GDPR Verwerkersovereenkomst

Toepassingsgebied

• Deze overeenkomst is van toepassing voor zover bij het leveren van de diensten onder de Hoofdovereenkomst.
• De verwerkingen van Bijlage 1 die bij het leveren van de diensten plaatsvinden worden hierna: “de Verwerkingen” genoemd. De persoonsgegevens die daarbij worden verwerkt: “de Persoonsgegevens”.
• Met betrekking tot de Verwerkingen is Verwerkingsverantwoordelijke de verwerkingsverantwoordelijke en Verwerker de verwerker. De natuurlijke personen die onder de Hoofdovereenkomst feitelijk gebruik maken van de diensten van Verwerker en, eventueel, hun vertegenwoordigers, worden hierna ook als “de Eindgebruikers” aangeduid.
• Alle begrippen in deze overeenkomst hebben de betekenis die daar in de GDPR aan wordt gegeven.
• Indien meer en andere persoonsgegevens in opdracht van Verwerkingsverantwoordelijke worden verwerkt of indien anders wordt verwerkt dan in dit artikel omschreven, geldt deze overeenkomst zoveel mogelijk ook voor die verwerkingen.
• De bijlagen maken onderdeel uit van deze overeenkomst. Het gaat om:
• Bijlage 1 de Verwerkingen, de Persoonsgegevens en de bewaartermijnen;
• Bijlage 2 de subverwerkers en categorieën subverwerkers die Verwerkingsverantwoordelijke goedkeurt.

Onderwerp

• Verwerkingsverantwoordelijke heeft en houdt volledige zeggenschap over de Persoonsgegevens. Indien de Verwerkingsverantwoordelijke de Persoonsgegevens niet zelf verwerkt met gebruikmaking van de systemen van Verwerker, verwerkt Verwerker uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke. De Hoofdovereenkomst geldt als een generieke instructie ter zake.
• De Verwerkingen geschieden uitsluitend in het kader van de Hoofdovereenkomst. Verwerker verwerkt Persoonsgegevens niet anders dan in de Hoofdovereenkomst voorzien. Met name gebruikt de Verwerker de Persoonsgegevens niet voor eigen doeleinden.
• Verwerker verricht de Verwerkingen op behoorlijke en zorgvuldige wijze.

Datalekken

• Verwerker zal Verwerkingsverantwoordelijke op de hoogte stellen van iedere “inbreuk in verband met persoonsgegevens” als bedoeld in artikel 4 sub 12 GDPR. Zo’n inbreuk wordt hierna: “Datalek” genoemd.
• Verwerker verschaft Verwerkingsverantwoordelijke tijdig alle informatie die zij bezit en die nodig is om aan de verplichtingen uit artikel 33 GDPR te voldoen. Verwerker verschaft de betreffende informatie overigens zo snel mogelijk in een door Verwerker te bepalen gangbaar formaat.
• Verwerker stelt de Verwerkingsverantwoordelijke over een Datalek niet op de hoogte indien het aanstonds duidelijk is dat dat Datalek geen risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Indien er ruimte is voor twijfel daaromtrent, meldt Verwerker het Datalek wel aan de Verwerkingsverantwoordelijke teneinde deze in staat te stellen omtrent een eventuele melding van het Datalek een eigen oordeel te vormen. Verwerker zal álle inbreuken, ook die niet aan de Verwerkingsverantwoordelijke gemeld hoeven te worden, documenteren, en die documentatie eenmaal per kwartaal aan Verwerkingsverantwoordelijke verstrekken.
• Het is uitsluitend aan Verwerkingsverantwoordelijke te bepalen of een bij Verwerker geconstateerd Datalek wordt gemeld aan de Autoriteit Persoonsgegevens en/of aan betreffende betrokkenen.

Subprocessors

• Verwerker is niet gerechtigd bij de Verwerking een derde als subprocessors in te schakelen zonder voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke. Toestemming van Verwerkingsverantwoordelijke kan ook betrekking hebben op een bepaalde soort derden.
• Indien Verwerkingsverantwoordelijke zijn toestemming geeft, draagt Verwerker ervoor zorg dat de betreffende derde een overeenkomst sluit waarin hij zich tenminste houdt aan dezelfde wettelijke verplichtingen als die Verwerker heeft.
• Ingeval de toestemming betrekking heeft op een bepaalde soort derden, licht Verwerker Verwerkingsverantwoordelijke in over de door hem ingeschakelde subsubprocessorsverwerkers. Verwerkingsverantwoordelijke kan dan bezwaar maken tegen toevoegingen of vervangingen met betrekking tot de subverwerkers van Verwerker.
• Verwerkingsverantwoordelijke geeft hierbij toestemming voor het inschakelen van de in Bijlage 2 opgenomen subprocessors en/of categorieën van subprocessors.

