Verwerkersovereenkomst

• Model Verwerkersovereenkomst v2.0

4 april 2018

Versie 1.0

De ondergetekenden:

1. GreenZoom  verder ‘Verwerker’ genoemd;
2. Klant verder ‘Verwerkingsverantwoordelijke’

In het kader van deze overeenkomst worden de aanduidingen ‘Verwerker’ en ‘Verwerkings-verantwoordelijke’ gebruikt overeenkomstig de betekenis die daaraan in de Algemene Verordening Gegevensbescherming (AVG) wordt gegeven.

Overwegende dat:

1. Verwerkingsverantwoordelijke de opdracht aan Verwerker geeft om de medewerkersbetrokkenheid te volgen en versterken.
2. Gegevens van medewerkers nodig zijn om van hen feedback en suggesties te verkrijgen rondom het functioneren van de organisatie.
3. Bedrijfsgegevens (naast persoonsgegevens) van Verwerkingsverantwoordelijke worden opgeslagen en verwerkt bij Verwerker;
4. De volgende persoonsgegevens van medewerkers, worden opgeslagen en verwerkt bij Verwerker:
   • Naam
   • E-mail adres (zakelijk danwel prive)
   • Telefonnnummer (zakelijk danwel prive)
   • Functie
   • Afdeling
   • Part-time factor
   • Leeftijd
   • Type dienstverband (vast, oproep, tijdelijk)

Komen het volgende overeen:

• Rol Verwerkingsverantwoordelijke-Verwerker
• Verwerkingsverantwoordelijke geeft Verwerker opdracht verwerkingshandelingen met betrekking tot persoonsgegevens uit te voeren die noodzakelijk zijn voor een juiste werking van de aangeboden dienst, te weten de Greenzoom applicatie
• Verwerker zal de persoonsgegevens uitsluitend gebruiken voor de door hem aangeboden dienst, te weten de Greenzoom Applicatie;
• Verwerkingsverantwoordelijke en Verwerker leggen hun verplichtingen ten aanzien van het verwerken van gegevens voortvloeiende uit de opdracht van de Verwerkings-verantwoordelijke aan de Verwerker vast in deze Verwerkersovereenkomst;
• Verwerkingsverantwoordelijke draagt er zorg voor dat alleen die gegevens die daadwerkelijk van belang zijn voor de uitvoering van de met Verwerker overeengekomen werkzaamheden aan Verwerker zullen worden verstrekt;
• De ontwikkelaars en systeembeheerders en supportmedewerkers van Verwerker hebben toegang tot de persoonsgegevens.
• Verwerker neemt geen eigen beslissingen over het gebruik van de aan de Verwerker verstrekte gegevens, de verstrekking aan derden en de duur van de opslag van gegevens die aan de Verwerker door de Verwerkingsverantwoordelijke ter verwerking beschikbaar gesteld worden.
• Verwerking van gegevens
• Verwerker zal de gegevens uitsluitend verwerken voor de doelen die opgenomen zijn in deze overeenkomst;
• Verwerker zal geen andere kopieën van de gegevens maken dan strikt noodzakelijk is voor de doelen die opgenomen zijn in deze overeenkomst;
• Verwerker zal geen productiegegevens van de Verwerkingsverantwoordelijke gebruiken voor testdoeleinden tenzij Verwerker hiervoor vooraf schriftelijk toestemming van Verwerkingsverantwoordelijke heeft gekregen;
• De verwerking van gegevens geschiedt binnen de Europese Unie en door juridische entiteiten die exclusief onder Europees recht vallen.
• Inschakeling derden
• Verwerker is slechts gerechtigd de uitvoering van de werkzaamheden geheel of ten dele uit te besteden aan derden na voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke;
• Verwerkingsverantwoordelijke kan aan de schriftelijke toestemming voorwaarden verbinden op het gebied van geheimhouding en ter naleving van de verplichtingen uit deze Verwerkersovereenkomst;
• Verwerker blijft in deze gevallen te allen tijde aanspreekpunt en verantwoordelijk voor de naleving van de bepalingen uit deze Verwerkersovereenkomst.

