Verwerkersovereenkomst

1. Partijen en rollen

Deze verwerkersovereenkomst is gesloten tussen de Klant, als verwerkingsverantwoordelijke, en Muldis C&E, handelend onder de naam MKB Informatiebeveiliging, gevestigd te Veessen, ingeschreven bij de Kamer van Koophandel onder nummer 54308747, als verwerker ("Verwerker"). Zij geldt als verwerkersovereenkomst in de zin van artikel 28 van de Algemene verordening gegevensbescherming (AVG) en maakt deel uit van de overeenkomst waarop de leveringsvoorwaarden van toepassing zijn. Begrippen hebben de betekenis uit de AVG en de leveringsvoorwaarden.

Voor de gegevens die Verwerker nodig heeft voor zijn eigen administratie (accounts, aanmelden en beveiliging, contact, offertes, facturen en betalingen) is Verwerker zelf verwerkingsverantwoordelijke. Daarvoor geldt de privacyverklaring, niet deze overeenkomst.

2. Onderwerp, aard en doel van de verwerking

Verwerker verwerkt persoonsgegevens uitsluitend om de Tools en de Adviesdiensten te leveren: het opslaan, analyseren, tonen, rapporteren en beveiligen van de Klantgegevens die de Klant in de Tools invoert of voor een adviesopdracht aan Verwerker verstrekt, zoals antwoorden op vragenlijsten, risicoanalyses, maatregelen, incidenten, registers en rapporten.

Betrokkenen	Gebruikers van de Klant; medewerkers, contactpersonen en andere personen die de Klant in de Tools of in stukken voor een adviesopdracht vermeldt.
Persoonsgegevens	Naam, functie, e-mailadres en telefoonnummer; rol en verantwoordelijkheden binnen informatiebeveiliging; gegevens in incident- en risicoregisters voor zover die tot personen herleidbaar zijn; van Gebruikers daarnaast de handelingen in de Tools met tijdstip en IP-adres.
Bijzondere gegevens	De Tools zijn daar niet voor bedoeld. De Klant voert geen bijzondere of strafrechtelijke persoonsgegevens en geen burgerservicenummers in.
Duur	Zolang de overeenkomst loopt, en daarna tot de gegevens volgens artikel 10 zijn verwijderd.

3. Instructies

Verwerker verwerkt de persoonsgegevens alleen op schriftelijke instructie van de Klant. De overeenkomst, deze verwerkersovereenkomst en het gebruik van de functies van de Tools door de Klant gelden als volledige instructie. Verwerker mag afwijken voor zover een wettelijke plicht dat vereist; hij meldt dat vooraf, tenzij de wet dat verbiedt. Vindt Verwerker een instructie in strijd met de AVG, dan meldt hij dat en mag hij de uitvoering opschorten.

4. Geheimhouding

Verwerker houdt de persoonsgegevens en alle informatie over de beveiliging van de Klant geheim. Iedereen die onder zijn gezag toegang heeft, is tot geheimhouding verplicht. Toegang is beperkt tot wie die nodig heeft voor de dienstverlening, voor ondersteuning op verzoek van de Klant of voor het oplossen van storingen.

5. Beveiliging

Verwerker neemt passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. Die omvatten in ieder geval:

• strikte scheiding van de gegevens per organisatie in de applicatie;
• versleuteld transport (HTTPS) en versleutelde opslag bij de hostingpartij;
• een wachtwoordbeleid, tweestapsverificatie (MFA) die de Klant voor al zijn Gebruikers verplicht kan stellen, en blokkering na herhaalde mislukte aanmeldpogingen;
• een logboek van aanmeldingen, wijzigingen in MFA, acceptaties en andere beveiligingsrelevante handelingen;
• regelmatige reservekopieën en tijdige beveiligingsupdates.

Verwerker mag de maatregelen aanpassen, zolang het beveiligingsniveau niet daalt. De Klant is verantwoordelijk voor de maatregelen aan zijn kant, zoals het beheer van Gebruikers en wachtwoorden.

6. Subverwerkers

De Klant geeft algemene toestemming voor het inschakelen van subverwerkers. Verwerker legt hun dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover de Klant verantwoordelijk voor hun nakoming. Op dit moment zijn dat:

• Microsoft Ireland Operations Ltd. (Microsoft Azure): hosting van de website en de database in de Europese Unie;
• Sendinblue SAS (Brevo): het verzenden van e-mail, zoals bevestigingen, uitnodigingen en facturen.

Een nieuwe of andere subverwerker kondigt Verwerker ten minste dertig dagen vooraf aan op de website of per e-mail. De Klant kan daartegen binnen die termijn met redenen bezwaar maken. Komen partijen er niet uit, dan kan de Klant de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat.

7. Doorgifte buiten de EER

Verwerker verwerkt de persoonsgegevens binnen de Europese Economische Ruimte, of zorgt bij doorgifte daarbuiten voor een passende waarborg volgens hoofdstuk V AVG, zoals een adequaatheidsbesluit of de modelcontractbepalingen van de Europese Commissie.

8. Rechten van betrokkenen en bijstand

Ontvangt Verwerker rechtstreeks een verzoek van een betrokkene, dan stuurt hij het door naar de Klant. Verwerker helpt de Klant waar redelijk bij verzoeken van betrokkenen, een gegevensbeschermingseffectbeoordeling (DPIA) of een voorafgaande raadpleging. Bijstand die meer dan een beperkte inspanning vraagt, rekent Verwerker tegen zijn geldende uurtarief.

9. Datalekken

Verwerker meldt een inbreuk in verband met persoonsgegevens (datalek) die de Klantgegevens betreft zonder onredelijke vertraging, en waar mogelijk binnen 48 uur nadat hij ervan kennis heeft genomen, aan de beheerders van de organisatie van de Klant. De melding bevat de informatie die de Klant nodig heeft om aan zijn eigen meldplicht te voldoen en wordt aangevuld zodra er meer bekend is. Het melden aan de Autoriteit Persoonsgegevens en aan betrokkenen is de verantwoordelijkheid van de Klant. Verwerker neemt direct redelijke maatregelen om de gevolgen te beperken.

10. Einde: teruggeven en verwijderen

Tijdens de looptijd kan de Klant zijn gegevens zelf inzien en de rapporten downloaden. Na het opheffen van het account of het einde van de overeenkomst verwijdert Verwerker de Klantgegevens binnen drie maanden, tenzij de Klant vooraf om teruggave vraagt of een wettelijke bewaarplicht geldt. Reservekopieën worden in de gewone cyclus overschreven.

11. Informatie en audits

Verwerker stelt de Klant op verzoek de informatie ter beschikking die nodig is om de naleving van deze overeenkomst aan te tonen. Een audit is mogelijk ten hoogste eens per jaar, na een aankondiging van ten minste dertig dagen, door een onafhankelijke deskundige die tot geheimhouding is verplicht, zonder de bedrijfsvoering of de beveiliging van andere klanten te raken. De kosten zijn voor de Klant, tenzij de audit een wezenlijke tekortkoming van Verwerker aantoont.

12. Aansprakelijkheid

Op de aansprakelijkheid van partijen onder deze overeenkomst is artikel 13 van de leveringsvoorwaarden van toepassing, voor zover de wet dat toelaat.

13. Looptijd en rangorde

Deze overeenkomst loopt zolang Verwerker persoonsgegevens voor de Klant verwerkt. Bij strijdigheid gaat deze verwerkersovereenkomst voor op de leveringsvoorwaarden, voor zover het de verwerking van persoonsgegevens betreft. Op deze overeenkomst is Nederlands recht van toepassing.