Deze verwerkersovereenkomst maakt deel uit van elke overeenkomst voor een dienst die de klant bij ons bestelt. Zij komt tot stand zodra de klant een bestelling plaatst of een offerte of overeenkomst accepteert, zonder dat afzonderlijk hoeft te worden getekend (zie artikel 2).
Partijen
Matreon IT, gevestigd te Brakkeveldweg 53, 1782AE Den Helder, ingeschreven bij de Kamer van Koophandel onder nummer 96383801, hierna: Verwerker;
de klant die bij Verwerker een dienst bestelt, zoals vastgelegd in de bestelling, offerte of het klantaccount, hierna: Verwerkingsverantwoordelijke.
Verwerker en Verwerkingsverantwoordelijke worden samen ook de Partijen genoemd.
Overwegingen
Verwerker levert webhosting-, e-mail-, back-up- en beheerdiensten (managed services) aan Verwerkingsverantwoordelijke op basis van een bestelling, offerte of overeenkomst, inclusief de algemene voorwaarden (hierna: de Hoofdovereenkomst).
Bij het leveren van deze diensten verwerkt Verwerker persoonsgegevens in opdracht van Verwerkingsverantwoordelijke.
Partijen willen in deze overeenkomst hun afspraken vastleggen over de verwerking van die persoonsgegevens, zoals bedoeld in artikel 28 van de Algemene verordening gegevensbescherming (AVG).
Partijen komen het volgende overeen.
Artikel 1. Definities
In deze overeenkomst hebben de begrippen persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene, inbreuk op persoonsgegevens en onderverwerker de betekenis die de AVG daaraan geeft.
Uitvoeringswet: de Uitvoeringswet Algemene verordening gegevensbescherming.
Toezichthouder: de Autoriteit Persoonsgegevens.
Diensten: de diensten die Verwerker op grond van de Hoofdovereenkomst aan Verwerkingsverantwoordelijke levert.
Bijlage: een bijlage bij deze overeenkomst. De bijlagen maken deel uit van de overeenkomst.
Artikel 2. Totstandkoming, onderwerp, duur en rangorde
Deze overeenkomst komt tot stand en wordt van kracht op het moment dat Verwerkingsverantwoordelijke een Dienst bestelt of een offerte of overeenkomst voor een Dienst accepteert. Door te bestellen of te accepteren, aanvaardt Verwerkingsverantwoordelijke ook deze overeenkomst. Een aparte handtekening is niet nodig.
Partijen erkennen dat de bestelling of acceptatie langs elektronische weg voldoet aan het vereiste van artikel 28, lid 9 AVG dat de overeenkomst schriftelijk, ook in elektronische vorm, wordt vastgelegd.
Verwerker legt de acceptatie vast (datum, tijdstip en versie van deze overeenkomst), houdt de actuele en eerdere versies beschikbaar op haar website en verstrekt op verzoek een kopie.
Deze overeenkomst geldt voor alle verwerkingen van persoonsgegevens die Verwerker in het kader van de Diensten voor Verwerkingsverantwoordelijke uitvoert.
De overeenkomst duurt zolang Verwerker persoonsgegevens verwerkt voor Verwerkingsverantwoordelijke. Zij eindigt niet eerder dan de Hoofdovereenkomst en niet voordat Verwerker aan artikel 13 heeft voldaan.
Bij strijd tussen deze overeenkomst en de Hoofdovereenkomst (inclusief algemene voorwaarden) gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.
Artikel 3. Aard, doel en omvang van de verwerking
Verwerker verwerkt persoonsgegevens uitsluitend om de Diensten te leveren, zoals beschreven in Bijlage 1.
In Bijlage 1 staan ook de categorieën betrokkenen, de soorten persoonsgegevens en de duur van de verwerking.
Verwerker verwerkt geen persoonsgegevens voor eigen doeleinden en bepaalt niet zelf het doel of de middelen van de verwerking, tenzij de wet dat van Verwerker verlangt. In dat geval meldt Verwerker dit vooraf aan Verwerkingsverantwoordelijke, tenzij de wet dat verbiedt.
