Verwerkersovereenkomst

Artikel 1. Definities

Artikel 10. Controle

10.1. Verwerkingsverantwoordelijke mag maximaal een keer per jaar een audit laten uitvoeren door een onafhankelijke deskundige derde die aan geheimhouding gebonden is, op voorwaarde van een aan Verwerker schriftelijk gecommuniceerd gegrond vermoeden van overtreding van deze Verwerkersovereenkomst.

10.2. Indien er in een jaar reeds een controle door een onafhankelijke derde is uitgevoerd, kan Verwerker volstaan, in tegenstelling tot hetgeen is geregeld in het voorgaande lid, met het geven van toegang tot de relevante gedeelten van het rapport, indien er binnen datzelfde jaar wederom om een controle van naleving van de verplichtingen van Verwerker in de Verwerkersovereenkomst wordt verzocht.

10.3. Verwerker en Verwerkingsverantwoordelijke besluiten gezamenlijk over de datum, het tijdstip en de omvang van de controle.

10.4. De redelijke kosten voor het meewerken aan de controle worden door de Verwerkingsverantwoordelijke gedragen, met dien verstande dat de kosten voor de in te huren onafhankelijke derde altijd door Verwerkingsverantwoordelijke zullen worden gedragen.

10.5. De controle en de resultaten daarvan zullen door de Verwerkingsverantwoordelijke vertrouwelijk worden behandeld.

Artikel 11. Aansprakelijkheid

11.1. Op deze overeenkomst zijn de aansprakelijkheidsbeperkingen uit de Algemene Voorwaarden van Verwerker onverkort van toepassing.

11.2. De Verwerkingsverantwoordelijke vrijwaart Verwerker tegen alle claims van derden en bestuurlijke boetes die het gevolg zijn van het niet naleven van de AVG door de Verwerkingsverantwoordelijke.

Artikel 12. Duur en Beëindiging

12.1. De looptijd van deze overeenkomst is gekoppeld aan de duur van de dienst.

12.2. Na afloop van de diensten zal Verwerker zonder onredelijke vertraging de data, naar keuze en op kosten van de Verwerkingsverantwoordelijke, wissen of overdragen, tenzij wetgeving verdere bewaring vereist.

1.1. In deze overeenkomst hebben termen als 'Persoonsgegevens', 'Verwerker', 'Verwerkingsverantwoordelijke' en 'Betrokkene' de betekenis die daaraan wordt toegekend in de Algemene Verordening Gegevensbescherming (AVG).

1.2. Klant wordt aangemerkt als Verwerkingsverantwoordelijke, ongeacht of deze zelf een verwerker is richting haar klanten.

1.3. Lazentis B.V. wordt aangemerkt als Verwerker.

Artikel 2. Doeleinden van verwerking

2.1. Verwerker verbindt zich onder de voorwaarden van deze Verwerkersovereenkomst in opdracht van Verwerkingsverantwoordelijke persoonsgegevens te verwerken. Deze verwerking vindt uitsluitend plaats in het kader van de uitvoering van de opdracht en doeleinden die daar redelijkerwijs mee samenhangen.

2.2. De Verwerker biedt primair technische infrastructuur aan. Verwerker zal de persoonsgegevens in beginsel niet inzien.

2.3. Door de aard van de diensten worden alle datastromen die Verwerkingsverantwoordelijke op de systemen onderbrengt, op geautomatiseerde wijze verwerkt.

Artikel 3. Verplichtingen Verwerker

3.1. Verwerker gebruikt de persoonsgegevens enkel voor de uitvoering van de opdracht zoals beschreven in Artikel 2 en onthoudt zich van verwerking voor eigen commerciële doeleinden.

3.2. Verwerker voert de werkzaamheden uit conform de eisen van de AVG en onder uitdrukkelijke (eind)verantwoordelijkheid van de Verwerkingsverantwoordelijke. Indien een specifieke instructie naar het oordeel van Verwerker strijdig is met de wet, zal zij Verwerkingsverantwoordelijke hierover onverwijld raadplegen.

3.3. Voor zover technisch en operationeel mogelijk, biedt Verwerker ondersteuning bij de wettelijke privacyverplichtingen van Verwerkingsverantwoordelijke (zoals een DPIA). Verwerker is gerechtigd de hiermee gemoeide uren tegen haar geldende tarieven in rekening te brengen.

3.4. Verwerkingsverantwoordelijke staat ervoor in dat de inhoud, het gebruik en de opdracht tot verwerkingen van persoonsgegevens, zoals bedoeld in deze Verwerkersovereenkomst, niet onrechtmatig is en geen inbreuk maakt op enig recht van derden en vrijwaart verwerker tegen alle aanspraken en claims die hiermee verband houden.

Artikel 4. Doorgifte en Locatie

4.1. De verwerking van gegevens vindt plaats binnen de grenzen van de Europese Economische Ruimte (EER).

4.2. Doorgifte buiten de EER is uitsluitend toegestaan mits voldaan wordt aan de specifieke waarborgen die de AVG stelt voor een adequaat beschermingsniveau.

4.3. Verwerker verschaft op verzoek inzicht in de betreffende regio's.

Artikel 5. Inschakelen van derden

5.1. Verwerker is bevoegd om gespecialiseerde toeleveranciers (subverwerkers) in te schakelen voor de (technische) uitvoering van de overeenkomst.

5.2. Op verzoek van Verwerkingsverantwoordelijke zal Verwerker Verwerkingsverantwoordelijke zo spoedig mogelijk informeren over de door haar ingeschakelde subverwerkers. De Verwerkingsverantwoordelijke kan binnen een termijn van veertien dagen schriftelijk en gemotiveerd bezwaar maken tegen deze wijziging, waarna partijen in overleg treden.

