Verwerkersovereenkomst Verwerkersovereenkomst Versie mei 2018
Verwerkersovereenkomst Versie mei 2018
PARTIJEN:
1. De besloten vennootschap met beperkte aansprakelijkheid QuoVadis Nederland B.V., statutair gevestigd te Baarn en kantoorhoudende aan de Nieuwe Baarnstraat 33 te Baarn, te dezen rechtsgeldig vertegenwoordigd door R. van Wijk.
Hierna genoemd de “Verwerkingsverantwoordelijke”,
en
2. BEDRIJFSNAAM, statutair gevestigd te PLAATS en kantoorhoudende aan ADRES HUISNUMMER, te dezen rechtsgeldig vertegenwoordigd door NAAM.
Hierna genoemd de “Verwerker”,
Verwerkingsverantwoordelijke en Verwerker worden gezamenlijk aangeduid als “Partijen”, ieder individueel zijnde een “Partij:”
OVERWEGENDE DAT:
Partijen deze overeenkomst aangaan inzake het beheren van - en het communiceren over advisering, levering, onderhoud van producten en diensten ten behoeve van cliënten van QuoVadis Nederland B.V..
Verwerkingsverantwoordelijke verantwoordelijk is voor de verwerking van de persoonsgegevens zoals omschreven in Annex 1 (“Gegevens”);
Verwerker bepaalde persoonsgegevens zal verwerken voor Verwerkingsverantwoordelijke;
Verwerkingsverantwoordelijke en Verwerker op grond van artikel 28 AVG deze verwerkersovereenkomst (hierna: Verwerkersovereenkomst) sluiten waarin de rechten en verplichtingen ten aanzien van de verwerking van de persoonsgegevens zijn geregeld, in het bijzonder ten aanzien van de beveiliging;
KOMEN OVEREEN:
Artikel 1. Reikwijdte van de overeenkomst
1.1 Verwerkingsverantwoordelijke geeft hierbij opdracht aan Verwerker om de Gegevens te verwerken namens de Verwerkingsverantwoordelijke in overeenstemming met de bepalingen van deze Verwerkersovereenkomst.
1.2 Verwerker verwerkt de Gegevens uitsluitend volgens de instructies van de Verwerkingsverantwoordelijke in overeenstemming met de aanwijzingen in deze Verwerkersovereenkomst, met name die in Annex 1. Verwerker bevestigt de Gegevens niet voor andere of eigen doeleinden te zullen verwerken.
1.3 De Verwerkingsverantwoordelijke kan aanvullende, schriftelijke instructies aan Verwerker geven ingeval van aanpassingen of wijzigingen in de van toepassing zijnde regelgeving op het gebied van bescherming van persoonsgegevens.
1.4 Verwerker verwerkt de Gegevens enkel in de Europese Economische Ruimte.
Artikel 2. Geheimhouding
2.1 Verwerker verplicht de personen die in zijn dienst zijn, dan wel werkzaamheden voor hem verrichten, tot geheimhouding met betrekking tot al hetgeen waarvan zij met betrekking tot de uitvoering van deze Verwerkersovereenkomst kennis kunnen nemen. Indien dit voor voornoemde personen niet reeds contractueel is vastgelegd, zal Verwerker deze personen een geheimhoudingsverplichting opleggen voor de Gegevens waarvan zij kennis zullen nemen. Deze verplichting zal schriftelijk worden vastgelegd en een kopie daarvan zal op eerste verzoek van de Verwerkingsverantwoordelijke ter inzage worden aangeboden.
Artikel 3. Geen verdere verstrekking
3.1 Verwerker zal, anders dan voor de overeengekomen doeleinden, de Gegevens onder geen omstandigheden delen met of verstrekken aan derden, tenzij Verwerker daartoe voorafgaande, schriftelijke toestemming of opdracht heeft verkregen of op grond van dwingendrechtelijke regelgeving daartoe verplicht is. Indien Verwerker op grond van dwingendrechtelijke regelgeving verplicht is om de Gegevens te delen met of te verstrekken aan derden, dan zal Verwerker de Verwerkingsverantwoordelijke hierover voorafgaand schriftelijk en onverwijld informeren, tenzij dit niet is toegestaan onder de genoemde regelgeving.
