Partijen:

1. [Naam opdrachtgever/partner], gevestigd te [vestigingsplaats], hierna te noemen: ‘Verwerkingsverantwoordelijke’

2. Purmerend.com, gevestigd te Purmerend, hierna te noemen: ‘Verwerker’

Hierna gezamenlijk aangeduid als ‘Partijen’ en afzonderlijk als ‘Partij’.

Overwegende dat

• De Verwerkingsverantwoordelijke en de Verwerker een overeenkomst zijn aangegaan op grond waarvan de Verwerker ten behoeve van de Verwerkingsverantwoordelijke persoonsgegevens verwerkt.
• Partijen in het kader van de AVG verplicht zijn om afspraken te maken over de verwerking van persoonsgegevens.
• Deze verwerkersovereenkomst tot doel heeft de rechten en plichten van Partijen vast te leggen.

Artikel 1 - Definities

In aanvulling op de definities in de AVG worden in deze verwerkersovereenkomst de volgende begrippen gehanteerd:

• AVG: de Algemene Verordening Gegevensbescherming
• Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon
• Verwerking: elke bewerking met betrekking tot persoonsgegevens
• Betrokkene: de natuurlijke persoon op wie de persoonsgegevens betrekking hebben
• Subverwerker: een derde partij die door de Verwerker wordt ingeschakeld
• Datalek: een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde toegang

Artikel 2 - Voorwerp van de verwerking

De Verwerker verwerkt persoonsgegevens uitsluitend in opdracht van en ten behoeve van de Verwerkingsverantwoordelijke, in het kader van de tussen Partijen gesloten hoofdovereenkomst.

Categorieën persoonsgegevens:

• Contactgegevens: naam, e-mailadres, telefoonnummer, adres
• Accountgegevens: gebruikersnaam, inloggegevens
• Gebruiksgegevens: bezoekersgedrag, voorkeuren, zoekopdrachten
• Technische gegevens: IP-adres, browsertype, apparaatinformatie
• Financiële gegevens: factuurgegevens indien van toepassing

Categorieën betrokkenen:

• Bezoekers en gebruikers van het Platform
• Klanten en relaties van de Verwerkingsverantwoordelijke
• Medewerkers van de Verwerkingsverantwoordelijke indien van toepassing

Doeleinden:

• Het beschikbaar stellen en exploiteren van het Platform
• Het tonen van bedrijfsvermeldingen, evenementen en overige content
• Het genereren van statistieken en rapportages
• Het verzenden van communicatie namens de Verwerkingsverantwoordelijke

Artikel 3 - Verplichtingen van de Verwerker

• De Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke.
• De Verwerker waarborgt dat bevoegde personen zich tot geheimhouding hebben verbonden.
• De Verwerker neemt alle vereiste maatregelen als bedoeld in artikel 32 AVG.
• De Verwerker informeert de Verwerkingsverantwoordelijke onverwijld indien een instructie naar zijn oordeel in strijd is met de AVG.

Beveiligingsmaatregelen omvatten onder meer:

• Versleuteling van persoonsgegevens, zowel at rest als in transit
• Waarborging van vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht
• Herstelvermogen bij een fysiek of technisch incident
• Regelmatige tests, beoordelingen en evaluaties
• Toegangscontrole en autorisatiebeheer
• Logging en monitoring
• Regelmatige back-ups met versleuteling

Artikel 4 - Subverwerkers

• De Verwerker schakelt geen subverwerker in zonder voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke.
• Bij algemene toestemming informeert de Verwerker de Verwerkingsverantwoordelijke over voorgenomen wijzigingen.
• De Verwerker legt aan iedere subverwerker dezelfde verplichtingen op.
• De huidige subverwerkers zijn opgenomen in Bijlage 1.

Artikel 5 - Rechten van Betrokkenen

De Verwerker verleent de Verwerkingsverantwoordelijke bijstand bij het vervullen van diens verplichtingen ten aanzien van verzoeken van Betrokkenen. Verzoeken die rechtstreeks bij de Verwerker binnenkomen worden onverwijld doorgestuurd.

Artikel 6 - Datalekken

• De Verwerker stelt de Verwerkingsverantwoordelijke zonder onredelijke vertraging, en in ieder geval binnen 24 uur na ontdekking, op de hoogte van een Datalek.
• De melding bevat de aard van het Datalek, de contactgegevens, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.
• De Verwerker documenteert alle Datalekken.
• De Verwerker verleent redelijke medewerking bij meldingen aan de Autoriteit Persoonsgegevens en betrokkenen.

Artikel 7 - Audits en inspecties

De Verwerker stelt alle informatie ter beschikking die nodig is om de nakoming van de verplichtingen aan te tonen, en maakt audits mogelijk. Audits worden uitgevoerd met redelijke voorafgaande kennisgeving en met inachtneming van de vertrouwelijkheid en bedrijfsvoering.

Artikel 8 - Doorgifte buiten de EER

De Verwerker verwerkt persoonsgegevens uitsluitend binnen de Europese Economische Ruimte, tenzij voorafgaande schriftelijke toestemming is gegeven en passende waarborgen conform hoofdstuk V van de AVG zijn getroffen.

Artikel 9 - Bewaartermijn en verwijdering

• Na afloop van de verwerkingsdiensten wist de Verwerker, naar keuze van de Verwerkingsverantwoordelijke, alle persoonsgegevens of retourneert deze.
• De verwijdering of retournering vindt plaats binnen 30 dagen na beëindiging van de overeenkomst.
• De Verwerker verstrekt op verzoek een schriftelijke bevestiging van de verwijdering.

Artikel 10 - Aansprakelijkheid

De Verwerker is aansprakelijk voor schade die het gevolg is van verwerking in strijd met de AVG of deze verwerkersovereenkomst, voor zover deze schade aan de Verwerker kan worden toegerekend.

Artikel 11 - Looptijd en beëindiging

Deze verwerkersovereenkomst treedt in werking op de datum van ondertekening en loopt zolang de Verwerker persoonsgegevens verwerkt ten behoeve van de Verwerkingsverantwoordelijke.

Artikel 12 - Toepasselijk recht en geschillen

Op deze verwerkersovereenkomst is uitsluitend Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Noord-Holland.

Bijlage 1 - Overzicht subverwerkers

• Hostingprovider: [naam], [vestigingsland], [doel: hosting website en database]
• E-maildienst: [naam], [vestigingsland], [doel: verzenden transactionele en marketing e-mails]
• Analyticsdienst: Google LLC, Verenigde Staten, [doel: webanalyse, met IP-anonimisering, op basis van SCC's]
• Betaalprovider: [naam], [vestigingsland], [doel: verwerken betalingen]
• CDN/beveiliging: [naam], [vestigingsland], [doel: contentdistributie en DDoS-bescherming]

Ondertekening