Versie: 1.2

Datum: 1 oktober 2021

Artikel 1  – Definities

In deze Verwerkersovereenkomst wordt verstaan onder:

1. Verwerkersovereenkomst: deze Verwerkersovereenkomst inclusief eventueel aangehechte bijlagen.
2. AVG: Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (Algemene Verordening Gegevensbescherming);
3. Betrokkene: degene op wie een Persoonsgegeven betrekking heeft;
4. Derde(n): andere (rechts-)personen, niet zijnde (een der) Partijen;
5. Duurovereenkomst: een overeenkomst waarbij beide partijen zich verplichten gedurende langere periode prestaties te leveren.
6. Partijen: Verwerker en Verwerkingsverantwoordelijke gezamenlijk;
7. Onderliggende Overeenkomst: de overeenkomst waarbij Verwerkingsverantwoordelijke aan Verwerker opdracht heeft gegeven om Verwerkingen te verrichten;
8. Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, die Verwerker op grond van de Onderliggende Overeenkomst Verwerkt of dient te Verwerken, als nader gedefinieerd in artikel 4 sub 1 AVG.
9. Privacywetgeving: alle toepasselijke wet- en regelgeving met betrekking tot de Verwerking en bescherming van persoonsgegevens, waaronder maar niet beperkt tot de AVG en de Uitvoeringswet AVG;
10. Schriftelijk: schriftelijk, waaronder begrepen per elektronisch (e-mail-)bericht;
11. Subverwerker(s): de partij met wie Verwerker een overeenkomst ter uitvoering van de Onderliggende overeenkomst aangaat en die ertoe leidt of heeft geleid dat Subverwerker in opdracht van Verwerker Persoonsgegevens verwerkt.
12. Uitvoeringswet AVG: regels ter uitvoering van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PbEU 2016, L 119) (Uitvoeringswet Algemene verordening gegevensbescherming);
13. Verwerken/verwerking: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;
14. Verwerker: Verwerker als gedefinieerd in artikel 2 van deze Verwerkersovereenkomst. Verwerker neemt geen zelfstandige beslissingen over het gebruik van persoonsgegevens, de verstrekking aan derden en andere ontvangers, de duur van de opslag et cetera.
15. Verwerkingsverantwoordelijke: de partij die met Verwerker de Onderliggende overeenkomst aangaat die ertoe leidt of heeft geleid dat Verwerker in opdracht van Verwerkingsverantwoordelijke Persoonsgegevens verwerkt. De Verwerkingsverantwoordelijke stelt het doel van en de middelen voor de verwerking van persoonsgegevens vast.

Artikel 2  – Identiteit van Verwerker

MijnDiAd B.V.
Toernooiveld 300
6525 EC Nijmegen
Telefoonnummer: 024 – 234 00 55
E-mail: support@mijndiad.nl
KvK nummer: 85542156

Artikel 3  – Overwegingen

1. Verwerkingsverantwoordelijke en Verwerker zijn de Onderliggende overeenkomst aangegaan voor het verrichten van diensten. Deze overeenkomst leidt ertoe dat Verwerker in opdracht van Verwerkingsverantwoordelijke Persoonsgegevens verwerkt.
2. In deze Algemene Verwerkingsvoorwaarde worden de wederzijdse rechten en verplichtingen voor de Verwerking van Persoonsgegevens door Verwerker beschreven en overeengekomen overeenkomstig de toepasselijke Privacywetgeving.

Artikel 4  – Toepasselijkheid

Tenzij Partijen anders schriftelijk zijn overeengekomen, zijn de bepalingen van deze Overeenkomst van toepassing op iedere Verwerking door Verwerker op grond van de Onderliggende Overeenkomst.

