Verwerkersovereenkomst

Deze verwerkersovereenkomst maakt deel uit van iedere overeenkomst tussen Verwerker en Verwerkingsverantwoordelijke waarop de algemene voorwaarden van Verwerker van toepassing zijn (samen: “de Overeenkomst”).

Verwerker: Keizer Karel online marketing, tevens handelend onder de namen Keizer Karel digitaal bureau en Keizer Karel webdesign & development, gevestigd aan het Keizer Karelplein 32Q, 6511 NH Nijmegen, KvK 53404327.

Verwerkingsverantwoordelijke: de klant die met Verwerker een Overeenkomst aangaat.

Begrippen als “persoonsgegevens”, “verwerking”, “betrokkene”, “inbreuk in verband met persoonsgegevens” (datalek), “subverwerker” en “toezichthoudende autoriteit” hebben de betekenis die de Algemene Verordening Gegevensbescherming (AVG) daaraan geeft.

Artikel 1. Toepasselijkheid en rangorde

1.1 Deze verwerkersovereenkomst geldt zodra Verwerkingsverantwoordelijke de Overeenkomst of de algemene voorwaarden van Verwerker aanvaardt. Afzonderlijke ondertekening is niet vereist; aanvaarding langs elektronische weg geldt als schriftelijke vastlegging in de zin van artikel 28, lid 9 AVG.

1.2 Bij strijd tussen deze verwerkersovereenkomst en de overige onderdelen van de Overeenkomst over de verwerking van persoonsgegevens gaat deze verwerkersovereenkomst voor, met uitzondering van de regeling van aansprakelijkheid (artikel 13).

Artikel 2. Onderwerp en instructies

2.1 Verwerker verwerkt persoonsgegevens uitsluitend in opdracht van en volgens de gedocumenteerde instructies van Verwerkingsverantwoordelijke, ook wat betreft doorgiften naar landen buiten de Europese Economische Ruimte (EER), tenzij een op Verwerker toepasselijke wettelijke verplichting haar tot verwerking verplicht. In dat geval stelt Verwerker Verwerkingsverantwoordelijke daarvan vooraf in kennis, tenzij de wet dat verbiedt.

2.2 De Overeenkomst, deze verwerkersovereenkomst en de door Verwerkingsverantwoordelijke gekozen instellingen en configuraties van de Diensten gelden samen als de volledige instructie. Aanvullende instructies worden schriftelijk gegeven; voor zover zij extra werk meebrengen, mag Verwerker daarvoor redelijke kosten in rekening brengen.

2.3 Verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking en staat ervoor in dat de verwerking en haar instructies rechtmatig zijn. Verwerker neemt daarover geen zelfstandige beslissingen.

2.4 Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk in kennis als een instructie naar haar oordeel inbreuk maakt op de AVG of andere gegevensbeschermingswetgeving. Verwerker mag de uitvoering van zo’n instructie opschorten.

2.5 Verwerker is niet gehouden de persoonsgegevens die Verwerkingsverantwoordelijke opslaat of aanlevert inhoudelijk te controleren op juistheid, rechtmatigheid of bewaartermijnen.

Artikel 3. Aard van de verwerking

3.1 Het onderwerp, de duur, de aard en het doel van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen zijn beschreven in Bijlage A.

3.2 Verwerker verwerkt niet meer persoonsgegevens dan nodig is voor de in Bijlage A genoemde doeleinden.

3.3 Voor de verwerking van persoonsgegevens voor haar eigen wettelijke verplichtingen en bedrijfsvoering, waaronder facturatie, klantcontact, logging, beveiligingsmonitoring en de afhandeling van misbruik, is Verwerker zelf verwerkingsverantwoordelijke. Deze verwerkersovereenkomst is daarop niet van toepassing.

Artikel 4. Beveiliging

4.1 Verwerker treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG om de persoonsgegevens te beveiligen, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking en de risico’s voor betrokkenen. De maatregelen zijn beschreven in Bijlage B. Verwerker mag de maatregelen aanpassen, mits het beveiligingsniveau niet daalt.

