VERWERKERSOVEREENKOMST EM HOSTING & DESIGN
Partijen
Bedrijfsnaam: …………………………………….………..,
gevestigd aan ……………………..…… te ……..……………….., ingeschreven bij de Kamer van Koophandel onder nummer ……………………………………………en hierbij rechtsgeldig vertegenwoordigd door de heer / mevrouw ……………………………………..
Indien geen Kvk inschrijving aanwezig dan enkel rechtsgeldig vertegenwoordigde invullen.
(hierna: “Verwerkingsverantwoordelijke”);
en
EM Hosting & Design, gevestigd aan Oesterstraat 50 te Tholen (nl), ingeschreven bij de Kamer van Koophandel onder nummer 56914792 (hierna: “Verwerker”);
Hierna gezamenlijk te noemen de “Partijen” en afzonderlijk “Partij”,
in aanmerking nemende dat:
• Verwerkingsverantwoordelijke de beschikking heeft over persoonsgegevens van diverse betrokkenen;
• Verwerker in het kader van haar dienstverlening, zoals genoemd in bijlage 1A, persoonsgegevens van diverse betrokkenen verwerkt ten behoeve van Verwerkersverantwoordelijke;
• Verwerkingsverantwoordelijke de doeleinden en middelen aanwijst voor de verwerking, waarvoor de in deze Verwerkersovereenkomst genoemde voorwaarden gelden;
• Verwerker tevens bereid is verplichtingen omtrent beveiliging en andere aspecten van de Wet bescherming persoonsgegevens (hierna: “Wbp”), dan wel de Algemene Verordening Gegevensbescherming (hierna: “AVG”) na te komen;
• met persoonsgegevens gegevens in de zin van artikel 1 sub a van de Wbp, dan wel artikel 4 lid 1 van de AVG bedoeld worden;
• Verwerkingsverantwoordelijke aangemerkt kan worden als verantwoordelijke in de zin van artikel 1 sub d van de Wbp, dan wel als verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 van de AVG;
• Verwerker aangemerkt kan worden als Verwerker in de zin van artikel 1 sub e van de Wbp, dan wel als verwerker in de zin van artikel 4 lid 8 van de AVG;
• Partijen, mede gelet op het vereiste uit artikel 14 lid 5 van de Wbp en artikel 28 lid 1 van de AVG, hun rechten en plichten schriftelijk wensen vast te leggen middels deze Verwerkersovereenkomst (hierna: “Verwerkersovereenkomst”);
• waar gerefereerd wordt aan (bepalingen uit) de Wbp, wordt per 25 mei 2018 (de corresponderende bepalingen uit) de AVG bedoeld.
zijn als volgt overeengekomen dat:
Artikel 1. Doeleinden van verwerking
1.1
Verwerker verbindt zich onder de voorwaarden van deze Verwerkersovereenkomst in opdracht van Verwerkingsverantwoordelijke persoonsgegevens te verwerken. Verwerking zal uitsluitend plaatsvinden in het kader van de afgenomen diensten zoals benoemd in bijlage 1A, plus die doeleinden die daarmee redelijkerwijs samenhangen zoals benoemd in bijlage 1B of die met nadere instemming worden bepaald. Deze Verwerkersovereenkomst is alleen van toepassing op verwerking van persoonsgegevens door Verwerker voor Verwerkingsverantwoordelijke, en niet op activiteiten die geen verwerking van persoonsgegevens inhouden.
1.2
De soorten persoonsgegevens die door Verwerker worden verwerkt, zijn opgenomen in bijlage 1C, de categorieën betrokkenen zijn opgenomen in bijlage 1D. Verwerker zal persoonsgegevens niet voor enig ander doel verwerken dan door Verwerkingsverantwoordelijke is vastgesteld. Verwerkingsverantwoordelijke zal Verwerker schriftelijk op de hoogte stellen van andere verwerkingsdoeleinden voor zover deze niet reeds in deze Verwerkersovereenkomst zijn genoemd.
1.3
De in opdracht van Verwerkingsverantwoordelijke te verwerken persoonsgegevens blijven eigendom van Verwerkingsverantwoordelijke en/of de betreffende betrokkenen.
Artikel 2. Verplichtingen Verwerker
2.1
Verwerker zal zorg dragen voor het naleven van de voorwaarden die wettelijk aan haar worden gesteld bij het verwerken van persoonsgegevens voor verwerkingsverantwoordelijke.
2.2
Verwerker zal Verwerkingsverantwoordelijke, op diens eerste verzoek daartoe maar uiterlijk binnen veertien (14) kalenderdagen, informeren over de door haar genomen maatregelen aangaande haar verplichtingen onder deze Verwerkersovereenkomst en relevante privacywet- en regelgeving. Deze worden benoemd in bijlage 2.
2.3
De verplichtingen van Verwerker die uit deze Verwerkersovereenkomst voortvloeien, gelden ook voor degenen die persoonsgegevens verwerken onder het gezag van Verwerker, waaronder begrepen maar niet beperkt tot werknemers, in de ruimste zin van het woord.
2.4
Verwerker zal Verwerkingsverantwoordelijke de noodzakelijke medewerking verlenen wanneer er in het kader van de verwerking een gegevensbeschermingseffectbeoordeling (PIA), of een voorafgaande raadpleging van de toezichthouder, noodzakelijk mocht zijn. Verwerker kan hiervoor redelijke kosten in rekening brengen bij Verwerkingsverantwoordelijke.
Artikel 3. Doorgifte van persoonsgegevens
3.1
Verwerker mag persoonsgegevens verwerken in landen binnen de Europese Unie. Verwerker mag daarnaast persoonsgegevens verwerken in derde landen buiten de Europese Unie, mits aan de wettelijke voorwaarden daarvoor, waaronder een passend beschermingsniveau, voldaan is.
3.2
Verwerker zal Verwerkingsverantwoordelijke, indien zij daarom expliciet verzoekt melden om welke landen buiten de Europese Unie het gaat.
Artikel 4. Verdeling van verantwoordelijkheid
4.1
Verwerker stelt ten behoeve van de verwerkingen ICT-middelen ter beschikking die door Verwerkingsverantwoordelijke te gebruiken zijn voor de hierboven genoemde doelen. Verwerker verwerkt zelf persoonsgegevens voor zover nodig om de afgenomen dienst te leveren of voor zover zij daartoe wettelijk verplicht is. Voor het leveren van de dienst kan gebruik gemaakt worden van een semi-geautomatiseerde omgeving onder controle van de verwerker.
4.2
Verwerker is louter verantwoordelijk voor de verwerking van persoonsgegevens onder deze Verwerkersovereenkomst, overeenkomstig de schriftelijke instructies van Verwerkingsverantwoordelijke en onder de uitdrukkelijke (eind-)verantwoordelijkheid van Verwerkingsverantwoordelijke. Voor de overige verwerkingen van persoonsgegevens, waaronder in ieder geval begrepen, maar niet beperkt tot, de verzameling van persoonsgegevens door de Verwerkingsverantwoordelijke, verwerkingen voor doeleinden die niet door Verwerkingsverantwoordelijke aan Verwerker zijn gemeld, verwerkingen door derden en/of voor andere doeleinden, is Verwerker uitdrukkelijk niet verantwoordelijk.
4.3
Verwerkingsverantwoordelijke staat ervoor in dat de inhoud, het gebruik en de opdracht tot de verwerkingen van persoonsgegevens zoals bedoeld in deze Verwerkersovereenkomst, niet onrechtmatig zijn en geen inbreuk maken op enig recht van derden.
4.4
Verwerkingsverantwoordelijke zal de contactgegevens van haar Data Protection Officer, of ander aanspreekpunt op het gebied van privacy, bij Verwerker bekendmaken en up-to-date houden. Verwerkingsverantwoordelijke vrijwaart Verwerker voor schade ontstaan als gevolg van het niet (tijdig) of onjuist doorgeven hiervan.
Artikel 5. Inschakelen van derden of onderaannemers (subverwerkers)
5.1
Verwerkingsverantwoordelijke geeft Verwerker hierbij toestemming om bij de verwerking van persoonsgegevens op grond van deze Verwerkersovereenkomst, gebruik te maken van onderaannemers (subverwerkers), met inachtneming van de toepasselijke privacywetgeving. Op verzoek kan een lijst worden aangeleverd aan verwerkingsverantwoordelijke van de betrokken derden.
5.2
Verwerkingsverantwoordelijke heeft het recht om tegen enige door Verwerker nieuw in te schakelen of te wijzigen subverwerker, schriftelijk en gemotiveerd binnen veertien (14) kalenderdagen na het aanleveren van de in 5.1 genoemde lijst bezwaar te maken. Wanneer de Verwerkingsverantwoordelijke bezwaar maakt, zullen Partijen onderling in overleg treden om tot een oplossing te komen.
5.3
Verwerker zorgt er in ieder geval voor dat deze onderaannemers dezelfde plichten op zich nemen als tussen Verwerkingsverantwoordelijke en Verwerker zijn overeengekomen. Verwerkingsverantwoordelijke heeft het recht de mogelijk hierbij betrokken overeenkomsten in te zien. Verwerker staat in voor een correcte naleving van deze plichten door deze onderaannemers en is bij fouten van deze onderaannemers zelf jegens Verwerkingsverantwoordelijke aansprakelijk voor alle schade alsof zij zelf de fout(en) heeft begaan.
Artikel 6. Beveiliging
6.1
Verwerker zal zich inspannen voldoende en passende technische en organisatorische maatregelen nemen met betrekking tot de te verrichten verwerkingen van persoonsgegevens, tegen verlies of tegen enige vorm van onrechtmatige verwerking (zoals onbevoegde kennisname, aantasting, wijziging of verstrekking van persoonsgegevens). Verwerker heeft hiertoe de in Bijlage 2 benoemde beveiligingsmaatregelen genomen.
6.2
Ondanks dat Verwerker conform het eerste lid van dit artikel passende beveiligingsmaatregelingen dient te treffen, kan Verwerker er niet voor instaan dat de beveiliging onder alle omstandigheden doeltreffend is. Verwerker zal zich inspannen de beveiliging te laten voldoen aan een niveau dat, gelet op de stand van de techniek, de gevoeligheid van de persoonsgegevens en de aan het treffen van de beveiliging verbonden kosten, niet onredelijk is. Verwerker zal bij een dreiging van of daadwerkelijk doorbreken van deze beveiligingsmaatregelen er echter redelijkerwijs alles aan doen om verlies van persoonsgegevens zo veel mogelijk te beperken.
6.3
Verwerkingsverantwoordelijke stelt enkel persoonsgegevens aan Verwerker ter beschikking voor verwerking, indien zij zich ervan heeft verzekerd dat passende beveiligingsmaatregelen zijn getroffen.
Artikel 7. Meldplicht
7.1
In het geval van ontdekking van een datalek (een inbreuk op de beveiliging van persoonsgegevens) die leidt tot een aanzienlijke kans op ernstige nadelige gevolgen, dan wel ernstige nadelige gevolgen heeft, voor de bescherming van persoonsgegevens. Vanaf 25 mei 2018 wordt onder een datalek verstaan: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens; tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen) zal Verwerker de Verwerkingsverantwoordelijke daarover onverwijld, maar in ieder geval binnen 48 uur na ontdekking ervan informeren, naar aanleiding waarvan Verwerkingsverantwoordelijke beoordeelt of zij de Autoriteit Persoonsgegevens en/of betrokkene(n) zal informeren of niet. De meldplicht van de Verwerker geldt enkel indien een lek daadwerkelijk heeft plaatsgevonden.
7.2
De meldplicht behelst in ieder geval het melden van het feit dat er een lek is geweest, alsmede, voor zover bekend bij Verwerker:
• wat de (vermeende) oorzaak is van het lek;
• wat het (vooralsnog bekende en/of te verwachten) gevolg is;
• wat de (voorgestelde) oplossing is;
• contactgegevens voor de opvolging van de melding;
• het aantal personen waarvan gegevens zijn gelekt (indien geen exact aantal bekend is: het minimale en maximale aantal personen waarvan gegevens zijn gelekt);
• een omschrijving van de groep personen van wie gegevens zijn gelekt;
• het soort of de soorten persoonsgegevens die gelekt zijn;
• de datum waarop het lek heeft plaatsgevonden (indien geen exacte datum bekend is: de periode waarbinnen het lek heeft plaatsgevonden);
• de datum en het tijdstip waarop het lek bekend is geworden bij Verwerker of bij een door hem ingeschakelde derde/onderaannemer;
• of de gegevens versleuteld, gehasht of op een andere manier onbegrijpelijk of ontoegankelijk zijn gemaakt voor onbevoegden;
• wat de voorgenomen en/of reeds ondernomen maatregelen zijn om het lek te dichten en om de gevolgen van het lek te beperken.