Artikel 4. Beveiligingsmaatregelen
4.1 Verwerker zal – rekening houdend met de van toepassing zijnde regelgeving op het gebied van bescherming van persoonsgegevens, de stand van de techniek en de kosten van tenuitvoerlegging – technische en organisatorische beveiligingsmaatregelen treffen om te zorgen voor beschikbaarheid, integriteit en vertrouwelijkheid van de Gegevens en om de Gegevens te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking. De door Verwerker genomen c.q. te nemen beveiligingsmaatregelen zijn omschreven in Annex 2 van deze Verwerkersovereenkomst.
Artikel 5. Toezicht op naleving
5.1 Verwerker stelt Verwerkingsverantwoordelijke in staat om ten minste éénmaal per kalenderjaar de naleving door Verwerker van deze Verwerkersovereenkomst en met name de beveiligingsmaatregelen genoemd in artikel 4.1 en Annex 2 te (laten) controleren.
5.2 Verwerker is verplicht aan Verwerkingsverantwoordelijke en/of auditors ingehuurd door Verwerkingsverantwoordelijke toegang te verschaffen tot (relevante delen van) de ruimtes, systemen en/of servers waarin/waarmee de verwerking van de Gegevens op enig moment plaatsvindt en zal aan Verwerkingsverantwoordelijke en/of auditors ingehuurd door Verwerkingsverantwoordelijke, alle relevante informatie verstrekken.
5.3 Verwerker verstrekt op eerste verzoek van Verwerkingsverantwoordelijke een rapportage aan Verwerkingsverantwoordelijke waarin Verwerker informeert over de stand van de beveiligingsmaatregelen zoals omschreven in artikel 4.1 en Annex 2, incidenten of datalekken zoals omschreven in artikel 6 die hebben plaatsgevonden en mogelijke beveiligingsrisico's ten aanzien van de Gegevens.
5.4 Verwerkingsverantwoordelijke en Verwerker kunnen naar aanleiding van de onder artikel 5.3 benoemde rapportage, nadere beveiligingsmaatregelen overeenkomen. Een overzicht van deze aanvullende beveiligingsmaatregelen zal als annex aan deze Verwerkersovereenkomst worden gehecht.
Artikel 6. Datalek
6.1 Zo spoedig mogelijk nadat Xxxxxxxxx kennisneemt van een incident of datalek, van welke aard dan ook, dat betrekking heeft of kan hebben op de Gegevens, stelt Verwerker Verwerkingsverantwoordelijke hiervan op de hoogte via de bij Verwerker bekende contactgegevens van Verwerkingsverantwoordelijke en zal Verwerker in ieder geval informatie verstrekken over:
a. de aard van het incident of datalek,
b. de (mogelijk) getroffen Gegevens,
c. de vastgestelde en verwachte gevolgen van het incident of datalek op de Gegevens, en
d. de maatregelen die Verwerker getroffen heeft en zal treffen.
6.2 Verwerker zal voor eigen rekening alle benodigde maatregelen treffen die nodig zijn om de (mogelijke) schade te beperken en zal Verwerkingsverantwoordelijke ondersteunen bij meldingen aan betrokkenen en/of autoriteiten.
Artikel 7. Subverwerkers
7.1 Indien Verwerker zijn verplichtingen uitbesteedt aan derden, legt Verwerker aan de betreffende derden alle verantwoordelijkheden en verplichtingen die Verwerker op grond van deze Verwerkersovereenkomst heeft, schriftelijk op in een sub-Verwerkersovereenkomst.
7.2 Verwerker zal voorafgaand aan de inwerkingtreding van deze Verwerkersovereenkomst aan Verwerkingsverantwoordelijke een overzicht verstrekken van de subverwerkers die door Verwerker zijn of zullen worden ingeschakeld.
Artikel 8. Aansprakelijkheid
8.1 Verwerker is, overeenkomstig het bepaalde in artikel 79 AVG, aansprakelijk voor schade of nadeel voortvloeiende uit aan Verwerker toerekenbare schendingen van de wet- en regelgeving betreffende de verwerking van Xxxxxxxx in het kader van zijn werkzaamheden onder deze Verwerkersovereenkomst en/of niet-nakoming door Verwerker van verplichtingen uit deze Verwerkersovereenkomst.
Artikel 9. Duur en beëindiging
9.1 Deze Overeenkomst is geldig zolang Verwerker de opdracht heeft van Verwerkingsverantwoordelijke om Gegevens te verwerken.
