Verwerkersovereenkomst

Partijen: (1) de Klant, de verwerkingsverantwoordelijke ("Verantwoordelijke"), en (2) PASO CLEANING EOOD, handelend onder de naam IT bugsolutions, ul. Musala 8, 5138 Polikraishte, Bulgarije, BG202091716, contact@itbugsolutions.com ("Verwerker"). Begrippen als "persoonsgegevens", "verwerking" en "datalek" hebben de betekenis uit de AVG (GDPR).

1. Onderwerp, duur, aard en doel

1.1 De Verwerker verwerkt persoonsgegevens namens de Verantwoordelijke voor zover nodig om de Opdracht of het Zorgabonnement uit te voeren: diagnose en herstel van de website of software, het maken en bewaren van back-ups, updates, monitoring en beveiligingscontroles (bijlage 1).

1.2 Duur: gelijk aan de looptijd van de Opdracht of het Zorgabonnement, plus de periode die nodig is voor teruggave of verwijdering (artikel 9).

1.3 De Verwerker bepaalt niet het doel of de middelen van de verwerking buiten wat nodig is om de dienst uit te voeren. Doet hij dat toch, dan wordt hij voor die verwerking zelf verantwoordelijke.

2. Instructies

2.1 De Verwerker verwerkt persoonsgegevens alleen op gedocumenteerde instructies van de Verantwoordelijke: de Offerte, de algemene voorwaarden, deze overeenkomst en latere schriftelijke instructies (e-mail volstaat).

2.2 De Verwerker meldt het als hij vindt dat een instructie in strijd is met de AVG of andere regelgeving, en mag de uitvoering van die instructie opschorten tot de kwestie is opgelost.

2.3 Verplichte verwerking op grond van wet: de Verwerker meldt dat vooraf, tenzij de wet dat verbiedt.

2.4 De Verantwoordelijke zorgt voor een rechtsgrond, voor eventuele informatieplichten aan betrokkenen en voor het recht om de Verwerker toegang te geven.

3. Vertrouwelijkheid

Personen die namens de Verwerker toegang tot persoonsgegevens hebben, zijn gebonden aan geheimhouding (contractueel of wettelijk) en krijgen alleen toegang voor zover nodig voor de Opdracht.

4. Beveiliging

De Verwerker treft passende technische en organisatorische maatregelen (artikel 32 AVG), minimaal die in bijlage 2, en houdt ze actueel. De Verantwoordelijke blijft verantwoordelijk voor de beveiliging van zijn eigen systemen en voor de toegangsgegevens die hij verstrekt (artikel 6 van de voorwaarden).

5. Subverwerkers

5.1 De Verantwoordelijke geeft algemene toestemming voor het inschakelen van subverwerkers die in bijlage 3 staan of daaraan volgens dit artikel worden toegevoegd.

5.2 De Verwerker meldt voorgenomen toevoeging of vervanging minimaal 14 dagen vooraf (e-mail of website-lijst). De Verantwoordelijke kan binnen die termijn schriftelijk en gemotiveerd bezwaar maken. Kan geen oplossing worden gevonden, dan mag de Verantwoordelijke de betrokken dienst kosteloos beëindigen voor het resterende deel.

5.3 De Verwerker legt de subverwerker dezelfde gegevensbeschermingsverplichtingen op als in deze overeenkomst en blijft jegens de Verantwoordelijke aansprakelijk voor de nakoming door de subverwerker.

6. Bijstand

De Verwerker helpt de Verantwoordelijke, rekening houdend met de aard van de verwerking en de beschikbare informatie, bij: (a) verzoeken van betrokkenen (inzage, verwijdering, enz.): ontvangt de Verwerker zo'n verzoek, dan stuurt hij het zonder onredelijke vertraging door en beantwoordt het niet zelf; (b) beveiliging, melding van datalekken en gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging (artikelen 32 tot en met 36 AVG). Redelijke bijstand is inbegrepen; omvangrijke bijstand mag tegen een vooraf afgesproken tarief.

7. Datalekken

7.1 De Verwerker meldt een inbreuk op persoonsgegevens die hij bij de Verantwoordelijke weet te hebben, zonder onredelijke vertraging en streeft naar binnen 48 uur na ontdekking, via e-mail.

7.2 De melding bevat, voor zover bekend: aard van het lek, betrokken categorieën en aantallen, waarschijnlijke gevolgen, genomen en voorgestelde maatregelen, contactpersoon. Ontbrekende informatie volgt zo snel mogelijk.

7.3 De Verantwoordelijke beslist over melding aan de toezichthouder (artikel 33 AVG) en aan betrokkenen. De Verwerker werkt mee.

8. Doorgifte buiten de EER

8.1 De Verwerker en zijn subverwerkers verwerken persoonsgegevens bij voorkeur binnen de EER. Doorgifte naar een land buiten de EER gebeurt alleen met een passend mechanisme: een adequaatheidsbesluit, of modelcontractbepalingen (SCC's) van de Europese Commissie met zo nodig aanvullende maatregelen. Voor de lijst van subverwerkers en hun locaties: bijlage 3.