4.2 Verwerker staat er niet voor in dat de beveiliging onder alle omstandigheden doeltreffend is.

4.3 Verwerkingsverantwoordelijke beoordeelt of de maatregelen passend zijn voor de persoonsgegevens die zij met de Diensten verwerkt. Is de verwerking van bijzondere persoonsgegevens, persoonsgegevens van strafrechtelijke aard of anderszins gevoelige gegevens voorzien, dan meldt Verwerkingsverantwoordelijke dat vooraf, zodat partijen kunnen afspreken of aanvullende maatregelen nodig zijn. Die maatregelen worden als meerwerk uitgevoerd.

4.4 Verwerkingsverantwoordelijke is verantwoordelijk voor de beveiligingsinstellingen die binnen haar eigen beheer vallen, zoals de wachtwoorden en MFA van haar gebruikers en de software die zij zelf installeert of beheert.

Artikel 5. Subverwerkers

5.1 Verwerkingsverantwoordelijke verleent Verwerker algemene toestemming om subverwerkers in te schakelen. Verwerker houdt een actueel overzicht bij van de subverwerkers die zij inschakelt, met per subverwerker de dienst, de locatie van de verwerking en, waar van toepassing, de doorgiftegrondslag. Dit overzicht wordt op verzoek toegezonden.

5.2 Verwerker informeert Verwerkingsverantwoordelijke ten minste veertien dagen vooraf per e-mail of via de beheeromgeving over het toevoegen of vervangen van een subverwerker. Verwerkingsverantwoordelijke kan binnen die termijn schriftelijk en op redelijke gronden bezwaar maken. Partijen overleggen dan over een oplossing. Komen zij binnen dertig dagen niet tot een oplossing, dan mag Verwerkingsverantwoordelijke de Dienst waarop de wijziging betrekking heeft opzeggen tegen de ingangsdatum van de wijziging. Dat is haar enige remedie.

5.3 Is een vervanging met spoed nodig om de beveiliging of continuïteit van de Diensten te waarborgen, dan mag Verwerker de informatie achteraf verstrekken, zo spoedig mogelijk. Het recht van bezwaar geldt dan vanaf die informatie.

5.4 Verwerker legt elke subverwerker bij overeenkomst in wezen dezelfde verplichtingen op als in deze verwerkersovereenkomst, in het bijzonder voldoende garanties voor passende beveiligingsmaatregelen. Bij grote standaardleveranciers kan dit plaatsvinden door aanvaarding van hun standaard verwerkersvoorwaarden. Verwerker blijft jegens Verwerkingsverantwoordelijke verantwoordelijk voor de nakoming door haar subverwerkers, binnen de grenzen van artikel 13.

5.5 Heeft Verwerkingsverantwoordelijke voor een dienst rechtstreeks een overeenkomst met de leverancier gesloten, bijvoorbeeld door het aanvaarden van de klantovereenkomst van Microsoft of Google, dan is die leverancier voor die dienst geen subverwerker van Verwerker maar een verwerker van Verwerkingsverantwoordelijke zelf.

Artikel 6. Doorgifte buiten de EER

6.1 Verwerker verwerkt de persoonsgegevens zoveel mogelijk binnen de EER. Een aantal subverwerkers is (mede) gevestigd buiten de EER of maakt deel uit van een concern met vestigingen buiten de EER, in het bijzonder in de Verenigde Staten. Het overzicht van subverwerkers (artikel 5.1) vermeldt per subverwerker of daarvan sprake is.

6.2 Verwerkingsverantwoordelijke geeft Verwerker de instructie en toestemming om persoonsgegevens door te geven aan, of toegankelijk te maken voor, de in het overzicht van subverwerkers (artikel 5.1) genoemde subverwerkers buiten de EER, op voorwaarde dat daarvoor een geldig doorgiftemechanisme in de zin van hoofdstuk V AVG bestaat, zoals een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework voor gecertificeerde ondernemingen) of de modelcontractbepalingen van de Europese Commissie, met zo nodig aanvullende maatregelen.

6.3 Vervalt een doorgiftemechanisme, bijvoorbeeld door een uitspraak van het Hof van Justitie van de EU, dan stapt Verwerker binnen een redelijke termijn over op een ander geldig mechanisme of een andere subverwerker, of overlegt zij met Verwerkingsverantwoordelijke over een passende oplossing. Verwerker is niet aansprakelijk voor de gevolgen van zo’n uitspraak.

