VERWERKERSOVEREENKOMST (AVG)

in de zin van artikel 28 AVG

Partijen

1. ID and more, gevestigd te Uden, KvK 17228571, hierna: "Verwerker";

2. de partij die deze overeenkomst digitaal ondertekent en daarbij haar bedrijfsnaam, naam, vestigingsplaats en e-mailadres verstrekt – “Verwerkingsverantwoordelijke”.

De bij ondertekening opgegeven bedrijfsnaam, naam, vestigingsplaats, e-mailadres, datum, tijdstip, IP-adres en digitale handtekening vormen samen het bewijs van ondertekening. Partijen hebben een overeenkomst voor dienstverlening (de “Hoofdovereenkomst”) gesloten – waaronder ontwikkeling, hosting, onderhoud en beheer van een website – waarop deze Verwerkersovereenkomst van toepassing is en waarvan zij deel uitmaakt.

Artikel 1 – Begrippen

1. Begrippen uit de AVG (Verordening (EU) 2016/679) hebben in deze overeenkomst de betekenis die de AVG daaraan geeft, waaronder persoonsgegevens, verwerking, betrokkene, subverwerker, datalek en toezichthoudende autoriteit.

Artikel 2 – Doel en aard van de verwerking

1. Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de Hoofdovereenkomst en uitsluitend op basis van gedocumenteerde instructies van Verwerkingsverantwoordelijke, niet voor eigen doeleinden, tenzij een wettelijke plicht anders bepaalt.
2. Aard, onderwerp, duur, soorten persoonsgegevens en categorieën betrokkenen zijn gespecificeerd in Bijlage A. De persoonsgegevens blijven onder de zeggenschap van Verwerkingsverantwoordelijke.

Artikel 3 – Verplichtingen Verwerker

1. Verwerker handelt conform de AVG en overige privacywetgeving. Personen die onder haar gezag gegevens verwerken zijn tot geheimhouding verplicht.
2. Verwerker informeert Verwerkingsverantwoordelijke op verzoek over genomen maatregelen, en onmiddellijk indien een instructie naar haar oordeel in strijd is met de wet. Zij is niet gehouden instructies zelfstandig juridisch te beoordelen, behoudens wettelijke plicht.
3. Voor zover wettelijk vereist verleent Verwerker redelijke bijstand bij DPIA's, voorafgaande raadplegingen en de verplichtingen uit de artikelen 32–36 AVG.

Artikel 4 – Doorgifte

1. Verwerking vindt in beginsel binnen de EER plaats. Doorgifte buiten de EER gebeurt uitsluitend conform hoofdstuk V AVG (bijv. adequaatheidsbesluit of modelcontractbepalingen).

Artikel 5 – Verdeling van verantwoordelijkheid

1. Verwerkingsverantwoordelijke blijft volledig verantwoordelijk voor de rechtmatigheid van de verwerking, de grondslag, de informatie aan betrokkenen, de juistheid van de aangeleverde gegevens en de overige naleving van de AVG.
2. Verwerker is uitsluitend verantwoordelijk voor verwerkingen onder haar instructies, en niet voor de inhoud, herkomst of rechtmatigheid van aangeleverde gegevens of voor verwerkingen die niet aan haar zijn gemeld.
3. Verwerkingsverantwoordelijke vrijwaart Verwerker voor aanspraken van derden, betrokkenen en toezichthouders die voortvloeien uit haar handelen of nalaten, tenzij sprake is van opzet of bewuste roekeloosheid van Verwerker.

Artikel 6 – Subverwerkers

1. Verwerker mag subverwerkers inzetten en houdt hiervan een actuele lijst bij (Bijlage B). Verwerkingsverantwoordelijke kan binnen redelijke termijn gemotiveerd bezwaar maken tegen een nieuwe subverwerker.
2. Subverwerkers worden contractueel aan ten minste gelijkwaardige verplichtingen gebonden. De aansprakelijkheid voor subverwerkers is beperkt conform artikel 12 en de Hoofdovereenkomst.

Artikel 7 – Beveiliging

1. Verwerker treft passende technische en organisatorische maatregelen, rekening houdend met de stand van de techniek, de kosten en de risico's, waaronder waar passend: SSL/TLS, toegangsbeheer, sterke wachtwoorden, MFA, updates, back-ups en logging.
2. Verwerker staat er niet voor in dat de beveiliging onder alle omstandigheden iedere inbreuk voorkomt. Verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van de maatregelen aan haar zijde.

