Verwerkersovereenkomst

(a) Verwerker is Sendt Online Marketing BV, handelend onder de naam Sendt Media (hierna: Verwerker) heeft met Opdrachtgever (hierna: Verantwoordelijke) een overeenkomst gesloten voor de levering van diensten zoals omschreven in het aan deze overeenkomst toegevoegde voorstel (hierna: onderliggende opdracht).

(b) Verwerker stelt in het kader van de onderliggende opdracht vertrouwelijke informatie, waaronder persoonsgegevens, ter beschikking aan de Verantwoordelijke, overeenkomstig de onderliggende opdracht.

(c) Verantwoordelijke in het kader van haar opdracht aan Verwerker (waar noodzakelijk) vertrouwelijke informatie waaronder begrepen persoonsgegevens ter beschikking stelt zodat Verwerker in staat is de onderliggende opdracht uit te voeren.

(d) Partijen in deze Verwerkersovereenkomst (hierna: “overeenkomst”) willen regelen hoe met betrekking tot deze vertrouwelijke informatie moet worden omgegaan, teneinde de belangen van de Partijen en de persoonlijke gegevens van de verstrekte relaties te beschermen.

Partijen komen het volgende overeen:

1. Definities

In deze overeenkomst worden de volgende begrippen gebruikt. Onder deze begrippen wordt verstaan:

Overeenkomst: Deze overeenkomst, welke kan worden aangemerkt als Verwerkersovereenkomst en die een integraal onderdeel vormt van de onderliggende opdracht.

Betrokkene: Degene op wie een persoonsgegeven betrekking heeft.

Sub-Verwerker: Een andere Verwerker die door de Verwerker wordt ingezet om ten behoeve van de verwerking Verantwoordelijke specifieke verwerkingsactiviteiten te verrichten.

Verantwoordelijke: Een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.

Datalek: Een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot – of waarbij redelijkerwijs niet uit te sluiten valt dat die kan leiden tot – de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte persoonsgegevens.

Derden: Anderen dan Verantwoordelijke en Verwerker

Meldplicht Datalekken: De verplichting tot het melden van datalekken aan de Autoriteit persoonsgegevens en (in sommige gevallen) aan betrokkene(n).

Medewerkers: Personen die werkzaam zijn bij Verantwoordelijke of bij Verwerker, ofwel in dienstbetrekking dan wel tijdelijk ingehuurd.

persoonsgegevens: Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”) die in het kader van de “onderliggende opdracht”

worden verwerkt; als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.

Verwerken / Verwerking: Een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.

AVG: Algemene Verordening Gegevensbescherming, inclusief de uitvoeringswet van deze verordening.

2. Toepasselijkheid en looptijd

2.1 Deze overeenkomst is van toepassing op iedere verwerking die door Verwerker als Verwerker wordt gedaan op basis van de onderliggende opdracht, gegeven door Verantwoordelijke als Verantwoordelijke.

2.2 Deze overeenkomst treedt in werking op de datum van ondertekening door de laatste Partij van de onderliggende opdracht en wordt aangegaan voor de duur van de onderliggende opdracht. Partijen komen overeen dat deze overeenkomst een onverbrekelijk geheel vormt met de onderliggende opdracht.

2.3 Zodra de onderliggende opdracht is beëindigd, eindigt ook de onderhavige overeenkomst.

3. Verwerking

3.1 Iedere Partij staat ervoor in dat zij de persoonsgegevens op een behoorlijke en zorgvuldige wijze verwerkt in overeenstemming met de toepasselijke wet- en regelgeving, alsmede eventueel toepasselijke gedragscodes.

3.2 Verwerker voert onderliggende opdracht uit conform de wet- en regelgeving die van toepassing is op het uitvoeren van de onderliggende opdracht en in het bijzonder de AVG wet.

3.3 De verwerking vindt plaats volgens schriftelijke instructies van de Verantwoordelijke, tenzij Verwerker op grond van de wet- of regelgeving verplicht is om anders te handelen. Indien een instructie, naar de mening van Verwerker, een inbreuk maakt op de AVG, stelt Verwerker de Verantwoordelijke daarvan onmiddellijk in kennis.

3.4 Verwerker treft de nodige maatregelen opdat de persoonsgegevens, gelet op de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, juist, volledig en nauwkeurig zijn.
3.5 De verwerking vindt plaats onder de verantwoordelijkheid van de Verantwoordelijke. Verwerker heeft geen zeggenschap over het doel en de middelen van de verwerking en neemt geen beslissingen over zaken als het gebruik van persoonsgegevens, de bewaartermijn van de voor de Verantwoordelijke verwerkte persoonsgegevens en het verstrekken van persoonsgegevens aan derden. Verantwoordelijke moet ervoor zorgen dat Verantwoordelijke het doel en de middelen van de verwerking van de persoonsgegevens duidelijk heeft vastgesteld. De zeggenschap over de persoonsgegevens berust nooit bij Verwerker.

3.6 Slechts indien partijen expliciet overeenkomen dat Verwerker zelf het doel en de middelen bepaalt van de verwerking van de persoonsgegevens, zal zij als Verantwoordelijke worden aangemerkt.
3.7 Verwerker zorgt ervoor dat alleen medewerkers van Verwerker toegang hebben tot de persoonsgegevens. De uitzondering hierop is opgenomen in artikel 3.9. Verwerker beperkt de toegang tot medewerkers voor wie de toegang noodzakelijk is voor hun werkzaamheden, waarbij de toegang beperkt is tot persoonsgegevens die deze medewerkers nodig hebben voor hun werkzaamheden. Verwerker zorgt er bovendien voor dat de medewerkers die toegang hebben tot de persoonsgegevens een juiste en volledige instructie hebben gekregen over de omgang met persoonsgegevens en dat zij bekend zijn met de verantwoordelijkheden en wettelijke verplichtingen.

3.8 Verwerker kan andere Verwerkers (Sub-Verwerkers) inschakelen voor het uitvoeren van bepaalde werkzaamheden die voortvloeien uit de onderliggende opdracht, bijvoorbeeld als deze Sub-Verwerkers over specialistische kennis of middelen beschikken waarover Verwerker niet beschikt.
3.9 Voor zover mogelijk verleent Verwerker Verantwoordelijke bijstand bij het vervullen van Verantwoordelijke zijn verplichtingen om verzoeken om uitoefening van rechten van betrokkene(n) af te handelen. Als Verwerker (rechtstreeks) verzoeken ontvangt van betrokkene(n) om uitoefening van hun rechten (bijvoorbeeld inzage, wijziging of verwijdering van persoonsgegevens), dan stuurt Verwerker deze verzoeken door naar Verantwoordelijke. Verantwoordelijke handelt deze verzoeken zelf af, waarbij Verwerker Verantwoordelijke natuurlijk behulpzaam zal zijn als Verwerker in het kader van de onderliggende opdracht toegang heeft tot deze persoonsgegevens. Hiervoor kan Verwerker kosten in rekening brengen.

3.10 Als Verwerker een verzoek krijgt om persoonsgegevens ter beschikking te stellen dan doet Verwerker dit alleen als het verzoek is gedaan door een daartoe bevoegde instantie. Bovendien beoordeelt Verwerker eerst of zij van mening is dat het verzoek bindend is, of dat Verwerker op grond van gedragsregels aan het verzoek moet voldoen. Als er geen strafrechtelijke of andere juridische belemmeringen zijn, dan stelt Verwerker Verantwoordelijke op de hoogte van het verzoek. Verwerker probeert dat op zo’n korte termijn te doen, dat het voor Verantwoordelijke mogelijk is om eventuele rechtsmiddelen tegen de verstrekking van de persoonsgegevens in te stellen. Als Verwerker Verantwoordelijke op de hoogte mag stellen dan zal Verwerker ook met Verantwoordelijke overleggen over de wijze waarop en welke gegevens de Verwerker ter beschikking zal stellen.

4. Geheimhouding en beveiliging

4.1 Partijen zijn verplicht tot geheimhouding van de persoonsgegevens waarvan zij kennis nemen, behoudens voor zover enig wettelijk voorschrift hen tot mededeling verplicht of uit hun taak de noodzaak tot mededeling voortvloeit.

