Artikel 2. Voorwerp van dit Privacy beleid

1. Verwerker verbindt zich onder de voorwaarden van dit Privacy beleid in opdracht van Verwerkingsverantwoordelijke Persoonsgegevens te Verwerken. Verwerking zal uitsluitend plaatsvinden in het kader van de uitvoering van de levering van goederen en diensten in het kader van de Onderliggende Overeenkomst en de doeleinden die daarmee redelijkerwijs samenhangen of die met nadere instemming worden bepaald.
2. Verwerker zal de Persoonsgegevens niet voor enig ander doel verwerken dan zoals door Verwerkingsverantwoordelijke is vastgesteld en is gespecificeerd in Bijlage 1. Verwerkingsverantwoordelijke zal Verwerker Schriftelijk op de hoogte stellen van het onderwerp en de duur van de verwerking, de aard en het doel van de Verwerking, het soort Persoonsgegevens en de categorieën van Betrokkenen, en de rechten en verplichtingen van de Verwerkingsverantwoordelijke jegens Betrokkenen, zoals bedoeld in artikel 28 lid 3 AVG, voor zover deze gegevens niet reeds in dit Privacy beleid of Onderliggende Overeenkomst zijn genoemd.
3. Verwerker verwerkt de Persoonsgegevens uitsluitend op basis van Schriftelijke instructies van de Verwerkeringsverantwoordelijke.
4. Indien een instructie zoals bedoeld in het derde lid naar het oordeel van de Verwerker in strijd is met een wettelijk voorschrift op grond van de AVG of andere wetgeving inzake bescherming van Persoonsgegevens, stelt hij Verwerkingsverantwoordelijke daarvan onmiddellijk in kennis.
5. Indien Verwerkingsverantwoordelijke verplicht is een PIA uit te voeren, verleent Verwerker hierbij de benodigde bijstand aan Verwerkingsverantwoordelijke en verstrekt Verwerker de benodigde informatie aan Verwerkingsverantwoordelijke.
6. De in opdracht van Verwerkingsverantwoordelijke te verwerken Persoonsgegevens blijven eigendom van Verwerkingsverantwoordelijke en / of de betreffende Betrokkenen.

Artikel 3. Verplichtingen Verwerker

1. Ten aanzien van de in artikel 2 genoemde Verwerkingen zal Verwerker zorg dragen voor de naleving van de toepasselijke wet- en regelgeving, waaronder in ieder geval begrepen de wet- en regelgeving op het gebied van de bescherming van Persoonsgegevens.
2. De verplichtingen van de Verwerker die uit dit Privacy beleid voortvloeien, gelden ook voor degenen die Persoonsgegevens verwerken onder het gezag van Verwerker, waaronder begrepen maar niet beperkt tot werknemers, in de ruimste zin van het woord.
3. Het is de Verwerker toegestaan om Sub-verwerkers in te schakelen. De Verwerkingsverantwoordelijke zal hiervan vooraf schriftelijk op de hoogte worden gesteld. In Bijlage 2 zijn de ten tijde van ondertekening van dit Privacy beleid bekende Sub-verwerkers opgenomen.
4. Indien Verwerker na toestemming van Verwerkingsverantwoordelijke een Sub-verwerker inschakelt, zorgt Verwerker dat de Sub-verwerker de verplichtingen uit dit Privacy beleid opgelegd krijgt en naleeft.

Artikel 4. Doorgifte van Persoonsgegevens

1. Verwerker mag de Persoonsgegevens Verwerken in landen binnen de Europese Economische Ruimte. Doorgifte naar landen buiten de Europese Economische Ruimte is verboden, tenzij Verwerkingsverantwoordelijke daar Schriftelijke toestemming voor geeft.
2. Verwerker zal Verwerkingsverantwoordelijke melden om welk land of landen het gaat.

Artikel 5. Verdeling van verantwoordelijkheid

1. De toegestane Verwerkingen zullen door medewerkers van Verwerker worden uitgevoerd binnen een geautomatiseerde omgeving.
2. Verwerker is louter verantwoordelijk voor de Verwerking van de Persoonsgegevens onder dit Privacy beleid, overeenkomstig de instructies van Verwerkingsverantwoordelijke en onder de uitdrukkelijke (eind) verantwoordelijkheid van Verwerkingsverantwoordelijke. Voor de overige Verwerkingen van Persoonsgegevens, waaronder in ieder geval begrepen maar niet beperkt tot de verzameling van de Persoonsgegevens door de Verwerkingsverantwoordelijke, Verwerkingen voor doeleinden die niet door Verwerkingsverantwoordelijke aan Verwerker zijn gemeld, Verwerkingen door Derden en/of voor andere doeleinden, is Verwerker uitdrukkelijk niet verantwoordelijk.
3. Verwerkingsverantwoordelijke garandeert dat de inhoud, het gebruik en de opdracht tot de Verwerkingen van de Persoonsgegevens zoals bedoeld in dit Privacy beleid, niet onrechtmatig is en geen inbreuk maken op enig recht van Betrokkenen of Derden. Verwerkingsverantwoordelijke vrijwaart Verwerker van alle aanspraken van Betrokkenen of Derden die door of vanwege deze Verwerking(en) ontstaan.

Artikel 6. Beveiliging

1. Verwerker zal zich inspannen voldoende technische en organisatorische maatregelen zoals bedoeld in artikel 32 AVG te nemen met betrekking tot de te verrichten Verwerkingen van Persoonsgegevens, met het oog op bescherming van Persoonsgegevens tegen verlies of tegen enige vorm van onrechtmatige Verwerking (zoals onbevoegde kennisname, aantasting, wijziging of verstrekking van de Persoonsgegevens).
2. Verwerker heeft in ieder geval de volgende maatregelen genomen:
   1. Persoonsgegevens worden opgeslagen in een Microsoft Datacenter dat aan de volgende standaarden voldoet: ISO 27001, ISO 27017 & ISO 27018;
   2. Verbindingen worden beveiligd door een Firewall;
   3. Indien databestanden lokaal worden opgeslagen voor test- en ontwikkeldoeleinden, zijn deze encrypted. Derhalve niet door anderen te openen/ in te zien. Dit geldt eveneens voor overzetten data op locatie middels USB sticks.
   4. Remote desktop log-in: Beveiligd via remote desktop protocol Microsoft
   5. Files worden op werkstations alleen op encrypted locaties geplaatst
   6. Files die worden verstuurd via Teamviewer:

Communicatie met teamviewer via Internet maakt gebruik van SSL/TLS connecties. Alle

SSL connecties komen tot stand, gebruik makend door 2048-bit keys.

1. Files die worden bewaard in de cloud file storage (Microsoft onedrive for business), Communicatie met OneDrive for Business via Internet maakt gebruik van SSL/TLS connecties. Alle SSL connecties komen tot stand, gebruik makend door 2048-bit keys.
2. Files die worden verstuurd middels Wetransfer:

Communicatie met wetransfer via Internet maakt gebruik van SSL/TLS connecties. Alle SSL connecties komen tot stand, gebruik makend door 2048-bit keys.

3. Verwerker staat er niet voor in dat de beveiliging onder alle omstandigheden doeltreffend is. Indien een uitdrukkelijk omschreven beveiliging in dit Privacy beleid ontbreekt, zal Verwerker zich inspannen dat de beveiliging zal voldoen aan een niveau dat, gelet op de stand van de techniek, de gevoeligheid van de Persoonsgegevens en de aan het treffen van de beveiliging verbonden kosten, niet onredelijk is.
4. Verwerkingsverantwoordelijke stelt enkel Persoonsgegevens aan Verwerker ter beschikking voor verwerking, indien zij zich ervan heeft verzekerd dat de vereiste beveiligingsmaatregelen zijn getroffen. Verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van de door Partijen afgesproken maatregelen.

Artikel 7. Meldplicht Datalekken

1. In het geval van een beveiligingsinbreuk en/of een Datalek in de zin van artikel 33 AVG zal Verwerker de Verwerkingsverantwoordelijke daarover zonder onredelijke vertraging informeren. In bijlage 3 zijn de specifieke afspraken omtrent de informatieplicht opgenomen.
2. De Verwerker zal de Verwerkingsverantwoordelijke waar mogelijk bijstaan in het nakomen van zijn verantwoordelijkheden jegens de Toezichthoudende autoriteit en/of Betrokkenen zoals bedoeld in artikel 33 en 34 AVG. Voor deze werkzaamheden zal een redelijke vergoeding in rekening worden gebracht, tenzij in de Onderliggende Overeenkomst anders is overeengekomen.
3. Het melden van een Datalek aan de Toezichthoudende autoriteit en/of Betrokkenen zoals bedoeld in artikel 33 en 34 AVG is de verantwoordelijkheid van de Verwerkingsverantwoordelijke.

Artikel 8. Rechten van betrokkenen

1. In het geval dat een Betrokkene een beroep doet op een of meerdere rechten zoals bedoeld in de artikelen 15 – 22 AVG en het bijbehorende verzoek richt aan Verwerker, zal Verwerker het verzoek zelf afhandelen voor zo ver hij dit zelf kan doen. Hij zal Verwerkingsverantwoordelijke van het verzoek op de hoogte te stellen.
2. In het geval dat een Betrokkene een beroep doet op een of meerdere rechten zoals bedoeld in de artikelen 15 – 22 AVG en het bijbehorende verzoek richt aan Verwerkingsverantwoordelijke, verleent Verwerker hierbij de benodigde bijstand aan Verwerkingsverantwoordelijke.
3. Verwerker mag de kosten voor de afhandeling van het verzoek als bedoeld in lid 1 van dit artikel en de kosten voor het verlenen van bijstand zoals bedoeld in lid 2 van dit artikel doorbelasten aan Verwerkingsverantwoordelijke.

Artikel 9. Geheimhouding en vertrouwelijkheid

1. Op alle Persoonsgegevens die Verwerker van Verwerkingsverantwoordelijke ontvangt en/of zelf verzamelt in het kader van dit Privacy beleid, rust een geheimhoudingsplicht jegens Derden. Verwerker zal deze informatie niet voor een ander doel gebruiken dan waarvoor zij deze heeft verkregen.
2. Deze geheimhoudingsplicht is niet van toepassing voor zover Verwerkingsverantwoordelijke uitdrukkelijke toestemming heeft gegeven om de informatie aan Derden te verschaffen, indien het verstrekken van de informatie aan Derden logischerwijs noodzakelijk is gezien de aard van de verstrekte opdracht en de uitvoering van dit Privacy beleid, of indien er een wettelijke verplichting bestaat om de informatie aan een Derde te verstrekken.
3. Verwerker zal ervoor zorgen dat zijn personeel en ingeschakelde hulppersonen die belast zijn met de Verwerking van Persoonsgegevens zich ertoe verbinden vertrouwelijkheid in acht te nemen.