INSTRUCTIE:
INSTRUCTIE:
• Deze Bewerkersovereenkomst is bedoeld voor opdrachten aan ICTU voor het verrichten van (ICT) diensten en/of voor de realisatie van software en/of adviesopdrachten waarbij ICTU in aanraking kan komen met persoonsgegevens in het kader van de Wet Bescherming Persoonsgegevens of waarbij ICTU verplicht is melding te maken in het kader van het Meldplicht Datalekken. Deze Bewerkersovereenkomst wordt aanvullend aan de Projectovereenkomst ondertekend.
• Bepalingen waar ‘<INDIEN…>’ voor staat, dienen opgenomen te worden indien van toepassing. Indien de betreffende bepaling niet van toepassing is, deze verwijderen uit dit document.
• Bij teksten waar ‘<OF>’ tussen de bepalingen staat, dient een keuze tussen de aangegeven opties gemaakt te worden. De overige optie(s) verwijderen uit dit document.
• Teksten tussen […] dienen nog ingevuld te worden. Na invulling, brackets verwijderen en blauw
Bewerkersovereenkomst ARVODI-2016
Ten behoeve van het project […naam project en projectnummer…]
DE ONDERGETEKENDEN:
De Staat der Nederlanden, waarvan de zetel is gevestigd te […vestigingsplaats…], hierbij rechtsgeldig vertegenwoordigd door de Minister van […naam ministerie...], namens deze de directeur […naam dienstonderdeel...], de heer […naam directeur...] hierna te noemen: “Opdrachtgever”;
<INDIEN meerdere opdrachtgevers:> De Staat der Nederlanden, waarvan de zetel is gevestigd te […vestigingsplaats…], hierbij rechtsgeldig vertegenwoordigd door de Minister van […naam ministerie...], namens deze de directeur […naam dienstonderdeel...], de heer […naam directeur...], mede handelend namens de opdrachtgevers […namen opdrachtgevers...] als hieronder genoemd, waarbij de opdrachtgevers ieder afzonderlijk de heer ter zake specifiek en schriftelijk hebben gemandateerd, hierna gezamenlijk te noemen: “Opdrachtgever”;
EN
Stichting ICTU, gevestigd en kantoorhoudende te Den Haag, hierbij rechtsgeldig vertegenwoordigd door <OF> <de Algemeen directeur, de heer xx. xxx. X. Xxxxxx> <OF> <de Directeur Advies, de xxxx xxx. X. Xxxxxxx> <OF> <Hoofd Relatiemangement xxxxxxx xx. X. Xxxxxxxx> hierna te noemen: “Opdrachtnemer”;
hierna gezamenlijk te noemen: Partijen;
OVERWEGENDE DAT:
• Opdrachtgever met Opdrachtnemer op [datum] een Overeenkomst met betrekking tot het uitvoeren van werkzaamheden op het gebied van […] met kenmerk: […] (hierna te noemen: de Overeenkomst) heeft gesloten;
• in het kader van de uitvoering daarvan Persoonsgegevens in de zin van artikel 1, onder a, van de Wet bescherming persoonsgegevens (hierna te noemen: Wbp) worden verwerkt;
• krachtens het bepaalde in artikel 1 van de Wbp Opdrachtgever Verantwoordelijke is voor de Persoonsgegevens en Opdrachtnemer Bewerker;
• Partijen in overeenstemming met de Wbp in deze Bewerkersovereenkomst hun afspraken over het verwerken van de Persoonsgegevens door Opdrachtnemer als Bewerker wensen vast te leggen;
• deze Bewerkersovereenkomst is aan te merken als een Bewerkersovereenkomst in de zin van artikel 14, tweede lid, van de Wbp;
KOMEN OVEREEN:
Artikel 1 | Begrippen
De hierna en hiervoor in deze Bewerkersovereenkomst vermelde, met een hoofdletter geschreven begrippen, hebben de volgende betekenis:
1.1 Persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon.
1.2 Verwerking: elke handeling of elk geheel van handelingen met betrekking tot Persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen, of vernietigen van gegevens.
