Verwerkersovereenkomst
Overeenkomst inzake de verwerking van persoonsgegevens conform de AVG.
1. Begrippen
- Verwerkingsverantwoordelijke (Klant): de partij die het doel en de middelen van de verwerking van persoonsgegevens bepaalt
- Verwerker (Mandelig Beheer): de partij die ten behoeve van de Verwerkingsverantwoordelijke persoonsgegevens verwerkt
- Betrokkene: de natuurlijke persoon op wie de persoonsgegevens betrekking hebben (bewoners, beheerders)
- AVG: de Algemene Verordening Gegevensbescherming (EU 2016/679)
- Datalek: een inbreuk op de beveiliging die leidt tot onbedoelde of onrechtmatige vernietiging, verlies, wijziging of ongeoorloofde toegang tot persoonsgegevens
2. Doel en reikwijdte
Deze verwerkersovereenkomst is een aanvulling op de overeenkomst tussen de Klant en Mandelig Beheer voor het gebruik van het Platform Mandelig-beheer. De Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van en in opdracht van de Verwerkingsverantwoordelijke.
3. Categorieën persoonsgegevens
De Verwerker verwerkt de volgende categorieën persoonsgegevens:
| Categorie | Gegevens | Betrokkenen |
|---|---|---|
| Contactgegevens | Naam, e-mailadres, telefoonnummer, adres | Beheerders, bewoners |
| Accountgegevens | E-mailadres, versleuteld wachtwoord, rol | Beheerders, bewoners |
| Financiële gegevens | IBAN, factuurhistorie, betalingsstatus | Bewoners |
| Technische gegevens | IP-adres, inlogtijdstippen, sessiegegevens | Beheerders, bewoners |
4. Verplichtingen van de Verwerker
De Verwerker:
- Verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke
- Waarborgt dat personen die persoonsgegevens verwerken tot geheimhouding zijn verplicht
- Neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen
- Schakelt geen sub-verwerkers in zonder voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke
- Verleent bijstand bij het uitoefenen van rechten van betrokkenen
- Verwijdert of retourneert na beëindiging van de overeenkomst alle persoonsgegevens, naar keuze van de Verwerkingsverantwoordelijke
- Stelt alle informatie beschikbaar die nodig is om naleving van deze overeenkomst aan te tonen
5. Beveiligingsmaatregelen
De Verwerker treft ten minste de volgende maatregelen:
- Versleutelde verbindingen tussen browser en servers
- Wachtwoorden worden versleuteld opgeslagen en zijn niet leesbaar
- Beheerders loggen in met een extra verificatiecode naast hun wachtwoord
- Bescherming tegen veelvoorkomende aanvallen op webapplicaties
- Toegangscontrole op basis van rollen en rechten
- Regelmatige back-ups van de database
- Monitoring van verdacht gebruik
- Tijdige installatie van beveiligingsupdates
6. Sub-verwerkers
De Verwerker maakt gebruik van de volgende sub-verwerkers:
| Sub-verwerker | Dienst | Locatie |
|---|---|---|
| Hostingprovider | Serverhosting en infrastructuur | EU |
| Back-upprovider | Opslag van back-ups | EU |
| E-mailprovider | Verzenden van transactionele e-mails | EU |
| Betalingsprovider | Verwerking van betalingsverkeer | EU |
| SMS-provider | Verzenden van SMS-berichten | EU |
Bij inschakeling van nieuwe sub-verwerkers wordt de Verwerkingsverantwoordelijke minimaal 14 dagen vooraf geïnformeerd. De Verwerkingsverantwoordelijke kan bezwaar maken; bij onoverkomelijk bezwaar kan de overeenkomst worden beëindigd.
7. Datalekken
7.1 Melding
De Verwerker meldt een datalek aan de Verwerkingsverantwoordelijke zonder onredelijke vertraging en uiterlijk binnen 24 uur na ontdekking.
7.2 Inhoud melding
De melding bevat ten minste:
- De aard van het datalek, inclusief de categorieën en het geschatte aantal betrokkenen
- De waarschijnlijke gevolgen van het datalek
- De maatregelen die zijn genomen of worden voorgesteld om het datalek te verhelpen
- Contactgegevens voor nadere informatie
7.3 Bijstand
De Verwerker verleent volledige medewerking aan de Verwerkingsverantwoordelijke bij het onderzoeken en melden van het datalek aan de Autoriteit Persoonsgegevens en/of betrokkenen.
8. Rechten van betrokkenen
De Verwerker verleent bijstand aan de Verwerkingsverantwoordelijke bij het afhandelen van verzoeken van betrokkenen op grond van de AVG (inzage, correctie, verwijdering, overdracht, bezwaar en beperking). De Verwerker beantwoordt dergelijke verzoeken niet zelfstandig, tenzij de Verwerkingsverantwoordelijke hiervoor toestemming geeft.
9. Audits
De Verwerkingsverantwoordelijke heeft het recht om audits uit te voeren of te laten uitvoeren om naleving van deze overeenkomst te controleren. De Verwerker verleent hieraan medewerking. De kosten van een audit komen voor rekening van de Verwerkingsverantwoordelijke, tenzij uit de audit blijkt dat de Verwerker zijn verplichtingen niet is nagekomen.
10. Locatie van verwerking
De verwerking van persoonsgegevens vindt uitsluitend plaats binnen de Europese Economische Ruimte (EER). Er worden geen persoonsgegevens doorgegeven aan landen buiten de EER.
11. Bewaartermijnen
Na beëindiging van de overeenkomst verwijdert de Verwerker alle persoonsgegevens binnen 6 maanden, tenzij:
- De Verwerkingsverantwoordelijke verzoekt om retournering van de gegevens
- Wettelijke bewaarplichten een langere termijn vereisen
12. Looptijd
Deze verwerkersovereenkomst is van kracht zolang de onderliggende overeenkomst voor het gebruik van het Platform voortduurt. Bij beëindiging van de overeenkomst blijven de bepalingen van deze verwerkersovereenkomst van kracht voor zover dat noodzakelijk is voor de afwikkeling.
13. Toepasselijk recht
Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement waar de Verwerker is gevestigd.