Verwerkersovereenkomst
Verwerkt Katama persoonsgegevens in jouw opdracht, bijvoorbeeld bij hosting of websitebeheer, dan geldt deze verwerkersovereenkomst. Zij maakt deel uit van de overeenkomst en hoeft niet apart te worden ondertekend.
1. Partijen en rollen
Verwerker is Katama, eenmanszaak, gevestigd aan Maaseikstraat 61, 4826 LR Breda, KVK 69778035. Verwerkingsverantwoordelijke is de opdrachtgever die met Katama een overeenkomst heeft voor hosting, websitebeheer, automatisering of een vergelijkbare dienst.
Opdrachtgever bepaalt het doel en de middelen van de verwerking. Katama verwerkt uitsluitend in opdracht en verwerkt de gegevens niet voor eigen doeleinden. Deze overeenkomst is de verwerkersovereenkomst zoals bedoeld in artikel 28 lid 3 van de AVG.
2. Onderwerp en duur
De verwerking vindt plaats in het kader van de dienstverlening en duurt zolang die dienstverlening loopt. Eindigt de overeenkomst, dan eindigt de verwerking, met inachtneming van artikel 9.
3. Soort gegevens en betrokkenen
| Categorie betrokkenen | Soort gegevens |
|---|---|
| Websitebezoekers van opdrachtgever | IP-adres, technische logs, gegevens uit ingevulde formulieren |
| Klanten van opdrachtgever | Naam, adres, e-mailadres, telefoonnummer, bestel- of dossiergegevens |
| Medewerkers en contactpersonen van opdrachtgever | Naam, zakelijk e-mailadres, inloggegevens, rol |
| Ontvangers van e-mail via systemen in beheer | E-mailadres en de inhoud van berichten |
Opdrachtgever plaatst geen bijzondere categorieën persoonsgegevens in de systemen zonder dat vooraf schriftelijk te melden, zodat er passende extra maatregelen getroffen kunnen worden. Onder bijzondere categorieën vallen onder meer gegevens over gezondheid, ras, religie en strafrechtelijke gegevens.
4. Instructies
Katama verwerkt de gegevens alleen op schriftelijke instructie van opdrachtgever. De overeenkomst, de offerte en deze verwerkersovereenkomst gelden als die instructie. Is een instructie naar het oordeel van Katama in strijd met de wet, dan meldt Katama dat en mag de uitvoering worden opgeschort.
Verplicht de wet Katama tot een verwerking buiten de instructie om, dan wordt opdrachtgever daarover vooraf geïnformeerd, tenzij die wet dat verbiedt.
5. Beveiliging
Katama treft passende technische en organisatorische maatregelen, waaronder:
- versleutelde verbindingen naar servers en beheeromgevingen;
- tweefactorauthenticatie op accounts waar dat ondersteund wordt;
- unieke wachtwoorden, bewaard in een wachtwoordkluis;
- toegang alleen voor wie die nodig heeft voor de opdracht;
- dagelijkse back-ups met een bewaartermijn van dertig dagen;
- tijdig doorvoeren van beveiligingsupdates;
- logging van beheerhandelingen op de server.
Het beschermingsniveau is afgestemd op de aard van de gegevens en op de stand van de techniek. Maatregelen kunnen wijzigen zolang het niveau gelijkwaardig blijft.
6. Geheimhouding
Katama houdt de persoonsgegevens geheim. Wordt er iemand ingeschakeld die toegang krijgt, dan is die aan een gelijkwaardige geheimhoudingsplicht gebonden.
7. Subverwerkers
Opdrachtgever geeft algemene toestemming voor het inschakelen van subverwerkers. Katama legt hun dezelfde verplichtingen op als in deze overeenkomst staan en blijft aansprakelijk voor hun handelen. Op dit moment gaat het om de volgende soorten partijen:
| Soort dienst | Doel | Locatie verwerking |
|---|---|---|
| Hosting- en serverleverancier | Onderbrengen van websites en data | Europese Unie |
| E-mail- en verzenddienst | Verzenden van berichten uit systemen in beheer | Europese Unie |
| Back-upopslag | Bewaren van herstelkopieën | Europese Unie |
| Analyse- en monitoringdiensten | Statistieken en storingsdetectie | Europese Unie, met doorgifte naar de Verenigde Staten |
Een actuele lijst met de namen van de subverwerkers is op te vragen via [email protected]. Wil Katama een subverwerker vervangen of toevoegen, dan wordt dat ten minste dertig dagen vooraf gemeld. Maakt opdrachtgever binnen die termijn gemotiveerd bezwaar en komen partijen er niet uit, dan mag opdrachtgever de betreffende dienst opzeggen zonder kosten voor de resterende looptijd.
8. Doorgifte buiten de Europese Economische Ruimte
Doorgifte buiten de EER vindt alleen plaats als er een geldige grondslag is: een adequaatheidsbesluit van de Europese Commissie, of de standaardcontractbepalingen met aanvullende maatregelen. Op verzoek laat Katama zien welke grondslag voor welke partij geldt.
9. Teruggave en verwijdering
Bij het einde van de dienstverlening verwijdert Katama de persoonsgegevens, of geeft ze terug als opdrachtgever daarom vraagt. Zo'n verzoek moet binnen dertig dagen na beëindiging binnen zijn. Daarna worden de gegevens en de back-ups verwijderd, behalve wat op grond van de wet bewaard moet blijven. Op verzoek bevestigt Katama de verwijdering schriftelijk.
10. Datalekken
Bij een inbreuk in verband met persoonsgegevens informeert Katama de opdrachtgever zonder onnodige vertraging, en in elk geval binnen 24 uur na ontdekking. De melding bevat, voor zover bekend: wat er gebeurd is, welke categorieën gegevens en betrokkenen het betreft, de vermoedelijke gevolgen en de genomen of voorgestelde maatregelen. Ontbreekt informatie, dan volgt die zo snel mogelijk na.
Melden bij de Autoriteit Persoonsgegevens en bij betrokkenen is de verantwoordelijkheid van opdrachtgever. Katama meldt niet zelfstandig namens opdrachtgever, tenzij dat schriftelijk is afgesproken, en verleent de medewerking die voor die meldingen nodig is.
11. Rechten van betrokkenen
Krijgt Katama rechtstreeks een verzoek van een betrokkene, bijvoorbeeld om inzage of verwijdering, dan wordt dat verzoek doorgestuurd naar opdrachtgever en niet zelf afgehandeld. Katama verleent redelijke medewerking bij het beantwoorden. Kost die medewerking substantieel tijd, dan wordt die tegen het uurtarief in rekening gebracht, na overleg vooraf.
12. Audits
Opdrachtgever mag eens per kalenderjaar controleren of Katama zich aan deze overeenkomst houdt, en vaker als daar concrete aanleiding voor is. Een audit wordt ten minste dertig dagen vooraf aangekondigd en verstoort de dienstverlening niet onnodig. Katama beantwoordt eerst een schriftelijke vragenlijst; blijkt dat onvoldoende, dan volgt een audit ter plaatse of door een onafhankelijke deskundige met geheimhoudingsplicht. De kosten zijn voor opdrachtgever, tenzij uit de audit een wezenlijke tekortkoming van Katama blijkt.
13. Medewerking bij verplichtingen van opdrachtgever
Katama verleent redelijke medewerking bij een gegevensbeschermings- effectbeoordeling en bij een voorafgaande raadpleging van de toezichthouder, voor zover dat de verwerkingen betreft die Katama uitvoert.
14. Aansprakelijkheid
De aansprakelijkheidsregeling uit de algemene voorwaarden geldt ook voor deze overeenkomst, voor zover de wet dat toestaat. De aansprakelijkheid voor bestuurlijke boetes die aan opdrachtgever worden opgelegd, komt alleen voor rekening van Katama voor zover die boete rechtstreeks het gevolg is van een toerekenbare tekortkoming van Katama.
15. Slotbepalingen
Bij tegenstrijdigheid tussen deze verwerkersovereenkomst en de overige afspraken gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft. Wijzigingen worden ten minste dertig dagen vooraf aangekondigd. Op deze overeenkomst is Nederlands recht van toepassing.
Wil je een ondertekend exemplaar op papier of als pdf, vraag het aan via [email protected].