Verwerkersovereenkomst

Verwerkersovereenkomst

Deze verwerkersovereenkomst is van toepassing op alle vormen van verwerking van persoonsgegevens die Falling Tree Internet Services, hierna te noemen “Falling Tree”, gevestigd te Almere, ingeschreven bij de Kamer van Koophandel onder nummer 63561301, (hierna: Verwerker) uitvoert ten behoeve van een wederpartij aan wie zij diensten levert (hierna: Verwerkingsverantwoordelijke). Hierna gezamenlijk te noemen “Partijen”.

In aanmerking nemende

  1. Partijen hebben een overeenkomst gesloten met betrekking tot softwareontwikkeling, websites, hosting, data-analyse, AI-tools, domeinnaamregistraties en online marketing werkzaamheden (hierna: “Overeenkomst”). Ter uitvoering van de Overeenkomst verwerkt Verwerker ten behoeve van Verwerkingsverantwoordelijke persoonsgegevens.
  2. Partijen wensen zorgvuldig en in overeenstemming met de AVG en andere toepasselijke wet- en regelgeving om te gaan met de persoonsgegevens die ter uitvoering van de Overeenkomst verwerkt (zullen) worden.
  3. Partijen wensen hun rechten en plichten met betrekking tot de verwerking van persoonsgegevens van betrokkenen schriftelijk vast te leggen in deze verwerkersovereenkomst.
  4. Uitsluitend Verwerkingsverantwoordelijke stelt het doel van en de middelen voor de verwerking van persoonsgegevens vast; Verwerker heeft hierop geen invloed.

1. Begrippen

  1. 1.1 Betrokkene: degene op wie een persoonsgegeven betrekking heeft.
  2. 1.2 Datalek: een inbreuk op de beveiliging van persoonsgegevens die ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens.
  3. 1.3 Personeel: de door Partijen voor de uitvoering van deze overeenkomst in te schakelen personen.
  4. 1.4 Persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon. Ook (herleidbare) gepseudonimiseerde persoonsgegevens vallen hieronder.
  5. 1.5 Subverwerker: derde die door Verwerker wordt ingeschakeld om ten behoeve van Verwerker persoonsgegevens te verwerken.
  6. 1.6 Verwerkingsverantwoordelijke: degene die het doel en de middelen van de verwerking bepaalt.
  7. 1.7 Verwerker: degene die ten behoeve van de Verwerkingsverantwoordelijke persoonsgegevens verwerkt zonder aan diens rechtstreeks gezag te zijn onderworpen.
  8. 1.8 Verwerking: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder verzamelen, opslaan, gebruiken, overdragen, pseudonimiseren, encryptie, vernietigen of beschikbaar stellen via AI-tools of cloudservices.

2. Onderwerp

  1. Verwerker zal persoonsgegevens uitsluitend verwerken zoals noodzakelijk voor de uitvoering van de Overeenkomst en in overeenstemming met de instructies van Verwerkingsverantwoordelijke.
  2. Verwerker kan AI-tools, cloudservices of externe SaaS-oplossingen gebruiken voor analyse, codegeneratie, dataverwerking en andere doeleinden zoals in de Overeenkomst beschreven.
  3. Verwerker zal persoonsgegevens uitsluitend verwerken binnen de Europese Economische Ruimte, tenzij verwerking buiten de EER noodzakelijk is voor domeinnaamregistraties of specifieke cloudservices.

3. Verplichtingen van de Verwerkingsverantwoordelijke

  1. Verwerkingsverantwoordelijke zal Verwerker tijdig informeren over aanwezigheid en locatie van persoonsgegevens.
  2. Verwerkingsverantwoordelijke garandeert dat verwerking van persoonsgegevens rechtmatig is en geen inbreuk maakt op rechten van derden.
  3. Verwerkingsverantwoordelijke stemt in met het aanleveren van relevante gegevens aan AI-tools of externe systemen, indien noodzakelijk voor correcte werking.

4. Verplichtingen van de Verwerker

  1. Verwerker verwerkt persoonsgegevens uitsluitend voor de uitvoering van de Overeenkomst.
  2. Verwerker volgt redelijke instructies van Verwerkingsverantwoordelijke op en zal samenwerken om correcte dataverwerking mogelijk te maken.
  3. Verwerker houdt zich aan geheimhouding en instructies inzake persoonsgegevens; personeel is gebonden aan een geheimhoudingsplicht.
  4. Verwerker neemt passende technische en organisatorische maatregelen ter beveiliging van persoonsgegevens, rekening houdend met het risiconiveau, stand van de techniek en kosten van uitvoering.
  5. Verwerker houdt een register bij van alle categorieën verwerkingsactiviteiten.
  6. Verwerker verleent volledige medewerking aan verzoeken van betrokkenen inzake inzage, correctie of verwijdering van persoonsgegevens.
  7. Verwerker ondersteunt encryptie, pseudonimisering en andere beveiligingsmaatregelen op verzoek van Verwerkingsverantwoordelijke.
  8. Verwerker verleent jaarlijks, indien gevraagd, toegang voor audit door een onafhankelijke register EDP-Auditor; Verwerker blijft verantwoordelijk voor vertrouwelijkheid en uitvoering.
  9. Verwerker gebruikt AI-tools en cloudservices voor analyse, codegeneratie en dataverwerking, met inachtneming van dataminimalisatie en pseudonimisering waar mogelijk.
  10. Verwerker is niet aansprakelijk voor verlies of onjuistheid van gegevens door uitval van AI-tools of cloudservices, behalve bij opzet of grove schuld.

5. Subverwerkers

  1. Verwerker kan verwerking uitbesteden aan subverwerkers, waaronder cloudproviders en SaaS-diensten, mits dezelfde verplichtingen schriftelijk worden opgelegd.
  2. Verwerker blijft te allen tijde verantwoordelijk voor naleving door subverwerkers.
  3. Voor domeinregistraties en externe cloudservices die buiten de EER vallen, geldt dat persoonsgegevens openbaar kunnen zijn of dat beveiliging niet volledig gegarandeerd is.

6. Verstrekken van persoonsgegevens

  1. Persoonsgegevens mogen niet aan derden worden verstrekt, tenzij wettelijk verplicht of noodzakelijk voor uitvoering van de Overeenkomst.
  2. Bij wettelijke verplichting beperkt Verwerker de verstrekking tot wat vereist is en informeert vooraf de Verwerkingsverantwoordelijke.

7. Beveiliging

  1. Verwerker en Verwerkingsverantwoordelijke nemen passende maatregelen om persoonsgegevens te beveiligen tegen verlies, onrechtmatige verwerking, ongeoorloofde toegang en schade.
  2. Fysieke en digitale toegang tot systemen wordt gecontroleerd; incidenten worden gelogd.
  3. Bij transport van vertrouwelijke persoonsgegevens wordt encryptie toegepast.
  4. Bij bijzondere beveiligingsmaatregelen op verzoek van Verwerkingsverantwoordelijke komen extra kosten voor rekening van de Verwerkingsverantwoordelijke.

8. Datalek

  1. Datalekken worden binnen 24 uur gemeld aan Verwerkingsverantwoordelijke, inclusief aard, gevolgen en genomen maatregelen.

9. Geheimhouding

  1. Verwerker behandelt alle persoonsgegevens en bedrijfsinformatie vertrouwelijk.
  2. Geheimhouding geldt niet voor:
    • openbaar bekend geworden informatie;
    • wettelijke verplichtingen of rechterlijke bevelen;
    • onafhankelijke ontwikkeling;
    • informatie reeds in bezit zonder geheimhoudingsplicht.
  3. Geheimhouding blijft na beëindiging van de overeenkomst van kracht.

