Verwerkersovereenkomst (artikel 28 AVG)Verwerkersovereenkomst (artikel 28 AVG) 

1.1. Deze overeenkomst (de "Overeenkomst") wordt gesloten tussen de Klant, die optreedt als verwerkingsverantwoordelijke (de "Verantwoordelijke"), en ABC Exp SRL, Chaussée de Perwez 165, 5002 Namen, KBO BE 0758.735.384, die optreedt als verwerker (de "Verwerker").

1.2. Ze bepaalt de voorwaarden waaronder de Verwerker persoonsgegevens verwerkt voor rekening van de Verantwoordelijke in het kader van het Contract, overeenkomstig artikel 28 van verordening (EU) 2016/679 ("AVG"). Ze maakt integraal deel uit van het Contract en is van toepassing zodra zulke gegevens worden verwerkt, zonder afzonderlijke ondertekening. Ze heeft voorrang op de Algemene voorwaarden voor alles wat de gegevensbescherming betreft.

De kenmerken van de verwerking worden beschreven in Bijlage A hieronder en, in voorkomend geval, gepreciseerd in de Offerte.

De Verwerker verbindt zich ertoe:

a) de gegevens enkel te verwerken op basis van gedocumenteerde instructies van de Verantwoordelijke, ook wat doorgiften buiten de Europese Economische Ruimte (EER) betreft, behalve bij een wettelijke verplichting, in welk geval hij de Verantwoordelijke vóór de verwerking inlicht, tenzij de wet dat verbiedt. Het Contract, de Offerte, deze Overeenkomst en de schriftelijke verzoeken van de Verantwoordelijke (ook per e-mail of ticket) vormen de gedocumenteerde instructies. De Verwerker licht de Verantwoordelijke onmiddellijk in als een instructie volgens hem een inbreuk op de AVG vormt, en mag de uitvoering ervan opschorten;

b) ervoor te zorgen dat de personen die gemachtigd zijn om de gegevens te verwerken, zich tot vertrouwelijkheid hebben verbonden of door een passende wettelijke verplichting gebonden zijn;

c) de beveiligingsmaatregelen van artikel 32 AVG te nemen, beschreven in Bijlage B;

d) de voorwaarden voor het inschakelen van andere verwerkers na te leven (artikel 5 hieronder);

e) de Verantwoordelijke met passende technische en organisatorische maatregelen en voor zover mogelijk te helpen bij het beantwoorden van verzoeken tot uitoefening van de rechten van betrokkenen; de Verwerker bezorgt elk rechtstreeks ontvangen verzoek onverwijld aan de Verantwoordelijke en beantwoordt het niet zelf, tenzij op instructie;

f) de Verantwoordelijke te helpen bij het nakomen van de verplichtingen van de artikelen 32 tot 36 AVG (beveiliging, melding van inbreuken, effectbeoordeling, voorafgaande raadpleging), rekening houdend met de aard van de verwerking en de informatie waarover hij beschikt;

g) na afloop van de prestaties, naar keuze van de Verantwoordelijke die binnen 30 dagen na het einde van het Contract schriftelijk wordt meegedeeld, de gegevens te wissen of terug te bezorgen en bestaande kopieën te vernietigen, behoudens wettelijke bewaarplicht. Bij gebreke van keuze binnen die termijn wist de Verwerker de gegevens; kopieën in back-ups worden gewist aan het einde van hun normale rotatiecyclus;

h) de Verantwoordelijke alle informatie ter beschikking te stellen die nodig is om de naleving van dit artikel aan te tonen en audits mogelijk te maken volgens artikel 7;

i) een register bij te houden van de categorieën van verwerkingsactiviteiten die hij voor rekening van de Verantwoordelijke verricht, wanneer artikel 30.2 AVG dat vereist.

De Verantwoordelijke waarborgt dat: (a) de verwerkingen die hij toevertrouwt op een geldige rechtsgrond berusten en de betrokkenen overeenkomstig de artikelen 13 en 14 AVG zijn geïnformeerd; (b) zijn instructies in overeenstemming zijn met de AVG; (c) hij geen gevoelige gegevens (art. 9 en 10 AVG) toevertrouwt zonder de Verwerker daarover vooraf schriftelijk te informeren en aangepaste maatregelen af te spreken; (d) hij zelf, in voorkomend geval, de effectbeoordeling uitvoert en zijn verwerkingsregister bijhoudt. Hij blijft als enige verantwoordelijk voor de keuze van de doeleinden en de essentiële middelen van de verwerking, evenals voor de configuratie en het gebruik van zijn oplossing door zijn gebruikers.

5.1. De Verantwoordelijke verleent de Verwerker een algemene toestemming om andere verwerkers in te schakelen. De lijst van subverwerkers op de datum van de Overeenkomst staat in Bijlage C.

5.2. De Verwerker brengt de Verantwoordelijke ten minste 15 dagen vooraf schriftelijk (een e-mail volstaat) op de hoogte van elke voorgenomen toevoeging of vervanging. De Verantwoordelijke kan binnen die termijn schriftelijk bezwaar maken om redelijke redenen in verband met gegevensbescherming. Vinden de partijen geen oplossing, dan kan de Verantwoordelijke, als enig rechtsmiddel, de betrokken Dienst opzeggen zonder vergoeding aan weerszijden; de bedragen voor de uitgevoerde prestaties blijven verschuldigd. Zonder bezwaar binnen de termijn wordt de wijziging geacht aanvaard te zijn.

5.3. De Verwerker legt elke subverwerker contractueel gegevensbeschermingsverplichtingen op die in wezen gelijkwaardig zijn aan die van deze Overeenkomst. Hij blijft ten aanzien van de Verantwoordelijke aansprakelijk voor de nakoming van hun verplichtingen, binnen de grenzen van artikel 9.

De Verwerker meldt de Verantwoordelijke elke inbreuk in verband met persoonsgegevens zo snel mogelijk, en indien mogelijk binnen 48 uur nadat hij er kennis van kreeg, per e-mail aan het contactadres van de Verantwoordelijke. De melding bevat, voor zover beschikbaar, de informatie van artikel 33.3 AVG, die gefaseerd kan worden verstrekt. Het komt de Verantwoordelijke toe de inbreuk te melden aan de toezichthoudende autoriteit en, in voorkomend geval, aan de betrokkenen. De melding door de Verwerker houdt geen erkenning van fout in.

7.1. De Verwerker bezorgt op schriftelijk verzoek de documentatie die redelijkerwijs nodig is om zijn naleving aan te tonen (beschrijving van de beveiligingsmaatregelen, lijst van subverwerkers, attesten of certificeringen van zijn infrastructuurleveranciers).

7.2. Is die documentatie onvoldoende, dan kan de Verantwoordelijke een audit laten uitvoeren, ten hoogste één keer per periode van 12 maanden (behalve bij een vastgestelde inbreuk of op verzoek van een autoriteit), met een voorafgaande kennisgeving van 30 dagen, tijdens Werkdagen, zonder buitensporige verstoring van de activiteit van de Verwerker, door hemzelf of door een onafhankelijke, niet-concurrerende auditor die tot geheimhouding is gehouden. De audit kan niet slaan op de infrastructuur van subverwerkers verder dan hun eigen voorwaarden toelaten. De kosten van de audit zijn ten laste van de Verantwoordelijke, met inbegrip van de tijd die de Verwerker eraan besteedt, gefactureerd aan het uurtarief van het Contract.

De Verwerker geeft geen gegevens door buiten de EER zonder instructie of toestemming van de Verantwoordelijke. Toestemming wordt geacht gegeven te zijn voor de subverwerkers vermeld in Bijlage C. Elke doorgifte steunt op een adequaatheidsbesluit of op passende waarborgen in de zin van artikel 46 AVG (met name de standaardcontractbepalingen van de Europese Commissie).

Elke partij is aansprakelijk voor de schade die door haar inbreuk op de AVG of deze Overeenkomst wordt veroorzaakt, overeenkomstig artikel 82 AVG. In de verhouding tussen de partijen is de aansprakelijkheid van de Verwerker onder deze Overeenkomst onderworpen aan de uitsluitingen en het plafond van artikel 12 van de Algemene voorwaarden, behalve bij bedrog, opzettelijke fout of zware fout. De bijstand onder de artikelen 3.e, 3.f, 3.g (buiten een standaardexport) en 7 wordt gefactureerd aan het uurtarief van het Contract, tenzij ze voortvloeit uit een tekortkoming van de Verwerker.

Deze Overeenkomst geldt zolang de Verwerker gegevens verwerkt voor rekening van de Verantwoordelijke en eindigt met de wissing of teruggave van de gegevens overeenkomstig artikel 3.g.

Bijlage A – Beschrijving van de verwerking

Bijlage B – Technische en organisatorische beveiligingsmaatregelen

• Versleuteling van de datastromen (HTTPS/TLS) en, in voorkomend geval, van de back-ups;
• Hosting op professionele infrastructuur in de EU, beschermd door een firewall; beheerderstoegang via SSH-sleutel of sterke authenticatie;
• Toegangsbeheer volgens het principe van de minste rechten; nominatieve accounts; sterke wachtwoorden, gehasht opgeslagen;
• Regelmatige toepassing van beveiligingsupdates van het systeem en de afhankelijkheden;
• Regelmatige back-ups met beperkte bewaring en occasionele hersteltests;
• Scheiding van test- en productieomgevingen; gebruik van fictieve of geminimaliseerde gegevens voor tests waar mogelijk;
• Logging van technische toegangen en monitoring van de beschikbaarheid;
• Vertrouwelijkheid van de betrokken personen en bewustmaking rond beveiliging;
• Procedure voor het beheer van incidenten en datalekken;
• Veilige wissing van de gegevens aan het einde van het contract.

Bijlage C – Toegelaten subverwerkers

Diensten die de Verantwoordelijke rechtstreeks afsluit (bv. Stripe, Google Analytics, e-mailmarketingtools, domeinnaam) zijn geen subverwerkers van de Verwerker; de Verantwoordelijke contracteert rechtstreeks met hun leveranciers.