Versie 1.0, [datum]

De ondergetekenden:

Verwerkingsverantwoordelijke: [naam klant], gevestigd te [plaats], KvK [nummer], vertegenwoordigd door [naam], hierna "Verantwoordelijke".

Verwerker: Schmeits websolutions, gevestigd te Sittard, KvK 14084018, vertegenwoordigd door T. Schmeits, hierna "Verwerker". Contactpersoon voor privacy en beveiliging: T. Schmeits, tally@schmeits.com, 06-12172712.

Overwegende dat:

• partijen een overeenkomst hebben gesloten voor het ontwikkelen, hosten en beheren van een of meer websites of toepassingen (de "Hoofdovereenkomst");
• Verwerker daarbij persoonsgegevens verwerkt ten behoeve van Verantwoordelijke;
• partijen daarover op grond van artikel 28 lid 3 AVG schriftelijke afspraken moeten vastleggen.

Komen het volgende overeen:

1. Begrippen en rangorde

1.1 De begrippen uit de AVG hebben in deze overeenkomst dezelfde betekenis.

1.2 Deze overeenkomst maakt onderdeel uit van de Hoofdovereenkomst. Bij strijdigheid over de verwerking van persoonsgegevens gaat deze overeenkomst voor.

1.3 De bijlagen maken integraal onderdeel uit van deze overeenkomst.

2. Onderwerp en instructies

2.1 Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verantwoordelijke, behalve wanneer een wettelijke verplichting hem tot verwerking verplicht. In dat geval stelt Verwerker Verantwoordelijke daarvan vooraf op de hoogte, tenzij de wet dat verbiedt.

2.2 De Hoofdovereenkomst en bijlage 1 gelden als de instructies van Verantwoordelijke.

2.3 Verwerker stelt Verantwoordelijke onmiddellijk op de hoogte als naar zijn oordeel een instructie in strijd is met de AVG of andere wetgeving over de bescherming van persoonsgegevens.

2.4 Verwerker verwerkt de persoonsgegevens niet voor eigen doeleinden.

3. Aard, doel en categorieën

3.1 De aard en het doel van de verwerking, de categorieën persoonsgegevens en de categorieën betrokkenen staan in bijlage 1.

3.2 Verantwoordelijke staat ervoor in dat hij een rechtmatige grondslag heeft voor de verwerking en dat hij betrokkenen naar behoren informeert.

3.3 Verantwoordelijke stelt Verwerker op de hoogte wanneer de aard van de verwerking wezenlijk verandert, bijvoorbeeld wanneer een formulier wordt toegevoegd waarmee bijzondere categorieën persoonsgegevens worden verzameld.

4. Beveiliging

4.1 Verwerker treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. Die maatregelen staan in bijlage 3.

4.2 De maatregelen zijn afgestemd op het risico, mede gelet op de stand van de techniek en de uitvoeringskosten. Verwerker mag ze wijzigen, mits het beschermingsniveau daardoor niet afneemt.

4.3 Verwerker zorgt dat personen die toegang hebben tot de persoonsgegevens tot geheimhouding zijn verplicht.

5. Subverwerkers

5.1 Verantwoordelijke geeft Verwerker algemene toestemming om subverwerkers in te schakelen. De subverwerkers die bij aanvang worden ingeschakeld staan in bijlage 2.

5.2 Verwerker informeert Verantwoordelijke ten minste vier weken voordat hij een subverwerker toevoegt of vervangt. Verantwoordelijke mag daartegen binnen die termijn schriftelijk en gemotiveerd bezwaar maken. Komen partijen er niet uit, dan mag Verantwoordelijke de Hoofdovereenkomst opzeggen tegen de datum waarop de wijziging ingaat, zonder kosten anders dan de tot dat moment geleverde diensten.

5.3 Verwerker legt aan iedere subverwerker verplichtingen op die niet minder streng zijn dan die in deze overeenkomst, en blijft jegens Verantwoordelijke volledig verantwoordelijk voor het nakomen daarvan.

6. Doorgifte buiten de EER

6.1 Verwerker verwerkt de persoonsgegevens binnen de Europese Economische Ruimte, tenzij in bijlage 2 anders is vermeld.

6.2 Vindt doorgifte naar een derde land plaats, dan gebeurt dat uitsluitend op basis van een geldig overdrachtsmechanisme, zoals een adequaatheidsbesluit of de modelcontractbepalingen van de Europese Commissie.

6.3 Voor de subverwerker in de Verenigde Staten die in bijlage 2 bij alle eigen servers wordt genoemd (Dropbox, Inc., tweede kopie van back-ups) geldt het EU-VS Data Privacy Framework, waarbij deze partij is aangesloten. Daarnaast worden de back-ups versleuteld voordat zij worden verzonden, en beschikt deze partij niet over de sleutel. Per Verantwoordelijke vermeldt bijlage 2 voor iedere andere subverwerker buiten de Europese Economische Ruimte het mechanisme dat geldt.

7. Inbreuken in verband met persoonsgegevens

7.1 Verwerker informeert Verantwoordelijke zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens.

7.2 De melding bevat in ieder geval: de aard van de inbreuk, de betrokken categorieën en het aantal betrokkenen voor zover bekend, de waarschijnlijke gevolgen, en de getroffen of voorgestelde maatregelen.

7.3 Verwerker verleent redelijke medewerking aan het onderzoek en aan een eventuele melding aan de Autoriteit Persoonsgegevens of aan betrokkenen. Die melding doet Verantwoordelijke zelf; Verwerker meldt niet uit eigen beweging aan de toezichthouder of aan betrokkenen.

7.4 Verwerker houdt een registratie bij van inbreuken die zijn dienstverlening raken.

8. Rechten van betrokkenen en overige medewerking

8.1 Ontvangt Verwerker een verzoek van een betrokkene, dan verwijst hij door naar Verantwoordelijke en stelt hij Verantwoordelijke daarvan binnen vijf werkdagen op de hoogte. Verwerker beantwoordt zo'n verzoek niet zelf.

8.2 Verwerker verleent redelijke medewerking aan het nakomen van verzoeken tot inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar.

8.3 Voor medewerking die meer dan incidentele inspanning vergt, mag Verwerker zijn gebruikelijke uurtarief in rekening brengen, na voorafgaande opgave.

8.4 Verwerker verleent Verantwoordelijke, rekening houdend met de aard van de verwerking en de informatie waarover hij beschikt, redelijke medewerking bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG. Daaronder valt medewerking aan een gegevensbeschermingseffectbeoordeling (DPIA) en aan een voorafgaande raadpleging van de Autoriteit Persoonsgegevens, als Verantwoordelijke daartoe verplicht is.

8.5 Artikel 8.3 is op die medewerking van overeenkomstige toepassing. Verwerker maakt eventuele kosten vooraf kenbaar, voordat hij de werkzaamheden uitvoert.

9. Bewaren en verwijderen

9.1 Verwerker bewaart de persoonsgegevens niet langer dan nodig is voor de uitvoering van de Hoofdovereenkomst, of zoveel langer als Verantwoordelijke schriftelijk opdraagt.

9.2 Bewaartermijnen die partijen specifiek zijn overeengekomen staan in bijlage 1.

9.3 Bij het einde van de Hoofdovereenkomst stelt Verwerker op verzoek van Verantwoordelijke de persoonsgegevens in een gangbaar bestandsformaat ter beschikking. Verantwoordelijke doet dat verzoek uiterlijk dertig dagen na het einde.

9.4 Daarna verwijdert Verwerker de persoonsgegevens binnen drie maanden na het einde van de Hoofdovereenkomst, zodanig dat zij niet meer te gebruiken of toegankelijk zijn, behalve voor zover hij wettelijk verplicht is die te bewaren. Back-upkopieën verdwijnen volgens de normale cyclus, uiterlijk aan het einde van de bewaartermijn van back-ups die in de dienstbeschrijving van de afgenomen dienst staat.

9.5 Verwerker bevestigt de verwijdering desgevraagd schriftelijk.

10. Controle

10.1 Verwerker stelt op verzoek de informatie beschikbaar die nodig is om aan te tonen dat hij aan deze overeenkomst voldoet.

10.2 Verantwoordelijke mag ten hoogste eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte deskundige, na een aankondiging van ten minste vier weken. Bij een vastgestelde inbreuk mag dat ook tussentijds.

10.3 De kosten van een audit komen voor rekening van Verantwoordelijke, tenzij daaruit blijkt dat Verwerker tekortschiet in het nakomen van deze overeenkomst.

10.4 Een audit verstoort de bedrijfsvoering van Verwerker niet onnodig en raakt niet de gegevens van andere klanten.

11. Aansprakelijkheid en duur

11.1 De aansprakelijkheidsbepalingen uit de algemene voorwaarden bij de Hoofdovereenkomst zijn van overeenkomstige toepassing, voor zover dwingend recht dat toelaat.

11.2 Deze overeenkomst gaat in op de datum van ondertekening en eindigt zodra de Hoofdovereenkomst eindigt en de verplichtingen uit hoofdstuk 9 zijn nagekomen.

