MODEL BEWERKERSOVEREENKOMST
MODEL
BEWERKERSOVEREENKOMST
PARTIJEN:
De besloten vennootschap [naam], statutair gevestigd te [plaats] en kantoorhoudende aan de [straatnaam] (postcode) te [plaatsnaam], te dezen rechtsgeldig vertegenwoordigd door [naam].
Hierna
genoemd de “Verantwoordelijke”,
en
De besloten vennootschap [naam] statutair gevestigd te [plaats] en kantoorhoudende aan de [straatnaam] (postcode) te [plaatsnaam], te dezen rechtsgeldig vertegenwoordigd door [naam].
Hierna genoemd de “Bewerker”,
Verantwoordelijke en Bewerker worden gezamenlijk aangeduid als “Partijen”, ieder individueel zijnde een “Partij:”
OVERWEGENDE DAT:
Partijen op [datum] de [naam overeenkomst] ("Overeenkomst") zijn aangegaan inzake [korte omschrijving van de door de bewerker te verrichten diensten];
Verantwoordelijke verantwoordelijk is voor de verwerking van de persoonsgegevens zoals omschreven in Annex 1 (“Gegevens”);
Bewerker bij de uitvoering van de Overeenkomst bepaalde persoonsgegevens zal verwerken voor Verantwoordelijke;
Verantwoordelijke en Bewerker op grond van artikel 14 Wet bescherming persoonsgegevens deze bewerkersovereenkomst (hierna: Bewerkersovereenkomst) sluiten waarin de rechten en verplichtingen ten aanzien van de verwerking van de persoonsgegevens zijn geregeld, in het bijzonder ten aanzien van de beveiliging;
Voor zover in deze overeenkomst begrippen uit de Wet Bescherming Persoonsgegevens (“Wbp”) zoals “verwerken’, “persoonsgegevens”, “verantwoordelijke” en “bewerker” worden gebruikt, die de betekenis hebben welke hen is gegeven in de Wbp;
Deze Bewerkersovereenkomst als bijlage zal worden opgenomen bij de Overeenkomst.
KOMEN OVEREEN:
Artikel 1. Reikwijdte van de overeenkomst
Verantwoordelijke geeft hierbij opdracht aan Bewerker om de Gegevens te verwerken namens de Verantwoordelijke op de wijze zoals omschreven in Annex 1 in overeenstemming met de bepalingen van deze Bewerkersovereenkomst ter uitvoering van de Overeenkomst.
Bewerker verwerkt de Xxxxxxxx uitsluitend volgens de instructies van de Verantwoordelijke in overeenstemming met de aanwijzingen in deze Bewerkersovereenkomst, met name die in Annex 1. Bewerker bevestigt de Gegevens niet voor andere of eigen doeleinden te zullen verwerken.
Bewerker heeft geen zeggenschap over het doel en de middelen voor de verwerking van de Gegevens.
De Verantwoordelijke kan aanvullende, schriftelijke instructies aan Bewerker geven ingeval van aanpassingen of wijzigingen in de van toepassing zijnde regelgeving op het gebied van bescherming van persoonsgegevens.
Bewerker zal de Gegevens niet opslaan in-, of doorgeven aan landen buiten de Europese Economische Ruimte (“EER”), tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verantwoordelijke. Bewerker stelt Verantwoordelijke onmiddellijk op de hoogte van alle (geplande) permanente of tijdelijke doorgiftes van de Gegevens naar een land buiten de EER en zal pas uitvoering geven aan de (geplande) doorgiftes na schriftelijke toestemming van Verantwoordelijke. Verantwoordelijke heeft te allen tijde het recht op aanvullende voorwaarden te verbinden aan haar toestemming voor een dergelijke verwerking.
2.1 Bewerker verplicht de personen die in zijn dienst zijn, dan wel werkzaamheden voor hem verrichten, tot geheimhouding met betrekking tot al hetgeen waarvan zij met betrekking tot de uitvoering van deze Bewerkersovereenkomst kennis kunnen nemen. Indien dit voor voornoemde personen niet reeds contractueel is vastgelegd, zal Bewerker deze personen een geheimhoudingsverplichting opleggen voor de Gegevens waarvan zij kennis zullen nemen. Deze verplichting zal schriftelijk worden vastgelegd en een kopie daarvan zal op eerste verzoek van de Verantwoordelijke ter inzage worden aangeboden.
