Verwerkersovereenkomst

Partijen

1. [naam + rechtsvorm onderwijsinstelling], KvK-nummer [KvK-nummer], gevestigd en kantoorhoudende aan [adres, postcode + plaats], te dezen rechtsgeldig vertegenwoordigd door [functie + naam], hierna te noemen: “Opdrachtgever”;
2. Kamels B.V., KvK-nummer 77418689, gevestigd en kantoorhoudende aan Zuiderzeestraatweg 125, te (8096 BE) Oldebroek, te dezen rechtsgeldig vertegenwoordigd door R. Lindeboom, directeur-grootaandeelhouder, hierna te noemen: “Verwerker”.

Hierna gezamenlijk te noemen: “Partijen”, of afzonderlijk: “Partij”.

Overwegen het volgende

1. Opdrachtgever en Verwerker zijn een overeenkomst aangegaan waarbij is overeengekomen dat Verwerker in opdracht van Opdrachtgever het product Calendrum levert: een online register waarmee schoolbesturen contracten, beleidsstukken, VOG’s en wettelijke planverplichtingen bewaken en tijdig gesignaleerd worden. Deze overeenkomst (hierna: Onderliggende Overeenkomst) leidt ertoe dat Verwerker in opdracht van Opdrachtgever Persoonsgegevens Verwerkt.
2. Partijen wensen, mede gelet op het bepaalde in artikel 28 lid 3 AVG, in deze Verwerkersovereenkomst hun wederzijdse rechten en verplichtingen voor de Verwerking van Persoonsgegevens vast te leggen.

Komen het volgende overeen:

Artikel 1: Definities

In deze Verwerkersovereenkomst wordt verstaan onder:

1. AVG: de Algemene verordening gegevensbescherming (Verordening (EU) 2016/679);
2. Betrokkene, Derde, Persoonsgegevens, Verwerking van Persoonsgegevens en Verwerkingsverantwoordelijke: de begrippen zoals gedefinieerd in de AVG;
3. Datalek: een inbreuk in verband met persoonsgegevens, zoals bedoeld in artikel 4 sub 12 AVG;
4. Instructies: geschreven of elektronisch gestuurde aanwijzing van de Opdrachtgever aan de Verwerker;
5. Onderliggende Overeenkomst: de overeenkomst tussen Opdrachtgever en Verwerker voor het gebruik van Calendrum;
6. Subverwerker: de partij die door Verwerker wordt ingeschakeld als verwerker ten behoeve van de Verwerking van de Persoonsgegevens;
7. Toezichthoudende Autoriteit: de Autoriteit Persoonsgegevens.

Artikel 2: Onderwerp en opdracht

1. Deze Verwerkersovereenkomst is van toepassing op de Verwerking van Persoonsgegevens in het kader van de Onderliggende Overeenkomst.
2. De Opdrachtgever, in de hoedanigheid van Verwerkingsverantwoordelijke, geeft Verwerker conform artikel 28 AVG Instructies om Persoonsgegevens te Verwerken. De Instructies zijn onder meer omschreven in Bijlage 1.
3. De Verwerker informeert de Opdrachtgever indien een Instructie naar mening van Verwerker in strijd is met de AVG.
4. Verwerker brengt Opdrachtgever onverwijld op de hoogte indien Verwerker niet langer aan deze Verwerkersovereenkomst kan voldoen.

Artikel 3: Rolverdeling

1. Opdrachtgever is Verwerkingsverantwoordelijke en bepaalt het doel en de middelen van de Verwerking.
2. Verwerker Verwerkt de Persoonsgegevens uitsluitend in opdracht van de Opdrachtgever.
3. Voor zover artikel 30 lid 5 AVG daartoe verplicht, houdt Verwerker een register bij van verwerkingsactiviteiten.

Artikel 4: Gebruik Persoonsgegevens

1. Verwerker verplicht zich de Persoonsgegevens niet voor andere doeleinden te gebruiken dan waarvoor zij zijn verstrekt. Verwerker Verwerkt niet voor eigen doeleinden of doeleinden van derden, tenzij een wettelijke bepaling daartoe verplicht.
2. De Verwerking vindt nooit plaats voor reclamedoeleinden of het doen van ongevraagde aanbiedingen door Verwerker.
3. De doeleinden, Verwerkingen en categorieën Persoonsgegevens zijn gespecificeerd in Bijlage 1.

