Verwerkersovereenkomst

1. Partijen

Deze verwerkersovereenkomst wordt gesloten tussen:

• Verwerkingsverantwoordelijke: de organisatie die een account heeft bij Bedrijfscontracten en de dienst gebruikt (hierna: "de klant");
• Verwerker: Bedrijfscontracten.nl, aanbieder van de dienst via www.bedrijfscontracten.nl, bereikbaar via info@bedrijfscontracten.nl (hierna: "Bedrijfscontracten").

Een admin van de klant accepteert deze overeenkomst in de app namens de klant. De datum van acceptatie leggen we vast. Deze overeenkomst hoort bij de algemene voorwaarden. Spreken die elkaar tegen over persoonsgegevens, dan gaat deze verwerkersovereenkomst voor.

2. Onderwerp en instructies

Bedrijfscontracten verwerkt persoonsgegevens alleen namens de klant en alleen om de dienst te leveren. Het gebruik van de dienst door de klant, de instellingen die de klant kiest en deze overeenkomst gelden samen als de schriftelijke instructie van de klant.

Bedrijfscontracten gebruikt de persoonsgegevens niet voor eigen doeleinden, verkoopt ze niet en deelt ze niet met anderen dan in deze overeenkomst staat. Vindt Bedrijfscontracten dat een instructie in strijd is met de AVG, dan laat zij dat de klant direct weten.

3. Welke gegevens en van wie

Aard en doel: opslaan, ordenen, tonen, doorzoeken, exporteren en verwijderen van contracten en bijbehorende gegevens, en het versturen van meldingen, taken en uitnodigingen aan gebruikers.

Betrokkenen:

• medewerkers en andere gebruikers van de klant;
• contactpersonen van leveranciers en andere contractpartijen;
• andere personen van wie gegevens in geüploade contracten staan.

Soorten persoonsgegevens:

• naam, e-mailadres, rol en eventueel profielfoto van gebruikers;
• naam, e-mailadres en telefoonnummer van contactpersonen;
• persoonsgegevens in de inhoud van contracten en bijlagen;
• gegevens uit de activiteitenlog, zoals wie wanneer iets heeft gewijzigd.

De dienst is niet bedoeld voor bijzondere persoonsgegevens, zoals gegevens over gezondheid, of voor strafrechtelijke gegevens. Zet de klant die toch in de dienst, dan is dat voor eigen risico en zorgt de klant zelf voor een rechtmatige grondslag.

4. Verantwoordelijkheid van de klant

De klant bepaalt welke persoonsgegevens in de dienst komen en waarvoor. De klant staat ervoor in dat hij daarvoor een geldige grondslag heeft, dat betrokkenen goed zijn geïnformeerd en dat de gegevens juist zijn. De klant beheert zelf wie binnen zijn organisatie toegang heeft.

5. Geheimhouding en toegang

Iedereen die bij Bedrijfscontracten toegang heeft tot persoonsgegevens van de klant, is gebonden aan geheimhouding.

Bedrijfscontracten kijkt alleen in de omgeving van de klant als dat nodig is voor support waar de klant om vraagt, voor het oplossen van een storing of voor het nakomen van een wettelijke plicht. Die toegang is beperkt tot wat daarvoor nodig is.

6. Beveiliging

Bedrijfscontracten neemt passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies en onrechtmatige verwerking. Daaronder vallen in elk geval:

• versleutelde verbindingen (https/TLS) voor al het verkeer;
• logische scheiding van gegevens per organisatie;
• rollen per gebruiker (admin of viewer) en een activiteitenlog per contract;
• gehashte wachtwoorden en de mogelijkheid van tweestapsverificatie;
• bijlagen in afgeschermde opslag die alleen na inloggen bereikbaar is;
• regelmatige back-ups van de database;
• sub-verwerkers met erkende beveiligingsmaatregelen en certificeringen;
• beperkte toegang tot productiegegevens voor Bedrijfscontracten zelf.

Bedrijfscontracten mag de maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.

7. Sub-verwerkers

De klant geeft toestemming voor het inschakelen van de volgende sub-verwerkers:

Met elke sub-verwerker heeft Bedrijfscontracten afspraken die minstens dezelfde bescherming bieden als deze overeenkomst. Stripe verwerkt betalingen als zelfstandige partij en valt daarom niet onder deze lijst.

Wil Bedrijfscontracten een sub-verwerker toevoegen of vervangen, dan meldt zij dat minimaal 30 dagen van tevoren per e-mail aan de admins. De klant kan binnen die termijn met redenen bezwaar maken. Komen we er samen niet uit, dan mag de klant de overeenkomst beëindigen per de datum van de wijziging.

8. Doorgifte buiten de EER

Persoonsgegevens kunnen terechtkomen bij sub-verwerkers die gevestigd zijn in de Verenigde Staten. Dat gebeurt alleen met een geldige waarborg volgens hoofdstuk V van de AVG, zoals het EU-VS Data Privacy Framework of de modelcontractbepalingen van de Europese Commissie.

9. Datalekken

Ontdekt Bedrijfscontracten een inbreuk op de beveiliging die gevolgen heeft voor persoonsgegevens van de klant, dan meldt zij dat zonder onnodige vertraging en uiterlijk binnen 48 uur na ontdekking per e-mail aan de admins van de klant.

De melding bevat, voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het waarschijnlijk betreft, de te verwachten gevolgen en de maatregelen die zijn of worden genomen. Bedrijfscontracten houdt de klant op de hoogte en helpt waar nodig bij een melding aan de Autoriteit Persoonsgegevens of aan betrokkenen. De klant beslist zelf of hij die meldingen doet.

10. Rechten van betrokkenen

De klant kan veel verzoeken van betrokkenen zelf afhandelen in de app, zoals gegevens inzien, aanpassen, exporteren en verwijderen. Is daar hulp van Bedrijfscontracten voor nodig, dan geeft zij die binnen redelijke termijn. Krijgt Bedrijfscontracten zelf een verzoek van een betrokkene over gegevens van de klant, dan stuurt zij dat door naar de klant.

11. Medewerking en controle

Bedrijfscontracten geeft de klant op verzoek de informatie die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd. Ook helpt zij redelijkerwijs bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij vragen van de toezichthouder.

Een audit door of namens de klant is mogelijk na een concrete aanleiding, met een vooraankondiging van minimaal 30 dagen en met geheimhouding. De kosten van een audit zijn voor de klant, tenzij blijkt dat Bedrijfscontracten deze overeenkomst op wezenlijke punten niet naleeft.

12. Duur en einde

Deze overeenkomst loopt zolang Bedrijfscontracten persoonsgegevens verwerkt voor de klant.

Na het einde van de dienstverlening kan de klant zijn gegevens exporteren via de app. Daarna verwijdert Bedrijfscontracten de persoonsgegevens van de klant binnen 30 dagen, tenzij de wet bewaren verplicht. Gegevens in back-ups worden overschreven volgens de vaste back-upcyclus van de databaseprovider.

13. Aansprakelijkheid

Voor de aansprakelijkheid van Bedrijfscontracten onder deze overeenkomst gelden de beperkingen uit de algemene voorwaarden. Bedrijfscontracten is niet aansprakelijk voor schade die ontstaat doordat de klant zelf in strijd met de AVG handelt of instructies geeft die in strijd zijn met de AVG.

14. Wijzigingen en toepasselijk recht

Bedrijfscontracten kan deze overeenkomst aanpassen, bijvoorbeeld bij een nieuwe sub-verwerker of door een wetswijziging. Wezenlijke wijzigingen meldt zij minimaal 30 dagen van tevoren aan de admins. Het beschermingsniveau wordt daarbij niet lager.

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Nederland.