2.2 Indien Bewerker op grond van een wettelijke verplichting gegevens dient te vertrekken, zal Bewerker de grondslag van het verzoek en de identiteit van de verzoeker verifiëren en zal Bewerker Verantwoordelijke onmiddellijk, voorafgaand aan de verstrekker, ter zake informeren, tenzij wettelijke bepalingen dit verbieden. Van dergelijke verzoeken wordt een logboek bijgehouden, tenzij wettelijke bepalingen dit verbieden.
Artikel 3. Geen verdere verstrekking
3.1 Bewerker zal de Gegevens onder geen omstandigheden delen met of verstrekken aan derden, tenzij Bewerker daartoe voorafgaande, schriftelijke toestemming of opdracht heeft verkregen of op grond van dwingendrechtelijke regelgeving daartoe verplicht is. Indien Bewerker op grond van dwingendrechtelijke regelgeving verplicht is om de Gegevens te delen met of te verstrekken aan derden, dan zal Bewerker de Verantwoordelijke hierover voorafgaand schriftelijk en onverwijld informeren, tenzij dit niet is toegestaan onder de genoemde regelgeving.
Artikel 4. Beveiligingsmaatregelen
4.1 Bewerker zal – rekening houdend met de van toepassing zijnde regelgeving op het gebied van bescherming van persoonsgegevens, de stand van de techniek en de kosten van tenuitvoerlegging – technische en organisatorische beveiligingsmaatregelen treffen om te zorgen voor beschikbaarheid, integriteit en vertrouwelijkheid van de Gegevens en om de Gegevens te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking.
4.2 De door Bewerker genomen c.q. te nemen beveiligingsmaatregelen zijn omschreven in Annex 2 van deze Bewerkersovereenkomst.
Artikel 5. Toezicht op naleving
5.1 Bewerker stelt een door Verantwoordelijke onafhankelijke auditor in staat om ten minste éénmaal per kalenderjaar de naleving door Bewerker van deze Bewerkersovereenkomst en met name de beveiligingsmaatregelen genoemd in artikel 4.1 en Annex 2 te (doen) controleren.
5.2 Bewerker is verplicht aan Verantwoordelijke en/of auditors ingehuurd door Verantwoordelijke toegang te verschaffen tot (relevante delen van) de ruimtes, systemen en/of servers waarin/waarmee de verwerking van de Gegevens op enig moment plaatsvindt en zal aan Verantwoordelijke en/of auditors ingehuurd door Verantwoordelijke, alle relevante informatie verstrekken.
5.3 Verantwoordelijke zal de controle slechts (laten) uitvoeren na een voorafgaande schriftelijke melding aan Bewerker.
5.4 Bewerker verstrekt op eerste verzoek van Verantwoordelijke een rapportage aan Verantwoordelijke waarin Xxxxxxxx informeert over de stand van de beveiligingsmaatregelen zoals omschreven in artikel 4.1 en Annex 2, incidenten of datalekken zoals omschreven in artikel 6 die hebben plaatsgevonden en mogelijke beveiligingsrisico's ten aanzien van de Gegevens.
5.5 Verantwoordelijke en Bewerker kunnen naar aanleiding van de onder artikel 5.3 benoemde rapportage, nadere beveiligingsmaatregelen overeenkomen. Een overzicht van deze aanvullende beveiligingsmaatregelen zal als annex aan deze Bewerkersovereenkomst worden gehecht.
Artikel 6. Datalek
6.1 Zo spoedig mogelijk, uiterlijk binnen 24 uur nadat Xxxxxxxx kennisneemt van een incident of datalek, van welke aard dan ook, dat betrekking heeft of kan hebben op de Gegevens, stelt Bewerker Verantwoordelijke op de hoogte via de bij Bewerker bekende contactgegevens van Verantwoordelijke en zal Bewerker in ieder geval informatie verstrekken over:
de aard van het incident of datalek,
de (mogelijk) getroffen Gegevens,
de vastgestelde en verwachte gevolgen van het incident of datalek op de Gegevens, en
de maatregelen die Bewerker getroffen heeft en zal treffen.
6.2 Onder “incident” en/of “datalek” wordt in ieder geval verstaan:
een klacht of (informatie)verzoek van een natuurlijk persoon met betrekking tot de verwerking van persoonsgegevens door Leverancier;
een onderzoek naar of beslaglegging door overheidsfunctionarissen of een vermoeden dat dit plaats gaat vinden;
iedere ongeautoriseerde toeging, verwerking, verwijdering, verlies of enige vorm van onrechtmatige verwerking van de Gegevens;
een doorbreking van de beveiliging en/of de vertrouwelijkheid, die leidt tot onopzettelijke of onrechtmatige vernietiging, verlies, wijziging, onbevoegde openbaarmaking van – of toegang tot- de Gegevens, of enige aanwijzing dat een dergelijke inbreuk zal plaatsvinden of heeft plaatsgevonden.
6.3 Bewerker zal voor eigen rekening alle benodigde maatregelen treffen die nodig zijn om de (mogelijke) schade te beperken en zal Verantwoordelijke ondersteunen bij meldingen aan betrokkenen en/of autoriteiten.
Artikel 7. Sub-bewerkers
7.1 Indien Bewerker op grond van de Overeenkomst zijn verplichtingen mag uitbesteden aan derden, legt Bewerker aan de betreffende derden alle verantwoordelijkheden en verplichtingen die Bewerker op grond van deze Bewerkersovereenkomst heeft, schriftelijk op in een sub-bewerkersovereenkomst.
7.2 Bewerker zal voorafgaand aan de inwerkingtreding van deze Bewerkersovereenkomst aan Verantwoordelijke een overzicht verstrekken van de sub-bewerkers die door Bewerker zijn of zullen worden ingeschakeld, alsmede een kopie van de met deze sub-bewerkers gesloten sub-bewerkersovereenkomsten.
Artikel 8. Aansprakelijkheid
8.1 Bewerker is, overeenkomstig het bepaalde in artikel 49 Wbp, aansprakelijk voor schade of nadeel voortvloeiende uit aan Bewerker toerekenbare schendingen van de wet- en regelgeving betreffende de verwerking van Gegevens in het kader van zijn werkzaamheden onder deze Bewerkersovereenkomst en/of niet-nakoming door Bewerker van verplichtingen uit deze Bewerkersovereenkomst.
8.2 De Bewerker kan geheel of gedeeltelijk worden ontheven van de aansprakelijkheid ex lid 1 van dit artikel, indien hij bewijst dat de schade hem niet kan worden toegerekend.
8.2 Iedere andere schade is beperkt, zoals vastgelegd in de Overeenkomst.
Artikel 9. Duur en beëindiging
9.1 Deze Bewerkersovereenkomst is geldig zolang Xxxxxxxx de opdracht heeft van Xxxxxxxxxxxxxxxxx om Xxxxxxxx te verwerken op grond van de Overeenkomst tussen Verantwoordelijke en Bewerker. Deze Bewerkersovereenkomst eindigt automatisch zodra de Overeenkomst eindigt.
9.2 Bij beëindiging van deze Bewerkersovereenkomst heeft Verantwoordelijke vier weken de tijd om Bewerker te verzoeken om alle documenten, computer disks en andere gegevensdragers, evenals kopieën daarvan, waarop of waarin zich Gegevens bevinden, te retourneren aan Verantwoordelijke, ongeacht of de inhoud is vervaardigd of gecreëerd door Xxxxxxxx, Verantwoordelijke of een derde. Na het verstrijken van deze termijn zal Bewerker tot vernietiging van de Gegevens overgaan.
9.3 Indien Bewerker op grond van een wettelijke bewaarplicht bepaalde Gegevens en/of documenten, computer disks of andere gegevensdragers waarop of waarin zich Gegevens bevinden gedurende een wettelijke termijn moet bewaren, dan zal Bewerker zorgdragen voor de vernietiging van deze Gegevens en/of documenten, computer disks of andere gegevensdragers binnen vier (4) weken na beëindiging van de wettelijke bewaarplicht.
9.4 In geval van retournering zal Bewerker de Gegevens verstrekken in de vorm zoals bij Bewerker aanwezig. Voor zover de Gegevens zich in een computersysteem bevinden of in een andere vorm waardoor de Gegevens redelijkerwijs niet kunnen worden verstrekt aan Verantwoordelijke, zal Bewerker aan Verantwoordelijke een toegankelijke, leesbare kopie van de Gegevens verstrekken.