Artikel 5  – Verwerking door Verwerker

1. Verwerker Verwerkt Persoonsgegevens ten behoeve van Verwerkingsverantwoordelijke, overeenkomstig diens schriftelijke instructies en onder diens verantwoordelijkheid en volgens de aard en strekking van de Onderliggende Overeenkomst.
2. Verwerker Verwerkt de Persoonsgegevens slechts in opdracht van Verwerkingsverantwoordelijke, behoudens afwijkende wettelijke verplichtingen.
3. Verwerker heeft geen zeggenschap over het doel en de middelen voor de Verwerking van Persoonsgegevens en neemt geen beslissingen over het gebruik van de Persoonsgegevens, de verstrekking aan derden en de duur van de opslag van Persoonsgegevens.
4. Verwerker stelt de Verwerkingsverantwoordelijke onmiddellijk schriftelijk in kennis indien een instructie naar het redelijk oordeel van Verwerker inbreuk oplevert op de toepasselijke Privacywetgeving.
5. Verwerker stelt op eerste verzoek van Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de nakoming van in deze Verwerkersovereenkomst neergelegde verplichtingen aan te tonen.
6. Verwerker dient zorg te dragen voor de naleving van de voorwaarden die op grond van de toepasselijke Privacywetgeving worden gesteld aan het Verwerken van Persoonsgegevens.
7. Verwerker verschaft enkel toegang tot de Persoonsgegevens aan haar werknemers voor zover dit nodig is voor het verrichten van de diensten op grond van de Onderliggende Overeenkomst.
8. Verwerker mag de Persoonsgegevens enkel buiten de Europese Economische Ruimte (“EER”) Verwerken met voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke, indien en voor zover zij niet behoren tot een van de in artikel 6.2 van deze Verwerkersovereenkomst genoemde niet-EER-Subverwerkers.
9. Verwerker zal de Persoonsgegevens niet langer dan twee (2) maanden na tot einde van de overeenkomst verwerken, tenzij Verwerkingsverantwoordelijke hiertoe uitdrukkelijk schriftelijk opdracht heeft gegeven of Verwerker hiertoe wettelijk is verplicht.

Artikel 6  – Verstrekking persoonsgegevens aan Subverwerkers en Derden

1. Verwerker verstrekt ter uitvoering van de Onderliggende overeenkomst persoonsgegevens aan Subverwerkers die zich in de EER bevinden. Een actueel overzicht van de verschillende Subverwerkers en de door hen verwerkte Persoonsgegevens is te vinden en te downloaden op https://www.mijndiad.nl/verwerkersovereenkomst/sub-verwerkers/
2. Verwerker verstrekt ter uitvoering van de Onderliggende overeenkomst de volgende persoonsgegevens aan de volgende Subverwerkers die zich buiten de EER bevinden:
   Er bevinden zich op dit moment geen Subverwerkers die zich buiten de EER bevinden.
   Met het akkoord gaan van deze Verwerkersovereenkomst gaat Verwerkingsverantwoordelijke uitdrukkelijk akkoord met de doorgifte van persoonsgegevens aan in dit sub genoemde Subverwerkers die zich buiten de EER bevinden.
3. Verwerker zal geen Persoonsgegevens aan een andere EER-Subverwerker en of Derde verstrekken of ter beschikking stellen tenzij op grond van een uitdrukkelijke schriftelijke opdracht of instemming van Verwerkingsverantwoordelijke of op bevel van een gerechtelijke of bestuurlijke instantie, op voorwaarde dat Verwerker in dat geval Verwerkingsverantwoordelijke binnen 72 uur na ontvangst van een dergelijk bevel daarvan in kennis stelt om Verwerkingsverantwoordelijke zodoende in staat te stellen daartegen een haar ter beschikking staand rechtsmiddel in te stellen, tenzij ambtelijk bevel richting Verwerker zich hiertegen verzet.
4. Indien Verwerker van oordeel is dat zij op grond van een wettelijke verplichting Persoonsgegevens ter beschikking dient te stellen aan een daartoe bevoegde instantie zal zij daar niet toe overgaan, dan na overleg met en goedkeuring van Verwerkingsverantwoordelijke, tenzij wettelijke verplichting of ambtelijk bevel richting Verwerker zich hiertegen verzet. Zij zal Verwerkingsverantwoordelijke in dat geval zo spoedig mogelijk schriftelijk in kennis stellen van de wettelijke verplichting en daarbij alle relevante informatie verstrekken die Verwerkingsverantwoordelijke redelijkerwijs nodig heeft om de benodigde maatregelen te treffen om te bepalen of verstrekking kan plaatsvinden en, zo ja, onder welke voorwaarden.

 Artikel 7  – Verzoeken van betrokkenen

1. Verwerker dient Verwerkingsverantwoordelijke in kennis te stellen van alle verzoeken die rechtstreeks van Betrokkenen zijn ontvangen met betrekking tot de rechten van Betrokkenen op grond van de toepasselijke Privacywetgeving, waaronder maar niet beperkt tot verzoeken tot inzage, rectificatie, wissing, beperking van de verwerking of overdracht van de Persoonsgegevens. Verwerker geeft aan een dergelijk verzoek alleen gevolg indien Verwerkingsverantwoordelijke Verwerker daartoe schriftelijk opdracht heeft gegeven.
2. Verwerker handelt alle verzoeken om inlichtingen van Verwerkingsverantwoordelijke met betrekking tot de Verwerking van de Persoonsgegevens vlot en behoorlijk af.

Artikel 8  – Medewerking Verwerker

Verwerker zal de Verwerkingsverantwoordelijke medewerking verlenen bij het doen nakomen van de verplichtingen om: (i) verzoeken van Betrokkenen met betrekking tot de uitoefening van rechten van Betrokkenen op grond van de toepasselijke Privacywetgeving te beantwoorden; (ii) passende technische en organisatorische maatregelen te nemen om een op het risico afgestemd beveiligingsniveau te waarborgen; (iii) datalekken te melden aan toezichthouder en de betrokkenen; (iv) een gegevensbeschermingseffectbeoordeling uit te voeren; (v) de toezichthouder te raadplegen voorafgaand aan een Verwerking die een hoog risico met zich meebrengt.

 Artikel 9  – Inschakelen andere Derden/Subverwerkers door Verwerker

Verwerkingsverantwoordelijke geeft Verwerker hierbij een algemene schriftelijke toestemming om andere dan in artikel 6.2 genoemde Derden/Subverwerkers in te schakelen bij de uitvoering van deze Overeenkomst. Indien Verwerker beoogt een Derde/Subverwerker in te schakelen om ten behoeve van de Verwerkingsverantwoordelijke specifieke verwerkingsactiviteiten te verrichten, zal Verwerker Verwerkingsverantwoordelijk daarvan op de hoogte brengen. Verwerker zal in dat geval aan deze andere Derde/Subverwerker bij overeenkomst minstens dezelfde verplichtingen inzake de Verwerking en bescherming van Persoonsgegevens opleggen als de verplichtingen die zijn opgenomen in deze Overeenkomst. Verwerker is in alle opzichten verantwoordelijk en aansprakelijk voor het doen en laten van Derden/Subverwerkers die zij in het kader van deze Overeenkomst inschakelt.

Artikel 10 – Geheimhouding

Verwerker zal de Persoonsgegevens en andere informatie verkregen van de Verwerkingsverantwoordelijke strikt geheim houden, waarbij zij minstens eenzelfde mate van zorg zal betrachten als die, die zij ten aanzien van de bescherming van haar eigen informatie van zeer vertrouwelijke aard in acht neemt. Verwerker zal de Persoonsgegevens of andere informatie verkregen van de Verwerkingsverantwoordelijke niet openbaar maken, distribueren, verstrekken, of op andere wijze bekend maken aan andere personen dan haar werknemers die van de Persoonsgegevens of andere informatie verkregen van de Verwerkingsverantwoordelijke kennis moeten kunnen nemen voor hun werkzaamheden voor de Verwerker en zal deze werknemers pas toegang geven tot de Persoonsgegevens en andere informatie verkregen van de Verwerkingsverantwoordelijke, nadat zij zijn geïnformeerd over het vertrouwelijke karakter van de Persoonsgegevens en andere informatie verkregen van de Verwerkingsverantwoordelijke. Verwerker legt het in deze Overeenkomst bepaalde ook aan haar werknemers op.

Artikel 11 – Meldplicht datalekken

1. Verwerker dient Verwerkingsverantwoordelijke onverwijld en in ieder geval uiterlijk binnen 72 uur nadat Verwerker ervan kennis heeft gekregen, in kennis te stellen van iedere inbreuk op de beveiliging (van welke aard dan ook) die (mede) betrekking heeft of kan hebben op de Verwerking van Persoonsgegevens.
2. Verwerker dient Verwerkingsverantwoordelijke in ieder geval informatie te verstrekken over het volgende: (i) de aard van de inbreuk, waar mogelijk onder vermelding van de categorieën van Betrokkenen in kwestie en, bij benadering, het aantal Betrokkenen in kwestie; (ii) de (mogelijk) getroffen Persoonsgegevens en, bij benadering, het aantal getroffen Persoonsgegevens in kwestie; (iii) de vastgestelde en verwachte gevolgen van de inbreuk voor de Verwerking van de Persoonsgegevens en de daarbij betrokken personen; en (iv) de maatregelen die Verwerker heeft getroffen en zal treffen om de inbreuk aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele negatieve gevolgen van de inbreuk.
3. Verwerker erkent dat Verwerkingsverantwoordelijke onder omstandigheden wettelijk verplicht is om een inbreuk op de beveiliging (van welke aard dan ook) die (mede) betrekking heeft of kan hebben op de Persoonsgegevens die Verwerker verwerkt, aan Betrokkenen en/of autoriteiten te melden. Een dergelijke melding door Verwerkingsverantwoordelijke zal nimmer als tekortkoming in de nakoming van deze Overeenkomst of Onderliggende Overeenkomst of anderszins als onrechtmatige handeling worden beschouwd.
4. Verwerker zal alle maatregelen treffen die nodig zijn om de (mogelijke) schade van een inbreuk op de beveiliging te beperken en zal Verwerkingsverantwoordelijke ondersteunen bij meldingen aan Betrokkenen en/of autoriteiten.

Artikel 12 – Beveiligingsmaatregelen en inspectie

1. Verwerker zal conform artikel 32 AVG alle passende technische en organisatorische maatregelen nemen om Persoonsgegevens te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking. Deze maatregelen, garanderen een passend beveiligingsniveau gelet op de stand van de techniek, de uitvoeringskosten, alsook gelet op de aard, de omvang, context en verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico’s die Verwerking van de Persoonsgegevens die de Verwerker Verwerkt met zich meebrengen voor de rechten en vrijheden van de Betrokkenen.
2. Verwerker dient Verwerkingsverantwoordelijke te informeren indien een van de beveiligingsmaatregelen wijzigt.
3. Verwerker staat toe dat Verwerkingsverantwoordelijke de naleving van de beveiligingsmaatregelen door Verwerker inspecteert of dat op verzoek van Verwerkingsverantwoordelijke de gegevensverwerkingsfaciliteiten van Verwerker door een door Verwerkingsverantwoordelijke aan te wijzen onderzoeksinstantie worden geïnspecteerd in verband met de verwerkingsactiviteiten die onder deze Overeenkomst vallen (‘de Inspectie’). De Inspectie wordt uitgevoerd door een onderzoeksinstantie, die naar het redelijk oordeel van Verwerkingsverantwoordelijke neutraal en deskundig is. Verwerkingsverantwoordelijke draagt zorg dat de onderzoeksinstantie verplicht is tot geheimhouding van haar bevindingen tegenover derden.
4. Verwerkingsverantwoordelijke zal alle kosten, vergoedingen en onkosten in verband met de Inspectie betalen, met inbegrip van redelijke door Verwerker gemaakte interne kosten.
5. Verwerkingsverantwoordelijke zal Verwerker een exemplaar van het rapport van de Inspectie verstrekken.

Artikel 13 – Verplichtingen Verwerkingsverantwoordelijke

1. Verwerkingsverantwoordelijke is ten aanzien van de Verwerking van Persoonsgegevens krachtens deze Overeenkomst de ‘Verwerkingsverantwoordelijke’ zoals omschreven in artikel 4 sub 7 AVG.
2. Verwerkingsverantwoordelijke gaat ermee akkoord en staat er voor in dat de Verwerking van de Persoonsgegevens overeenkomstig deze Verwerkersovereenkomst in overeenstemming is met de toepasselijke Privacywetgeving.

Artikel 14 – Aansprakelijkheid

1. Verwerker is niet aansprakelijk voor directe en indirecte schade aan de zijde van Verwerkingsverantwoordelijke op grond van deze Verwerkersovereenkomst. Niet uitgesloten is de aansprakelijkheid van Verwerker voor schade die het gevolg is van opzet of bewuste roekeloosheid van Verwerker.
2. De (overige) verhouding, voorwaarden en/of afspraken omtrent aansprakelijkheid tussen Verwerker en Verwerkingsverantwoordelijke wordt bepaald door de toepasselijke Algemene voorwaarden van MijnDiAd, waarbij Verwerker is aangeduid als MijnDiAd en Verwerkingsverantwoordelijke als Wederpartij.

Artikel 15 – Beëindiging

1. Deze Verwerkersovereenkomst eindigen op het tijdstip dat de Onderliggende Overeenkomst eindigt.
2. Onverminderd andersluidende schriftelijke opdracht van Verwerkingsverantwoordelijke zal Verwerker in geval van beëindiging van de Onderliggende overeenkomst onverwijld alle aan haar ter beschikking gestelde Persoonsgegevens aan Verwerkingsverantwoordelijke retourneren en alle digitale kopieën van Persoonsgegevens vernietigen en aan Verwerkingsverantwoordelijke verklaren dat zij dit heeft uitgevoerd. Indien naar het redelijk oordeel van Verwerker een zelfstandige wettelijke verplichting van Verwerker het geheel of gedeeltelijk retourneren of vernietigen van de Persoonsgegevens door Verwerker verbiedt of beperkt zal zij Verwerkingsverantwoordelijke zo spoedig mogelijk schriftelijk in kennis stellen van de wettelijke verplichting en daarbij alle relevante informatie verstrekken die Verwerkingsverantwoordelijke redelijkerwijs nodig heeft om te bepalen of vernietiging kan plaatsvinden en, zo ja, onder welke voorwaarden. Indien naar het redelijk oordeel van Verwerkingsverantwoordelijke de wettelijke verplichting (gedeeltelijke) vernietiging van de Persoonsgegevens door Verwerker toelaat zal Verwerker daartoe op verzoek van Verwerkingsverantwoordelijke onverwijld overgaan. Is Verwerkingsverantwoordelijke van oordeel dat vernietiging niet mag plaatsvinden, dan zal zij Verwerker daarvan schriftelijk op de hoogte stellen. Verwerker garandeert in dat geval de vertrouwelijkheid van de Persoonsgegevens jegens Verwerkingsverantwoordelijke en zal de Persoonsgegevens niet Verwerken behalve ter voldoening aan haar bovenbedoelde wettelijke verplichting of na schriftelijke opdracht van Verwerkingsverantwoordelijke.

Artikel 16 – Overdracht rechten en plichten

Deze Overeenkomst en de rechten en verplichtingen uit deze Verwerkersovereenkomst worden door Verwerker niet aan derden overgedragen zonder de voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke.

Artikel 17 – Deelbaarheid

Indien één of meer bepalingen van deze Overeenkomst niet rechtsgeldig blijkt te zijn, zal de Overeenkomst voor het overige van kracht blijven. Partijen zullen over de bepalingen welke niet rechtsgeldig zijn overleg plegen, teneinde een vervangende regeling te treffen die wel rechtsgeldig is en zoveel mogelijk aansluit bij de strekking van de te vervangen regeling.

Artikel 18 – Wijziging of aanvulling

1. Verwerker is gerechtigd om deze Verwerkersovereenkomst eenzijdig te wijzigen of aan te vullen, zonder dat de Verwerkingsverantwoordelijke daartoe instemming dient te verlenen of het recht verkrijgt de overeenkomst eenzijdig te ontbinden, tenzij anders Schriftelijk (in deze Algemene verwerkersvoorwaarden) is overeengekomen. In dat geval zal Verwerker Verwerkingsverantwoordelijke tijdig op de hoogte stellen van de wijzigingen of aanvullingen.
2. Tussen deze kennisgeving en de inwerkingtreding van de gewijzigde of aangevulde voorwaarden zullen minimaal 30 (dertig) dagen zitten.

Artikel 19 – Toepasselijk recht en geschillen

1. Op overeenkomsten tussen Partijen waarop deze algemene voorwaarden betrekking hebben, is uitsluitend Nederlands recht van toepassing.
2. Geschillen tussen Partijen zullen zoveel mogelijk door middel van goed overleg tot een oplossing worden gebracht. Alle geschillen tussen Verwerkingsverantwoordelijke en Verwerker zullen uitsluitend worden beslecht door de bevoegde rechter in het arrondissement waarin Verwerker gevestigd is.

Klik hier om deze verwerkersovereenkomst als PDF te downloaden