Verwerkersovereenkomst

Overwegingen

1. Verwerker levert een online platform en bijbehorende diensten op het gebied van cybersecurity en compliance.
2. De diensten kunnen onder andere bestaan uit securitytools, externe blootstellingsanalyse, domein- en websitecontroles, DNS- en e-mailbeveiligingscontroles, darkweb monitoring, Microsoft 365 beveiligingsinzichten, awareness-trainingen, compliance- en GRC-functionaliteiten, risicoanalyses, rapportages, accountbeheer en support.
3. Bij het leveren van deze diensten kan Verwerker persoonsgegevens verwerken namens Verwerkingsverantwoordelijke.
4. Verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking van persoonsgegevens binnen zijn eigen organisatie en, indien van toepassing, binnen de omgeving van zijn eigen klanten.
5. Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van Verwerkingsverantwoordelijke en alleen voor zover dat nodig is voor de uitvoering van de overeenkomst, het gebruik van het platform, beveiliging, support en wettelijke verplichtingen.
6. Partijen willen met deze verwerkersovereenkomst voldoen aan artikel 28 van de Algemene Verordening Gegevensbescherming.

Partijen komen het volgende overeen.

Artikel 1 — Definities

In deze verwerkersovereenkomst wordt verstaan onder:

• AVG: de Algemene Verordening Gegevensbescherming, Verordening (EU) 2016/679.
• Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon die in het kader van de diensten wordt verwerkt.
• Betrokkene: de natuurlijke persoon op wie een persoonsgegeven betrekking heeft.
• Verwerking: iedere bewerking of ieder geheel van bewerkingen met betrekking tot persoonsgegevens, waaronder verzamelen, vastleggen, ordenen, structureren, opslaan, raadplegen, gebruiken, verstrekken, wijzigen, afschermen, wissen of vernietigen.
• Verwerkingsverantwoordelijke: de klant die het doel en de middelen van de verwerking bepaalt.
• Verwerker: Freeke Management, handelend onder de naam Freeke Cybersecurity, voor zover zij persoonsgegevens verwerkt namens Verwerkingsverantwoordelijke.
• Subverwerker: een derde partij die door Verwerker wordt ingeschakeld om namens Verwerker persoonsgegevens te verwerken.
• Datalek: een inbreuk op de beveiliging die per ongeluk of onrechtmatig leidt tot vernietiging, verlies, wijziging, ongeoorloofde verstrekking van of ongeoorloofde toegang tot persoonsgegevens.
• Diensten: het platform en alle bijbehorende functionaliteiten, modules, werkzaamheden, scans, analyses, rapportages, trainingen, support en overige diensten van Verwerker.
• Platform: het online softwareplatform van Freeke Cybersecurity, inclusief securitytools, compliance, awareness, Microsoft 365-koppelingen, rapportages, dashboards en gerelateerde functionaliteiten.

Artikel 2 — Onderwerp en duur

1. Deze verwerkersovereenkomst is van toepassing op iedere verwerking van persoonsgegevens door Verwerker namens Verwerkingsverantwoordelijke in het kader van de diensten.
2. Deze verwerkersovereenkomst treedt in werking op het moment waarop Verwerkingsverantwoordelijke deze overeenkomst accepteert, een account aanmaakt, een overeenkomst sluit, een proefperiode start of gebruikmaakt van het platform, voor zover daarbij persoonsgegevens worden verwerkt.
3. Deze verwerkersovereenkomst geldt gedurende de looptijd van de hoofdovereenkomst, het abonnement, de proefperiode of het gebruik van het platform.
4. Bepalingen die naar hun aard bedoeld zijn om voort te duren, waaronder bepalingen over geheimhouding, beveiliging, aansprakelijkheid, audits, subverwerkers, datalekken en verwijdering, blijven ook na beëindiging van kracht zolang dit nodig is.

