Verwerkersovereenkomst

Waarvoor dit document dient

Zodra wij persoonsgegevens verwerken in uw opdracht — en dat gebeurt vanaf de eerste meeloopdag — verplicht artikel 28 lid 3 van de AVG ons allebei om vast te leggen wat wij daarmee wel en niet mogen. Dat is wat hieronder staat.

Dit is iets anders dan ons privacybeleid. Dat vertelt wat wij doen en is eenzijdig. Dit is een overeenkomst tussen u en ons.

Partijen

Verwerker: Morphy B.V., gevestigd aan Waterwolf 2, 6681 TJ Bemmel, ingeschreven bij de Kamer van Koophandel onder nummer 95783652.

Verwerkingsverantwoordelijke: de Klant als bedoeld in artikel A1 van de algemene voorwaarden — de wederpartij bij de overeenkomst waarop deze verwerkersovereenkomst betrekking heeft.

Artikel 1 — Definities

• 1.AVG: Verordening (EU) 2016/679.
• 2.De begrippen persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker, subverwerker en inbreuk in verband met persoonsgegevens hebben de betekenis die de AVG eraan geeft.
• 3.Hoofdovereenkomst: de overeenkomst tussen partijen waarop deze verwerkersovereenkomst betrekking heeft, met inbegrip van de algemene voorwaarden van Verwerker, waarvan deze overeenkomst als bijlage deel uitmaakt.
• 4.Bijlagen: de bijlagen 1 tot en met 3, die integraal onderdeel van deze overeenkomst uitmaken.

Artikel 2 — Onderwerp en duur

• 1.Deze overeenkomst regelt de verwerking van persoonsgegevens door Verwerker ten behoeve van Verwerkingsverantwoordelijke in het kader van de Hoofdovereenkomst.
• 2.Het onderwerp, de aard, het doel, de soorten persoonsgegevens, de categorieën betrokkenen en de bewaartermijnen staan in bijlage 1.
• 3.Deze overeenkomst geldt zolang de Hoofdovereenkomst geldt. Verplichtingen die naar hun aard bestemd zijn om voort te duren — geheimhouding, teruggave en verwijdering — blijven daarna gelden.
• 4.Deze overeenkomst kan niet los van de Hoofdovereenkomst worden opgezegd.

Artikel 3 — Verwerking uitsluitend op instructie

• 1.Verwerker verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke, tenzij een op Verwerker rustende wettelijke bepaling haar tot verwerking verplicht. In dat geval stelt Verwerker Verwerkingsverantwoordelijke voorafgaand aan de verwerking op de hoogte, tenzij die wetgeving dat verbiedt.
• 2.De Hoofdovereenkomst, de bijlagen bij deze overeenkomst en het privacybeleid van Verwerker gelden als de instructies bij aanvang.
• 3.Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk in kennis indien naar haar oordeel een instructie in strijd is met de AVG of andere gegevensbeschermingswetgeving.
• 4.Verwerker verwerkt de persoonsgegevens niet voor eigen doeleinden. Verwerker verwerkt de gegevens niet buiten de Europese Economische Ruimte anders dan overeenkomstig artikel 12.

Artikel 4 — Geheimhouding

• 1.Verwerker verplicht de personen die zij bij de verwerking betrekt tot geheimhouding, hetzij via een contractuele geheimhoudingsplicht, hetzij op grond van een wettelijke verplichting.
• 2.Verwerker verleent uitsluitend toegang tot de persoonsgegevens aan personen voor wie die toegang noodzakelijk is voor de uitvoering van de Hoofdovereenkomst.

Artikel 5 — Beveiliging

• 1.Verwerker treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. De maatregelen die bij aanvang gelden, staan in bijlage 3.
• 2.Verwerker mag de maatregelen wijzigen, mits het beschermingsniveau daardoor niet daalt. Wijzigingen van betekenis meldt Verwerker vooraf.
• 3.Verwerkingsverantwoordelijke beoordeelt zelf of de maatregelen passend zijn gelet op de aard van de gegevens en de risico’s van de verwerking, en meldt het aan Verwerker als hij aanvullende maatregelen noodzakelijk acht.

Artikel 6 — Subverwerkers

• 1.Verwerkingsverantwoordelijke verleent Verwerker hierbij algemene schriftelijke toestemming om subverwerkers in te schakelen. De subverwerkers die bij aanvang worden ingeschakeld, staan in bijlage 2.
• 2.Verwerker informeert Verwerkingsverantwoordelijke ten minste 30 dagen vooraf over de toevoeging of vervanging van een subverwerker. Verwerkingsverantwoordelijke kan binnen die termijn schriftelijk en gemotiveerd bezwaar maken.
• 3.Maakt Verwerkingsverantwoordelijke bezwaar en komen partijen er niet uit, dan mag Verwerkingsverantwoordelijke het deel van de Hoofdovereenkomst dat de betrokken verwerking betreft opzeggen, zonder dat daarvoor een vergoeding verschuldigd is.
• 4.Verwerker legt aan iedere subverwerker dezelfde verplichtingen op als in deze overeenkomst zijn opgenomen, en blijft jegens Verwerkingsverantwoordelijke volledig aansprakelijk voor het nakomen daarvan door de subverwerker.
• 5.Wordt onder de Hoofdovereenkomst een automatisering gebouwd waarvoor een specifieke modelleverancier of hostingpartij nodig is die niet in bijlage 2 staat, dan legt Verwerker die per opdracht ter goedkeuring voor voordat er persoonsgegevens door die partij worden verwerkt.

