Verwerkersovereenkomst.

Deze verwerkersovereenkomst (hierna: "Overeenkomst") maakt integraal onderdeel uit van de aansluitovereenkomst tussen de werkgever (hierna: "Verwerkingsverantwoordelijke") en Vertrouwenspunt B.V. (hierna: "Verwerker"). De Overeenkomst regelt de rechten en verplichtingen van partijen bij de verwerking van persoonsgegevens in het kader van de dienstverlening, zoals bedoeld in artikel 28 van de Algemene verordening gegevensbescherming (AVG).

Deze Overeenkomst prevaleert boven eventuele andersluidende bepalingen in de onderliggende overeenkomst, voor zover het de verwerking van persoonsgegevens betreft.

Begrippen die in de AVG zijn gedefinieerd, zoals persoonsgegevens, verwerking, betrokkene, datalek, subverwerker en derde land, hebben in deze Overeenkomst de betekenis die de AVG daaraan toekent. Onder "Diensten" wordt verstaan: de door Verwerker geleverde vertrouwenspersoondienstverlening, het SaaS-platform, en alle aanverwante ondersteunende diensten.

Verwerker verwerkt in opdracht en onder instructie van Verwerkingsverantwoordelijke persoonsgegevens ten behoeve van:

• het ontvangen en opvolgen van meldingen van ongewenste omgangsvormen;
• de begeleiding, opvang en advisering van melders door een vertrouwenspersoon;
• het beschikbaar stellen van een SaaS-platform voor communicatie en dossierbeheer;
• het opstellen van geanonimiseerde jaarrapportages;
• accountbeheer en authenticatie van gemachtigden van Verwerkingsverantwoordelijke.

Categorieën betrokkenen: werknemers, inleenkrachten, stagiairs en andere medewerkers van Verwerkingsverantwoordelijke, alsmede gemachtigden van Verwerkingsverantwoordelijke (HR, directie, OR).

Categorieën persoonsgegevens: NAW-gegevens, e-mailadressen, telefoonnummers, functiegegevens, inhoud van meldingen en gesprekken, en — voor zover betrokkenen dit zelf aandragen — bijzondere categorieën van persoonsgegevens in de zin van artikel 9 AVG, waaronder gezondheidsgegevens. Verwerker verwerkt deze bijzondere categorieën uitsluitend op basis van uitdrukkelijke toestemming van de betrokkene of binnen de uitzonderingen van artikel 9 lid 2 AVG.

Verwerker verwerkt persoonsgegevens uitsluitend op schriftelijke instructie van Verwerkingsverantwoordelijke, behoudens andersluidende verplichtingen op grond van Unierechtelijk of nationaalrechtelijk voorschrift. Verwerker stelt Verwerkingsverantwoordelijke onverwijld in kennis indien zij van mening is dat een instructie in strijd is met de AVG of andere gegevensbeschermingsbepalingen.

Uitzondering: de vertrouwenspersoon is op grond van de Arbowet gehouden tot geheimhouding ten opzichte van de werkgever over de inhoud van meldingen. Verwerkingsverantwoordelijke erkent dat dit meebrengt dat zij geen inhoudelijke toegang heeft tot zaakgegevens, en dat dit een wezenlijk onderdeel is van de dienstverlening.

Verwerker neemt passende technische en organisatorische maatregelen ter beveiliging van de verwerking, afgestemd op de aard van de gegevens en het risico voor betrokkenen. Dit omvat in elk geval:

• versleuteling van persoonsgegevens in rust (AES-256) en tijdens transport (TLS 1.3);
• rolgebaseerde toegangscontrole met het principe van least privilege;
• verplichte tweefactor-authenticatie voor administratieve rollen;
• logische scheiding van gegevens per Verwerkingsverantwoordelijke (tenant isolation);
• gescheiden productie-, acceptatie- en ontwikkelomgevingen;
• dagelijkse versleutelde back-ups met geografische spreiding binnen de EER;
• een onveranderlijk, append-only auditlog van administratieve handelingen;
• periodieke penetratietesten en kwetsbaarhedenscans;
• een ingericht kwaliteitsbeleid geënt op ISO 27001 en NEN 7510.

"De scheiding tussen werkgever en gesprek
is geen belofte.
Het is een technisch feit."

Verwerker is gerechtigd subverwerkers in te schakelen. Een actueel overzicht van ingeschakelde subverwerkers, hun vestigingsplaats en de aard van de verwerking, wordt op verzoek verstrekt en is via het platform te raadplegen.

Bij wijziging in de set van subverwerkers informeert Verwerker Verwerkingsverantwoordelijke ten minste dertig dagen vooraf. Verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken; blijven partijen het oneens, dan kan Verwerkingsverantwoordelijke de onderliggende overeenkomst per direct beëindigen zonder schadeplichtig te zijn.

Verwerker sluit met elke subverwerker een overeenkomst die ten minste dezelfde verplichtingen oplegt als in deze Overeenkomst zijn vastgelegd, en blijft jegens Verwerkingsverantwoordelijke aansprakelijk voor de naleving door subverwerkers.

Verwerker verwerkt persoonsgegevens uitsluitend binnen de Europese Economische Ruimte. Doorgifte buiten de EER vindt niet plaats, tenzij Verwerkingsverantwoordelijke daartoe uitdrukkelijk schriftelijk opdracht geeft en passende waarborgen zijn getroffen overeenkomstig artikel 46 AVG.

Verwerker verplicht haar werknemers, onderaannemers en subverwerkers die toegang hebben tot persoonsgegevens tot geheimhouding, hetzij op grond van een contractuele bepaling, hetzij op grond van een wettelijke verplichting.

Verwerker stelt Verwerkingsverantwoordelijke onverwijld, doch uiterlijk binnen 48 uur na ontdekking, in kennis van een inbreuk in verband met persoonsgegevens die naar verwachting een risico inhoudt voor de rechten en vrijheden van betrokkenen. De melding bevat in elk geval de informatie als bedoeld in artikel 33 lid 3 AVG, voor zover op dat moment bekend.

Verwerker ondersteunt Verwerkingsverantwoordelijke bij het doen van een melding aan de Autoriteit Persoonsgegevens en, indien van toepassing, aan betrokkenen. De meldplicht jegens de toezichthouder rust op Verwerkingsverantwoordelijke.

Verwerker verleent Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking, redelijke medewerking bij het vervullen van haar plicht om te voldoen aan verzoeken tot uitoefening van rechten van betrokkenen. Indien een betrokkene zich rechtstreeks tot Verwerker wendt, verwijst Verwerker de betrokkene naar Verwerkingsverantwoordelijke, tenzij Verwerker op grond van wet- en regelgeving gehouden is zelf op het verzoek te reageren.

Verwerker stelt Verwerkingsverantwoordelijke desgevraagd alle informatie ter beschikking die nodig is om nakoming van deze Overeenkomst aan te tonen. Eens per kalenderjaar is Verwerkingsverantwoordelijke gerechtigd op eigen kosten een audit te laten uitvoeren door een onafhankelijke, in gegevensbescherming gespecialiseerde derde, met inachtneming van een redelijke termijn en de vertrouwelijkheid van gesprekken met melders. Bevindingen worden eerst met Verwerker besproken alvorens zij worden gedeeld met derden.

Deze Overeenkomst geldt voor de duur van de onderliggende overeenkomst en eindigt van rechtswege bij beëindiging daarvan, onverminderd de bepalingen die naar hun aard voortduren.

Na beëindiging van de Overeenkomst draagt Verwerker op verzoek van Verwerkingsverantwoordelijke alle persoonsgegevens in een gangbaar, gestructureerd formaat over, of vernietigt deze, tenzij opslag op grond van Unierechtelijke of nationaalrechtelijke bepalingen verplicht is. Verwerker bevestigt de vernietiging schriftelijk. Termijn voor teruggave of vernietiging: uiterlijk 90 dagen na beëindiging.

De aansprakelijkheid van partijen uit hoofde van deze Overeenkomst wordt beheerst door de aansprakelijkheidsbepalingen van de onderliggende overeenkomst, onverminderd de dwingendrechtelijke aansprakelijkheid op grond van artikel 82 AVG. Partijen vrijwaren elkaar over en weer voor boetes en claims die voortvloeien uit een aan de andere partij toerekenbare tekortkoming in de naleving van de AVG.

Op deze Overeenkomst is Nederlands recht van toepassing. Geschillen worden bij uitsluiting voorgelegd aan de bevoegde rechter te Rotterdam, tenzij partijen schriftelijk anders overeenkomen.

Wijzigingen in deze Overeenkomst worden schriftelijk overeengekomen. Indien een bepaling nietig of vernietigbaar blijkt, laat dit de geldigheid van de overige bepalingen onverlet en treden partijen in overleg over een vervangende regeling die de strekking van de nietige bepaling zo dicht mogelijk benadert.