Verwerkersovereenkomst

1.1AVG: Verordening (EU) 2016/679, de Algemene Verordening Gegevensbescherming.

1.2Dienstverleningsovereenkomst: de overeenkomst op grond waarvan Incasa aan Opdrachtgever Incasa Lite en/of Incasa Pro levert, inclusief de daarop toepasselijke algemene voorwaarden en bijlagen.

1.3Persoonsgegevens, Verwerking, Betrokkene, Verwerkingsverantwoordelijke, Verwerker en Inbreuk in verband met persoonsgegevens hebben de betekenis die daaraan in de AVG wordt gegeven.

1.4Subverwerker: een door Incasa of een andere partij in de verwerkingsketen ingeschakelde derde die ten behoeve van Opdrachtgever Persoonsgegevens verwerkt.

1.5Bij strijd tussen deze Verwerkersovereenkomst en de dienstverleningsovereenkomst prevaleert deze Verwerkersovereenkomst voor zover het de bescherming en verwerking van persoonsgegevens betreft. Voor overige onderwerpen prevaleert de dienstverleningsovereenkomst.

2.1Incasa verwerkt Persoonsgegevens uitsluitend voor de uitvoering van de dienstverlening (Incasa Lite en/of Incasa Pro, naar gelang het door Opdrachtgever afgenomen pakket), overeenkomstig de dienstverleningsovereenkomst, deze Verwerkersovereenkomst en overige schriftelijke of elektronisch vastgelegde instructies van Opdrachtgever.

2.2De Verwerking vangt aan zodra Incasa in het kader van onboarding, koppeling of dienstverlening toegang krijgt tot Persoonsgegevens en duurt zolang Incasa deze gegevens voor Opdrachtgever verwerkt, inclusief de overeengekomen periode voor export, teruggave en verwijdering.

2.3De concrete verwerkingsactiviteiten, doeleinden, categorieën Betrokkenen en categorieën Persoonsgegevens zijn vastgelegd in Bijlage 1. Bijlage 1 geldt als de volledige initiële instructie van Opdrachtgever.

2.4Incasa verwerkt de Persoonsgegevens niet voor eigen marketing, benchmarking, training van kunstmatige-intelligentiemodellen, verkoop van gegevens of andere commerciële doeleinden. Incasa mag uitsluitend geanonimiseerde gegevens gebruiken indien herleiding tot een natuurlijke persoon redelijkerwijs is uitgesloten.

2.5Incasa informeert Opdrachtgever onmiddellijk indien een instructie naar haar oordeel in strijd is met de AVG of andere toepasselijke privacywetgeving en schort de betreffende verwerking zo nodig op totdat Opdrachtgever de instructie heeft bevestigd of aangepast.

3.1Opdrachtgever bepaalt het doel en de essentiële middelen van de Verwerking, of handelt op basis van rechtsgeldige instructies van de uiteindelijke verwerkingsverantwoordelijke. Opdrachtgever is verantwoordelijk voor de rechtmatigheid, juistheid, actualiteit en proportionaliteit van de aan Incasa verstrekte Persoonsgegevens en instructies.

3.2Opdrachtgever waarborgt dat Betrokkenen op passende wijze zijn geïnformeerd, dat een geldige rechtsgrond bestaat en dat de verstrekking aan Incasa en haar Subverwerkers is toegestaan.

3.3Opdrachtgever verstrekt via Incasa Lite en/of Incasa Pro geen BSN, kopieën van identiteitsbewijzen, inkomensgegevens, gezondheidsgegevens, strafrechtelijke gegevens, gegevens over gezinssituatie of sociale problematiek, of geluidsopnamen, en evenmin bijzondere categorieën Persoonsgegevens als bedoeld in artikel 9 AVG, tenzij partijen daarover vooraf uitdrukkelijk en schriftelijk aanvullende afspraken hebben gemaakt.

3.4Wanneer Incasa constateert dat niet-beoogde of uitgesloten gegevens zijn aangeleverd, informeert zij Opdrachtgever en volgt zij diens rechtsgeldige instructie tot beperking, correctie of verwijdering, tenzij verwijdering wettelijk niet is toegestaan.

3.5Opdrachtgever behandelt inlogmiddelen vertrouwelijk, past passende toegangsbeveiliging toe en meldt misbruik of een vermoeden daarvan onmiddellijk aan Incasa.

4.1Incasa waarborgt dat alle personen die onder haar gezag toegang hebben tot Persoonsgegevens deze uitsluitend verwerken voor zover dat noodzakelijk is voor hun taak en overeenkomstig de instructies van Opdrachtgever.

4.2Deze personen zijn contractueel of wettelijk tot geheimhouding verplicht en ontvangen passende instructie en periodieke bewustwording over privacy en informatiebeveiliging.

4.3Incasa verstrekt Persoonsgegevens alleen aan bevoegde personen, goedgekeurde Subverwerkers of bevoegde overheidsinstanties wanneer zij daartoe wettelijk verplicht is. Voor zover wettelijk toegestaan informeert Incasa Opdrachtgever voorafgaand aan een verplichte verstrekking.

5.1Incasa treft en onderhoudt passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. De bij het sluiten van deze overeenkomst geldende maatregelen zijn opgenomen in Bijlage 2.

5.2Incasa beoordeelt de doeltreffendheid van de maatregelen periodiek en past deze aan wanneer de stand van de techniek, de risico's of de dienstverlening daartoe aanleiding geven. Wijzigingen mogen het overeengekomen beveiligingsniveau niet wezenlijk verlagen.

5.3Incasa Lite en Incasa Pro zijn ingericht voor de in Bijlage 1 beschreven gegevens en processen. Incasa en Easylink B.V. beschikken niet over een eigen externe privacy- of informatiebeveiligingscertificering. Het ontbreken daarvan laat de verplichting tot passende beveiliging onverlet.

5.4Er worden dagelijks back-ups gemaakt. Voor ernstige verstoringen geldt een beoogde hersteltijd van maximaal 24 uur, voor zover de aard van het incident en afhankelijkheden van derden dit redelijkerwijs toelaten.

6.1Incasa informeert Opdrachtgever zonder onredelijke vertraging nadat zij kennis heeft genomen van een Inbreuk die Persoonsgegevens van Opdrachtgever betreft. Incasa streeft naar een eerste melding binnen 24 uur en meldt in ieder geval zo spoedig mogelijk, uiterlijk binnen 72 uur na ontdekking.

6.2De eerste melding bevat de op dat moment beschikbare informatie uit Bijlage 4. Ontbrekende informatie wordt gefaseerd verstrekt zonder onredelijke verdere vertraging.

6.3Incasa onderzoekt de Inbreuk, beperkt de gevolgen, bewaart relevante informatie en verleent redelijke medewerking aan de beoordeling en eventuele melding aan de Autoriteit Persoonsgegevens en Betrokkenen. De beslissing en verantwoordelijkheid om aan de toezichthouder of Betrokkenen te melden berust bij de Verwerkingsverantwoordelijke.

6.4Een melding door Incasa houdt geen erkenning van aansprakelijkheid of tekortkoming in.

6.5Incasa brengt geen kosten in rekening voor werkzaamheden die noodzakelijk zijn door een aan Incasa of haar Subverwerkers toerekenbare tekortkoming. Bijzondere of omvangrijke ondersteuning die niet door een tekortkoming van Incasa is veroorzaakt, kan na voorafgaande kennisgeving tegen het geldende uurtarief worden doorbelast.

7.1Incasa verleent, rekening houdend met de aard van de Verwerking, door passende technische en organisatorische maatregelen bijstand aan Opdrachtgever bij verzoeken tot inzage, rectificatie, verwijdering, beperking, bezwaar en overdraagbaarheid.

7.2Ontvangt Incasa rechtstreeks een verzoek van een Betrokkene, dan stuurt zij het verzoek zonder inhoudelijke beoordeling door aan Opdrachtgever, tenzij wetgeving anders vereist. Incasa verstrekt aan de Betrokkene geen inhoudelijke reactie zonder instructie van Opdrachtgever.

7.3Incasa verleent redelijke bijstand bij gegevensbeschermingseffectbeoordelingen, voorafgaande raadpleging, beveiligingsbeoordelingen en de nakoming van de artikelen 32 tot en met 36 AVG, voor zover de gevraagde informatie betrekking heeft op de Verwerking door Incasa.

7.4Reguliere ondersteuning die met de standaardfuncties van Incasa Lite en/of Incasa Pro kan worden uitgevoerd, is inbegrepen. Bijzondere of omvangrijke werkzaamheden kunnen na voorafgaande kostenopgave tegen het geldende uurtarief worden doorbelast, behalve voor zover de noodzaak voortvloeit uit een tekortkoming van Incasa.

8.1Incasa stelt Opdrachtgever alle informatie ter beschikking die redelijkerwijs nodig is om naleving van deze Verwerkersovereenkomst en artikel 28 AVG aan te tonen.

8.2Opdrachtgever kan bij een concreet en redelijk vermoeden van een wezenlijke tekortkoming een audit laten uitvoeren door een onafhankelijke deskundige die aan geheimhouding is gebonden. De kosten hiervoor zijn voor rekening van Opdrachtgever.

9.1Opdrachtgever verleent algemene schriftelijke toestemming voor de inschakeling van de in Bijlage 3 opgenomen Subverwerkers en voor latere wijzigingen overeenkomstig dit artikel.