1.3 Overeenkomst: de Overeenkomst tussen de Staat en ICTU van [datum] inzake […naam project en projectnummer…].
1.4 Bewerkersovereenkomst: deze overeenkomst inclusief overwegingen en bijbehorende bijlagen.
1.5 Betrokkene: degene op wie een Persoonsgegeven betrekking heeft.
1.6 Functionaris voor de gegevensbescherming: de door Opdrachtgever benoemde functionaris als bedoeld in artikel 62 van de Wbp.
1.7 Datalek: een inbreuk op de beveiliging, in de zin van artikel 13 van de Wbp, die leidt tot de aanzienlijke kans op ernstige nadelige gevolgen dan wel ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens.
Artikel 2| Totstandkoming, duur en einde van de Bewerkersovereenkomst
2.1 Deze Bewerkersovereenkomst treedt niet eerder in werking dan op de datum waarop Partijen de Overeenkomst hebben ondertekend.
2.2 Deze Bewerkersovereenkomst zal van kracht zijn gedurende de looptijd van de Overeenkomst. Indien de Overeenkomst eindigt, eindigt deze Bewerkersovereenkomst van rechtswege.
2.3 Geen van beide Partijen kan deze Bewerkersovereenkomst tussentijds opzeggen.
Artikel 3 | Voorwerp van de Bewerkersovereenkomst
3.1 Opdrachtnemer Verwerkt in opdracht van Opdrachtgever de in Bijlage 1 beschreven Persoonsgegevens van Opdrachtgever.
3.2 Opdrachtnemer zal de Persoonsgegevens op behoorlijke en zorgvuldige wijze en in overeenstemming met de Wbp en andere toepasselijke regelgeving betreffende de Verwerking van Persoonsgegevens Verwerken.
3.3 Opdrachtnemer Verwerkt Persoonsgegevens slechts in opdracht van Opdrachtgever en volgt alle instructies van Opdrachtgever dienaangaande op, behoudens afwijkende wettelijke verplichtingen.
3.4 Opdrachtnemer heeft geen zeggenschap over het doel en de middelen voor de Verwerking van Persoonsgegevens. Voor zover niet anders is bepaald in deze Bewerkersovereenkomst, neemt Opdrachtnemer geen beslissingen over het gebruik van de Persoonsgegevens, de verstrekking aan derden en de duur van de opslag van Persoonsgegevens. De zeggenschap over de Persoonsgegevens verstrekt onder deze Bewerkersovereenkomst komt nimmer bij Opdrachtnemer te berusten.
3.5 Opdrachtnemer schakelt geen derden in zonder voorafgaande toestemming van Opdrachtgever. Opdrachtgever kan de toestemming om derden in te schakelen aan nadere voorwaarden binden.
<indien> Opdrachtnemer verzekert in ieder geval dat de derde zich richt naar de instructies van Opdrachtgever, tot geheimhouding verplicht is en de nodige beveiligingsmaatregelen ten opzichte van de gegevensverwerking neemt. Alle relevante verplichtingen uit deze Bewerkersovereenkomst voor de bescherming en beveiliging van de Persoonsgegevens worden overgenomen in de overeenkomst met de derde.
3.6 Het is Opdrachtnemer niet toegestaan Persoonsgegevens aan anderen dan Opdrachtgever te verstrekken, tenzij op schriftelijk verzoek van Opdrachtgever, of met diens schriftelijke toestemming. Opdrachtnemer is verplicht schriftelijk te bevestigen dat een verstrekking heeft plaatsgevonden, waarbij hij exact de verstrekte Persoonsgegevens, de Betrokkene(n), de ontvanger(s) en het moment van verstrekking dient te beschrijven.
