hierna te noemen: 'Verwerkingsverantwoordelijke';

en

Webbureau IFRA, gevestigd te Nederland, Elst Gld aan Fortuna 22, 6661 JH, rechtsgeldig vertegenwoordigd door Frans Pronk en/of Ita Verduijn e/v Pronk, beide eigenaar en webdesigner, hierna te noemen: 'Verwerker';

hierna gezamenlijk aan te duiden als: 'Partijen'.

overwegende dat:

1. Verwerkingsverantwoordelijke de Verwerker opdracht heeft gegeven tot het leveren van een product of dienst, waarvan de Verwerking van Persoonsgegevens van Betrokkenen deel uit maakt;

2. Partijen het volgende overeenkomen voor bestaande en toekomstige Overeenkomsten waarvan Verwerking van Persoonsgegevens onderdeel is;

verklaren en komen als volgt overeen:

Artikel 2. Duur, looptijd en beëindiging

1. Deze Verwerkersovereenkomst komt tot stand op de datum van ondertekening en is vanaf dat moment van toepassing op alle Overeenkomsten tussen Partijen.

2. Deze Verwerkersovereenkomst eindigt van rechtswege op het moment dat de Overeenkomst tussen Partijen is beëindigd of het faillissement van een van de Partijen wordt uitgesproken.

3. In geval van beëindiging van de Overeenkomst, zullen Partijen in overleg treden omtrent de overdracht van de Persoonsgegevens aan Verwerkingsverantwoordelijke.

Artikel 3. Verplichtingen Verwerkingsverantwoordelijke

1. Verwerkingsverantwoordelijke is verantwoordelijk voor het melden van de Verwerking bij de Autoriteit Persoonsgegevens.

2. Verwerkersverantwoordelijke staat er jegens Verwerker voor in dat de Verwerking en de inhoud, het gebruik en/of de Persoonsgegevens niet onrechtmatig zijn en geen inbreuk maken op enig recht van een derde.

3. Verwerkingsverantwoordelijke is te allen tijde verantwoordelijk voor het (technisch) up-do-date zijn van zijn website(s), webshop(s) en andere webapplicaties die al dan niet in opdracht van Verwerkingsverantwoordelijke door Verwerker zijn geïnstalleerd.

4. Indien de Verwerkingsverantwoordelijke weet en/of vermoedt dat er sprake is van een inbreuk in verband met persoonsgegevens, dient deze met bekwame spoed – doch uiterlijk binnen 24 uren na de ontdekking – de Verwerker te informeren. Verwerkingsverantwoordelijke zal deze mededeling voorzien van de volgende informatie:

a. De klant- en contactgegevens van de Verwerkingsverantwoordelijke;

b. De contactgegevens van de perso(o)n(en) die de ontdekking hebben gedaan;

c. Het tijdstip van het ontdekken;

d. De locatie van het ontdekken;

e. De URL en/of browser en/of gegevensdrager en/of (technische) hulpmiddelen die werden gebruikt tijdens het doen van de ontdekking;

f. De handelingen die Verwerker moet doen om eenzelfde ontdekking te kunnen realiseren (steps to reproduce);

g. De mogelijke duur van de inbreuk (begin- en einddatum);

h. De aard en waarschijnlijke gevolgen van de inbreuk;

i. De categorieën van betrokken persoonsgegevens;

• Gevoeligheidsgraad 1: Bijzondere persoonsgegevens en/of gevoelige persoonsgegevens die in onderlinge samenhang en/of in grotere hoeveelheden risico’s voor de betrokkene kunnen opleveren.
• Gevoeligheidsgraad 2: Gevoelige persoonsgegevens en/of gewone persoonsgegevens die in onderlinge samenhang en/of in grotere hoeveelheden risico’s voor de betrokkene kunnen opleveren.
• Gevoeligheidsgraad 3: Persoonsgegevens die niet te kwalificeren zijn als bijzondere en/of gevoelige persoonsgegevens.

j. Het betreffende persoonsgegevensregister en het – bij benadering – aantal betrokken persoonsgegevens en persoonsgegevensregisters;

k. De maatregelen die zijn getroffen naar aanleiding van de inbreuk;

l. De naar aanleiding van de inbreuk voorgenomen maatregelen en de termijn waarbinnen deze worden verwerkt;

m. De gegevens van een contactpersoon en/of functionaris gegevensbescherming die Verwerker kan contacteren

Artikel 4. Verplichtingen Verwerker

1. Verwerker verwerkt de Persoonsgegevens slechts in opdracht van de Verwerkingsverantwoordelijke en zal alle redelijke instructies van Verwerkingsverantwoordelijke dienaangaande opvolgen.

2. Verwerkingsverantwoordelijke geeft Verwerker toestemming om in het kader van de uitvoering van de Overeenkomst en deze Verwerkersovereenkomst derde(n) in te schakelen voor de Verwerking.

3. Verwerker zal technische en organisatorische maatregelen nemen met betrekking tot de te verrichten Verwerkingen van Persoonsgegevens om verlies of onrechtmatige Verwerking (zoals onbevoegde kennisname, aantasting, wijziging of verstrekking van de gegevens) te voorkomen.

• a. Beschrijving verwerkingsactiviteiten door Verwerker: 
Verwerker verbindt zich onder de voorwaarden van deze Verwerkersovereenkomst in opdracht van Verwerkingsverantwoordelijke persoonsgegevens te verwerken. 



  Verwerker biedt tegen vergoeding hostingruimte aan waar de website(s) met alle mogelijke functionele toepassingen (zoals, maar niet uitsluitend, contactformulieren en retail-mogelijkheden) en/of e-mail account(s) van Verwerkingsverantwoordelijke opgeslagen kunnen worden en op te benaderen zijn. Tevens worden regelmatig back-ups van de website(s) gemaakt en opgeslagen zodat bij calamiteiten een recente versie van de website teruggezet kan worden.

  

Indien Verwerkingsverantwoordelijke aan Verwerker opdracht heeft gegeven het ontwerp van de website(s) te realiseren en/of te actualiseren, kan Verwerker in dat kader gegevens van betrokkenen (moeten) verwerken.

• b. Verwerkingsverantwoordelijke laat o.a. door middel van het gebruik van de hostingfaciliteiten van Verwerker persoonsgegevens verwerken door Verwerker waarbij de Verwerkingsverantwoordelijke het doel en de middelen aanwijst. Verwerker is louter verantwoordelijk voor de verwerking van de persoonsgegevens onder deze Verwerkersovereenkomst, overeenkomstig de instructies van Verwerkingsverantwoordelijke en onder de uitdrukkelijke (eind)verantwoordelijkheid van Verwerkingsverantwoordelijke.

• c. Verwerkingsdoelen: 

  Verwerker heeft geen zeggenschap over het doel en de middelen voor verwerking van persoonsgegevens. Verwerker neemt geen zelfstandige beslissingen over de ontvangst en het gebruik van de persoonsgegevens, de verstrekking aan derden en de duur van de opslag van persoonsgegevens.

Voor alle overige verwerkingen van persoonsgegevens, waaronder in ieder geval begrepen maar niet beperkt tot de verzameling van de persoonsgegevens door de Verwerkingsverantwoordelijke, verwerkingen voor doeleinden die niet door Verwerkingsverantwoordelijke aan Verwerker zijn gemeld, verwerkingen door derden en/of andere doeleinden, is Verwerker niet verantwoordelijk. De verantwoordelijkheid voor deze verwerkingen rust uitsluitend bij Verwerkingsverantwoordelijke.

• d. Verwerker: 
Verwerker verplicht zich jegens Verwerkingsverantwoordelijke nimmer handelingen met betrekking tot de persoonsgegevens van de betrokkenen te verrichten, die resulteren en/of kunnen resulteren in een wettelijke kwalificatie van Verwerker als Verwerkingsverantwoordelijke.

• e. Sub verwerkers: 
Verwerkingsverantwoordelijke verleent Verwerker hierbij toestemming om bij de verwerking derden (subverwerkers) in te schakelen, met inachtneming van de toepasselijke privacywetgeving.

• f. Verwerkte Persoonsgegevens: 

  Verwerker zal in opdracht van Verwerkingsverantwoordelijke de volgende soorten persoonsgegevens verwerken: 


  1. De persoonsgegevens die de Verwerkingsverantwoordelijke over zichzelf invoert; en
/of

  2. De persoonsgegevens die aan een ander dan de Verwerkingsverantwoordelijke toebehoren en welke de Verwerkingsverantwoordelijke rechtmatig mag verwerken – waaronder, maar waar niet toe beperkt: diens (potentiële) klanten, relaties, partners, medewerkers. Verwerkingsverantwoordelijke beschrijft in de Privacyverklaring welke persoonsgegevens met welk doel worden verwerkt, en zorgt ervoor dat deze privacyverklaring op de website(s) wordt geplaatst.


  3. Logfiles van IP-adressen van bezoekers van de website(s) van Verwerkingsverantwoordelijke gedurende maximaal 72 uren.

• g. Locatie verwerkingen: 
Verwerker verwerkt persoonsgegevens in landen binnen de Europese Unie (EU). Verwerkingsverantwoordelijke geeft Verwerker daarnaast, indien van toepassing, toestemming voor de verwerking van persoonsgegevens in landen buiten de Europese Unie, met inachtneming van de relevante wet- en regelgeving. Verwerker zal Verwerkingsverantwoordelijke, op diens eerste verzoek daartoe, melden om welk land of welke landen het gaat.

• h. Bewaartermijn: 
De Verwerker en Verwerkingsverantwoordelijke zijn slechts aan de bepalingen van deze verwerkersovereenkomst verbonden, gedurende de termijn dat de Verwerkingsverantwoordelijke rechtmatig in het bezit is van een geldige licentie (abonnement) waarmee deze zich toegang kan verschaffen tot de hostingomgeving.

  

Ingeval de Verwerkingsverantwoordelijke niet (meer) over rechtmatige toegang tot de applicatie beschikt, zal Verwerker zich inspannen binnen redelijke termijn, doch uiterlijk binnen tien maanden de bij opdrachtnemer opgeslagen gegevens duurzaam van alle gegevensdragers te verwijderen.


4. Indien er bij Verwerker – of bij een door hem ingeschakelde derde partij (sub verwerker) – sprake is van een beveiligingsincident en/of datalek als bedoeld in de AVG, zal Verwerker dit altijd onverwijld aan Verwerkingsverantwoordelijke melden. Daarbij geeft hij tevens aan:

• a. Wat de oorzaak is van het beveiligingsincident/datalek;

• b. Wat de mogelijke gevolgen zijn van het beveiligingsincident/datalek;

• c. Op welke manier door Verwerker maatregelen zullen worden genomen om deze gevolgen te beperken.

5. In het geval dat een Betrokkene een verzoek tot inzage, of tot verbetering, aanvulling, wijziging of afscherming richt aan Verwerker, zal Verwerker het verzoek doorzetten naar Verwerkingsverantwoordelijke, en zal Verwerkingsverantwoordelijke het verzoek verder afhandelen. Verwerker geeft hierbij op verzoek en op kosten van Verwerkingsverantwoordelijke haar medewerking. Verwerker mag de Betrokkene van deze afspraak op de hoogte stellen.

6. Partijen stellen de ander onverwijld op de hoogte van relevante wijzigingen in de Verwerkingsprocessen.

7. Verwerker zal de persoonsgegevens bij voorkeur niet verwerken in of doorgeven aan landen buiten de Europese Unie.

Artikel 5. Audits

1. Verwerkingsverantwoordelijke heeft het recht om maximaal één keer per jaar een audit uit te voeren ter controle van de afspraken onder deze Verwerkersovereenkomst.

2. Verwerker zal de voor de audits benodigde ondersteunende gegevens zoals systeemlogs bewaren.

3. De personen die de audit uitvoeren zullen zich conformeren aan de beveiligingsprocedures zoals die bij Verwerker van kracht zijn.

4. Verwerker zal aan de audit meewerken en alle voor de audit redelijkerwijs relevante informatie zo tijdig mogelijk ter beschikking stellen.

5. Alle kosten van een audit worden door Verwerkingsverantwoordelijke gedragen. Verwerker kan alle door haar gemaakte kosten doorbelasten aan Verwerkingsverantwoordelijke.

6. Verwerkingsverantwoordelijke zal niet eerder aanvangen met een audit dan één maand na voorafgaande schriftelijke aankondiging. Indien datum en tijdstip van de audit Verwerker niet gelegen komt, zullen Partijen een nieuwe datum vaststellen in goed overleg.

Artikel 6. Aansprakelijkheid

1. Voor zover Verwerker aansprakelijk is voor schade uit hoofde van deze Verwerkersovereenkomst, is de totale aansprakelijkheid van Verwerker beperkt tot vergoeding van de directe schade, en dit tot maximaal het bedrag van de voor het gebruik van de dienst of het product betaalde vergoeding in de 12 maanden voorafgaand aan het ontstaan van de schade.

2. Verwerker is aansprakelijk voor de schade geleden door Betrokkenen die op grond van de AVG voor haar rekening komt.

3. Onverminderd het tweede lid, is aansprakelijkheid van Verwerker voor indirecte schade uitgesloten. Onder indirecte schade vallen gevolgschade, gederfde winst, gemiste besparingen, verminderde goodwill, schade door bedrijfsstagnatie, en schade als gevolg van aanspraken van derden.

Artikel 7. Eigendomsrechten

1. Alle industriële of intellectuele eigendomsrechten met betrekking tot de onder deze Verwerkersovereenkomst te verwerken of verwerkte Persoonsgegevens berusten te allen tijde bij de Verwerkingsverantwoordelijke.

Artikel 8. Toepasselijk recht en geschillenoplossing

1. Op deze Verwerkersovereenkomst is uitsluitend Nederlands recht van toepassing.

2. Alvorens een beroep te doen op de rechter zijn Partijen verplicht zich optimaal in te spannen om het geschil in onderling overleg te beslechten.

3. Tenzij de wet daarvan dwingend afwijkt, wordt uitsluitend de bevoegde rechter binnen het arrondissement van de vestigingsplaats van Verwerker aangewezen om van geschillen kennis te nemen.