Verwerkersovereenkomst

Voor wie deze overeenkomst geldt

Ben je particulier en zoek je een huis voor jezelf? Dan is deze overeenkomst niet voor jou. Casaloep is dan zelf verantwoordelijk voor je gegevens; lees de privacyverklaring.

Deze verwerkersovereenkomst geldt als een bedrijf of organisatie ("opdrachtgever") casaloep inschakelt en casaloep daarbij in opdracht van die opdrachtgever persoonsgegevens verwerkt, bijvoorbeeld van medewerkers of klanten van de opdrachtgever. De overeenkomst hoort bij de overeenkomst die de opdrachtgever met [BEDRIJFSNAAM] ("casaloep", "verwerker") sluit (de "hoofdovereenkomst") en wordt van kracht zodra de hoofdovereenkomst ingaat. Wil je een ondertekend exemplaar, mail dan hello@casaloep.com.

1. Begrippen

Begrippen als persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, subverwerker, betrokkene en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis uit de Algemene Verordening Gegevensbescherming (AVG). De opdrachtgever is verwerkingsverantwoordelijke; casaloep is verwerker.

2. Onderwerp en duur

Casaloep verwerkt persoonsgegevens alleen voor het uitvoeren van de hoofdovereenkomst, zoals beschreven in bijlage 1. Deze overeenkomst loopt zolang casaloep persoonsgegevens voor de opdrachtgever verwerkt.

3. Instructies van de opdrachtgever

• Casaloep verwerkt de persoonsgegevens alleen op basis van schriftelijke instructies van de opdrachtgever. De hoofdovereenkomst en deze overeenkomst gelden als zulke instructies.
• Casaloep gebruikt de persoonsgegevens niet voor eigen doeleinden.
• Vindt casaloep dat een instructie in strijd is met de AVG of andere regels over gegevensbescherming, dan meldt casaloep dat direct.
• Is casaloep wettelijk verplicht om gegevens te verwerken of te verstrekken, dan meldt casaloep dat vooraf aan de opdrachtgever, tenzij de wet dat verbiedt.

4. Geheimhouding

Iedereen die bij casaloep toegang heeft tot de persoonsgegevens, is tot geheimhouding verplicht, via een arbeidsovereenkomst, een geheimhoudingsverklaring of de wet. Alleen wie de gegevens voor zijn werk nodig heeft, krijgt toegang.

5. Beveiliging

Casaloep neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beschermen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten en de risico's. Bijlage 2 beschrijft de minimale maatregelen. Casaloep mag maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.

6. Subverwerkers

• De opdrachtgever geeft casaloep algemene toestemming om de subverwerkers uit bijlage 3 in te schakelen.
• Wil casaloep een subverwerker toevoegen of vervangen, dan meldt casaloep dat minstens 30 dagen vooraf. De opdrachtgever kan binnen die termijn met redenen bezwaar maken. Komen partijen er niet uit, dan mag de opdrachtgever de hoofdovereenkomst beëindigen voor het deel waarop de wijziging betrekking heeft.
• Casaloep legt subverwerkers ten minste dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover de opdrachtgever verantwoordelijk voor hun werk.

7. Doorgifte buiten de EER

Casaloep geeft persoonsgegevens alleen door naar een land buiten de Europese Economische Ruimte als daarvoor een passende waarborg geldt, zoals een adequaatheidsbesluit van de Europese Commissie (bijvoorbeeld het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie.

8. Rechten van betrokkenen

Casaloep helpt de opdrachtgever, voor zover redelijk, bij het beantwoorden van verzoeken van betrokkenen, zoals inzage, correctie of verwijdering. Krijgt casaloep zo'n verzoek rechtstreeks, dan stuurt casaloep het zonder onnodige vertraging door naar de opdrachtgever. Casaloep helpt ook bij een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging van de toezichthouder, als de opdrachtgever daarom vraagt.

9. Datalekken

• Ontdekt casaloep een datalek dat de persoonsgegevens van de opdrachtgever raakt, dan meldt casaloep dat zonder onredelijke vertraging, en in elk geval binnen 48 uur na ontdekking.
• De melding bevat, voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het raakt, de waarschijnlijke gevolgen en de maatregelen die casaloep heeft genomen of voorstelt. Casaloep vult de melding aan zodra er meer bekend is.
• De opdrachtgever beslist of het datalek wordt gemeld aan de toezichthouder en de betrokkenen.

10. Controle

Casaloep geeft de opdrachtgever op verzoek de informatie die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd. De opdrachtgever mag maximaal één keer per jaar, of na een datalek, een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht, na een aankondiging van ten minste 14 dagen. De kosten van de audit zijn voor de opdrachtgever, tenzij blijkt dat casaloep deze overeenkomst op wezenlijke punten niet naleeft.

11. Einde van de overeenkomst

Eindigt de hoofdovereenkomst, dan verwijdert casaloep binnen 30 dagen alle persoonsgegevens van de opdrachtgever, of geeft ze op verzoek eerst terug in een gangbaar bestand. Dit geldt niet voor gegevens die casaloep wettelijk moet bewaren. Back-ups worden volgens de normale cyclus overschreven, uiterlijk binnen 90 dagen.

12. Aansprakelijkheid en toepasselijk recht

Voor aansprakelijkheid geldt wat in de hoofdovereenkomst is afgesproken. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement waar casaloep gevestigd is. Bij strijd tussen deze overeenkomst en de hoofdovereenkomst gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

Bijlage 1: Specificatie van de verwerking

Bijlage 2: Beveiligingsmaatregelen

• Versleutelde verbindingen (TLS) voor alle verkeer van en naar casaloep.
• Wachtwoorden alleen versleuteld (gehasht) opgeslagen.
• Tweestapsverificatie op alle beheeraccounts.
• Toegang op basis van noodzaak; toegangsrechten worden ingetrokken als iemand ze niet meer nodig heeft.
• Regelmatige back-ups, versleuteld opgeslagen.
• Software en systemen worden bijgehouden met beveiligingsupdates.
• Een vaste procedure voor het melden en afhandelen van datalekken.

Bijlage 3: Subverwerkers