9.2Uitsluitend Incasa mag de lijst in Bijlage 3 actualiseren. Incasa informeert Opdrachtgever ten minste dertig dagen vooraf over een voorgenomen toevoeging of vervanging, tenzij een spoedwijziging noodzakelijk is om een beveiligingsrisico of continuïteitsprobleem te voorkomen.

9.3Opdrachtgever kan binnen veertien dagen na kennisgeving gemotiveerd bezwaar maken op redelijke gronden die rechtstreeks verband houden met gegevensbescherming. Partijen zoeken dan een redelijke oplossing. Wanneer geen oplossing mogelijk is, kan Opdrachtgever het betrokken onderdeel van de dienstverlening beëindigen tegen de datum waarop de wijziging ingaat.

10.1De Persoonsgegevens worden in het kader van deze overeenkomst uitsluitend binnen de Europese Economische Ruimte verwerkt. De primaire hostinglocatie is Neurenberg, Duitsland; de back-uplocatie is Falkenstein, Duitsland.

10.2Incasa en haar Subverwerkers geven Persoonsgegevens niet door aan een derde land of internationale organisatie en maken deze daar niet toegankelijk zonder voorafgaande kennisgeving aan Opdrachtgever en naleving van hoofdstuk V AVG.

10.3Wanneer een wijziging tot een doorgifte buiten de EER leidt, verstrekt Incasa vooraf informatie over het land, de ontvanger, de rechtsgrond voor de doorgifte en de aanvullende waarborgen.

11.1Opdrachtgever kan gedurende de looptijd en tot dertig dagen na beëindiging verzoeken om een export van de voor hem in Incasa Lite en/of Incasa Pro beschikbare gegevens in csv-formaat, voor zover de aard van de gegevens zich voor dit formaat leent.

11.2Na afloop van de hiervoor genoemde termijn verwijdert of anonimiseert Incasa de Persoonsgegevens uit de actieve productieomgevingen zonder onredelijke vertraging en uiterlijk binnen drie maanden na beëindiging, tenzij Opdrachtgever eerder om verwijdering verzoekt of bewaring wettelijk verplicht is.

11.3Persoonsgegevens in back-ups worden niet voor reguliere bedrijfsdoeleinden gebruikt, blijven logisch afgeschermd en worden volgens de geldende back-up-rotatie overschreven of verwijderd. Indien een back-up voor noodherstel wordt teruggezet, wordt de verwijdering opnieuw toegepast.

11.4Op verzoek bevestigt Incasa schriftelijk dat de verwijdering overeenkomstig dit artikel is uitgevoerd.

12.1Deze Verwerkersovereenkomst geldt niet voor Persoonsgegevens die Incasa voor eigen, zelfstandig bepaalde doeleinden verwerkt en waarvoor zij op grond van de AVG als verwerkingsverantwoordelijke optreedt, zoals haar eigen contract- en financiële administratie, naleving van wettelijke verplichtingen, klachtenafhandeling, fraudepreventie en de vaststelling, uitoefening of onderbouwing van rechtsvorderingen.

12.2Wanneer Incasa na beëindiging bepaalde gegevens wettelijk moet bewaren of deze strikt noodzakelijk zijn voor de onderbouwing van rechtsvorderingen, beperkt zij de verwerking tot dat doel, schermt zij de gegevens passend af en verwijdert zij deze zodra de toepasselijke bewaartermijn of noodzaak is verstreken.

12.3Incasa informeert Betrokkenen over zulke zelfstandige verwerkingen via haar eigen privacy-informatie, voor zover de AVG dit vereist.

13.1De aansprakelijkheidsbeperkingen en vrijwaringen uit de dienstverleningsovereenkomst en de toepasselijke algemene voorwaarden gelden ook voor deze Verwerkersovereenkomst, voor zover zij naar toepasselijk recht rechtsgeldig zijn.

14.1Deze Verwerkersovereenkomst treedt in werking tegelijk met de dienstverleningsovereenkomst voor Incasa Lite en/of Incasa Pro.

14.2Incasa kan deze standaardvoorwaarden wijzigen wanneer wetgeving, toezicht, techniek of de dienstverlening daartoe aanleiding geeft. Een wezenlijke wijziging wordt ten minste dertig dagen vooraf rechtstreeks aan Opdrachtgever medegedeeld.

14.3Indien Opdrachtgever redelijkerwijs niet met een wezenlijke wijziging kan instemmen, treden partijen in overleg. Wanneer geen oplossing wordt bereikt, kan Opdrachtgever de betrokken Incasa Lite- en/of Incasa Pro-dienst beëindigen tegen de datum waarop de wijziging ingaat.