3.7 Indien Opdrachtnemer op grond van een wettelijke verplichting gegevens dient te verstrekken, verifieert Opdrachtnemer de grondslag van het verzoek en de identiteit van de verzoeker en informeert hij onmiddellijk, zo mogelijk voorafgaand aan de verstrekking, Opdrachtgever ter zake.
3.8 Opdrachtnemer verleent Opdrachtgever volledige medewerking om binnen de wettelijke termijnen te voldoen aan de verplichtingen op grond van de Wbp, meer in het bijzonder de rechten van Betrokkenen, zoals, maar niet beperkt tot, een verzoek om inzage, verbetering, aanvulling, verwijdering of afscherming van Persoonsgegevens en het uitvoeren van een gehonoreerd aangetekend verzet.
3.9 Indien Opdrachtnemer onrechtmatige Verwerkingen of inbreuken op de in artikel 8.1 genoemde beveiligingsmaatregelen signaleert, zal hij Opdrachtgever hierover onmiddellijk inlichten en alle redelijkerwijs benodigde maatregelen treffen om deze en verdere onrechtmatige Verwerkingen of inbreuken te beëindigen, te voorkomen of te beperken een en ander onverminderd de verplichting van Opdrachtnemer om de eventueel door Opdrachtgever daardoor geleden schade te vergoeden.
3.10 Opdrachtnemer informeert Opdrachtgever tijdig en adequaat over een Datalek. Hierna houdt Opdrachtnemer Opdrachtgever op de hoogte van nieuwe ontwikkelingen rond het Datalek, en van de maatregelen die Opdrachtnemer treft om de gevolgen van het Datalek te beperken en herhaling te voorkomen. Tevens verleent Opdrachtnemer Opdrachtgever volledige medewerking aan het voldoen aan de meldplicht van artikel 34a van de Wbp aan de Autoriteit Persoonsgegevens en de Betrokkenen. Afspraken over hoe Opdrachtnemer Opdrachtgever gaat informeren zijn opgenomen in Bijlage 3.
3.11 De eventuele met de in de artikelen 3.8 tot en met 3.10 gemoeide kosten komen voor rekening van degene die die kosten maakt.
3.12 Onverminderd het bepaalde in artikel 22 van de ARVODI-2016 en artikel 49, derde lid, van de Wbp, is Opdrachtnemer aansprakelijk voor een door de Autoriteit Persoonsgegevens opgelegde bestuurlijke boete dan wel door Xxxxxxxxxx(n) of Opdrachtgever geleden schade, voor zover die bestuurlijke boete respectievelijk die geleden schade het gevolg is van toerekenbaar tekortschieten in de nakoming van haar verplichtingen door Opdrachtnemer. De aansprakelijkheid aan de zijde van Opdrachtnemer is beperkt tot de schade die door de verzekering van Opdrachtnemer wordt gedekt, en tot het bedrag van de verzekerde som. Indien de schade niet door de verzekering van Opdrachtnemer wordt gedekt, is de aansprakelijkheid beperkt tot een bedrag van € 10.000 per jaar.
3.13 Opdrachtgever en Opdrachtnemer zorgen ervoor dat de Functionaris voor de gegevensbescherming naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van Persoonsgegevens.
Artikel 4 | Van toepassing zijnde Voorwaarden
Op deze Bewerkersovereenkomst zijn de bepalingen van de Overeenkomst van toepassing voor zover daarvan in deze Bewerkersovereenkomst niet wordt afgeweken.
Artikel 5 | Voortdurende verplichtingen
In aanvulling op artikel 32 van de ARVODI-2016 geldt dat na afloop van de Overeenkomst en de Bewerkersovereenkomst de lopende verplichtingen van Opdrachtnemer in stand blijven, zoals, doch niet beperkt tot overdracht, signalering van ongeautoriseerde Verwerkingen en geheimhouding, als ook nader bepaald in de artikelen 3.8, 3.9, 3.10 en 9.4.
