ALGEMENE BEWERKERSVOORWAARDEN PERFECTVIEW B.V.

ALGEMENE BEWERKERSVOORWAARDEN PERFECTVIEW B.V.
Standaard bewerkersvoorwaarden van PerfectView B.V.
Overwegende dat
Verantwoordelijke bepaalde vormen van verwerkingen wil laten verrichten door Bewerker, waarbij klant het
doel en de middelen aanwijst;
Bewerker hiertoe bereid is en tevens bereid is verplichtingen omtrent beveiliging en andere aspecten van de
Wet bescherming persoonsgegevens en aanverwante regelgeving, gedragscodes na te komen;
Partijen een of meerdere Overeenkomsten hebben gesloten waarin het verwerken van gegevens onderdeel
uitmaakt;
Partijen mede gelet op het vereisten uit artikelen 12, 14 en 15 van de Wbp hun rechten en plichten wensen
vast te leggen in deze Bewerkersovereenkomst.
Definities
a.
Betrokkene: degene op wie de Persoonsgegevens betrekking hebben (art. 1 onder f Wbp);
b.
Bewerker: PerfectView B.V. en/of gelieerde partijen (art. 1 onder e Wbp);
c.
Datalek: een beveiligingsincident, waarbij Persoonsgegevens verloren zijn gegaan, of onrechtmatige
verwerking niet redelijkerwijs is uit te sluiten;
d.
Overeenkomst: Het geheel van tussen Partijen gesloten overeenkomsten, deze Bewerkersovereenkomst
uitgezonderd;
e.
Overeenkomsten: Het geheel van tussen Partijen gesloten overeenkomsten inclusief deze
Bewerkersovereenkomst;
f.
Persoonsgegevens: gegevens die direct of indirect herleidbaar zijn tot een natuurlijk persoon (cfm. Art.1
onder a Wbp);
g.
Verantwoordelijke: Klant van PerfectView (art.1 onder d Wbp)
h.
Verwerking: elke handeling of geheel van handelingen met betrekking tot Persoonsgegevens, waaronder in
ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen,
gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van
terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of
vernietigen van Persoonsgegevens (art. 1 onder b Wbp);
i.
Wbp: Wet bescherming persoonsgegevens.
1/4
Document versie 2016, 05
Verantwoordelijke en bewerker komen samen overeen:
Artikel 1. Doeleinden van de verwerking
1.1. Het doel van de gegevensverwerking is de gegevens van Verantwoordelijke door PerfectView te laten
bewerken in een software oplossing van PerfectView.
1.2. Bewerker zal de (persoons)gegevens niet voor enig ander doel verwerken dan die genoemd in 1.1.
Verantwoordelijke zal Bewerker op de hoogte stellen van de verwerkingsdoeleinden voor zover deze niet
reeds in deze Bewerkersovereenkomst zijn genoemd.
1.3. Bewerker verbindt zich conform de opdracht van Verantwoordelijke enkel de in 1.1 genoemde gegevens te
verwerken en op de wijze zoals overeengekomen.
1.4. De in opdracht van Verantwoordelijke te verwerken (persoons)gegevens blijven eigendom van
Verantwoordelijke en/of betreffende Betrokkenen.
1.5. Verantwoordelijke staat ervoor in dat de inhoud, het gebruik en de opdracht tot verwerkingen van de
(persoons)gegevens niet onrechtmatig is en geen inbreuk maken op enig recht van derden.
Artikel 2. Verplichtingen Bewerker
2.1. Ten aanzien van de te verrichten gegevensverwerkingen zal Bewerker zorgdragen voor de naleving van de
toepasselijke wet- en regelgeving en opgestelde normen in het maatschappelijk verkeer.
2.2. Bewerker zal Verantwoordelijke op eerste verzoek van Verantwoordelijke of wanneer omstandigheden
daartoe aanleiding geven informeren over de door haar genomen maatregelen aangaande haar
verplichtingen onder deze Bewerkersovereenkomst.
2.3
De verplichtingen van de Bewerker die uit deze Bewerkersovereenkomst voortvloeien, gelden ook voor
degenen die (persoons)gegevens verwerken onder het gezag van de Bewerker, waaronder begrepen maar
niet beperkt tot werknemers, door hem ingeschakelde derden en subbewerkers.
2.4
Bewerker mag de (persoons)gegevens verwerken in Nederland. Doorgifte naar andere landen is zonder
uitdrukkelijke voorafgaande toestemming hiervoor van Verantwoordelijke, verboden.
2.5
De Bewerker kan een subbewerker inschakelen. Aan de schriftelijke toestemming van Verantwoordelijke zijn
in elk geval –doch niet uitsluitend- de volgende randvoorwaarden verbonden:
a.
Bewerker garandeert dat de gegevensverwerkingen die plaatsvinden bij en door de in te schakelen
subbewerkers voldoen aan de wettelijke eisen en de eisen gesteld in de Overeenkomsten.
b.
Daar waar Bewerker constateert dat door hem ingeschakelde of in te schakelen subbewerkers
handelen in strijd met de Overeenkomsten meldt hij dit onverwijld aan Verantwoordelijke.
c.
Bewerker legt in overeenkomst met subbewerker in ieder geval doch niet uitsluitend vast:
i.
dat door laatstgenoemde alle in de Bewerkersovereenkomst met Verantwoordelijke
afgesproken beveiligingsmaatregelen worden overgenomen,
ii.
dat de mogelijkheid bestaat voor Verantwoordelijke om toe te zien op beveiligingsmaatregelen
die getroffen zijn en de naleving van de afspraken door de subbewerker (zie ook artikel 6 lid 2),
iii.
dat subbewerker tevens tot geheimhouding verplicht is,
iv.
dat verwerking van persoonsgegevens in het buitenland verboden is, tenzij voorafgaande
schriftelijke toestemming door Verantwoordelijke is verstrekt en
v.
hoe wordt geborgd dat bij het eindigen van de Bewerkersovereenkomst de verwerkte
(persoons)gegevens niet direct verloren gaan voor Verantwoordelijke conform het genoemde in
artikel 9.3.
2.6
Subbewerkers mogen subbewerkers inschakelen indien aan alle eerder gestelde voorwaarden voldaan
wordt.
Artikel 3. Beveiliging
3.1
Bewerker staat ervoor in dat vanaf het sluiten van de Overeenkomsten alswel gedurende de looptijd van de
Overeenkomsten de getroffen beveiligingsmaatregelen een voldoende beveiligingsniveau bieden en voldoen
aan de eisen die hiervoor gelden in wet- en regelgeving (o.a. artikel 13 Wbp), de stand van de techniek en de
hiervoor in het maatschappelijk verkeer geldende regels.
3.2
Bewerker zegt toe geen andere beveiligingsmaatregelen te treffen dan die beter of gelijkwaardig zijn aan het
vereiste beveiligingsniveau ten tijde van het afsluiten van de Overeenkomsten.
2/4
Document versie 2016, 05
3.3
Onverminderd het recht van Verantwoordelijke op periodiek toezicht als genoemd in artikel 6 geldt tevens het
volgende. Indien er aanleiding is voor Verantwoordelijke om te twijfelen aan het geboden vereiste
beveiligingsniveau als voorgesteld door Bewerker via artikel 3.2 is zij gerechtigd een derde om onafhankelijk
deskundig advies te vragen. De kosten voor dit advies komen voor rekening van Verantwoordelijke indien het
advies het standpunt van Bewerker onderstreept. De kosten van dit advies komen voor rekening van de
Bewerker indien de onafhankelijke deskundige dit betwist.
Artikel 4. Meldplicht en afhandeling verzoeken Betrokkenen
4.1
Bewerker zal, ingeval een Betrokkene een verzoek tot inzage (artikel 35 Wbp), of verbetering, aanvulling,
wijziging of afscherming (art.36 Wbp) richt aan Bewerker Verantwoordelijke hiervan onverwijld vergewissen.
In overleg met elkaar zullen Partijen het nodige doen om dit verzoek in te willigen. Bewerker zegt in elk geval
toe binnen 14 dagen nadat het verzoek is gedaan door Betrokkene of Verantwoordelijke schriftelijk alle
informatie te verstrekken aan Verantwoordelijke om te kunnen voldoen aan de wettelijke mededelingsplicht
en correctieplicht van Betrokkenen.
Artikel 5. Geheimhouding en vertrouwelijkheid
5.1
Op alle (persoons)gegevens die Bewerker van Verantwoordelijke ontvangt en/of zelf verzamelt rust een
geheimhoudingsplicht jegens derden. Bewerker zal deze informatie niet voor een ander doel gebruiken dan
waarvoor zij deze heeft verkregen, zelfs niet wanneer deze in zodanige vorm is gebracht zodat deze niet tot
Betrokkenen herleidbaar is.
5.2
Partijen zijn over en weer tot geheimhouding van de bedrijfs- en (persoons)gegevens gehouden, tenzij de
verstrekte gegevens van openbare bekendheid zijn geworden, buiten toedoen of nalaten van de andere
Partij. Het op grond van een wettelijke grondslag afgeven van vertrouwelijke informatie aan een daartoe
bevoegde instantie betekent in beginsel niet dat de gegevens daarmee hun vertrouwelijke aard verliezen ten
aanzien van andere derden.
5.3
Partijen zeggen toe met de door hen ingeschakelde medewerkers, hulppersonen of derden (waaronder
subbewerkers) geheimhoudingsovereenkomsten te sluiten.
5.4
Tevens rust op Partijen de inspanningsverplichting de kring van medewerkers, ingeschakelde derden en/of
subbewerkers bij de gegevensverwerking zo klein mogelijk te houden.
Artikel 6. Audit
6.1
Verantwoordelijke heeft de wettelijke verplichting om toe te zien op de naleving van de technische en
organisatorische beveiligingsmaatregelen door de Bewerker. Verantwoordelijke ziet gedurende de looptijd
van de Overeenkomsten ook periodiek of indien omstandigheden hiertoe aanleiding geven toe op naleving.
Bewerker overlegt op eerste schriftelijk verzoek van Verantwoordelijke binnen 10 Werkdagen een verklaring
van een onafhankelijke externe deskundige, waarin deze een oordeel geeft over de maatregelen die
Bewerker heeft getroffen, een zogenaamde Third Party Mededeling (TPM). De verklaring is maximaal 1 jaar
oud;
6.2
Bewerker garandeert Verantwoordelijke dat eventuele subbewerkers tevens contractueel onderworpen
worden aan het gestelde in lid 1.
Artikel 7. Datalek en Meldplicht
7.1
In het geval van een (mogelijke) Datalek bij de Verwerking onder de Overeenkomst zullen Bewerker en
Verantwoordelijke elkaar daarover altijd en binnen maximaal 16 uur na constatering per e-mail informeren,
naar aanleiding waarvan Verantwoordelijke beoordeelt of a) sprake is van een Datalek, en b) voor zover
sprake is van een Datalek, de wettelijke meldplicht Datalekken (cfr.artikel 34a Wbp) van toepassing is en zij
relevante toezichthouder(s) alsmede Betrokkenen hierover dient te informeren of niet.
7.2
Verantwoordelijke is volledig verantwoordelijk voor de beoordeling of de meldplicht Datalekken van
toepassing is en het voldoen daaraan. In geen geval kan Bewerker hiervoor door Verantwoordelijke,
toezichthouder(s), Betrokkenen of door andere derden aansprakelijk worden gehouden. Verantwoordelijke
vrijwaart Bewerker volledig voor iedere aanspraak van Betrokkenen, toezichthouder(s) en/of andere derden
voor de niet naleving van de meldplicht Datalekken.