Artikel 4. Instructies van Verwerkingsverantwoordelijke
Verwerker verwerkt persoonsgegevens uitsluitend op basis van de gedocumenteerde instructies van Verwerkingsverantwoordelijke. Deze overeenkomst, de Hoofdovereenkomst en de configuratie die Verwerkingsverantwoordelijke zelf in de Diensten aanbrengt, gelden als zulke instructies.
Verwerkingsverantwoordelijke staat ervoor in dat de instructies en de verwerking in overeenstemming zijn met de AVG, dat zij een geldige grondslag heeft voor de verwerking en dat zij betrokkenen heeft geïnformeerd.
Is Verwerker van mening dat een instructie in strijd is met de AVG of andere regelgeving over gegevensbescherming, dan meldt hij dat onmiddellijk aan Verwerkingsverantwoordelijke. Verwerker mag dan de uitvoering van die instructie opschorten totdat Verwerkingsverantwoordelijke de instructie bevestigt of wijzigt.
Verwerker kijkt niet naar de inhoud van de persoonsgegevens, tenzij dat nodig is voor de Diensten (bijvoorbeeld bij het oplossen van een storing of op verzoek van Verwerkingsverantwoordelijke) of de wet dat vereist.
Artikel 5. Vertrouwelijkheid
Verwerker zorgt dat alle personen die toegang hebben tot de persoonsgegevens, zoals medewerkers en ingehuurde krachten, gebonden zijn aan geheimhouding, contractueel of wettelijk.
Verwerker beperkt de toegang tot de persoonsgegevens tot personen die deze nodig hebben voor de uitvoering van de Diensten.
Deze geheimhoudingsplicht geldt niet als Verwerker de gegevens op grond van een wettelijke verplichting of rechterlijk bevel moet verstrekken. Verwerker informeert Verwerkingsverantwoordelijke daarover vooraf, tenzij de wet dat verbiedt.
Artikel 6. Beveiliging
Verwerker neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies, onrechtmatige of ongeoorloofde verwerking, wijziging, openbaarmaking en toegang. Hij houdt daarbij rekening met de stand van de techniek, de uitvoeringskosten, de aard van de gegevens en de risico's.
De maatregelen die Verwerker ten minste treft, staan in Bijlage 2.
Verwerker evalueert de maatregelen regelmatig en past ze aan als dat nodig is. Verwerker verlaagt het beveiligingsniveau niet zonder voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke.
Verwerkingsverantwoordelijke is zelf verantwoordelijk voor de beveiliging van zijn eigen accounts, wachtwoorden, applicaties en content die hij in de Diensten gebruikt of beheert.
Artikel 7. Onderverwerkers
Verwerkingsverantwoordelijke geeft Verwerker algemene toestemming om onderverwerkers in te schakelen. De onderverwerkers die op de datum van ondertekening zijn ingeschakeld, staan in Bijlage 3.
Verwerker informeert Verwerkingsverantwoordelijke schriftelijk (bijvoorbeeld per e-mail) over voorgenomen wijzigingen, zoals het toevoegen of vervangen van een onderverwerker, minimaal 30 dagen vooraf. Verwerkingsverantwoordelijke kan binnen 14 dagen na de melding gemotiveerd bezwaar maken.
Komen Partijen er na overleg niet uit, dan mag Verwerkingsverantwoordelijke de betrokken Dienst opzeggen tegen de datum waarop de wijziging ingaat, zonder boete.
Verwerker legt aan elke onderverwerker door middel van een schriftelijke overeenkomst dezelfde verplichtingen op als in deze overeenkomst, in ieder geval op het gebied van gegevensbescherming en beveiliging.
Verwerker blijft tegenover Verwerkingsverantwoordelijke volledig aansprakelijk voor het nakomen van de verplichtingen door zijn onderverwerkers.
Artikel 8. Doorgifte buiten de EER
Verwerker verwerkt persoonsgegevens binnen de Europese Economische Ruimte (EER), op de locaties die zijn vermeld in Bijlage 1 en Bijlage 3.