7.3
Verwerkingsverantwoordelijke zal zorg dragen voor het voldoen aan eventuele (wettelijke) meldplichten. Indien relevante weten/of regelgeving dit vereist, zal Verwerker meewerken aan het informeren van de ter zake relevante autoriteiten en/of betrokkenen.
Artikel 8. Afhandeling verzoeken van betrokkenen
8.1
In het geval dat een betrokkene een van zijn wettelijke rechten met betrekking tot zijn persoonsgegevens wenst uit te oefenen en een verzoek hiertoe richt aan Verwerker, zal Verwerker dit verzoek doorzenden aan Verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke zal vervolgens zorgdragen voor de afhandeling van het verzoek. Verwerker mag de betrokkene daarvan op de hoogte stellen.
8.2
In het geval dat een betrokkene een verzoek tot uitoefening van een van zijn wettelijke rechten met betrekking tot persoonsgegevens indient, zal Verwerker, indien Verwerkingsverantwoordelijke dit verlangt, technische ondersteuning bij het uitvoeren van het verzoek verlenen, voor zover mogelijk en voor zover dit redelijk is. Verwerker mag hiervoor redelijke kosten bij Verwerkingsverantwoordelijke in rekening brengen.
Artikel 9. Geheimhouding en vertrouwelijkheid
9.1
Op alle persoonsgegevens die Verwerker van Verwerkingsverantwoordelijke ontvangt en/of zelf verzamelt in het kader van deze Verwerkersovereenkomst, rust een geheimhoudingsplicht jegens derden. Bovendien hebben binnen de organisatie van Verwerker slechts die personen toegang tot persoonsgegevens, voor wie dit op grond van hun taken noodzakelijk is en voor zover dit voor hun taken noodzakelijk is. Op de resultaten van de audit als omschreven in artikel 10, rust voor Verwerkingsverantwoordelijke een geheimhoudingsplicht jegens derden.
9.2
De geheimhoudingsplicht jegens derden is niet van toepassing voor zover de andere Partij uitdrukkelijke voorafgaande schriftelijke toestemming heeft gegeven om de informatie aan derden te verschaffen, indien het verstrekken van de informatie aan derden logischerwijs noodzakelijk is gezien de aard van de verstrekte opdracht en de uitvoering van deze Verwerkersovereenkomst, of indien er een wettelijke verplichting bestaat om de informatie aan een derde te verstrekken. Indien een Partij wettelijk verplicht is informatie aan een derde te verstrekken, zal deze de andere Partij hier onverwijld doch binnen 24 uur schriftelijk over informeren, voor zover dat wettelijk is toegestaan.
Artikel 10. Audit
10.1
Verwerkingsverantwoordelijke heeft het recht om een audit uit te laten voeren door een door beiden Partijen overeengekomen onafhankelijke deskundige derde die aan geheimhouding is gebonden, ter controle van de naleving van deze Verwerkersovereenkomst.
10.2
Deze audit vindt uitsluitend plaats bij een concreet en schriftelijk gemotiveerd vermoeden van misbruik van persoonsgegevens door Verwerker. De door Verwerkingsverantwoordelijke geïnitieerde audit vindt veertien (14) kalenderdagen na voorafgaande schriftelijke aankondiging door de Verwerkingsverantwoordelijke plaats.
10.3
Verwerker zal aan de audit meewerken en alle voor de audit redelijkerwijs noodzakelijke informatie binnen een redelijke termijn ter beschikking stellen, waarbij een termijn van maximaal veertien (14) kalenderdagen redelijk is.
10.4
De bevindingen naar aanleiding van de uitgevoerde audit zullen door Partijen in onderling overleg worden beoordeeld en, naar aanleiding daarvan, al dan niet worden doorgevoerd door één van de Partijen of door Partijen gezamenlijk.