5.3. Verwerker waarborgt dat met subverwerkers afspraken worden gemaakt die minimaal hetzelfde niveau van gegevensbescherming bieden als deze overeenkomst.

Artikel 6. Geheimhouding

6.1. Op Verwerker rust een plicht tot geheimhouding van persoonsgegevens die in het kader van deze Verwerkersovereenkomst door Verwerkingsverantwoordelijke zijn verstrekt.

6.2. De geheimhoudingsplicht is niet van toepassing voor zover de Verwerkingsverantwoordelijke uitdrukkelijk toestemming geeft om de informatie aan derden te verschaffen, het verstrekken van de informatie aan derden logischerwijs noodzakelijk is voor de uitvoering van de opdracht dan wel indien verstrekking van de informatie plaatsvindt uit hoofde van een wettelijke verplichting.

Artikel 7. Beveiliging

7.1. Verwerker zal zich inspannen om passende technische en organisatorische maatregelen te nemen om verwerkte persoonsgegevens van Verwerkingsverantwoordelijke te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking.

7.2. Op verzoek van de Verwerkingsverantwoordelijke zal verwerker de informatie over de genomen beveiligingsmaatregelen verstrekken. Verwerker heeft in ieder geval de volgende maatregelen genomen:

• Logische toegangscontrole (authenticatie en autorisatie)
• Fysieke maatregelen voor toegangsbeveiliging

7.3. Verwerker staat er niet voor in dat de beveiliging onder alle omstandigheden doeltreffend is. Verwerker zal zich inspannen om de beveiliging te laten voldoen aan een niveau dat, gelet op de stand van de techniek, de gevoeligheid van de persoonsgegevens en de aan het treffen van de beveiliging verbonden kosten, niet onredelijk is.

7.4. Verwerkingsverantwoordelijke stelt enkel persoonsgegevens ter verwerking aan Verwerker ter beschikking, indien Verwerkingsverantwoordelijke zich ervan heeft verzekerd dat de vereiste beveiligingsmaatregelen zijn getroffen. Verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van de door Partijen afgesproken maatregelen.

Artikel 8. Meldplicht Datalekken

8.1. In het geval van een geconstateerde inbreuk in verband met persoonsgegevens, zoals bedoeld in artikel 4 lid 12 van de AVG, stelt Verwerker de Verwerkingsverantwoordelijke zonder onredelijke vertraging op de hoogte.

8.2. Verwerker verstrekt alle relevante details over de aard en omvang van het incident, voor zover bekend, zodat de Verwerkingsverantwoordelijke tijdig aan haar wettelijke meldplicht bij toezichthouders kan voldoen.

8.3. De meldplicht behelst in ieder geval:

• De aard van het lek
• De (bekende of te verwachten) gevolgen van het lek
• De voorgestelde en reeds ondernomen maatregelen om de gevolgen te beperken
• Contactgegevens voor opvolging van de melding

Artikel 9. Rechten van Betrokkenen

9.1. Verzoeken van betrokkenen die hun rechten willen uitoefenen, worden door Verwerker doorgeleid naar de Verwerkingsverantwoordelijke voor verdere afhandeling. Verwerker stelt betrokkenen hiervan op de hoogte.

9.2. Indien blijkt dat de Verwerkingsverantwoordelijke hulp benodigd heeft van Verwerker voor de uitvoering van een verzoek van een betrokkene, zal Verwerker hier voor zover mogelijk en redelijk is aan meewerken en mag Verwerker hiervoor redelijke kosten bij Verwerkingsverantwoordelijke in rekening brengen.

Artikel 10. Controle

10.1. Verwerkingsverantwoordelijke mag maximaal een keer per jaar een audit laten uitvoeren door een onafhankelijke deskundige derde die aan geheimhouding gebonden is, op voorwaarde van een aan Verwerker schriftelijk gecommuniceerd gegrond vermoeden van overtreding van deze Verwerkersovereenkomst.

10.2. Indien er in een jaar reeds een controle door een onafhankelijke derde is uitgevoerd, kan Verwerker volstaan, in tegenstelling tot hetgeen is geregeld in het voorgaande lid, met het geven van toegang tot de relevante gedeelten van het rapport, indien er binnen datzelfde jaar wederom om een controle van naleving van de verplichtingen van Verwerker in de Verwerkersovereenkomst wordt verzocht.

10.3. Verwerker en Verwerkingsverantwoordelijke besluiten gezamenlijk over de datum, het tijdstip en de omvang van de controle.

10.4. De redelijke kosten voor het meewerken aan de controle worden door de Verwerkingsverantwoordelijke gedragen, met dien verstande dat de kosten voor de in te huren onafhankelijke derde altijd door Verwerkingsverantwoordelijke zullen worden gedragen.

10.5. De controle en de resultaten daarvan zullen door de Verwerkingsverantwoordelijke vertrouwelijk worden behandeld.

Artikel 11. Aansprakelijkheid

11.1. Op deze overeenkomst zijn de aansprakelijkheidsbeperkingen uit de Algemene Voorwaarden van Verwerker onverkort van toepassing.

11.2. De Verwerkingsverantwoordelijke vrijwaart Verwerker tegen alle claims van derden en bestuurlijke boetes die het gevolg zijn van het niet naleven van de AVG door de Verwerkingsverantwoordelijke.

Artikel 12. Duur en Beëindiging

12.1. De looptijd van deze overeenkomst is gekoppeld aan de duur van de dienst.

12.2. Na afloop van de diensten zal Verwerker zonder onredelijke vertraging de data, naar keuze en op kosten van de Verwerkingsverantwoordelijke, wissen of overdragen, tenzij wetgeving verdere bewaring vereist.