Verwerker geeft persoonsgegevens alleen door aan of laat ze alleen verwerken in een land buiten de EER als Verwerkingsverantwoordelijke daarvoor schriftelijk toestemming heeft gegeven (de vermelding in Bijlage 3 geldt als toestemming) en als een passende waarborg aanwezig is. Dat is een adequaatheidsbesluit van de Europese Commissie, of de modelcontractbepalingen van de Europese Commissie met, waar nodig, aanvullende maatregelen.
Verwerker legt de gekozen waarborg op verzoek schriftelijk aan Verwerkingsverantwoordelijke voor.
Artikel 9. Bijstand bij verzoeken van betrokkenen
Verwerker helpt Verwerkingsverantwoordelijke, voor zover mogelijk, met passende technische en organisatorische maatregelen om verzoeken van betrokkenen te beantwoorden. Het gaat om de rechten van inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar.
Ontvangt Verwerker rechtstreeks een verzoek van een betrokkene, dan beantwoordt hij dat niet zelf, behalve om te bevestigen dat het verzoek is ontvangen en is doorgestuurd. Verwerker stuurt het verzoek binnen 5 werkdagen door aan Verwerkingsverantwoordelijke.
Verwerker mag voor bijstand die meer is dan redelijkerwijs bij de Diensten hoort, de redelijke kosten in rekening brengen volgens zijn geldende tarieven, na voorafgaande melding.
Artikel 10. Melding van inbreuken op persoonsgegevens
Verwerker meldt een inbreuk op persoonsgegevens die de persoonsgegevens van Verwerkingsverantwoordelijke betreft zonder onredelijke vertraging aan Verwerkingsverantwoordelijke, en in ieder geval binnen 48 uur nadat hij daarvan kennis heeft gekregen. De melding gaat naar het e-mailadres van het klantaccount of naar een ander contactadres voor beveiligingsmeldingen dat Verwerkingsverantwoordelijke aan Verwerker heeft doorgegeven. Verwerkingsverantwoordelijke zorgt dat dit adres actueel is.
De melding bevat, voor zover bekend:
de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevensrecords;
de vermoedelijke oorzaak en de gevolgen;
de contactgegevens van het aanspreekpunt bij Verwerker;
de genomen en voorgestelde maatregelen om de inbreuk te beëindigen en de gevolgen te beperken.
Als niet alle informatie direct beschikbaar is, vult Verwerker de melding in fasen aan, zonder onredelijke vertraging.
Verwerker neemt direct maatregelen om de inbreuk te beëindigen en verdere inbreuken te voorkomen, en documenteert alle inbreuken.
Verwerkingsverantwoordelijke beslist of en hoe de inbreuk wordt gemeld aan de Toezichthouder en aan betrokkenen. Verwerker doet zulke meldingen niet zelf, tenzij de wet dat van hem verlangt.
Artikel 11. Bijstand bij naleving van de AVG
Verwerker helpt Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking en de gegevens waarover hij beschikt, bij het nakomen van diens verplichtingen over:
de beveiliging van persoonsgegevens (artikel 32 AVG);
de melding van inbreuken (artikelen 33 en 34 AVG);
gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de Toezichthouder (artikelen 35 en 36 AVG).
Voor bijstand die meer is dan redelijkerwijs bij de Diensten hoort, geldt artikel 9, lid 3.
Artikel 12. Audit en informatie
Verwerker stelt Verwerkingsverantwoordelijke op verzoek alle informatie ter beschikking die nodig is om aan te tonen dat Verwerker de verplichtingen uit artikel 28 AVG en deze overeenkomst nakomt. Verwerker mag daarvoor eerst verwijzen naar actuele certificaten, auditrapporten of vergelijkbare verklaringen (bijvoorbeeld ISO 27001), voor zover die de vragen beantwoorden.
Verwerkingsverantwoordelijke mag, als de informatie uit lid 1 onvoldoende is of als de Toezichthouder dit eist, een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden deskundige. Verwerkingsverantwoordelijke kondigt de audit minimaal 30 dagen vooraf schriftelijk aan en maximaal één keer per jaar, behalve bij een inbreuk of een concrete aanleiding.
