Verwerkersovereenkomst

Download als pdf

Deze verwerkersovereenkomst is bijlage 2 bij de algemene voorwaarden van Findra en maakt deel uit van de overeenkomst tussen jou en Findra. Deze overeenkomst regelt hoe Findra omgaat met de persoonsgegevens die zij voor jou verwerkt, zoals de inzendingen van het contactformulier op je website. Onder elk artikel staat een korte samenvatting die helpt bij het lezen. Alleen de tekst van het artikel zelf is bindend.

Findra is de handelsnaam van Findra AI B.V., gevestigd in Amsterdam, KvK-nummer 42091785.

Inhoud

1. Rollen en onderwerp
2. Instructies
3. Geheimhouding
4. Beveiliging
5. Subverwerkers
6. Doorgifte buiten de EER
7. Melden van een datalek
8. Rechten van betrokkenen en bijstand
9. Controle
10. Duur en einde
11. Aansprakelijkheid
12. Slotbepalingen

Bijlage A. Welke gegevens Findra verwerkt

Bijlage B. Subverwerkers

Bijlage C. Beveiligingsmaatregelen

1. Rollen en onderwerp

Jij bepaalt waarvoor de gegevens worden gebruikt. Findra verwerkt ze alleen om je website en het portaal te laten werken.

1. Voor de persoonsgegevens die Findra voor jou verwerkt bij het leveren van de dienst uit de algemene voorwaarden, ben jij verwerkingsverantwoordelijke en is Findra verwerker in de zin van de AVG.
2. Welke gegevens dat zijn, van wie, wat ermee gebeurt, waarvoor en hoe lang ze worden bewaard, staat in bijlage A.
3. Findra verwerkt de persoonsgegevens alleen om de dienst te leveren en niet voor eigen doeleinden.
4. Je staat ervoor in dat je de persoonsgegevens rechtmatig verwerkt en dat je bezoekers daarover informeert, bijvoorbeeld in de privacyverklaring op je website.
5. Via het contactformulier kunnen bezoekers gevoelige gegevens insturen, zoals gegevens over hun gezondheid. Findra neemt daarvoor de extra waarborgen uit bijlage A. Vraag in het formulier niet naar gevoelige gegevens die je niet nodig hebt. Wil je bewust gevoelige gegevens via je website verwerken, bijvoorbeeld met een intakeformulier, meld dat dan vooraf aan Findra; jullie maken daar dan aanvullende afspraken over.

2. Instructies

Findra doet met je gegevens alleen wat jij opdraagt, binnen de dienst.

1. Findra verwerkt de persoonsgegevens alleen op basis van jouw schriftelijke instructies. De overeenkomst en wat je in het portaal instelt of aanvraagt, gelden als die instructies.
2. Findra mag persoonsgegevens verwerken als de wet dat verplicht. Findra laat je dat vooraf weten, tenzij de wet dat verbiedt.
3. Vindt Findra dat een instructie in strijd is met de AVG of andere privacywetgeving, dan laat zij je dat direct weten. Findra hoeft zo'n instructie niet uit te voeren.

3. Geheimhouding

Iedereen die bij Findra met je gegevens werkt, heeft een geheimhoudingsplicht.

1. Findra zorgt dat iedereen die onder haar verantwoordelijkheid persoonsgegevens verwerkt, een contractuele of wettelijke geheimhoudingsplicht heeft.
2. Findra geeft alleen toegang tot persoonsgegevens aan mensen die dat voor hun werk nodig hebben.
3. Findra verstrekt geen persoonsgegevens aan anderen, behalve aan subverwerkers volgens artikel 5, met jouw toestemming of als de wet dat verplicht.
4. Vraagt een overheidsinstantie Findra om je persoonsgegevens, dan laat Findra je dat weten voordat zij gegevens verstrekt, zodat je bezwaar kunt maken, tenzij de wet dat verbiedt.

4. Beveiliging

Findra beveiligt je gegevens passend en controleert dat elk jaar. De maatregelen staan in bijlage C.

1. Findra neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen, rekening houdend met de stand van de techniek, de kosten en de risico's voor betrokkenen. De maatregelen staan in bijlage C.
2. Findra evalueert de maatregelen ten minste eenmaal per jaar. Findra mag ze aanpassen, zolang het beveiligingsniveau niet daalt.
3. Findra staat er niet voor in dat de beveiliging onder alle omstandigheden doeltreffend is.
4. Je beoordeelt zelf of deze maatregelen passen bij de gegevens die je via je website verwerkt.

5. Subverwerkers

Findra werkt met een aantal vaste dienstverleners; die staan in bijlage B. Komt er een nieuwe bij, dan hoor je dat vooraf en mag je bezwaar maken.

