VERWERKERSOVEREENKOMST NAAM KLANT – ISTA DES B.V. DE ONDERGETEKENDEN:
VERWERKERSOVEREENKOMST NAAM KLANT – ISTA DES B.V. DE ONDERGETEKENDEN:
NAAM KLANT statutair gevestigd te XXXXX en kantoorhoudende te XXXX XX XXXXXX, XXXXXX, in deze rechtsgeldig vertegenwoordigd door de heer/ mevrouw XXX, hierna te noemen: “Verantwoordelijke”.
en
ISTADES B.V., een besloten vennootschap met beperkte aansprakelijkheid, statutair gevestigd te Schiedam
en kantoorhoudende te (3125 AP) Schiedam aan de Xxxxxxxxxxxxx 00, in deze rechtsgeldig vertegenwoordigd door de xxxx Xxxx Xxxxxxxxx, hierna te noemen: “Verwerker”.
ista en Afnemer hierna elk afzonderlijk ook te noemen: “Partij” en gezamenlijk “Partijen”.
NEMEN IN AANMERKING DAT:
I. Tussen Verwerker en Verantwoordelijke separate dienstverleningsovereenkomsten bestaan op basis waarvan Verwerker in opdracht en ten behoeve van Verantwoordelijke diensten verleent in verband met het ontwikkelen en beheren van energie-installaties, dan wel het meten van warmte verbruik en het verzorgen van afrekeningen van warmtelevering;
II. Deze Verwerkersovereenkomst onlosmakelijk is verbonden met de in overweging I genoemde dienstverleningsovereenkomsten;
III. Deze Verwerkersovereenkomst van toepassing is op alle vormen van verwerking van de persoonsgegevens, zoals gedefinieerd in Bijlage 1 en die Verwerker uitvoert voor zover nodig voor de uitvoering van de in overweging I genoemde dienstverleningsovereenkomsten;
IV. Verantwoordelijke de verantwoordelijke is voor de verwerking van de persoonsgegevens in de zin van de Algemene Verordening Gegevensbescherming dan wel eventuele toekomstige wetgeving ter vervanging daarvan;
V. Verwerker de persoonsgegevens ten behoeve van Verantwoordelijke en in diens opdracht zal verwerken en Verwerker is in de zin van de AVG.
VERKLAREN ALS VOLGT TE ZIJN OVEREENGEKOMEN:
Artikel 1. - Doeleinden van verwerking
1.1 Verwerker verbindt zich onder de voorwaarden van deze Verwerkersovereenkomst en uitsluitend in schriftelijke opdracht van Verantwoordelijke persoonsgegevens te verwerken.
1.2 Verwerker zal de persoonsgegevens niet voor enig ander doel verwerken dan zoals door Verantwoordelijke is vastgesteld. Verantwoordelijke zal Verwerker op de hoogte stellen van de verwerkingsdoeleinden voor zover deze niet reeds in deze Verwerkersovereenkomst zijn genoemd.
1.3 De in opdracht van Verantwoordelijke te verwerken persoonsgegevens blijven eigendom van Verantwoordelijke en/of de betreffende betrokkenen.
1.4 Verantwoordelijke garandeert dat de verwerking van persoonsgegevens ter uitvoering van de in overweging I genoemde dienstverleningsovereenkomsten te allen tijde in overeenstemming is met de Algemene Verordening Gegevensbescherming en te zullen voldoen aan eventuele toekomstige wetgeving ter vervanging daarvan.
Artikel 2. Verplichtingen Verwerker
2.1 Ten aanzien van de in Bijlage 1 genoemde verwerkingen zal Verwerker zorg dragen voor de naleving van de toepasselijke wet- en regelgeving, waaronder in ieder geval begrepen de wet- en regelgeving op het gebied van de bescherming van persoonsgegevens, zoals de Algemene Verordening Gegevensbescherming (AVG) en eventuele toekomstige wetgeving ter vervanging daarvan.
2.2 De verplichtingen van de Verwerker die uit deze Verwerkersovereenkomst voortvloeien, gelden ook voor degenen die persoonsgegevens verwerken onder het gezag van Verwerker, waaronder begrepen maar niet beperkt tot werknemers, in de ruimste zin van het woord.
Artikel 3. Locaties van de verwerking en doorgifte van persoonsgegevens
3.1 De locaties van de verwerking van de persoonsgegevens zijn opgenomen in Bijlage 1.
3.2 Verwerker mag de persoonsgegevens verwerken in landen binnen de Europese Unie. Doorgifte naar landen buiten de Europese Unie is verboden, behoudens in het geval aan de wettelijke vereisten is voldaan.
