Verwerkersovereenkomst

Deze Verwerkersovereenkomst maakt onlosmakelijk deel uit van de Overeenkomst tussen Opdrachtgever en Qteco en is van toepassing voor zover Qteco bij de uitvoering daarvan persoonsgegevens verwerkt namens Opdrachtgever. Begrippen uit de Algemene Verordening Gegevensbescherming (AVG) hebben in deze overeenkomst dezelfde betekenis.

Artikel 1Definities

AVG

Verordening (EU) 2016/679.

Persoonsgegevens

alle gegevens betreffende een geïdentificeerde of identificeerbare natuurlijke persoon die Qteco namens Opdrachtgever verwerkt.

Betrokkene

de persoon op wie een Persoonsgegeven betrekking heeft.

Verwerking

elke bewerking met betrekking tot Persoonsgegevens.

Datalek

een inbreuk in verband met Persoonsgegevens als bedoeld in artikel 4 lid 12 AVG.

Subverwerker

een door Qteco ingeschakelde derde die Persoonsgegevens verwerkt.

Artikel 2Rollen en Onderwerp

• Opdrachtgever treedt op als Verwerkingsverantwoordelijke en Qteco als Verwerker.
• Het onderwerp, de aard en het doel van de Verwerking, de soorten Persoonsgegevens en de categorieën Betrokkenen zijn vastgelegd in Bijlage A.
• De duur van de Verwerking is gelijk aan de looptijd van de Overeenkomst.

Artikel 3Instructies

• Qteco verwerkt Persoonsgegevens uitsluitend op basis van de gedocumenteerde Schriftelijke instructies van Opdrachtgever, waaronder deze overeenkomst, behoudens afwijkende wettelijke verplichtingen.
• Qteco stelt Opdrachtgever onverwijld in kennis indien een instructie naar haar oordeel in strijd is met de AVG of andere toepasselijke wetgeving inzake gegevensbescherming.

Artikel 4Doel van de Verwerking

Qteco verwerkt Persoonsgegevens uitsluitend voor:

• beheer van IT-systemen;
• servicedeskactiviteiten;
• cloudbeheer;
• securitymonitoring;
• back-updiensten;
• supportverlening.

Artikel 5Beveiliging

Qteco treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG, rekening houdend met de stand van de techniek, waaronder:

• multifactorauthenticatie (MFA);
• encryptie waar mogelijk;
• logging en monitoring;
• netwerksegmentatie;
• vulnerability management;
• toegangscontrole op basis van least privilege.

Artikel 6Geheimhouding

• Qteco waarborgt dat personen die toegang hebben tot Persoonsgegevens zich tot geheimhouding hebben verbonden of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden.
• Toegang wordt beperkt tot personen voor wie dat noodzakelijk is voor de uitvoering van de Overeenkomst.

Artikel 7Subverwerkers

• Opdrachtgever verleent Qteco algemene toestemming voor het inschakelen van Subverwerkers. De op het moment van sluiten ingeschakelde Subverwerkers zijn opgenomen in Bijlage B.
• Qteco informeert Opdrachtgever Schriftelijk over voorgenomen wijzigingen in Subverwerkers. Opdrachtgever mag binnen 14 dagen gemotiveerd bezwaar maken. Bij gegrond bezwaar treden Partijen in overleg.
• Qteco legt aan elke Subverwerker dezelfde verplichtingen inzake gegevensbescherming op als in deze overeenkomst zijn vastgelegd.
• Qteco blijft jegens Opdrachtgever verantwoordelijk voor de naleving door de Subverwerker.

Artikel 8Doorgifte buiten de EER

• Doorgifte van Persoonsgegevens naar landen buiten de Europese Economische Ruimte vindt uitsluitend plaats indien een passend beschermingsniveau is gewaarborgd op grond van een adequaatheidsbesluit, standaardcontractbepalingen (SCC’s) of andere passende waarborgen als bedoeld in hoofdstuk V AVG.
• Qteco informeert Opdrachtgever desgevraagd over de toegepaste doorgiftemechanismen.

Artikel 9Datalekken

• Qteco meldt een Datalek aan Opdrachtgever zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat zij hiervan kennis heeft genomen.
• De melding bevat ten minste de aard van het Datalek, de betrokken categorieën en (bij benadering) aantallen Betrokkenen en records, de waarschijnlijke gevolgen en de getroffen of voorgestelde maatregelen.
• Qteco ondersteunt Opdrachtgever redelijkerwijs bij de beoordeling, de melding aan de toezichthoudende autoriteit en de eventuele informatieverstrekking aan Betrokkenen. De melding aan de autoriteit en Betrokkenen blijft de verantwoordelijkheid van Opdrachtgever.

Artikel 10Verzoeken van Betrokkenen

Qteco ondersteunt Opdrachtgever redelijkerwijs bij verzoeken tot:

• inzage;
• correctie;
• verwijdering;
• beperking;
• dataportabiliteit;
• bezwaar.

Verzoeken die Qteco rechtstreeks van een Betrokkene ontvangt, stuurt zij onverwijld door naar Opdrachtgever en beantwoordt zij niet zelfstandig, tenzij wettelijk verplicht.

Artikel 11Bijstand DPIA en Voorafgaande Raadpleging

• Qteco verleent Opdrachtgever, rekening houdend met de aard van de Verwerking en de beschikbare informatie, redelijke bijstand bij gegevensbeschermingseffectbeoordelingen (DPIA’s) en voorafgaande raadplegingen als bedoeld in de artikelen 35 en 36 AVG.

Artikel 12Audit

• Opdrachtgever mag maximaal eenmaal per jaar, alsmede na een ernstig beveiligingsincident of op verzoek van een toezichthouder, een redelijke audit (laten) uitvoeren, na voorafgaande Schriftelijke aankondiging van ten minste twee weken.
• Qteco mag in plaats daarvan een actuele onafhankelijke verklaring of certificering (zoals een ISAE 3402- of ISO 27001-rapportage) ter beschikking stellen.
• De redelijke kosten van een audit die op verzoek van Opdrachtgever buiten een vastgesteld incident wordt uitgevoerd, komen voor rekening van Opdrachtgever.

Artikel 13Aansprakelijkheid

• Op de aansprakelijkheid onder deze Verwerkersovereenkomst is de aansprakelijkheidsregeling uit de Algemene Voorwaarden van overeenkomstige toepassing.
• Opdrachtgever vrijwaart Qteco tegen aanspraken die voortvloeien uit het handelen door Qteco overeenkomstig de instructies van Opdrachtgever, behoudens opzet of bewuste roekeloosheid van Qteco.

Artikel 14Duur en Beëindiging

• Deze overeenkomst eindigt gelijktijdig met de Overeenkomst.
• Na beëindiging verwijdert of retourneert Qteco, naar keuze van Opdrachtgever, alle Persoonsgegevens, tenzij wettelijke bewaarplichten anders vereisen.

Artikel 15Slotbepaling

• Bij strijdigheid tussen deze Verwerkersovereenkomst en de overige onderdelen van de Overeenkomst prevaleert deze Verwerkersovereenkomst voor zover het de verwerking van Persoonsgegevens betreft.

Bijlage ASpecificatie van de Verwerking

Bijlage BSubverwerkers

Qteco maakt op het moment van sluiten gebruik van onder meer de volgende Subverwerkers. Qteco blijft verantwoordelijk voor het beheer van deze relaties.

§Ondertekening

Aldus overeengekomen en in tweevoud ondertekend: