1. Partijen en toepasselijkheid
Deze verwerkersovereenkomst geldt tussen KB Trade V.O.F., handelend onder de naam CompuVeenendaal (hierna: wij, als verwerker), en de zakelijke klant voor wie wij persoonsgegevens verwerken (hierna: de klant, als verwerkingsverantwoordelijke).
Deze verwerkersovereenkomst maakt deel uit van iedere opdracht waarbij wij namens de klant persoonsgegevens verwerken, en van onze algemene voorwaarden. Voor de verwerking van persoonsgegevens gaat deze verwerkersovereenkomst voor op de algemene voorwaarden. Hebben partijen samen een andere verwerkersovereenkomst ondertekend, dan gaat die voor.
Begrippen zoals persoonsgegevens, verwerking, betrokkene en inbreuk in verband met persoonsgegevens hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG).
2. Onderwerp, aard en doel van de verwerking
Wij verwerken persoonsgegevens alleen om de opdracht uit te voeren, zoals:
- IT-ondersteuning, storingsonderzoek en beheerwerkzaamheden in de omgeving van de klant;
- migraties en implementaties, bijvoorbeeld naar Microsoft 365 of Azure;
- het bouwen, hosten en onderhouden van de website van de klant, inclusief het afhandelen van contactformulieren.
Welke gegevens het betreft, hangt af van de opdracht. Meestal gaat het om naam- en contactgegevens, accountgegevens en gebruikersnamen, e-mails en bestanden in de omgeving van de klant, en gegevens die bezoekers via een formulier op de website van de klant invullen. Betrokkenen zijn onder meer medewerkers, klanten en relaties van de klant en bezoekers van de website van de klant.
Verwerkt de klant bijzondere persoonsgegevens, zoals gezondheidsgegevens, of gegevens over strafrechtelijke veroordelingen, dan meldt de klant dat vooraf. Partijen maken dan zo nodig aanvullende afspraken.
De verwerking duurt zolang de opdracht loopt, en daarna tot de gegevens volgens artikel 10 zijn teruggegeven of verwijderd.
3. Instructies van de klant
Wij verwerken persoonsgegevens alleen op basis van schriftelijke instructies van de klant. De opdracht zelf geldt als instructie. Dat geldt ook voor doorgifte naar landen buiten de Europese Economische Ruimte (EER). Zijn wij wettelijk verplicht tot een verwerking, dan melden we dat de klant vooraf, tenzij de wet dat verbiedt.
Vinden wij dat een instructie in strijd is met de AVG of andere privacywetgeving, dan laten we dat de klant direct weten.
4. Geheimhouding
Iedereen die bij ons toegang heeft tot persoonsgegevens van de klant, is tot geheimhouding verplicht. We geven alleen toegang aan wie dat voor de opdracht nodig heeft.
5. Beveiliging
Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen, zoals bedoeld in artikel 32 van de AVG. Daaronder vallen in ieder geval:
- meervoudige verificatie (MFA) op de accounts waarmee wij toegang hebben tot omgevingen van klanten;
- toegang alleen voor zover dat voor de opdracht nodig is;
- versleutelde verbindingen bij toegang op afstand en bij het overdragen van gegevens;
- apparaten en software die we bijhouden met beveiligingsupdates;
- inloggegevens van klanten die we alleen bewaren in een versleutelde wachtwoordkluis, beveiligd met een wachtwoord en MFA;
- tijdelijke kopieën van gegevens die we na afloop van de opdracht veilig wissen.
De klant blijft verantwoordelijk voor de beveiliging van de eigen omgeving, voor zover die buiten onze opdracht valt.
6. Subverwerkers
De klant geeft toestemming dat wij subverwerkers inschakelen. Wij leggen hen ten minste dezelfde verplichtingen op als in deze verwerkersovereenkomst en blijven tegenover de klant verantwoordelijk voor hun werk. Op dit moment werken we met:
- Microsoft Ireland Operations Ltd.: Microsoft 365 voor e-mail en bestanden, en Microsoft Azure voor het hosten van websites en formulieren en van ons eigen klantsysteem. Gevestigd in Ierland.
- Proton AG: Proton Pass voor het bewaren van inloggegevens, end-to-end versleuteld. Gevestigd in Zwitserland.
- GitHub, Inc.: opslag van de broncode van websites. Gevestigd in de Verenigde Staten.
- Resend (Plus Five Five, Inc.): afleveren van e-mails uit contactformulieren. Gevestigd in de Verenigde Staten.
Willen we een subverwerker toevoegen of vervangen, dan melden we dat de klant vooraf. De klant kan daar binnen 14 dagen op redelijke gronden bezwaar tegen maken. Komen partijen er dan niet uit, dan kan de klant het betreffende deel van de opdracht beëindigen.
Worden persoonsgegevens buiten de EER verwerkt, dan gebeurt dat alleen met passende waarborgen, zoals een certificering onder het EU-VS Data Privacy Framework of de modelcontractbepalingen van de Europese Commissie.
7. Rechten van betrokkenen
Doet een betrokkene een verzoek, bijvoorbeeld om inzage, correctie of verwijdering, dan helpen wij de klant om daarop te reageren, voor zover dat redelijkerwijs mogelijk is. Komt zo'n verzoek bij ons binnen, dan sturen we het door naar de klant.
8. Datalekken
Ontdekken wij een inbreuk in verband met persoonsgegevens (een datalek) die gegevens van de klant betreft, dan melden we dat de klant zonder onredelijke vertraging, en uiterlijk binnen 24 uur nadat we ervan op de hoogte zijn. We geven daarbij de informatie die de klant nodig heeft om het datalek te beoordelen en, als dat nodig is, te melden bij de Autoriteit Persoonsgegevens en aan betrokkenen. De klant beslist over die meldingen.
We nemen direct redelijke maatregelen om de gevolgen te beperken en houden de klant op de hoogte.
9. Ondersteuning en controle
Wij helpen de klant redelijkerwijs bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens.
Wij geven de klant op verzoek de informatie die nodig is om aan te tonen dat we deze verwerkersovereenkomst naleven. De klant mag dat maximaal eenmaal per jaar laten controleren door een onafhankelijke deskundige met geheimhoudingsplicht, na een aankondiging van ten minste vier weken. De kosten van een controle zijn voor de klant, tenzij blijkt dat wij deze verwerkersovereenkomst op wezenlijke punten niet naleven.
Ondersteuning die verder gaat dan bij de opdracht gebruikelijk is, mogen we na overleg tegen ons uurtarief in rekening brengen, behalve als die ondersteuning nodig is door een tekortkoming van onze kant.
10. Einde van de opdracht
Na afloop van de opdracht geven we de persoonsgegevens terug of verwijderen we ze, naar keuze van de klant, binnen 30 dagen. Dat geldt ook voor kopieën, tenzij we gegevens wettelijk moeten bewaren. Hosten wij de website van de klant, dan leveren we op verzoek de bestanden van de website aan voordat we de hosting beëindigen. Op verzoek bevestigen we de verwijdering schriftelijk.
11. Aansprakelijkheid
Voor de aansprakelijkheid van partijen geldt artikel 13 van onze algemene voorwaarden, voor zover de wet dat toestaat.
12. Looptijd en slotbepalingen
Deze verwerkersovereenkomst loopt zolang wij persoonsgegevens voor de klant verwerken. Bepalingen die naar hun aard ook daarna gelden, zoals geheimhouding, blijven van kracht. Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Voor geschillen geldt artikel 17 van onze algemene voorwaarden.
We kunnen deze verwerkersovereenkomst aanpassen, bijvoorbeeld als wetgeving of onze subverwerkers veranderen. Wezenlijke wijzigingen melden we de klant vooraf.