Verwerkersovereenkomst tussen Afnemer en Logoclicks

Artikel 1. Scope en doelbinding

1.1. Onderwerp van deze Verwerkersovereenkomst is het maken van afspraken over het verwerken van persoonsgegevens zoals bedoeld in artikel 28 lid 3 van de Algemene Verordening Gegevensbescherming. Deze Verwerkersovereenkomst zal hierna worden genoemd “Verwerkersovereenkomst”.

1.2. Op basis van de vigerende wet- en regelgeving en in het kader van het verwerken van persoonsgegevens onderscheiden en erkennen Partijen respectievelijk de volgende rollen (inclusief de daarbij behorende verantwoordelijkheden): de Afnemer is verwerkingsverantwoordelijke, Logoclicks wordt beschouwd als verwerker, eventueel door Logoclicks ingeschakelde derde die persoonsgegevens verwerkt is sub-verwerker.

1.3. Logoclicks verwerkt in het kader van de uitvoering van de overeengekomen werkzaamheden en diensten, de persoonsgegevens slechts in opdracht en op instructies van Afnemer. Indien de instructies niet opgevolgd kunnen worden binnen de overeengekomen werkzaamheden en diensten, treden Partijen in overleg over de (financiële) gevolgen van opvolgen. Logoclicks zal Afnemer op de hoogte stellen indien een door Afnemer gegeven instructie volgens Logoclicks in strijd is met de vigerende wet- en regelgeving ter zake het verwerken van persoonsgegevens.

1.4. Logoclicks zal in het kader van de uitvoering van de overeengekomen werkzaamheden en diensten, de persoonsgegevens alleen ten behoeve van Afnemer verwerken, waarbij het Logoclicks niet is toegestaan de persoonsgegevens van Afnemer voor eigen doeleinden, anders dan overeengekomen, te verwerken en/of aan derden te verstrekken.

Artikel 2. Geheimhouding

2.1. Ieder der partijen zal alle redelijkerwijs te nemen maatregelen treffen teneinde de geheimhouding van vertrouwelijke informatie te waarborgen voor zover zulks mogelijk is in verband met de uitvoering van de Overeenkomst.

2.2. De van Afnemer verkregen gegevens en door Logoclicks te verwerken persoonsgegevens zullen door Logoclicks niet aan derden worden verstrekt, tenzij er door de Afnemer schriftelijk toestemming is verleend, of tenzij het voor de uitvoering van de overeengekomen werkzaamheden en diensten, de nakoming van een wettelijke verplichting, een verzoek van een autoriteit, of gerechtelijke uitspraak noodzakelijk is.

2.3. Logoclicks draagt er zorg voor dat de gegevens aan personeel van Partijen alleen op need-to-know basis worden verstrekt, en dat alleen het personeel dat belast is met het uitvoeren van de overeengekomen werkzaamheden of diensten toegang heeft tot de (de verwerking van) persoonsgegevens.

Artikel 3. Technische en organisatorische maatregelen

3.1. Partijen zullen zorgdragen voor de naleving van de toepasselijke wet- en regelgeving, waaronder in ieder geval begrepen wet- en regelgeving op het gebied van de bescherming van persoonsgegevens, zoals de Algemene Verordening Gegevensbescherming.

3.2. Logoclicks legt passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico’s die de verwerking en de aard van de te beschermen gegevens met zich meebrengen. De maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen. Op eerste verzoek van Afnemer, verstrekt Logoclicks documentatie waaruit blijkt welke maatregelen ten uitvoer gelegd zijn

3.3. Afnemer legt voor het gedeelte waarvoor zij verantwoordelijk is passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico’s die de verwerking en de aard van de te beschermen gegevens met zich meebrengen. De maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen.

Het gaat dan bijvoorbeeld om:
(i) bedrijfsprocessen die voldoen aan de relevante wetgeving ter zake het verwerken van persoonsgegevens;
(ii) autorisatiemodellen waarbij personeel dat niets of maar beperkt met bepaalde gegevens te maken heeft, geen dan wel gereguleerde toegang heeft tot die gegevens
(iii); beveiliging van werkstations;
(iv) een adequaat wachtwoord- en toegangsbeleid.

Tevens dient Afnemer er zorg voor te dragen dat zij een adequaat beleid voert ter zake gebruik van (privé) gebruik van de eigen systemen, internet en e-mail, waarbij is bepaald dat bij het gebruik van applicaties persoonsgegevens gelogd kunnen worden.

