Algemene voorwaarden

Bij het aanbieden van haar diensten verwerkt Team F&J persoonsgegevens. Op grond van de AVG zijn we verplicht om een verwerkersovereenkomst te sluiten. Wij hebben een algemene verwerkersovereenkomst opgesteld voor al onze klanten/opdrachtgevers, die integraal onderdeel uitmaakt van onze algemene voorwaarden en de hoofdovereenkomst.

Partijen:

1. Team F&J is de Verwerker en
2. Opdrachtgever is de Verwerkingsverantwoordelijke.

Nemen het volgende in aanmerking:

1. Partijen hebben de Overeenkomst gesloten, waarop de Voorwaarden van toepassing zijn;
2. Verwerker verwerkt namens Verwerkingsverantwoordelijke in het kader van de uitvoering van de Overeenkomst Persoonsgegevens;
3. Partijen wensen de afspraken omtrent de verwerking van Persoonsgegevens vast te leggen in de Verwerkersovereenkomst, zodat Partijen aan hun respectievelijke verplichtingen uit hoofde van de AVG kunnen voldoen.

Partijen komen het volgende overeen:

• Definities

In deze Verwerkersovereenkomst wordt een aantal begrippen gebruikt. De betekenis van die begrippen is hieronder verduidelijkt. De genoemde begrippen worden in deze Verwerkersovereenkomst met een hoofdletter geschreven. Veelal wordt in de opsomming hieronder verwezen naar een wettelijke omschrijving van het begrip, maar waar mogelijk worden de begrippen verduidelijkt met niet-limitatieve voorbeelden.

• Onderwerp van deze Verwerkersovereenkomst

1. 1. Verwerker levert aan Verwerkingsverantwoordelijke de diensten zoals omschreven in de Overeenkomst en de Voorwaarden. Daarbij worden door Verwerker ten behoeve van Verwerkingsverantwoordelijke Persoonsgegevens Verwerkt. Deze Verwerkersovereenkomst is van toepassing op iedere Verwerking door Verwerker in opdracht van Verwerkingsverantwoordelijke.
   2. Verwerkingsverantwoordelijke is ‘verwerkingsverantwoordelijke’ in de zin van de AVG. Verwerker handelt als ‘verwerker’ in de zin van de AVG.

• Uitvoering Verwerking

1. 1. De door Verwerkingsverantwoordelijke aan Verwerker beschikbaar gestelde Persoonsgegevens worden verwerkt ten behoeve van Verwerkingsverantwoordelijke en uitsluitend verwerkt op basis van schriftelijke instructies van Verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke garandeert dat de Persoonsgegevens, die door Verwerker ten behoeve van de Verwerkingsverantwoordelijke worden Verwerkt, juist zijn en dat de Verwerking rechtmatig is en geheel in overeenstemming wordt Verwerkt met de AVG en/of andere (privacy)wetgeving en dat daarmee geen inbreuk wordt gemaakt op rechten van derden.  
   2. De in het kader van deze Verwerkersovereenkomst te Verwerken Persoonsgegevens zijn beperkt tot de Persoonsgegevens genoemd in Annex 1. Verwerker zal die Persoonsgegevens Verwerken in het kader van deze Verwerkersovereenkomst, in Annex 1 en de Overeenkomst omschreven aard en doeleinden van de Verwerking. 
   3. De Verwerking vindt plaats onder de verantwoordelijkheid van Verwerkingsverantwoordelijke. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de Verwerking opvolgen.
   4. Partijen verbinden zich ertoe te allen tijde in overeenstemming te handelen met de AVG en alle aanverwante wet- en regelgeving betreffende de Verwerking van Persoonsgegevens.
   5. Partijen zullen ieder voor zich de door hen verrichte Verwerkingen, alsmede hun daarop gerichte technische en organisatorische beveiligingsmaatregelen, documenteren in een register en dit register bijhouden.
   6. Verwerker zal Verwerkingsverantwoorde bijstaan bij het voldoen aan haar verplichtingen uit de AVG, waaronder verplichtingen van de Verwerkingsverantwoordelijke ten opzichte van Betrokkenen, een eventuele gegevensbeschermingseffectbeoordeling en een Datalek en ook zal Verwerker – indien op haar een plicht rust die voortvloeit uit de AVG, zoals bedoeld in de artikelen 32 tot en met 36 AVG – bijstand verlenen.   
   7. Verwerker streeft ernaar om geen  Persoonsgegevens te Verwerken binnen de Europese Economische Ruimte.