11.3 Verplichtingen die naar hun aard bedoeld zijn om voort te duren, waaronder geheimhouding, blijven na het einde van kracht.

Aldus overeengekomen en ondertekend:

Bijlage 1: aard en doel van de verwerking

Bijlage 2: subverwerkers

Verwerker stelt deze bijlage op per Verantwoordelijke. Zij bevat:

1. De partijen die horen bij het platform waarop de websites of toepassingen van Verantwoordelijke draaien:
   • gedeelde hosting bij Superspace: Superspace B.V., voor hosting en back-ups (Nederland);
   • eigen servers van Verwerker en dedicated hosting: Hetzner Online GmbH, voor servers en opslag van back-ups (Duitsland en Finland), Ploi B.V., voor serverbeheer en het aansturen van back-ups (Nederland), en Dropbox, Inc., voor een tweede, versleutelde kopie van back-ups (Verenigde Staten).
2. De diensten die de website van Verantwoordelijke gebruikt en die Verantwoordelijke bij het aangaan van deze overeenkomst bevestigt, zoals een betaalprovider, een nieuwsbriefdienst, een dienst voor het verzenden van e-mail of een dienst die formulieren tegen misbruik beschermt.

Per subverwerker vermeldt de bijlage de dienst en de vestiging. Voor een subverwerker buiten de Europese Economische Ruimte geldt hoofdstuk 6. Een nieuwe subverwerker meldt Verwerker volgens artikel 5.2.

Bijlage 3: technische en organisatorische maatregelen

1. Toegangsbeheer. Toegang tot servers en beheeromgevingen is beperkt tot de eigenaar van Verwerker en verloopt via persoonlijke accounts met tweefactorauthenticatie waar de leverancier dat ondersteunt.
2. Versleutelde verbindingen. Websites zijn uitsluitend bereikbaar via HTTPS met een geldig certificaat. Beheertoegang verloopt via versleutelde verbindingen.
3. Scheiding tussen klanten. Websites van verschillende klanten draaien nooit onder dezelfde systeemgebruiker, zodat de bestanden van de ene klant niet toegankelijk zijn vanuit de website van een andere klant op dezelfde server. Databases zijn per website gescheiden met eigen databasegebruikers.
4. Beveiligingsupdates. Verwerker voert ten minste maandelijks beveiligingsupdates door op de door hem beheerde omgevingen, en daarbuiten zo spoedig als redelijkerwijs mogelijk wanneer een ernstige kwetsbaarheid daartoe aanleiding geeft.
5. Back-ups. Van databases wordt ten minste dagelijks een back-up gemaakt, die wordt opgeslagen bij een in bijlage 2 genoemde partij. Back-ups van de eigen servers van Verwerker worden versleuteld opgeslagen. Verwerker controleert periodiek dat de back-ups daadwerkelijk zijn uitgevoerd. Hoe lang back-ups bewaard blijven, staat in de dienstbeschrijving van de afgenomen dienst.
6. Bewaking. Bij een dienst met bewaking (het pakket Plus en dedicated hosting) worden de beschikbaarheid van de website en het certificaat automatisch bewaakt, en wordt Verwerker gewaarschuwd bij uitval en bij een certificaat dat verloopt.
7. Logging. Fouten en storingen worden centraal vastgelegd, zodat een incident achteraf te onderzoeken is.
8. Wachtwoorden en sleutels. Toegangsgegevens worden bewaard in een wachtwoordkluis en niet in e-mail of documenten gedeeld.
9. Geheimhouding. Verwerker heeft geen personeel in dienst. Wordt een derde ingeschakeld, dan geldt voor hem een schriftelijke geheimhoudingsplicht.
10. Verwijdering. Bij beëindiging worden gegevens verwijderd zoals beschreven in hoofdstuk 9.
11. Privacy by design en by default. Websites en toepassingen worden zo ingericht dat zij niet meer gegevens vragen en bewaren dan nodig: formulieren bevatten alleen de velden die Verantwoordelijke nodig heeft, wachtwoorden worden alleen gehasht opgeslagen, het beheer werkt met rollen en rechten, en waar de toepassing dat ondersteunt zijn tweefactorauthenticatie en een instelbare bewaartermijn voor inzendingen beschikbaar. De keuze welke gegevens worden verzameld en hoe lang die blijven bestaan, ligt bij Verantwoordelijke; Verwerker adviseert daarover.
12. Beleid en certificering. Verwerker werkt volgens een intern beveiligingsbeleid dat is gebaseerd op de richtlijnen van het NCSC en de Autoriteit Persoonsgegevens. Verwerker beschikt op dit moment niet over een formele beveiligingscertificering of privacykeurmerk.