Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij elke offerte, SLA of hostingafspraak waarin bouwman.io (KVK 42155003, btw-nummer NL005541039B71), gevestigd in Nederland, en bereikbaar viahallo@bouwman.io, persoonsgegevens verwerkt namens de opdrachtgever. Die offerte of afspraak heet hierna de hoofdovereenkomst. Gegevens die per klant verschillen, zoals contactpersonen en bewaartermijnen, staan in de offerte.

Waarom deze overeenkomst

De opdrachtgever bepaalt waarom en hoe persoonsgegevens worden verwerkt en is daarmee verwerkingsverantwoordelijke in de zin van de Algemene verordening gegevensbescherming (AVG). bouwman.io verwerkt bij het uitvoeren van de hoofdovereenkomst persoonsgegevens namens de opdrachtgever, bijvoorbeeld door een website met een contactformulier te hosten, een e-mailomgeving te beheren of een automatisering te onderhouden, en is daarmee verwerker. Artikel 28 AVG schrijft voor dat partijen daarover schriftelijke afspraken maken. Dat is deze overeenkomst.

1. Definities

Begrippen als persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker, subverwerker en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis die de AVG eraan geeft. De bijlagen onderaan deze pagina maken deel uit van deze overeenkomst.

2. Onderwerp, duur en rangorde

bouwman.io verwerkt persoonsgegevens uitsluitend voor de dienstverlening uit de hoofdovereenkomst, voor de verwerkingen die in bijlage 1 staan. Deze overeenkomst duurt zolang de hoofdovereenkomst duurt en eindigt automatisch zodra bouwman.io geen persoonsgegevens van de opdrachtgever meer verwerkt en artikel 11 is uitgevoerd.

Spreekt deze overeenkomst de algemene voorwaarden of de hoofdovereenkomst tegen op het punt van persoonsgegevens, dan gaat deze overeenkomst voor. Voor alle overige onderwerpen, waaronder aansprakelijkheid, gelden de algemene voorwaarden van bouwman.io.

3. Instructies van de opdrachtgever

bouwman.io verwerkt persoonsgegevens alleen op basis van schriftelijke instructies van de opdrachtgever. De hoofdovereenkomst en bijlage 1 gelden als die instructies; aanvullende instructies geeft de opdrachtgever per e-mail. bouwman.io verwerkt de gegevens niet voor eigen doeleinden en gebruikt ze niet voor iets anders dan de dienstverlening.

Vindt bouwman.io dat een instructie in strijd is met de AVG of andere privacywetgeving, dan meldt bouwman.io dat direct en voert de instructie pas uit als de opdrachtgever die schriftelijk heeft bevestigd. Is bouwman.io wettelijk verplicht om gegevens te verwerken of te verstrekken, bijvoorbeeld op vordering van een overheidsinstantie, dan informeert bouwman.io de opdrachtgever vooraf, tenzij de wet dat verbiedt.

4. Geheimhouding

bouwman.io houdt de persoonsgegevens geheim en gebruikt ze alleen voor de dienstverlening. bouwman.io is een eenmanszaak; wordt voor een deelopdracht een derde ingeschakeld die toegang krijgt tot persoonsgegevens, dan is die derde subverwerker onder artikel 6 en gebonden aan dezelfde geheimhouding. De geheimhouding blijft na het einde van deze overeenkomst bestaan.

5. Beveiliging

bouwman.io neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beschermen tegen verlies, onbevoegde toegang, wijziging en vernietiging, rekening houdend met de stand van de techniek, de kosten, en de aard van de gegevens en de risico's. De maatregelen staan in bijlage 3. bouwman.io mag de maatregelen aanpassen zolang het beschermingsniveau gelijk blijft of beter wordt.

De opdrachtgever beoordeelt zelf of de maatregelen in bijlage 3 passend zijn voor de gegevens die de opdrachtgever laat verwerken. Gaat het om bijzondere persoonsgegevens (bijvoorbeeld medische gegevens) of gegevens van kinderen, dan meldt de opdrachtgever dat vooraf, zodat partijen kunnen beoordelen of aanvullende maatregelen nodig zijn.

6. Subverwerkers

De opdrachtgever geeft bouwman.io algemene toestemming om subverwerkers in te schakelen. De subverwerkers die op dit moment worden gebruikt, staan in bijlage 2; subverwerkers die alleen voor één specifieke dienst worden ingezet, staan in de offerte. bouwman.io legt subverwerkers contractueel dezelfde verplichtingen op als in deze overeenkomst staan, voor zover die op de subverwerker van toepassing zijn, en blijft tegenover de opdrachtgever verantwoordelijk voor het werk van subverwerkers.

Wil bouwman.io een subverwerker toevoegen of vervangen, dan meldt bouwman.io dat minimaal 30 dagen vooraf per e-mail. Heeft de opdrachtgever een redelijk bezwaar, dan zoeken partijen samen naar een oplossing. Lukt dat niet, dan kan de opdrachtgever de hoofdovereenkomst opzeggen tegen de datum waarop de wijziging ingaat, zonder opzegtermijn en zonder dat bouwman.io daarvoor een vergoeding verschuldigd is.

7. Doorgifte buiten de Europese Economische Ruimte

bouwman.io verwerkt en bewaart persoonsgegevens binnen de Europese Economische Ruimte (EER), tenzij anders vermeld in bijlage 2 of in de offerte. Doorgifte naar een land buiten de EER vindt alleen plaats met een passende waarborg: een adequaatheidsbesluit van de Europese Commissie (waaronder het EU-US Data Privacy Framework voor gecertificeerde Amerikaanse aanbieders), de standaardcontractbepalingen van de Europese Commissie, of een andere waarborg die de AVG toestaat. Welke waarborg voor welke subverwerker geldt, staat in bijlage 2.

8. Datalekken

Ontdekt bouwman.io een inbreuk in verband met persoonsgegevens van de opdrachtgever, of een redelijk vermoeden daarvan, dan meldt bouwman.io dat zonder onredelijke vertraging en uiterlijk binnen 36 uur na ontdekking aan de contactpersoon uit de offerte, per e-mail en, bij een ernstig incident, ook telefonisch. De 36 uur is zo gekozen dat de opdrachtgever binnen de wettelijke 72 uur kan melden bij de Autoriteit Persoonsgegevens.

De melding bevat, voor zover op dat moment bekend: wat er is gebeurd, welke gegevens en welke betrokkenen (naar aard en aantal) geraakt zijn, wat de vermoedelijke gevolgen zijn, en welke maatregelen bouwman.io heeft genomen of voorstelt. Informatie die later bekend wordt, volgt in aanvullende meldingen.

De opdrachtgever beslist zelf of de inbreuk wordt gemeld bij de Autoriteit Persoonsgegevens en bij betrokkenen. bouwman.io meldt niet zelfstandig, tenzij de opdrachtgever daarom vraagt of de wet bouwman.io daartoe verplicht. bouwman.io helpt de opdrachtgever bij het onderzoeken en beperken van de inbreuk, en houdt een register bij van inbreuken die de opdrachtgever raken.

9. Rechten van betrokkenen en andere bijstand

Ontvangt bouwman.io een verzoek of klacht van een betrokkene over persoonsgegevens van de opdrachtgever, dan stuurt bouwman.io dat binnen 5 werkdagen door en handelt het niet zelf af. bouwman.io helpt de opdrachtgever, voor zover redelijkerwijs mogelijk en rekening houdend met de aard van de verwerking, bij het beantwoorden van verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar), bij een gegevensbeschermingseffectbeoordeling en bij overleg met de Autoriteit Persoonsgegevens.

Bijstand die meer dan een uur per verzoek kost, of die het gevolg is van een verzoek dat niet aan bouwman.io is toe te rekenen, wordt in rekening gebracht tegen het uurtarief van de hoofdovereenkomst, of van de SLA-uren afgeschreven als de opdrachtgever een SLA heeft.

10. Informatie en controle

bouwman.io stelt op verzoek de informatie beschikbaar die de opdrachtgever nodig heeft om aan te tonen dat de verplichtingen uit artikel 28 AVG worden nagekomen: een beschrijving van de maatregelen in bijlage 3, de actuele lijst van subverwerkers en, waar beschikbaar, certificeringen of auditrapporten van subverwerkers.

Is die informatie voor de opdrachtgever aantoonbaar onvoldoende, dan mag de opdrachtgever maximaal één keer per jaar een controle laten uitvoeren door een onafhankelijke deskundige die aan geheimhouding is gebonden, met een aankondiging van minimaal 30 dagen, tijdens werkdagen, zonder de dienstverlening aan andere opdrachtgevers te verstoren. De kosten van de controle zijn voor de opdrachtgever, behalve als de controle een wezenlijke tekortkoming van bouwman.io aantoont. Redelijke tijd die bouwman.io aan de controle besteedt, wordt in rekening gebracht tegen het uurtarief van de hoofdovereenkomst.

