De ondergetekenden nemen het volgende in overweging:
- partijen zijn een overeenkomst aangegaan op grond waarvan KRB een of meerdere diensten aan de Klant levert (de “Overeenkomst”);
- deze overeenkomst geldt voor zover diensten worden verricht die verwerking van persoonsgegevens ten behoeve van de Klant omvatten, zoals databasebeheer, webhosting, postale mailings en commerciële reclame (de “Persoonsgegevens”);
- de partij die op grond van de Overeenkomst verplicht is tot het verrichten van deze diensten (Krb. Communicatie of Krb. Haaglanden), kwalificeert als verwerker en is onderworpen aan de verplichtingen uit deze verwerkersovereenkomst;
- als de inhoud van deze verwerkersovereenkomst afwijkt van bepalingen in de Overeenkomst, prevaleert deze verwerkersovereenkomst;
en zijn als volgt overeengekomen:
- Verwerking van persoonsgegevens
- KRB treedt op als verwerker in de zin van de Algemene Verordening Gegevensbescherming (AVG). De Klant bepaalt het doel van en de middelen voor de verwerking van Persoonsgegevens en kwalificeert daarom als verwerkingsverantwoordelijke. De verwerkingen, de categorieën Persoonsgegevens en de categorieën betrokkenen zijn beschreven in bijlage 1.
- Partijen zullen de Persoonsgegevens op behoorlijke en zorgvuldige wijze verwerken. Zij zullen daarbij handelen in overeenstemming met deze verwerkersovereenkomst en de toepasselijke wet- en regelgeving.
- Partijen verlenen elkaar redelijke medewerking bij de naleving van de in artikel 1.2 genoemde wetgeving.
- Verplichtingen van KRB
- KRB verwerkt Persoonsgegevens alleen ten behoeve van de uitvoering van de Overeenkomst en overeenkomstig de schriftelijke instructies van de Klant. KRB bewaart Persoonsgegevens niet langer dan noodzakelijk is voor de uitvoering van de Overeenkomst.
- In afwijking van artikel 2.1 mag KRB Persoonsgegevens verwerken als een wettelijke verplichting dit vereist. In dat geval stelt KRB de Klant hiervan vooraf op de hoogte, tenzij de betreffende wetgeving dit niet toestaat.
- Wanneer KRB van oordeel is dat een instructie van de Klant in strijd is met de AVG of andere privacywetgeving, informeert KRB de Klant hierover. Partijen treden dan in overleg om tot een oplossing te komen.
- KRB verleent alleen toegang tot de Persoonsgegevens aan medewerkers en derden voor zover dat noodzakelijk is in het kader van hun werkzaamheden, en KRB verplicht hen schriftelijk tot geheimhouding van de Persoonsgegevens.
- KRB zal de Persoonsgegevens alleen verwerken binnen de Europese Economische Ruimte (EER), behalve als de Klant voorafgaande toestemming heeft gegeven voor doorgifte buiten de EER.
- De verplichtingen die voor KRB gelden op grond van deze verwerkersovereenkomst, gelden ook voor degenen die Persoonsgegevens verwerken onder het gezag van KRB.
- Verdeling van verantwoordelijkheden
- KRB is uitsluitend verantwoordelijk voor de verwerking van Persoonsgegevens die plaatsvindt in het kader van de uitvoering van de Overeenkomst of een andere schriftelijke opdracht van de Klant. Voor verwerkingen die buiten dit kader vallen, waaronder de verzameling van Persoonsgegevens door de Klant, verwerkingen voor doeleinden die niet aan KRB zijn medegedeeld en de verwerking van Persoonsgegevens door derden, is KRB niet aansprakelijk.
- De Klant garandeert dat de verwerking van Persoonsgegevens op grond van deze verwerkersovereenkomst niet onrechtmatig is en geen inbreuk maakt op rechten van derden.
- Beveiliging
- KRB treft passende organisatorische en technische maatregelen voor de beveiliging van de Persoonsgegevens die in redelijkheid van KRB kunnen worden verlangd, rekening houdend met het te beschermen belang, de stand van de techniek en de kosten van relevante beveiligingsmaatregelen. De op de datum van ondertekening getroffen maatregelen staan beschreven in bijlage 2. De Klant bevestigt dat deze maatregelen passend zijn.
- De Klant erkent dat KRB er niet voor kan instaan dat de beveiliging van Persoonsgegevens onder alle omstandigheden doeltreffend is.
- Datalekken
- De Klant is als enige verantwoordelijk voor het melden van inbreuken op de beveiliging die leiden tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot Persoonsgegevens (“datalekken”) aan de toezichthouder en betrokkenen. Om de Klant in staat te stellen tijdig aan deze wettelijke plicht te voldoen, stelt KRB de Klant zo spoedig mogelijk op de hoogte als zich een datalek voordoet of als KRB een ernstig vermoeden van een datalek heeft. KRB streeft ernaar dit te doen binnen 48 uur nadat het datalek door haar is ontdekt.
- KRB zal de Klant daarbij voorzien van de informatie die redelijkerwijs nodig is om een juiste en volledige melding te doen. KRB informeert de Klant over:
- de aard van het datalek, waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevens en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie;
- de naam en de contactgegevens van de functionaris gegevensbescherming of een ander contactpunt waar meer informatie kan worden verkregen;
- de waarschijnlijke gevolgen van het datalek;
- de maatregelen die KRB heeft genomen en voorstelt om het datalek aan te pakken, waaronder de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.
- KRB verschaft de Klant op verzoek alle informatie die redelijkerwijs nodig is om te voldoen aan de documentatieplicht van artikel 33 lid 5 AVG.
- Subverwerkers
- De op de datum van ondertekening van deze verwerkersovereenkomst door KRB ingeschakelde subverwerkers zijn opgenomen in bijlage 3. Door ondertekening van deze verwerkersovereenkomst geeft de Klant toestemming voor het inschakelen van die subverwerkers.
- KRB kan naast de in bijlage 3 genoemde subverwerkers andere subverwerkers inschakelen. KRB stelt de Klant vooraf in kennis van het voornemen een andere subverwerker in te schakelen en gunt de Klant daarbij een termijn van vijf werkdagen om daartegen gemotiveerd bezwaar te maken.
- KRB schakelt een subverwerker pas in nadat de in artikel 6.2 genoemde bezwaartermijn is verstreken zonder dat de Klant bezwaar heeft gemaakt, of nadat de Klant heeft aangegeven geen bezwaar te hebben. In geval van bezwaar treden partijen in overleg met als streven aan de redelijke bezwaren van de Klant tegemoet te komen.
- KRB draagt er zorg voor dat een subverwerker schriftelijk gebonden is aan verplichtingen die gelijkwaardig zijn aan de verplichtingen uit deze verwerkersovereenkomst.
- Medewerkingsplicht KRB
- KRB verleent de Klant op verzoek bijstand bij het beantwoorden van klachten, vragen of verzoeken van betrokkenen in verband met de verwerking van Persoonsgegevens, bij het uitvoeren van een gegevensbeschermingseffectbeoordeling en bij een onderzoek of een inspectie door de Autoriteit Persoonsgegevens met betrekking tot de verwerking van de Persoonsgegevens.
- Als KRB rechtstreeks een verzoek van een betrokkene ontvangt met betrekking tot de Persoonsgegevens, stelt KRB de Klant hiervan zo spoedig mogelijk op de hoogte.
- Controlerecht
- KRB verstrekt de Klant informatie die nodig is om de naleving van deze verwerkersovereenkomst en de daarop toepasselijke privacywetgeving aan te tonen.
- De Klant heeft het recht om, zelf of door een onafhankelijke derde, na voorafgaande schriftelijke kennisgeving van tien werkdagen een audit of inspectie bij KRB uit te (laten) voeren, uitsluitend voor zover dit noodzakelijk is om na te gaan of KRB voldoet aan zijn verplichtingen op grond van deze verwerkersovereenkomst en de daarop toepasselijke privacywetgeving.
- Audits vinden uitsluitend plaats nadat de Klant bij KRB vergelijkbare auditrapportages heeft opgevraagd en, als dergelijke rapportages beschikbaar zijn, alleen als de Klant redelijke argumenten heeft om aan te nemen dat een aanvullende audit noodzakelijk is.
- Looptijd en beëindiging
- Deze verwerkersovereenkomst treedt in werking op de datum van ondertekening en blijft van kracht zolang KRB Persoonsgegevens verwerkt ten behoeve van de Klant in het kader van de Overeenkomst of een andere schriftelijke opdracht.
- Bij beëindiging van deze overeenkomst vernietigt KRB de Persoonsgegevens en eventuele kopieën daarvan, tenzij de Klant voorafgaand aan de beëindiging aangeeft dat de Persoonsgegevens aan haar moeten worden verstrekt. Originele, niet-digitale stukken worden aan de Klant geretourneerd. Persoonsgegevens die KRB op grond van toepasselijke wet- of regelgeving dient te bewaren, worden niet vernietigd.
- De verplichtingen uit deze verwerkersovereenkomst die naar hun aard bestemd zijn om ook na beëindiging voort te duren, blijven na beëindiging van kracht.
- Diversen
Door de eigen gegevens hieronder in te vullen en te verzenden bevestigt de Klant akkoord te gaan met de hierin genoemde bepalingen en afspraken. Een kopie van de overeenkomst bewaart KRB in een eigen database.