Artikel 6 | Teruggave Persoonsgegevens
In aanvulling op artikel 14.4 van de ARVODI-2016 dienen na afloop van de Overeenkomst en de Bewerkersovereenkomst alle Persoonsgegevens, kopieën en bewerkingen daarvan, alsmede alle gegevensdragers waarop de Persoonsgegevens, kopieën of bewerkingen daarvan zijn of zullen worden vastgelegd, onmiddellijk op eerste verzoek van Opdrachtgever te worden geretourneerd c.q. verstrekt aan Opdrachtgever (of een door Opdrachtgever aan te wijzen derde), dan wel te worden vernietigd, een en ander naar keuze van Opdrachtgever.
Op het moment dat deze Bewerkersovereenkomst eindigt, zal Opdrachtnemer bovendien al zijn medewerking verlenen ter zake van de overdracht van de werkzaamheden inzake de Verwerking van de Persoonsgegevens aan Opdrachtgever of een opvolgende Opdrachtnemer en wel op zo een wijze dat vanaf het moment dat de overdracht plaatsvindt de continuïteit van de dienstverlening maximaal gewaarborgd blijft, althans niet door handelen of nalaten van Opdrachtnemer wordt belemmerd. De kosten gemoeid met deze inspanningen van Opdrachtnemer, komen voor rekening van Opdrachtgever voor zover deze kosten niet inbegrepen zijn in de overeengekomen prijzen en vergoedingen van Opdrachtnemer voortvloeiende uit de uitvoering van de Overeenkomst.
Artikel 7| Intellectuele eigendomsrechten
Onder verwijzing naar artikel 24 van de ARVODI-2016 blijven alle (intellectuele) eigendomsrechten – daaronder begrepen auteursrechten en databankenrechten – op de verzameling van Persoonsgegevens, kopieën of bewerkingen daarvan, te allen tijde berusten bij Opdrachtgever of haar licentiegever(s).
Artikel 8 | Beveiliging
8.1 In aanvulling op artikel 15 van de ARVODI-2016 zal Opdrachtnemer de technische en organisatorische beveiligingsmaatregelen implementeren zoals beschreven in Bijlage 2. Deze maatregelen zullen, met inachtneming van de stand der techniek en de kosten gemoeid met de implementatie en de uitvoering van de maatregelen, een passend beschermingsniveau verzekeren, zulks met inachtneming van de risico's die het Verwerken van de Persoonsgegevens, en de aard daarvan, meebrengen.
8.2 Opdrachtnemer rapporteert periodiek met een frequentie van […] maal per jaar, uiterlijk op [datum] aan Opdrachtgever over de door Opdrachtnemer genomen maatregelen aangaande de getroffen technische en organisatorische beveiligingsmaatregelen en eventuele aandachtspunten daarin.
<Indien> Daarnaast toont Opdrachtnemer aan dat hij voldoet aan normen op het gebied van informatiebeveiliging en/of het servicemanagementsysteem, zoals opgenomen in […], of gelijkwaardig. Opdrachtnemer kan aan de hand van geldige certificering of een gelijkwaardig bewijsmiddel aantonen dat hij hieraan voldoet.
8.3 De met de rapportage gemoeide kosten zijn voor rekening van Opdrachtgever.
8.4 Opdrachtnemer Verwerkt geen Persoonsgegevens buiten een lidstaat van de Europese Unie, tenzij hij daarvoor uitdrukkelijk schriftelijk toestemming heeft verkregen van Opdrachtgever.
Artikel 9 | Geheimhouding
9.1 Onder verwijzing naar artikel 13.1 van de ARVODI-2016 is Opdrachtnemer gehouden tot geheimhouding van alle Persoonsgegevens en informatie die zij als uitvloeisel van deze Bewerkersovereenkomst Verwerkt, behoudens in zoverre die Persoonsgegevens of informatie klaarblijkelijk geen geheim of vertrouwelijk karakter hebben, dan wel reeds algemeen bekend zijn.
