Verwerkersovereenkomst

Concepttekst. Laat deze tekst juridisch controleren en vul de gemarkeerde gegevens in vóór publicatie.

Versie 0.10 (concept), geldig vanaf [datum van inwerkingtreding]. Deze overeenkomst is onderdeel van de algemene voorwaarden.

1. Partijen

Verwerkingsverantwoordelijke: de organisatie die SecurGuard gebruikt, zoals vermeld in de offerte of orderbevestiging. In deze tekst: de klant.

Verwerker: SecurGuard, de handelsnaam waaronder het platform wordt aangeboden, ingeschreven bij de Kamer van Koophandel onder nummer [KvK-nummer]. In deze tekst: SecurGuard.

Deze overeenkomst legt vast wat artikel 28 lid 3 AVG voorschrijft.

2. Onderwerp, aard en doel

SecurGuard verwerkt persoonsgegevens uitsluitend om het platform te leveren zoals afgesproken, en uitsluitend op gedocumenteerde instructie van de klant. De overeenkomst, deze verwerkersovereenkomst en het normale gebruik van de functies in het platform gelden als die instructie. Aanvullende instructies geeft de klant schriftelijk of per e-mail.

Vindt SecurGuard dat een instructie in strijd is met de AVG of andere wetgeving over persoonsgegevens, dan meldt SecurGuard dat direct en mag SecurGuard de uitvoering opschorten tot de klant de instructie heeft aangepast of bevestigd.

SecurGuard verwerkt de gegevens niet voor eigen doeleinden, verkoopt ze niet, gebruikt ze niet voor reclame en gebruikt ze niet om diensten aan andere klanten te verbeteren, behalve in geanonimiseerde en geaggregeerde vorm die niet tot een persoon of organisatie herleidbaar is.

3. Duur

Deze overeenkomst loopt zolang SecurGuard persoonsgegevens voor de klant verwerkt, en eindigt zodra de verplichtingen uit artikel 10 zijn nagekomen. Bepalingen die naar hun aard doorlopen, zoals geheimhouding, blijven ook daarna gelden.

4. Soorten persoonsgegevens en betrokkenen

De klant bepaalt welke gegevens worden ingevoerd en op welke grondslag, en beoordeelt zelf of de verwerking noodzakelijk en proportioneel is. Dat geldt in het bijzonder voor locatiegegevens van medewerkers: het platform legt locatie alleen vast tijdens een gestarte dienst of alarmopvolging, en alleen als de klant dat instelt. De klant is verantwoordelijk voor de onderbouwing daarvan en voor het informeren van zijn medewerkers, en betrekt waar nodig de ondernemingsraad.

Bijzondere categorieën persoonsgegevens. Het platform is er niet op ingericht om bijzondere persoonsgegevens zoals gezondheidsgegevens vast te leggen. De verzuimmodule registreert alleen de melding en de duur, niet de aard of oorzaak van het verzuim. De klant voert geen bijzondere persoonsgegevens in vrije tekstvelden in, tenzij partijen daar vooraf schriftelijk aanvullende afspraken over maken. Strafrechtelijke gegevens legt de klant alleen vast voor zover hij daartoe bevoegd is.

5. Verplichtingen van SecurGuard

• Geheimhouding. Iedereen die namens SecurGuard toegang tot de gegevens heeft, is tot geheimhouding verplicht, ook na afloop van de werkzaamheden.
• Toegang alleen waar nodig. Toegang tot productiegegevens is beperkt tot wat noodzakelijk is voor beheer en ondersteuning, en wordt vastgelegd in het auditlog.
• Passende beveiliging volgens artikel 32 AVG, beschreven in bijlage 1.
• Hulp bij verzoeken van betrokkenen. Krijgt SecurGuard rechtstreeks een verzoek van een betrokkene, dan handelt SecurGuard dat niet zelf af, maar stuurt het zonder onnodige vertraging door naar de klant. Het platform bevat functies voor inzage, export, correctie, anonimisering en verwijdering waarmee de klant zo'n verzoek zelf kan uitvoeren.
• Hulp bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij voorafgaande raadpleging van de toezichthouder, voor zover dat redelijkerwijs van SecurGuard kan worden gevraagd en met de informatie waarover SecurGuard beschikt.
• Melden van verzoeken van autoriteiten. Krijgt SecurGuard een bevel om gegevens van de klant te verstrekken, dan informeert SecurGuard de klant daarover vooraf, tenzij de wet dat verbiedt, en verstrekt niet meer dan strikt vereist.

6. Verplichtingen van de klant

• De klant zorgt voor een geldige grondslag voor de verwerking en informeert zijn medewerkers en andere betrokkenen.
• De klant richt rollen, rechten, bewaartermijnen en instellingen zoals locatievolging zo in dat ze passen bij zijn eigen verwerkingsdoelen.
• De klant trekt toegang in van gebruikers die daar geen recht meer op hebben.
• De klant vrijwaart SecurGuard voor aanspraken die voortvloeien uit het ontbreken van een grondslag of uit gegevens die de klant onrechtmatig heeft ingevoerd.

7. Subverwerkers

De klant geeft SecurGuard algemene toestemming om subverwerkers in te schakelen. De subverwerkers die op dit moment worden gebruikt, staan in bijlage 2.

SecurGuard legt iedere subverwerker schriftelijk dezelfde verplichtingen op als in deze overeenkomst staan, en blijft tegenover de klant volledig aansprakelijk voor het handelen van de subverwerker.

Wil SecurGuard een subverwerker toevoegen of vervangen, dan meldt SecurGuard dat ten minste 30 dagen van tevoren. De klant kan binnen die termijn schriftelijk en gemotiveerd bezwaar maken. Komen partijen er niet uit, dan mag de klant de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat, zonder kosten en met behoud van het recht op export uit artikel 10.

8. Doorgifte buiten de Europese Economische Ruimte

De gegevens die de klant in het platform verwerkt, worden opgeslagen en verwerkt op een server in Nederland. Die gegevens verlaten de EER niet.

Voor pushberichten naar de mobiele app is doorgifte buiten de EER aan de orde zodra die functie in gebruik wordt genomen, omdat de aflevering via Expo en daarna via Apple of Google loopt. SecurGuard beperkt dat door in de inhoud van een pushbericht geen persoonsgegevens op te nemen; de app haalt de inhoud pas na het openen op bij de server van SecurGuard. Doorgifte gebeurt op basis van de standaardcontractbepalingen van de Europese Commissie of een geldig adequaatheidsbesluit. [per partij te bevestigen, met een overdrachtseffectbeoordeling, vóór ingebruikname van pushberichten]

9. Inbreuken in verband met persoonsgegevens

SecurGuard meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 48 uur na kennisname, per telefoon en per e-mail, aan de contactpersoon die de klant daarvoor opgeeft. Die 48 uur is een uiterste termijn, geen standaard: de klant moet binnen 72 uur kunnen melden bij de Autoriteit Persoonsgegevens (artikel 33 lid 1 AVG). De melding bevat ten minste de informatie uit artikel 33 lid 3 AVG voor zover die bekend is: de aard van de inbreuk, de betrokken categorieën en het aantal betrokkenen, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen, en een contactpersoon. Ontbreekt informatie nog, dan volgt die zo snel mogelijk daarna.

De klant beoordeelt zelf of hij de inbreuk meldt bij de Autoriteit Persoonsgegevens en bij de betrokkenen. SecurGuard doet zo'n melding niet namens de klant, tenzij de klant daar uitdrukkelijk schriftelijk opdracht toe geeft, en verstrekt de informatie die de klant voor die beoordeling nodig heeft.

10. Einde van de verwerking

Na het einde van de overeenkomst kan de klant zijn gegevens gedurende 30 dagen exporteren via de exportfuncties in het platform. Wil de klant een volledige export in een gangbaar bestandsformaat, dan levert SecurGuard die op verzoek binnen die termijn.

Daarna verwijdert SecurGuard de persoonsgegevens uit de productieomgeving. Gegevens in back-ups verdwijnen mee met het vervallen van die back-ups, uiterlijk 35 dagen daarna. SecurGuard bevestigt de verwijdering op verzoek schriftelijk. Verplicht de wet SecurGuard om bepaalde gegevens langer te bewaren, dan meldt SecurGuard welke dat zijn, op welke grond en hoe lang, en worden die gegevens afgeschermd voor verder gebruik.

11. Controle

SecurGuard stelt de klant op verzoek de informatie beschikbaar die nodig is om te beoordelen of deze overeenkomst wordt nageleefd. Dat gebeurt in eerste instantie door een schriftelijke toelichting en, als die beschikbaar is, door een rapportage van een onafhankelijke deskundige.

Is die informatie voor de klant aantoonbaar niet toereikend, dan mag de klant eenmaal per kalenderjaar een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden auditor. De klant kondigt die audit ten minste 30 dagen van tevoren aan, stemt de reikwijdte vooraf af, voert de audit uit tijdens kantooruren en verstoort de bedrijfsvoering zo min mogelijk. De kosten van de audit komen voor rekening van de klant, tenzij uit de audit blijkt dat SecurGuard tekortschiet; in dat geval draagt SecurGuard de redelijke kosten en herstelt het de tekortkoming op eigen kosten.

Bij een redelijk vermoeden van een ernstige tekortkoming of na een inbreuk vervalt de beperking tot eenmaal per jaar.

12. Aansprakelijkheid

1. De aansprakelijkheid van SecurGuard tegenover de klant voor directe schade door een toerekenbare tekortkoming in de nakoming van deze overeenkomst of de AVG is per kalenderjaar beperkt tot het hoogste van: (a) de vergoedingen die de klant in de twaalf maanden vóór de schadeveroorzakende gebeurtenis aan SecurGuard heeft betaald, en (b) [bedrag]. Keert de aansprakelijkheidsverzekering van SecurGuard in het betreffende geval meer uit, dan geldt dat hogere bedrag.
2. SecurGuard is niet aansprakelijk voor indirecte schade, waaronder gederfde winst en reputatieschade.
3. De beperkingen gelden niet bij opzet of bewuste roekeloosheid van SecurGuard of zijn leidinggevenden, en niet bij verwerking buiten of in strijd met de schriftelijke instructies van de klant.
4. Dit artikel laat de rechten van betrokkenen op grond van artikel 82 AVG onverlet. Tegenover betrokkenen is ieder van partijen aansprakelijk voor de gehele schade (artikel 82 lid 4 AVG); onderling verhalen partijen naar rato van hun aandeel in de schade (artikel 82 lid 5 AVG), met inachtneming van lid 1 tot en met 3.
5. Iedere partij draagt een aan haar opgelegde bestuurlijke boete zelf, onverminderd verhaal als de boete aantoonbaar het gevolg is van een tekortkoming van de andere partij, binnen de grenzen van lid 1.
6. SecurGuard houdt een beroeps- of cyberaansprakelijkheidsverzekering aan van ten minste [bedrag] en toont die op verzoek aan.
7. Wijkt artikel 11 van de algemene voorwaarden hiervan af, dan gaat dit artikel voor waar het de verwerking van persoonsgegevens betreft.

[Laten toetsen door een advocaat: of de onderlinge verhaalsbeperking onder artikel 82 lid 5 AVG standhoudt en of bestuurlijke boetes contractueel kunnen worden doorbelast.]

13. Overig

Wijkt deze overeenkomst af van de algemene voorwaarden, dan gaat deze overeenkomst voor waar het de verwerking van persoonsgegevens betreft. Op deze overeenkomst is Nederlands recht van toepassing en geldt dezelfde forumkeuze als in de algemene voorwaarden.

Bijlage 1: technische en organisatorische maatregelen

Dit is de feitelijke inrichting op de datum van deze versie. Wijzigt SecurGuard een maatregel, dan blijft het beschermingsniveau ten minste gelijkwaardig.