Bewaartermijn en verwijdering data

• Verwerkingsverantwoordelijke is verantwoordelijk voor het bepalen van de bewaartermijnen met betrekking tot de Persoonsgegevens. Voor zover Persoonsgegevens onder controle van de Verwerkingsverantwoordelijke zijn (bijvoorbeeld in het geval van hosting diensten) wist hij die zelf tijdig.
• Verwerker zal de Persoonsgegevens binnen dertig dagen na het einde van de Hoofdovereenkomst wissen of, naar keuze van de Verwerkingsverantwoordelijke, aan deze overdragen, tenzij de Persoonsgegevens langer bewaard moeten worden, zoals in het kader van (wettelijke) verplichtingen van Verwerker, dan wel indien Verwerkingsverantwoordelijke verzoekt Persoonsgegevens langer te bewaren en Verwerker en Verwerkingsverantwoordelijke over de kosten en overige voorwaarden van dat langere bewaren overeenstemming bereiken, dit laatste onverminderd de verantwoordelijkheid van Verwerkingsverantwoordelijke de wettelijke bewaartermijnen in acht te nemen. Een eventuele overdracht aan de Verwerkingsverantwoordelijke geschiedt op kosten van de Verwerkingsverantwoordelijke.
• Verwerker zal op verzoek van Verwerkingsverantwoordelijke verklaren dat het wissen in het voorgaande lid bedoeld heeft plaatsgevonden. Verwerkingsverantwoordelijke kan op eigen kosten een controle laten uitvoeren of dat inderdaad is gebeurd. Artikel 10 van deze overeenkomst is van toepassing op die controle. Verwerker zal voor zover nodig alle subverwerkers die betrokken zijn bij de verwerking van de Persoonsgegevens op de hoogte stellen van een beëindiging van de Hoofdovereenkomst en zal hen instrueren te handelen zoals hierin bepaald is.

Rechten van betrokkenen

• Indien Verwerkingsverantwoordelijke zelf toegang heeft tot de Persoonsgegevens voldoet hij zelf aan alle verzoeken van de betrokkenen met betrekking tot de Persoonsgegevens. Verwerker zal eventueel door Verwerker ontvangen verzoeken onverwijld aan Verwerkingsverantwoordelijke doorgeven.
• Alleen voor zover het in het voorgaande lid bedoelde niet mogelijk is, zal Verwerker zijn volledige en tijdige medewerking verlenen aan Verwerkingsverantwoordelijke om:
  -na goedkeuring van en in opdracht van Verwerkingsverantwoordelijke betrokkenen toegang te laten krijgen tot de hun betreffende Persoonsgegevens, -Persoonsgegevens te verwijderen of te corrigeren, -aan te tonen dat Persoonsgegevens verwijderd of gecorrigeerd zijn indien zij incorrect zijn (of, ingeval Verwerkingsverantwoordelijke het er niet mee eens is dat de Persoonsgegevens incorrect zijn, het feit vast te leggen dat de betrokkene zijn Persoonsgegevens als incorrect beschouwt) -de betreffende Persoonsgegevens aan Verwerkingsverantwoordelijke dan wel aan een door de Verwerkingsverantwoordelijke aangewezen derde te verstrekken in een gestructureerde, gangbare en machineleesbare vorm en -Verwerkingsverantwoordelijke anderszins in de gelegenheid te stellen om aan zijn verplichtingen onder de GDPR of aan andere toepasselijke wetgeving op het gebied van verwerking van de Persoonsgegevens te voldoen.
• De kosten van en eisen aan de in het voorgaande lid genoemde medewerking stellen partijen gezamenlijk vast. Zonder een afspraak daaromtrent zijn de kosten voor de Verwerkingsverantwoordelijke.

Aansprakelijkheid

• Verwerkingsverantwoordelijke draagt, onder meer, de verantwoordelijkheid en is uit dien hoofde volledig aansprakelijk voor (het gestelde doel van) de Verwerkingen, het gebruik en de inhoud van de Persoonsgegevens, de verstrekking aan derden, de duur van de opslag van de Persoonsgegevens, de wijze van verwerking en de daartoe gehanteerde middelen.
• Verwerker is jegens Verwerkingsverantwoordelijke aansprakelijk zoals bepaald in de Hoofdovereenkomst.

BIJLAGE NR 1 - VERWERKING PERSOONSGEGEVENS + BEWAARTERMIJNEN

De Persoonsgegevens die partijen zullen verwerken, zijn onder meer:

Naam, adres, woonplaats
Telefoonnummer
E-mailadres
Geboortedatum
Geslacht
Beroep
Lifestylekenmerken

Het gebruik (= wijze(n) van verwerking) van de Persoonsgegevens en de doeleinden van en de middelen voor de verwerking:

Verwerkersverantwoordelijke slaat de Persoonsgegevens op in de applicatie van Verwerker met als doel deze te gebruiken voor e-mailcampagnes.De algemene Persoonsgevens en de Gegevens met betrekking tot transacties/donaties/aankoopgeschiedenis/betalingen worden gebruikt door Verwerker om de e-mailmarketing relevanter te maken voor de ontvanger.

De gebruiks- en bewaartermijnen van de (verschillende soorten) Persoonsgegevens: De gebruiks- en bewaartermijnen van de volgende generieke persoonsgegevens zijn gelijk aan de duur van de overeenkomst tussen verwerker en verwerkersverantwoordelijke. In de applicatie kan de verwerker de data ouder dan een bepaalde datum verwijderen. De bewaartermijn van Open en klik gedrag van ontvangers is 12 maanden, omdat deze na die periode worden geanonimiseerd.

BIJLAGE NR 2 - LIJST SUBPROCESSORS

- Teneo, verzending van e-mails

Verwerker brengt de Verwerkersverantwoordelijk op de hoogte, wanneer er een wijziging in de een subverwerkerslijst is aangebracht.