Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij elke overeenkomst waarbij Sbuilder V.O.F. persoonsgegevens verwerkt namens een opdrachtgever, zoals bij hosting, e-mail, onderhoud en beheer van websites en webshops. Zij maakt deel uit van die overeenkomst (zie artikel 9 van de algemene voorwaarden). Met het sluiten van de overeenkomst gaat de opdrachtgever ook akkoord met deze verwerkersovereenkomst.

1. Partijen en rollen

1.1 Verwerker: Sbuilder V.O.F., gevestigd te Verlaatseweg 22, 8331 PD Steenwijk, KvK 97960535, hierna “Verwerker”.

1.2 Verwerkingsverantwoordelijke: de opdrachtgever met wie Verwerker een overeenkomst heeft gesloten, hierna “Verantwoordelijke”.

1.3 Verantwoordelijke bepaalt het doel van en de middelen voor de verwerking. Verwerker verwerkt de persoonsgegevens alleen namens Verantwoordelijke. Begrippen als “persoonsgegevens”, “verwerken”, “betrokkene” en “inbreuk in verband met persoonsgegevens” (datalek) hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG).

2. Onderwerp en duur

2.1 Deze verwerkersovereenkomst regelt de verwerking van persoonsgegevens door Verwerker bij de uitvoering van de overeenkomst (de “Hoofdovereenkomst”), zoals hosting, e-mail, onderhoud, beheer en ontwikkeling van websites, webshops en webapplicaties.

2.2 Deze verwerkersovereenkomst geldt zolang Verwerker persoonsgegevens verwerkt voor Verantwoordelijke. Zij eindigt niet eerder dan de Hoofdovereenkomst. Bepalingen die naar hun aard doorlopen (zoals geheimhouding en verwijdering), blijven daarna gelden.

3. Gegevens, betrokkenen en doel

3.1 Soorten betrokkenen:

• bezoekers van de website of webshop van Verantwoordelijke;
• klanten, leden, sollicitanten en andere relaties van Verantwoordelijke die gegevens achterlaten via formulieren, accounts, bestellingen of e-mail;
• medewerkers van Verantwoordelijke die de website of e-mail gebruiken;
• personen die e-mail sturen aan of ontvangen van adressen van Verantwoordelijke.

3.2 Soorten persoonsgegevens:

• contactgegevens, zoals naam, adres, e-mailadres en telefoonnummer;
• gegevens die betrokkenen invullen in formulieren of accounts, en bestel- en betaalgegevens (geen volledige betaalkaartgegevens; die verwerkt de betaalprovider van Verantwoordelijke);
• de inhoud van e-mail en bijlagen;
• technische gegevens, zoals IP-adressen, logbestanden van de server en cookies die nodig zijn voor de werking van de website.

3.3 Verwerker verwerkt geen bijzondere persoonsgegevens (zoals gezondheidsgegevens) of strafrechtelijke gegevens, tenzij Verantwoordelijke dat vooraf schriftelijk heeft gemeld. Verantwoordelijke is ervoor verantwoordelijk dat zulke gegevens alleen worden verwerkt als dat mag, en meldt Verwerker welke extra maatregelen nodig zijn.

3.4 Doel: het opslaan, beschikbaar stellen, beveiligen, back-uppen en technisch beheren van de website, webshop, applicatie en e-mail van Verantwoordelijke, en het oplossen van storingen en vragen. Verwerker gebruikt de gegevens niet voor eigen doeleinden, zoals eigen marketing of acquisitie.

3.5 Heeft Verantwoordelijke daarvoor gekozen, dan bewaart Verwerker ook een kopie van aanvragen via de formulieren van de website, zodat Verantwoordelijke die terugziet in het klantportaal en in het maandrapport. Die kopie wordt bewaard zolang dat per functie is afgesproken (standaard 12 maanden) en daarna automatisch gewist.

4. Verwerking alleen op instructie

4.1 Verwerker verwerkt de persoonsgegevens alleen op basis van schriftelijke instructies van Verantwoordelijke. De Hoofdovereenkomst en deze verwerkersovereenkomst gelden als zulke instructies. Een verzoek per e-mail van een bevoegde contactpersoon geldt ook als schriftelijke instructie.

4.2 Is Verwerker wettelijk verplicht om gegevens te verwerken of te verstrekken (bijvoorbeeld aan een overheidsinstantie), dan meldt hij dat vooraf aan Verantwoordelijke, tenzij de wet dat verbiedt.

4.3 Vindt Verwerker dat een instructie in strijd is met de AVG of andere wetgeving, dan meldt hij dat direct aan Verantwoordelijke.

5. Geheimhouding

5.1 Verwerker houdt de persoonsgegevens geheim. Alleen medewerkers en ingeschakelde personen die de gegevens nodig hebben voor hun werk, krijgen toegang. Zij hebben een geheimhoudingsplicht, via hun arbeidsovereenkomst of een aparte verklaring.

6. Beveiliging

6.1 Verwerker neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking. Daarbij houdt hij rekening met de stand van de techniek, de kosten en de risico’s. Op dit moment zijn dat onder meer:

• de servers staan in een datacenter in Nederland (Worldstream, Naaldwijk);
• verbindingen met websites en e-mail zijn versleuteld (HTTPS en TLS);
• er worden dagelijks back-ups gemaakt, die beveiligd worden bewaard;
• toegang tot servers en beheeromgevingen is beperkt tot bevoegde personen, met persoonlijke accounts en sterke authenticatie;
• een firewall, inbraakdetectie en het tijdig installeren van beveiligingsupdates.

6.2 Verwerker mag de maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt. Verantwoordelijke blijft zelf verantwoordelijk voor de beveiliging van zijn eigen apparaten, wachtwoorden en accounts en voor de inhoud die hij zelf op de website plaatst.

7. Subverwerkers

7.1 Verantwoordelijke geeft Verwerker algemene toestemming om subverwerkers in te schakelen. Op dit moment zijn dat:

• Worldstream B.V. (Naaldwijk, Nederland): datacenter, servers en netwerk waarop de websites, e-mail en back-ups staan.

7.2 E-mail draait op een eigen mailserver van Verwerker in hetzelfde datacenter. Daarvoor wordt geen externe e-maildienst ingeschakeld.

7.3 Verwerker legt subverwerkers ten minste dezelfde verplichtingen op als in deze verwerkersovereenkomst staan. Verwerker blijft tegenover Verantwoordelijke verantwoordelijk voor zijn subverwerkers.

7.4 Wil Verwerker een nieuwe subverwerker inschakelen of een subverwerker vervangen, dan meldt hij dat minimaal 30 dagen vooraf per e-mail. Verantwoordelijke kan binnen die termijn met redenen bezwaar maken. Komen partijen er samen niet uit, dan mag Verantwoordelijke de betreffende dienst kosteloos opzeggen per de datum waarop de wijziging ingaat.

7.5 AI-functies (bijvoorbeeld een chatassistent op de website of het automatisch laten samenvatten of beantwoorden van berichten) waarbij persoonsgegevens naar een externe AI-aanbieder gaan, zet Verwerker alleen aan na aparte, schriftelijke toestemming van Verantwoordelijke. Verwerker meldt daarbij welke aanbieder dat is, waar de gegevens worden verwerkt en welke waarborgen gelden.

7.6 Diensten die Verantwoordelijke zelf afneemt en zelf koppelt aan zijn website (zoals een betaalprovider, een nieuwsbriefdienst of een statistiekdienst), vallen niet onder deze verwerkersovereenkomst. Verantwoordelijke maakt daarover zelf afspraken met die partij.

8. Doorgifte buiten de Europese Economische Ruimte

8.1 Verwerker verwerkt de persoonsgegevens binnen de Europese Economische Ruimte (EER). Doorgifte naar een land buiten de EER gebeurt alleen met voorafgaande schriftelijke toestemming van Verantwoordelijke en met passende waarborgen volgens de AVG.

9. Datalekken

9.1 Ontdekt Verwerker een datalek dat de persoonsgegevens van Verantwoordelijke betreft, dan meldt hij dat aan Verantwoordelijke zonder onredelijke vertraging en uiterlijk binnen 36 uur na de ontdekking. Verantwoordelijke kan dan zelf binnen de wettelijke termijn van 72 uur een melding doen bij de Autoriteit Persoonsgegevens, als dat nodig is.

9.2 Verwerker geeft daarbij, voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het ongeveer betreft, de mogelijke gevolgen, en welke maatregelen zijn of worden genomen. Informatie die later bekend wordt, geeft hij zo snel mogelijk door.

9.3 Verantwoordelijke beslist zelf of hij het datalek meldt aan de Autoriteit Persoonsgegevens en aan betrokkenen. Verwerker doet geen melding namens Verantwoordelijke, tenzij dat is afgesproken of wettelijk verplicht is.

10. Bijstand

10.1 Verwerker helpt Verantwoordelijke, voor zover redelijk, bij het beantwoorden van verzoeken van betrokkenen (zoals inzage, correctie en verwijdering) en bij een gegevensbeschermingseffectbeoordeling (DPIA) of een voorafgaande raadpleging van de Autoriteit Persoonsgegevens.

10.2 Krijgt Verwerker zelf een verzoek van een betrokkene, dan stuurt hij dat door aan Verantwoordelijke en beantwoordt hij het niet zelf, tenzij Verantwoordelijke daar om vraagt.

10.3 Voor bijstand die meer dan een uur werk kost, mag Verwerker het geldende uurtarief rekenen, tenzij de bijstand nodig is door een fout van Verwerker.

11. Controle (audit)

11.1 Verwerker geeft Verantwoordelijke op verzoek de informatie die nodig is om aan te tonen dat hij zich aan deze verwerkersovereenkomst houdt.

11.2 Verantwoordelijke mag dat ook laten controleren door een onafhankelijke deskundige met een geheimhoudingsplicht, ten hoogste eenmaal per jaar en na een aankondiging van minimaal 14 dagen, tenzij er een concreet vermoeden is van een datalek of een overtreding. De controle mag het werk van Verwerker en de beveiliging van andere klanten niet onredelijk hinderen.

11.3 De kosten van de controle zijn voor Verantwoordelijke, ook de tijd die Verwerker eraan besteedt (tegen het geldende uurtarief). Blijkt uit de controle dat Verwerker zich op belangrijke punten niet aan deze verwerkersovereenkomst houdt, dan draagt Verwerker zijn eigen kosten en herstelt hij de tekortkomingen op eigen kosten.

12. Aansprakelijkheid

12.1 Voor de aansprakelijkheid van Verwerker geldt artikel 7 van de algemene voorwaarden, voor zover de wet dat toestaat. Deze beperking geldt niet voor aanspraken van betrokkenen of boetes van een toezichthouder voor zover de AVG of andere wetgeving dat niet toestaat.

13. Einde: teruggeven en verwijderen

13.1 Na het einde van de Hoofdovereenkomst geeft Verwerker op verzoek een kopie van de persoonsgegevens aan Verantwoordelijke, in een gangbaar formaat. Verantwoordelijke doet dit verzoek binnen 30 dagen na het einde (zie ook artikel 8 van de algemene voorwaarden).

13.2 Daarna verwijdert Verwerker de persoonsgegevens, tenzij hij ze wettelijk moet bewaren. Kopieën in back-ups worden niet apart verwijderd, maar verdwijnen zodra de bewaartermijn van de back-ups is verlopen. Tot dat moment blijven ze beveiligd en worden ze niet meer gebruikt. Op verzoek bevestigt Verwerker de verwijdering per e-mail.

14. Overige bepalingen

14.1 Bij strijd tussen deze verwerkersovereenkomst en de Hoofdovereenkomst of de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het gaat om de verwerking van persoonsgegevens.

14.2 Verwerker mag deze verwerkersovereenkomst aanpassen op dezelfde manier als de algemene voorwaarden (artikel 2 van de algemene voorwaarden). Een wijziging mag de bescherming van de persoonsgegevens niet verlagen.

14.3 Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de rechter die in de algemene voorwaarden is aangewezen.

Vragen over deze verwerkersovereenkomst? Mail naar info@sbuilder.nl.