10.5
De kosten van de audit worden door Verwerkingsverantwoordelijke gedragen.
Artikel 11. Aansprakelijkheid
11.1
De aansprakelijkheid van Verwerker voor schade als gevolg van een toerekenbare tekortkoming in de nakoming van de Verwerkersovereenkomst is per gebeurtenis (een reeks opeenvolgende gebeurtenissen geldt als één gebeurtenis) beperkt tot de vergoeding van directe schade, tot maximaal het bedrag van de door Verwerker ontvangen vergoedingen voor de werkzaamheden onder deze Verwerkersovereenkomst over de maand voorafgaande aan de schadeveroorzakende gebeurtenis.
11.2
Onder directe schade wordt uitsluitend verstaan alle schade bestaande uit:
• schade direct toegebracht aan stoffelijke zaken (“zaakschade”);
• redelijke en aantoonbare kosten om de Verwerker ertoe te manen de Verwerkersovereenkomst (weer) deugdelijk na te komen;
• redelijke kosten ter vaststelling van de oorzaak en de omvang van de schade voor zover betrekking hebbende op de directe schade zoals hier bedoeld is; en
• redelijke en aantoonbare kosten die Verwerkingsverantwoordelijke heeft gemaakt ter voorkoming of beperking van de directe schade zoals in dit artikel bedoeld.
11.3
De aansprakelijkheid van Verwerker voor indirecte schade is uitgesloten. Onder indirecte schade wordt verstaan alle schade die geen directe schade is en daarmee in ieder geval, maar niet beperkt tot, gevolgschade, gederfde winst, gemiste besparingen, verminderde goodwill, schade door bedrijfsstagnatie, schade door het niet bepalen van marketingdoeleinden, schade verband houdende met het gebruik van door Verwerkingsverantwoordelijke voorgeschreven gegevens of databestanden, of verlies, verminking of vernietiging van gegevens of databestanden.
11.4
De in dit artikel bedoelde uitsluitingen en beperkingen komen te vervallen indien en voor zover de schade het gevolg is van opzet of bewuste roekeloosheid van Verwerker of haar bedrijfsleiding.
11.5
Tenzij nakoming door Verwerker blijvend onmogelijk is, ontstaat de aansprakelijkheid van Verwerker wegens toerekenbare tekortkoming in de nakoming van de Verwerkersovereenkomst slechts indien Verwerkingsverantwoordelijke de Verwerker onverwijld doch binnen 48 uur schriftelijk in gebreke stelt, waarbij een redelijke termijn voor de zuivering van de tekortkoming schriftelijk wordt overeengekomen tussen Partijen, en Verwerker ook na die termijn toerekenbaar blijft tekortschieten in de nakoming van haar verplichtingen. De ingebrekestelling dient een zo volledig en gedetailleerd mogelijke omschrijving van de tekortkoming te bevatten, opdat Verwerker in de gelegenheid wordt gesteld adequaat te reageren.
11.6
Iedere vordering tot schadevergoeding door Verwerkingsverantwoordelijke tegen Verwerker die niet gespecificeerd en expliciet is gemeld, vervalt door het enkele verloop van twaalf (12) maanden na het ontstaan van de vordering.
Artikel 12. Duur en beëindiging
12.1
Deze Verwerkersovereenkomst komt tot stand door ondertekening van Partijen en op de datum van de laatste ondertekening. Deze Verwerkersovereenkomst wordt aangegaan voor de duur zoals bepaald in de (nieuwe of reeds bestaande) Overeenkomst en, bij gebreke daarvan, voor de duur van de samenwerking.
12.2
Deze Verwerkersovereenkomst is aangegaan voor de duur waarbinnen Verwerker persoonsgegevens verwerkt namens en in opdracht van Verwerkingsverantwoordelijke voor de doeleinden omschreven in deze Verwerkersovereenkomst. De Verwerkersovereenkomst kan niet tussentijds worden opgezegd.
12.3
Deze Verwerkersovereenkomst mag worden gewijzigd met schriftelijke instemming van Partijen.
12.4
Na beëindiging van de Verwerkersovereenkomst zal Verwerker alle persoonsgegevens die bij haar aanwezig zijn vernietigen, tenzij Partijen schriftelijk anders overeenkomen. Deze bepaling is niet van toepassing indien Verwerker wettelijk verplicht is de gegevens langer te bewaren.
12.5
Indien enige bepaling uit de Verwerkersovereenkomst nietig blijkt te zijn of wordt vernietigd, blijven de overige bepalingen volledig van kracht. Partijen zullen alsdan in overleg treden teneinde een nieuwe bepaling ter zake van de nietige of vernietigde bepaling overeen te komen, waarbij zoveel mogelijk het doel en de strekking van de nietige of vernietigde bepaling in acht zullen worden genomen.
12.6
Partijen zullen elkaar volledige medewerking verlenen teneinde deze Verwerkersovereenkomst aan te passen en geschikt te maken voor eventuele nieuwe of gewijzigde privacywetgeving.
Artikel 13. Toepasselijk recht en geschillenbeslechting
13.1
De Verwerkersovereenkomst en de uitvoering daarvan worden beheerst door Nederlands recht.
13.2
Alle geschillen welke tussen Partijen mochten ontstaan in verband met de Verwerkersovereenkomst, zullen worden voorgelegd aan de bevoegde rechter in het arrondissement waar Verwerker gevestigd is.
13.3
In geval van strijdigheid tussen deze Verwerkersovereenkomst en de Overeenkomst en/of toepasselijke algemene voorwaarden, weegt de Verwerkersovereenkomst het zwaarst.
Bijlage 1: Specificatie persoonsgegevens
1A Verwerker verwerkt persoonsgegevens in het kader van (een of meerdere van) de volgende diensten:
• Domeinnaamregistratie
• Webhosting
• Webdesign
• E-mail
• SSL-certificaten
• Gepersonaliseerd drukwerk
1B Verwerker verwerkt persoonsgegevens voor (een of meerdere van) de volgende doeleinden:
• Hosting, cloudopslag
• Beveiliging
• Om te voldoen aan de eisen van de whois-database
• Klantinformatie ten behoeve van de facturatie
1C Verwerker verwerkt namens Verwerkingsverantwoordelijke de volgende categorieën persoonsgegevens:
• NAW-gegevens
• Contactgegevens
• E-mailadres
• Telefoonnummer
• Identificatienummer
• Klantnummer
• Betaalgegevens
• Geboortedatum
• Geslacht
• Nationaliteit
• Inloggegevens
• IP-adres
• Socialmedia-accounts
• Gegevens over klik- en surfgedrag
• Gegevens over bestellingen en gebruik van diensten/ producten
• Inhoud van e-mails, contactformulieren, chatberichten en andere communicatie
• Locatiegegevens
• Overige via de diensten van Verwerker opgeslagen of anderszins te verwerken gegevens
1D Het betreft de volgende categorieën betrokkenen:
• Klanten
• Websitebezoekers
• Medewerkers
• Sollicitanten
• Accounthouders
• Potentiële klanten
• Leveranciers
• Overige categorieën personen van wie er persoonsgegevens verwerkt worden via de diensten van Verwerker
Verwerkingsverantwoordelijke staat ervoor in dat de in deze Bijlage 1 omschreven persoonsgegevens en categorieën volledig en correct zijn, en vrijwaart Verwerker voor enige gebreken en aanspraken die resulteren uit een incorrecte weergave door Verwerkingsverantwoordelijke.
Bijlage 2: Beveiligingsmaatregelen
Verwerker heeft de volgende beveiligingsmaatregelen genomen:
• Logische toegangscontrole, gebruikmakend van sterke wachtwoorden en indien mogelijk 2FA.
• Fysieke maatregelen voor toegangsbeveiliging;
• Organisatorische maatregelen voor toegangsbeveiliging;
• Encryptie (versleuteling) van het versturen en opslaan van digitale bestanden met persoonsgegevens;
• Beveiliging van netwerkverbindingen via Transport Layer Security (TLS) technologie (ook bekend als SSL)
• Monitoring van genomen beveiligingsmaatregelen;
• Doelgebonden toegangsbeperkingen;
• Controle op toegekende bevoegdheden.
• Up-to-date houden gebruikte software