9.5 Na beëindiging van de Bewerkersovereenkomst zal Bewerker geen Gegevens houden noch gebruiken in strijd met het bepaalde in deze Bewerkersovereenkomst.
9.6 Zo lang Bewerker Gegevens onder zich heeft blijven alle in deze Bewerkers-overeenkomst genoemde beperkingen van kracht.
Artikel 10. Wijziging overeenkomst
10.1 Wijziging van deze overeenkomst kan slechts schriftelijk plaatsvinden middels een door beide partijen geaccordeerd voorstel.
Artikel 11. Nietigheid
11.1 Indien enige bepaling van deze Bewerkersovereenkomst nietig of anderszins niet afdwingbaar is, blijven de overige bepalingen onverminderd van kracht. Partijen zullen alsdan een bepaling overeenkomen, die de strekking van de nietige bepaling zoveel mogelijk benadert.
Artikel 12. Intellectuele eigendomsrechten
12.1 Alle (intellectuele) eigendomsrechten - daaronder begrepen auteursrechten en databankenrechten - op de verzameling van Persoonsgegevens, kopieën of bewerkingen daarvan, blijven te allen tijde berusten bij Verantwoordelijke.
Artikel 13. Toepasselijk recht en jurisdictie
13.1 Op deze Bewerkersovereenkomst is Nederlands recht van toepassing.
13.2 Alle geschillen in verband met deze Bewerkersovereenkomst of de uitvoering ervan worden voorgelegd aan de bevoegde rechter zoals bepaald in de Overeenkomst.
Namens [ ] Namens [ ]
_____________________ _____________________
(Handtekening) (Handtekening)
Naam: Naam:
Functie: Functie:
Datum: Datum:
Annexes:
Overzicht Gegevens en doeleinden en toegang
Overzicht beveiligingsmaatregelen getroffen door Xxxxxxxx
Overzicht sub-bewerkers
Annex 1: Overzicht Gegevens, doeleinden en toegang
Verzameldoel:
[Hier moet het verzameldoel vermeld worden van de Verantwoordelijke]
Categorieën persoonsgegevens:
NAW-gegevens
Burgerlijke staat
Geboortedatum
Nationaliteit
Telefoon / e-mailgegevens
Beroep / functie
Gezinssamenstelling
Geslacht
Werkgever(s)
Inkomens- of salarisgegevens
Gegevens betreffende afgesloten financiële producten (via verantwoordelijke, dan wel bij of via derde(n))
Bankrekeningnummer(s)
<eventuele andere categorieën persoonsgegevens noemen>
Annex 2: Overzicht beveiligingsmaatregelen getroffen door verantwoordelijke
Bewerker heeft de volgende maatregelen getroffen ter beveiliging van verwerkte persoonsgegevens.
Fysieke maatregelen voor toegangsbeveiliging, inclusief organisatorische controle
Inbraakalarm
Logische toegangscontrole met behulp van iets wat iemand weet (wachtwoord of pincode)
Automatische logging van toegang tot gegevens, inclusief een controleprocedure
<eventuele andere maatregelen noemen>
Annex 3: Overzicht sub-bewerkers
Indien van toepassing:
Sub-bewerker
1
Naam: [Naam sub-bewerker]
Adres: [Adres sub-bewerker]
Kvk-nummer: [KvK nummer sub-bewerker]
Een kopie van de (sub-)bewerkersovereenkomst die is gesloten met deze sub-bewerker is bijgevoegd.
Sub-bewerker
2
Naam: [Naam sub-bewerker]
Adres: [Adres sub-bewerker]
Kvk-nummer: [KvK nummer sub-bewerker]
Een kopie van de (sub-)bewerkersovereenkomst die is gesloten met deze sub-bewerker is bijgevoegd.
Sub-bewerker
3
Naam: [Naam sub-bewerker]
Adres: [Adres sub-bewerker]
Kvk-nummer: [KvK nummer sub-bewerker]
Een kopie van de (sub-)bewerkersovereenkomst die is gesloten met deze sub-bewerker is bijgevoegd.
Indien niet van toepassing:
Bij de uitvoering van de Overeenkomst, wordt geen gebruik gemaakt van sub-bewerkers.