4.2 Verwerker zal passende technische en organisatorische beveiligingsmaatregelen treffen om de persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging daarvan, een passend beveiligingsniveau gelet op de risico’s die de verwerking en de aard van de te beschermen gegevens meebrengen. De maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen. De heer B. Steffens is binnen de organisatie aangewezen verantwoordelijk voor de beveiliging van de data. BSM (Business Security Management BV) is door Verwerker ingeschakeld om periodiek de veiligheid op het gebied van dataverwerking te testen en waar nodig te optimaliseren. Alle persoonsgegevens worden via https: pagina’s opgevraagd en ontvangen in een beveiligde data-omgeving. Persoonsgegevens zijn alleen toegankelijk voor en kunnen uitsluitend bewerkt worden door de daartoe bevoegde personen. Persoonsgegevens zijn voor de Verantwoordelijke alleen toegankelijk via het daarvoor bedoelde CMS systeem waarvoor de Verwerker aan Verantwoordelijke toegang verschaft d.m.v. persoonlijke inloggegevens. Alle andere instructies die de Verantwoordelijke aan Verwerker geeft om de data over te dragen is geheel op eigen verantwoording van de Verantwoordelijke. Verwerker behoudt zich het recht om afwijkende instructies voor data overdracht niet uit te voeren, indien Verwerker van mening is dat hier risico’s aan verbonden zijn.

4.3 Verwerker zorgt ervoor dat alle medewerkers die toegang hebben tot de persoonsgegevens een geheimhoudingsverklaring hebben ondertekend.

5. Datalekken

5.1 Als er sprake is van een datalek dan stelt Verwerker Verantwoordelijke daarvan op de hoogte. Verwerker streeft ernaar dit te doen binnen 48 uur nadat dit Datalek te hebben ontdekt, of zo snel mogelijk nadat Verwerker daarover door Sub-Verwerkers zijn geïnformeerd. Verwerker zal Verantwoordelijke daarbij voorzien van de informatie (d.m.v. een datalek formulier) die Verantwoordelijke redelijkerwijs nodig heeft om – indien nodig – een juiste en volledige melding te doen aan de Autoriteit persoonsgegevens en eventueel de betrokkene(n) in het kader van de meldplicht datalekken c.q. Verwerker stuurt de melding van Sub-Verwerker aan Verantwoordelijke door. Ook van de door Verwerker, of Sub-Verwerker, naar aanleiding van het datalek genomen maatregelen houdt Verwerker Verantwoordelijke op de hoogte.

5.2 De melding van datalekken aan de Autoriteit persoonsgegevens en (eventueel) Betrokkene(n) is altijd de Verantwoordelijke zijn/haar eigen verantwoordelijkheid.

5.3 Het (bij)houden van een register van datalekken is altijd Verantwoordelijke haar/zijn eigen verantwoordelijkheid.

6. Aansprakelijkheid

6.1 Verwerker vrijwaart de Verantwoordelijke voor eventuele aanspraken van derden die in verband met de uitvoering van de onderliggende opdracht door Verwerker voor de Verantwoordelijke, jegens Verwerker mochten worden ingesteld wegens schending van de wet- en regelgeving en in het bijzonder de AVG wet.

6.2 Verwerker is niet aansprakelijk voor schade die het gevolg is van het door Verantwoordelijke niet naleven van de AVG of andere wet- of regelgeving. Verantwoordelijke vrijwaart Verwerker ook voor aanspraken van derden op grond van zulke schade. De vrijwaring geldt niet alleen voor de schade die Derden hebben geleden (materieel maar ook immaterieel), maar ook voor de kosten die Verwerker in verband daarmee moet maken, bijvoorbeeld in een eventuele juridische procedure, en de kosten van eventuele boetes die aan Verwerker worden opgelegd ten gevolge van Verantwoordelijkes handelen.

6.3 De in de onderliggende opdracht en daarbij behorende algemene voorwaarden overeengekomen beperking van de aansprakelijkheid van Verwerker is van kracht op de
verplichtingen zoals opgenomen in deze overeenkomst, met dien verstande dat een of meerdere schadevorderingen uit hoofde van deze overeenkomst en /of de onderliggende opdracht nimmer tot overschrijding van de beperking kan leiden.

7. Beëindiging en teruggave / vernietiging persoonsgegevens

7.1 De door Verwerker in opdracht van Verantwoordelijke verzamelde persoonsgegevens blijven na de terbeschikkingstelling aan Verantwoordelijke standaard 90 dagen bewaard, of zoveel langer als vereist in verband met toepasselijke wet- en/of regelgeving en/of vereist ten behoeve van een goede bedrijfsvoering. Daarna worden deze gegevens vernietigd, tenzij anders overeengekomen. De Verantwoordelijke is zelf verantwoordelijk voor het tijdig downloaden en opslaan van de gegevens voor eigen gebruik.

