Verwerkersovereenkomst

1. Overwegingen

Klant maakt gebruik van de White Label Community App van Qomunal en is daarbij verwerkingsverantwoordelijke voor de persoonsgegevens van haar Gebruikers. Qomunal verwerkt deze gegevens uitsluitend ten behoeve van Klant. Partijen leggen in deze verwerkersovereenkomst vast hoe zij invulling geven aan de vereisten van artikel 28 AVG.

Deze verwerkersovereenkomst maakt onlosmakelijk onderdeel uit van de algemene leveringsvoorwaarden tussen Klant en Qomunal. Bij tegenstrijdigheid tussen beide documenten over de verwerking van persoonsgegevens, prevaleert deze verwerkersovereenkomst.

2. Definities

• AVG: de Algemene Verordening Gegevensbescherming.
• Persoonsgegevens: alle gegevens betreffende een geïdentificeerde of identificeerbare natuurlijke persoon die Qomunal in het kader van de Dienst voor Klant verwerkt, waaronder de gegevens van Gebruikers.
• Verwerking: elke bewerking van persoonsgegevens, zoals opslag, raadpleging, wijziging of verwijdering.
• Betrokkene: de natuurlijke persoon op wie een persoonsgegeven betrekking heeft, waaronder een Gebruiker.
• Datalek: een inbreuk op de beveiliging die leidt tot een risico voor de bescherming van persoonsgegevens.
• Subverwerker: een derde partij die door Qomunal wordt ingeschakeld om (een deel van) de Verwerking uit te voeren.

3. Onderwerp, aard en duur

Qomunal verwerkt Persoonsgegevens uitsluitend voor het leveren van de Dienst aan Klant: het beschikbaar stellen en beheren van de community-app, inclusief hosting, back-ups, monitoring en support, zoals beschreven in de onderliggende overeenkomst.

Deze verwerkersovereenkomst geldt voor de duur van de onderliggende overeenkomst tussen Klant en Qomunal, en eindigt van rechtswege bij beëindiging daarvan, onverminderd de verplichtingen die naar hun aard ook na beëindiging blijven gelden (zoals geheimhouding).

De aard van de Verwerking, de categorieën Betrokkenen en de soorten Persoonsgegevens zijn nader uitgewerkt in de bijlage bij dit document.

4. Verplichtingen van Qomunal

Qomunal verwerkt Persoonsgegevens uitsluitend op basis van deze verwerkersovereenkomst en de schriftelijke instructies van Klant, tenzij een wettelijke verplichting Qomunal tot verwerking verplicht. In dat laatste geval informeert Qomunal Klant hierover voorafgaand, tenzij dit wettelijk niet is toegestaan.

Qomunal gebruikt de Persoonsgegevens nooit voor eigen doeleinden, waaronder marketing, profilering of het trainen van modellen, en verkoopt of verhuurt deze niet aan derden.

5. Instructies van Klant

Klant staat ervoor in dat de verwerkingsopdracht rechtmatig is en dat de instructies aan Qomunal in overeenstemming zijn met de AVG. Qomunal informeert Klant indien een instructie naar haar oordeel in strijd is met toepasselijke privacywetgeving.

6. Inzet van subverwerkers

Klant geeft Qomunal algemene toestemming om subverwerkers in te schakelen, zoals hostingpartijen, mits deze zijn gevestigd binnen de Europese Unie en met hen schriftelijke afspraken zijn gemaakt die ten minste gelijkwaardig zijn aan deze verwerkersovereenkomst. Een actueel overzicht van ingeschakelde subverwerkers is opgenomen in de bijlage, of op verzoek beschikbaar.

Qomunal informeert Klant bij een voorgenomen wijziging van subverwerkers, zodat Klant hiertegen binnen een redelijke termijn van 3 maanden beargumenteerd bezwaar kan maken.

7. Doorgifte van gegevens

Persoonsgegevens worden uitsluitend verwerkt en opgeslagen op servers binnen de Europese Unie. Er vindt geen doorgifte van Persoonsgegevens plaats naar landen buiten de EU of de Europese Economische Ruimte.

8. Beveiligingsmaatregelen

Qomunal treft passende technische en organisatorische maatregelen om Persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard van de te beschermen gegevens. Deze maatregelen omvatten in ieder geval versleuteling van gegevensverkeer, toegangsbeheer op basis van functie, logging, en periodieke back-ups zoals beschreven in de bijbehorende service level agreement.

9. Geheimhouding

Qomunal legt aan eenieder die namens haar toegang heeft tot Persoonsgegevens een geheimhoudingsplicht op, tenzij deze reeds uit hoofde van functie of wet geldt.

10. Meldplicht datalekken

Qomunal meldt een Datalek zonder onredelijke vertraging, en uiterlijk binnen [termijn, bijv. 48 uur] nadat zij hiervan kennis heeft genomen, aan Klant. De melding bevat in ieder geval de aard van het Datalek, de vermoedelijke gevolgen en de reeds genomen of voorgestelde maatregelen.

Klant is en blijft zelf verantwoordelijk voor het, indien vereist, melden van het Datalek aan de Autoriteit Persoonsgegevens en eventueel aan Betrokkenen. Qomunal verleent hieraan redelijkerwijs de gevraagde medewerking.

11. Bijstand bij rechten van betrokkenen

Voor zover Klant dit redelijkerwijs niet zelf kan, verleent Qomunal medewerking aan verzoeken van Betrokkenen die gebruikmaken van hun rechten onder de AVG (zoals inzage, rectificatie, verwijdering of dataportabiliteit). Qomunal reageert op een dergelijk verzoek van Klant binnen een redelijke termijn van 3 maanden.

12. Audit en controle

Klant heeft het recht om, na voorafgaande schriftelijke aankondiging met een redelijke termijn van 2 maanden en niet vaker dan eenmaal per jaar], de naleving van deze verwerkersovereenkomst te laten controleren door een onafhankelijke, door beide partijen te aanvaarden auditor. Redelijke kosten van een dergelijke audit komen voor rekening van Klant, tenzij ernstige tekortkomingen worden vastgesteld.

Qomunal kan er in plaats daarvan voor kiezen om een actueel, relevant auditrapport (zoals een ISO-certificering) van een onafhankelijke derde partij te overleggen.

13. Aansprakelijkheid

De aansprakelijkheid van Qomunal onder deze verwerkersovereenkomst is onderworpen aan de aansprakelijkheidsbeperkingen zoals opgenomen in de onderliggende algemene leveringsvoorwaarden tussen Klant en Qomunal.

14. Teruggave en vernietiging bij einde

Bij beëindiging van de onderliggende overeenkomst stelt Qomunal Klant in de gelegenheid om binnen [termijn] een export van alle Persoonsgegevens op te vragen. Na afloop van deze termijn worden alle Persoonsgegevens door Qomunal definitief verwijderd, tenzij een wettelijke bewaarplicht anders vereist.

15. Overige bepalingen

Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Wijzigingen zijn alleen geldig indien schriftelijk overeengekomen tussen partijen, met dien verstande dat Qomunal deze verwerkersovereenkomst mag actualiseren voor zover dit noodzakelijk is om te voldoen aan wijzigingen in de AVG of andere toepasselijke wetgeving, met voorafgaande kennisgeving aan Klant.

16. Bijlage: verwerkingen en gegevens