Artikel 3 — Rol van partijen

1. Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid van de verwerking van persoonsgegevens binnen zijn eigen organisatie.
2. Verwerkingsverantwoordelijke staat ervoor in dat hij een geldige grondslag heeft voor het invoeren, koppelen, laten scannen, laten monitoren of laten verwerken van persoonsgegevens via het platform.
3. Verwerkingsverantwoordelijke is verantwoordelijk voor het informeren van betrokkenen, waaronder medewerkers, beheerders, eindgebruikers, leverancierscontacten en eigen klanten, voor zover dit wettelijk vereist is.
4. Verwerker verwerkt persoonsgegevens uitsluitend als verwerker in opdracht van Verwerkingsverantwoordelijke, tenzij Verwerker voor een specifieke verwerking zelfstandig verwerkingsverantwoordelijke is, bijvoorbeeld voor eigen administratie, facturatie, beveiliging van eigen systemen, communicatie of wettelijke verplichtingen.
5. Indien Verwerkingsverantwoordelijke een managed service provider is en het platform gebruikt voor eigen klanten, is Verwerkingsverantwoordelijke zelf verantwoordelijk voor het sluiten van de juiste afspraken met die klanten. Verwerker geldt in die situatie als subverwerker.

Artikel 4 — Instructies

1. Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke.
2. Onder schriftelijke instructies vallen ook de instructies die voortvloeien uit de hoofdovereenkomst, deze verwerkersovereenkomst, de algemene voorwaarden, het privacybeleid, instellingen in het platform, gekoppelde accounts, ingeschakelde modules en feitelijk gebruik van het platform.
3. Verwerker verwerkt persoonsgegevens niet voor eigen commerciële doeleinden en verkoopt persoonsgegevens niet aan derden.
4. Verwerker mag geanonimiseerde of geaggregeerde gegevens gebruiken voor statistiek, beveiliging, productverbetering, kwaliteitscontrole en rapportage, voor zover deze gegevens niet herleidbaar zijn tot een natuurlijke persoon of individuele klant.
5. Indien Verwerker van mening is dat een instructie van Verwerkingsverantwoordelijke in strijd is met de AVG of andere toepasselijke privacywetgeving, informeert Verwerker Verwerkingsverantwoordelijke daarover, tenzij dit wettelijk niet is toegestaan.

Artikel 5 — Aard en doel van de verwerking

1. De aard en het doel van de verwerking zijn het leveren, beveiligen, onderhouden, ondersteunen en verbeteren van het cybersecurity- en complianceplatform van Verwerker.
2. De verwerking kan onder andere bestaan uit:
   1. het aanmaken en beheren van accounts;
   2. het uitvoeren van security scans en analyses;
   3. het tonen van dashboards, rapportages, meldingen en aanbevelingen;
   4. het verwerken van Microsoft 365 beveiligingsgegevens via koppelingen;
   5. het uitvoeren van DNS-, website-, e-mail- en domeincontroles;
   6. het uitvoeren van darkweb monitoring op door Verwerkingsverantwoordelijke aangeleverde gegevens;
   7. het beheren van awareness-trainingen en trainingsresultaten;
   8. het ondersteunen van compliance, GRC, risico- en leveranciersbeheer;
   9. het leveren van support;
   10. het beveiligen van het platform en het onderzoeken van misbruik of incidenten.
3. Een nadere specificatie van de verwerking is opgenomen in Bijlage 1.

Artikel 6 — Verplichtingen van Verwerker

1. Verwerker verwerkt persoonsgegevens zorgvuldig, behoorlijk en in overeenstemming met deze verwerkersovereenkomst.
2. Verwerker zorgt ervoor dat personen die onder zijn verantwoordelijkheid toegang hebben tot persoonsgegevens, verplicht zijn tot geheimhouding.
3. Verwerker treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies, misbruik, onbevoegde toegang, onbevoegde wijziging en onbevoegde verstrekking.
4. Verwerker verleent redelijke medewerking aan Verwerkingsverantwoordelijke bij het nakomen van diens verplichtingen onder de AVG, voor zover dit redelijkerwijs binnen de macht van Verwerker ligt en voor zover Verwerkingsverantwoordelijke daarvoor zelf niet via het platform kan zorgen.
5. Verwerker houdt een register bij van categorieën verwerkingen die hij namens klanten verricht, voor zover dit op grond van de AVG verplicht is.
6. Verwerker stelt Verwerkingsverantwoordelijke alle informatie ter beschikking die redelijkerwijs nodig is om naleving van deze verwerkersovereenkomst aan te tonen.