Artikel 7. Geheimhouding

7.1 Verwerker houdt de persoonsgegevens geheim en gebruikt deze niet voor een ander doel dan de uitvoering van de Overeenkomst.

7.2 Verwerker zorgt ervoor dat personen die onder haar gezag de persoonsgegevens verwerken tot geheimhouding zijn verplicht.

7.3 Verwerker heeft alleen toegang tot de persoonsgegevens voor zover dat nodig is voor de uitvoering van de Overeenkomst, ondersteuning, onderhoud, beveiliging of herstel, en neemt niet meer kennis van de inhoud dan daarvoor nodig is.

7.4 De geheimhouding geldt niet voor zover Verwerkingsverantwoordelijke toestemming heeft gegeven voor verstrekking, of Verwerker op grond van de wet of een rechterlijke uitspraak tot verstrekking verplicht is.

Artikel 8. Rechten van betrokkenen

8.1 Ontvangt Verwerker een verzoek van een betrokkene, dan stuurt zij dit onverwijld door aan Verwerkingsverantwoordelijke en handelt zij het niet zelf af.

8.2 Verwerker verleent, voor zover redelijk en mogelijk, medewerking aan het voldoen aan verzoeken van betrokkenen, rekening houdend met de aard van de verwerking. Voor zover Verwerkingsverantwoordelijke het verzoek zelf kan afhandelen via de functies van de Diensten, doet zij dat. Verwerker mag voor haar medewerking redelijke kosten in rekening brengen.

Artikel 9. Datalekken

9.1 Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging, en in beginsel binnen 48 uur, nadat zij een inbreuk in verband met persoonsgegevens heeft vastgesteld die betrekking heeft op de persoonsgegevens van Verwerkingsverantwoordelijke.

9.2 Verwerker verstrekt daarbij, voor zover beschikbaar, informatie over de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, en de genomen en voorgestelde maatregelen. Informatie die nog niet beschikbaar is, verstrekt Verwerker zodra die beschikbaar komt.

9.3 Het beoordelen of de inbreuk moet worden gemeld aan de toezichthoudende autoriteit en/of de betrokkenen, en het doen van die melding, is de verantwoordelijkheid van Verwerkingsverantwoordelijke.

9.4 Verwerker neemt de redelijkerwijs nodige maatregelen om de inbreuk te beëindigen en de gevolgen te beperken. Is de inbreuk niet aan Verwerker toe te rekenen, dan mag Verwerker de kosten daarvan in rekening brengen.

Artikel 10. Bijstand

10.1 Verwerker verleent Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking en de informatie waarover zij beschikt, redelijke bijstand bij het nakomen van haar verplichtingen op grond van de artikelen 32 tot en met 36 AVG, zoals beveiliging, datalekken, een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging. Verwerker mag hiervoor kosten in rekening brengen tegen haar geldende uurtarief.

Artikel 11. Informatie en audits

11.1 Verwerker stelt op verzoek de informatie beschikbaar die nodig is om aan te tonen dat zij deze verwerkersovereenkomst nakomt, bij voorkeur in de vorm van deze verwerkersovereenkomst met bijlagen, beschikbare certificeringen of rapportages van subverwerkers en een schriftelijke toelichting van Verwerker.

11.2 Geeft die informatie aantoonbaar onvoldoende uitsluitsel, dan mag Verwerkingsverantwoordelijke ten hoogste eenmaal per jaar, met een aankondiging van ten minste vier weken, een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte deskundige. De audit vindt plaats op werkdagen, verstoort de bedrijfsvoering van Verwerker zo min mogelijk en blijft beperkt tot de verwerkingen voor Verwerkingsverantwoordelijke.

11.3 Een audit geeft geen toegang tot gegevens van andere klanten, broncode of informatie die de beveiliging van Verwerker of andere klanten in gevaar kan brengen. Penetratietests en kwetsbaarheidsscans vinden niet plaats zonder voorafgaande schriftelijke toestemming van Verwerker.

11.4 De kosten van de audit, waaronder de door Verwerker bestede tijd tegen haar geldende uurtarief, komen voor rekening van Verwerkingsverantwoordelijke, tenzij de audit een wezenlijke tekortkoming van Verwerker aan het licht brengt. Een audit op last van een toezichthoudende autoriteit wordt altijd mogelijk gemaakt.