3.3 Verwerker mag uitsluitend met voorafgaande schriftelijke toestemming van Verantwoordelijke de verwerking van de persoonsgegevens uitbesteden aan een sub Verwerker. Verantwoordelijke verleent bij voorbaat toestemming voor de sub Verwerkers die zijn vermeld in Bijlage 1. Verwerker informeert Verantwoordelijke over elke vervanging of toevoeging van de in Bijlage 1 opgenomen sub Verwerkers. Verantwoordelijke zal haar toestemming voor een dergelijke sub verwerking niet op onredelijke gronden onthouden.
Artikel 4. Verdeling van verantwoordelijkheid
4.1 Verwerker is louter verantwoordelijk voor de verwerking van de persoonsgegevens onder deze Verwerkersovereenkomst, overeenkomstig de schriftelijke instructies van Verantwoordelijke en onder de uitdrukkelijke (eind-)verantwoordelijkheid van Verantwoordelijke. Voor de overige verwerkingen van persoonsgegevens, waaronder in ieder geval begrepen, maar niet beperkt tot, de verzameling van de persoonsgegevens door de Verantwoordelijke, verwerkingen voor doeleinden die niet door Verantwoordelijke aan Verwerker zijn gemeld, verwerkingen door derden en/of voor andere doeleinden, is Verwerker uitdrukkelijk niet verantwoordelijk.
4.2 Verantwoordelijke garandeert dat de inhoud, het gebruik en de opdracht tot de verwerkingen van de persoonsgegevens zoals bedoeld in deze Overeenkomst, niet onrechtmatig is en geen inbreuk maken op enig recht van derden.
Artikel 5. Beveiliging
5.1 Verwerker zal passende technische en organisatorische maatregelen ten uitvoer leggen met betrekking tot de te verrichten verwerkingen van persoonsgegevens, tegen verlies of tegen enige vorm van onrechtmatige verwerking (zoals onbevoegde kennisname, aantasting, wijziging of verstrekking van de persoonsgegevens). De door Verwerker getroffen maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico’s die de verwerking en de aard van de te
beschermen persoonsgegevens met zich meebrengen.
5.2 Verwerker zal van de overeenkomstig artikel 5.1 van deze Verwerkersovereenkomst getroffen beveiligingsmaatregelen een up to date overzicht bijhouden en daarvan op verzoek van de Verantwoordelijke eenmaal per jaar een afschrift verstrekken aan de Verantwoordelijke. Een overzicht van de op het moment van ondertekenen van deze Verwerkersovereenkomst door Verwerker getroffen maatregelen is opgenomen in Bijlage 2.
5.3 Verantwoordelijke stelt enkel persoonsgegevens aan Verwerker ter beschikking voor verwerking, indien zij zich er van heeft verzekerd dat de vereiste beveiligingsmaatregelen zijn getroffen. Verantwoordelijke is verantwoordelijk voor de naleving van de door Partijen afgesproken maatregelen.
5.4 Verwerker werkt volgens de ISO 27001 / ISO 27002-standaarden voor wat betreft de verwerking van de persoonsgegevens waar deze Verwerkersovereenkomst op ziet.
Artikel 6. Meldplicht
6.1 Een Datalek is een inbreuk op de beveiliging, die leidt tot ernstige nadelige gevolgen voor de bescherming van persoonsgegevens of een aanzienlijke kans daarop. Een inbreuk is een doorbreking van de technische en organisatorische maatregelen die ter beveiliging van de persoonsgegevens zijn getroffen.
6.2 In het geval van een Datalek zal Verwerker de Verantwoordelijke zo spoedig mogelijk na ontdekking van het Datalek daarover informeren.
6.3 In het geval Verwerker bekend is met het bestaan van een Datalek aan haar zijde of aan de zijde van haar medewerkers of haar eventuele sub Verwerkers, zal Verwerker zich naar beste kunnen inspannen om Verantwoordelijke zo spoedig mogelijk - doch uiterlijk binnen vierentwintig (24) uren op de hoogte te brengen, doch uitsluitend indien het desbetreffende Datalek betrekking heeft of kan hebben op de in opdracht van Verantwoordelijke verwerkte persoonsgegevens. De desbetreffende informatie zal door Verwerker worden verstrekt aan de volgende functionaris van Verantwoordelijke: De heer/ mevrouw XXXXX, telefoon 06-XXXX of op het volgende email-adres: XXX@XXX.XX. Bij geen reactie - binnen een (1) uur - op telefoon of email stelt Xxxxxxxxx onverwijld zijn vervanger in kennis gesteld, zijnde: De heer/ mevrouw XXXXX, telefoon 06-XXXX of op het volgende email-adres: XXX@XXX.XX.
6.4 De meldplicht behelst in ieder geval het melden van het feit dat er een Datalek is geweest. Daarnaast behelst de meldplicht:
- De datum waarop, of de periode waarin het Datalek heeft plaatsgevonden.
- Een omschrijving van het Datalek.
- De (vermeende) oorzaak is van het Datalek.
- Een beschrijving van de soort groep en het aantal personen waarvan de gegevens bij het Datalek (mogelijk) betrokken zijn en, indien bekend, de identiteit van deze betrokkenen.
- Het (vooralsnog bekende en/of te verwachten) gevolg.
- De (voorgestelde) oplossing.
- De maatregelen die genomen zijn om de gevolgen van de het Datalek te beperken.
- Contactgegevens van de contactpersoon binnen de Verwerker voor de opvolging van de melding.
- Wie geïnformeerd is door de Verwerker (zoals betrokkene zelf, Verantwoordelijke, toezichthoudende autoriteit met betrekking tot de verwerking van persoonsgegevens).
6.5 Indien de in artikel 6.4 bedoelde gegevens niet reeds direct voor Verwerker beschikbaar zijn, zal Verwerker zich er voor inspannen om de verstrekte informatie binnen redelijke termijn volledig, correct en accuraat aan te leveren.
6.6 Het is de verantwoordelijkheid van Verantwoordelijke om te beslissen of na ontvangst van de in artikel
6.3 en 6.4 bedoelde informatie een melding van het Datalek aan de toezichthoudende autoriteit met betrekking tot de verwerking van persoonsgegevens en/of de betrokkenen worden gedaan.
6.7 Indien de wet- en/of regelgeving dit vereist, zal Verwerker in overleg met Verantwoordelijke meewerken aan het informeren van de terzake relevante autoriteiten en/of betrokkenen.
6.8 Verwerker dient, zodra een Datalek is geconstateerd, zo spoedig mogelijk en voor eigen rekening en risico alle maatregelen te treffen die redelijkerwijs noodzakelijk zijn om de schadelijke gevolgen van het Datalek te beperken en om herhaling te voorkomen.
Artikel 7. Afhandeling verzoeken van betrokkenen of de Autoriteit Persoonsgegevens
7.1 In het geval dat een betrokkene een verzoek tot inzage, verbetering, aanvulling, wijziging of afscherming, zoals bedoeld in de AVG, of de toezichthoudende autoriteit ter zake van de verwerking van persoonsgegevens een verzoek doet, stelt Verwerker Verantwoordelijke hiervan op de hoogte. Verantwoordelijke zal dergelijke verzoeken afhandelen. Partijen zullen elkaar de nodige informatie en medewerking verlenen om te voldoen aan een dergelijk verzoek.
Artikel 8. Geheimhouding en vertrouwelijkheid
8.1 Op alle persoonsgegevens die Verwerker van Verantwoordelijke ontvangt en/of zelf verzamelt in het kader van deze Verwerkersovereenkomst, rust een geheimhoudingsplicht jegens derden. Verwerker zal deze informatie niet voor een ander doel gebruiken dan waarvoor zij deze heeft verkregen, zelfs niet wanneer deze in een zodanige vorm is gebracht dat deze niet tot betrokkenen herleidbaar is.
8.2 Deze geheimhoudingsplicht is niet van toepassing voor zover Verantwoordelijke uitdrukkelijke toestemming heeft gegeven om de informatie aan derden te verschaffen, zoals in het geval van sub Verwerkers, indien het verstrekken van de informatie aan derden logischerwijs noodzakelijk is gezien de aard van de verstrekte opdracht en de uitvoering van deze Verwerkersovereenkomst, of indien er een wettelijke verplichting bestaat om de informatie aan een derde te verstrekken.
Artikel 9. Audit
9.1 Verantwoordelijke heeft het recht om audits door een onafhankelijke derde uit te laten voeren ter controle van naleving van alle punten uit de Verwerkersovereenkomst.
9.2 Deze audit mag eens per jaar plaatsvinden alsook bij een concreet vermoeden van misbruik van persoonsgegevens.
9.3 Verwerker zal aan de audit meewerken en deze derde daartoe onder meer toegang geven tot haar gebouwen en systemen om te kunnen controleren of aan de beveiligingsmaatregelen is voldaan.
9.4 Indien Verantwoordelijke van dit recht gebruik wenst te maken, zal zij Verwerker daarvan ten minste vier weken voor aanvang van het onderzoek schriftelijk op de hoogte stellen en het onderzoek in overleg met Verwerker zodanig inrichten dat de normale bedrijfsvoering van Verwerker daardoor zo min mogelijk wordt geschaad.
9.5 De bevindingen naar aanleiding van de uitgevoerde audit zullen zo spoedig mogelijk door Partijen besproken. Eventuele maatregelen die Partijen naar aanleiding van de uitgevoerde audit zijn overeengekomen worden zo spoedig mogelijk door Verwerker doorgevoerd.
9.6 De redelijke kosten van de audit worden door Verwerker gedragen indien er niet conform de Verwerkersovereenkomst blijkt te zijn gewerkt. In ieder ander geval zullen de kosten van de Audit Worden gedragen door Verantwoordelijke.
9.7 Verwerker sluit met diverse “Verantwoordelijke partijen” (bijv. woningcorporaties) Verwerkersovereenkomsten af. Ter voorkoming van “ieder zijn eigen audit” en navenant enorme kosten, wordt het volgende afgesproken:
- De partijen die met Verwerker een Verwerkersovereenkomst hebben afgesloten, stemmen onderling af over het tijdstip van een audit, de keuze voor een auditer, maar ook over de noodzaak van een uit te laten voeren audit.
- De partijen die met Verwerker een Verwerkersovereenkomst hebben afgesloten, delen gelijkelijk de kosten van een dergelijke audit (rekening houdend met art 9.6).
- Verwerker zal in elke volgende Verwerkersovereenkomst ditzelfde artikel opnemen.
- Verwerker zal schriftelijk bijhouden met welke partijen Verwerker een Verwerkersovereenkomst heeft afgesloten.
Artikel 10. Aansprakelijkheid en boetebepalingen
10.1 Verwerker is aansprakelijk voor alle schade die voortvloeit uit de aan Verwerker toerekenbare schending van de wet- en regelgeving betreffende de verwerking van persoonsgegevens in het kader van deze Verwerkersovereenkomst en/of niet-nakoming van verplichtingen van deze Verwerkersovereenkomst door Xxxxxxxxx.
10.2 Verwerker zal Verantwoordelijke vrijwaren en stelt Verantwoordelijke schadeloos voor alle boetes, aanspraken, kosten en vorderingen, waaronder boetes van de Autoriteit Persoonsgegevens die Verantwoordelijke maakt of lijdt en die direct of indirect voortvloeien uit of tot stand komen in verband met een tekortkoming door Verwerker en/of diens onderaannemers in de nakoming van zijn verplichtingen onder deze Verwerkersovereenkomst en/of enige schending door Xxxxxxxxx en/of diens onderaannemers van de van toepassing zijnde wetgeving op het gebied van verwerking van persoonsgegevens in verband met de Overeenkomst.
Artikel 11. Duur en beëindiging
11.1 Deze Verwerkersovereenkomst komt tot stand door ondertekening van Partijen en op de datum van de laatste ondertekening.
11.2 Deze Verwerkersovereenkomst is aangegaan voor onbepaalde tijd en onlosmakelijk verbonden met de in overweging I genoemde dienstverleningsovereenkomsten. Mochten een van deze overeenkomsten eindigen, dan eindigt de onderhavige Verwerkersovereenkomst na afhandeling van onderstaand artikel
11.3 eveneens met betrekking tot de betreffende dienstverleningsovereenkomst.
11.3 Zodra de Verwerkersovereenkomst, om welke reden en op welke wijze dan ook, is beëindigd, zal Verwerker alle persoonsgegevens die bij haar aanwezig zijn in originele of kopievorm retourneren aan Verantwoordelijke, en daarna deze en eventuele kopieën daarvan verwijderen en/of vernietigen, tenzij Verwerker wettelijk verplicht is de persoonsgegevens op te slaan.
Artikel 12. Toepasselijk recht en geschillenbeslechting
12.1 De Verwerkersovereenkomst en de uitvoering daarvan worden beheerst door Nederlands recht.
12.2 Alle geschillen, welke tussen Partijen mochten ontstaan in verband met de Verwerkersovereenkomst, zullen worden voorgelegd aan de bevoegde rechter voor het arrondissement waarin Verantwoordelijke gevestigd is.
Aldus overeengekomen en opgemaakt in tweevoud,
Voor Verantwoordelijke: Voor Verwerker:
Naam: Verantwoordelijke Naam: Xxxx Xxxxxxxxx
Functie: Functienaam Functie: Algemeen directeur
Datum: Datum: