Verwerkersovereenkomst Schülski-IT

Deze Verwerkersovereenkomst (hierna: “Verwerkersovereenkomst”) is een onlosmakelijk onderdeel van de Overeenkomst tussen Partijen en treedt in werking op de datum van ondertekening of aanvaarding van de Overeenkomst.

Partijen

De Opdrachtgever, zoals gedefinieerd in de Algemene Voorwaarden van Schülski-IT (hierna: “Verwerkingsverantwoordelijke”);

Schülski-IT, de eenmanszaak M.M. Schülski, gevestigd te Spankeren aan de Edyweg 58-S, ingeschreven bij de Kamer van Koophandel onder nummer 81592051 (hierna: “Verwerker”);

Hierna gezamenlijk te noemen “Partijen”.

In aanmerking nemende dat:

Verwerkingsverantwoordelijke en Verwerker een Overeenkomst hebben gesloten voor de levering van ICT-diensten en/of -producten;
Verwerker in het kader van de uitvoering van de Overeenkomst Persoonsgegevens zal verwerken in opdracht van Verwerkingsverantwoordelijke;
Verwerkingsverantwoordelijke wordt aangemerkt als verwerkingsverantwoordelijke en Verwerker als verwerker in de zin van de Algemene Verordening Gegevensbescherming (AVG);
Partijen, conform artikel 28 lid 3 van de AVG, hun wederzijdse rechten en verplichtingen schriftelijk wensen vast te leggen in deze Verwerkersovereenkomst.

Zijn als volgt overeengekomen:

Artikel 1. Definities

De in deze Verwerkersovereenkomst met een hoofdletter geschreven termen hebben de betekenis zoals gedefinieerd in de Algemene Voorwaarden van Schülski-IT, aangevuld met de volgende definities:

AVG: De Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679).
Betrokkene: De geïdentificeerde of identificeerbare natuurlijke persoon op wie de verwerkte Persoonsgegevens betrekking hebben.
Datalek: Een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte Persoonsgegevens.
Persoonsgegevens: Alle informatie over een Betrokkene die Verwerker in het kader van de Overeenkomst verwerkt.
Subverwerker: Een derde partij die door Verwerker wordt ingeschakeld om (een deel van) de Persoonsgegevens te verwerken.

Artikel 2. Doeleinden van de verwerking

2.1. Verwerker verbindt zich om uitsluitend Persoonsgegevens te verwerken in opdracht van Verwerkingsverantwoordelijke en in het kader van de uitvoering van de Overeenkomst. De verwerkingen omvatten de activiteiten die noodzakelijk zijn voor het leveren van de overeengekomen Diensten, zoals hosting, beheer, onderhoud en support.

2.2. De aard van de verwerking, de categorieën van Betrokkenen en de soorten Persoonsgegevens zijn nader gespecificeerd in Bijlage 1 bij deze Verwerkersovereenkomst.

2.3. Verwerker zal de Persoonsgegevens niet voor enig ander doel verwerken dan door Verwerkingsverantwoordelijke is vastgesteld en zal de instructies van Verwerkingsverantwoordelijke opvolgen, tenzij een wettelijke verplichting anders bepaalt. In dat geval zal Verwerker de Verwerkingsverantwoordelijke voorafgaand aan de verwerking informeren over dit wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.

Artikel 3. Verplichtingen van de Verwerker

3.1. Verwerker garandeert de naleving van de toepasselijke privacywetgeving, in het bijzonder de AVG, voor de verwerkingen die onder zijn verantwoordelijkheid vallen.

3.2. Verwerker zal personen die onder zijn gezag handelen (werknemers) en toegang hebben tot de Persoonsgegevens, verplichten tot geheimhouding.

3.3. Verwerker zal Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking, bijstand verlenen bij het vervullen van diens plicht om verzoeken van Betrokkenen te beantwoorden en bij het nakomen van diens verplichtingen met betrekking tot beveiliging, Datalekken, gegevensbeschermingseffectbeoordelingen (DPIA) en voorafgaande raadplegingen van de toezichthouder. Verwerker is gerechtigd de redelijke kosten voor deze bijstand in rekening te brengen.