De audit vindt plaats tijdens kantooruren, verstoort de bedrijfsvoering van Verwerker zo min mogelijk en omvat geen gegevens van andere klanten of vertrouwelijke bedrijfsinformatie die niet relevant is voor deze overeenkomst.
Partijen dragen hun eigen kosten. Verwerker mag de redelijke interne kosten van meewerken aan een audit in rekening brengen, tenzij de audit ernstige tekortkomingen aantoont.
Verwerker voert redelijke aanbevelingen uit de audit binnen een in overleg te bepalen termijn uit.
Artikel 13. Einde van de verwerking: verwijderen en teruggeven
Na afloop van de Hoofdovereenkomst, of eerder als Verwerkingsverantwoordelijke daarom verzoekt, verwijdert Verwerker alle persoonsgegevens van Verwerkingsverantwoordelijke of geeft hij ze terug, naar keuze van Verwerkingsverantwoordelijke. Dit gebeurt binnen 30 dagen na afloop. Verwerkingsverantwoordelijke maakt zijn keuze kenbaar binnen 14 dagen na afloop. Doet hij dat niet, dan verwijdert Verwerker de gegevens.
Verwerker verwijdert ook bestaande kopieën en back-ups, uiterlijk binnen [0 dagen na afloop, tenzij de wet bewaring van de gegevens verplicht stelt.
Verwerker bevestigt de verwijdering op verzoek schriftelijk.
Teruggave gebeurt in een gangbaar, machineleesbaar formaat. De redelijke kosten daarvan mogen volgens de geldende tarieven in rekening worden gebracht.
Artikel 14. Aansprakelijkheid
Voor aansprakelijkheid van Partijen onder deze overeenkomst gelden de bepalingen over aansprakelijkheid uit de Hoofdovereenkomst en de daarbij horende algemene voorwaarden, inclusief eventuele beperkingen.
Dit laat de aansprakelijkheid van Partijen tegenover betrokkenen op grond van artikel 82 AVG en de onderlinge verhaalsmogelijkheden daaruit onverlet.
Beperkingen van aansprakelijkheid gelden niet bij opzet of bewuste roekeloosheid van Verwerker, of voor zover de wet dat uitsluit.
Artikel 15. Slotbepalingen
Verwerker mag deze overeenkomst wijzigen. Verwerker meldt een wijziging minimaal 30 dagen vooraf schriftelijk (bijvoorbeeld per e-mail) aan Verwerkingsverantwoordelijke. Is de wijziging nadelig voor Verwerkingsverantwoordelijke, dan mag hij de betrokken Dienst opzeggen tegen de datum waarop de wijziging ingaat. Wijzigingen die nodig zijn door wijzigingen in de AVG of verplichtingen van de Toezichthouder gaan direct in. Andere afspraken over de verwerking van persoonsgegevens gelden alleen als Partijen ze schriftelijk zijn overeengekomen.
Is een bepaling nietig of vernietigbaar, dan blijven de overige bepalingen van kracht. Partijen vervangen de bepaling dan door een geldige bepaling die zoveel mogelijk dezelfde strekking heeft.
Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Alkmaar, tenzij de Hoofdovereenkomst een andere regeling bevat.
Verwerkingsverantwoordelijke: het e-mailadres van het klantaccount, tenzij Verwerkingsverantwoordelijke een ander adres heeft doorgegeven.
Artikel 16. Acceptatie
Een aparte ondertekening is niet nodig. Deze overeenkomst is aanvaard op het moment dat Verwerkingsverantwoordelijke een Dienst bestelt of een offerte of overeenkomst voor een Dienst accepteert (artikel 2). Bij het bestelproces verwijst Verwerker naar deze overeenkomst, bijvoorbeeld met de tekst: "Ik ga akkoord met de algemene voorwaarden en de verwerkersovereenkomst", met een link naar deze tekst.
