Wat ik met je gegevens doe.Zwart op wit.

Voorbeeld

Verwerkersovereenkomst.

Partijen spreken het volgende af.

1. 1.Waar deze overeenkomst over gaat

   1.1Deze verwerkersovereenkomst hoort bij de overeenkomst van [datum] voor [website op abonnement / maatwerk / omschrijving]. Daarvoor verwerk ik persoonsgegevens in jouw opdracht.

   1.2Jij bent verwerkingsverantwoordelijke: jij bepaalt waarvoor en waarom de gegevens worden verwerkt. Ik ben verwerker en verwerk ze alleen voor jou, volgens de AVG.

   1.3Deze overeenkomst loopt zolang ik persoonsgegevens voor je verwerk.

2. 2.Welke gegevens, van wie en waarvoor

   2.1Ik verwerk de gegevens alleen om je website of applicatie te bouwen, te hosten, te beheren en te onderhouden, en om berichten uit formulieren bij je af te leveren.

   2.2Het gaat om deze gegevens:

   • contactgegevens die bezoekers in formulieren invullen, zoals naam, e-mailadres, telefoonnummer en hun bericht;
   • inloggegevens van jou en je medewerkers voor het CMS;
   • [andere gegevens, bijv. boekingen, bestellingen of klantdossiers].

3. 3.Alleen in jouw opdracht

   3.1Ik verwerk de gegevens alleen op jouw instructie, zoals vastgelegd in de overeenkomst of later per e-mail. Ik gebruik ze nooit voor mezelf of voor anderen.

   3.2Vind ik dat een instructie in strijd is met de AVG, dan laat ik je dat meteen weten.

   3.3Moet ik gegevens afgeven omdat de wet dat verplicht, dan laat ik je dat vooraf weten, tenzij de wet dat verbiedt.

4. 4.Geheimhouding

   4.1Ik werk alleen en houd de gegevens geheim. Schakel ik toch iemand in die de gegevens kan zien, dan is die ook tot geheimhouding verplicht.

5. 5.Beveiliging

   5.1Ik neem passende technische en organisatorische maatregelen om de gegevens te beschermen. Onder meer:

   • de website en het CMS draaien via een beveiligde verbinding (https);
   • op alle accounts staat tweestapsverificatie aan, en wachtwoorden staan in een wachtwoordmanager;
   • mijn laptop is versleuteld;
   • jij en je medewerkers hebben alleen toegang tot jouw eigen CMS en gegevens;
   • ik maak dagelijks een back-up en bewaar die 30 dagen;
   • formulieren zijn beschermd tegen spam en misbruik.

6. 6.Subverwerkers

   6.1Je geeft me toestemming om deze partijen in te schakelen:

   • Vercel: hosting van de website of applicatie.
   • Cloudflare: DNS van het domein. Bezoekersverkeer loopt hier niet doorheen.
   • Mandrill (Mailchimp Transactional): verzenden van e-mails, zoals berichten uit formulieren.
   • Google Workspace: mijn mailbox, waarin berichten en correspondentie binnenkomen.

7. 7.Nieuwe subverwerkers en doorgifte

   7.1Wil ik een nieuwe subverwerker inschakelen, dan laat ik je dat minstens 30 dagen van tevoren weten. Heb je een goede reden om bezwaar te maken, dan zoeken we samen een oplossing. Lukt dat niet, dan mag je de overeenkomst beëindigen.

   7.2Met elke subverwerker geldt een verwerkersovereenkomst met minstens dezelfde verplichtingen als deze.

   7.3Een aantal subverwerkers is Amerikaans. Gegevens kunnen daardoor in de Verenigde Staten terechtkomen. Dat gebeurt alleen met passende waarborgen: een certificering onder het EU-VS Data Privacy Framework en de standaardcontractbepalingen van de Europese Commissie.

8. 8.Datalekken

   8.1Ontdek ik een datalek, dan meld ik dat zonder onnodige vertraging aan jou, en uiterlijk binnen 48 uur nadat ik het ontdekte. Zo kun jij binnen 72 uur melden bij de Autoriteit Persoonsgegevens als dat nodig is.

   8.2Ik vertel je dan wat er is gebeurd, om welke gegevens het gaat, wat de gevolgen kunnen zijn en wat ik heb gedaan om het op te lossen.

   8.3Het melden bij de Autoriteit Persoonsgegevens en aan betrokkenen doe jij. Ik help je daarbij.

9. 9.Hulp bij de rechten van betrokkenen

   9.1Wil iemand zijn gegevens inzien, laten aanpassen of laten verwijderen, dan help ik je daarbij. Komt zo'n verzoek bij mij binnen, dan stuur ik het meteen naar je door.

   9.2Moet je een risicoanalyse (DPIA) maken of overleggen met de Autoriteit Persoonsgegevens, dan geef ik je de informatie die je daarvoor nodig hebt.

10. 10.Controle

    10.1Ik geef je alle informatie die je nodig hebt om te laten zien dat deze afspraken worden nagekomen.

    10.2Wil je een audit laten doen, dan kan dat hooguit één keer per jaar, met minstens 30 dagen aankondiging, door een onafhankelijke deskundige met geheimhoudingsplicht. De kosten zijn voor jou.

11. 11.Als de samenwerking stopt

    11.1Eindigt de overeenkomst, dan krijg je alle persoonsgegevens terug, als onderdeel van de overdracht van je website. Daarna verwijder ik ze binnen 30 dagen.

    11.2Gegevens in back-ups verdwijnen vanzelf als de back-up na 30 dagen wordt overschreven.

    11.3Moet ik gegevens langer bewaren omdat de wet dat verplicht, dan bewaar ik alleen die gegevens, en niet langer dan nodig.

12. 12.Aansprakelijkheid en overige afspraken

    12.1Voor aansprakelijkheid gelden de afspraken uit de algemene voorwaarden van robn.. Over de verwerking van persoonsgegevens gaat deze overeenkomst voor.

    12.2Hoe ik verder met gegevens omga, lees je in de privacyverklaring.

    12.3Op deze overeenkomst is Nederlands recht van toepassing.