Toegang

• Tweestapsverificatie met een authenticator-app en herstelcodes. Voor iedere rol die BSN, IBAN of identiteitsgegevens mag inzien, is tweestapsverificatie altijd verplicht; voor andere rollen kan de klant het verplicht stellen.
• Rechten per rol en per functie, met een vast rollenmodel en de mogelijkheid om toegang te beperken tot eigen bedrijfsonderdelen, objecten of eigen gegevens.
• Sessies met een tijdslimiet. Beheer van geregistreerde toestellen, met de mogelijkheid om een toestel op afstand in te trekken, waarna de app zijn lokale gegevens wist bij de eerstvolgende verbinding.
• Wachtwoorden worden alleen als sterke hash opgeslagen, nooit leesbaar. Pogingen tot inloggen zijn begrensd.

Scheiding van gegevens

• De gegevens van iedere organisatie zijn in de database technisch van elkaar gescheiden. Die scheiding wordt afgedwongen in de database zelf, niet alleen in de applicatie.
• Beheerfuncties van het platform zijn niet leesbaar voor de applicatierol.

Versleuteling

• Al het verkeer verloopt via https met een actueel certificaat en HSTS. Onversleuteld verkeer wordt geweigerd.
• Gevoelige velden, waaronder BSN, IBAN en de gegevens van identiteitsbewijzen, worden per veld versleuteld opgeslagen in de database (AES-256-GCM). Ze zijn alleen zichtbaar voor rollen met het recht op gevoelige personeelsgegevens; wie ze inziet, geeft een reden op en elke inzage wordt vastgelegd.
• De mobiele app bewaart gegevens op het toestel in een versleutelde database en gebruikt de beveiligde opslag van het besturingssysteem voor sleutels en sessies.
• Back-ups worden versleuteld opgeslagen.

Vastleggen en controleren

• Auditlog van wie wat wanneer heeft bekeken of gewijzigd, doorzoekbaar voor de klant.
• Bewaking van de werking van het platform, met waarschuwingen bij storingen, mislukte achtergrondtaken en mislukte of verouderde back-ups.
• Foutmeldingen worden ontdaan van herleidbare gegevens voordat ze worden vastgelegd.

Continuïteit

• Dagelijkse back-ups van de database, de bestanden en de configuratie, versleuteld opgeslagen en geregistreerd met datum, omvang en uitkomst.
• Periodieke hersteltest waarbij een back-up daadwerkelijk wordt teruggezet en gecontroleerd, met een vastgelegd resultaat.
• Herstelprocedure beschreven in de beheerdocumentatie.
• [Back-ups worden op dit moment op dezelfde server bewaard. Een kopie naar een tweede, gescheiden locatie moet worden ingericht voordat deze bijlage definitief wordt vastgesteld.]

Infrastructuur

• De server staat in een datacentrum in Nederland, beheerd door TransIP.
• De onderdelen van het platform draaien in afgeschermde containers met een alleen-lezen bestandssysteem en zonder extra rechten. Alleen de webserver is vanaf internet bereikbaar.
• Beveiligingsupdates worden periodiek doorgevoerd.
• Optionele virusscan van geüploade bestanden.

Wat SecurGuard niet heeft

SecurGuard beschikt niet over externe beveiligingscertificeringen, auditrapporten van derden of een goedgekeurde gedragscode als bedoeld in artikel 40 AVG. Het platform maakt de organisatie van de klant ook niet automatisch AVG-compliant. Wat het platform biedt, zijn middelen waarmee de klant zijn eigen verplichtingen kan nakomen: de klant blijft verantwoordelijk voor zijn grondslagen, bewaartermijnen en instellingen. Zie ook de pagina Beveiliging en privacy.

Bijlage 2: subverwerkers

SecurGuard gebruikt op dit moment geen foutmonitoring van derden, geen betaaldienstverlener en geen sms-provider. Wordt zo'n dienst toegevoegd, dan volgt SecurGuard de procedure uit artikel 7 voordat die dienst in gebruik wordt genomen.

[Vóór livegang: technische controle van alle daadwerkelijk gekoppelde diensten, en per subverwerker de verwerkersovereenkomst en de doorgiftewaarborg vastleggen.]