Artikel 7 — Verplichtingen van Verwerkingsverantwoordelijke

1. Verwerkingsverantwoordelijke is verantwoordelijk voor de juistheid, volledigheid en rechtmatigheid van de persoonsgegevens die hij in het platform invoert, koppelt of laat verwerken.
2. Verwerkingsverantwoordelijke zorgt voor een geldige grondslag voor de verwerking van persoonsgegevens.
3. Verwerkingsverantwoordelijke informeert betrokkenen over de verwerking van hun persoonsgegevens, voor zover dit wettelijk vereist is.
4. Verwerkingsverantwoordelijke zorgt ervoor dat alleen bevoegde gebruikers toegang krijgen tot het platform.
5. Verwerkingsverantwoordelijke is verantwoordelijk voor het juist instellen van rollen, rechten, koppelingen, scans, monitoringsfuncties en bewaartermijnen binnen het platform.
6. Verwerkingsverantwoordelijke gebruikt het platform niet voor het verwerken van bijzondere persoonsgegevens of strafrechtelijke persoonsgegevens, tenzij dit uitdrukkelijk schriftelijk is overeengekomen en daarvoor passende aanvullende maatregelen zijn getroffen.
7. Verwerkingsverantwoordelijke vrijwaart Verwerker tegen aanspraken van betrokkenen, eigen klanten, toezichthouders of derden die voortvloeien uit onrechtmatige instructies, ontbrekende grondslag, ontbrekende informatieverstrekking, onbevoegde invoer of onjuist gebruik van het platform door Verwerkingsverantwoordelijke.

Artikel 9 — Subverwerkers

1. Verwerkingsverantwoordelijke verleent algemene toestemming aan Verwerker voor het inschakelen van subverwerkers.
2. De actuele subverwerkers staan vermeld in Bijlage 2 of op een door Verwerker beschikbaar gestelde subverwerkerspagina.
3. Verwerker zorgt ervoor dat subverwerkers contractueel verplichtingen opgelegd krijgen die in hoofdzaak overeenkomen met de verplichtingen uit deze verwerkersovereenkomst.
4. Verwerker blijft richting Verwerkingsverantwoordelijke verantwoordelijk voor de verwerking door subverwerkers voor zover de AVG dat voorschrijft.
5. Verwerker informeert Verwerkingsverantwoordelijke over wezenlijke wijzigingen in subverwerkers, tenzij de wijziging spoedeisend is vanwege beveiliging, continuïteit of wettelijke verplichtingen.
6. Verwerkingsverantwoordelijke kan bezwaar maken tegen een nieuwe subverwerker indien hij daarvoor zwaarwegende privacyrechtelijke redenen heeft. Partijen treden dan in overleg over een redelijke oplossing.
7. Indien geen redelijke oplossing mogelijk is en Verwerker de betreffende subverwerker nodig heeft voor het leveren van de diensten, mag Verwerker de betrokken dienst of overeenkomst beëindigen zonder schadeplichtig te zijn.

Artikel 10 — Doorgifte buiten de Europese Economische Ruimte

1. Verwerker streeft ernaar persoonsgegevens zoveel mogelijk binnen de Europese Economische Ruimte te verwerken en op te slaan.
2. Voor zover persoonsgegevens buiten de Europese Economische Ruimte worden verwerkt, zorgt Verwerker voor een passend doorgiftemechanisme zoals bedoeld in hoofdstuk V AVG, zoals een adequaatheidsbesluit, standaardcontractbepalingen, het EU–VS Data Privacy Framework of een andere geldige waarborg.
3. Verwerkingsverantwoordelijke erkent dat bepaalde externe diensten, zoals Microsoft, beveiligingsbronnen, certificate transparency bronnen, DNS resolvers, darkweb-bronnen of andere technische leveranciers, afhankelijk van hun inrichting of verzoekafhandeling, gegevens buiten de Europese Economische Ruimte kunnen verwerken.
4. De bekende subverwerkers en doorgiftemechanismen zijn opgenomen in Bijlage 2.