1. Je geeft Findra algemene toestemming om subverwerkers in te schakelen. De huidige subverwerkers staan in bijlage B.
2. Findra laat je een nieuwe of andere subverwerker ten minste 30 dagen vooraf per e-mail weten. Je kunt binnen die termijn gemotiveerd bezwaar maken. Komen jullie er niet uit, dan mag je de overeenkomst kosteloos opzeggen tegen de datum van de wijziging.
3. Findra legt subverwerkers ten minste dezelfde verplichtingen op als in deze verwerkersovereenkomst.
4. Findra blijft tegenover jou verantwoordelijk voor de nakoming door haar subverwerkers, en laat je weten als een subverwerker zijn verplichtingen niet nakomt.
5. Op verzoek geeft Findra je de adres- en contactgegevens van haar subverwerkers, informatie over de dienstverleners die zij op hun beurt inschakelen, en een kopie van de verwerkersovereenkomst met een subverwerker. Vertrouwelijke onderdelen mag Findra daarin onleesbaar maken.

6. Doorgifte buiten de EER

Je gegevens worden zoveel mogelijk binnen de EU opgeslagen. Gaan ze toch naar een land daarbuiten, dan alleen met de wettelijke waarborgen.

1. Findra laat persoonsgegevens zoveel mogelijk binnen de Europese Economische Ruimte (EER) opslaan.
2. Findra geeft persoonsgegevens alleen door naar een land buiten de EER als daar een wettelijke waarborg voor geldt, zoals een adequaatheidsbesluit van de Europese Commissie (waaronder het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie. Per subverwerker staat in bijlage B welke waarborg geldt.
3. Vervalt een waarborg, dan zorgt Findra binnen een redelijke termijn voor een andere waarborg of een andere subverwerker, en laat zij je dat weten.

7. Melden van een datalek

Ontdekt Findra een datalek met jouw gegevens, dan hoor je dat binnen 48 uur, zodat je zelf kunt beoordelen of je het moet melden.

1. Ontdekt Findra een inbreuk in verband met persoonsgegevens (een datalek) die jouw gegevens raakt, dan meldt zij dat zonder onredelijke vertraging, en uiterlijk binnen 48 uur na ontdekking, per e-mail aan je. De melding bevat voor zover bekend wat er is gebeurd, welke gegevens en hoeveel betrokkenen het raakt, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen, en een contactpunt voor vragen: [email protected]. Wat nog niet bekend is, levert Findra zo snel mogelijk na.
2. Jij beoordeelt of het datalek gemeld moet worden aan de Autoriteit Persoonsgegevens of aan betrokkenen, en doet die melding. Findra helpt je daarbij.
3. Findra neemt direct maatregelen om de gevolgen te beperken en herhaling te voorkomen, en legt elk datalek vast.

8. Rechten van betrokkenen en bijstand

Vraagt iemand om inzage in of verwijdering van zijn gegevens, dan helpt Findra je daarbij.

1. Iemand van wie je gegevens verwerkt, zoals een bezoeker die het contactformulier invulde, kan je vragen zijn gegevens in te zien, te corrigeren of te verwijderen. Findra helpt je, voor zover redelijk, om zulke verzoeken af te handelen.
2. Krijgt Findra zo'n verzoek rechtstreeks, dan stuurt zij het naar jou door en handelt zij het niet zelf af.
3. Findra helpt je, voor zover redelijk, bij een gegevensbeschermingseffectbeoordeling (DPIA), een voorafgaande raadpleging van de Autoriteit Persoonsgegevens en een onderzoek door een toezichthouder.
4. Merkt Findra dat gegevens die zij voor je verwerkt onjuist of verouderd zijn, dan laat zij je dat weten.
5. Voor bijstand die verder gaat dan wat binnen de dienst normaal is, mag Findra redelijke kosten rekenen. Findra laat je die kosten vooraf weten.

9. Controle

Je kunt nagaan of Findra zich aan deze afspraken houdt. Findra geeft je daarvoor de informatie die je nodig hebt.

1. Findra stelt je op verzoek alle informatie beschikbaar die nodig is om aan te tonen dat zij zich aan deze verwerkersovereenkomst houdt.
2. Is die informatie niet genoeg, dan mag je maximaal één keer per jaar een audit laten doen: een controle waarbij een onafhankelijke deskundige nagaat of Findra in de praktijk doet wat in deze overeenkomst staat. De deskundige heeft een geheimhoudingsplicht en is geen concurrent van Findra. Je kondigt de audit ten minste 30 dagen vooraf aan, en de audit verstoort de bedrijfsvoering van Findra zo min mogelijk.
3. De kosten van een audit zijn voor jou, tenzij uit de audit blijkt dat Findra deze verwerkersovereenkomst op wezenlijke punten niet nakomt.
4. De resultaten van een audit zijn vertrouwelijk.
5. Findra werkt mee aan een onderzoek van de Autoriteit Persoonsgegevens of een andere bevoegde toezichthouder.

10. Duur en einde

Deze afspraken lopen zolang de overeenkomst loopt. Daarna kun je je gegevens opvragen en verwijdert Findra ze.

1. Deze verwerkersovereenkomst geldt zolang Findra persoonsgegevens voor je verwerkt en eindigt met de overeenkomst.
2. Na het einde kun je tot 30 dagen kosteloos een kopie van je gegevens opvragen, zoals bepaald in artikel 10.6 van de algemene voorwaarden. Daarna verwijdert Findra de persoonsgegevens, behalve wat zij wettelijk moet bewaren. Back-ups worden binnen de gebruikelijke termijn overschreven. Op verzoek bevestigt Findra de verwijdering schriftelijk.
3. Verplichtingen die naar hun aard doorlopen, zoals geheimhouding, blijven ook na het einde gelden.

