Verwerkersovereenkomst

Wanneer dit geldt

Deze verwerkersovereenkomst legt uit hoe Verbrio persoonsgegevens beschermt die het voor zakelijke klanten verwerkt. Zij maakt deel uit van de voorwaarden van Verbrio en iedere toepasselijke bestelling.

Een toepasselijke verwerkersovereenkomst hoort bij de ondertekende opdrachtomschrijving wanneer Verbrio persoonsgegevens op instructie van de klant verwerkt. Implementatie, migratie, documentreconstructie en doorlopende exploitatie kunnen elk verschillende verwerkingsafspraken vereisen. Ook bij een door de klant gehoste oplossing moeten de feitelijke toegang en verantwoordelijkheden worden vastgelegd.

Deze verwerkersovereenkomst wordt gesloten tussen Verbrio B.V., gevestigd aan Hoedemakerplein 2, 7511 JP Enschede, Nederland, ingeschreven bij de Kamer van Koophandel onder nummer 96023325 en met btw-identificatienummer NL867435276B01 (Verbrio), en de onderneming die de voorwaarden van Verbrio aanvaardt of een bestelling bij Verbrio plaatst (Klant). Zij geldt wanneer Verbrio namens de Klant persoonsgegevens verwerkt.

De verwerkersovereenkomst is opgenomen in de overeenkomst tussen partijen en wordt bindend wanneer een bevoegde vertegenwoordiger die overeenkomst aanvaardt. Begrippen uit de AVG hebben hun betekenis uit de AVG. Persoonsgegevens van de Klant zijn persoonsgegevens die de Klant via de dienst aanlevert, koppelt of door Verbrio laat verwerken.

De Klant is de verwerkingsverantwoordelijke en Verbrio is de verwerker van Persoonsgegevens van de Klant. Verbrio blijft zelfstandig verwerkingsverantwoordelijke voor account-, facturatie-, support-, beveiligings- en vergelijkbare bedrijfsgegevens die het voor eigen rechtmatige doeleinden gebruikt, zoals beschreven in het Privacybeleid.

Als de Klant gegevens voor een andere verwerkingsverantwoordelijke verwerkt, treedt Verbrio op als subverwerker van de Klant. De Klant bevestigt dat hij bevoegd is Verbrio aan te stellen en alle voor Verbrio geldende instructies en verplichtingen zal doorgeven.

De verwerkingsbijlage

Voordat de verwerking begint, moet de bijlage de partijen en rollen, de dienst, het doel, de duur en de betrokken systemen en bronnen bepalen. Zij moet de categorieën personen en persoonsgegevens, toegestane toegang, verwerkingshandelingen en eventueel uitdrukkelijk inbegrepen gevoelige gegevens vermelden.

Een reconstructieproject moet bijvoorbeeld de documentverzameling, geëxtraheerde velden, bewijsverwijzingen, beoordelingsstappen en de bestemming van de oplevering bepalen.

De behouden verwerkingsdetails hieronder beschrijven gehoste werkruimtes. Andere projectbronnen, toegang, duur en instructies voor teruggave of verwijdering staan in de ingevulde projectspecifieke verwerkingsbijlage; de bescherming van de verwerkersovereenkomst blijft gelden.

Onderwerp

Het leveren, beheren, beveiligen en ondersteunen van Verbrio's B2B-softwaredienst en de integraties die de Klant inschakelt.

Duur

Gedurende de looptijd van de dienst, de exportperiode van 30 dagen na beëindiging en daarna uitsluitend voor verwijdering uit versleutelde back-ups of wettelijk verplichte bewaring.

Aard en doel

Het hosten, opslaan, opvragen, ordenen, met OCR lezen, extraheren, classificeren, normaliseren, verzenden, integreren, ondersteunen, beveiligen, exporteren en verwijderen van gegevens zodat de Klant documenten, contacten, bestellingen, facturen en bijbehorende workflows kan beheren.

Soorten persoonsgegevens

Zakelijke contact- en accountgegevens; correspondentie en e-mailmetadata; documenten, bijlagen, bestellingen, facturen en betalingsreferenties; integratiekenmerken; activiteits-, audit- en technische gegevens. Bijzondere persoonsgegevens en strafrechtelijke gegevens zijn niet beoogd, tenzij partijen schriftelijk anders overeenkomen.

Categorieën betrokkenen

Medewerkers en opdrachtnemers van de Klant, klanten en potentiële klanten, leveranciers, contacten van marktplaatsen of integraties en andere personen van wie de Klant gegevens in de dienst plaatst.

Instructies en vertrouwelijkheid

De ondertekende opdrachtomschrijving en overeengekomen verwerkingsinstructies bepalen het toegestane gebruik. De klant bepaalt de bevoegde contactpersonen en de rechten om het materiaal aan te leveren.

Personen met toegang moeten passende geheimhoudingsverplichtingen hebben en hun toegang moet beperkt zijn tot het werk dat zij uitvoeren.

