Verwerkersovereenkomst

Verwerkersovereenkomst Porton Cloud Storage

Deze verwerkersovereenkomst is onderdeel van de overeenkomst tussen Porton ("Verwerker") en de klant ("Verwerkingsverantwoordelijke"), en zal ingaan op de datum dat u deze verwerkersovereenkomst namens de klant heeft aanvaard. U staat ervoor in dat u deze verwerkersovereenkomst namens de klant mag sluiten. Als u deze bevoegdheid niet heeft verzoeken wij u om deze overeenkomst niet te aanvaarden.

Gezamenlijk hierna ook te noemen "Partijen",

In overweging nemende dat:

Verwerkingsverantwoordelijke werkzaam is op het gebied van Cloudstorage Hosting en in dat kader gebruik maakt van Verwerker;
Verwerker voor Verwerkingsverantwoord gelijke private clouddiensten verleent middels haar platform ("Platform"), en in die hoedanigheid (bijzondere) persoonsgegevens voor Verwerkingsverantwoordelijke verwerkt;
Verwerkingsverantwoordelijke ten aanzien van de verwerking van persoonsgegevens als verantwoordelijke in de zin van artikel 4 aanhef en onder 7 van de Algemene verordening gegevensbescherming ("AVG") is aan te merken;
Verwerker ten aanzien van het voor Verwerkingsverantwoordelijke opslaan en verwerken van de persoonsgegevens als verwerker in de zin van artikel 4 aanhef en onder 8 AVG is aan te merken;
Partijen " mede ter uitvoering van het bepaalde in artikel 28, derde lid van de AVG " in de onderhavige overeenkomst een aantal voorwaarden wensen vast te leggen die van toepassing zijn op hun relatie in verband met de (verwerking van persoonsgegevens in het kader van) genoemde activiteiten voor en in opdracht van Verwerkingsverantwoordelijke.

Verklaren als volgt te zijn overeengekomen:

Definities

In deze Verwerkersovereenkomst hebben de volgende begrippen, steeds met een hoofdletter geschreven, de volgende betekenis ongeacht of deze in meervoud of enkelvoud worden gebruikt:

Annex:	aanhangsel bij de Verwerkersovereenkomst, dat onlosmakelijk deel uitmaakt van de Verwerkersovereenkomst;
Overeenkomst:	de tussen Verwerkingsverantwoordelijke en Verwerker gesloten overeenkomst;
Persoonsgegevens:	alle gegevens die direct of indirect herleidbaar zijn tot een natuurlijk persoon als bedoeld in artikel 4 aanhef en onder 1 AVG;
Sub Verwerker:	de door Verwerker ingeschakelde onderaannemer, die in het kader van deze Verwerkersovereenkomst Persoonsgegevens Verwerkt voor rekening van Verwerkingsverantwoordelijke als bedoeld in artikel 28 lid 4 AVG;
Verwerken:	het verwerken van Persoonsgegevens als bedoeld in artikel 4 aanhef en onder 2 AVG;
Verwerkersovereenkomst:	de onderhavige overeenkomst welke deel uitmaakt van de Overeenkomst.

De bepalingen uit de Overeenkomst zijn onverkort van toepassing op de Verwerkersovereenkomst. Voor zover er in de Overeenkomst bepalingen omtrent de verwerking van persoonsgegevens zijn opgenomen, prevaleren de bepalingen uit deze Verwerkersovereenkomst.

