Verwerkersovereenkomst

1. Rollen en onderwerp

1. Klant bepaalt het doel en de middelen van de verwerking van persoonsgegevens in de Dienst en is Verwerkingsverantwoordelijke. Verwerker verwerkt deze persoonsgegevens uitsluitend namens Klant en is Verwerker.
2. Verwerker verwerkt de persoonsgegevens alleen voor het leveren, beveiligen en onderhouden van de Dienst en op basis van de gedocumenteerde instructies van Klant, waaronder deze overeenkomst en het gebruik van de Dienst door Klant. Is Verwerker op grond van EU- of lidstaatrecht tot een andere verwerking verplicht, dan meldt zij dat vooraf aan Klant, tenzij de wet dat verbiedt.
3. Verwerker informeert Klant onverwijld als zij van mening is dat een instructie in strijd is met de AVG.

2. Soort gegevens en betrokkenen

Betrokkenen: medewerkers en (contact)personen van Klant die in de Dienst als Gebruiker, planner of contactpersoon zijn opgenomen; eventueel namen van contactpersonen bij afnemers van Klant, voor zover Klant die invoert.

Categorieën persoonsgegevens: naam, zakelijk e-mailadres, rol en rechten, functie- of afdelingsnaam, inloggegevens (wachtwoord uitsluitend als gehashte waarde), gegevens over gebruik en handelingen in de Dienst (auditlog), en overige persoonsgegevens die Klant zelf in vrije velden of importbestanden opneemt.

Doel: het ter beschikking stellen van de Dienst voor productieplanning.

Duur: de looptijd van de Overeenkomst, plus de termijnen uit artikel 9.

Klant voert geen bijzondere persoonsgegevens (artikel 9 AVG) en geen strafrechtelijke gegevens in de Dienst in.

3. Verplichtingen van Verwerker

1. Verwerker verwerkt de persoonsgegevens uitsluitend binnen de Europese Economische Ruimte, tenzij Klant vooraf Schriftelijk toestemming geeft. Voor een subverwerker die persoonsgegevens buiten de EER kan verwerken, geldt artikel 5 lid 4.
2. Verwerker draagt zorg dat personen die toegang hebben tot de persoonsgegevens gebonden zijn aan een contractuele of wettelijke geheimhoudingsplicht, en dat zij toegang hebben op basis van noodzaak (need-to-know).
3. Verwerker verleent Klant medewerking, voor zover redelijkerwijs mogelijk en tegen vergoeding van de redelijke kosten indien het meer dan geringe inspanning vergt, bij het beantwoorden van verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar), bij gegevensbeschermingseffectbeoordelingen en bij voorafgaande raadpleging van de toezichthouder.
4. Ontvangt Verwerker rechtstreeks een verzoek van een betrokkene over gegevens die zij namens Klant verwerkt, dan verwijst zij de betrokkene naar Klant of geeft het verzoek door aan Klant, en beantwoordt zij het niet zelf.
5. Verwerker houdt een register van de verwerkingen die zij namens Klant uitvoert.

4. Beveiliging

1. Verwerker treft passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking, rekening houdend met de stand van de techniek en de aard van de gegevens. Deze maatregelen zijn in elk geval: versleutelde verbindingen (TLS); toegangsbeveiliging per rol en per klant (tenantscheiding); gehashte wachtwoorden; verplichte tweestapsverificatie voor beheerders; beperking van pogingen om in te loggen; logging van beveiligingsrelevante handelingen; periodieke back-ups; en het tijdig installeren van beveiligingsupdates.
2. Verwerker evalueert de maatregelen periodiek en mag ze aanpassen, mits het beveiligingsniveau niet daalt.
3. Op verzoek verstrekt Verwerker Klant de informatie die nodig is om de naleving van deze overeenkomst aan te tonen.

5. Subverwerkers

1. Klant geeft Verwerker algemene toestemming om subverwerkers in te schakelen. De op het moment van het sluiten van de Overeenkomst ingeschakelde subverwerkers staan in Bijlage 1.
2. Verwerker informeert Klant ten minste dertig (30) dagen vooraf over het toevoegen of vervangen van een subverwerker. Klant mag binnen veertien (14) dagen na die melding Schriftelijk en gemotiveerd bezwaar maken. Zonder bezwaar geldt de wijziging als aanvaard. Bij een gegrond bezwaar zoeken partijen samen naar een oplossing; lukt dat niet, dan mag Klant de Overeenkomst voor het betrokken deel opzeggen zonder kosten.
3. Verwerker sluit met elke subverwerker een overeenkomst met dezelfde verplichtingen als deze overeenkomst en blijft jegens Klant verantwoordelijk voor de nakoming door de subverwerker.
4. Indien een subverwerker persoonsgegevens buiten de EER verwerkt, zorgt Verwerker voor een passende doorgiftegrond uit hoofdstuk V AVG (zoals een adequaatheidsbesluit of door de Europese Commissie goedgekeurde modelcontractbepalingen) en meldt zij dit in Bijlage 1.

6. Datalekken

1. Verwerker meldt een inbreuk op persoonsgegevens (datalek) die Klantdata betreft aan Klant zonder onredelijke vertraging, maar uiterlijk binnen vierentwintig (24) uur nadat zij van de inbreuk kennis heeft genomen. De melding gaat per e-mail naar het door Klant opgegeven contactadres.
2. De melding bevat, voor zover bekend: de aard van de inbreuk, de betrokken categorieën en geschatte aantallen betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen, en een contactpersoon. Ontbrekende informatie wordt zo snel mogelijk aangevuld.
3. Klant beoordeelt zelf of een melding aan de Autoriteit Persoonsgegevens (binnen 72 uur na kennisname) of aan betrokkenen nodig is, en doet die melding. Verwerker verleent hiervoor redelijke medewerking en neemt zonder vertraging maatregelen om de inbreuk te beperken en herhaling te voorkomen.
4. Een melding van een datalek houdt geen erkenning van aansprakelijkheid in.

7. Controle en audits

1. Klant mag de naleving van deze overeenkomst controleren. Verwerker werkt hieraan mee door relevante informatie te verstrekken, en toont de naleving in de eerste plaats aan met documentatie, rapportages en de uitkomst van eigen beveiligingscontroles.
2. Is dat naar redelijk oordeel niet voldoende, dan mag Klant ten hoogste eenmaal per twaalf (12) maanden, na ten minste dertig (30) dagen vooraankondiging, een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte deskundige. De audit mag de dienstverlening en de gegevens van andere klanten niet in gevaar brengen. De kosten van de audit komen voor rekening van Klant; kosten van Verwerker voor meer dan geringe medewerking worden tegen redelijke tarieven vergoed.

8. Aansprakelijkheid

Voor aansprakelijkheid onder deze overeenkomst gelden de beperkingen uit de Algemene voorwaarden. Bestuurlijke boeten worden toegerekend overeenkomstig de verantwoordelijkheid van elk van de partijen.

9. Einde van de verwerking

1. Bij het einde van de Overeenkomst stelt Verwerker op verzoek van Klant alle Klantdata beschikbaar in een gangbaar, gestructureerd en machineleesbaar formaat (CSV, XLSX of JSON) voor export, zoals beschreven in artikel 12.3 van de Algemene voorwaarden. Dit gebeurt zonder kosten.
2. Na export, of uiterlijk dertig (30) dagen na het einde van de Overeenkomst indien Klant niet om export heeft gevraagd, verwijdert Verwerker de persoonsgegevens definitief uit de actieve database. Back-ups waarin de gegevens nog voorkomen worden niet meer teruggezet voor Klant en worden overschreven of verwijderd volgens de bewaartermijn van back-ups (veertien (14) dagen). Daarmee zijn de persoonsgegevens uiterlijk 44 dagen na het einde van de Overeenkomst ook uit de back-ups verdwenen.
3. Op verzoek bevestigt Verwerker de verwijdering Schriftelijk. Voor zover wettelijk een bewaarplicht geldt voor Verwerker, bewaart zij de gegevens slechts zolang en voor zover dat verplicht is.

10. Duur, rangorde en recht

1. Deze overeenkomst loopt zolang Verwerker persoonsgegevens namens Klant verwerkt en eindigt van rechtswege met de Overeenkomst, onverminderd de verplichtingen die naar hun aard voortduren (waaronder artikelen 6, 7 en 9).
2. Bij strijd tussen deze overeenkomst en de Algemene voorwaarden gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft. Op deze overeenkomst is Nederlands recht van toepassing; geschillen worden voorgelegd aan de rechter genoemd in artikel 14 van de Algemene voorwaarden.

11. Bijlage 1 · Subverwerkers

Overzicht van de subverwerkers op de datum van vaststelling. De verwerkingslocatie is binnen de EER, tenzij hieronder anders is vermeld.

De ingevulde namen van de aanbieders worden vóór ondertekening bevestigd. Een wijziging volgt de procedure van artikel 5.