• Beveiliging
• Verwerker zal zorgdragen voor passende technische en organisatorische maatregelen om gegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige kennisname of verwerking van deze gegevens. Deze maatregelen garanderen, rekening houdend met de stand van de techniek, een passend beveiligingsniveau gelet op de risico’s die de verwerking en de aard van de te beschermen gegevens met zich meebrengen;
• Verwerker heeft in ieder geval de volgende maatregelen getroffen:
  • Encryptie (versleuteling) van minimaal de bijzondere persoonsgegevens in digitale bestanden;
  • Beveiliging van (netwerk)verbindingen via Secure Socket Layer (SSL) of gelijkwaardige technologie;
• Alle gebeurtenissen die van invloed kunnen zijn op de beschikbaarheid, integriteit of vertrouwelijkheid van de gegevens van de Verwerkingsverantwoordelijke, waaronder inbreuk in verband met persoonsgegevens (AVG Art. 33), die gevolgen of mogelijke gevolgen hebben voor Betrokkene(n) dienen binnen 24 uur na ontdekking van het incident aan de Verwerkingsverantwoordelijke te worden gemeld en dat Verwerker waar nodig ook meewerkt aan het adequaat informeren van Betrokkene(n);
• Gegevens die niet langer noodzakelijk zijn voor het uitvoeren van de overeenkomst dienen onmiddellijk door Verwerker verwijderd te worden op een dusdanige manier dat deze niet meer reproduceerbaar zijn.
• Geheimhoudingsplicht
• Verwerker verplicht de personen die in zijn dienst zijn dan wel werkzaamheden voor hem verrichten tot geheimhouding met betrekking tot alle gegevens waarvan zij met betrekking tot de uitvoering van deze overeenkomst kennis kunnen nemen;
• Verwerker zal Verwerkingsverantwoordelijke terstond op de hoogte stellen van ieder verzoek tot kennisneming, verstrekking of andere vorm van mededeling van de gegevens in strijd met de geheimhoudingsplicht.
• Audits
• Verwerker is verplicht periodiek of op verzoek van Verwerkingsverantwoordelijke een door haar aan te wijzen onafhankelijke IT-auditor of deskundige een onderzoek te laten uitvoeren ten aanzien van de organisatie van Verwerker teneinde te doen vaststellen dat Verwerker voldoet aan het bepaalde met betrekking tot de bescherming van de beschikbaarheid, integriteit, vertrouwelijkheid en beveiliging van persoonsgegevens en overige vertrouwelijke gegevens zoals omschreven in deze Verwerkersovereenkomst. De frequentie van het onderzoek is eenmaal per twee jaar met uitzondering van verwerkingen met een hoog risico waarbij een jaarlijks onderzoek van Verwerker gevraagd wordt. Er is in ieder geval sprake van een hoog risico indien bijzondere categorieën van persoonsgegevens (AVG Art. 9) worden verwerkt.
• De kosten van de periodieke audit komen voor rekening van de Verwerker. De kosten van de audit op verzoek van Verwerkingsverantwoordelijke komen voor rekening van de Verwerkingsverantwoordelijke tenzij uit de bevindingen van de audit vastgesteld is dat Verwerker de bepalingen uit de Verwerkersovereenkomst niet is nagekomen. In dat geval komen de kosten voor rekening van Verwerker.

Deze bepaling laat de overige rechten van de Verwerkingsverantwoordelijke, waaronder die op schadevergoeding, onverlet.

1. Wanneer tijdens een audit wordt vastgesteld dat Verwerker niet aan het bepaalde in de Verwerkersovereenkomst voldoet, zal Verwerker alle redelijkerwijs noodzakelijke maatregelen nemen om te zorgen dat zij hieraan alsnog voldoet.

7. Vrijwaring

Verwerker vrijwaart Verwerkingsverantwoordelijke voor alle aanspraken van derden, daaronder begrepen Betrokkene(n), die jegens Verwerkingsverantwoordelijke mochten worden ingesteld wegens een aan Verwerker of door haar ingeschakelde sub-bewerker(s) toe te rekenen schending van de AVG of andere toepasselijke wet- en regelgeving betreffende de verwerking van persoonsgegevens.

8. Maatregelen en boetes toezichthouder

Indien de toezichthouder (Autoriteit Persoonsgegevens) in het kader van haar taak als handhaver een maatregel of boete oplegt aan Verwerkingsverantwoordelijke en indien de oorzaak voor het opleggen van de maatregel of boete te wijten is aan het niet nakomen van de in de Verwerkersovereenkomst gemaakte afspraken door Verwerker, kan Verwerkings-verantwoordelijke alle kosten voor deze maatregel of boete verhalen op de Verwerker.

9. Wijziging overeenkomst

Indien zich wijzigingen in de verwerking van persoonsgegevens voordoen of veranderingen van de betrouwbaarheidseisen daar aanleiding toe geeft, gaan Verwerker en Verwerkings-verantwoordelijke in gesprek over de aanpassing van deze Verwerkersovereenkomst.

Wijziging van deze overeenkomst kan slechts schriftelijk plaatsvinden middels een door beide partijen geaccordeerd voorstel.

10. Slotbepalingen

Deze Verwerkersovereenkomst werkt aanvullend op de overeenkomst voor gebruik van Greenzoom tussen ondergetekenden en ziet specifiek toe op de gegevensstromen en privacy waarborgen daaromtrent. De looptijd van deze Verwerkersovereenkomst is gelijk aan die van die overeenkomst.

Deze overeenkomst treedt in werking na ondertekening door beide partijen.

Zodra de onderhavige overeenkomst eindigt, geeft Verwerker reeds verwerkte gegevens per ommegaande – en zonder dat Verwerkingsverantwoordelijke hierom hoeft te vragen – aan Verwerkingsverantwoordelijke.