8.2 Als de Verantwoordelijke buiten de EER is gevestigd, werken partijen samen om een geldig doorgiftemechanisme vast te stellen, zo nodig door SCC's te ondertekenen.

9. Teruggave en verwijdering

9.1 Na afloop van de Opdracht of het abonnement verwijdert de Verwerker de persoonsgegevens, of geeft ze terug op verzoek van de Verantwoordelijke, zoals volgt: toegangsgegevens binnen 7 dagen; werkbestanden en kopieën binnen 30 dagen; back-ups binnen 30 dagen na het einde (of de eerdere verlooptermijn van het pakket), tenzij de Verantwoordelijke eerder om teruggave vraagt of de wet bewaring verplicht stelt.

9.2 Op verzoek bevestigt de Verwerker de verwijdering schriftelijk.

9.3 Gegevens die de Verwerker als eigen verantwoordelijke bewaart (zoals dossier en facturen) vallen onder het privacybeleid.

10. Audit en informatie

10.1 De Verwerker stelt op verzoek de informatie beschikbaar die nodig is om naleving aan te tonen, en geeft ruimte voor audits (inclusief inspecties) door de Verantwoordelijke of een door hem aangewezen auditor.

10.2 Audits worden minimaal 30 dagen vooraf aangekondigd, vinden plaats tijdens kantooruren, hoogstens eenmaal per jaar (tenzij na een datalek of op last van een toezichthouder), zonder de dienstverlening onredelijk te verstoren, onder geheimhouding en op kosten van de Verantwoordelijke. De Verwerker mag eerst een vragenlijst of eigen rapportage aanbieden.

11. Aansprakelijkheid

Voor aansprakelijkheid onder deze overeenkomst gelden artikel 16 van de algemene voorwaarden, voor zover de wet dat toestaat en onverminderd de rechten van betrokkenen en de wettelijke verdeling van aansprakelijkheid (artikel 82 AVG).

12. Slotbepalingen

12.1 Bij strijd tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor, voor zover het persoonsgegevens betreft.

12.2 Toepasselijk recht en bevoegde rechter: zoals in de algemene voorwaarden (artikel 22), onverminderd dwingend recht.

12.3 Deze overeenkomst geldt vanaf de acceptatie van de Offerte en eindigt met de verplichtingen onder artikel 9.

Bijlage 1 - Beschrijving van de verwerking

Bijlage 2 - Beveiligingsmaatregelen (artikel 32 AVG)

1. Toegangsbeheer: minimale rechten, aparte toegangssleutels per klant, 2FA waar mogelijk, individuele accounts, toegang ingetrokken na afronding.
2. Toegangsgegevens: alleen in een versleutelde wachtwoordmanager; nooit in chat of gewone e-mail; verwijderd binnen 7 dagen na afronding.
3. Versleuteling: verbindingen via TLS/SSH/SFTP; back-ups worden versleuteld opgeslagen.
4. Back-ups: vóór wijzigingen en (zorgabonnement) dagelijks; leesbaarheidscontrole; bewaartermijn volgens pakket; opgeslagen bij een back-upopslagaanbieder in de EER.
5. Apparaten: schijfversleuteling, schermvergrendeling, bijgewerkte besturingssystemen en beveiligingssoftware op apparaten van medewerkers.
6. Logboek: wie, wanneer, welke verificatie en wijziging per Opdracht; bewaard als bewijs.
7. Scheiding: klantgegevens worden niet gebruikt voor andere klanten of eigen doelen; geen productiegegevens in testomgevingen zonder noodzaak.
8. AI-hulpmiddelen: communicatie met klanten en eerste analyse kunnen met AI (Anthropic Claude) worden ondersteund; werkzaamheden verlopen zoveel mogelijk geautomatiseerd binnen regels die door mensen zijn vastgesteld; een persoon kan ingrijpen en beoordeelt uitzonderingen; geen wachtwoorden, geen persoonsgegevens van eindgebruikers en zo min mogelijk gegevens; maskering waar mogelijk; leverancier contractueel gebonden.
9. Personeel en onderaannemers: geheimhouding, instructie over gegevensbescherming.
10. Incidentprocedure: detectie, beoordeling, melding binnen 48 uur streefwaarde (artikel 7), herstel, evaluatie.
11. Verwijdering: veilige verwijdering van werkbestanden en kopieën na afloop (artikel 9).
12. Periodieke herziening van deze maatregelen, minimaal jaarlijks.

Bijlage 3 - Subverwerkers (algemene toestemming, artikel 5)

Noot: Tawk.to, Google en Stripe/PayPal verwerken gegevens over ons eigen contact met de Klant (wij zijn dan verantwoordelijke), niet de klantsysteemgegevens. Ze staan hier voor transparantie. Wij stellen de actuele lijst op verzoek beschikbaar.