Artikel 8 – Datalekken

1. Verwerker meldt een datalek zonder onredelijke vertraging en uiterlijk binnen 24 uur na ontdekking aan Verwerkingsverantwoordelijke, met (voor zover bekend) de aard, de gevolgen en de getroffen of voorgestelde maatregelen.
2. De beoordeling of melding aan de toezichthouder en/of betrokkenen nodig is, ligt uitsluitend bij Verwerkingsverantwoordelijke. Verwerker documenteert datalekken conform artikel 33 lid 5 AVG en geeft hierin op verzoek inzage.

Artikel 9 – Rechten van betrokkenen

1. Verzoeken van betrokkenen (art. 15–22 AVG) stuurt Verwerker door aan Verwerkingsverantwoordelijke, die deze afhandelt. Verwerker handelt verzoeken niet zelfstandig af, tenzij schriftelijk anders overeengekomen, en verleent waar mogelijk redelijke bijstand.

Artikel 10 – Geheimhouding

1. Verwerker behandelt alle persoonsgegevens vertrouwelijk en gebruikt deze niet voor andere doeleinden. Deze plicht geldt niet bij toestemming, noodzaak voor de uitvoering of een wettelijke verplichting, en blijft na beëindiging van kracht.

Artikel 11 – Audit

1. Verwerkingsverantwoordelijke mag de naleving laten controleren door een onafhankelijke, aan geheimhouding gebonden derde, maximaal eenmaal per kalenderjaar – tenzij sprake is van een ernstig beveiligingsincident – en ten minste vier weken vooraf aangekondigd.
2. Verwerker werkt mee en stelt relevante informatie tijdig beschikbaar. Alle kosten van de audit, inclusief interne uren van Verwerker, komen voor rekening van Verwerkingsverantwoordelijke.

Artikel 12 – Aansprakelijkheid

1. De aansprakelijkheid van Verwerker volgt de Hoofdovereenkomst. Ontbreekt een regeling, dan is deze beperkt tot het in de twaalf voorafgaande maanden betaalde bedrag, met een maximum van EUR 2.500 per gebeurtenis.
2. Verwerker is nooit aansprakelijk voor indirecte schade, gevolgschade, gederfde winst, reputatieschade of bedrijfsstagnatie. Deze beperkingen vervallen bij opzet of bewuste roekeloosheid van Verwerker of voor zover dwingend recht zich verzet.

Artikel 13 – Ondersteuning tegen vergoeding

1. Werkzaamheden voor audits, verzoeken van betrokkenen, DPIA's, onderzoeken van toezichthouders en datalekken die de wettelijke minimumverplichtingen te boven gaan, mag Verwerker tegen het geldende uurtarief in rekening brengen.

Artikel 14 – Duur en beëindiging

1. Deze overeenkomst treedt in werking bij ondertekening en geldt voor de duur van de Hoofdovereenkomst, waarmee zij van rechtswege eindigt.
2. Na beëindiging retourneert of verwijdert Verwerker de persoonsgegevens naar keuze van Verwerkingsverantwoordelijke, tenzij een wettelijke bewaarplicht anders vereist.

Artikel 15 – Wijzigingen

1. Verwerker mag deze overeenkomst herzien en meldt wijzigingen ten minste drie maanden vooraf. Bij bezwaar mag Verwerkingsverantwoordelijke tegen het einde van die periode opzeggen.

Artikel 16 – Toepasselijk recht

1. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement van Verwerker. Bij strijdigheid prevaleert deze overeenkomst ten aanzien van de verwerking van persoonsgegevens boven de Hoofdovereenkomst.

Bijlage A – Verwerkingsspecificatie

Bijlage B – Subverwerkers

Aanvaarding en ondertekening

Deze overeenkomst is opgesteld, aangeboden en geaccepteerd door Verwerker ID and more en behoeft uitsluitend nog ondertekening door Verwerkingsverantwoordelijke.

Verwerkingsverantwoordelijke aanvaardt en ondertekent eenzijdig en digitaal via het onderstaande formulier (bedrijfsnaam, naam, plaats, e-mailadres en handtekening). Met klikken op “Verzenden” stemt zij in met de volledige inhoud; de opgegeven gegevens en de digitale handtekening vormen het bewijs van ondertekening.

Reeds geaccepteerd door Verwerker: ID and more. Ondertekening door Verwerkingsverantwoordelijke vindt plaats via het formulier hieronder.