Verwerkersovereenkomst
1. Partijen en onderwerp
Deze verwerkersovereenkomst is gesloten tussen de Klant (verwerkingsverantwoordelijke) en Bouwivo (verwerker) en maakt deel uit van de overeenkomst over het gebruik van de Dienst. Zij regelt de verwerking van persoonsgegevens door Bouwivo in opdracht van de Klant, zoals bedoeld in artikel 28 van de Algemene verordening gegevensbescherming (AVG). Begrippen hebben de betekenis uit de AVG en de algemene voorwaarden.
2. Aard, doel en duur van de verwerking
- Aard: hosting, opslag, back-up, beveiliging en technische verwerking van de gegevens die de Klant, zijn Gebruikers en Portaalgebruikers in de Dienst invoeren, en het versturen van uitnodigingen, wachtwoordlinks en andere systeemmails namens de Klant.
- Doel: uitsluitend het leveren, beveiligen, ondersteunen en onderhouden van de Dienst voor de Klant.
- Duur: zolang de overeenkomst loopt, plus de exporttermijn van 30 dagen.
- Betrokkenen: medewerkers en andere Gebruikers van de Klant, klanten, dealers en Portaalgebruikers van de Klant, contactpersonen van leveranciers van de Klant.
- Categorieën persoonsgegevens: naam, e-mailadres, telefoonnummer, adres, bedrijfsgegevens, rol en rechten, aanmeld- en loggegevens, offerte-, order-, bestel-, levering- en factuurgegevens, notities en documenten die de Klant toevoegt. De Klant voert geen bijzondere persoonsgegevens, strafrechtelijke gegevens of burgerservicenummers in, tenzij schriftelijk anders afgesproken.
3. Instructies
Bouwivo verwerkt de persoonsgegevens uitsluitend op basis van de schriftelijke instructies van de Klant. De overeenkomst, de instellingen die de Klant in de Dienst kiest en de handelingen van zijn Gebruikers (zoals het invoeren van een medewerker of portaalklant) gelden als instructie. Bouwivo meldt het de Klant als een instructie naar haar oordeel in strijd is met de AVG. Bouwivo mag persoonsgegevens verstrekken als een wettelijke plicht daartoe verplicht; zij informeert de Klant daarover vooraf, tenzij de wet dat verbiedt.
4. Geheimhouding
Bouwivo zorgt dat personen die toegang hebben tot de persoonsgegevens tot geheimhouding verplicht zijn. Bouwivo-support kijkt alleen mee in de omgeving van de Klant als de Klant daarvoor in het klantportaal toestemming heeft gegeven, voor de duur van die toestemming.
5. Beveiliging
Bouwivo neemt passende technische en organisatorische maatregelen, waaronder: een eigen, afgeschermde omgeving en database per klant; versleutelde verbindingen (HTTPS/TLS); wachtwoorden alleen gehasht; verplichte tweestapsverificatie voor de hoofdbeheerder; rechten per rol; een activiteitenlogboek; dagelijkse, versleutelde back-ups en periodieke hersteltesten; updates alleen met een ondertekend releasepakket; en beperking van toegang tot personen die dat voor hun werk nodig hebben. De Klant is zelf verantwoordelijk voor de rechten die hij Gebruikers en Portaalgebruikers geeft, voor het geheimhouden van inloggegevens en voor de beveiliging van zijn eigen apparaten en netwerk. Bouwivo mag de maatregelen aanpassen, mits het beveiligingsniveau niet daalt.
6. Subverwerkers
De Klant geeft Bouwivo algemene toestemming om subverwerkers in te schakelen. Op dit moment zijn dat: de hosting- en serverprovider (servers in de Europese Unie), de e-mailprovider voor het versturen van systeemmails en Mollie B.V. voor betalingen. Bouwivo legt subverwerkers ten minste dezelfde verplichtingen op als in deze overeenkomst en meldt een nieuwe subverwerker vooraf per e-mail of in de Dienst. De Klant kan binnen 14 dagen met redenen bezwaar maken; komen partijen er niet uit, dan mag de Klant de overeenkomst opzeggen per de datum waarop de nieuwe subverwerker wordt ingezet. Bouwivo laat persoonsgegevens uit een klantomgeving niet buiten de Europese Economische Ruimte verwerken zonder passende waarborgen volgens de AVG.
7. Rechten van betrokkenen
Ontvangt Bouwivo een verzoek van een betrokkene over gegevens in de omgeving van de Klant, dan stuurt zij dat door naar de Klant. De Klant kan de meeste verzoeken zelf in de Dienst afhandelen (inzien, wijzigen, exporteren, verwijderen). Bouwivo verleent op verzoek redelijke ondersteuning; werk dat verder gaat dan de standaardfuncties mag Bouwivo tegen het geldende uurtarief in rekening brengen.
8. Datalekken
Bouwivo informeert de Klant zonder onredelijke vertraging, en waar mogelijk binnen 48 uur na ontdekking, over een inbreuk in verband met persoonsgegevens die de gegevens van de Klant treft, met de informatie die de Klant redelijkerwijs nodig heeft om aan zijn meldplicht te voldoen. Het melden aan de Autoriteit Persoonsgegevens en aan betrokkenen is de verantwoordelijkheid van de Klant. Bouwivo neemt redelijke maatregelen om de gevolgen te beperken.
9. Bijstand en controle
Bouwivo verstrekt de Klant op verzoek de informatie die nodig is om de naleving van deze overeenkomst aan te tonen en helpt in redelijkheid bij een gegevensbeschermingseffectbeoordeling. De Klant mag maximaal eenmaal per jaar, na een aankondiging van ten minste 30 dagen, een controle laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht. De controle mag de bedrijfsvoering van Bouwivo en de vertrouwelijkheid van gegevens van andere klanten niet aantasten. De kosten van de controle zijn voor de Klant.
10. Einde en teruggave
Na het einde van de overeenkomst kan de Klant zijn gegevens gedurende 30 dagen exporteren. Daarna verwijdert Bouwivo de omgeving van de Klant, inclusief de back-ups daarvan, tenzij een wettelijke bewaarplicht voor Bouwivo geldt. Op verzoek bevestigt Bouwivo de verwijdering.
11. Aansprakelijkheid en rangorde
Voor de aansprakelijkheid van partijen geldt de regeling uit de algemene voorwaarden (artikelen 15 en 16), voor zover de AVG of ander dwingend recht dat toelaat. De Klant vrijwaart Bouwivo voor aanspraken en boetes die het gevolg zijn van het feit dat de Klant zich niet aan de AVG heeft gehouden of onrechtmatige instructies heeft gegeven. Bij strijd tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor wat betreft de verwerking van persoonsgegevens.