, verminderde goodwill, schade door bedrijfsstagnatie, schade door het niet bepalen van marketingdoeleinden, schade verband houdende met het gebruik van door Verwerkingsverantwoordelijke voorgeschreven gegevens of databestanden, of verlies, verminking of vernietiging van gegevens of databestanden.
11.3 De in dit artikel bedoelde uitsluitingen en beperkingen komen te vervallen indien en voor zover de schade het gevolg is van opzet of bewuste roekeloosheid van de bedrijfsleiding
xxx Xxxxxxxxx.
Artikel 12. Duur en beëindiging
12.1 Deze Verwerkersovereenkomst start op de datum waarop de Verwerker de Verwerkingsverantwoordelijke toegang verschaft tot de klantomgeving.
12.2 Deze Verwerkersovereenkomst is minimaal aangegaan voor de duur van de eerste Incrowd Pro abonnementsperiode en bij gebreke daarvan in ieder geval voor de duur van de
samenwerking.
12.3 Zodra de Verwerkersovereenkomst, om welke reden en op welke wijze dan ook, is beëindigd, zal Verwerker – naar keuze van Verwerkingsverantwoordelijke – alle persoonsgegevens die bij haar aanwezig zijn in originele of kopievorm retourneren aan Verwerkingsverantwoordelijke, en/of deze persoonsgegevens en eventuele kopieën
daarvan binnen 30 dagen verwijderen en/of vernietigen. Voornoemde met uitzondering van de persoonsgegevens waarvan Verwerker deze moet bewaren teneinde de wettelijke (bewaar)verplichtingen na te komen.
Artikel 13. Toepasselijk recht en geschillenbeslechting
13.1 De Verwerkersovereenkomst en de uitvoering daarvan worden beheerst door Nederlands recht.
13.2 Alle geschillen, welke tussen Partijen mochten ontstaan in verband met de Verwerkersovereenkomst, zullen worden voorgelegd aan de bevoegde rechter voor het arrondissement waarin Verwerker gevestigd is.
Bijlage 1: Specificatie persoonsgegevens en betrokkenen
De Verwerker gaat niet na op klantomgevingen welke (persoons)gegevens verwerkt worden. Daarom gaat de Verwerker er standaard vanuit dat zij verwerker zijn van de categorie standaard persoonsgegevens (zoals naam, adres, etc.) en heeft daar de standaard beheersmaatregelen voor doorgevoerd.
Indien de Verwerkingsverantwoordelijke de categorie bijzondere persoonsgegevens (zoals burger service nummer, ras/ ethische afkomst, gezondheidsgegevens, geloofs-/ levensovertuiging, “afwijkende” geaardheid, politieke voorkeur/ -opvatting, seksuele geaardheid/ -gedrag, lidmaatschap vakbond, juridische gegevens, genetische-/ biometrische gegevens) laat verwerken door de Verwerker en daar specifieke beheersmaatregelen aan stelt, dient dit specifiek door de verwerkingsverantwoordelijke gemeld te worden aan de Verwerker.
De Verwerkingsverantwoordelijke dient de categorie bijzondere persoonsgegevens met eventuele specifieke beheersmaatregelen en naam functionaris gegevensbescherming (FG) aan te leveren
in een “Register persoonsgegevens” die voldoet aan de eisen zoals gesteld in de Algemene
Verordening Gegevensbescherming (AVG).
De Verwerkingsverantwoordelijke is tevens verantwoordelijk voor het up-to-date houden van de
aangeleverde ‘Register persoonsgegevens”.
Indien de Verwerker geen “register persoonsgegevens” met (eventueel) aanvullende beheersmaatregelen ontvangt van de Verwerkingsverantwoordelijke kan ervan uitgegaan worden dat er geen of standaard persoonsgegevens verwerkt worden en de standaard beheersmaatregelen afdoende zijn voor het doel van de Overeenkomst.
Verwerkingsverantwoordelijke staat ervoor in dat de in deze Bijlage 1 omschreven categorieën betrokkenen volledig en correct zijn, en vrijwaart Verwerker voor enige gebreken en aanspraken die resulteren uit een incorrecte weergave door Verwerkingsverantwoordelijke.
Bijlage 2: Beveiligingsprotocol (standaard beheersmaatregelen)
In deze bijlage staat een overzicht van categorieën van subverwerkers zoals genoemd in art. 5.3 van deze overeenkomst. Verwerker kan, afhankelijk van de te leveren diensten, bij de Verwerking gebruik maken van de volgende categorieën van subverwerkers:
I SMS / E-mail / Push notificatie provider
II Cloud provider
III Service provider
Ad I
Verwerker maakt voor de uitvoering van de dienstverlening gebruik van de volgende SMS / E-mail –
Push notificatie providers:
- Flowmailer (xxxx://xxxxxxxxxx.xxx)
- Firebase (xxxxx://xxxxxxxx.xxxxxx.xxx)
Ad II
Verwerker maakt de uitvoering van de dienstverlening gebruik van de diensten van de volgende Cloud providers:
- Denit Hosting Solutions (xxxxx://xxxxx.xx)
- Strato (xxxxx://xxx.xxxxxx.xx)
Genomen organisatorische-, technische- en ISO 27001 maatregelen* om de beveiliging van de persoonsgegevens in bovengenoemde datacenters te waarborgen, zijn:
Enkele organisatorische maatregelen die genomen zijn, zijn:
• werken volgens ISO 27001 – Informatiemanagementsysteem
• bewustzijn van medewerkers
• training van medewerkers
• kennis en competentie van medewerkers
• procedures en instructies
Enkele technische maatregelen die genomen zijn, zijn:
• fysieke beveiliging van ruimtes
• digitale beveiliging van systemen en applicaties
• hard- en software maatregelen
• update maatregelen
• virusscans
• firewalls
• logging maatregelen
• wachtwoordbeheer
• autorisatie
• encryptie
• etc.
ISO 27001 maatregelen:
In de ISO 27001 zijn er een aantal beheersmaatregelen opgenomen, bestaande uit hoofdonderdelen, onderverdeeld in subonderdelen. De hoofdonderdelen bestaan uit:
• informatiebeveiligingsbeleid
• organiseren van informatiebeveiliging
• veilig personeel
• beheer van bedrijfsmiddelen
• toegangsbeveiliging
• cryptografie
• fysieke beveiliging van de omgeving
• beveiliging van bedrijfsvoering
• communicatiebeveiliging
• onderhoud van systemen
• leveranciersrelatie
• beheer van informatiebeveiligingsincidenten
• informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer
• naleving
De hoofd- en subonderdelen zijn nader beschreven in ISO 27001 (bijlage A) en ISO 27002. Indien u specifieke vragen over het beveiligingsprotocol (standaard maatregelen) heeft, kunt u contact opnemen. Mocht de Verwerkingsverantwoordelijke aanvullende specifieke beheersmaatregelen verlangen dan verwijzen we graag naar bijlage 1 Specificatie persoonsgegevens en betrokkenen.
Ad III
Verwerker maakt bij de uitvoering van de dienstverlening gebruik van de diensten van de volgende Service providers:
- Studio16 Websolutions (xxxxx://xxx.xxxxxx00.xxxx)
- Statuspage (xxxxx://xxx.xxxxxxxxxx.xx)
* De maatregelen zijn algemeen beschreven, omdat een specifieke beschrijving van de maatregelen een groot risico kan zijn voor de bescherming van de maatregelen.