Artikel 4. Doorgifte van Persoonsgegevens

4.1. Verwerker zal de Persoonsgegevens uitsluitend verwerken binnen de Europese Economische Ruimte (EER).

4.2. Doorgifte van Persoonsgegevens naar een land buiten de EER is uitsluitend toegestaan na voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke en op voorwaarde dat wordt voldaan aan de wettelijke vereisten voor een dergelijke doorgifte (bv. door middel van een adequaatheidsbesluit of EU Standard Contractual Clauses).

Artikel 5. Inschakelen van Subverwerkers

5.1. Verwerkingsverantwoordelijke verleent Verwerker hierbij algemene schriftelijke toestemming om Subverwerkers in te schakelen voor de uitvoering van de Overeenkomst. Een lijst van de huidige Subverwerkers wordt op verzoek verstrekt.

5.2. Verwerker zal Verwerkingsverantwoordelijke vooraf informeren over voorgenomen wijzigingen met betrekking tot de toevoeging of vervanging van Subverwerkers, waarbij Verwerkingsverantwoordelijke de mogelijkheid wordt geboden hiertegen bezwaar te maken.

5.3. Verwerker legt aan iedere Subverwerker contractueel ten minste dezelfde verplichtingen op het gebied van gegevensbescherming op als de verplichtingen die in deze Verwerkersovereenkomst zijn vastgelegd.

5.4. Verwerker blijft volledig aansprakelijk jegens Verwerkingsverantwoordelijke voor de nakoming van de verplichtingen door de door hem ingeschakelde Subverwerker.

Artikel 6. Beveiliging

6.1. Verwerker treft passende technische en organisatorische maatregelen om de Persoonsgegevens te beveiligen tegen verlies en enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking, een op het risico afgestemd beveiligingsniveau.

6.2. De maatregelen omvatten onder meer, maar zijn niet beperkt tot:

Fysieke toegangsbeveiliging tot locaties waar Persoonsgegevens worden verwerkt.
Logische toegangsbeveiliging (wachtwoordbeleid, multi-factor authenticatie) tot systemen.
Versleuteling van Persoonsgegevens waar passend.
Procedures voor het regelmatig testen en evalueren van de effectiviteit van de beveiligingsmaatregelen.

Artikel 7. Meldplicht Datalekken

7.1. In het geval van een Datalek zal Verwerker de Verwerkingsverantwoordelijke hierover zonder onredelijke vertraging, en indien mogelijk uiterlijk binnen 48 uur na ontdekking, informeren.

7.2. De melding aan Verwerkingsverantwoordelijke omvat ten minste, voor zover bekend:

De aard van het Datalek.
De categorieën van Betrokkenen en Persoonsgegevens.
De waarschijnlijke gevolgen van het Datalek.
De maatregelen die Verwerker heeft genomen en voorstelt om het Datalek aan te pakken en de eventuele nadelige gevolgen ervan te beperken.

7.3. Verwerker zal geen melding doen aan de Autoriteit Persoonsgegevens of Betrokkenen zonder voorafgaande schriftelijke instructie van Verwerkingsverantwoordelijke. De meldplicht aan de autoriteiten en Betrokkenen blijft te allen tijde de verantwoordelijkheid van Verwerkingsverantwoordelijke.

Artikel 8. Rechten van Betrokkenen

8.1. Indien een Betrokkene een verzoek tot uitoefening van zijn of haar wettelijke rechten (zoals inzage, rectificatie of verwijdering) rechtstreeks aan Verwerker richt, zal Verwerker dit verzoek onverwijld doorsturen aan Verwerkingsverantwoordelijke. Verwerker zal de Betrokkene hiervan op de hoogte stellen.

8.2. Verwerkingsverantwoordelijke is verantwoordelijk voor de afhandeling van het verzoek. Verwerker zal, voor zover mogelijk en redelijk, medewerking verlenen aan de afhandeling.

Artikel 9. Audit

9.1. Verwerkingsverantwoordelijke heeft het recht om de naleving van deze Verwerkersovereenkomst te controleren door middel van een audit, uit te voeren door een onafhankelijke, gecertificeerde deskundige die tot geheimhouding is verplicht.