Artikel 12. Verantwoordelijkheid van Verwerkingsverantwoordelijke

12.1 Verwerkingsverantwoordelijke staat ervoor in dat zij een geldige grondslag heeft voor de verwerking, dat zij betrokkenen op juiste wijze informeert en dat de inhoud, het gebruik en de opdracht tot verwerking van de persoonsgegevens niet onrechtmatig zijn en geen inbreuk maken op rechten van derden.

12.2 Verwerkingsverantwoordelijke vrijwaart Verwerker tegen aanspraken van betrokkenen, toezichthoudende autoriteiten en andere derden, en de daarmee samenhangende kosten en boetes, die het gevolg zijn van een schending door Verwerkingsverantwoordelijke van de AVG of van deze verwerkersovereenkomst, of van het opvolgen door Verwerker van instructies van Verwerkingsverantwoordelijke.

Artikel 13. Aansprakelijkheid

13.1 Op de aansprakelijkheid van Verwerker is de aansprakelijkheidsregeling uit de algemene voorwaarden van Verwerker van toepassing. De daarin opgenomen beperkingen gelden voor de Overeenkomst en deze verwerkersovereenkomst tezamen; deze verwerkersovereenkomst leidt niet tot een afzonderlijk of hoger maximum.

13.2 Niets in deze verwerkersovereenkomst beperkt de rechten die betrokkenen rechtstreeks aan artikel 82 AVG ontlenen. Voor de onderlinge verdeling tussen partijen geldt dat iedere partij de schade draagt die het gevolg is van haar eigen tekortkoming.

Artikel 14. Duur en beëindiging

14.1 Deze verwerkersovereenkomst geldt zolang Verwerker persoonsgegevens verwerkt in het kader van de Overeenkomst.

14.2 Na het einde van de Overeenkomst, en na afloop van de termijnen voor overstappen en het ophalen van gegevens uit de algemene voorwaarden van Verwerker, verwijdert Verwerker de persoonsgegevens of geeft zij deze terug, naar keuze van Verwerkingsverantwoordelijke, tenzij een wettelijke bewaarplicht zich daartegen verzet. Voor teruggave mag Verwerker redelijke kosten in rekening brengen.

14.3 Geeft Verwerkingsverantwoordelijke niet binnen dertig dagen na het einde van de Overeenkomst instructies, dan mag Verwerker de persoonsgegevens verwijderen.

14.4 Kopieën in back-ups worden niet afzonderlijk verwijderd, maar verdwijnen bij het regulier verlopen van de bewaartermijn van de back-ups (zie Bijlage B). Tot dat moment blijven deze verwerkersovereenkomst en de geheimhoudingsplicht op die kopieën van toepassing.

14.5 Verwerker mag deze verwerkersovereenkomst wijzigen op dezelfde wijze als haar algemene voorwaarden, mits het beschermingsniveau voor de persoonsgegevens niet wezenlijk daalt.

Artikel 15. Toepasselijk recht

15.1 Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Gelderland.

Bijlage A – Beschrijving van de verwerking

Bijlage B – Beveiligingsmaatregelen

Verwerker treft ten minste de volgende maatregelen, voor zover van toepassing op de betreffende Dienst:

• toegang op basis van het need-to-know-beginsel, met zo beperkt mogelijke beheerrechten;
• meervoudige authenticatie (MFA) of sleutelgebaseerde authenticatie op beheeraccounts en servers;
• voorwaardelijke toegang en het waar mogelijk uitschakelen van verouderde authenticatie bij cloud- en werkplekomgevingen;
• scheiding van websites en databases per klant in afzonderlijke containers;
• versleuteling van verkeer via TLS en versleuteling van back-ups;
• automatische detectie en blokkering van aanvallen en een firewall;
• logging van toegang en beheerhandelingen;
• dagelijkse automatische controle op back-ups, beschikbaarheid, certificaten, updates en malware;
• dagelijkse back-ups op een gescheiden opslaglocatie met een bewaartermijn van 30 dagen, met periodieke hersteltests;
• tijdige installatie van beveiligingsupdates voor de door Verwerker beheerde systemen, met versnelde installatie bij actief misbruikte kwetsbaarheden;
• geheimhoudingsplicht voor alle personen die persoonsgegevens verwerken.