1. Partijen en achtergrond
Deze verwerkersovereenkomst (hierna: "Verwerkersovereenkomst") is gesloten tussen:
JurisNap, gevestigd te Alkmaar, ingeschreven bij de Kamer van Koophandel onder nummer 94828032 (hierna: "Verwerker");
en
de gebruiker van JurisNap die deze overeenkomst aanvaardt door gebruik te maken van de Dienst (hierna: "Verwerkingsverantwoordelijke");
gezamenlijk te noemen: "Partijen".
Partijen wensen vast te leggen onder welke voorwaarden Verwerker persoonsgegevens verwerkt namens Verwerkingsverantwoordelijke. Deze Verwerkersovereenkomst maakt onlosmakelijk deel uit van de Algemene Voorwaarden van JurisNap.
2. Definities
Begrippen die in deze Verwerkersovereenkomst met een hoofdletter zijn geschreven en hierna niet expliciet worden gedefinieerd, hebben dezelfde betekenis als in de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679, hierna: "AVG").
3. Onderwerp, duur en aard van de verwerking
3.1 Onderwerp. Verwerker verwerkt namens Verwerkingsverantwoordelijke Persoonsgegevens met als doel het ten behoeve van Verwerkingsverantwoordelijke genereren, opslaan en beschikbaar stellen van juridische documenten.
3.2 Aard en doel. De verwerking omvat het verzamelen, vastleggen, opslaan, raadplegen, gebruiken en wissen van Persoonsgegevens, telkens in het kader van de Dienst.
3.3 Soort Persoonsgegevens. Doorgaans worden de volgende categorieën verwerkt:
- NAW-gegevens van natuurlijke personen die in een document worden genoemd (bestuurders, aandeelhouders, contractspartijen);
- functie- en organisatiegegevens;
- geboortedatum en/of -plaats, voor zover relevant voor het document;
- burgerservicenummers (BSN) — uitsluitend indien Verwerkingsverantwoordelijke ervoor kiest deze in te voeren en daartoe een wettelijke grondslag heeft;
- bankrekeningnummers — voor zover relevant voor het document (bijv. geldlening).
3.4 Categorieën Betrokkenen. Bestuurders, aandeelhouders, werknemers, opdrachtnemers en wederpartijen van de cliënten van Verwerkingsverantwoordelijke.
3.5 Duur. Deze Verwerkersovereenkomst eindigt van rechtswege bij beëindiging van de Hoofdovereenkomst.
4. Instructies en doelbinding
4.1 Verwerker verwerkt Persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke, zoals vastgelegd in deze Verwerkersovereenkomst en de Hoofdovereenkomst.
4.2 Het gebruik van de Dienst geldt als instructie.
4.3 Verwerker stelt Verwerkingsverantwoordelijke onverwijld in kennis indien een instructie naar haar oordeel inbreuk maakt op de AVG of andere toepasselijke gegevensbeschermingsregelgeving.
4.4 Verwerker verwerkt de Persoonsgegevens niet voor eigen doeleinden en draagt geen Persoonsgegevens over aan derden, behoudens op grond van een wettelijke verplichting waarvan Verwerker Verwerkingsverantwoordelijke voorafgaand op de hoogte stelt, voor zover wettelijk toegestaan.
5. Beveiliging
5.1 Verwerker treft passende technische en organisatorische maatregelen ter beveiliging van Persoonsgegevens, in lijn met artikel 32 AVG. Hieronder vallen in elk geval:
- versleuteling van data tijdens transport (TLS 1.3) en opslag (AES-256);
- rolgebaseerde toegangscontrole en multi-factor-authenticatie voor beheerders;
- logging en monitoring van toegang tot Persoonsgegevens;
- periodieke beveiligingstests, waaronder penetratietests;
- back-ups met versleutelde opslag en getest herstelproces;
- geheimhoudingsverklaringen met alle medewerkers en Subverwerkers.
5.2 Verwerker evalueert de getroffen maatregelen periodiek en past deze waar nodig aan in lijn met de stand van de techniek.
6. Subverwerkers
6.1 Verwerkingsverantwoordelijke verleent Verwerker hierbij algemene toestemming voor het inschakelen van Subverwerkers.
6.2 Een actueel overzicht van ingeschakelde Subverwerkers is opvraagbaar bij Verwerker en in elk geval beschikbaar in de Privacyverklaring. Het overzicht bij ingangsdatum omvat onder meer:
6.3 Verwerker informeert Verwerkingsverantwoordelijke minstens dertig (30) dagen voorafgaand aan het inschakelen van een nieuwe Subverwerker of vervanging van een bestaande, waarbij Verwerkingsverantwoordelijke gemotiveerd bezwaar kan maken. Bij gegrond bezwaar zoekt Verwerker een alternatief; lukt dat niet, dan kan elk van Partijen de Hoofdovereenkomst beëindigen.
6.4 Verwerker sluit met elke Subverwerker een verwerkersovereenkomst die ten minste dezelfde verplichtingen oplegt als deze Verwerkersovereenkomst.
7. Doorgifte buiten de EER
7.1 Verwerker draagt Persoonsgegevens niet over aan een derde land buiten de Europese Economische Ruimte (EER), tenzij sprake is van:
- een adequaatheidsbesluit van de Europese Commissie; of
- passende waarborgen in de zin van artikel 46 AVG (zoals Standard Contractual Clauses).
7.2 Verwerker informeert Verwerkingsverantwoordelijke vooraf over eventuele doorgifte.
8. Geheimhouding
Verwerker garandeert dat alle personen die toegang hebben tot Persoonsgegevens gehouden zijn aan een geheimhoudingsverplichting, hetzij op grond van wet, hetzij op grond van een schriftelijke geheimhoudingsverklaring.
9. Datalekken
9.1 Verwerker stelt Verwerkingsverantwoordelijke zonder onredelijke vertraging en in elk geval binnen 36 uur na ontdekking van een Datalek op de hoogte.
9.2 De melding bevat ten minste:
- de aard van de inbreuk, voor zover bekend: categorieën Betrokkenen, categorieën gegevens en geschatte aantallen;
- de waarschijnlijke gevolgen;
- de genomen of voorgestelde maatregelen ter beperking;
- contactgegevens van het aanspreekpunt bij Verwerker.
9.3 Verwerker verleent redelijke medewerking aan Verwerkingsverantwoordelijke bij het voldoen aan diens meldplichten richting de Autoriteit Persoonsgegevens en Betrokkenen.
9.4 Verwerker documenteert alle Datalekken en de getroffen maatregelen.
10. Rechten van Betrokkenen
10.1 Verwerker verleent Verwerkingsverantwoordelijke, voor zover redelijkerwijs mogelijk, bijstand bij het voldoen aan verzoeken van Betrokkenen tot uitoefening van hun rechten onder de AVG (artikelen 12 tot en met 22 AVG).
10.2 Verzoeken van Betrokkenen die rechtstreeks bij Verwerker binnenkomen, worden binnen vijf werkdagen doorgestuurd naar Verwerkingsverantwoordelijke. Verwerker reageert niet zelfstandig op deze verzoeken, behoudens een eenvoudige bevestiging van ontvangst en doorverwijzing.
11. Audits
11.1 Verwerker stelt eens per twaalf maanden, of bij gerede aanwijzing van een gebrek, een onafhankelijk auditrapport of certificering (zoals ISO 27001, NEN 7510 of een gelijkwaardig kader) beschikbaar aan Verwerkingsverantwoordelijke.
11.2 Indien een auditrapport ontoereikend is, heeft Verwerkingsverantwoordelijke het recht maximaal eens per kalenderjaar een audit te laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden auditor, op kosten van Verwerkingsverantwoordelijke en met inachtneming van een redelijke aankondigingstermijn van minstens dertig (30) dagen.
12. Beëindiging en gevolgen
12.1 Bij beëindiging van de Hoofdovereenkomst zal Verwerker, naar keuze van Verwerkingsverantwoordelijke:
- de Persoonsgegevens binnen dertig (30) dagen verwijderen; of
- de Persoonsgegevens in een gangbaar formaat ter beschikking stellen aan Verwerkingsverantwoordelijke en daarna verwijderen.
12.2 Wettelijke bewaarplichten blijven onverkort van kracht; gegevens die op grond van wet bewaard moeten blijven worden geïsoleerd opgeslagen en alleen voor het wettelijke doel verwerkt.
12.3 Verwerker bevestigt schriftelijk dat de verwijdering heeft plaatsgevonden, op verzoek van Verwerkingsverantwoordelijke.
13. Aansprakelijkheid
13.1 De aansprakelijkheid van Verwerker onder deze Verwerkersovereenkomst is beperkt tot directe schade en sluit aan bij de aansprakelijkheidsbeperking in de Algemene Voorwaarden.
13.2 Verwerkingsverantwoordelijke vrijwaart Verwerker voor aanspraken van derden, waaronder bestuurlijke boetes, voor zover deze het gevolg zijn van verwerkingen die in strijd zijn met de instructies van Verwerkingsverantwoordelijke of de AVG-verantwoordelijkheden die bij Verwerkingsverantwoordelijke berusten.
14. Slotbepalingen
14.1 Bij strijdigheid tussen deze Verwerkersovereenkomst en de Algemene Voorwaarden, prevaleert deze Verwerkersovereenkomst voor zover het de verwerking van Persoonsgegevens betreft.
14.2 Wijzigingen in deze Verwerkersovereenkomst worden door Verwerker minstens dertig (30) dagen voor inwerkingtreding aangekondigd.
14.3 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Noord-Holland.