GEGEVENSVERWERKERSOVEREENKOMST BASECONE
GEGEVENSVERWERKERSOVEREENKOMST BASECONE
(Basecone als Verwerker)
Ondergetekenden:
Basecone N.V., een vennootschap opgericht naar het recht van Nederland statutair gevestigd te (3742 LB) Baarn aan de Eemweg 8 en ingeschreven in het handelsregister van de Kamer van Koophandel onder nummer 55299245 (hierna te noemen: “Verwerker”),
en
naam verantwoordeliijke
een rechtspersoon opgericht naar het recht van
land
, statutair gevestigd te
postcode plaats
aan de
adres en huisnummer
en ingeschreven in het handelsregister van de Kamer van Koophan-
del onder nummer
nummer KvK
( hierna te noemen: “Verantwoordelijke”),
hierna gezamenlijk te noemen: “Partijen” en elk afzonderlijk: een “Partij”, verklaren te zijn overeengekomen als volgt:
OVERWEGENDE DAT
Partijen zijn overeengekomen dat Verantwoordelijke gebruikt maak van Verwerker als software leverancier voor de boekhoudsoftware. Verwerker verwerkt persoonsgegevens van de Verantwoordelijke in het kader van de uitvoering van de overeenkomst.
Teneinde Partijen in staat te stellen uitvoering te geven aan hun relatie op een manier die in overeenstemming is met de wet, zijn Partijen deze Gegevensverwerkingsovereenkomst (“DPA”) aangegaan, als volgt:
In het kader van deze DPA betekent:
“Toepasselijke Gegevensbeschermingswet”
“Verantwoordelijke”
“Algemene Verordening Gegevensbescherming” of “AVG”
“Internationale Organisatie”
: de wetgeving die bescherming biedt voor de fundamentele rechten en vrijheden van personen en met name hun recht op privacy met betrekking tot de Verwerking van Per- soonsgegevens, welke wetgeving van toepassing is op Verantwoordelijke en Verwerker; de term Toepasselijke Gegevensbeschermingswet omvat tevens de AVG zodra deze in werking treedt op 25 mei 2018;
: Bovenstaand benoemde klant van Basecone die, als natuurlijke of rechtspersoon, alleen of samen met anderen, het doel van en de middelen voor de Verwerking van Persoonsge- gevens vaststelt;
: de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
op 25 mei 2018;
: een organisatie en de daaronder vallende internationaalpubliekrechtelijke organen of andere organen die zijn opgericht bij of op grond van een overeenkomst tussen twee of meer landen;
7.4B Model Gegevensverwerkersovereenkomst (Basecone als Verwerker) 18 augustus 2017
“Lidstaat” “Persoonsgegevens”
“Betrokkene”
: een land dat tot de Europese Unie behoort;
(Betrokkene);
-
fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;
“Inbreuk in verband met Persoonsgegevens”
“Verwerken/Verwerking”
“Verwerker”
“Overeenkomst tussen klant en Basecone bij het aangaan van Abonnement”
“Diensten”
“Bijzondere Categorieën Gegevens”
: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de ver- nietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins Verwerkte gegevens;
: een bewerking of een geheel van bewerkingen met betrekking tot Persoonsgegevens of een geheel van Persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;
: Basecone N.V. die ten behoeve van Verantwoordelijke Persoonsgegevens verwerkt;
: de hoofdovereenkomst die is gesloten tussen Verantwoordelijke en Verwerker en waarin de voorwaarden voor het verlenen van de Diensten zijn uiteengezet;
: de diensten verleend door Verwerker aan Verantwoordelijke en beschreven onder ‘onderwerp van de verwerking’ in Bijlage 1 bij deze DPA;
: gegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbe- schouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken; genetische gege-
van een natuurlijke persoon; gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid;
“Subverwerker”
: een gegevensverwerker die door Verwerker wordt ingeschakeld en die zich bereid verklaart Persoonsgegevens van Verwerker te ontvangen die uitsluitend zijn bedoeld voor Verwerkingsactiviteiten die moeten worden uitgevoerd ten behoeve van Verantwoordelijke in overeenstemming met diens instructies, de voorwaarden van deze DPA en de voorwaar- den van een schriftelijke subverwerkingsovereenkomst;
7.4B Model Gegevensverwerkersovereenkomst (Basecone als Verwerker) 18 augustus 2017
“Toezichthoudende Autoriteit”
“Technische en Organisatorische Beveiligingsmaatregelen”
“Derde Land”
: een door een Lidstaat ingevolge artikel 51 AVG ingestelde onafhankelijke overheidsinstan- tie; en;
: de maatregelen gericht op de bescherming van Persoonsgegevens tegen onopzettelijke vernietiging of onopzettelijk(e) verlies, wijziging, onbevoegde bekendmaking of toegang, met name waar de Verwerking de doorzending van gegevens via een netwerk behelst, en tegen alle andere onrechtmatige vormen van Verwerking.