11. Einde van de verwerking

Eindigt de hoofdovereenkomst, dan levert bouwman.io op verzoek van de opdrachtgever binnen 30 dagen de persoonsgegevens terug in een gangbaar bestandsformaat, of geeft toegang zodat de opdrachtgever ze zelf kan overzetten. Daarna, of als de opdrachtgever niet om teruggave vraagt, verwijdert bouwman.io de persoonsgegevens en de kopieën daarvan binnen 30 dagen na het einde van de hoofdovereenkomst, en bevestigt dat per e-mail.

Back-ups die persoonsgegevens bevatten, worden niet apart verwijderd maar vervallen automatisch na de bewaartermijn die in de offerte staat. Tot die tijd worden ze niet gebruikt, behalve om te herstellen als de opdrachtgever daarom vraagt. Gegevens die bouwman.io wettelijk moet bewaren, bijvoorbeeld factuurgegevens, worden bewaard voor de duur van die wettelijke termijn.

12. Aansprakelijkheid en boetes

Voor aansprakelijkheid gelden de algemene voorwaarden van bouwman.io, met de beperking van aansprakelijkheid die daarin staat. Elke partij draagt de bestuurlijke boetes die aan haar worden opgelegd voor haar eigen overtreding van de AVG. De opdrachtgever blijft verantwoordelijk voor de rechtmatigheid van de verwerking, de grondslag, de privacyverklaring op de eigen website en het informeren van betrokkenen.

13. Akkoord en overige bepalingen

Akkoord per e-mail op de offerte of overeenkomst die naar deze verwerkersovereenkomst verwijst of waarmee die is meegestuurd, geldt als ondertekening, inclusief de bijlagen. Wil de opdrachtgever een ondertekend exemplaar, dan kan dat via hallo@bouwman.io.

Wijzigingen van deze overeenkomst gelden alleen als beide partijen ze schriftelijk (waaronder per e-mail) hebben bevestigd; een nieuwe versie op deze pagina geldt voor bestaande opdrachtgevers pas na hun akkoord, met uitzondering van een wijziging van subverwerkers volgens artikel 6. Wordt een bepaling ongeldig, dan blijft de rest gelden en vervangen partijen de ongeldige bepaling door een geldige die het doel zo dicht mogelijk benadert. Op deze overeenkomst is Nederlands recht van toepassing.

Bijlage 1: verwerkingen

Welke van deze verwerkingen voor een opdrachtgever gelden, volgt uit de diensten in de offerte. De bewaartermijnen bepaalt de opdrachtgever; ze staan in de offerte.

Bijlage 2: subverwerkers

De subverwerkers die bouwman.io op dit moment gebruikt. Een subverwerker die alleen voor één dienst wordt ingezet, zoals een nieuwsbrieftool, staat in de offerte van die dienst.

Bijlage 3: beveiligingsmaatregelen

Organisatorisch

• Alleen Remco Bouwman heeft toegang tot systemen van opdrachtgevers. Een vervanger krijgt alleen tijdelijk toegang na aankondiging, en die toegang wordt daarna ingetrokken.
• Inloggegevens van opdrachtgevers staan in een wachtwoordmanager en worden nooit per e-mail of chat gedeeld; per systeem een uniek, sterk wachtwoord.
• Tweestapsverificatie op alle beheeraccounts van bouwman.io en, waar het systeem het toelaat, op beheeraccounts bij opdrachtgevers.
• Toegang tot mailboxen en documenten van opdrachtgevers alleen bij beheerwerk dat daarom vraagt, en nooit structureel.
• Werkapparatuur is versleuteld, vergrendelt automatisch en wordt bijgewerkt zodra updates beschikbaar zijn.
• Een register van datalekken en van verwerkingen per opdrachtgever.

Technisch

• Verbindingen naar websites en beheeromgevingen uitsluitend versleuteld (TLS, met certificaten die automatisch vernieuwen).
• Updates van CMS, thema's en plugins met een back-up vooraf en een controle achteraf.
• Een beveiligingslaag op websites: bescherming van het inlogscherm, beperking van inlogpogingen en controle op malware.
• Back-ups automatisch en versleuteld, opgeslagen op een andere locatie dan de website, met periodieke hersteltests.
• Uptime-monitoring met een melding bij uitval.
• Logging van beheerhandelingen waar het platform dat ondersteunt.

Bijlage 4: contactpersonen

De contactpersoon van de opdrachtgever voor datalekken, en waar aanwezig de functionaris gegevensbescherming, staan in de offerte. Bij bouwman.io is dat Remco Bouwman, viahallo@bouwman.io.