Verwerkersovereenkomst

Deze Verwerkersovereenkomst maakt integraal onderdeel uit van de Overeenkomst (offerte of voorstel) en de toepasselijke Algemene Voorwaarden tussen Bureau Steen, gevestigd te Made, ingeschreven bij de Kamer van Koophandel onder nummer 88082350 (hierna: "Verwerker") en de contractuele wederpartij die als opdrachtgever optreedt (hierna: "Verwerkingsverantwoordelijke").

‍

Verwerker en Verwerkingsverantwoordelijke worden hierna gezamenlijk aangeduid als "Partijen" en individueel als "Partij".

‍

Sneloverzicht: Specificatie van de Verwerking

Artikel 1. Definities

1. De begrippen in deze Verwerkersovereenkomst hebben de betekenis die daaraan is toegekend in de Algemene Verordening Gegevensbescherming (AVG).
2. Persoonsgegevens: Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon die in het kader van de Hoofdovereenkomst door Verwerker wordt verwerkt.
3. Datalek: Een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens.

‍

Artikel 2. Toepasselijkheid en Onderwerp

1. Deze Verwerkersovereenkomst is van toepassing op alle verwerkingen van persoonsgegevens die Verwerker verricht in het kader van de uitvoering van de tussen Partijen gesloten Hoofdovereenkomst (zoals online marketingbeheer en website-ontwikkeling).
2. Verwerkingsverantwoordelijke behoudt te allen tijde de volledige zeggenschap over het doel van en de middelen voor de verwerking van de persoonsgegevens. Verwerker treedt uitsluitend op volgens de schriftelijke instructies van Verwerkingsverantwoordelijke.

‍

Artikel 3. Uitvoering van de Verwerking

1. Verwerker verwerkt de persoonsgegevens uitsluitend op basis van de schriftelijke instructies van Verwerkingsverantwoordelijke, tenzij een op Verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke wettelijke bepaling hem tot verwerking verplicht. In dat geval stelt Verwerker de Verwerkingsverantwoordelijke voorafgaand aan de verwerking in kennis van dat wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.
2. Verwerker garandeert dat de personen die onder zijn verantwoordelijkheid gemachtigd zijn om de persoonsgegevens te verwerken (zoals eventuele medewerkers of ingeschakelde derden), zich tot geheimhouding hebben verplicht of door een passende wettelijke verplichting van geheimhouding zijn gebonden.

‍

Artikel 4. Beveiligingsmaatregelen

1. Verwerker neemt alle passende technische en organisatorische beveiligingsmaatregelen die vereist zijn om de persoonsgegevens te beschermen tegen verlies, misbruik, ongeoorloofde toegang of onrechtmatige wijziging conform artikel 32 AVG.
2. Deze maatregelen omvatten in ieder geval, maar zijn niet beperkt tot: het gebruik van sterke, unieke wachtwoorden, twee-factor-authenticatie (2FA) op alle marketing- en accountsystemen (zoals Google Ads en hostingomgevingen), het versleutelen van verbindingen (SSL/HTTPS op websites) en het up-to-date houden van software-systemen.
3. Verwerkingsverantwoordelijke erkent dat de technische inrichting van systemen van derden (zoals Google Analytics 4 of Google Ads) en de keuzes omtrent data-retentie binnen die systemen mede onder de directe verantwoordelijkheid van de Verwerkingsverantwoordelijke vallen.

‍

Artikel 5. Inbreuken op de beveiliging (Datalekken)

1. Indien Verwerker een Datalek ontdekt dat betrekking heeft op de persoonsgegevens die hij namens de Verwerkingsverantwoordelijke verwerkt, stelt hij Verwerkingsverantwoordelijke hierover zonder onredelijke vertraging, doch uiterlijk binnen 48 uur na de ontdekking, schriftelijk of elektronisch in kennis.
2. De kennisgeving bevat, voor zover bekend, een omschrijving van de aard van het Datalek, de categorieën en de omvang van de betrokken persoonsgegevens, de waarschijnlijke gevolgen van het lek en de maatregelen die Verwerker heeft genomen of voorstelt te nemen om de gevolgen te beperken.
3. Het is de exclusieve verantwoordelijkheid van de Verwerkingsverantwoordelijke om te beoordelen of het Datalek gemeld moet worden aan de Autoriteit Persoonsgegevens en/of de betrokkenen, en om deze melding desgewenst tijdig te verrichten. Verwerker verleent hierbij alle redelijke medewerking.

‍

Artikel 6. Medewerking aan verplichtingen

1. Verwerker verleent de Verwerkingsverantwoordelijke, voor zover redelijkerwijs mogelijk, bijstand bij het nakomen van diens verplichtingen om gehoor te geven aan verzoeken van betrokkenen die hun rechten uitoefenen (zoals het recht op inzage, correctie of verwijdering van gegevens). Indien een betrokkene rechtstreeks een verzoek stuurt naar Verwerker, stuurt Verwerker dit verzoek zo spoedig mogelijk door naar Verwerkingsverantwoordelijke.
2. Verwerker verleent Verwerkingsverantwoordelijke redelijke bijstand bij het uitvoeren van een data protection impact assessment (DPIA) of een voorafgaande raadpleging van de toezichthouder, indien dit wettelijk verplicht is voor de onderliggende dienstverlening. Verwerker kan voor deze extra werkzaamheden een vergoeding op basis van zijn gebruikelijke uurtarief bedingen.

‍

Artikel 7. Inschakeling van Subverwerkers

1. Verwerkingsverantwoordelijke verleent Verwerker hierbij een algemene toestemming voor het inschakelen van derden (subverwerkers) voor de uitvoering van specifieke onderdelen van de dienstverlening.
2. Onder de reeds goedgekeurde subverwerkers vallen in elk geval de partijen die noodzakelijk zijn voor de uitvoering van digitale marketing en websitebeheer, te weten: Google LLC (voor GA4, GTM en Google Ads), LinkedIn Corporation, X Corp. (voorheen Twitter), en de hostingpartij(en) van de website van de Klant. Indien voor een specifieke opdracht aanvullende platforms worden ingezet (bijvoorbeeld Meta Platforms voor advertenties op Facebook/Instagram), worden deze als subverwerker aan deze opsomming toegevoegd.
3. Verwerker zal Verwerkingsverantwoordelijke vooraf schriftelijk informeren over eventuele voorgenomen toevoegingen of vervangingen van subverwerkers. Verwerkingsverantwoordelijke heeft het recht om binnen 14 dagen na deze kennisgeving gemotiveerd schriftelijk bezwaar te maken tegen de voorgenomen wijziging. Indien Partijen niet binnen een redelijke termijn tot een oplossing komen, heeft Verwerkingsverantwoordelijke het recht de Hoofdovereenkomst, voor zover deze betrekking heeft op de betreffende verwerking, schriftelijk op te zeggen tegen de datum waarop de voorgenomen wijziging ingaat.
4. Verwerker legt aan eventuele subverwerkers ten minste dezelfde verplichtingen en beveiligingsstandaarden op als die welke in deze Verwerkersovereenkomst aan Verwerker zijn opgelegd.

‍

Artikel 8. Audits

1. Verwerkingsverantwoordelijke heeft het recht om maximaal één keer per kalenderjaar op eigen kosten een audit te laten uitvoeren door een onafhankelijke, gecertificeerde deskundige, uitsluitend om de naleving van deze Verwerkersovereenkomst te controleren.
2. Een audit is alleen toegestaan nadat Verwerkingsverantwoordelijke alle relevante documenten en verklaringen bij Verwerker heeft opgevraagd en deze stukken onvoldoende uitsluitsel geven, en mits de audit de normale bedrijfsvoering van Verwerker niet onredelijk verstoort. Partijen dienen de audit ten minste 4 weken vooraf schriftelijk in te plannen.

‍

Artikel 9. Duur, Beëindiging en Teruggave

1. Deze Verwerkersovereenkomst treedt in werking op het moment dat de Hoofdovereenkomst van kracht wordt en blijft geldig voor de duur van de Hoofdovereenkomst.
2. Na beëindiging van de Hoofdovereenkomst zal Verwerker, naar keuze van de Verwerkingsverantwoordelijke, alle persoonsgegevens die in zijn bezit zijn vernietigen of aan de Verwerkingsverantwoordelijke overdragen (inclusief het overdragen van de eigendomsrechten op actieve Google- of marketingproperties conform de voorwaarden in de Algemene Voorwaarden), tenzij de opslag van de persoonsgegevens krachtens Unierecht of lidstaatrechtelijk recht verplicht is.

‍

Artikel 10. Aansprakelijkheid

1. De aansprakelijkheid van Verwerker uit hoofde van of in verband met deze Verwerkersovereenkomst maakt deel uit van, en is onderworpen aan, de aansprakelijkheidsregeling en de beperkingen zoals opgenomen in de Algemene Voorwaarden van Bureau Steen, voor zover dwingend recht (waaronder artikel 82 AVG) zich daartegen niet verzet.
2. Verwerkingsverantwoordelijke vrijwaart Verwerker voor aanspraken van betrokkenen of derden voor zover deze het gevolg zijn van een handelen of nalaten van Verwerkingsverantwoordelijke zelf, van diens (foutieve of onvolledige) instructies, of van de inrichting en keuzes binnen systemen van derden die onder de verantwoordelijkheid van Verwerkingsverantwoordelijke vallen. Deze vrijwaring geldt niet voor zover de schade het rechtstreekse gevolg is van opzet of bewuste roekeloosheid van Verwerker.

‍

Artikel 11. Toepasselijk Recht en Geschillen

1. Op deze Verwerkersovereenkomst is uitsluitend Nederlands recht van toepassing.
2. Alle geschillen die verband houden met deze Verwerkersovereenkomst worden exclusief voorgelegd aan de bevoegde sector van de Rechtbank Zeeland-West-Brabant, locatie Breda.