: een land met betrekking waartoe de Europese Commissie niet heeft beslist dat dat land,
beschermingsniveau garandeert.
2. Details van de Verwerking
De details van de Verwerkingsactiviteiten die door Verwerker ten behoeve van Verantwoordelijke worden verricht als gegevens- verwerker die daartoe opdracht heeft gekregen (zoals het onderwerp van de verwerking, de aard en het doel van de verwer- king, het soort persoonsgegevens en categorieën van betrokkenen) zijn vermeld in Bijlage 1 bij deze DPA.
3. Rechten en verplichtingen van Verantwoordelijke
Verantwoordelijke blijft de verantwoordelijke gegevensverantwoordelijke voor de Verwerking van de Persoonsgegevens conform de instructies aan Verwerker op grond van de [Overeenkomst van Dienstverlening], deze DPA en eventuele andere instructies. Verantwoordelijke heeft Xxxxxxxxx opdracht gegeven, en zal Verwerker gedurende de looptijd van de gegevensver- werking waartoe opdracht is gegeven opdracht blijven geven, de Persoonsgegevens uitsluitend te verwerken ten behoeve van Verantwoordelijke en in overeenstemming met de Toepasselijke Gegevensbeschermingswet, de overeenkomst tussen klant en Basecone bij het aangaan van Abonnement, deze DPA en instructies van Verantwoordelijke. Verantwoordelijke is gerechtigd en verplicht om Verwerker instructies te geven in verband met de Verwerking van de Persoonsgegevens, zowel in het algemeen als
-
heden een andere (bijvoorbeeld mondelinge of elektronische) vorm vereisen. Niet-schriftelijke instructies moeten onverwijld
door Verantwoordelijke schriftelijk worden bevestigd. Voor zover de uitvoering van een instructie leidt tot kosten voor Verwer- ker zal Verwerker Verantwoordelijke eerst in kennis stellen van die kosten. Pas nadat Verantwoordelijke heeft bevestigd dat de kosten voor de uitvoering van een instructie voor zijn rekening komen, zal Verwerker die instructie uitvoeren.
4. Verplichtingen Verwerker
Verwerker zal:
(a) de Persoonsgegevens uitsluitend verwerken conform de instructies van Verantwoordelijke en ten behoeve van Verantwoordelijke; die instructies worden gegeven in de overeenkomst tussen klant en Basecone bij het aangaan van Abonnement deze DPA en anderszins in gedocumenteerde vorm zoals genoemd in artikel 3 hiervoor. Die verplichting om de instructies van Verantwoordelijke op te volgen geldt ook voor de doorgifte van de Persoonsgegevens aan een Derde Land of een Internationale Organisatie;
(b) Verantwoordelijke onmiddellijk informeren indien Verwerker een instructie van Verantwoordelijke om enigerlei reden niet kan naleven;
(c) ervoor zorgen dat personen die door Verwerker gemachtigd zijn om de Persoonsgegevens ten behoeve van Verantwoordelijke te Verwerken toezeggen geheimhouding te zullen betrachten of dat op die personen een passende geheimhoudingsplicht rust en dat de personen die toegang hebben tot de Persoonsgegevens die Persoonsgegevens zullen Verwerken conform de instructies van Verantwoordelijke;
7.4B Model Gegevensverwerkersovereenkomst (Basecone als Verwerker) 18 augustus 2017
(d) de Technische en Organisatorische Beveiligingsmaatregelen doorvoeren die voldoen aan de vereisten van de
te Verwerken en ervoor zorgen dat hij Verantwoordelijke voldoende garanties biedt voor wat betreft die Technische en Organisatorische Beveiligingsmaatregelen;
(e) Verantwoordelijke assisteren door middel van passende Technische en Organisatorische Maatregelen, voor zover haalbaar, voor de nakoming van de verplichting van Verantwoordelijke om in te gaan op verzoeken voor
beperking van verwerking, kennisgeving, gegevensportabiliteit, bezwaar en geautomatiseerde besluitvorming; voor zover die haalbare Technische en Organisatorische Maatregelen veranderingen of wijzigingen in de
Verantwoordelijke informeren over de kosten van doorvoering van die aanvullende of gewijzigde Technische en Organisatorische Maatregelen. Zodra Verantwoordelijke heeft bevestigd dat die kosten voor zijn rekening komen, zal Verwerker die aanvullende of gewijzigde Technische en Organisatorische Maatregelen doorvoeren om Verantwoordelijke te assisteren bij het ingaan op verzoeken van betrokkenen;
(f) alle informatie aan Verantwoordelijke beschikbaar stellen die nodig is om aan te tonen dat de in deze DPA en
woordelijke of een andere controleur die daartoe is gemandateerd door Verantwoordelijke, mogelijk maken
en daaraan bijdragen. Verantwoordelijke is zich ervan bewust dat controles in persoon en op locatie de bedrijfs activiteiten van Verwerker aanzienlijk kunnen verstoren en veel geld en tijd kunnen kosten. Derhalve mag Verantwoordelijke een controle in persoon en op locatie uitsluitend uitvoeren indien Verantwoordelijke de (on)kosten die door Verwerker zijn gemaakt als gevolg van de verstoring van de bedrijfsactiviteiten aan Verwerker vergoedt;
(g) Verantwoordelijke zonder onnodige vertraging in kennis stellen:
(i) van enig juridisch bindend verzoek om verstrekking van de Persoonsgegevens door een wethandhavingsinstantie, tenzij deze kennisgeving anderszins is verboden, zoals een strafrechtelijk verbod dat ten doel heeft de vertrouwelijkheid van een wetshandhavingsonderzoek te bewaren;
(ii) van klachten en verzoeken die direct van Xxxxxxxxxxx zijn ontvangen (bijvoorbeeld klachten en
tegen verwerking van gegevens, geautomatiseerde besluitvorming) zonder op dat verzoek in te gaan, tenzij hij daartoe anderszins is gemachtigd;
(iii) indien Verwerker op grond van EU-wetgeving of de wetgeving van een Lidstaat die op Verwerker van toepassing is verplicht is de Persoonsgegevens te verwerken en buiten het kader van de opdracht van Verantwoordelijke, alvorens die verwerking uit te voeren buiten dat kader, tenzij die EU-wetgeving of wetgeving van die Lidstaat die informatie verbiedt om gewichtige redenen van algemeen belang; die kennisgeving moet de wettelijke vereiste uit hoofde van die EU-wetgeving of de wetgeving van de Lidstaat vermelden;