8. Aanvullingen en wijziging overeenkomst

8.1 Aanvullingen en wijzigingen op deze overeenkomst zijn alleen geldig als ze op schrift zijn gesteld. Onder “schriftelijk” worden ook wijzigingen begrepen die per e-mail zijn gecommuniceerd, gevolgd door een akkoord per e-mail van de andere partij.

8.2 Een wijziging in de verwerkte persoonsgegevens of in de betrouwbaarheidseisen, de privacyregelgeving of eisen van de Verantwoordelijke kan aanleiding zijn om deze overeenkomst aan te vullen of te wijzigen. Indien dit leidt tot significante aanpassingen in de onderliggende opdracht, of wanneer Verwerker niet kan voorzien in een passend niveau van bescherming, kan dit voor Verwerker reden zijn om de onderliggende opdracht te beëindigen.

9. Controle

9.1 Op verzoek stelt Verwerker Verantwoordelijke alle informatie ter beschikking die nodig is om de nakoming van de in deze overeenkomst neergelegde verplichtingen aan te tonen.
Verwerker maakt audits mogelijk, waaronder inspecties, door Verantwoordelijke of een door Verantwoordelijke gemachtigde controleur en dragen eraan bij. De kosten van dergelijke verzoeken,
audits of inspecties zijn voor rekening van de Verantwoordelijke. Ook eventuele audits bij de Sub-Verwerkers zijn voor rekening van de Verantwoordelijke.

9.2 Indien Verwerker tekortschiet doch de tekortkomingen zijn niet materieel, zal Verwerker die tekortkomingen op zo kort mogelijke termijn herstellen.

9.3 Indien Verwerker zelf de naleving van deze overeenkomst laat controleren door een
onafhankelijke daartoe gecertificeerde partij, verstrekt Verwerker daarvan de eindresultaten
aan Verantwoordelijke.

9.4 Partijen werken desgevraagd samen met de toezichthoudende autoriteit bij het vervullen van haar taken.

9.5 Verantwoordelijke zal de controle minimaal tien dagen voor aanvang schriftelijk aankondigen aan Verwerker, voorzien van een omschrijving op welke onderdelen de controle ziet en het controleproces.

9.6 Een controle mag de bedrijfsactiviteiten van Verwerker niet onnodig verstoren.

10. Slotbepalingen

10.1 Op deze overeenkomst is Nederlands recht van toepassing, de Nederlandse rechter is bevoegd kennis te nemen van alle geschillen die voortvloeien uit of samenhangen met deze overeenkomst.

10.2 Wijzigingen van deze overeenkomst zijn uitsluitend geldig indien deze tussen partijen
schriftelijk zijn overeengekomen.

10.3 Het is voor Verantwoordelijke en Verwerker, behalve als partijen Gezamenlijk schriftelijke anders afspreekt, niet toegestaan om deze overeenkomst en de rechten en de plichten die samenhangen met deze overeenkomst over te dragen aan een ander.

10.4 Deze overeenkomst duurt zolang de onderliggende Opdracht duurt. Mocht de onderliggend Opdracht op een later moment verlengd worden, dan zal deze overeenkomst herleven met dezelfde duur als de onderliggende Opdracht. De bepalingen van deze overeenkomst blijven gelden voor zover nodig voor de afwikkeling van deze overeenkomst en voor zover die bedoeld zijn het einde van deze overeenkomst te overleven. Tot die laatste categorie bepalingen behoren onder meer,
zonder daartoe te zijn beperkt, de bepalingen omtrent geheimhouding en geschillen.

10.6 Als één of meerdere bepalingen in deze overeenkomst niet geldig blijken te zijn, dan heeft dit geen gevolgen voor de geldigheid van de andere bepalingen in deze overeenkomst. Verwerker treden dan met Verantwoordelijke in overleg om gezamenlijk een nieuwe bepaling op te stellen. Deze bepaling zal zoveel als mogelijk in de geest zijn van de ongeldige bepaling, maar dan uiteraard zo vormgegeven dat de bepaling wel geldig is.

10.7 Partijen kunnen deze overeenkomst te allen tijde met wederzijds goedvinden schriftelijk wijzigen of aanvullen.

10.8 Partijen zullen hun geschillen verband houdende met deze overeenkomst uitsluitend voorleggen aan de bevoegde rechter van de Rechtbank Noord Holland.