Verwerkingsverantwoordelijke voor en Verwerker van de gegevens
1. Verwerker verbindt zich in het kader van deze Verwerkersovereenkomst in opdracht van Verwerkingsverantwoordelijke Persoonsgegevens te Verwerken. Het betreft Persoonsgegevens die door Verwerkingsverantwoordelijk worden verwerkt met het gebruik van het Platform, met als doel het leveren van private clouddiensten middels het Platform door Verwerker aan Verwerkingsverantwoordelijke in het kader van de Overeenkomst. De Persoonsgegevens zijn afkomstig van de gebruikers van het Platform.
2. Verwerkingsverantwoordelijke is aansprakelijk voor de Verwerking van Persoonsgegevens in het kader van de Overeenkomst en garandeert dat de opdracht tot Verwerking van die Persoonsgegevens in overeenstemming is met alle toepasselijke wet- en regelgeving. Verwerkingsverantwoordelijke vrijwaart Verwerker tegen alle aanspraken van derden, in het bijzonder van de toezichthouder, welke op enigerlei wijze voortvloeien uit het niet naleven van deze garantie.
3. Verwerker verbindt zich uitsluitend persoonsgegevens te Verwerken ten behoeve van de in deze Verwerkersovereenkomst en/of de Overeenkomst genoemde activiteiten. Verwerker garandeert dat zij, zonder uitdrukkelijke en schriftelijke toestemming van Verwerkingsverantwoordelijke, geen gebruik zal maken van de Persoonsgegevens die in het kader van deze Verwerkersovereenkomst worden Verwerkt, tenzij een op de Verwerker van toepassing zijnde wettelijke bepaling hem tot verwerking verplicht. In dat geval stelt de Verwerker de Verwerkingsverantwoordelijke, voorafgaand aan de Verwerking, in kennis van dat wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.
Technische en organisatorische voorzieningen
1. Verwerker zal Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking en voor zover redelijkerwijs mogelijk, bijstand verlenen bij het doen nakomen van diens plicht onder de AVG om passende technische en organisatorische maatregelen te treffen om een op het risico afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zullen, rekening houdend met de stand der techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau garanderen, gelet op de risico's die de Verwerking en de aard van de te beschermen gegevens met zich meebrengen. Verwerker zal in ieder geval maatregelen nemen om Persoonsgegevens te beveiligen tegen vernietiging, hetzij per ongeluk hetzij onrechtmatig, tegen toevallig en opzettelijk verlies, vervalsing, niet toegelaten verspreiding of toegang, dan wel tegen enige andere vorm van onrechtmatige Verwerking.
2. De door Verwerker genomen technische en organisatorische maatregelen staan beschreven in Annex 1. Verwerkingsverantwoordelijke erkent kennis te hebben genomen van de betreffende maatregelen en door ondertekening van deze Verwerkersovereenkomst gaat Verwerkingsverantwoordelijke akkoord met de door Verwerker genomen maatregelen.
Vertrouwelijkheid
1. Verwerker zal al haar medewerkers, die betrokken zijn bij de uitvoering van de Overeenkomst, een geheimhoudingsverklaring - al dan niet opgenomen in de arbeidsovereenkomst met die medewerkers - laten tekenen waarin in ieder geval is opgenomen dat deze medewerkers geheimhouding moeten betrachten ten aanzien van de Persoonsgegevens.
Gegevensverwerking buiten de Europese Economische Ruimte
1. Het overbrengen van Persoonsgegevens door Verwerker buiten de Europese Economische Ruimte is alleen toegestaan met inachtneming van de daarvoor geldende wettelijke verplichtingen.
Derden en onderaannemers
1. Het is Verwerker toegestaan om in het kader van deze Verwerkersovereenkomst en de Overeenkomst gebruik te maken van Sub Verwerkers, indien Verwerkingsverantwoordelijke daarvoor schriftelijke toestemming heeft gegeven. Verwerker heeft de mogelijkheid binnen redelijke termijn bezwaar te maken tegen de in te schakelen Sub Verwerkers. Voor zover de Sub Verwerkers bij het sluiten van deze Verwerkersovereenkomst reeds bekend zijn, zijn deze opgenomen in Annex 2. De in Annex 2 vermelde Sub Verwerkers worden met het ondertekenen van deze Verwerkersovereenkomst goedgekeurd voor de daarin omschreven werkzaamheden.
2. Verwerker verplicht iedere Sub Verwerker contractueel de geheimhoudingsverplichtingen, meldingsverplichtingen en beveiligingsmaatregelen na te leven met betrekking tot de Verwerking van Persoonsgegevens welke verplichtingen en maatregelen minimaal dienen te voldoen aan het bepaalde in deze Verwerkersovereenkomst.
Aansprakelijkheid
1. Ten aanzien van de aansprakelijkheid van Verwerker onder de Verwerkersovereenkomst alsmede ten aanzien van de in de Verwerkersovereenkomst opgenomen vrijwaringsverplichtingen voor Verwerker, geldt onverkort de in artikel 9 van de Algemene Voorwaarden opgenomen regeling inzake de beperking van aansprakelijkheid.
2. Onverminderd artikel 7.1 van deze Verwerkersovereenkomst, is Verwerker slechts aansprakelijk voor de schade die door Verwerking is veroorzaakt wanneer bij deze Verwerking niet is voldaan aan specifiek tot Verwerker gerichte verplichtingen van de AVG of indien in strijd met de rechtmatige instructies van Verwerkingsverantwoordelijke is gehandeld.
Incidenten
1. Indien Verwerker kennis krijgt van een incident dat een (wezenlijke) impact kan hebben op de beveiliging van Persoonsgegevens, zal zij 1) Verwerkingsverantwoordelijke daarvan zonder onredelijke vertraging op de hoogte stellen en 2) alle redelijke maatregelen nemen om (verdere) schending van de AVG te voorkomen of te beperken.
2. Verwerker zal, voor zover redelijk, haar medewerking verlenen aan Verwerkingsverantwoordelijke en Verwerkingsverantwoordelijke ondersteunen in het uitvoeren van haar wettelijke verplichtingen ten aanzien van het geconstateerde incident.
3. Verwerker zal, voor zover redelijk, Verwerkingsverantwoordelijke ondersteunen bij de op Verwerkingsverantwoordelijke rustende meldplicht ten aanzien van de inbreuk in verband met persoonsgegevens bij de Autoriteit Persoonsgegevens ("AP") en/of de betrokkene, zoals bedoeld in artikel 33, lid 3 en 34, lid 1 AVG. Verwerker is nimmer gehouden tot het zelfstandig verrichten van een melding van een inbreuk in verband met persoonsgegevens bij de AP en/of de betrokkene.
4. Verwerker is nimmer aansprakelijk voor de (correcte en/of tijdige uitvoering van de) op Verwerkingsverantwoordelijke rustende meldplicht zoals bedoeld in artikel 33 en 34 AVG.
Bijstand aan Verwerkingsverantwoordelijke
1. Verwerker zal Verwerkingsverantwoordelijke, voor zover redelijkerwijs mogelijk, bijstand verlenen bij het vervullen van diens plicht onder de AVG om verzoeken om uitoefening van de rechten van een betrokkene te beantwoorden, in het bijzonder het recht op inzage (art. 15 AVG), rectificatie (art. 16 AVG), gegevenswissing (art. 17 AVG), beperking (art. 18 AVG), overdraagbaarheid (art. 20 AVG) en het recht van bezwaar (art. 21 en 22 AVG). Verwerker zal een klacht of een verzoek van een betrokkene met betrekking tot de Verwerking van Persoonsgegevens zo snel mogelijk doorsturen naar de Verwerkingsverantwoordelijke, die verantwoordelijk is voor de afhandeling van het verzoek. Verwerker is gerechtigd de eventuele kosten die gemoeid zijn met de medewerking, in rekening te brengen bij Verwerkingsverantwoordelijke.
2. Verwerker zal Verwerkingsverantwoordelijke, voor zover redelijkerwijs mogelijk, bijstand verlenen bij het doen nakomen van diens plicht onder de AVG om een gegevensbeschermingseffectbeoordeling (art. 35 en 36 AVG) uit te voeren.
3. Verwerker zal de Verwerkingsverantwoordelijke alle informatie ter beschikking stellen die redelijkerwijs nodig is om aan te tonen dat Verwerker voldoet aan haar verplichtingen onder de AVG. Voorts zal Verwerker op verzoek van Verwerkingsverantwoordelijke audits, waaronder inspecties, door Verwerkingsverantwoordelijke of een door Verwerkingsverantwoordelijke gemachtigde controleur mogelijk maken en eraan bijdragen. Indien de Verwerker van mening is dat een instructie in verband met het bepaalde in dit artikellid een inbreuk oplevert op de AVG of op andere op haar van toepassing zijnde privacywetgeving, stelt de Verwerker de Verwerkingsverantwoordelijke daarvan onmiddellijk in kennis.
4. Verwerker is gerechtigd de eventuele kosten die met het bepaalde uit artikel 9.3 gemoeid zijn, in rekening te brengen bij Verwerkingsverantwoordelijke.
Beëindiging & Varia
1. Ten aanzien van opzegging en/of ontbinding van deze Verwerkersovereenkomst, gelden de specifieke bepalingen uit de Overeenkomst. Onverminderd de specifieke bepalingen uit de Overeenkomst, zal de Verwerker op eerste verzoek van de Verwerkingsverantwoordelijke alle Persoonsgegevens wissen of deze aan hem terugbezorgen, en bestaande kopieën verwijderen, tenzij Verwerker wettelijk verplicht is (delen van) de Persoonsgegevens op te blijven slaan.
2. Verwerkingsverantwoordelijke zal Verwerker adequaat informeren over (wettelijke) bewaartermijnen die van toepassing zijn op de Verwerking van Persoonsgegevens voor Verwerker.
3. De verplichtingen uit deze Verwerkersovereenkomst die naar hun aard bestemd zijn om beëindiging te overleven, blijven ook na beëindiging van deze Verwerkersovereenkomst van kracht.
4. De rechtskeuze en bevoegde rechter komen overeen met het bepaalde te dien aanzien in de Overeenkomst.

ANNEX 1 SPECIFICATIE VAN BEVEILIGING

Porton voert de volgende beveiligingsmaatregelingen uit t.b.v. de veilig data:

Beveiligde toegang tot datacenter;
Beveiligde dataopslag;
Versleuteld beheer van wachtwoorden voor toegang tot data(center);
Het adviseren en faciliteren van applicaties waarmee data beveiligd (lees versleuteld) kan worden overgedragen en opgeslagen. (data is alles wat de klant opslaat in de Cloud)

ANNEX 2 SPECIFICATIE SUB-VERWERKERS

Niet van toepassing.