Artikel 5: Vertrouwelijkheid

1. Verwerker behandelt alle Persoonsgegevens strikt vertrouwelijk. Eenieder die Verwerker betrekt bij de Verwerking heeft een geheimhoudingsplicht.
2. Personen onder gezag van Verwerker hebben uitsluitend toegang tot Persoonsgegevens voor zover noodzakelijk voor hun werkzaamheden.

Artikel 6: Beveiliging

1. Beide Partijen treffen passende technische en organisatorische maatregelen conform artikel 32 AVG.
2. De getroffen beveiligingsmaatregelen zijn vastgelegd in Bijlage 2.
3. Beide Partijen evalueren periodiek hun beveiligingsmaatregelen en passen deze aan waar nodig.
4. Opdrachtgever heeft het recht om, in overleg met Verwerker en met inachtneming van een redelijke termijn, naleving te controleren middels een audit. Kosten komen voor rekening van Opdrachtgever, tenzij uit de audit gebreken blijken die aan Verwerker toerekenbaar zijn.

Artikel 7: Datalekken

1. Beide Partijen hebben een passend beleid voor de omgang met Datalekken.
2. Indien een Datalek wordt vastgesteld, informeert de ontdekkende Partij de andere Partij zonder onredelijke vertraging. Verwerker verstrekt alle relevante informatie, inclusief genomen maatregelen.
3. Verwerker informeert Opdrachtgever onverwijld bij een vermoeden dat een Datalek een hoog risico inhoudt voor betrokkenen (artikel 34 lid 1 AVG).
4. Opdrachtgever voldoet aan eventuele wettelijke meldingsplichten.
5. Partijen documenteren alle Datalekken in een incidentenregister.

Artikel 8: Medewerking

1. Verwerker verleent medewerking bij het nakomen van de verplichtingen van Opdrachtgever op grond van de AVG, waaronder: verzoeken van betrokkenen (hoofdstuk III AVG), audits, DPIA’s en verzoeken van de Toezichthoudende Autoriteit.
2. Klachten of verzoeken van Betrokkenen stuurt Verwerker onverwijld door naar Opdrachtgever.

Artikel 9: Doorgifte buiten de EER

1. Verwerker is uitsluitend gerechtigd tot doorgifte buiten de EER indien Opdrachtgever daarvoor specifieke schriftelijke toestemming heeft gegeven, of indien een geldige overdrachtsgrond uit hoofdstuk V AVG van toepassing is.
2. Bij doorgifte zien Partijen erop toe dat dit conform wettelijke voorschriften plaatsvindt. Eventuele derde landen zijn opgenomen in Bijlage 1.

Artikel 10: Subverwerker

1. Opdrachtgever geeft Verwerker door ondertekening toestemming tot het inschakelen van Subverwerkers zoals opgenomen in Bijlage 1.
2. Bij voorgenomen wijzigingen licht Verwerker Opdrachtgever in, met een bezwaartermijn van 6 weken.
3. Verwerker legt iedere Subverwerker minimaal dezelfde verplichtingen op als in deze Verwerkersovereenkomst.

Artikel 11: Bewaartermijnen en vernietiging

1. Verwerker Verwerkt de Persoonsgegevens niet langer dan de bewaartermijnen in Bijlage 1.
2. Bij beëindiging van deze Verwerkersovereenkomst levert Verwerker de Persoonsgegevens terug en/of vernietigt deze binnen een door Partijen overeengekomen termijn.
3. Verwerker bevestigt schriftelijk dat vernietiging heeft plaatsgevonden.

Artikel 12: Aansprakelijkheid

1. Partijen kunnen afspraken over aansprakelijkheid opnemen in de Onderliggende Overeenkomst.
2. Aansprakelijkheidsbeperkingen gelden niet bij verhaalsacties op grond van artikel 82 AVG of verhaal van een boete van de Autoriteit Persoonsgegevens.

Artikel 13: Duur en beëindiging

1. De looptijd is gelijk aan de looptijd van de Onderliggende Overeenkomst, inclusief verlengingen.
2. Tot teruglevering en vernietiging conform artikel 11 blijft Verwerker de artikelen naleven.

Artikel 14: Toepasselijk recht en geschillen

1. Deze Verwerkersovereenkomst wordt beheerst door Nederlands recht.
2. Geschillen worden voorgelegd aan de bevoegde rechter in de plaats van vestiging van Opdrachtgever.