3.4. Afnemer informeert voor aanvang van de overeengekomen werkzaamheden Logoclicks over de door hem getroffen technische en organisatorische maatregelen zoals bedoeld in vorengenoemd artikellid. Het is de verantwoordelijkheid van Afnemer om Logoclicks tijdig te verwittigen van nieuw of aangepast beleid ten aanzien van de technische en organisatorische maatregelen die hij krachtens wet- en regelgeving en verkeersopvattingen behoort te nemen.

3.5. Afnemer beoordeelt zelf in hoeverre een gegevensbeschermingseffectbeoordeling (PIA) zoals bedoeld in artikel 35 AVG nodig is. Indien Logoclicks naar eigen inzicht meent dat in een concreet geval een PIA behoort te worden uitgevoerd, dan brengt Logoclicks Afnemer hiervan op de hoogte en verzoekt Afnemer een PIA uit te voeren.

3.6. Indien Afnemer in het kader van het verwerken van persoonsgegevens een gegevensbeschermingseffectbeoordeling (PIA) heeft uitgevoerd, dan verstrekt Afnemer voor aanvang van overeengekomen werkzaamheden of levering van overeengekomen diensten aan Logoclicks een afschrift van de resultaten en de eventueel te nemen of genomen maatregelen.

3.7. Afnemer is gerechtigd om gedurende de looptijd van de Verwerkersovereenkomst de maatregelen genomen door Logoclicks door een onafhankelijke deskundige te laten toetsen door middel van een audit, op de voorwaarde dat:
(i) de audit door Afnemer tijdig wordt aangekondigd;
(ii) de kosten (inclusief kosten onafhankelijke derde zoals hiervoor bedoeld en de kosten voor het vrijmaken van één of meerdere medewerkers van Logoclicks welke de auditor ondersteunen tegen het uurtarief voor de desbetreffende medewerker(s)) voor de audit gedragen worden door Afnemer; en
(iii) het resultaat van de audit besproken wordt met Logoclicks;
(iv) Afnemer en/of auditor eerst kennis neemt van de reeds bij Logoclicks reeds aanwezige auditrapporten ter, en de audit zich beperkt tot eventuele omissies, opvolgpunten en/of een beperkte scope heeft.

Artikel 4. Derden

4.1. Logoclicks mag gebruik maken van een sub-verwerker. Afnemer geeft hierbij bij voorbaat algemene toestemming voor het inschakelen van sub-bewerkers. De lijst van sub-verwerkers is bij deze Verwerkersovereenkomst aangehecht. Deze lijst kan door Logoclicks naar eigen inzicht en oordeel worden uitgebreid. Mocht Logoclicks de lijst uitbreiden met nieuwe sub-verwerkers dan wordt Afnemer hiervan tijdig op de hoogte gesteld, waarbij Afnemer in de gelegenheid wordt gesteld om bezwaar te maken tegen de beoogde nieuwe sub-verwerkers.

4.2. Indien en voor zover het in voorgaand lid bedoeld bezwaar redelijk en gerond is, zullen Logoclicks en Afnemer zoeken naar redelijke oplossingen om de bezwaren weg te nemen en aan de wensen tegemoet te komen. Mochten Afnemer en Logoclicks niet tot een werkbare oplossing kunnen komen, dan is de Afnemer met inachtneming van een opzegtermijn van 30 (dertig) dagen gerechtigd de Verwerkersovereenkomst en de Overeenkomsten die hieraan gelieerd zijn en/of verband houden te beëindigen.

4.3. Het is Logoclicks niet toegestaan zonder toestemming van Afnemer de persoonsgegevens naar een land buiten de E.U. / E.E.R. door te geven. Dit geldt niet voor doorgifte aan de sub-verwerkers zoals vastgelegd in Bijlage 1.

4.4. Logoclicks sluit indien en voor zover mogelijk met de hiervoor bedoelde sub-verwerkers sub-verwerkersovereenkomsten.

4.5. Logoclicks kan niet voor elke sub-verwerker garanderen dat Logoclicks door de sub-verwerker op de hoogte wordt gesteld over wijzigingen ter zake sub-sub-verwerkers.

4.6. Het is Logoclicks toegestaan, zonder voorafgaande toestemming van Afnemer, om een bedrijf uit de groep van bedrijven zoals bedoeld in artikel 2:24b van het Burgerlijk Wetboek, als sub-verwerker in te schakelen.

Artikel 5. Datalekken en rechten van betrokkenen

5.1. Indien Logoclicks vermoedt, of te weten is gekomen, dat de persoonsgegevens van Afnemer gecompromitteerd zijn (security breach of een datalek), of zijn geweest, meldt Logoclicks dit onmiddellijk, in ieder geval binnen 48 (achtenveertig) uur, aan Afnemer. Naar aanleiding daarvan beoordeelt Afnemer of zij de betrokkenen zal informeren en/of het incident zal melden aan de door de wet aangewezen toezichthouder. Afnemer is en blijft altijd zelf verantwoordelijk voor een eventuele wettelijke verplichting daartoe. Niettemin verleent Logoclicks voor zover noodzakelijk medewerking om te kunnen voldoen aan de op Afnemer rustende wettelijke verplichtingen.

5.2. In het geval een betrokkene een verzoek omtrent inzage, correctie of verwijdering richt aan Logoclicks, of enig ander recht die hem toekomt wenst uit te oefenen, zal Logoclicks het verzoek doorsturen naar Afnemer, en zal Afnemer het verzoek verder afhandelen. Logoclicks stelt de betrokkene daarvan op de hoogte. Voor zover niet in strijd met enige wettelijke bepaling zal desverzocht Logoclicks medewerking verlenen aan Afnemer bij de behandeling en afhandeling van het verzoek.

5.3. Op eerste verzoek van Afnemer:
(i) verstrekt Logoclicks door Afnemer gevraagde informatie ter zake het verwerken van de persoonsgegevens van Afnemer; en
(ii) werkt Logoclicks met Afnemer mee indien en voor zover dit nodig is om de verplichtingen van Afnemer onder de vigerende wet- en regelgeving ter zake het verwerken van persoonsgegevens na te komen. Tweede zin van artikel 1.3 is van overeenkomstige toepassing.

Artikel 6. Overige bepalingen

6.1. Afnemer garandeert dat de inhoud, het gebruik en de opdracht tot de verwerkingen van de persoonsgegevens zoals bedoeld in deze Verwerkersovereenkomst, niet onrechtmatig is en geen inbreuk maken op enig recht van derden. Afnemer vrijwaart Logoclicks tegen alle aanspraken en claims die hiermee verband houden.

6.2. Deze Verwerkersovereenkomst duurt voort zolang Logoclicks werkzaamheden of diensten voor Afnemer verricht. Na afloop vernietigt Logoclicks de persoonsgegevens van Afnemer, of indien Afnemer daarom verzoekt, levert zij de persoonsgegevens aan Afnemer aan, alvorens de persoonsgegevens te vernietigen. Logoclicks levert op eerste verzoek van Afnemer een verklaring dat de persoonsgegevens vernietigd zijn.

6.3. Afnemer is zelf verantwoordelijk voor de keuze van de wijze waarop hij de gegevens aan Logoclicks aanlevert. Het is derhalve zijn verantwoordelijkheid om te controleren of de wijze waarop de gegevens worden aangeleverd aan Logoclicks voldoet aan de relevante wetgeving en/of (interne compliancy) reglementen. Hierbij houdt Afnemer rekening met de geldende richtlijnen van Logoclicks voor aanlevering van gegevens. Als de aanlevering door Afnemer niet past binnen de richtlijnen die Logoclicks hiervoor hanteert, heeft Logoclicks het recht om de gewenste wijze van aanlevering te weigeren of een aanlevering te verlangen die conform de richtlijnen van Logoclicks is. Afnemer vrijwaart Logoclicks voor alle aanspraken en/of schade indien en voor zover de gegevens niet zijn aangeleverd in overeenstemming met relevantie regelgeving en/of (interne compliancy) reglementen aan Logoclicks.

6.4. Op deze Verwerkersovereenkomst zijn de Algemene Voorwaarden van toepassing. Bij strijdigheid tussen hetgeen in de Algemene Voorwaarden is bepaald en de Verwerkersovereenkomst, geldt hetgeen is bepaald in deze Verwerkersovereenkomst.

Bijlage 1: Lijst van subverwerkers

Productontwikkeling door:
YipYip, gevestigd te Rotterdam (www.yipyip.nl)

Hosting door:
Amazon AWS (https://aws.amazon.com/compliance/gdpr-center/)
Logoclicks maakt gebruik van Amazon Services, waarbij met Amazon is afgesproken dat de gegevens alleen binnen de E.U. verwerkt zullen worden.

Download hier de verwerkersovereenkomst van Logoclicks.