Verwerkersovereenkomst

Deze verwerkersovereenkomst maakt deel uit van elke overeenkomst tussen NorthDock B.V. (de "Verwerker") en haar klant (de "Verwerkingsverantwoordelijke") waarbij NorthDock namens de klant persoonsgegevens verwerkt, als bedoeld in artikel 28 van de Algemene Verordening Gegevensbescherming (AVG).

1. Definities

Begrippen als persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, subverwerker, betrokkene en inbreuk in verband met persoonsgegevens hebben de betekenis die de AVG eraan geeft. Onder "Overeenkomst" wordt verstaan de overeenkomst voor het leveren van de Diensten, waarop de algemene voorwaarden van NorthDock van toepassing zijn.

2. Onderwerp en duur

De Verwerker verwerkt persoonsgegevens uitsluitend om de Diensten onder de Overeenkomst te leveren. De aard en het doel van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen staan beschreven in de bijlage hieronder. Deze verwerkersovereenkomst geldt zolang de Verwerker persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke.

3. Instructies

De Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke, waaronder het gebruik van de Diensten zoals door de Verwerkingsverantwoordelijke ingericht, tenzij een Unierechtelijke of lidstaatrechtelijke bepaling hem tot iets anders verplicht. De Verwerker informeert de Verwerkingsverantwoordelijke als een instructie naar zijn mening inbreuk maakt op de AVG.

4. Geheimhouding

De Verwerker zorgt ervoor dat personen die bevoegd zijn de persoonsgegevens te verwerken tot geheimhouding zijn verplicht en alleen toegang hebben voor zover nodig voor hun taken.

5. Beveiliging

De Verwerker neemt passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG, rekening houdend met de stand van de techniek en de risico's. Daartoe behoren ten minste versleuteling van gegevens tijdens transport, toegangsbeheer op basis van minimale rechten, logging van toegang tot productiesystemen, regelmatige back-ups, scheiding van klantomgevingen en tijdige installatie van beveiligingsupdates.

6. Subverwerkers

De Verwerkingsverantwoordelijke geeft algemene toestemming voor het inschakelen van subverwerkers, zoals hosting- en e-mailproviders. De Verwerker houdt een lijst van subverwerkers bij, die hij op verzoek verstrekt, en informeert de Verwerkingsverantwoordelijke ten minste 30 dagen vooraf over een voorgenomen toevoeging of vervanging. De Verwerkingsverantwoordelijke kan binnen die termijn op redelijke gronden bezwaar maken. De Verwerker legt elke subverwerker dezelfde verplichtingen op het gebied van gegevensbescherming op als in deze overeenkomst.

7. Doorgifte buiten de EER

De Verwerker geeft persoonsgegevens alleen door buiten de Europese Economische Ruimte als een passend beschermingsniveau is gewaarborgd overeenkomstig hoofdstuk V AVG, bijvoorbeeld via een adequaatheidsbesluit of standaardcontractbepalingen.

8. Bijstand

Rekening houdend met de aard van de verwerking helpt de Verwerker de Verwerkingsverantwoordelijke bij het beantwoorden van verzoeken van betrokkenen die hun rechten uitoefenen, en bij het nakomen van zijn verplichtingen rond beveiliging, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging. De Verwerker mag redelijke kosten rekenen voor bijstand die verder gaat dan de standaardfunctionaliteit van de Diensten.

9. Inbreuken in verband met persoonsgegevens

De Verwerker informeert de Verwerkingsverantwoordelijke zonder onredelijke vertraging, en in ieder geval binnen 48 uur nadat hij ervan kennis heeft genomen, over een inbreuk in verband met persoonsgegevens die de persoonsgegevens van de Verwerkingsverantwoordelijke raakt. De melding bevat de op dat moment beschikbare informatie die de Verwerkingsverantwoordelijke nodig heeft om aan zijn eigen meldplichten te voldoen. De Verwerker neemt redelijke maatregelen om de gevolgen van de inbreuk te beperken.

10. Audits

De Verwerker stelt alle informatie ter beschikking die nodig is om naleving van deze overeenkomst aan te tonen. De Verwerkingsverantwoordelijke mag eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte auditor, met een aankondiging van ten minste 30 dagen, op eigen kosten en zonder de bedrijfsvoering van de Verwerker onredelijk te verstoren.

11. Teruggave en verwijdering

Na afloop van de Overeenkomst kan de Verwerkingsverantwoordelijke zijn persoonsgegevens binnen 30 dagen exporteren. Na die termijn verwijdert de Verwerker de persoonsgegevens, inclusief bestaande kopieën, tenzij opslag wettelijk verplicht is. Verwijdering uit back-ups gebeurt in de reguliere back-upcyclus.

12. Aansprakelijkheid en slotbepalingen

De aansprakelijkheidsbeperkingen uit de algemene voorwaarden zijn op deze overeenkomst van toepassing. Bij strijdigheid tussen deze overeenkomst en de Overeenkomst ten aanzien van de verwerking van persoonsgegevens, gaat deze overeenkomst voor. Op deze overeenkomst is Nederlands recht van toepassing.

Bijlage: omschrijving van de verwerking

Het doel van de verwerking is in alle gevallen het leveren, onderhouden, beveiligen en ondersteunen van de Diensten zoals overeengekomen in de Overeenkomst. Persoonsgegevens worden verwerkt zolang de Overeenkomst loopt.