Verwerkersovereenkomst

Mocht je ervoor kiezen om gebruik te maken van MAAT, dan hanteren wij een verwerkersovereenkomst. Hierin staat beschreven hoe wij met de verwerking van persoonsgegevens omgaan. Wij conformeren ons uiteraard aan de richtlijnen van de Algemene Verordening Gegevensbescherming (AVG) / General Data Protection Regulation (GDPR).

De verwerkersovereenkomst vind je hieronder.

MAAT-IT B.V.

Kloosterweg 1, 6412 CN Heerlen

VERWERKERSOVEREENKOMST Mail info@hallomaat.nl

ONDERGETEKENDEN:

[NAAM ORGANISATIE], gevestigd te [POSTCODE] [PLAATS], [ADRES] vertegenwoordigd door de [NAAM PERSOON], hierna te noemen ‘Verantwoordelijke’.
en
de besloten vennootschap met beperkte aansprakelijkheid MAAT-IT B.V., statutair

gevestigd te Meerssen en kantoorhoudende te (6412 CN) Heerlen aan de Kloosterweg 1, ingeschreven bij de Kamer van Koophandel onder nummer 70321000, hierna te noemen ‘Verwerker’,

Hierna gezamenlijk te noemen de ‘Partijen’ en / of ieder afzonderlijk ook als de ‘Partij’.

NEMEN IN AANMERKING DAT:

Op [DATUM] partijen een overeenkomst hebben gesloten (‘Hoofdovereenkomst’) met kenmerk

en/of referentienummer [NUMMER] met [Naam organisatie], op grond waarvan Verwerker

persoonsgegevens voor Verantwoordelijke verwerkt.
Verantwoordelijke op grond van de Hoofdovereenkomst een gebruiksrecht – welk gebruiksrecht,

evenals de voorwaarden waaronder dit is verstrekt in de Hoofdovereenkomst is omschreven – heeft ontvangen ter zake programmatuur, in het specifiek een applicatie genaamd MAAT. Verantwoordelijke in deze applicatie persoonsgegevens van betrokkenen (laat) invul(t)(en) en/of betrokkenen daartoe zelf de mogelijkheid biedt – alles onder de voorwaarden zoals omschreven in de Hoofdovereenkomst –;
Verantwoordelijke alle op basis van de privacywetgeving noodzakelijke toestemming van de betrokkenen voor de verwerking van hun persoonsgegevens – voor zover zij minderjarig zijn van hun wettelijk vertegenwoordiger – heeft ontvangen;
Privacywetgeving, inclusief nationale wetten ter uitvoering van de privacyrichtlijn en de AVG, vereist dat dergelijke verwerkingen worden geregeld door een overeenkomst of rechtshandeling die de Verwerker bindt aan de Verantwoordelijke en waarin het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, de verplichtingen van de Verwerker in verband met beveiligingsincidenten en datalekken, het soort persoonsgegevens en de categorieën van betrokkenen, en de rechten en verplichtingen van de Verantwoordelijke worden omschreven; en
Partijen de sub d bedoelde vereisten in de onderhavige Verwerkersovereenkomst wensen te regelen, welke overeenkomst een integraal onderdeel is van de Hoofdovereenkomst.

VERKLAREN ALS VOLGT OVEREEN TE KOMEN:

Artikel 1: Definities en Interpretatie
1. ‘Betrokkene(n)’, ‘Persoonsgegevens’, ‘Verwerker’ en ‘Verwerk(ing)(en)(t)’ hebben de betekenis zoals bedoeld in de AVG. Daarnaast hebben de volgende woorden en zinsdelen de volgende betekenis: ‘Datalek’ ‘Privacywetgeving’ ‘Sub-verwerker(s)’ ‘Verantwoordelijke’

een inbreuk in verband met Persoonsgegevens zoals bedoeld in artikel 4 sub 12 AVG;
de Privacy Richtlijn (95/46/EG) en de Richtlijn privacy en elektronische communicatie (2002/58/EG), de nationale wetten ter uitvoering van deze richtlijnen en/of, in voorkomend geval, de verordening (EU) 2016/679 (ook bekend als ‘Algemene Verordening Gegevensbescherming’, aangeduid als ‘AVG’) en elke wetgeving of verordening die het voorgaande van tijd tot tijd wijzigt of aanvult; Iedere niet-ondergeschikte derde partij die door Verwerker is betrokken bij de verwerking van persoonsgegevens in het kader van deze Verwerkersovereenkomst, niet zijnde werknemers van Verwerker. de verwerkersverantwoordelijke, die de betekenis heeft zoals bedoeld in de AVG.

