Verwerkersovereenkomst

Model versie 1.0 · [datum]

Dit is een model op basis van artikel 28 AVG. Vul de gele velden in en laat het controleren door een jurist voordat je het gebruikt. Je kunt deze pagina afdrukken of als pdf opslaan om te laten ondertekenen.

Partijen

1. Verwerkingsverantwoordelijke: [naam bedrijf klant], gevestigd te [plaats], KvK [nummer], vertegenwoordigd door [naam], hierna: de Klant;
2. Verwerker: Spark Apps / CrewHarbor, [handelsnaam / naam eigenaar], gevestigd te [plaats], KvK [nummer], hierna: CrewHarbor.

De Klant gebruikt CrewHarbor voor het organiseren van werk binnen zijn bedrijf. Daarbij verwerkt CrewHarbor persoonsgegevens in opdracht van de Klant. Partijen spreken het volgende af.

1. Onderwerp en duur

1.1 CrewHarbor verwerkt persoonsgegevens alleen om de dienst CrewHarbor te leveren, zoals beschreven in bijlage 1, en alleen op schriftelijke instructie van de Klant. Het gebruik van de functies in CrewHarbor door de Klant geldt als instructie.

1.2 Deze overeenkomst geldt zolang CrewHarbor persoonsgegevens voor de Klant verwerkt.

2. Plichten van CrewHarbor

2.1 CrewHarbor gebruikt de gegevens niet voor eigen doeleinden en geeft ze niet aan derden, behalve aan subverwerkers volgens artikel 4 of als de wet dat verplicht. In dat laatste geval laat CrewHarbor dit de Klant vooraf weten, tenzij de wet dat verbiedt.

2.2 Iedereen die namens CrewHarbor toegang heeft tot de gegevens, is tot geheimhouding verplicht.

2.3 CrewHarbor helpt de Klant bij verzoeken van betrokkenen (inzage, correctie, verwijdering, overdracht) en bij een gegevensbeschermingseffectbeoordeling, voor zover redelijk. CrewHarbor biedt hiervoor in de dienst een export van alle bedrijfsgegevens en per medewerker.

3. Beveiliging

3.1 CrewHarbor neemt passende technische en organisatorische maatregelen, waaronder ten minste die in bijlage 2.

3.2 CrewHarbor mag maatregelen aanpassen, zolang het beveiligingsniveau niet omlaag gaat.

4. Subverwerkers

4.1 De Klant geeft toestemming voor de subverwerkers in bijlage 3. CrewHarbor meldt een nieuwe subverwerker minstens [30] dagen vooraf; de Klant mag daartegen op redelijke gronden bezwaar maken en de overeenkomst dan opzeggen.

4.2 CrewHarbor legt subverwerkers dezelfde plichten op als in deze overeenkomst.

4.3 Gegevens worden alleen buiten de Europese Economische Ruimte verwerkt als daarvoor een passende waarborg geldt, zoals een adequaatheidsbesluit (EU-US Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie.

5. Datalekken

5.1 CrewHarbor meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en waar mogelijk binnen [48] uur nadat CrewHarbor ervan weet, aan [e-mailadres contactpersoon Klant].

5.2 De melding bevat wat er bekend is: wat er gebeurd is, welke gegevens en hoeveel mensen het raakt, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. De Klant beslist over een melding aan de Autoriteit Persoonsgegevens en aan betrokkenen.

6. Controle

6.1 CrewHarbor geeft de Klant op verzoek de informatie die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd. De Klant mag eens per jaar, of na een datalek, een controle laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht, na overleg en op kosten van de Klant.

7. Einde

7.1 Na het einde van de dienst kan de Klant zijn gegevens exporteren. Binnen [30] dagen daarna verwijdert CrewHarbor alle persoonsgegevens van de Klant, tenzij de wet langer bewaren verplicht. Back-ups worden binnen [90] dagen overschreven.

8. Aansprakelijkheid en recht

8.1 Voor aansprakelijkheid geldt wat partijen in de hoofdovereenkomst of de algemene voorwaarden hebben afgesproken. [eventueel: maximum]

8.2 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen gaan naar de bevoegde rechter in [arrondissement].

Bijlage 1 · Verwerkingen

Bewaartermijnen stelt de Klant zelf in via Instellingen → Privacy. Bijzondere persoonsgegevens (zoals gezondheid) horen niet in CrewHarbor; de Klant zorgt dat medewerkers die niet invoeren.

Bijlage 2 · Beveiligingsmaatregelen

• Versleutelde verbindingen (TLS) voor alle verkeer.
• Wachtwoorden alleen als hash; minimale wachtwoordeisen; tijdelijke blokkade na herhaald verkeerd inloggen.
• Tweestapsverificatie (TOTP) beschikbaar voor alle gebruikers; de Klant kan het verplichten voor beheerders. Verplicht voor het beheer van CrewHarbor zelf.
• Scheiding tussen bedrijven en rechten per rol, afgedwongen in de database; directe toegang tot tabellen is dicht.
• Geheimen van koppelingen versleuteld met AES-256-GCM; de sleutel staat los van de database.
• Logboek van acties en inloggeschiedenis.
• Automatisch verwijderen volgens de ingestelde bewaartermijnen.
• Back-ups door de hostingpartij; versiebeheer van de software.

Bijlage 3 · Subverwerkers

Ondertekening