9.2 Indien en voor zover Opdrachtgever daarom uitdrukkelijk schriftelijk verzoekt, zal Opdrachtnemer ten aanzien van de daarbij aangeduide Persoonsgegevens of informatie bijzondere maatregelen treffen met het oog op de geheimhouding daarvan, welke maatregelen onder meer kunnen inhouden de vernietiging van betrokken Persoonsgegevens of informatie zodra de noodzaak voor Opdrachtnemer om daarvan nog langer kennis te nemen, is komen te vervallen.
9.3 Onder verwijzing naar artikel 13.2 van de ARVODI-2016 zal Opdrachtnemer in haar overeenkomsten met het personeel van Opdrachtnemer bedingen dat door die personen op overeenkomstige wijze als in artikel 9.1 en 9.2 bepaald geheimhouding zal worden betracht ten aanzien van alle Persoonsgegevens en informatie die zij in het kader van hun werkzaamheden voor Opdrachtnemer Verwerken. Opdrachtnemer staat er jegens Opdrachtgever voor in dat de bedoelde bedingen door de betrokken personen zullen worden nageleefd.
9.4 Na afloop van de Overeenkomst en deze Bewerkersovereenkomst blijft dit artikel 9 en de hierin besproken geheimhouding van kracht.
Artikel 10 | Controle
10.1 Opdrachtgever controleert op elk door haar gewenst moment dan wel laat op elk door haar gewenst moment de Verwerkingen en de naleving van de overeengekomen technische en organisatorische beveiligingsmaatregelen van Opdrachtnemer controleren, dan wel die van door Opdrachtnemer ingeschakelde derden, en de naleving van de in bijlage 3 genoemde maatregelen, die nodig zijn om aan de meldplicht, bedoeld in artikel 34a van de Wbp, te voldoen. In ieder geval vinden de volgende controle(s) plaats:
- Opdrachtgever laat minimaal een maal per […] een audit uitvoeren door een onafhankelijke partij;
<EN/OF>
- Opdrachtnemer verstrekt met een frequentie van […] maal per jaar, uiterlijk op [datum] aan Opdrachtgever een verklaring van een onafhankelijke externe deskundige, waarin deze een oordeel geeft over de genoemde naleving.
10.2 Opdrachtnemer zal alle redelijkerwijs benodigde medewerking verlenen aan de controle en er voor zorg dragen ook de door hem ingeschakelde derden hiertoe de redelijkerwijs benodigde medewerking zullen verlenen.
10.3 Het uitvoeren van een controle zal niet tot een vertraging van de door Opdrachtnemer in het kader van de Overeenkomst en deze Bewerkersovereenkomst te verrichten werkzaamheden mogen leiden. Indien dat onverhoopt toch het geval is, zullen Partijen in overleg treden teneinde daarvoor zo snel mogelijk een oplossing te vinden.
10.4 De met de controle gemoeide kosten zijn voor rekening van Opdrachtgever tenzij uit de controle blijkt dat Opdrachtnemer is tekortgeschoten in de nakoming van zijn verplichting(en) uit deze Bewerkersovereenkomst en/of de Overeenkomst.
10.5 Opdrachtnemer voert de door Opdrachtgever aangegeven aanbevelingen ter verbetering uit binnen de daartoe door Opdrachtgever te bepalen termijn.
Artikel 11 | Slotbepalingen
11.1 Afwijkingen van deze Bewerkersovereenkomst zijn slechts bindend voor zover zij uitdrukkelijk tussen Partijen schriftelijk zijn overeengekomen.
11.2 Algemene leveringsvoorwaarden dan wel andere algemene of bijzondere voorwaarden van Opdrachtnemer zijn niet van toepassing op deze Bewerkersovereenkomst en worden door Opdrachtgever uitdrukkelijk van de hand gewezen.
11.3 Deze Bewerkersovereenkomst vormt een aanvulling op de Overeenkomst. Bij strijdigheid tussen bepalingen uit deze Bewerkersovereenkomst en de Overeenkomst prevaleren de bepalingen uit deze Bewerkersovereenkomst.