10. Intellectuele eigendom en software

  1. Intellectuele eigendomsrechten op software, code, websites en AI-modellen van Verwerker blijven bij Verwerker, tenzij expliciet anders schriftelijk overeengekomen.
  2. Opdrachtgever krijgt een niet-exclusief, niet-overdraagbaar gebruiksrecht binnen de eigen onderneming.
  3. Verspreiding, verkoop of ter beschikking stellen aan derden is niet toegestaan, tenzij software onder een open source-licentie wordt geleverd of schriftelijk toestemming is verkregen.
  4. Open source- of gelicentieerde softwarecomponenten vallen onder de voorwaarden van de betreffende licentie; Verwerker is niet aansprakelijk voor beperkingen of schendingen door derden.

11. Aansprakelijkheid en verzekering

  1. Verwerker is aansprakelijk voor schade die Verwerkingsverantwoordelijke lijdt en boetes die Verwerkingsverantwoordelijke verbeurt als gevolg van het niet-nakomen van, of in strijd handelen van, Verwerker met voorschriften bij of krachtens de AVG, andere toepasselijke wet- en regelgeving, en/of deze Verwerkersovereenkomst.
  2. De aansprakelijkheid van Verwerker voor door Verwerkingsverantwoordelijke geleden schade en/of verbeurde boetes zoals bedoeld in artikel 11.1 is beperkt tot €10.000 per gebeurtenis. Deze beperking geldt niet indien en voor zover de schade het gevolg is van opzet of grove schuld van Verwerker.
  3. Verwerkingsverantwoordelijke vrijwaart Verwerker voor aanspraken van derden (met name Betrokkenen) en de eventuele schade als gevolg daarvan, gebaseerd op niet-naleving van voorschriften bij of krachtens de AVG, andere toepasselijke wet- en regelgeving, en/of deze Verwerkersovereenkomst, voor zover deze schade niet het gevolg is van opzet of grove schuld van Verwerker.
  4. Verwerker zal zich inspannen om de risico’s zoals bedoeld in de artikelen 11.1 t/m 11.2 af te dekken door middel van een aansprakelijkheidsverzekering. Verwerkingsverantwoordelijke kan het bestaan van een dergelijke verzekering op verzoek verifiëren.

12. Duur en beëindiging

  1. De overeenkomst treedt in werking bij acceptatie van de algemene voorwaarden.
  2. Beëindiging van de Overeenkomst betekent beëindiging van deze verwerkersovereenkomst.
  3. Na beëindiging worden persoonsgegevens overgedragen of vernietigd op schriftelijk verzoek.
  4. Verplichtingen inzake geheimhouding, overdracht, vernietiging en aansprakelijkheid blijven na beëindiging van kracht.

13. Ontbinding

  1. Partijen kunnen ontbinden bij toerekenbare tekortkoming, faillissement of surseance van betaling.

14. Overige bepalingen

  1. Wijzigingen of aanvullingen zijn alleen geldig als schriftelijk overeengekomen en ondertekend.
  2. Geschillen worden, na vruchteloze poging tot overleg, beslecht door arbitrage via het Nederlands Arbitrage Instituut onder Nederlands recht.

Bijlage A – Minimale Beveiligingsmaatregelen

  1. Beleidsdocument met maatregelen ter beveiliging van persoonsgegevens en privacy.
  2. Geheimhoudingsplicht en screening personeel.
  3. Training en bijscholing personeel inzake informatiebeveiliging.
  4. Fysieke bescherming van IT-voorzieningen en apparatuur.
  5. Toegangsbeheer en scheiding van bevoegdheden.
  6. Encryptie bij transport van vertrouwelijke gegevens.
  7. Beheer van certificaten en sleutels volgens sleutelplan.
  8. Procedures voor verwerving, ontwikkeling, onderhoud en vernietiging van systemen en data.
  9. Logging van activiteiten en incidenten.
  10. Beveiligingsmaatregelen in alle applicaties, inclusief toegangsbeheer.
  11. Tijdige installatie van beveiligingsupdates.
  12. Procedures voor behandelen van incidenten en zwakke plekken.
  13. Meldplicht datalekken bij toezichthouder door Verwerkingsverantwoordelijke.