• Looptijd

1. 1. Deze Verwerkersovereenkomst is van toepassing totdat de Verwerker geen Persoonsgegevens meer Verwerkt namens de Verwerkingsverantwoordelijke.
   2. Na (tussentijdse) beëindiging van deze Verwerkersovereenkomst blijven de bepalingen die daartoe naar hun aard bestemd zijn onverkort van toepassing.

• Passende technische en organisatorische maatregelen

1. 1. Verwerker zal zorg dragen voor passende (als bedoeld in artikel 32 AVG) technische en organisatorische maatregelen zodat Persoonsgegevens worden beveiligd tegen vernietiging, verlies, onbevoegde kennisname, wijziging of tegen enige vorm van onrechtmatige verwerking en om de tijdige beschikbaarheid van en de toegang tot Persoonsgegevens te garanderen. 
   2. De door Verwerker getroffen technische en organisatorische maatregelen zijn opgenomen in Annex 2 . 

• Auditrecht

Verwerkingsverantwoordelijke heeft het recht om de verplichtingen van Verwerker uit hoofde van deze Verwerkersovereenkomst en (overige) wettelijke bepalingen ter zake bescherming van Persoonsgegevens eenmaal per kalenderjaar te (laten) toetsen. De kosten voor een door Verwerkingsverantwoordelijke geïnitieerde audit als bedoeld in dit artikel, komen voor rekening van Verwerkingsverantwoordelijke, tenzij de uitkomsten van deze audit aantonen dat Verwerker materieel in strijd handelt met het bepaalde in deze Verwerkersovereenkomst dan wel dat Verwerker aanpassing(en) dient te doen in haar bedrijfsvoering, in welk geval Verwerker alleen de kosten in relatie tot de audit moet vergoeden voor zover deze kosten betrekking hebben op het voormelde materieel in strijd handelen dan wel het doen van aanpassing(en) in de bedrijfsvoering. 

• Datalekken

1. 1. Verwerker stelt Verwerkingsverantwoordelijke, zodra Verwerker daarvan kennis heeft genomen, zonder onredelijke vertraging op de hoogte van een Datalek. In de communicatie met de Verwerkingsverantwoordelijke over het Datalek streeft Verwerker naar om de navolgende informatie op te nemen: 

1. de aard van het Datalek alsmede de (vermeende) oorzaak daarvan;
2. de getroffen categorieën van Persoonsgegevens en eventuele persoonsgegevensregisters in kwestie;
3. de instanties en contactpersonen waarbij meer informatie over het Datalek kan worden verkregen (zoals een functionaris voor gegevensbescherming);
4. de waarschijnlijke gevolgen van het Datalek;
5. de maatregelen die Verwerker voorstelt te nemen of heeft genomen om het Datalek te verhelpen, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.

1. De beoordeling of een Datalek dient te worden gemeld aan de Toezichthoudende Autoriteit en het eventueel melden van een Datalek aan de Toezichthoudende Autoriteit, is en blijft de verantwoordelijkheid van Verwerkingsverantwoordelijke.
2. De Verwerker zal elk Datalek behoorlijk documenteren, met inbegrip van de feiten en bevindingen omtrent de gevolgen ervan en de genomen corrigerende maatregelen. Dit register bevat ook alle dreigende incidenten die niet dusdanig ernstig zijn dat zij dienen te worden gemeld aan de Toezichthoudende Autoriteit.

• Geheimhouding en vertrouwelijkheid

1. 1. Verwerker is gehouden de door Verwerkingsverantwoordelijke verstrekte Persoonsgegevens vertrouwelijk te behandelen en deze geheim te houden, tenzij Verwerker op grond van wet- of regelgeving is gehouden om de Persoonsgegevens te verstrekken aan derden. 
   2. De medewerkers van Verwerker die bij de Verwerking zijn betrokken, zijn allen gebonden aan een geheimhoudingsbeding.

• Subverwerkers

1. 1. Verwerkingsverantwoordelijke verleent Verwerker hierbij de algemene toestemming om Subverwerkers in te schakelen. Die Subverwerkers kunnen op enige wijze toegang hebben tot de te verwerken Persoonsgegevens. 
   2. Verwerker licht de Verwerkingsverantwoordelijke in over beoogde veranderingen inzake de toevoeging of vervanging van Subverwerkers, waarbij de Verwerkingsverantwoordelijke de mogelijkheid wordt geboden binnen zeven dagen tegen deze veranderingen bezwaar te maken. In Annex 2 is een lijst van huidige Subverwerkers opgenomen. 
   3. Indien Verwerker een Subverwerker inschakelt, zal Verwerker deze Subverwerker dezelfde verplichtingen inzake gegevensbescherming opleggen als die zijn opgenomen in deze Verwerkersovereenkomst. 

• Aansprakelijkheid 

1. 1. Indien de Verwerker tekortschiet in de nakoming van zijn verplichtingen uit hoofde van deze Overeenkomst, de wet, andere verplichtingen opgelegd door de AP of verplichtingen die verband houden met het voorgaande, dan is Verwerker hiervoor enkel jegens Verwerkingsverantwoordelijke en/of de Betrokkenen aansprakelijk met inachtneming van hetgeen is bepaald in de Overeenkomst en de Voorwaarden.
   2. De aansprakelijkheid van Verwerker is beperkt tot hetgeen daarover in de Overeenkomst en de Voorwaarden is opgenomen, ook indien die Overeenkomst en de Voorwaarden, om welke reden dan ook, niet (meer) van kracht zijn.
   3. Indien Verwerkingsverantwoordelijke tekortschiet in de nakoming van haar verplichtingen uit hoofde van deze Verwerkersovereenkomst en/of anderszins daarmee of in strijd handelt met de AVG en/of andere (privacy)wetgeving, dan is Verwerkingsverantwoordelijke hiervoor jegens Verwerker aansprakelijk en is Verwerkingsverantwoordelijke gehouden om de als gevolg daarvan ontstane schade aan Verwerker te vergoeden.
   4. Verwerkingsverantwoordelijke vrijwaart Verwerker voor alle aanspraken, vorderingen, schades, kosten, boetes en/of dwangsommen van derden, Betrokkenen of de Toezichthoudende Autoriteit, indien Verwerkingsverantwoordelijke tekortschiet in de nakoming van de Overeenkomst, de Verwerkersovereenkomst of de Voorwaarden dan wel indien Verwerkingsverantwoordelijke niet in overeenstemming heeft gehandeld met de AVG en/of andere (privacy)wetgeving. Verwerkingsverantwoordelijke zal alle daarmee verband houdende en daaruit voortvloeiende kosten (waaronder mede begrepen kosten van juridische bijstand) en schade van Verwerker vergoeden. Deze vorderingen en aanspraken van Verwerker zijn direct opeisbaar en zijn niet voor verrekening vatbaar. 

• Teruggave of vernietiging van Persoonsgegevens
  Na het einde van de Overeenkomst, ongeacht de wijze waarop en/of na beëindiging van de dienstverlening aan Verwerkingsverantwoordelijke, zal Verwerker binnen 30 dagen na beëindiging de Persoonsgegevens – ter keuze aan Verwerkingsverantwoordelijke – aan Verwerkingsverantwoordelijke ter beschikking stellen dan wel vernietigen, tenzij wettelijke bewaartermijnen of wettelijke opslagtermijnen anders voorschrijven. Eventuele resterende (kopieën van) Persoonsgegevens en/of back-ups en/of data dienen daarop op een door Verwerkingsverantwoordelijke te bepalen moment door Verwerker te worden vernietigd.

• Conversiebepaling 

Indien één of meer artikelen van de Verwerkersovereenkomst ongeldig of op andere wijze niet verbindend zou(den) zijn, wordt de geldigheid van de overige artikelen van de Verwerkersovereenkomst daardoor niet aangetast. Daaronder vallen in ieder geval een (geslaagd) beroep op vernietiging of nietigheid van het artikel. Partijen zullen in dat geval in gezamenlijk overleg en in de geest van de Verwerkersovereenkomst de Verwerkersovereenkomst voor zover nodig aanpassen. De niet-verbindende artikelen worden vervangen door bepalingen die qua intenties van Partijen zo min mogelijk verschillen van de betreffende niet-verbindende artikelen. Indien Partijen niet in overleg zijn getreden of niet tot overeenstemming zijn gekomen, dan zal de bepaling worden uitgelegd zo veel mogelijk in overeenstemming met de intenties van Partijen bij de niet-verbindende bepaling.

• Rechts- en forumkeuze

Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. In de Overeenkomst en/of Voorwaarden is bepaald welke rechtbank exclusief bevoegd is om kennis te nemen van geschillen tussen Partijen.