Artikel 12 — Rechten van betrokkenen

1. Verwerker verleent redelijke medewerking aan Verwerkingsverantwoordelijke bij het afhandelen van verzoeken van betrokkenen, waaronder verzoeken om inzage, rectificatie, wissing, beperking, overdraagbaarheid of bezwaar.
2. Voor zover Verwerkingsverantwoordelijke een verzoek zelf via het platform kan afhandelen, zal Verwerkingsverantwoordelijke dat zelf doen.
3. Indien een betrokkene zich rechtstreeks tot Verwerker wendt met een verzoek over persoonsgegevens waarvoor Verwerkingsverantwoordelijke verantwoordelijk is, zal Verwerker de betrokkene in beginsel doorverwijzen naar Verwerkingsverantwoordelijke.
4. Verwerker zal persoonsgegevens niet zelfstandig wijzigen, verwijderen of verstrekken op verzoek van een betrokkene, tenzij Verwerkingsverantwoordelijke daartoe opdracht geeft of Verwerker daartoe wettelijk verplicht is.

Artikel 13 — DPIA en voorafgaande raadpleging

1. Verwerker verleent redelijke medewerking aan een gegevensbeschermingseffectbeoordeling of voorafgaande raadpleging door Verwerkingsverantwoordelijke, voor zover de AVG dit vereist en voor zover de gevraagde informatie redelijkerwijs beschikbaar is bij Verwerker.
2. Verwerker mag redelijke kosten in rekening brengen voor ondersteuning die verder gaat dan standaard beschikbare documentatie, tenzij schriftelijk anders is overeengekomen.

Artikel 14 — Audits

1. Verwerker stelt op verzoek redelijke informatie beschikbaar waarmee Verwerkingsverantwoordelijke de naleving van deze verwerkersovereenkomst kan beoordelen.
2. Verwerkingsverantwoordelijke mag maximaal eenmaal per kalenderjaar een audit laten uitvoeren, tenzij sprake is van een concreet en aantoonbaar vermoeden van ernstige niet-naleving of een ernstig datalek.
3. Een audit wordt minimaal 30 dagen vooraf schriftelijk aangekondigd, vindt plaats tijdens normale kantooruren en mag de bedrijfsvoering, beveiliging en vertrouwelijkheid van Verwerker en andere klanten niet onredelijk verstoren.
4. Een audit wordt uitgevoerd door een onafhankelijke deskundige die vooraf schriftelijk tot geheimhouding is verplicht.
5. De kosten van de audit komen voor rekening van Verwerkingsverantwoordelijke, tenzij uit de audit blijkt dat Verwerker wezenlijk tekortschiet in zijn verplichtingen onder deze verwerkersovereenkomst.
6. Verwerker mag een audit weigeren of beperken indien de audit naar redelijkheid een beveiligingsrisico vormt, vertrouwelijke informatie van andere klanten kan blootleggen, bedrijfsgevoelige informatie onevenredig raakt, of de audit niet voldoet aan dit artikel.

Artikel 15 — Teruggave en verwijdering

1. Na beëindiging van de hoofdovereenkomst of het account verwijdert Verwerker persoonsgegevens die namens Verwerkingsverantwoordelijke worden verwerkt binnen 30 dagen, tenzij:
   1. Verwerkingsverantwoordelijke om teruggave verzoekt;
   2. een langere bewaartermijn wettelijk verplicht is;
   3. gegevens noodzakelijk zijn voor bewijs, geschilafhandeling, beveiliging of fraudepreventie;
   4. gegevens zijn opgenomen in back-ups die volgens de reguliere backupcyclus worden overschreven;
   5. gegevens geanonimiseerd zijn en niet meer tot personen herleidbaar zijn.
2. Indien Verwerkingsverantwoordelijke tijdig om teruggave verzoekt, stelt Verwerker de redelijkerwijs beschikbare persoonsgegevens in een gangbaar formaat beschikbaar, voor zover dit technisch mogelijk en redelijk is.
3. Back-ups worden niet afzonderlijk handmatig opgeschoond, tenzij dit redelijkerwijs technisch uitvoerbaar is. Persoonsgegevens in back-ups worden beschermd en worden volgens de reguliere backupcyclus verwijderd of overschreven.
4. Op verzoek bevestigt Verwerker schriftelijk dat verwijdering heeft plaatsgevonden, voor zover dit redelijkerwijs mogelijk is.