Verbrio verwerkt Persoonsgegevens van de Klant uitsluitend op gedocumenteerde instructies van de Klant. De overeenkomst, het gebruik en de configuratie van de dienst door de Klant, ingeschakelde integraties en schriftelijke supportverzoeken zijn gedocumenteerde instructies. Verbrio mag gegevens verwerken wanneer Unierecht of lidstatelijk recht dit verplicht, maar informeert de Klant vooraf tenzij de wet dit verbiedt.

Verbrio informeert de Klant direct als een instructie in strijd lijkt met het gegevensbeschermingsrecht en mag de betrokken verwerking pauzeren terwijl partijen dit oplossen. Instructies buiten de normale reikwijdte van de dienst vereisen schriftelijke overeenstemming en kunnen redelijke kosten meebrengen.

De Klant is verantwoordelijk voor de rechtmatigheid, behoorlijkheid en juistheid van Persoonsgegevens van de Klant en instructies, waaronder een geldige rechtsgrond, vereiste kennisgevingen, de afhandeling van verzoeken van betrokkenen en benodigde toestemmingen voor integraties. De Klant gebruikt passende instellingen en beperkt gegevens tot wat noodzakelijk is.

De Klant levert niet bewust bijzondere persoonsgegevens of strafrechtelijke gegevens aan, tenzij partijen de noodzaak en aanvullende waarborgen schriftelijk zijn overeengekomen.

Verbrio beperkt toegang tot personen die Persoonsgegevens van de Klant nodig hebben om hun werk uit te voeren. Zij zijn aan geheimhouding gebonden en krijgen passende beveiligings- en privacy-instructies.

Beveiliging en incidenten

De verwerkingsbijlage moet de maatregelen voor de uitvoering beschrijven, waaronder toegang, overdracht, opslag, back-ups en incidentafhandeling. De maatregelen moeten passen bij de betrokken gegevens en omgeving.

De verwerkingsbijlage moet contactpersonen voor incidenten, meldings- en samenwerkingsprocedures vastleggen, inclusief de informatie die de klant nodig heeft om een incident te beoordelen.

Verbrio treft technische en organisatorische maatregelen die passen bij het risico, de stand van de techniek, uitvoeringskosten en aard van de verwerking. Deze omvatten:

identiteits- en toegangsbeheer, toegang volgens het least-privilegebeginsel en toegangscontroles;

versleuteling tijdens transport en opslag, met beschermde inloggegevens, sleutels en geheimen;

logging, monitoring, kwetsbaarhedenbeheer en procedures voor incidentrespons; en

weerbaarheid, versleutelde back-ups, herstelprocedures, leveranciersbeoordeling en periodieke tests.

Rekening houdend met de verwerking helpt Verbrio de Klant redelijkerwijs bij het beantwoorden van verzoeken tot uitoefening van rechten van betrokkenen. Verbrio stuurt een ontvangen verzoek over Persoonsgegevens van de Klant door aan de Klant en beantwoordt het niet zelf, tenzij de Klant dit instrueert of de wet dit vereist.

Verbrio stelt de Klant zonder onredelijke vertraging op de hoogte nadat het kennis heeft gekregen van een inbreuk in verband met Persoonsgegevens van de Klant. Zodra informatie beschikbaar is, beschrijft Verbrio de inbreuk, getroffen gegevens en personen, de waarschijnlijke gevolgen en de maatregelen om die gevolgen te beperken, en werkt het redelijkerwijs mee aan de reactie van de Klant. Een melding is geen erkenning van schuld.

Verbrio biedt ook redelijke bijstand bij de verplichtingen van de Klant uit de artikelen 32 tot en met 36 AVG, waaronder beveiligingsbeoordelingen, inbreukmeldingen, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging. Werk buiten de standaardmogelijkheden van de dienst kan tegen redelijke tarieven worden berekend, tenzij het is veroorzaakt door een schending van deze overeenkomst door Verbrio.

Aanbieders en doorgiften

De verwerkingsbijlage moet de subverwerkers, verwerkingslocaties, toestemmingsprocedure en toepasselijke doorgifteafspraken voor de dienst bepalen. Wijzigingen van aanbieders volgen de meldings- en bezwaarprocedure in deze verwerkersovereenkomst. Beoordeelde alternatieven zijn geen ingeschakelde aanbieders.

De Klant geeft Verbrio algemene schriftelijke toestemming om subverwerkers te gebruiken. Verbrio selecteert leveranciers die passende gegevensbeschermingswaarborgen bieden, bindt hen aan verplichtingen die minstens dezelfde bescherming bieden als de relevante delen van deze overeenkomst en blijft voor hun prestaties verantwoordelijk zoals de wet vereist.

De Klant kan tijdens de kennisgevingstermijn bezwaar maken op redelijke gegevensbeschermingsgronden. Partijen zoeken te goeder trouw naar een praktische oplossing. Als die er niet is, kan de Klant de betrokken dienst beëindigen voordat de wijziging ingaat, zonder beëindigingskosten en met betaling voor reeds geleverde diensten.

