Verwerkersovereenkomst

1. Partijen en definities

Definities

In deze overeenkomst wordt verstaan onder:

• AVG: Verordening (EU) 2016/679 (Algemene Verordening Gegevensbescherming).
• Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.
• Verwerking: elke handeling met betrekking tot persoonsgegevens, waaronder het opslaan, raadplegen, gebruiken en verwijderen.
• Betrokkene: de natuurlijke persoon op wie de persoonsgegevens betrekking hebben (de begunstigde of debiteur in de SEPA-transactie).
• Dienst: het online platform van De Betaalfabriek voor het aanmaken van SEPA-betaalbestanden.
• Subverwerker: een derde partij ingeschakeld door de verwerker die persoonsgegevens verwerkt in opdracht van de verwerker.

2. Onderwerp en doel van de verwerking

De verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de levering van de Dienst: het genereren van SEPA XML-bestanden (pain.001 overboekingen en pain.008 incasso's) op basis van gegevens die de verwerkingsverantwoordelijke invoert of uploadt via het online platform.

De verwerker verwerkt de gegevens uitsluitend in opdracht en op instructie van de verwerkingsverantwoordelijke, tenzij een wettelijke verplichting anderszins vereist.

3. Aard van de persoonsgegevens

Er worden geen bijzondere categorieën persoonsgegevens (zoals gezondheidsgegevens of BSN) verwerkt via de Dienst.

4. Verplichtingen verwerker

De verwerker verplicht zich tot het volgende:

• Persoonsgegevens uitsluitend verwerken op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke.
• Geen persoonsgegevens delen met derden, tenzij noodzakelijk voor de Dienst of wettelijk verplicht.
• Passende technische en organisatorische beveiligingsmaatregelen treffen (zie artikel 7).
• Medewerkers die toegang hebben tot persoonsgegevens verplichten tot geheimhouding.
• De verwerkingsverantwoordelijke informeren indien een instructie naar het oordeel van de verwerker in strijd is met de AVG of andere toepasselijke wetgeving.
• De verwerkingsverantwoordelijke bijstand verlenen bij het nakomen van diens verplichtingen jegens betrokkenen.

5. Verplichtingen verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke verplicht zich tot het volgende:

• Een geldige rechtsgrondslag te hebben voor het invoeren en laten verwerken van persoonsgegevens via de Dienst.
• Betrokkenen te hebben geïnformeerd over de verwerking van hun persoonsgegevens, voor zover de AVG dat vereist.
• De verwerker tijdig en volledig te informeren over wijzigingen in de instructies voor de verwerking.
• Uitsluitend persoonsgegevens in te voeren die noodzakelijk zijn voor het aanmaken van SEPA-bestanden.

6. Subverwerkers

De verwerkingsverantwoordelijke verleent de verwerker een algemene toestemming om subverwerkers in te schakelen. De volgende subverwerkers worden momenteel ingezet:

De verwerker stelt de verwerkingsverantwoordelijke in staat bezwaar te maken tegen de inschakeling van een nieuwe subverwerker door dit tijdig (minimaal 14 dagen van tevoren) te communiceren. Bij gegrond bezwaar en geen overeenstemming kan de verwerkingsverantwoordelijke de overeenkomst beëindigen.

De verwerker legt aan subverwerkers dezelfde verplichtingen op als die in deze overeenkomst zijn opgenomen en blijft volledig aansprakelijk voor de nakoming daarvan.

7. Beveiliging

De verwerker implementeert passende technische en organisatorische maatregelen om een beveiligingsniveau te waarborgen dat is afgestemd op de risico's, waaronder:

• Versleutelde verbindingen (HTTPS/TLS 1.2 of hoger) voor alle datatransport
• Gehashte opslag van wachtwoorden
• Toegangsbeperking op basis van het principe van minimale bevoegdheden
• Regelmatige back-ups
• Beveiligde authenticatie voor toegang tot de omgeving

8. Melding datalek

De verwerker informeert de verwerkingsverantwoordelijke onverwijld en in elk geval binnen 48 uur nadat hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens die onder deze overeenkomst vallen.

De melding bevat ten minste: een omschrijving van de aard van de inbreuk, de (vermoedelijke) categorieën en aantallen betrokkenen, de betrokken persoonsgegevens, de (verwachte) gevolgen en de genomen of voorgenomen maatregelen.

De verwerkingsverantwoordelijke is zelf verantwoordelijk voor de beoordeling of de inbreuk gemeld moet worden bij de Autoriteit Persoonsgegevens en/of de betrokkenen.

9. Rechten van betrokkenen

Wanneer een betrokkene een verzoek indient bij de verwerker in verband met rechten op grond van de AVG (inzage, rectificatie, wissing, bezwaar, etc.), stuurt de verwerker dit verzoek onverwijld door naar de verwerkingsverantwoordelijke. De verwerker verleent redelijke medewerking aan de verwerkingsverantwoordelijke bij de afhandeling van dergelijke verzoeken.

10. Doorgifte buiten de EER

De verwerker verwerkt persoonsgegevens uitsluitend binnen de Europese Economische Ruimte (EER), tenzij de verwerkingsverantwoordelijke hiervoor uitdrukkelijk schriftelijke toestemming heeft gegeven of een wettelijke verplichting anderszins vereist. In dat geval waarborgt de verwerker een passend beschermingsniveau conform artikel 46 AVG.

11. Teruggave en verwijdering

Na beëindiging van de overeenkomst of op verzoek van de verwerkingsverantwoordelijke zal de verwerker naar keuze van de verwerkingsverantwoordelijke:

• alle persoonsgegevens retourneren in een gangbaar, machineleesbaar formaat; en/of
• alle persoonsgegevens op een veilige wijze verwijderen en dit schriftelijk bevestigen.

Gegevens die de verwerker op grond van een wettelijke verplichting (zoals de fiscale bewaarplicht van zeven jaar) moet bewaren, worden uitgezonderd van de verwijdering en na afloop van de wettelijke termijn verwijderd.

12. Audit en verantwoording

De verwerker stelt de verwerkingsverantwoordelijke alle informatie ter beschikking die noodzakelijk is om de naleving van deze overeenkomst aan te tonen. De verwerkingsverantwoordelijke of een door hem aangestelde auditor mag, na voorafgaande schriftelijke kennisgeving van minimaal 30 dagen, audits uitvoeren voor zover deze redelijk en proportioneel zijn en de bedrijfsvoering niet onevenredig verstoren. De kosten van een audit zijn voor rekening van de verwerkingsverantwoordelijke, tenzij de audit een tekortkoming aan het licht brengt die aan de verwerker is toe te rekenen.

13. Duur en beëindiging

Deze overeenkomst treedt in werking op het moment dat de verwerkingsverantwoordelijke een account aanmaakt bij het online platform en is geldig voor de duur van de abonnementsovereenkomst.

Deze overeenkomst eindigt automatisch bij beëindiging van het abonnement. De verplichtingen die naar hun aard na beëindiging voortduren (zoals geheimhouding en de verwijdering van gegevens conform artikel 11) blijven van kracht.

14. Aansprakelijkheid

De verwerker is niet aansprakelijk voor schade die het gevolg is van onjuiste of onvolledige instructies van de verwerkingsverantwoordelijke, of van verwerkingen die de verwerkingsverantwoordelijke zelf heeft verricht.

15. Toepasselijk recht en geschillen

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden in eerste instantie beslecht door de bevoegde rechtbank in Nederland.