3/4
Document versie 2016, 05
7.3
7.4
7.5
Bewerker zal Verantwoordelijke voorzien van alle benodigde informatie voor de beoordeling of de wettelijke
meldplicht Datalekken van toepassing is en in verband met de melding zelf.
Indien sprake is van een Datalek waarop de meldplicht Datalekken van toepassing is, zal Verantwoordelijke
aan de relevante toezichthouder(s) in ieder geval melden: de aard van de melding, gegevens over het
Datalek, genomen vervolgacties, en of Betrokkenen zijn ingelicht. Indien wordt gemeld aan betrokkenen, zal
Verantwoordelijke de Betrokkenen in ieder geval melden: de aard van de inbreuk, de instanties waar de
betrokkenen meer informatie over de inbreuk kan krijgen, en de door Betrokkenen te nemen maatregelen om
de negatieve gevolgen van de inbreuk te beperken.
In het geval van een beveiligingsincident is het Bewerker toegestaan om onmiddellijk naar eigen inzicht alle
maatregelen te treffen die nodig zijn om een verdere beveiligingslek te beëindigen en de gevolgen daarvan
zoveel mogelijk te beperken.
Artikel 8. Aansprakelijkheid
8.1
Aansprakelijkheid wordt afgehandeld conform artikel 11 uit de Algemene Voorwaarden van PerfectView B.V.
Artikel 9. Wijzigingen Overeenkomst of Bewerkersovereenkomst
9.1
Indien gedurende de looptijd van de Overeenkomsten Partijen besluiten tot andere doelen of vormen van
gegevensverwerking en/of de betrouwbaarheidseisen van de getroffen beveiligingsmaatregelen daartoe
aanleiding geven, treden zij hierover in overleg.
9.2
Indien een bepaling in enige overeenkomst nietig, vernietigbaar of anderszins onafdwingbaar wordt, dan
blijven de overige bepalingen van deze Bewerkersovereenkomst volledig van kracht. Partijen zullen in
onderhandeling treden om dergelijke bepalingen te vervangen door een uitvoerbare alternatieve bepaling,
waarbij Partijen zoveel mogelijk rekening zullen houden met het doel en de strekking van de nietige,
vernietigde of anderszins niet afdwingbare bepaling.
9.3
De Overeenkomsten zijn niet overdraagbaar aan derden zonder voorafgaande toestemming van de andere
Partij.
Artikel 10. Duur en beëindiging
10.1 Deze Bewerkersovereenkomst is aangegaan als onderdeel van de Overeenkomst en is onverbrekelijk
verbonden met de duur van de onderliggende Overeenkomst. Dit betekent dat zodra de langstlopende
Overeenkomst eindigt, ook de Bewerkersovereenkomst eindigt zonder dat hiertoe een aparte opzegging is
vereist.
10.2 Indien door gewijzigde omstandigheden in wet- en regelgeving aanpassing van deze
Bewerkersovereenkomst noodzakelijk is voor een goede uitvoering van de onderliggende Overeenkomst kan
Bewerker de Bewerkersovereenkomst wijzigen. Indien Bewerker niet aan gewijzigde omstandigheden in weten regelgeving kan voldoen en dit een onaanvaardbaar risico met zich mee brengt voor Bewerker, is dit
voldoende grond voor Bewerker om de Overeenkomsten te beëindigen.
10.3 Zodra de Overeenkomsten worden ontbonden of eindigen, om welke reden dan ook, heeft Verantwoordelijke
de mogelijkheid om binnen een maand na de beëindigingsdatum alle data inclusief Persoonsgegevens uit de
software te halen. Bewerker stopt per direct de verwerking van (persoons)gegevens, zal alle documenten
waarin de (persoons)gegeven zijn vastgelegd (laten) vernietigen op haar eigen systemen of de systemen van
door haar ingeschakelde derden.
4/4
Document versie 2016, 05