Verwerkersovereenkomst

Deze verwerkersovereenkomst maakt deel uit van de Overeenkomst tussen Control One B.V. en de Klant, zoals omschreven in onze algemene voorwaarden. Door de Overeenkomst aan te gaan, gaat de Klant ook deze verwerkersovereenkomst aan.

Wil je een exemplaar voor je eigen administratie? Download de PDF. Onze gegevens staan er al in; je vult alleen die van je eigen organisatie in en ondertekent hem. Terugsturen is niet nodig.

Bij strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

1. Partijen en rollen

De Klant is voor de persoonsgegevens die hij in het Platform vastlegt de verwerkingsverantwoordelijke. Control One B.V., gevestigd aan Twekkeler Es 42, 7547 SM Enschede, KvK-nummer 99763877, is voor die gegevens verwerker in de zin van artikel 28 van de Algemene Verordening Gegevensbescherming (AVG).

Begrippen als persoonsgegevens, verwerking, betrokkene, subverwerker en inbreuk in verband met persoonsgegevens hebben de betekenis die de AVG eraan geeft. De begrippen Klant, Platform en Overeenkomst hebben de betekenis uit de algemene voorwaarden.

2. Onderwerp, aard en doel

Control One verwerkt persoonsgegevens uitsluitend om het Platform te leveren: het opslaan, tonen, bewerken en beschikbaar stellen van de gegevens die de Klant en zijn gebruikers in het Platform invoeren, en de functies die het Platform daarvoor biedt. Welke persoonsgegevens en betrokkenen het betreft, staat in bijlage 1.

3. Duur

Deze verwerkersovereenkomst geldt zolang de Overeenkomst loopt, en daarna zolang Control One nog persoonsgegevens van de Klant verwerkt.

4. Instructies van de Klant

Control One verwerkt de persoonsgegevens alleen op basis van schriftelijke instructies van de Klant. De Overeenkomst, deze verwerkersovereenkomst en het gebruik van de functies van het Platform door de Klant en zijn gebruikers gelden als die instructies. Control One verwerkt de gegevens niet voor eigen doeleinden.

Is Control One wettelijk verplicht de gegevens anders te verwerken, dan informeert Control One de Klant daar vooraf over, tenzij de wet dat verbiedt. Vindt Control One dat een instructie in strijd is met de AVG, dan laat zij dat de Klant direct weten.

5. Geheimhouding

Control One zorgt ervoor dat medewerkers en andere personen die toegang hebben tot de persoonsgegevens tot geheimhouding verplicht zijn, en dat zij alleen toegang hebben voor zover dat nodig is voor hun werk.

6. Beveiliging

Control One neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten en de risico's voor betrokkenen. De maatregelen staan in bijlage 2. Control One mag de maatregelen aanpassen, zolang het beveiligingsniveau niet omlaag gaat.

7. Subverwerkers

De Klant geeft Control One algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat op onze pagina subverwerkers.

• Control One kondigt een nieuwe of vervangende subverwerker minimaal 30 dagen vooraf aan per e-mail aan de beheerders van de Klant.
• De Klant kan binnen die termijn met redenen bezwaar maken. Partijen zoeken dan samen naar een oplossing. Lukt dat niet, dan mag de Klant de Overeenkomst opzeggen per de datum waarop de subverwerker wordt ingezet.
• Control One legt subverwerkers ten minste dezelfde verplichtingen op als in deze verwerkersovereenkomst staan, en blijft tegenover de Klant verantwoordelijk voor hun nakoming.

8. Doorgifte buiten de EER

Control One geeft persoonsgegevens alleen door naar een land buiten de Europese Economische Ruimte als daar een passende grondslag voor is volgens hoofdstuk V van de AVG, zoals een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie. Op de pagina subverwerkers staat per subverwerker waar de gegevens worden verwerkt en op welke grondslag.

9. Rechten van betrokkenen

Het Platform biedt de Klant functies om persoonsgegevens in te zien, te wijzigen, te exporteren en te verwijderen, zodat de Klant verzoeken van betrokkenen zelf kan afhandelen. Waar dat niet volstaat, helpt Control One de Klant binnen redelijke grenzen. Ontvangt Control One zelf een verzoek van een betrokkene over gegevens van de Klant, dan stuurt zij dat door naar de Klant en handelt het niet zelf af.

10. Bijstand aan de Klant

Control One helpt de Klant binnen redelijke grenzen bij het nakomen van zijn verplichtingen op grond van de artikelen 32 tot en met 36 AVG, zoals bij een gegevensbeschermingseffectbeoordeling (DPIA) of een voorafgaande raadpleging van de Autoriteit Persoonsgegevens, met de informatie waarover Control One beschikt.

11. Inbreuken in verband met persoonsgegevens

Control One informeert de Klant zonder onredelijke vertraging, en in ieder geval binnen 48 uur nadat zij ervan op de hoogte is geraakt, over een inbreuk die de persoonsgegevens van de Klant betreft. Control One geeft daarbij, voor zover bekend, de informatie die de Klant nodig heeft voor een eventuele melding aan de Autoriteit Persoonsgegevens en aan betrokkenen:

• de aard van de inbreuk en, waar mogelijk, de categorieën en het geschatte aantal betrokkenen en gegevens;
• de waarschijnlijke gevolgen;
• de maatregelen die zijn of worden genomen om de inbreuk aan te pakken en de gevolgen te beperken;
• een contactpersoon bij Control One.

De Klant beslist of de inbreuk wordt gemeld aan de Autoriteit Persoonsgegevens en aan betrokkenen.

12. Einde van de Overeenkomst

Na het einde van de Overeenkomst kan de Klant zijn gegevens gedurende 14 dagen exporteren, zoals in de algemene voorwaarden staat. Daarna verwijdert Control One de persoonsgegevens van de Klant binnen 90 dagen, tenzij een wettelijke bewaarplicht dat verhindert. Kopieën in back-ups worden binnen 30 dagen daarna overschreven. Op verzoek bevestigt Control One de verwijdering schriftelijk.

13. Informatie en audits

Control One stelt de Klant op verzoek de informatie ter beschikking die nodig is om aan te tonen dat zij deze verwerkersovereenkomst nakomt, zoals een beschrijving van de beveiligingsmaatregelen en, zodra beschikbaar, certificaten of rapporten van onafhankelijke audits.

Volstaat die informatie aantoonbaar niet, dan mag de Klant een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte deskundige. Zo'n audit wordt minimaal 30 dagen vooraf aangekondigd, vindt hooguit eenmaal per jaar plaats, verstoort de bedrijfsvoering van Control One niet onnodig en komt voor rekening van de Klant. Bij een audit naar aanleiding van een inbreuk vervalt de beperking tot eenmaal per jaar.

14. Aansprakelijkheid

Voor de aansprakelijkheid van partijen geldt de regeling uit de algemene voorwaarden, voor zover de wet dat toestaat.

15. Wijzigingen en toepasselijk recht

Control One kan deze verwerkersovereenkomst wijzigen op de manier die de algemene voorwaarden voor wijzigingen beschrijven. Wijzigingen die de bescherming van persoonsgegevens verminderen, gaan niet in zonder instemming van de Klant. Op deze verwerkersovereenkomst is Nederlands recht van toepassing.