(iv) indien, naar de mening van Xxxxxxxxx, een instructie in strijd is met de Toepasselijke Gegevensbeschermingswet; bij het verstrekken van die kennisgeving is Verwerker niet verplicht de instructie op te volgen, tenzij en totdat Verantwoordelijke deze heeft bevestigd of gewijzigd; en
7.4B Model Gegevensverwerkersovereenkomst (Basecone als Verwerker) 18 augustus 2017
(v) zodra Verwerker zich bewust wordt van een Inbreuk in verband met Persoonsgegevens bij Verwerker
Verantwoordelijke, op schriftelijk verzoek van Verantwoordelijke, assisteren bij de verplichting van Verantwoordelijke uit hoofde van Toepasselijke Gegevensbeschermingswet om de betrokkenen respectievelijk de Toezichthoudende Autoriteiten te informeren, en om de Inbreuk in verband met Persoonsgegevens te documenteren. Contactgegevens met betrekking tot de melding worden vastgelegd in het klantenservice systeem. Contactpersonen liggen vast in de bijlage bij deze overeenkomst;
35 AVG die betrekking heeft op de door Verwerker aan Verantwoordelijke verleende Diensten en de Persoonsgegevens die door Verwerker ten behoeve van Verantwoordelijke worden verwerkt;
(i) alle vragen van Verantwoordelijke met betrekking tot zijn Verwerking van de te verwerken Persoonsgegevens behandelen (bijvoorbeeld door Verantwoordelijke in staat te stellen tijdig te reageren op klachten of verzoeken
Verwerking van de doorgegeven gegevens;
(j) voor zover Verwerker verplicht en gevraagd is Persoonsgegevens die op grond van deze DPA zijn verwerkt te
kunnen worden gewist op grond van wettelijke vereisten in verband met gegevensbewaring, dient Verwerker,
van Persoonsgegevens te beperken, of de bijbehorende identiteit uit de Persoonsgegevens te verwijderen
bewaartermijn eindigt, te wissen.
6. Subverwerking
(a) Verantwoordelijke geeft toestemming voor het gebruik van Subverwerker(s) die door Verwerker worden ingeschakeld voor het verlenen van de Diensten. Verantwoordelijke verleent zijn goedkeuring voor de
.
(b) In het geval dat Verwerker voornemens is nieuwe of meer Subverwerkers in te schakelen, zorgt Verwerker ervoor dat geupdate wordt. Verantwoordelijke zorgt voor periodieke raadpleging van . Indien Verantwoordelijke redelijke grond heeft om bezwaar te maken tegen het gebruik van nieuwe of meer Subverwerkers, dient Verantwoordelijke Verwerker daarvan onmiddellijk
dat Verantwoordelijke bezwaar maakt tegen een nieuwe of andere Subverwerker, en dat bewaar niet onredelijk is, zal Verwerker redelijke inspanningen verrichten om wijzigingen in de Diensten beschikbaar te
Verantwoordelijke of het gebruik door Verantwoordelijke van de Diensten ter voorkoming van Verwerking van Persoonsgegevens door de nieuwe of andere Subverwerker waartegen bezwaar is gemaakt, zonder Verantwoordelijke daarbij onredelijk te belasten. Indien Verwerker die wijziging niet binnen een redelijke termijn beschikbaar kan stellen, welke termijn niet meer zal bedragen dan zestig (60) dagen, mag Verant
betrekking tot die Diensten die niet door Verwerker kunnen worden verleend zonder het gebruik van de nieuwe of andere Subverwerker waartegen bezwaar is gemaakt door middel van schriftelijke kennisgeving aan Verwerker.
7.4B Model Gegevensverwerkersovereenkomst (Basecone als Verwerker) 18 augustus 2017
(c) Verwerker legt dezelfde gegevensbeschermingsverplichting als genoemd in deze DPA contractueel op aan alle Subverwerkers. De overeenkomst tussen Verwerker en Subverwerker biedt met name voldoende garanties voor doorvoering van de Technische en Organisatorische Beveiligingsmaatregelen zoals genoemd in
de Subverwerker verleende diensten.
(d) Verwerker kiest de Subverwerker met de nodige zorg.
Verantwoordelijke, een EU-modelcontract (Verantwoordelijke > Verwerker) aangaan ten behoeve van
machtigt Verantwoordelijke Verwerker om Subverwerkers instructies te geven uit naam van Verantwoordelijke en om gebruik te maken van alle rechten van Verantwoordelijke jegens de Subverwerkers op basis van het
EU-modelcontract.