9.2. Een dergelijke audit mag maximaal eenmaal per jaar plaatsvinden, na een redelijke vooraankondiging en gedurende de normale kantooruren van Verwerker, en op een wijze die de bedrijfsvoering van Verwerker zo min mogelijk verstoort.

9.3. De kosten van de audit, inclusief de kosten van de ingeschakelde deskundige, zijn voor rekening van Verwerkingsverantwoordelijke.

Artikel 10. Duur en beëindiging

10.1. Deze Verwerkersovereenkomst treedt in werking op de datum van de Overeenkomst en eindigt van rechtswege bij beëindiging van de Overeenkomst.

10.2. Bij beëindiging van de Overeenkomst zal Verwerker, naar keuze van Verwerkingsverantwoordelijke, alle Persoonsgegevens terugbezorgen aan Verwerkingsverantwoordelijke of deze vernietigen, en alle bestaande kopieën verwijderen, tenzij opslag van de Persoonsgegevens wettelijk verplicht is.

10.3. Verwerker is gerechtigd de redelijke kosten voor de teruggave of vernietiging van de Persoonsgegevens in rekening te brengen.

Artikel 11. Aansprakelijkheid en Slotbepalingen

11.1. De aansprakelijkheid van Partijen in het kader van deze Verwerkersovereenkomst is geregeld in het artikel over aansprakelijkheid in de Algemene Voorwaarden van Schülski-IT.

11.2. Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen zullen worden voorgelegd aan de bevoegde rechter zoals bepaald in de Algemene Voorwaarden.

11.3. In geval van strijdigheid tussen de bepalingen van de Overeenkomst, de Algemene Voorwaarden en deze Verwerkersovereenkomst, prevaleren de bepalingen van deze Verwerkersovereenkomst voor zover het de verwerking van Persoonsgegevens betreft.

Bijlage 1: Specificatie van de verwerkingen

1. Aard en doeleinden van de verwerking

Verwerker verwerkt Persoonsgegevens ten behoeve van de levering, het beheer, het onderhoud en de ondersteuning van de overeengekomen ICT-diensten, waaronder:

Installatie en configuratie van hardware en software.
Beheer van (cloud)servers, netwerken en werkplekken.
Hosting van data, e-mail en websites.
Levering en beheer van VoIP-telefonie.
Verlenen van technische ondersteuning en het oplossen van incidenten.
Uitvoeren van back-ups en beveiligingsmaatregelen.

2. Categorieën van Betrokkenen

Verwerker zal Persoonsgegevens verwerken van de volgende categorieën Betrokkenen, voor zover deze door Verwerkingsverantwoordelijke worden aangeleverd of gegenereerd binnen de systemen:

Medewerkers van Verwerkingsverantwoordelijke.
Klanten van Verwerkingsverantwoordelijke.
Leveranciers van Verwerkingsverantwoordelijke.
Andere relaties van Verwerkingsverantwoordelijke.

3. Soorten Persoonsgegevens

Verwerker zal de volgende soorten Persoonsgegevens verwerken, voor zover noodzakelijk voor de uitvoering van de Diensten:

Contact- en identificatiegegevens: Naam, adres, e-mailadres, telefoonnummer.
Authenticatiegegevens: Gebruikersnamen, (versleutelde) wachtwoorden, logbestanden.
Communicatiegegevens: E-mailverkeer, telefoongegevens (metadata bij VoIP).
Apparaat- en gebruiksgegevens: IP-adressen, MAC-adressen, systeemconfiguraties.
Door Verwerkingsverantwoordelijke opgeslagen data: Alle gegevens, inclusief mogelijke Persoonsgegevens, die door Verwerkingsverantwoordelijke en diens gebruikers op de systemen van Verwerker worden opgeslagen (bijv. documenten, databases).

Verwerkingsverantwoordelijke zal geen bijzondere categorieën van persoonsgegevens (zoals medische of strafrechtelijke gegevens) verwerken via de Diensten van Verwerker, tenzij dit expliciet en schriftelijk is overeengekomen en passende aanvullende maatregelen zijn getroffen.