‘Verwerkersovereenkomst’ de onderhavige overeenkomst inclusief de overwegingen en

bijlage 1.

Deze Verwerkersovereenkomst vormt een integraal onderdeel van de Hoofdovereenkomst. Een verwijzing naar de Verwerkersovereenkomst is dus inclusief een verwijzing naar de bijlagen.
In geval van inconsistentie tussen de bepalingen van deze Verwerkersovereenkomst en de Hoofdovereenkomst, gelden de bepalingen van deze Verwerkersovereenkomst.
In geval van nietigheid c.q. vernietigbaarheid van een of meer bepalingen uit deze Verwerkersovereenkomst blijven de overige bepalingen onverkort van kracht. Partijen treden in overleg om de nietige c.q. vernietigde bepaling(en) te vervangen door een bepaling die zoveel mogelijk aansluit bij de inhoud, het doel en de strekking van de eerdere bepaling uit deze Verwerkersovereenkomst.

Artikel 2: Werkzaamheden Verwerker

In het kader van deze Verwerkersovereenkomst is Verantwoordelijke de verwerkersverantwoordelijke in de zin van de AVG, ongeacht of verantwoordelijke – in een andere relatie – verwerker van persoonsgegevens is namens een andere verwerkersverantwoordelijke en uit die relatie verkregen persoonsgegevens in het kader van deze Verwerkersovereenkomst worden verwerkt. In het kader van deze Verwerkersovereenkomst is Verwerker verwerker in de zin van de AVG. Verwerker verwerkt persoonsgegevens in het kader van de uitvoering van de Hoofdovereenkomst.
De voorwaarden van deze Verwerkersovereenkomst zijn van toepassing op de persoonsgegevens die Verwerker, of de toegestane Sub-verwerkers, verwerken tijdens het verlenen van diensten in het kader van de Hoofdovereenkomst, zoals weergegeven in bijlage 1.
Verwerker verwerkt de persoonsgegevens zoals nader gespecificeerd in bijlage 1, voor de doelen gespecificeerd in de Hoofdovereenkomst en/of in bijlage 1 van deze Verwerkersovereenkomst dan wel voor andere doelen die voorafgaand schriftelijk door Verantwoordelijke zijn goedgekeurd, met uitzondering van artikel 2.4 van deze Verwerkersovereenkomst. Verwerker zal in dit kader alle redelijke instructies van de Verantwoordelijke in verband met de verwerking opvolgen.
Verwerker verwerkt geen persoonsgegevens voor haar eigen doeleinden of die van anderen, tenzij: i) een op Verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling haar tot verwerking verplicht. In dat geval stelt Verwerker Verantwoordelijke, voorafgaand aan de verwerking, in kennis van dat wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt en/of tenzij voorafgaande inkennisstelling volgens Verwerker redelijkerwijze niet mogelijk is, in welk geval Verwerker Verantwoordelijke zo spoedig mogelijk na de verwerking daarvan schriftelijk in kennis stelt; of ii) Verantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven.
Verwerker verwerkt de persoonsgegevens in overeenstemming met de AVG die van toepassing is op de verwerking van persoonsgegevens onder deze Verwerkersovereenkomst. Verantwoordelijke is verantwoordelijk voor diens instructies aan Verwerker. Indien een instructie van Verantwoordelijke met betrekking tot de verwerking van persoonsgegevens in strijd is met de Privacywetgeving, zijn de gevolgen daarvan volledig voor rekening en risico van Verantwoordelijke, ook als Verwerker deze instructie uitvoert en daardoor schade ontstaat. In dat geval schiet Verantwoordelijke wel en Verwerker niet tekort in de nakoming van deze Verwerkersovereenkomst. Indien een instructie van Verantwoordelijke volgens Verwerker in strijd is met de privacywetgeving, stelt Verwerker Verantwoordelijke daarvan zo spoedig mogelijk in kennis, bij gebreke waarvan Verwerker niet tekort schiet in de nakoming van deze overeenkomst.
Verwerker zal geen persoonsgegevens verwerken in- of doorgeven aan een land, gebied of organisatie buiten de Europese Economische Ruimte (‘EER’), tenzij: Verwerker daartoe verplicht is op grond van een wettelijk voorschrift; het een land/bepaalde sector binnen een land betreft dat een passend beschermingsniveau waarborgt en waarvan de Europese Commissie heeft besloten dat het geval is, een en ander zoals omschreven in artikel 45 AVG; of Verantwoordelijke daarmee voorafgaande schriftelijk heeft ingestemd of een van de andere uitzonderingen van artikel 49 AVG van toepassing is.

Artikel 3: Subverwerkers

Voor het uitvoeren van deze Verwerkersovereenkomst mag Verwerker (een) Sub-verwerker(s) inschakelen. Verantwoordelijke stemt ermee in dat Verwerker MAAT-IT B.V. als Sub-verwerker inschakelt voor de uitvoering van deze Verwerkersovereenkomst.
Indien Verwerker overgaat tot het inschakelen van (een of) meer/andere Sub-verwerker(s) en/of van Sub-verwerker(s) verandert, stelt Verwerker Verantwoordelijke daarvan schriftelijk (per e-mail) in kennis. Indien Verantwoordelijke daartegen bezwaar heeft, dient Verantwoordelijke daartegen binnen acht (8) dagen – berekend vanaf de dag dat Verwerker Verantwoordelijke daarvan in kennis heeft gesteld – schriftelijk (per e-mail) bezwaar aan te tekenen bij Verwerker.
Indien Verantwoordelijke niet, niet tijdig en/of niet op schriftelijke wijze bezwaar bij Verwerker aantekent tegen de inschakeling en/of wijziging zoals bedoeld in artikel 3 lid 2 van deze Verwerkersovereenkomst, geldt dat Verantwoordelijke met het inschakelen en/of wijzigingen van de Sub-verwerker(s) heeft ingestemd.
In het geval dat een bezwaar zoals bedoeld in artikel 3 lid 2 van deze Verwerkersovereenkomst Verwerker tijdig bereikt, treden partijen daarover in overleg. Indien geen overeenstemming wordt bereikt over het inschakelen / wijzigingen van de Sub-verwerkers op basis van artikel 3 lid 2, zal Verwerker daartoe niet overgaan.
Verwerker zal met (een) Sub-verwerker(s) een overeenkomst sluiten, waarmee Verwerker minimaal dezelfde verplichtingen aan de Sub-verwerker oplegt als de verplichtingen die op basis van deze Verwerkersovereenkomst op Verwerker rusten dan wel uit de privacywetgeving of andere toepasselijke wetgeving voortvloeit.

Artikel 4: Beveiliging

Verwerker zal – overeenkomstig artikel 32 AVG – passende technische en organisatorische maatregelen treffen om een op het risico afgestemd beveiligingsniveau voor de persoonsgegevens te realiseren tegen onder andere verlies en/of enige vorm van onrechtmatige verwerking. Daarbij heeft onder meer een rol gespeeld: de aard, omvang en context van de Verwerking, de doeleinden daarvan en het soort persoonsgegevens.
Door het tekenen van deze Verwerkersovereenkomst verklaart Verantwoordelijke op het moment van aangaan van deze Verwerkersovereenkomst: bekend te zijn met de door Verwerker getroffen beveiligingsmaatregelen; en verder dat deze beveiligingsmaatregelen passend zijn in de zin van de AVG.
Verwerker zorgt ervoor dat haar personeel dat bevoegd is om de persoonsgegevens te Verwerken zich tot vertrouwelijkheid verbindt gedurende en na hun dienstverband (bijvoorbeeld door middel van een geheimhoudingsovereenkomst), voor zover het niet reeds tot een wettelijke verplichting tot geheimhouding is gehouden.
Partijen zijn zich ervan bewust dat de technische en organisatorische maatregelen kunnen veranderen en dat effectieve beveiligingsmaatregelen evaluatie en verbetering van de maatregelen vereisen. Verwerker zal de door haar getroffen maatregelen zo vaak als Verwerker dat nodig acht evalueren, aanscherpen en/of verbeteren om te (blijven) voldoen aan de eisen en verplichtingen zoals genoemd in artikel 4 lid 1.

Artikel 5: Datalek

Nadat Verwerker met het bestaan van een datalek bekend is geworden, zal Verwerker Verantwoordelijke daarvan onverwijld uur schriftelijk (per e-mail op het adres de functionaris gegevensbescherming) in kennis stellen. Verwerker zal daarbij in ieder geval de volgende informatie aan Verantwoordelijke verstrekken:
1. het tijdstip van aanvang van het datalek;
2. de aard en de omvang en gevolgen van het datalek;
3. de (mogelijk) getroffen persoonsgegevens en, voor zover mogelijk, bij benadering, het

aantal getroffen persoonsgegevens in kwestie;

1. de verwachte hersteltijd;
2. welke maatregelen zijn getroffen en nog zullen worden getroffen om het datalek te

beëindigen.

Nadat Verwerker bekend is geworden met een datalek, zal Verwerker de maatregelen treffen die

redelijkerwijs van haar kunnen worden verwacht om de nadelige gevolgen van het datalek in voorkomend geval te herstellen, zoveel mogelijk te beperken en/of zoveel mogelijk in de toekomst te voorkomen.

Indien er sprake is van een datalek dat in de zin van de privacywetgeving dient te worden gemeld bij de toezichthoudende autoriteit en/of betrokkenen, is Verantwoordelijke verantwoordelijk om voor tijdige melding daarvan zorg te dragen. Verantwoordelijke vrijwaart Verwerker voor alle schade die deze lijdt doordat geen tijdige melding door Verantwoordelijke plaatsvindt, ongeacht de reden daarvoor.
Voor zover redelijkerwijs mogelijk en na ontvangst van een schriftelijk verzoek daartoe van Verantwoordelijke, zal Verwerker medewerking verlenen aan Verantwoordelijke bij het doen van een melding van een datalek, in de zin van artikel 33 en artikel 34 AVG, aan betrokkenen en/of de autoriteit persoonsgegevens. De redelijke (interne) door Verwerker in dat kader te maken kosten, zijn voor rekening van Verantwoordelijke. Verantwoordelijke zal deze kosten onmiddellijk, na daartoe een verzoek van Verwerker te hebben ontvangen, aan Verwerker vergoeden.

Artikel 6: Samenwerking en Betrokkenen

Indien (een) betrokkene(n) diens rechten uit de AVG uitoefent, door bijvoorbeeld i) een klacht in verband met de verwerking van persoonsgegevens onder de Verwerkersovereenkomst, ii) een verzoek, vraag of bevel tot de productie, verwerking of toegang tot persoonsgegevens, of iii) verzoeken, waaronder verzoeken tot toegang, rectificatie, blokkering van verwerking van persoonsgegevens, data-overdraagbaarheid en soortgelijke verzoeken, in te dienen bij Verantwoordelijke en/of Verwerker, is Verantwoordelijke eindverantwoordelijk voor het tijdig, juist, op passende wijze en in overeenstemming met de privacywetgeving afhandelen daarvan.
In het geval dat een betrokkene zich met betrekking tot het uitoefenen van diens rechten, zoals omschreven in artikel 6 lid 1, tot Verwerker wendt, dient Verwerker Verantwoordelijke daarvan uitsluitend zo spoedig mogelijk schriftelijk in kennis te stellen. Meer hoeft Verwerker niet te doen. Verwerker schiet niet tekort in de nakoming van deze Verwerkersovereenkomst als de in kennisstelling van artikel 6 lid 2 niet zo spoedig mogelijk plaatsvindt.
Naast de in deze verwerkersovereenkomst reeds genoemde verplichtingen, zal Verwerker:
1. Verantwoordelijke, na daartoe een schriftelijk verzoek te hebben ontvangen, bijstand verlenen bij het nakomen van diens verplichtingen uit hoofde van artikel 35 en artikel 36 AVG. rekening houdend met de aard van de Verwerking, Verantwoordelijke door middel van passende technische en organisatorische maatregelen, voor zover mogelijk en na daartoe een schriftelijk verzoek te hebben ontvangen, bijstand verlenen bij het vervullen van de verplichting van Verantwoordelijke om verzoeken om uitoefening van de rechten van de betrokkene uit de AVG uit te voeren.
2. Na daartoe een schriftelijk verzoek van Verantwoordelijke te hebben ontvangen, samenwerken met de toezichthoudende autoriteit bij het vervullen van haar taken.
Verantwoordelijke blijft eindverantwoordelijk voor de tijdige en/of juiste uitvoering van een beroep van betrokkene op diens rechten uit de AVG en/of (overige) privacywetgeving, waaronder, doch niet uitsluitend, de rechten zoals genoemd in artikel 6 lid 1 van deze Verwerkersovereenkomst en/of de communicatie met/naar betrokkenen. Verantwoordelijke vrijwaart Verwerker voor alle schade die deze lijdt doordat geen tijdige en/of juiste uitvoering van een beroep van een betrokkene zoals hiervoor omschreven plaatsvindt, ongeacht de oorzaak daarvan.
Alle (interne) kosten die Verwerker maakt in het kader van artikel 6 lid 3 zijn voor rekening van Verantwoordelijke. Verantwoordelijke zal deze kosten onmiddellijk, na daartoe een verzoek van Verwerker te hebben ontvangen, aan Verwerker vergoeden.

Artikel 7: Vrijwaring en aansprakelijkheid

Verantwoordelijke vrijwaart en stelt schadeloos Verwerker, haar groepsmaatschappijen en door Verwerker ingeschakelde Sub-verwerkers met betrekking tot de Verwerking van persoonsgegevens onder deze Verwerkersovereenkomst ter zake van alle schade in verband met een tekortkoming in de nakoming van één of meer verplichtingen van Verantwoordelijke uit deze Verwerkersovereenkomst, de Hoofdovereenkomst en/of uit hoofde van de privacywetgeving, ongeacht de reden voor de tekortkoming. Voor de toepassing van dit artikel wordt onder schade verstaan: i) boetes, dwangsommen en andere sancties die door een toezichthoudende autoriteit of andere overheidsinstantie worden opgelegd, ii) eventuele schadevergoeding die wordt geëist door betrokkenen en/of Sub-verwerkers; en iii) redelijke kosten die verband houden met de tenuitvoerlegging van dit artikel.
Verantwoordelijke vrijwaart en stelt Verwerker, haar groepsmaatschappijen en/of door Verwerker ingeschakelde Sub-verwerkers, schadeloos voor wat betreft alle aanspraken van Betrokkene(n) voor zover Verantwoordelijke niet over de (juiste) toestemming van hen beschikt voor de verwerking van hun persoonsgegevens op basis van deze Verwerkersovereenkomst en de daarbij behorende doelen.
De aansprakelijkheid van Verwerker voor directe schade is uitgesloten, tenzij er sprake is van opzet of grove schuld door Verwerker.
De aansprakelijkheid van Verwerker voor directe schade is beperkt tot de hoogte van het bedrag dat Verantwoordelijke in het betreffende jaar dat de schade zich voordoet voor het gebruiksrecht van de applicatie MAAT heeft betaald.
De aansprakelijkheid van Verwerker voor indirecte schade en/of gevolgschade is uitgesloten, tenzij Verwerker aanwijsbare opzet of grove nalatigheid kan worden verweten.
Verantwoordelijke draagt zorg voor afdoende dekking van diens aansprakelijkheid op basis van deze Verwerkersovereenkomst, de Hoofdovereenkomst en/of de geldende privacywetgeving, evenals voor het in artikel 7 lid 1 en artikel 7 lid 2 bepaalde, door het afsluiten van een adequate verzekering. Verantwoordelijke is verplicht voor dekking van die verzekering zorg te dragen door tijdige betaling van de premies. Indien Verwerker verzoekt om bewijs te ontvangen dat Verantwoordelijke de verplichtingen uit artikel 7 lid 6 nakomt, is Verantwoordelijke verplicht daaraan onmiddellijk gehoor te geven door toezending aan Verwerker van de polis met voorwaarden en bewijs van betaling van de premies.

Artikel 8: Audit

Partijen spreken af dat Verwerker maximaal één keer per jaar, op een door Verwerker te bepalen moment, een audit (inspectie) zal laten uitvoeren naar de naleving van Verwerker van artikel 28 AVG en artikel 32 AVG door een onafhankelijke partij. De uitkomst van deze audit, in de vorm van een rapport, kan Verantwoordelijke te allen tijde bij Verwerker opvragen.
Indien Verwerker: 1) op het moment dat Verantwoordelijke om het rapport verzoekt, nog geen (nieuw) rapport kan aanleveren en Verantwoordelijke daarop niet wenst te wachten; of 2) als Verantwoordelijke na ontvangst van het in artikel 8 lid 1 bedoelde rapport nog een audit wenst te laten uitvoeren, is Verantwoordelijke gerechtigd de audit zoals omschreven in artikel 8 lid 1 door de onafhankelijke partij van artikel 8 lid 1 dan wel door een andere partij te laten uitvoeren (hierna ‘second opinion’), op een met Verwerker overeen te komen tijdstip, voor eigen rekening van Verantwoordelijke. Verantwoordelijk mag deze second opinion maximaal één keer per jaar uitvoeren. Verantwoordelijke draagt er zorg voor dat de uitkomst van deze second opinion in de vorm van een rapport geschiedt, welk rapport per gelijke post aan Verantwoordelijke en Verwerker worden verstuurd. Alle kosten, vergoedingen en onkosten in verband met de second opinion zijn voor rekening van Verantwoordelijke, met inbegrip van de redelijke in dat kader door Verwerker gemaakte interne kosten (hierna “kosten”), tenzij uit de second opinion blijkt dat er sprake is van aanwijsbare nalatigheid door Verwerker.

Artikel 9: Duur en Beëindiging

Deze Verwerkersovereenkomst is van kracht vanaf het moment dat beide partijen daarmee hebben ingestemd door ondertekening van deze overeenkomst, bij gebreke waarvan de Verwerkersovereenkomst van kracht is vanaf het moment dat partijen daaraan feitelijk uitvoering geven. Partijen geven feitelijk uitvoering aan deze Verwerkersovereenkomst op het moment dat persoonsgegevens worden ingevuld/verwerkt in de sub b van de overwegingen applicatie MAAT.
De duur van deze Verwerkersovereenkomst is gelijk aan de duur van de Hoofdovereenkomst. Deze Verwerkersovereenkomst eindigt van rechtswege op het moment dat de Hoofdovereenkomst eindigt.
Tussentijdse opzegging van de Verwerkersovereenkomst is niet mogelijk.
Alle bepalingen van deze Verwerkersovereenkomst die uitdrukkelijk of impliciet zijn bedoeld om van kracht te blijven na beëindiging of afloop van deze Verwerkersovereenkomst, met inbegrip van de artikelen 4 lid 3 (geheimhouding) en 7 (vrijwaring en aansprakelijkheid), blijven ook na beëindiging daarvan ongewijzigd van kracht.
In geval van beëindiging van deze Verwerkersovereenkomst zal Verwerker, binnen 30 dagen na ontvangst van een schriftelijke verzoek daartoe, alle aan haar ter beschikking gestelde persoonsgegevens aan Verantwoordelijke retourneren en alle digitale kopieën van persoonsgegevens vernietigen en aan Verantwoordelijke verklaren dat zij dit heeft uitgevoerd, behoudens andersluidende schriftelijke opdracht van Verantwoordelijke. Van het retourneren en vernietigen zijn uitgezonderd de (persoons)gegevens/informatie die Verwerker volledig heeft geanonimiseerd, zodat deze niet meer te herleiden zijn naar een natuurlijk persoon en/of een Betrokkene niet (meer) identificeerbaar is. Verwerker is gerechtigd de volledig geanonimiseerde gegevens te bewaren en gebruiken.
Indien een zelfstandige wettelijke verplichting van Verwerker het geheel of gedeeltelijk retourneren en/of vernietigen van de persoonsgegevens, zoals in artikel 9 lid 5 beschreven, door Verwerker verbiedt of beperkt zal zij Verantwoordelijke zo spoedig mogelijk schriftelijk in kennis stellen van de wettelijke verplichting. Verwerker zal alsdan de persoonsgegevens vertrouwelijk behandelen en bewaren en niet verwerken, behalve voor zover dat nodig is in het kader van de wettelijke verplichting.

Artikel10: Overig

Wijzigingen van deze Verwerkersovereenkomst zijn slechts van kracht indien zij schriftelijk zijn vastgelegd en ondertekend door partijen (of hun gemachtigde vertegenwoordigers).
Mededelingen/verzoeken van Verantwoordelijke aan Verwerker, dienen schriftelijk bij Verwerker te worden ingediend op het e-mailadres: info@hallomaat.nl. of per post Kloosterweg 1, 6412 CN Heerlen, tenzij in deze Verwerkersovereenkomst expliciet anders wordt bepaald.

Artikel 11: Rechts-enforumkeuze

Deze Verwerkersovereenkomst wordt beheerst door en geïnterpreteerd in overeenstemming met Nederlands recht.
Elk geschil dat voortkomt uit deze Verwerkersovereenkomst of daarmee verband houdt (van contractuele of niet-contractuele aard) wordt uitsluitend voorgelegd aan de daartoe in de Hoofdovereenkomst aangewezen rechtbank, bij gebreke waarvan geschillen in eerste aanleg uitsluitend worden voorgelegd aan de rechtbank Limburg, locatie Maastricht.

Aldus opgemaakt in tweevoud en door beide partijen ondertekend:

Datum: Plaats:

Verantwoordelijke

Datum: Plaats:

Verwerker
MAAT-IT B.V. | EIM Goossens

BIJLAGE 1

In het kader van deze Verwerkersovereenkomst en de Hoofdovereenkomst kunnen afhankelijk van de diensten waarvan gebruik wordt gemaakt, de volgende (bijzondere) persoonsgegevens worden verwerkt:

Gegevens *

Algemeen

– Voornaam
– Achternaam
– Geslacht
– Geboortedatum
– Groep(-en)
– School(-locatie)
– Diagnose

Meetgegevens

– Biometrische waarden ten bate van metingen stress
– Diagnostische informatie

Gebruik applicatie

– IP-adres X
– Internetbrowser en apparaat device type X
– Locatiegegevens X
– Gebruikersacties X

* kruis aan indien van toepassing

De verwerking van deze gegevens kan geschieden voor de volgende doeleinden:

● Om contact op te nemen om bijvoorbeeld een afspraak in te plannen/wijzigen, voor het stellen van vragen en/of deze te beantwoorden, voor hulp en ondersteuning bijvoorbeeld bij het gebruik van de programmatuur, waaronder de applicatie MAAT.
● Voor het aanmaken van een (online) account.
● Ter identificatie van een gebruiker voor een veilige toegang en gebruik van de programmatuur,

waaronder de applicatie MAAT.

● Ter identificatie van technische knelpunten die zich voordoen bij bijvoorbeeld het gebruik van de

programmatuur, waaronder de applicatie MAAT.

● Teneinde testen door een gebruiker van de programmatuur, waaronder de applicatie MAAT, te

kunnen (laten) uitvoeren.

● Voor het genereren van testresultaten door de programmatuur, waaronder de applicatie MAAT.
● Teneinde de prestatie van de programmatuur, waaronder de applicatie MAAT te optimaliseren.
● Voor opname in het klantenbestand.
● Om het gebruik van de applicatie te analyseren, om zo de applicatie te optimaliseren.

BIJLAGE 2: BEVEILIGINGSBIJLAGE

Omschrijving van de maatregelen zoals bedoeld in artikel 4.1.

# Onderwerp Maatregel 1

Informatiebeveiliging- en privacybeleid	– Verwerker heeft een coördinator voor informatiebeveiliging om risico’s omtrent de verwerking van persoonsgegevens te inventariseren, beveiligingsbewustzijn te stimuleren, voorzieningen te controleren en maatregelen te treffen die zien op naleving van het informatiebeveiligingsbeleid. – Informatiebeveiligingsincidenten worden gedocumenteerd en worden benut voor optimalisatie van het informatiebeveiligingsbeleid. – Verwerker heeft een proces ingericht voor communicatie over informatiebeveiligingsincidenten.
Medewerkers	– Met medewerkers worden geheimhoudingsverklaringen overeengekomen en afspraken rondom informatiebeveiliging gemaakt. – De geheimhouding van privacygevoelige persoonsgegevens en informatiebeveiliging wordt opgenomen in het huishoudelijke regelement. – Toegang tot (persoons-)gegevens wordt verleend op basis van ‘least privilege’ en ‘need-to-know’ pricipes.
Applicatieontwikkeling beveiligingsprincipes	– Persoonsgegevens worden uitsluitend verwerkt in een gesloten, fysiek beveiligde omgeving met bescherming tegen bedreigingen van buitenaf. – Persoonsgegevens worden uitsluitend verwerkt op apparatuur waarbij maatregelen zijn genomen om de apparatuur fysiek te beveiligen en de continuïteit van de dienstverlening te verzekeren. – Voor applicatiebeveiliging worden OWASP richtlijnen. De applicatie voldoet aan de OWASP Top 10. – Wijzigingen in applicaties worden getest, middels unit- en progressie- en acceptatietesten, op kwetsbaarheden voordat deze in productie worden genomen. – Op persoonsgegevens worden zoveel mogelijk cryptografische maatregelen toegepast om deze gegevens veilig op te slaan. – Inlogprocessen maken gebruik van versleutelde SSL verbindingen.

Systemen	– De serveromgeving waarbinnen (persoons-)gegevens worden verwerkt, is ISO 27001 gecertificeerd. – Op werksystemen worden periodiek de laatste (beveiligings)patches geïnstalleerd. – Persoonsgegevens worden niet op werksystemen bewaard.
Security incident & response	– Er is een gedocumenteerd security incident response plan dat geschikt is om Datalekken te detecteren, op te lossen en te melden, in overeenstemming met de verplichtingen in deze verwerkersovereenkomst.

– (Persoons-)gegevens worden verwerkt binnen de grenzen van de Europese Unie.

Logging	– Logging vindt plaats om (ongewenste) pogingen tot het verkrijgen van toegang tot de applicatie inzichtelijk te maken. – Logging vindt plaats om gebruikersacties inzichtelijk te maken op het moment dat gegevens onbedoeld zijn gewijzigd of verwijderd.
Continuïteit	– Periodiek worden backups gemaakt ten behoeve van de continuïteit van de dienstverlening. Deze backups worden vertrouwelijk behandeld en bewaard in een gesloten omgeving.

Cookie	Duur	Omschrijving
cookielawinfo-checbox-analytics	11 months	This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Analytics".
cookielawinfo-checbox-functional	11 months	The cookie is set by GDPR cookie consent to record the user consent for the cookies in the category "Functional".
cookielawinfo-checbox-others	11 months	This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Other.
cookielawinfo-checkbox-necessary	11 months	This cookie is set by GDPR Cookie Consent plugin. The cookies is used to store the user consent for the cookies in the category "Necessary".
cookielawinfo-checkbox-performance	11 months	This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Performance".
viewed_cookie_policy	11 months	The cookie is set by the GDPR Cookie Consent plugin and is used to store whether or not user has consented to the use of cookies. It does not store any personal data.

Verwerkersovereenkomst

DOWNLOAD APP

DEELNEMEN

Meer info en contact