Standaard Verwerkersovereenkomst Gemeenten VNG Model

Standaard Verwerkersovereenkomst Gemeenten VNG Model

Inclusief:

Bijlage 1: Overzicht te verwerken persoonsgegevens Bijlage 2: Aantonen passend niveau van beveiliging Bijlage 3: Addendum I (afwijkingen)

Ten behoeve van

Gemeente:

Datum:

Status 1.1 (01.08.2021)

Referentie Verwerkersovereenkomst VNG Model APPA / BWW - Visma Idella

Verwerkersovereenkomst uitvoering van de APPA / BWW

Gemeente

hierbij rechtsgeldig vertegenwoordigd door de heer/mevrouw verder te noemen “Verwerkingsverantwoordelijke”,

en

Visma Idella B.V.,

gevestigd te (3821 BB) Amersfoort aan de Plotterweg 24, KVK-nummer 39048695 hierbij rechtsgeldig vertegenwoordigd door mevrouw L.P. Xxxxx, Managing Director, verder te noemen “Verwerker",

hierna afzonderlijk te noemen “Partij”, of gezamenlijk “Partijen” Overwegen het volgende:

a) Partijen hebben een Overeenkomst van Opdracht voor de uitvoering van:

- de Algemene Pensioenwet Politieke Ambtsdragers (ookwel “APPA”) en/of

- Uitvoeringsovereenkomst Werkloosheidsregelingen cao gemeenten (ookwel “BWW”) . hierna (gezamenlijk) te noemen de “de Hoofdovereenkomst”, afgesloten.

Op grond van de Hoofdovereenkomst levert Verwerker de volgende dienst(en) aan de Verwerkingsverantwoordelijke:

- uitvoering van één of meerdere APPA (pensioen- / wachtgeld- /

uitkerings-) regelingen, ten behoeve van één of meer (gewezen) wethouders van Verwerkingsverantwoordelijke, en/of

- uitvoering van de uitvoeringsovereenkomst Werkloosheidsregelingen cao gemeenten, ten behoeve van ex-medewerker(s) van de gemeente.

b) Verwerker verwerkt voor de uitvoering van de Hoofdovereenkomst Persoonsgegevens voor Verwerkingsverantwoordelijke;

c) Op de verwerking van Persoonsgegevens door Verwerker zijn de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG) van toepassing;

d) Partijen willen in aanvulling op de AVG en de UAVG de volgende afspraken over de verwerking van Persoonsgegevens vastleggen in deze verwerkersovereenkomst (hierna: de Verwerkersovereenkomst);

En komen het volgende overeen:

Artikel 1 Definities

1.1 Begrippen uit de AVG en de UAVG die in deze Verwerkersovereenkomst worden gebruikt, hebben dezelfde betekenis.

1.2 Bijlagen: aanhangsels bij deze Verwerkersovereenkomst, die onlosmakelijk deel uitmaken van deze Verwerkersovereenkomst.

Artikel 2 Ingangsdatum en duur

2.1 Deze Verwerkersovereenkomst gaat in op het moment dat de Hoofdovereenkomst tot stand is gekomen, tenzij Partijen anders overeenkomen.

2.2 Deze Verwerkersovereenkomst eindigt op het moment dat Verwerker de verwerking van Persoonsgegevens op grond van de Hoofdovereenkomst heeft beëindigd en de afspraken over het

teruggeven en/of wissen van Persoonsgegevens zijn nagekomen.

Artikel 3 Onderwerp van deze Verwerkersovereenkomst

3.1 Verwerker verwerkt de door of via Verwerkingsverantwoordelijke ter beschikking gestelde Persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke voor de uitvoering van de Hoofdovereenkomst en uitsluitend overeenkomstig schriftelijke instructies van Verwerkingsverantwoordelijke, tenzij een op Verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke wettelijke bepaling hem tot verwerking verplicht. In dat geval zal Verwerker Verwerkingsverantwoordelijke, voorafgaand aan de verwerking, daarvan zonder onredelijke vertraging in kennis stellen, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.

3.2 De door Verwerker uit te voeren verwerkingen staan beschreven in tabel 1 van Bijlage 1.

Artikel 4 Inhoudelijke afspraken

4.1 Beveiligingsmaatregelen

Verwerker zorgt voor passende technische en organisatorische maatregelen om de Persoonsgegevens goed te beveiligen, zoals bedoeld in artikel 32 AVG. De wijze waarop Verwerker de passende technische en organisatorische maatregelen aantoont, staat in Bijlage 2.

4.2 Audits

Verwerker verleent alle benodigde medewerking aan audits uitgevoerd door een gecertificeerde auditor over de nakoming van de afspraken binnen deze Verwerkersovereenkomst en Bijlagen, tenzij Verwerker door middel van een geldige certificering, die periodiek door een geaccrediteerde instelling wordt getoetst, heeft aangetoond dat Verwerker de gemaakte afspraken nakomt. De kosten van deze audit worden gedragen door Verwerkingsverantwoordelijke (zowel eigen kosten als kosten van Verwerker), tenzij de auditor één of meer tekortkomingen van niet ondergeschikte aard van Verwerker constateert die ten nadele zijn van Verwerkingsverantwoordelijke.

4.3 Verwerking buiten de EER

Verwerker mag Persoonsgegevens buiten de Europese Economische Ruimte (laten) verwerken wanneer is voldaan aan de voorwaarden van artikel 45 of 46 AVG. Wanneer er sprake is van een verwerking buiten de EER, dan stelt Verwerker Verwerkingsverantwoordelijke daarvan vooraf op de hoogte.

4.4 Geheimhouding

Personen die werken voor (sub)Verwerker en (sub)Verwerker zelf, moeten Persoonsgegevens waarmee zij werken geheimhouden. De personen die werken voor Xxxxxxxxx en subverwerkers hebben daarom een geheimhoudingsverklaring getekend, of zich op een andere manier schriftelijk gebonden aan de geheimhouding.

4.5 Subverwerkers

De ten tijde van het afsluiten van deze Verwerkersovereenkomst bekende subverwerkers vermeldt Verwerker in tabel 3 van Bijlage 1. Verwerkingsverantwoordelijke verleent hierbij algemene toestemming voor de inschakeling van subverwerkers. Verwerker houdt na de start van de werkzaamheden Verwerkingsverantwoordelijke op de hoogte van de beoogde inschakeling van nieuwe subverwerkers. Bij de inschakeling van subverwerkers blijven de artikelen 28.2 en 28.4 AVG onverkort van kracht.

4.6 Rechten van betrokkenen

Als een betrokkene een beroep doet op zijn rechten zoals genoemd in artikel 12 t/m 22 AVG, helpt Verwerker Verwerkingsverantwoordelijke om daarop binnen de wettelijke termijnen een beslissing te nemen.

4.7 Gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging

Op verzoek van Verwerkingsverantwoordelijke werkt Verwerker altijd mee aan een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging als bedoeld in artikel 35 en 36 AVG.

Artikel 5 Inbreuk in verband met Persoonsgegevens

5.1 Verwerker zal Verwerkingsverantwoordelijke zonder onredelijke vertraging, maar uiterlijk binnen 24 uur, informeren na vaststelling van een (vermoedelijke) Inbreuk in verband met Persoonsgegevens. Verwerker vermeldt hierbij voor zover bekend de vermeende oorzaak van de (vermoedelijke) Inbreuk, de categorie persoonsgegevens, de categorie betrokkenen en het aantal betrokkenen.

5.2 In geval van een Inbreuk neemt Verwerker zonder onredelijke vertraging alle maatregelen om de Inbreuk te herstellen, de gevolgen daarvan te beperken en verdere Inbreuken te voorkomen.

5.3 Verwerker heeft een gedetailleerd logboek van de Inbreuken en de maatregelen die op Inbreuken zijn genomen. Verwerkingsverantwoordelijke mag dat inzien, wanneer deze daarom vraagt.

5.4 Verwerkingsverantwoordelijke beslist of de Inbreuk moet worden gemeld bij de toezichthoudende autoriteit en/of Betrokkene. Verwerker ondersteunt de Verwerkingsverantwoordelijke waar nodig bij de melding aan de toezichthoudende autoriteit en/of Betrokkene.

Artikel 6 Aansprakelijkheid

6.1 Eventuele in de Hoofdovereenkomst overeengekomen beperkingen van de aansprakelijkheid hebben ook betrekking op de Verwerkersovereenkomst.

Artikel 7 Beëindigen verwerkersovereenkomst

7.1 Partijen moeten in de Hoofdovereenkomst afspraken maken over de beëindiging van de Hoofdovereenkomst en de daaruit voortvloeiende teruggave en wissing van Persoonsgegevens.

