Verwerkersovereenkomst

Laatst bijgewerkt: [Last Updated Date]

Inleiding

Deze Verwerkersovereenkomst ("Overeenkomst") maakt deel uit van de Platformvoorwaarden tussen [Legal Entity Name] ("wij", "de Verwerker") en het bedrijf dat een gehoste omgeving van [Platform Name] afneemt ("je", "de Klant", "de Verwerkingsverantwoordelijke").

Zij wordt aangegaan op grond van artikel 28(3) van Verordening (EU) 2016/679 ("AVG"), dat een schriftelijke overeenkomst tussen een verwerkingsverantwoordelijke en een verwerker voorschrijft. Zij geldt vanaf het moment dat je Omgeving voor het eerst persoonsgegevens verwerkt.

Rollen. Voor persoonsgegevens die binnen je Omgeving worden verwerkt ben jij de verwerkingsverantwoordelijke en zijn wij de verwerker. Voor je eigen beheerdersaccount en voor de facturatie aan jou treden wij op als zelfstandig verwerkingsverantwoordelijke; die verwerking staat beschreven in ons Privacybeleid en valt buiten deze Overeenkomst.

1. Onderwerp, Duur, Aard en Doel

Onderwerp: het hosten en exploiteren van je Omgeving
Duur: de looptijd van de Platformvoorwaarden, plus de bewaartermijn uit artikel 9
Aard en doel: opslag, raadpleging, verzending, back-up en weergave van persoonsgegevens zodat je je bedrijf kunt voeren en producten aan je Eindgebruikers kunt leveren, samen met de technische ondersteuning die nodig is om de Omgeving draaiende te houden
Soort verwerking: verzamelen, vastleggen, ordenen, opslaan, raadplegen, verzenden, wissen en vernietigen

2. Categorieën Betrokkenen

Je Eindgebruikers en klanten
Je beheerders en medewerkers die de Omgeving gebruiken
Personen die hun gegevens achterlaten via lead-, contact- of nieuwsbriefformulieren op je Omgeving

3. Categorieën Persoonsgegevens

Identiteit: naam, e-mailadres
Account: gehasht wachtwoord, rol, inlogtijdstippen
Aankoop: bestelgeschiedenis, klant- en transactie-identificatoren van de betaalprovider. Wij bewaren geen kaartnummers; die worden door je betaalprovider afgehandeld
Gebruik: voortgang in cursussen en lessen, invoer en uitvoer van applicaties, downloadactiviteit
Technisch: IP-adres, browser-user-agent
Inhoud: bestanden en informatie die door jou of je Eindgebruikers zijn geüpload

4. Bijzondere Categorieën Gegevens

Geen van de partijen beoogt dat onder deze Overeenkomst bijzondere categorieën persoonsgegevens in de zin van artikel 9 AVG worden verwerkt, noch persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten in de zin van artikel 10.

Je mag de Omgeving niet gebruiken om zulke gegevens te verwerken zonder onze voorafgaande schriftelijke instemming, zodat eerst passende aanvullende waarborgen kunnen worden getroffen.

5. Onze Verplichtingen als Verwerker

Wij zullen:

Persoonsgegevens uitsluitend verwerken op je gedocumenteerde instructies, ook wat internationale doorgiften betreft, tenzij de wet ons anders verplicht, in welk geval wij je daarover vooraf informeren tenzij de wet dat verbiedt. Je gebruik van de Omgeving vormt, samen met de Platformvoorwaarden en deze Overeenkomst, je gedocumenteerde instructies
Je informeren als een instructie naar ons oordeel in strijd is met de AVG of andere toepasselijke gegevensbeschermingswetgeving
Waarborgen dat personen die bevoegd zijn persoonsgegevens te verwerken tot passende geheimhouding zijn gehouden
De technische en organisatorische maatregelen uit Bijlage A treffen en in stand houden
Je bijstaan, rekening houdend met de aard van de verwerking en de informatie waarover wij beschikken, bij het beantwoorden van verzoeken van betrokkenen die hun rechten uit hoofdstuk III AVG uitoefenen
Je bijstaan bij het nakomen van je verplichtingen uit de artikelen 32 tot en met 36 AVG, waaronder beveiliging, melding van datalekken en gegevensbeschermingseffectbeoordelingen
De informatie beschikbaar stellen die nodig is om naleving van artikel 28 aan te tonen, zoals bepaald in artikel 10

Toegang voor ondersteuning. Wij benaderen persoonsgegevens binnen je Omgeving waar dat nodig is om ondersteuning te bieden, storingen te onderzoeken en de dienst te onderhouden. Die toegang blijft beperkt tot wat voor de taak noodzakelijk is, en de betrokken medewerkers zijn tot geheimhouding gehouden.

6. Subverwerkers

Je verleent algemene schriftelijke toestemming om subverwerkers in te schakelen. De subverwerkers die op de datum van deze Overeenkomst zijn ingeschakeld staan in Bijlage B.

Wij leggen elke subverwerker gegevensbeschermingsverplichtingen op die niet minder beschermend zijn dan die in deze Overeenkomst, en blijven jegens jou volledig aansprakelijk voor hun handelen.

Wij kondigen het toevoegen of vervangen van een subverwerker ten minste [Sub-processor Notice] van tevoren aan. Je kunt binnen die termijn bezwaar maken op redelijke gegevensbeschermingsgronden. Kunnen wij je bezwaar niet wegnemen, dan mag je de Platformvoorwaarden beëindigen voor zover het de betreffende verwerking betreft, en betalen wij vooruitbetaalde tarieven voor het niet-gebruikte deel van de lopende periode terug.

7. Internationale Doorgiften

Sommige subverwerkers zijn gevestigd buiten de Europese Economische Ruimte. Worden persoonsgegevens doorgegeven naar zo'n land zonder adequaatheidsbesluit op grond van artikel 45 AVG, dan vindt de doorgifte plaats op basis van de door de Europese Commissie vastgestelde modelcontractbepalingen, die door verwijzing in deze Overeenkomst zijn opgenomen, samen met de aanvullende maatregelen die na een doorgifte-effectbeoordeling nodig blijken.

8. Inbreuken in Verband met Persoonsgegevens

Wij stellen je zonder onredelijke vertraging, en in elk geval binnen [Breach Notification Time] nadat wij er kennis van krijgen, op de hoogte van een inbreuk in verband met persoonsgegevens die onder deze Overeenkomst worden verwerkt.

De melding beschrijft, voor zover op dat moment bekend, de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en registraties, de waarschijnlijke gevolgen, en de getroffen of voorgestelde maatregelen. Aanvullende informatie verstrekken wij zodra die beschikbaar is.

Het melden aan een toezichthoudende autoriteit of aan de betrokkenen is jouw verantwoordelijkheid als verwerkingsverantwoordelijke. Wij verlenen redelijke bijstand.

9. Teruggave en Verwijdering

Bij beëindiging van de Platformvoorwaarden, en naar jouw keuze:

Kun je binnen [Export Window] na beëindiging een export aanvragen van de onder deze Overeenkomst verwerkte persoonsgegevens. Wij leveren die in een gestructureerd, gangbaar en machineleesbaar formaat
Verwijderen wij de persoonsgegevens, ook uit back-ups in het normale verloop van de rotatie daarvan, binnen [Deletion Period] na afloop van de exporttermijn

Wij mogen persoonsgegevens bewaren waar de wet ons daartoe verplicht, met name administratie- en factuurgegevens, gedurende [Retention Exception Period]. Bewaarde gegevens blijven onder deze Overeenkomst vallen zolang wij ze houden.

10. Audit

Wij stellen je de informatie beschikbaar die nodig is om naleving van artikel 28 AVG aan te tonen, in de vorm van onze documentatie, onze beschrijving van technische en organisatorische maatregelen, en schriftelijke antwoorden op redelijke vragen.

Volstaat dat niet, dan mag je een audit ter plaatse uitvoeren, onder de volgende voorwaarden: op jouw kosten, met een schriftelijke aankondiging van ten minste 30 dagen, niet vaker dan eens per twaalf maanden tenzij een toezichthouder dat verlangt of na een inbreuk in verband met persoonsgegevens, tijdens normale kantooruren, niet tijdens een lopend beveiligingsincident, en mits de auditor geheimhoudingsverplichtingen aanvaardt en geen concurrent van ons is.

11. Aansprakelijkheid

Aansprakelijkheid uit hoofde van deze Overeenkomst is onderworpen aan de beperkingen en uitsluitingen in de Platformvoorwaarden.

12. Rangorde

Waar deze Overeenkomst in strijd is met de Platformvoorwaarden ten aanzien van de verwerking van persoonsgegevens, gaat deze Overeenkomst voor. Waar zij in strijd is met de modelcontractbepalingen, gaan die bepalingen voor.

Bijlage A: Technische en Organisatorische Maatregelen

Maatregelen getroffen op grond van artikel 32 AVG:

Versleuteling

Persoonsgegevens worden tijdens transport versleuteld met TLS
Persoonsgegevens worden in rust versleuteld op de opslaglaag
Inloggegevens en geheimen worden versleuteld of gehasht opgeslagen, nooit in platte tekst

Toegangsbeheer

Toegang tot productiesystemen is beperkt tot medewerkers die deze nodig hebben
Beheerdersaccounts vereisen multifactorauthenticatie waar de leverancier dat ondersteunt
Toegang binnen de applicatie wordt afgedwongen op de databaselaag via row-level security, naast de controles op applicatieniveau

Weerbaarheid

Back-ups worden [Backup Frequency] gemaakt en [Backup Retention] bewaard
Herstel vanaf back-up wordt periodiek getest

Operationele beveiliging

Beveiligingspatches worden doorlopend toegepast op het platform en zijn afhankelijkheden
Applicatie- en toegangsgebeurtenissen worden gelogd
Incidenten worden getrieerd, ingedamd en vastgelegd, en gemeld conform artikel 8

Organisatorisch

Medewerkers met toegang tot persoonsgegevens zijn tot geheimhouding gehouden
Subverwerkers zijn gebonden aan schriftelijke voorwaarden die niet minder beschermend zijn dan deze Overeenkomst

Bijlage B: Subverwerkers

Subverwerker	Doel	Locatie
[Database Provider]	Database, authenticatie, bestandsopslag	[Database Region]
[Hosting Provider]	Hosting van de applicatie	[Hosting Region]
[Payment Provider]	Betalingsverwerking	[Payment Provider Region]
[Email Provider]	Bezorging van transactionele e-mail	[Email Provider Region]
[Video Provider]	Videohosting en streaming	[Video Provider Region]
[Community Provider]	Toegang tot communities	[Community Provider Region]
[AI Provider]	AI-ondersteunde appfuncties	[AI Provider Region]

Bijlage B kan worden bijgewerkt via een melding conform artikel 6, zonder dat deze Overeenkomst hoeft te worden gewijzigd.

Contact

Vragen en kennisgevingen op grond van deze Overeenkomst, waaronder meldingen van datalekken, kunnen worden gericht aan [Security Email].

[Legal Entity Name], [Registered Address] [Registration Authority] nummer [Registration Number]