Artikel Bijlage 1: Beschrijving van de verwerking
Onderdeel
Omschrijving
Onderwerp en doel
Het leveren van de Diensten die Verwerkingsverantwoordelijke bij Verwerker bestelt, zoals webhosting, e-mailhosting, back-ups, domeinbeheer en beheerde ICT-diensten (MSP)
Aard van de verwerking
Opslaan, hosten, back-uppen, herstellen, doorgeven, beheren en bewerken (voor zover nodig voor onderhoud, support en beveiliging) van gegevens die Verwerkingsverantwoordelijke in de Diensten plaatst of beheert
Categorieën betrokkenen
Personen van wie Verwerkingsverantwoordelijke gegevens in de Diensten opslaat of laat beheren, zoals klanten, medewerkers, websitebezoekers, leveranciers en andere relaties van Verwerkingsverantwoordelijke
Soorten persoonsgegevens
Gegevens die Verwerkingsverantwoordelijke zelf in de Diensten plaatst, zoals naam, contact- en accountgegevens, IP-adressen, logbestanden, e-mailinhoud en metadata, en gegevens in websites en databases. Verwerkingsverantwoordelijke bepaalt welke gegevens dat zijn
Bijzondere categorieën of strafrechtelijke gegevens
Niet bedoeld voor opslag, tenzij Verwerkingsverantwoordelijke dat vooraf schriftelijk aan Verwerker meldt en Partijen aanvullende afspraken maken
Duur
Looptijd van de Hoofdovereenkomst, plus de afwikkelingstermijn uit artikel 13
Locatie(s) van verwerking
Qupra B.V.: DC1, DC2; Hetzner: FSN1
Artikel Bijlage 2: Beveiligingsmaatregelen
Verwerker treft ten minste de volgende maatregelen. Zij worden periodiek geëvalueerd en bijgewerkt.
Organisatorisch
Beleid voor informatiebeveiliging en privacy, met aangewezen verantwoordelijke(n).
Geheimhoudingsverklaringen en regelmatige bewustwordingstraining voor medewerkers.
Procedures voor het melden en afhandelen van incidenten en datalekken.
Leveranciersbeheer: verwerkersovereenkomsten en beoordeling van onderverwerkers.
Toegangsbeveiliging
Toegang op basis van noodzaak (least privilege) en rolgebaseerde autorisaties.
Unieke accounts, sterke wachtwoordeisen en meerfactorauthenticatie voor beheerders en beheeromgevingen.
Tijdig intrekken van toegang bij uitdiensttreding of functiewijziging.
Logging van beheerhandelingen op systemen waarop persoonsgegevens staan.
Technisch
Versleutelde verbindingen (TLS) voor gegevensverkeer en beheer.
Versleuteling van gegevens in rust waar dat redelijkerwijs mogelijk is, en versleutelde back-ups.
Netwerksegmentatie, firewalls en detectie van misbruik en aanvallen.
Tijdig installeren van beveiligingsupdates en patches; periodieke kwetsbaarheidsscans.
Malwarebescherming en monitoring van systemen.
Scheiding van klantomgevingen.
Continuïteit en herstel
Regelmatige back-ups (Minimaal 1x per dag) met periodieke herstelproeven.
Maatregelen voor beschikbaarheid, zoals redundantie van voeding, netwerk en opslag.
Herstelplan (disaster recovery) voor kritieke systemen.
Fysiek
Datacenters met toegangscontrole, camerabewaking, brandbeveiliging en noodstroomvoorziening.
Bezoekersregistratie en begeleiding.
Verwijderen van gegevens
Veilige verwijdering of vernietiging van gegevensdragers en gegevens na afloop van de overeenkomst.
Artikel Bijlage 3: Onderverwerkers
Onderverwerker
Dienst of activiteit
Locatie van verwerking
Doorgifte buiten de EER en waarborg
Qupra B.V.
Datacenter en infrastructuur
Nederland
Nee: waarborg
Microsoft
E-mailverzending of beveiliging
Verendigde Staten
Ja: waarborg
Transactieafhandelaars en de externe administratie van Verwerker verwerken geen persoonsgegevens die Verwerkingsverantwoordelijke in de Diensten opslaat en zijn daarom geen onderverwerkers onder deze overeenkomst.