ALDUS VASTGESTELD DOOR PARTIJEN EN IN TWEEVOUD ONDERTEKEND TE DEN HAAG.
Namens Opdrachtnemer, <OF> waarde opdracht < €100k xx. X. Xxxxxxxx Hoofd Relatiemangement <OF> waarde opdracht €100k - €1miljoen xxx. X. Xxxxxxx Directeur Advies <OF> waarde opdracht € 1miljoen < xx. xxx. X. Xxxxxx Algemeen directeur | Namens Opdrachtgever, [VOORLETTERS + ACHTERNAAM] [FUNCTIE] |
Den Haag Datum: | Den Haag Datum: |
[Bijlage(n): …]
Bijlage 1. De Verwerking van Persoonsgegevens (artikel 3.1)
[Nader in te vullen. In deze bijlage moet in ieder geval het volgende nader worden gespecificeerd:
⮚ de activiteiten in het kader waarvan Persoonsgegevens worden Verwerkt, eventueel onder verwijzing naar de Overeenkomst;
⮚ welke Verwerkingen plaatsvinden, betrek daarbij in voorkomend geval onder andere het transporteren van gegevens en het maken van een back-up, door Opdrachtnemer;
⮚ naam van de Verwerking(en);
⮚ het doel of de doeleinden van de Verwerking(en);
⮚ om welke Persoonsgegevens van welke Xxxxxxxxxxx het gaat.
Voor de inhoud van deze bijlage kan gebruik worden gemaakt van hetgeen op het meldingsformulier van de Functionaris voor de gegevensbescherming is ingevuld en vice versa.
Bijlage 2. Passende technische en organisatorische maatregelen (artikel 8.1)
[Nader in te vullen. In deze bijlage moeten de normen en maatregelen die Opdrachtgever op moet leggen in het kader van de beveiliging van een bepaalde Verwerking nader worden gespecificeerd.
Let bij het bepalen hiervan op het toepasselijke beveiligingsbeleid. De maatregelen worden bepaald op basis van de risicoanalyse van de Opdrachtgever.
Zie voor meer informatie de Cbp richtsnoeren ‘beveiliging van persoonsgegevens’: xxxxx://xxxxxxxxxxxxxxxxxxxxxxxxxx.xx/xxxxx/xxxxxxx/xxxxx/xxxxxxxxx/xx/xx_0000_xxxxxxxxxxxx-xxxxxxxxxxx- persoonsgegevens.pdf
Neem bij vragen contact op met de Functionaris voor de gegevensbescherming en/of de beveiligingsambtenaar van het departement.]
Bijlage 3: Maatregelen in verband met de meldplicht datalekken (artikel 3.9)
[Nader in te vullen. In deze bijlage moeten de afspraken over hoe Opdrachtnemer Opdrachtgever gaat informeren nader worden gespecificeerd.
De afspraken betreffen het informeren over inbreuken op de beveiliging die leiden tot de aanzienlijke kans op ernstige nadelige gevolgen dan wel ernstige nadelige gevolgen hebben voor de bescherming van Persoonsgegevens (datalekken) in de zin van artikel 34a van de Wbp, en beveiligingsincidenten die datalekken als hier bedoeld zouden kunnen zijn. Ook kunnen afspraken worden gemaakt over de wijze waarop en termijn waarbinnen Opdrachtnemer Opdrachtgever op de hoogte houdt van nieuwe ontwikkelingen rond het incident, en van de maatregelen die Opdrachtnemer treft om de gevolgen van het incident te beperken en herhaling te voorkomen.
Zie voor meer informatie de Cbp richtsnoeren ‘de meldplicht datalekken in de Wet bescherming persoonsgegevens’
Let bij het bepalen hiervan op het toepasselijke beleid of eventuele toepasselijke procedures, en neem bij vragen contact op met de Functionaris voor de gegevensbescherming.]