Artikel 16 — Geheimhouding

1. Verwerker houdt persoonsgegevens en andere vertrouwelijke informatie van Verwerkingsverantwoordelijke geheim.
2. Verwerker zorgt ervoor dat personen die toegang hebben tot persoonsgegevens, gehouden zijn aan geheimhouding via arbeidsovereenkomst, opdrachtovereenkomst, geheimhoudingsverklaring of wettelijke verplichting.
3. De geheimhoudingsplicht geldt niet voor informatie die openbaar is, al rechtmatig bekend was, zelfstandig is ontwikkeld zonder gebruik van vertrouwelijke informatie, of openbaar moet worden gemaakt op grond van wet, rechterlijk bevel of toezichthouder.

Artikel 17 — Aansprakelijkheid

1. De aansprakelijkheid van Verwerker onder deze verwerkersovereenkomst wordt beheerst door de aansprakelijkheidsregeling in de hoofdovereenkomst en de algemene voorwaarden van Verwerker.
2. Voor zover de hoofdovereenkomst of algemene voorwaarden geen regeling bevatten, geldt de wettelijke regeling van de AVG.
3. Verwerker is niet aansprakelijk voor schade die ontstaat doordat Verwerkingsverantwoordelijke persoonsgegevens onrechtmatig verwerkt, zonder geldige grondslag invoert, betrokkenen niet informeert, verkeerde instellingen gebruikt, onbevoegde gebruikers toegang geeft, adviezen of signaleringen niet opvolgt, of het platform gebruikt in strijd met de overeenkomst.
4. Verwerker is niet aansprakelijk voor boetes, claims of schade die voortvloeien uit instructies van Verwerkingsverantwoordelijke, tenzij sprake is van opzet of bewuste roekeloosheid van Verwerker zelf of voor zover dwingend recht anders bepaalt.

Artikel 18 — Wijzigingen

1. Verwerker mag deze verwerkersovereenkomst wijzigen indien dit nodig is vanwege wijzigingen in wetgeving, diensten, subverwerkers, beveiligingsmaatregelen, platformfunctionaliteiten of bedrijfsvoering.
2. Verwerker informeert Verwerkingsverantwoordelijke over wezenlijke wijzigingen.
3. Indien een wijziging wezenlijk nadelig is voor Verwerkingsverantwoordelijke, mag Verwerkingsverantwoordelijke bezwaar maken binnen 30 dagen na kennisgeving.
4. Indien Partijen geen oplossing bereiken en de wijziging noodzakelijk is voor de dienstverlening of naleving van wetgeving, mag Verwerker de betreffende dienst of overeenkomst beëindigen zonder schadeplichtig te zijn.

Artikel 19 — Rangorde

1. Bij strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden, geldt voor de verwerking van persoonsgegevens deze verwerkersovereenkomst.
2. Voor onderwerpen die niet specifiek over de verwerking van persoonsgegevens gaan, blijven de hoofdovereenkomst en algemene voorwaarden gelden.
3. De algemene voorwaarden blijven van toepassing op aansprakelijkheid, betaling, intellectueel eigendom, verboden gebruik, beschikbaarheid, support, looptijd, opzegging en overige commerciële afspraken.

Artikel 20 — Toepasselijk recht en geschillen

1. Op deze verwerkersovereenkomst is Nederlands recht van toepassing.
2. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement van de vestigingsplaats van Verwerker, tenzij dwingend recht anders voorschrijft.

Artikel 21 — Acceptatie

1. Deze verwerkersovereenkomst kan schriftelijk, elektronisch of via clickwrap in het platform worden geaccepteerd.
2. Elektronische acceptatie via het platform geldt als geldige aanvaarding van deze verwerkersovereenkomst.
3. Verwerker mag bij acceptatie de datum, tijd, naam, e-mailadres, tenant, IP-adres, user-agent, documentversie en documenthash vastleggen als bewijs van acceptatie.
4. Indien Verwerkingsverantwoordelijke namens een organisatie accepteert, verklaart de accepterende gebruiker bevoegd te zijn om deze organisatie te binden of ervoor te zorgen dat een bevoegde vertegenwoordiger de overeenkomst accepteert.