Artikel 7 — Rechten van betrokkenen

• 1.Verwerker verleent Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking, bijstand door middel van passende technische en organisatorische maatregelen bij het vervullen van diens plicht verzoeken van betrokkenen te beantwoorden.
• 2.Ontvangt Verwerker een verzoek van een betrokkene, dan beantwoordt zij dat niet zelf, maar stuurt zij het binnen vijf werkdagen door aan Verwerkingsverantwoordelijke.
• 3.De kosten van bijstand die de gebruikelijke inspanning te boven gaat, kan Verwerker in rekening brengen tegen het in de Hoofdovereenkomst genoemde uurtarief.

Artikel 8 — Bijstand bij verplichtingen van Verwerkingsverantwoordelijke

Verwerker verleent Verwerkingsverantwoordelijke bijstand bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG, rekening houdend met de aard van de verwerking en de haar ter beschikking staande informatie. Dat omvat in elk geval bijstand bij een gegevensbeschermingseffectbeoordeling en bij een voorafgaande raadpleging van de toezichthouder.

Artikel 9 — Inbreuken in verband met persoonsgegevens

• 1.Verwerker stelt Verwerkingsverantwoordelijke zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking in kennis van een inbreuk in verband met persoonsgegevens.
• 2.De melding bevat ten minste: de aard van de inbreuk, de categorieën en het aantal betrokkenen en gegevens bij benadering, de waarschijnlijke gevolgen, de getroffen en voorgestelde maatregelen, en de contactgegevens voor nadere informatie.
• 3.Is nog niet alle informatie beschikbaar, dan meldt Verwerker wat bekend is en vult zij daarna aan.
• 4.Verwerker meldt een inbreuk niet zelf bij de toezichthouder of bij betrokkenen; dat is aan Verwerkingsverantwoordelijke. Verwerker verleent daarbij alle noodzakelijke medewerking.
• 5.Verwerker houdt een register bij van inbreuken en stelt dat op verzoek beschikbaar.

Artikel 10 — Teruggave en verwijdering

• 1.Bij het einde van de Hoofdovereenkomst verwijdert Verwerker de persoonsgegevens, of geeft zij deze terug, ter keuze van Verwerkingsverantwoordelijke. Bestaande kopieën worden verwijderd.
• 2.Verwerkingsverantwoordelijke maakt die keuze binnen 30 dagen na het einde van de Hoofdovereenkomst. Maakt hij geen keuze, dan verwijdert Verwerker de gegevens.
• 3.Lid 1 geldt niet voor zover Unierechtelijke of nationaalrechtelijke bepalingen opslag van de persoonsgegevens voorschrijven. Verwerker meldt welke gegevens dat betreft en op welke grond.
• 4.Back-ups worden niet afzonderlijk gewist maar volgen de reguliere overschrijfcyclus, zoals beschreven in bijlage 1.
• 5.Verwerker bevestigt de verwijdering schriftelijk.

Artikel 11 — Audit

• 1.Verwerker stelt Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit artikel 28 AVG worden nagekomen.
• 2.Verwerkingsverantwoordelijke kan eenmaal per kalenderjaar een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden deskundige. De audit wordt ten minste 30 dagen vooraf aangekondigd en verstoort de bedrijfsvoering van Verwerker zo min mogelijk.
• 3.Bij een concreet vermoeden van een tekortkoming of na een inbreuk kan een audit ook tussentijds plaatsvinden.
• 4.De kosten van de audit komen voor rekening van Verwerkingsverantwoordelijke, tenzij uit de audit blijkt dat Verwerker tekortschiet; in dat geval draagt Verwerker de kosten en herstelt zij de tekortkoming op eigen kosten.

Artikel 12 — Doorgifte buiten de EER

• 1.Verwerker verwerkt de persoonsgegevens binnen de Europese Economische Ruimte, tenzij in bijlage 2 anders is aangegeven.
• 2.Vindt doorgifte naar een land buiten de EER plaats, dan draagt Verwerker zorg voor een geldig doorgiftemechanisme als bedoeld in hoofdstuk V AVG — een adequaatheidsbesluit, de modelcontractbepalingen van de Europese Commissie, of een andere in de AVG genoemde waarborg — en voor de aanvullende maatregelen die daarbij nodig zijn.
• 3.Het toepasselijke mechanisme per subverwerker legt Verwerker vast in bijlage 2 en stelt zij op verzoek beschikbaar.

Artikel 13 — Wat buiten deze overeenkomst valt

Deze overeenkomst geldt niet voor verwerkingen waarvoor Verwerker zelf verwerkingsverantwoordelijke is. Dat zijn blijkens het privacybeleid van Verwerker: het bezoek aan haar website en het contact daarover, haar eigen account- en logbestanden, referenties en publicaties over een opdracht, en de verbetering van haar eigen werkwijze en producten. Voor die verwerkingen heeft Verwerker een eigen grondslag nodig en draagt zij zelf de verantwoordelijkheid.

Artikel 14 — Aansprakelijkheid

• 1.Op deze overeenkomst is de aansprakelijkheidsregeling uit de algemene voorwaarden van Verwerker van toepassing.
• 2.De aansprakelijkheid van Verwerker jegens betrokkenen op grond van artikel 82 AVG kan niet contractueel worden beperkt en blijft onverlet.
• 3.Partijen vrijwaren elkaar voor boetes en aanspraken die het gevolg zijn van een aan die partij toe te rekenen schending van de AVG.

Artikel 15 — Slotbepalingen

• 1.Wijzigingen gelden alleen als partijen die schriftelijk zijn overeengekomen.
• 2.Wijzigt de wetgeving zodanig dat deze overeenkomst aanpassing behoeft, dan werken partijen daaraan mee.
• 3.Is een bepaling nietig of vernietigbaar, dan blijven de overige bepalingen gelden en treden partijen in overleg over een vervangende bepaling.
• 4.Bij strijdigheid tussen deze overeenkomst en de Hoofdovereenkomst gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.
• 5.Op deze overeenkomst is Nederlands recht van toepassing.

Bijlage 1 — De verwerking

Onderwerp, aard en doel

Verwerker loopt mee op de werkvloer van Verwerkingsverantwoordelijke, brengt het werk in kaart, meet wat het kost, en bouwt en beheert eventueel een automatisering voor een deel van dat werk. Het doel is inzicht geven in de werkprocessen van Verwerkingsverantwoordelijke en, indien overeengekomen, een deel daarvan automatiseren.

Categorieën betrokkenen

• ◆Medewerkers van Verwerkingsverantwoordelijke die het onderzochte werk uitvoeren
• ◆Personen met wie die medewerkers tijdens het werk contact hebben, waaronder klanten en leveranciers van Verwerkingsverantwoordelijke
• ◆Gebruikers van een door Verwerker gebouwde automatisering
• ◆Gebruikers van de Morphy-app, indien afgenomen

Soorten persoonsgegevens

Uitgesloten. Verwerker leidt geen emoties, stemming of houding af uit stem of beeld, maakt geen beoordeling van individuele medewerkers, en levert geen ranglijsten. Bijzondere persoonsgegevens als bedoeld in artikel 9 AVG worden niet doelbewust verwerkt; komen zij onbedoeld in een opname voor, dan worden zij bij het controleren van het transcript verwijderd.

Bewaartermijnen

Bijlage 2 — Subverwerkers

De actuele lijst van subverwerkers staat in §8 van ons privacybeleid, met per partij waarvoor zij wordt ingeschakeld en in welke regio zij verwerkt. Die lijst geldt als bijlage 2 bij deze overeenkomst. Wij houden hem op één plaats bij, zodat er niet twee versies naast elkaar kunnen ontstaan.

Wijzigt die lijst, dan geldt artikel 6 lid 2: wij melden een toevoeging of vervanging ten minste 30 dagen vooraf, en u kunt daar binnen die termijn gemotiveerd bezwaar tegen maken.

Per opdracht kan er iets bij komen. Welke modelleverancier onder een automatisering hangt en waar die draait, verschilt per opdrachtgever en per toepassing. Dat leggen wij per opdracht vast, en u keurt die lijst goed voordat er persoonsgegevens door die partij worden verwerkt.

Voor subverwerkers buiten de Europese Economische Ruimte leggen wij het doorgiftemechanisme per partij vast en stellen wij dat op verzoek beschikbaar, zoals artikel 12 lid 3 bepaalt.

Bijlage 3 — Beveiligingsmaatregelen

• ◆Versleutelde verbindingen (TLS/SSL) tussen app, website en de servers van Verwerker
• ◆Wachtwoorden uitsluitend opgeslagen als versleutelde hash
• ◆Een eigen, gescheiden omgeving per organisatie
• ◆Strikte toegangsrechten en authenticatie; toegang tot productiedata beperkt tot strikt noodzakelijk
• ◆Regelmatige back-ups en monitoring
• ◆Privacy-by-design, waaronder spraakherkenning op het toestel zelf en Face ID in de app
• ◆Hosting binnen de Europese Unie
• ◆Bij onderzoek op locatie: opnames en aantekeningen in een afgeschermde omgeving die alleen toegankelijk is voor de mensen die aan die opdracht werken
• ◆Ruwe geluidsopnamen worden gewist zodra het transcript is gecontroleerd