7.2 De geheimhouding geldt ook nog na beëindiging van deze Verwerkersovereenkomst.

Artikel 8 Overige bepalingen

8.1 Op deze overeenkomst is Nederlands recht van toepassing. Alle geschillen, ook als alleen één Partij vindt dat er een geschil is, zullen in eerste instantie worden voorgelegd aan dezelfde bevoegde rechter als genoemd in de Hoofdovereenkomst.

Ondertekening

Aldus overeengekomen en in tweevoud ondertekend, Ingangsdatum: zie Artikel 2.1.

Gemeente Visma Idella B.V.

De burgemeester van

namens deze: namens deze: L.P. Frens, Managing Director

plaats: plaats: Almere

datum: datum: Dit document wordt digitaal ondertekend

Bijlage 1: Overzicht te verwerken persoonsgegevens Bijlage 2: Xxxxxxxx passend niveau van beveiliging

Bijlage 1: Overzicht van te verwerken persoonsgegevens

1. Naam verwerking, doeleinden categorieën van betrokkenen, soort persoonsgegevens en eventuele doorgifte naar derde landen.

Naam verwerking	Verwerkings- doeleinden	Categorieën van Betrokkenen	Categorie Persoonsgegevens (waaronder bijzondere persoonsgegevens)	Doorgifte naar derde landen	Doorgifte- instrument	Aanvullende maatregelen (indien van toepassing)
Uitvoeren APPA regelingen	Uitvoeren APPA regelingen - het nakomen van de verplichtingen van Verwerker onder de Hoofdovereen- komst	Pensioen-, wachtgeld- en uitkerings- gerechtigden	Naam-, adres- en woonplaatsgegevens, uitkeringsgerechtigde en/of pensioengegevens en mutaties, burgerservicenummer, inhoudingen sociaal & fiscaal, geboortedatum / sterftedatum, belonings-, uitkeringsgegevens	Nee, zie subver- werkers	N.v.t.	N.v.t.
			en/of pensioengegevens en mutaties, geslacht, vorderingen, ontvanger NAW, bankrekeningnummer, beslagleggingen, bankrekeningnr. en financiële gegevens
Uitvoeren	Uitvoeren van	ex-werknemers	naam-, adres- en	Nee, zie	N.v.t.	N.v.t.
BWW	de		woonplaatsgegevens	subver-
	UItvoeringsover		burgerservicenummer,	werkers
	eenkomst		inhoudingen sociaal &
	Werkloosheids-		fiscaal, geboortedatum
	regelingen cao		/ sterftedatum,
	gemeenten		uitkeringsgegevens, geslacht, vorderingen,
			bankrekeningnummer,
			beslagleggingen en
			(overige) financiële
			gegevens

2. Contactgegevens

Contactpersoon Verwerkingsverantwoordelijke (NB: Ook buiten kantooruren)	Naam: Emailadres: Telefoonnummer:
Contactpersoon Verwerker (NB: Ook buiten kantooruren)	Algemene verzoeken over de overeenkomst: Xxxxxxx xx Xxxxx – Business Operations Director

	xxxxxxx.xxxxxxx@xxxxx.xxx x00000000000 Xxxxxx van onrechtmatige verwerking(en) van persoonsgegevens: Xxxxxxx Xxxxx – Data Protection Officer xxxxxxx.xxxxx@xxxxx.xxx x00000000000
Contactgegevens IBD VNG	Telefoonnummer 070-373 8011

NB: Eventuele wijzigingen in bovenstaande tabellen geven partijen op korte termijn aan elkaar door.

3. Ingeschakelde subverwerkers

Verwerker	Land van vestiging	Opslaglocatie (land)	Aard van de dienstverlening (SaaS, IaaS, (...)	Cloud uitbesteding?
Visma Idella B.V.	Nederland	Nederland (met uitwijklocatie binnen EER)	Zie Overeenkomsten	Ja. Visma Idella besteedt Service/System Management, Infra & Hosting via haar Subverwerker uit aan Microsoft Azure. en/of Ja. Visma Idella besteedt Service/System Management, Infra & Hosting uit via haar Subverwerker. Housing vindt plaats bij Equinix datacenters te Zwolle/Enschede

	Naam	Locatie/ land	Systeem voor juridische overdracht als subverwerker toegang heeft tot persoonsgegevens uit landen gelegen buiten de EU	Assisteert Verwerker met
1.	Visma Raet B.V.	Nederland	Niet van toepassing, data binnen de EU	hosting & storage
2	XA Document Solutions B.V	Nederland	Niet van toepassing binnen de EU	verwerken inkomens verklaringen en genereren salaris- specificaties

Bijlage 3: Addendum op Verwerkersovereenkomst VNG Model APPA - Visma Idella

*Deze bijlage is uitsluitend van toepassing in geval er geen hoofdovereenkomst tussen partijen is getekend*

Gemeente

hierbij rechtsgeldig vertegenwoordigd door de heer/mevrouw verder te noemen “Verwerkingsverantwoordelijke”,

en

Visma Idella B.V.,

gevestigd te (3821 BB) Amersfoort aan de Plotterweg 24, KVK-nummer 39048695 hierbij rechtsgeldig vertegenwoordigd door mevrouw L.P. Xxxxx, Managing Director, verder te noemen “Verwerker",

hierna afzonderlijk te noemen “Partij”, of gezamenlijk “Partijen” OVERWEGENDE DAT:

A. Partijen een verwerkersovereenkomst VNG Model APPA- Visma Idella zijn overeengekomen (“de Verwerkersovereenkomst”);

B. Partijen een nadere invulling wensen te geven aan het in artikel 6 en artikel 7 van de Verwerkersovereenkomst wensen te geven nu deze expliciet verwijst naar de Hoofdovereenkomst;

C. Partijen hun nadere afspraken xxxxxx vast te leggen in dit addendum (hierna te noemen: “het Addendum”).

VERKLAREN ALS VOLGT TE ZIJN OVEREENGEKOMEN

1. Dit addendum treedt in werking per datum ondertekening.

2. Ten aanzien van de Verwerkersovereenkomst en bijbehorende Bijlage(n) zullen de volgende tekstuele aanpassingen worden doorgevoerd met ingang van de Ingangsdatum. Zulks in dier voege dat voor de ‘Oude Tekst’ per de Ingangsdatum moet worden gelezen de ‘nieuw overeengekomen tekst’.

Tekst VNG-model	Nieuw overeengekomen tekst
Artikel 6	Artikel 6
Eventuele in de Hoofdovereenkomst overeengekomen beperkingen van de aansprakelijkheid hebben ook betrekking op de Verwerkersovereenkomst.	Indien een fout wordt gemaakt doordat Opdrachtgever aan Visma Idella onjuiste of onvolledige informatie heeft verstrekt dan is Visma Idella voor de daardoor ontstane schade niet aansprakelijk. Visma Idella is tegenover Opdrachtgever niet aansprakelijk voor schade die tijdens de uitvoering van de Verwerkersovereenkomst aan Opdrachtgever is toegebracht door Visma Idella of haar werknemers, tenzij er sprake is van opzet of grove schuld van Visma Idella. Opdrachtgever draagt de schade uit vorderingen van derden (waaronder personeel van Opdrachtgever) en vrijwaart Visma Idella dienaangaande, tenzij Opdrachtgever aantoont dat de schade veroorzaakt is door opzet of grove schuld van Visma Idella. De aansprakelijkheidsbeperking wordt mede bedongen voor door Visma Idella ingeschakelde derden, die rechtstreeks naar deze aansprakelijkheidsbeperking kunnen refereren. De aansprakelijkheid van Visma Idella is per gebeurtenis gemaximeerd tot een bedrag gelijk aan het door Opdrachtgever in de drie maanden voorafgaande aan het schade toebrengende feit aan Visma Idella uit hoofde van deze Verwerkersovereenkomst betaalde bedrag, of € 250.000, indien dit laatste bedrag lager is, waarbij een reeks van samenhangende gebeurtenissen geldt als een en dezelfde gebeurtenis. De aansprakelijkheid van Visma Idella is daarnaast per schadeaanspraak dan wel voor het totaal aan schadeaanspraken per jaar - ongeacht uit welke hoofde en vanuit welke partij(en) de aanspraken afkomstig zijn - beperkt tot het bedrag dat ter zake van de desbetreffende schadeaanspraak dan wel voor het totaal aan schadeaanspraken per jaar wordt uitbetaald op grond van de door Visma Idella afgesloten beroepsaansprakelijkheidsverzekering. De aansprakelijkheid van Visma Idella voor indirecte of gevolgschade is uitgesloten. Hieronder vallen in ieder geval winstderving, immateriële schade en gemiste besparingen.”
Artikel 7.1	Artikel 7.1
Partijen moeten in de Hoofdovereenkomst afspraken maken over de beëindiging van de Hoofdovereenkomst en de daaruit voortvloeiende teruggave en wissing van Persoonsgegevens.	Ieder der Partijen heeft het recht de APPA-dienstverlening tussentijds door opzegging te beëindigen op 1 januari van ieder jaar, met inachtneming van een opzegtermijn van 6 maanden. Opzegging geschiedt middels een aangetekend schrijven. Partijen zijn gerechtigd de APPA-dienstverlening door middel van een aangetekend schrijven geheel of gedeeltelijk te ontbinden indien de andere Partij, na een schriftelijke ingebrekestelling met daarin een redelijke termijn, in gebreke blijft aan zijn verplichtingen uit deze Verwerkersovereenkomst te voldoen.
	Partijen zijn gerechtigd de APPA-dienstverlening met onmiddellijke ingang zonder nadere ingebrekestelling, zonder gehoudenheid tot schadevergoeding en zonder voorafgaande rechterlijke tussenkomst geheel of gedeeltelijk te ontbinden, indien: a. de wederpartij (voorlopige) surséance van betaling aanvraagt of haar wordt verleend; b. de wederpartij haar faillissement aanvraagt of hierin wordt verklaard; c. de onderneming van de wederpartij wordt geliquideerd; d. de wederpartij haar huidige onderneming staakt;

e. op een aanmerkelijk deel van het vermogen van de wederpartij (door derden) beslag wordt gelegd.

In geval van ontbinding zal de ontbinding uitsluitend werking hebben voor de verplichtingen die ontstaan na het moment van ontbinding en zal de ontbinding derhalve geen terugwerkende kracht hebben.

Bij beëindiging van de APPA-dienstverlening zal Visma Xxxxxx zich inspannen haar werkzaamheden zodanig over te dragen dat de activiteiten welke worden beoogd met de uitvoering van de diensten door Opdrachtgever of door derden kunnen worden gecontinueerd. Ter realisatie daarvan worden de bij Visma Idella aanwezige (verwerkte) gegevens en overige voor de overdracht benodigde informatie door Visma Idella aan Opdrachtgever overgedragen.

Partijen zullen alsdan afspraken maken over de wijze en de termijn van feitelijke overdracht. Visma Idella is gerechtigd voor de overdracht van haar werkzaamheden, op basis van de op dat moment geldende prijzen en tarieven op basis van nacalculatie aan Opdrachtgever in rekening te brengen.

3. De bepalingen van de Verwerkersovereenkomst, voor zover in dit Addendum daarvan niet expliciet wordt afgeweken, blijven onverkort van kracht. In geval van strijdigheid tussen een bepaling van dit Addendum en de Verwerkersovereenkomst, prevaleert de bepaling van dit Addendum.

4. Vernietiging of nietigheid van één der bepalingen van dit Addendum tast de rechtsgeldigheid van de overige bepalingen niet aan.

5. Wijzigingen van de voorwaarden en condities van dit Addendum dienen schriftelijk tussen Partijen te worden overeengekomen.

6. Op dit Addendum is Nederlands recht van toepassing. Alle geschillen voortvloeiend uit of verband houdend met dit Addendum zullen worden beslecht conform het daartoe gestelde in de Verwerkersovereenkomst.

Ondertekening

Aldus overeengekomen en in tweevoud ondertekend,

Gemeente Visma Idella B.V.

De burgemeester van

namens deze: namens deze: L.P. Frens, Managing Director

plaats: plaats: Amersfoort

datum: datum: Dit document wordt digitaal ondertekend

Bijlage 2: Aantonen passend niveau van beveiliging

Normenstelsel

X De verwerker werkt volgens een algemeen erkende norm voor informatiebeveiliging, te weten:

- ISO 27001 en is voor alle hosting waar data wordt verwerkt wel volgens deze norm gecertificeerd

Toereikendheid

De toereikendheid van de informatiebeveiliging blijkt uit het volgende:

X Certificering en verklaring van toepasselijkheid (VVT);

ISO 27001

X Eigen controles of eigen mededelingen over de beveiligingsmaatregelen zoals hieronder beschreven (in lijn met de aanpak uit hoofdstuk 4.4 uit de BIO, een ICV):

- Jaarlijkse Data Privacy Impact Assessment (DPIA)

NB: Uit de certificering/periodieke externe controles/audits of uit de eigen controles/beschrijvingen blijkt of kan afgeleid worden dat de beveiliging passend is bij de verwerking(en) genoemd in Bijlage 1.

Aansluiting bij goedgekeurde gedragscode

X Verwerker is aangesloten bij een door een toezichthoudende autoriteit goedgekeurde gedragscode, te weten

- Visma is aangesloten bij NL Digital (voorheen ICT Nederland). (xxxxx://xxx.xxxxxxxxx.xx/xxxxx/?xxxx0000000)