(f) Verwerker blijft aansprakelijk jegens Verantwoordelijke voor nakoming van de verplichtingen van Subverwerker, in het geval dat Subverwerker zijn verplichtingen niet nakomt. Verwerker is echter niet aansprakelijk voor schade en vorderingen voortvloeiend uit instructies van Verantwoordelijke aan Subverwerkers.
7. Beperking aansprakelijkheid
Alle aansprakelijkheid voortvloeiend uit of verband houdend met deze DPA volgt, en wordt uitsluitend beheerst door, de aanspra- kelijkheidsbepalingen uiteengezet in, of anderszins van toepassing op, de [Overeenkomst van Dienstverlening]. Derhalve, en ter
-
de [Overeenkomst van Dienstverlening].
8. Duur en beëindiging
in deze overeenkomst anders is bepaald zijn rechten en verplichtingen op het gebied van beëindiging dezelfde
(b) Verwerker dient, naar keuze van Verantwoordelijke, alle Persoonsgegevens na het einde van de verlening van de Diensten te wissen of aan Verantwoordelijke te retourneren, en alle bestaande kopieën te wissen tenzij Verwerker op grond van EU-wetgeving of wetgeving van een Lidstaat verplicht is die Persoonsgegevens te bewaren.
9. Overige
(a) In het geval van strijdigheid tussen het bepaalde in deze DPA en enige andere overeenkomsten tussen Partijen, prevaleert het bepaalde in deze DPA met betrekking tot de gegevensbeschermingsverplichtingen van Partijen. In geval van twijfel over de vraag of clausules in die andere overeenkomsten betrekking hebben op de gegevensbeschermingsverplichtingen van Partijen prevaleert deze DPA.
(b) Ongeldigheid of onafdwingbaarheid van enige bepaling in deze DPA heeft geen gevolgen voor de geldigheid of afdwingbaarheid van de overige bepalingen van deze DPA. De ongeldige of onafdwingbare bepaling wordt (i) zo gewijzigd dat de geldigheid of afdwingbaarheid ervan wordt gegarandeerd en tegelijkertijd de intenties van Partijen zo veel mogelijk bewaard blijven of – indien dit niet mogelijk is – (ii) zo uitgelegd alsof het ongeldige
of onafdwingbare gedeelte daarin nooit was opgenomen. Het vorenstaande is ook van toepassing indien deze DPA een omissie bevat.
7.4B Model Gegevensverwerkersovereenkomst (Basecone als Verwerker) 18 augustus 2017
(c) Deze DPA wordt beheerst door dezelfde wetgeving als de overeenkomst tussen klant en Basecone bij het aangaan van Abonnement behalve voor zover dwingend Toepasselijke Gegevensbeschermingswet van toepassing is.
Ten behoeve van Verantwoordelijke:
(Volledige) Naam:
Functie:
Adres:
Datum: Handtekening:
Namens Verwerker:
(Volledige) Naam:
Xxxx Xxxxxxxx
Functie: Managing Director
Datum:
Handtekening:
.
7.4B Model Gegevensverwerkersovereenkomst (Basecone als Verwerker) 18 augustus 2017
Bijlage 1 – Categorieën Betrokkenen
• Bedrijven
Onderwerp van de verwerking
Gebruik van factuurverwerkingssoftware
Aard en doel van de verwerking
Verwerker verzamelt, verwerkt en gebruikt de Persoonsgegevens van de Betrokkenen ten behoeve van Verantwoordelijke tenein- de uitvoering van de overeenkomst.
Soort persoonsgegevens
Abonnementsgegevens:
• het gewenste abonnement;
• gebruikersnaam;
Uw gegevens:
• geslacht;
• voor- en achternaam;
• telefoonnummer;
• e-mailadres;
• naam en plaats accountant;
Uw bedrijfsgegevens:
• rechtsvorm;
• bedrijfsnaam;
• factuuradres;
• postcode en plaats;
• e-mailadres;
Betaalgegevens:
• IBAN en tenaamstelling.
Contactpersonen in geval van beveiligingsinbreuk
Verantwoordelijke:
7.4B Model Gegevensverwerkersovereenkomst (Basecone als Verwerker) 18 augustus 2017
Verwerker:
Bijlage 2 – Blad Beveiligingsmaatregelen
Beschrijving van de Technische en Organisatorische Beveiligingsmaatregelen die door Verwerker zijn doorgevoerd in overeenstemming met Toepasselijke Gegevensbeschermingswet:
In deze Bijlage worden de Technische en Organisatorische Beveiligingsmaatregelen en procedures beschreven die Verwerker ten minste moet aanhouden ter bescherming van de veiligheid van persoonsgegevens die zijn gecreëerd, verzameld, ontvangen, of anderszins verkregen.
Algemeen: Technische en organisatorische maatregelen kunnen worden beschouwd als de stand der techniek op het moment van sluiten van de Overeenkomst van Dienstverlening. Verwerker zal technische en organisatorische maatregelen na verloop van tijd evalueren, daarbij rekening houdend met kosten voor doorvoering, aard, omvang, context en doelstellingen van verwerking, en het risico van verschillen in de mate van waarschijnlijkheid en ernst voor de rechten en vrijheden van natuurlijke personen.
Gedetailleerde technische maatregelen
wachtwoord-policy:
• Wachtwoorden worden versleuteld opgeslagen in onze database;
• Alle Basecone-werknemers zijn geïnformeerd over en beducht op “Social Engineering”;
• Inlog-gegevens worden geblokkeerd wanneer er drie keer foutief wordt ingelogd.
- Fysieke toegangsbeveiliging (tot het Basecone-kantoor) op basis van een combinatie van een elektronische sleutel en een versleuteling van de kantoorruimtes.
- Beveiligde netwerkverbindingen, gebruikmakend van Secure Socket Layer (SSL).
• Beschikbaarheid wordt iedere minuut vanaf drie plaatsen ter wereld gemeten. Resultaten worden gelogd op
;
Engineers en Developers, waarbij per machine en per service gemeten kan worden of deze beschikbaar zijn en of zij de prestaties leveren die nodig zijn om te voldoen aan de overeengekomen Service Levels. Alerts vinden plaats via SMS en via e-mail.
- Basecone werkt in de cloud. Dit betekent dat haar Virtuele Servers beschikbaar zijn in het Data Center van Amazon Web Services (AWS) in Frankfurt. Hier staan onze systemen dubbel uitgevoerd in zogenaamde “Availability Zones”
- Basecone maakt gebruik van de zogenaamde “Elastic Load Balancer” van AWS, waardoor op basis van de vraag via
bepaald kan worden welke diensten aangesproken moeten worden. Hierdoor wordt direct
Cyphers en Options.
ervoor zorgen dat verzoeken op een goede manier ons netwerk binnenkomen.
7.4B Model Gegevensverwerkersovereenkomst (Basecone als Verwerker) 18 augustus 2017
Logbestanden
- De logs bestaan uit de volgende onderdelen:
- Inkomende mail: alle mails die geïmporteerd zijn;
- WebPortal: alle handelingen die de gebruiker uitvoert en alle fouten die daaruit voortkomen;
- API: alle handelingen die de gebruiker uitvoert en alle fouten die daaruit voortkomen.
- De volgende persoonsgegevens zijn aanwezig in de logs:
• Username
• User ID
• IP-adres
Met deze gegevens is het mogelijk om erachter te komen wie deze gebruiker is en wat deze persoon gedaan heeft.
voor onbepaalde tijd. In deze log is dus te allen tijde na te gaan welke acties zijn gedaan op documenten, acties zoals aanleveren, verwijderen, splitsen, samenvoegen, boeken etc. Acties die betrekking hebben op gebruikers zoals naam wijzigingen, toegang verlenen worden niet in deze log opgeslagen.
Deze log-data wordt op de productie-servers opgeslagen in een centrale log-database. Dit is een andere database dan de klant-da- tabase. Om te weten te komen om welke gebruiker het gaat, is toestemming tot beide databases nodig.
.
7.4B Model Gegevensverwerkersovereenkomst (Basecone als Verwerker) 18 augustus 2017