9.2 Verwerker bewaart de Persoonsgegevens niet langer dan strikt noodzakelijk, waaronder begrepen de wettelijke bewaartermijnen of een eventueel tussen Partijen gemaakte afspraak over bewaartermijnen zoals vastgelegd in Bijlage 1. In geen geval bewaart Verwerker de Persoonsgegevens langer dan tot het einde van deze Verwerkersovereenkomst. Verwerkingsverantwoordelijke bepaalt of en zo ja hoe lang gegevens bewaard moeten blijven.
9.3 Bij beëindiging van de Verwerkersovereenkomst, of indien van toepassing aan het einde van de overeengekomen bewaartermijnen, of op schriftelijk verzoek van Verwerkingsverantwoordelijke zal Verwerker, tegen redelijke kosten, naar keuze van Verwerkingsverantwoordelijke, de Persoonsgegevens onherroepelijk (doen) vernietigen of teruggeven aan Verwerkingsverantwoordelijke. Op verzoek van Verwerkingsverantwoordelijke verstrekt Verwerker bewijs van het feit dat de gegevens onherroepelijk zijn vernietigd of verwijderd. Eventuele teruggave van de gegevens zal in een algemeen gangbaar, gestructureerd en gedocumenteerd gegevensformaat langs elektronische weg plaatsvinden. Indien teruggave, onherroepelijke vernietiging of verwijdering niet mogelijk is, stelt Verwerker Verwerkingsverantwoordelijke daarvan onmiddellijk op de hoogte. In dat geval garandeert Verwerker dat hij de Persoonsgegevens vertrouwelijk zal behandelen en niet langer zal verwerken.
9.4 In geval van retournering zal Verwerker de Gegevens verstrekken in de vorm zoals bij Verwerker aanwezig. Voor zover de Gegevens zich in een computersysteem bevinden of in een andere vorm waardoor de Gegevens redelijkerwijs niet kunnen worden verstrekt aan Verwerkingsverantwoordelijke, zal Verwerker aan Verwerkingsverantwoordelijke een toegankelijke, leesbare kopie van de Gegevens verstrekken.
9.5 Na beëindiging van de Verwerkersovereenkomst zal Verwerker geen Gegevens houden noch gebruiken in strijd met het bepaalde in deze Verwerkersovereenkomst.
9.6 Zo lang Verwerker Xxxxxxxx onder zich heeft blijven alle in deze Verwerkers-overeenkomst genoemde beperkingen van kracht.
Artikel 10. Nietigheid
10.1 Indien enige bepaling van deze Verwerkersovereenkomst nietig of anderszins niet afdwingbaar is, blijven de overige bepalingen onverminderd van kracht. Partijen zullen alsdan een bepaling overeenkomen, die de strekking van de nietige bepaling zoveel mogelijk benadert.
Artikel 11. Toepasselijk recht en jurisdictie
11.1 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.
11.2 Alle geschillen in verband met deze Verwerkersovereenkomst of de uitvoering ervan worden voorgelegd aan de bevoegde rechter bij de rechtbank Midden Nederland. Namens QuoVadis Nederland B.V.
Namens QuoVadis Nederland B.V. Namens BEDRIJFSNAAM
__________________________________ __________________________________
Naam: R. van Wijk Naam:
Functie: Directeur Functie:
Datum: Datum:
Annex 1: Overzicht Gegevens, doeleinden en toegang
Verzameldoel:
Het vastleggen en doorgeven van benodigde gegevens aan aanbieders van hulpmiddelen voor levering en onderhoud van producten ten behoeve van mensen met een lichamelijke en/of fysieke beperking.
Categorieën persoonsgegevens:
NAW-gegevens
Geboortedatum
Communicatietaal
Telefoon / e-mailgegevens
Geslacht
Burgerservicenummer
Zorgverzekeraar
Verzekerdenummer
Ziektebeeld (doormiddel van een specialistenverklaring en rapport van een ergotherapeut / logopedist)
Annex 2: Overzicht beveiligingsmaatregelen getroffen door Verwerker
Verwerker heeft de volgende maatregelen getroffen ter beveiliging van verwerkte persoonsgegevens.
Fysieke maatregelen voor toegangsbeveiliging, inclusief organisatorische controle
Inbraakalarm van het gebouw waar de data is ondergebracht en de betreffende werknemers werplekken.
Logische toegangscontrole met behulp van iets wat iemand weet (wachtwoord of pincode)
Automatische logging van toegang tot gegevens, inclusief een controleprocedure
Certificering ISO9001:2015