11. Aansprakelijkheid

Voor aansprakelijkheid gelden de afspraken uit de algemene voorwaarden.

1. Voor de aansprakelijkheid van Findra onder deze verwerkersovereenkomst geldt artikel 15 van de algemene voorwaarden.
2. Dit laat de rechten die betrokkenen zelf onder de AVG hebben onverlet.

12. Slotbepalingen

Over privacy gaat deze verwerkersovereenkomst voor. Voor de rest gelden de algemene voorwaarden.

1. Bij strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.
2. Findra mag deze verwerkersovereenkomst wijzigen zoals bepaald in artikel 18.3 van de algemene voorwaarden. Een wijziging van bijlage B gebeurt volgens artikel 5.2.
3. Op deze verwerkersovereenkomst is Nederlands recht van toepassing, en voor geschillen geldt artikel 19 van de algemene voorwaarden.

Bijlage A. Welke gegevens Findra verwerkt

Dit zijn de persoonsgegevens die Findra voor jou verwerkt, van wie, wat ermee gebeurt, waarvoor en hoe lang.

Extra waarborgen voor gevoelige gegevens in formulierinzendingen

Voor klanten die gevoelige gegevens kunnen ontvangen, zoals zorg- en hulpverleners, en voor klanten die daarom vragen, gelden deze extra waarborgen:

1. De e-mailmelding over een nieuwe inzending bevat geen inhoud; je leest de inzending in het portaal.
2. Inzendingen worden opgeslagen in de Europese Unie.
3. Alleen jij, en Findra voor zover nodig voor ondersteuning, hebben toegang tot inzendingen.
4. Inzendingen worden na 90 dagen uit het portaal gewist.

Bijlage B. Subverwerkers

Dit zijn de dienstverleners die Findra inschakelt, wat ze doen, waar ze gevestigd zijn, waar de gegevens staan en welke waarborg geldt als gegevens de EER verlaten.

Adressen en contactpersonen van deze subverwerkers, en informatie over de dienstverleners die zij zelf inschakelen, geeft Findra op verzoek (artikel 5.5). Een wijziging van deze lijst laat Findra je ten minste 30 dagen vooraf per e-mail weten (artikel 5.2).

Bijlage C. Beveiligingsmaatregelen

Dit zijn de maatregelen waarmee Findra je gegevens beveiligt.

Opslag en verbindingen

1. Alle verbindingen met de website en het portaal lopen via een versleutelde verbinding (https).
2. Gegevens worden zoveel mogelijk opgeslagen in datacenters binnen de Europese Unie, en zijn bij opslag versleuteld.
3. De datacenters van de hosting- en opslagpartijen zijn fysiek beveiligd en gecertificeerd volgens erkende normen, zoals ISO 27001 of SOC 2.

Beschikbaarheid en herstel

4. Findra maakt regelmatig back-ups van de gegevens.
5. Na een storing of incident herstelt Findra de beschikbaarheid van en de toegang tot de gegevens zo snel als redelijkerwijs mogelijk, op basis van de laatst beschikbare back-up.

Toegang

6. Klanten zien in het portaal alleen hun eigen website en gegevens.
7. Wachtwoorden worden niet leesbaar opgeslagen. Het portaal beschermt het inloggen en het herstellen van wachtwoorden tegen misbruik.
8. Alleen mensen die het voor hun werk nodig hebben, krijgen toegang tot persoonsgegevens en beheeromgevingen. Voor beheeromgevingen gebruikt Findra tweestapsverificatie waar de dienstverlener dat ondersteunt.
9. Toegang tot beheeromgevingen en belangrijke wijzigingen worden vastgelegd.
10. Test- en productieomgevingen zijn gescheiden en hebben eigen sleutels, elk met niet meer rechten dan nodig.

Apparaten

11. Laptops en telefoons waarmee Findra werkt, zijn versleuteld, beveiligd met een wachtwoord of biometrie, en worden bijgewerkt met beveiligingsupdates.

Bewaren en verwijderen

12. Findra verwerkt niet meer gegevens dan nodig voor de dienst en houdt de bewaartermijnen uit bijlage A aan.
13. Bij het einde van de overeenkomst kun je je gegevens exporteren, en daarna verwijdert Findra ze (artikel 10).

Organisatie

14. Iedereen die voor Findra met persoonsgegevens werkt, heeft een geheimhoudingsplicht.
15. Findra werkt de software van het platform en de websites bij met beveiligingsupdates.
16. Findra heeft een procedure voor het signaleren, afhandelen en vastleggen van datalekken en andere beveiligingsincidenten.
17. Findra kiest subverwerkers op hun beveiliging en sluit met elk een verwerkersovereenkomst.
18. Findra evalueert deze maatregelen ten minste eenmaal per jaar.