Verwerkersovereenkomst

Verwerker: UPGRADED Systems, gevestigd te Lange Kruisweg 70D, 2676 BP Maasdijk, ingeschreven bij de Kamer van Koophandel onder nummer 42056807, BTW-nummer NL005461247B01 (hierna: Verwerker).

Verwerkingsverantwoordelijke: de klant die met Verwerker een overeenkomst heeft gesloten voor het gebruik van de software, zoals vermeld in die overeenkomst (hierna: Verantwoordelijke).

Deze verwerkersovereenkomst hoort bij en maakt onderdeel uit van de hoofdovereenkomst tussen partijen. Bij tegenstrijdigheid over de verwerking van persoonsgegevens gaat deze verwerkersovereenkomst voor.

Verwerker levert software waarmee Verantwoordelijke zijn eigen klanten producten laat samenstellen, bestellen en opvolgen (configurator, ontwerp-omgeving en klantportaal). Bij het gebruik daarvan verwerkt Verwerker persoonsgegevens namens Verantwoordelijke.

De verwerking vindt uitsluitend plaats om de overeengekomen dienst te leveren, te onderhouden, te beveiligen en te ondersteunen. Verwerker verwerkt de gegevens niet voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet voor marketing of voor het trainen van eigen modellen.

Een overzicht van categorieën betrokkenen, gegevens, doelen en bewaartermijnen staat in Bijlage A.

Deze verwerkersovereenkomst gaat in op het moment dat de hoofdovereenkomst ingaat en loopt door zolang Verwerker persoonsgegevens verwerkt namens Verantwoordelijke. Bepalingen die naar hun aard bedoeld zijn om na afloop te blijven gelden — waaronder geheimhouding, aansprakelijkheid en artikel 13 (teruggave en verwijdering) — blijven van kracht.

Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verantwoordelijke. Het gebruik van de software en de instellingen die Verantwoordelijke daarin kiest, gelden als zulke instructies.

Verwerker meldt het onmiddellijk aan Verantwoordelijke wanneer een instructie naar zijn oordeel in strijd is met de AVG of andere toepasselijke wetgeving.

Verwerkt Verwerker gegevens op grond van een wettelijke verplichting, dan meldt hij dat vooraf aan Verantwoordelijke, tenzij de wet die melding verbiedt.

Verwerker verplicht iedereen die onder zijn verantwoordelijkheid toegang heeft tot de persoonsgegevens tot geheimhouding, hetzij via arbeidsovereenkomst, hetzij via een aparte geheimhoudingsverklaring.

Toegang tot persoonsgegevens is beperkt tot personen die die toegang nodig hebben om de dienst te leveren of te ondersteunen.

Verwerker treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. De maatregelen die op dit moment gelden staan in Bijlage C.

Verwerker mag maatregelen wijzigen, mits het beschermingsniveau daardoor niet lager wordt. Wezenlijke wijzigingen worden vooraf aangekondigd.

Verwerker beschikt niet over een ISO 27001- of SOC 2-certificering. Bijlage C beschrijft wat feitelijk is ingericht.

Verantwoordelijke geeft Verwerker algemene toestemming om subverwerkers in te schakelen. De subverwerkers die op dit moment worden ingeschakeld staan in Bijlage B.

Verwerker legt aan iedere subverwerker ten minste dezelfde verplichtingen op als in deze verwerkersovereenkomst staan, en blijft jegens Verantwoordelijke volledig aansprakelijk voor het handelen van die subverwerker.

Verwerker informeert Verantwoordelijke ten minste 30 dagen voordat een nieuwe subverwerker wordt toegevoegd of vervangen. Verantwoordelijke kan binnen die termijn op redelijke gronden schriftelijk bezwaar maken; komen partijen er niet uit, dan mag Verantwoordelijke de betreffende dienst opzeggen tegen de datum van de wijziging.

Wendt een betrokkene zich rechtstreeks tot Verwerker met een verzoek tot inzage, correctie, verwijdering, beperking, overdraagbaarheid of bezwaar, dan verwijst Verwerker die betrokkene naar Verantwoordelijke en informeert Verantwoordelijke daarover binnen 5 werkdagen.

Verwerker verleent Verantwoordelijke, gelet op de aard van de verwerking, redelijke bijstand bij het afhandelen van zulke verzoeken. De software biedt hiervoor een verwijderpad en instelbare bewaartermijnen.

Verwerker verleent Verantwoordelijke, rekening houdend met de aard van de verwerking en de informatie waarover Verwerker beschikt, redelijke bijstand bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij een eventuele voorafgaande raadpleging van de toezichthouder.

Verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en in elk geval binnen 48 uur nadat hij daarvan kennis heeft genomen, aan Verantwoordelijke.

De melding bevat ten minste: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de getroffen en voorgestelde maatregelen, en een contactpunt voor meer informatie. Is nog niet alles bekend, dan wordt gemeld wat wél bekend is en volgt de rest zo snel mogelijk.

Het melden aan de toezichthouder en aan betrokkenen is de verantwoordelijkheid van Verantwoordelijke. Verwerker doet zulke meldingen niet uit eigen beweging namens Verantwoordelijke.

Verwerker verwerkt de persoonsgegevens binnen de Europese Economische Ruimte, met uitzondering van de subverwerkers die in Bijlage B uitdrukkelijk als buiten de EER zijn aangemerkt.

Is doorgifte naar een land buiten de EER onvermijdelijk, dan gebeurt dat uitsluitend op basis van een geldig overdrachtsmechanisme onder hoofdstuk V AVG — een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie, aangevuld met de dan noodzakelijke aanvullende maatregelen — en wordt Verantwoordelijke vooraf geïnformeerd.

Verwerker stelt Verantwoordelijke op verzoek alle informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit artikel 28 AVG worden nagekomen.

Verantwoordelijke mag ten hoogste eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden deskundige, na aankondiging van ten minste 30 dagen en tijdens kantooruren, zonder de bedrijfsvoering onnodig te verstoren. Bij een concrete aanwijzing van een inbreuk kan dat vaker en op kortere termijn.

Elke partij draagt de eigen kosten van een audit. Blijkt uit de audit dat Verwerker tekortschiet, dan draagt Verwerker de redelijke kosten van de audit en herstelt hij de tekortkoming op eigen kosten.

Bij het einde van de dienstverlening verwijdert Verwerker de persoonsgegevens, of geeft hij ze terug in een gangbaar bestandsformaat, ter keuze van Verantwoordelijke.

Verantwoordelijke maakt die keuze binnen 30 dagen na het einde. Blijft die keuze uit, dan verwijdert Verwerker de gegevens na die termijn.

Verwerker mag gegevens langer bewaren voor zover een wettelijke bewaarplicht dat vereist; in dat geval blijven de verplichtingen uit deze overeenkomst op die gegevens van toepassing. Back-ups worden verwijderd volgens de reguliere back-upcyclus, uiterlijk binnen 30 dagen.

Op de aansprakelijkheid onder deze verwerkersovereenkomst is de aansprakelijkheidsregeling uit de hoofdovereenkomst van toepassing, onverminderd hetgeen dwingend is bepaald in artikel 82 AVG.

Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement waar Verwerker is gevestigd, tenzij dwingend recht anders bepaalt.