Verbrio geeft Persoonsgegevens van de Klant buiten de Europese Economische Ruimte alleen door op gedocumenteerde instructies van de Klant, waaronder deze overeenkomst en door de Klant ingeschakelde integraties, en alleen met een rechtmatig doorgiftemechanisme. Het subverwerkersregister vermeldt de relevante verwerkingslocaties.

Als er geen adequaatheidsbesluit is, gebruikt Verbrio waarborgen zoals de standaardcontractbepalingen van de Europese Commissie en waar nodig aanvullende maatregelen, en helpt het redelijkerwijs bij doorgiftebeoordelingen. Toepasselijke standaardcontractbepalingen hebben voorrang op strijdige bepalingen van deze overeenkomst.

De huidige leveranciers, hun rollen, locaties en status staan in het Subverwerkersregister. Verbrio mailt de contactpersoon van het Klantaccount ten minste 30 dagen voordat een subverwerker wordt toegevoegd of vervangen. Als dringende juridische of beveiligingsredenen dit onhaalbaar maken, geeft Verbrio zo veel mogelijk voorafgaande kennisgeving.

Ondersteuning en verantwoording

Deze verwerkersovereenkomst regelt de samenwerking bij verzoeken over persoonsgegevens, beveiligingsbeoordelingen, incidentafhandeling en bewijs van de overeengekomen waarborgen. Zij bepaalt hoe informatie- en auditverzoeken worden behandeld, inclusief de omvang van aanvullende ondersteuning.

Verbrio verstrekt informatie die redelijkerwijs nodig is om naleving van deze overeenkomst aan te tonen, zoals beveiligingsdocumentatie, vragenlijsten, certificeringen of onafhankelijke rapporten. De Klant houdt niet-openbare informatie vertrouwelijk en kan beschikbare verklaringen van derden in overweging nemen voordat een audit wordt gevraagd.

Als die informatie onvoldoende is, mag de Klant eenmaal per jaar op eigen kosten een audit laten uitvoeren door een onafhankelijke, niet-concurrerende auditor, met ten minste 30 dagen voorafgaande kennisgeving, tijdens kantooruren en zonder toegang tot gegevens van andere klanten of het veroorzaken van beveiligingsrisico's. Deze beperkingen gelden niet als een toezichthouder een audit verlangt, na een relevante inbreuk of als de Klant redelijke aanwijzingen heeft voor wezenlijke niet-naleving.

Teruggave, verwijdering en afronding

De verwerkingsbijlage van het project moet vastleggen hoe klantgegevens na afronding van het werk worden teruggegeven of verwijderd, inclusief de instructies van de klant, het opleveringsformaat, het sluiten van toegang, de omgang met back-ups en eventuele verplichte bewaring. De timing moet aansluiten op de overeengekomen uitvoeringsafspraken en toepasselijke verplichtingen.

De dienstvoorwaarden, deze verwerkersovereenkomst en de ondertekende opdrachtomschrijving bepalen de toepasselijke teruggave- en verwijderingsafspraken. Exportvensters en verwijderingstermijnen hangen af van de overeengekomen uitvoeringsafspraken.

Aan het einde van de dienst kan de Klant kiezen voor teruggave via de beschikbare exportfuncties of verwijdering van Persoonsgegevens van de Klant. Tenzij de Klant om eerdere verwijdering vraagt, houdt Verbrio actieve werkruimtegegevens na beëindiging 30 dagen beschikbaar voor export. De Klant is verantwoordelijk voor het afronden van de export binnen die periode. Daarna verwijdert Verbrio de actieve werkruimtegegevens.

Versleutelde back-upkopieën blijven beveiligd, verlopen via de back-upbewaarcyclus van Verbrio en worden alleen voor noodherstel teruggezet; na herstel wordt het verwijderingsproces opnieuw toegepast. Verbrio mag alleen gegevens bewaren voor zover bewaring op grond van het Unierecht of lidstatelijk recht verplicht is en houdt deze geïsoleerd, beperkt toegankelijk en ongebruikt voor andere doeleinden.

Deze verwerkersovereenkomst begint wanneer zij in de overeenkomst tussen partijen wordt opgenomen en loopt door totdat Verbrio alle Persoonsgegevens van de Klant heeft verwijderd zoals hierboven beschreven. Wezenlijke wijzigingen worden gemeld volgens de wijzigings- en kennisgevingsregels in de voorwaarden.

Voor gegevensverwerking hebben toepasselijke standaardcontractbepalingen eerst voorrang, daarna deze verwerkersovereenkomst en daarna de voorwaarden of bestelling. De aansprakelijkheidsbeperkingen en rechtsmiddelen in de voorwaarden gelden ook voor deze overeenkomst, behalve waar dwingend recht anders vereist. Ook de bepalingen over toepasselijk recht en bevoegde rechter uit de voorwaarden gelden.

Contact

Stuur gegevensbeschermingsinstructies, incidentmeldingen, bezwaren tegen subverwerkers en vragen over deze overeenkomst naar: