Verwerkersovereenkomst Gillz

Gillz BV beschikt over individuele Verwerkersovereenkomsten met opdrachtgevers. Als aanvulling op onze algemene voorwaarden en op overeenkomsten en samenwerkingen waar geen individuele Verwerkersovereenkomst is opgesteld geldt deze Verwerkersovereenkomst, in combinatie met onze algemene voorwaarden. De algemene voorwaarden gelden op elke samenwerking of overeenkomst. Klant, hierna: "Verwerkingsverantwoordelijke"; Gillz B.V., gevestigd aan Raoul Wallenbergplein 29A 2404 ND te Alphen aan den Rijn, ingeschreven bij de Kamer van Koophandel onder nummer 68870124 (hierna: "Verwerker"); Hierna gezamenlijk te noemen de "Partijen" en afzonderlijk "Partij", in aanmerking nemende dat

• Verwerkingsverantwoordelijke de beschikking heeft over persoonsgegevens van diverse betrokkenen;
• Verwerker in het kader van haar dienstverlening, zoals genoemd in bijlage 1A, persoonsgegevens van diverse betrokkenen verwerkt ten behoeve van Verwerkingsverantwoordelijke;
• Verwerkingsverantwoordelijke de doeleinden en middelen aanwijst voor de verwerking, waarvoor de in deze Verwerkersovereenkomst genoemde voorwaarden gelden;
• Verwerker tevens bereid is verplichtingen omtrent beveiliging en andere aspecten van de Algemene Verordening Gegevensbescherming (hierna: “AVG”) na te komen;
• met persoonsgegevens gegevens in de zin van artikel 4 lid 1 van de AVG bedoeld worden;
• Verwerkingsverantwoordelijke aangemerkt kan worden als verantwoordelijke in de zin van artikel 4 lid 7 van de AVG;
• Verwerker aangemerkt kan worden als Verwerker in de zin van artikel 4 lid 8 van de AVG;
• Partijen, mede gelet op het vereiste uit artikel 28 lid 1 van de AVG, hun rechten en plichten schriftelijk wensen vast te leggen middels deze Verwerkersovereenkomst (hierna: “Verwerkersovereenkomst”).

zijn als volgt overeengekomen:

Artikel 1. Doeleinden van verwerking

1. Verwerker verbindt zich onder de voorwaarden van deze Verwerkersovereenkomst in opdracht van Verwerkingsverantwoordelijke persoonsgegevens te verwerken. De verwerking ziet op één of meerdere de diensten zoals genoemd in bijlage 1A. Verwerking zal uitsluitend plaatsvinden voor een of meerdere doeleinden zoals beschreven in bijlage 1B. Deze Verwerkersovereenkomst is alleen van toepassing op verwerking van persoonsgegevens door Verwerker voor Verwerkingsverantwoordelijke, en niet op activiteiten die geen verwerking van persoonsgegevens
2. De soorten persoonsgegevens die door Verwerker worden verwerkt, zijn opgenomen in bijlage 1C, de categorieën betrokkenen zijn opgenomen in bijlage 1D. Verwerker zal persoonsgegevens niet voor enig ander doel verwerken dan door Verwerkingsverantwoordelijke is vastgesteld. Verwerkingsverantwoordelijke zal Verwerker schriftelijk op de hoogte stellen van andere verwerkingsdoeleinden voor zover deze niet reeds in deze Verwerkersovereenkomst zijn
3. De in opdracht van Verwerkingsverantwoordelijke te verwerken persoonsgegevens blijven eigendom van Verwerkingsverantwoordelijke en/of de betreffende
4. Verwerkingsverantwoordelijke staat ervoor in dat zij een register zal bijhouden van de onder deze Verwerkersovereenkomst geregelde

Artikel 2. Verplichtingen Verwerker

1. Verwerker zal zorg dragen voor het naleven van de voorwaarden die wettelijk aan haar worden gesteld bij het verwerken van persoonsgegevens voor Verwerkingsverantwoordelijke.
2. Verwerker zal Verwerkingsverantwoordelijke, op diens eerste verzoek daartoe maar uiterlijk binnen veertien (14) kalenderdagen, informeren over de door haar genomen maatregelen aangaande haar verplichtingen onder deze Verwerkersovereenkomst en relevante privacywet- en regelgeving. Deze staan beschreven in bijlage
3. De verplichtingen van Verwerker die uit deze Verwerkersovereenkomst voortvloeien, gelden ook voor degenen die persoonsgegevens verwerken onder het gezag van Verwerker, waaronder begrepen maar niet beperkt tot werknemers, in de ruimste zin van het
4. Verwerker zal Verwerkingsverantwoordelijke de noodzakelijke medewerking verlenen wanneer er in het kader van de verwerking een gegevensbeschermingseffectbeoordeling, of een voorafgaande raadpleging van de toezichthouder, noodzakelijk mocht zijn. Verwerker kan hiervoor redelijke kosten in rekening brengen bij

Artikel 3. Doorgifte van persoonsgegevens

1. Verwerker verwerkt persoonsgegevens in landen binnen de Europese Unie. Verwerker verwerkt daarnaast persoonsgegevens in landen buiten de Europese Unie, echter alleen indien dit noodzakelijk is voor de uitvoering van de Overeenkomst en aan alle wettelijke voorwaarden daarvoor is voldaan. Denk hierbij aan het registreren van een domeinnaam die slechts verwerkt kan worden door de overkoepelende organisatie ICANN. Verwerker zal Verwerkingsverantwoordelijke op verzoek aangeven om welke landen het gaat.

Artikel 4. Verdeling van verantwoordelijkheid

1. De toegestane verwerkingen worden uitgevoerd binnen een (semi-)geautomatiseerde omgeving onder controle van
2. Verwerker is louter verantwoordelijk voor de verwerking van persoonsgegevens onder deze Verwerkersovereenkomst, overeenkomstig de schriftelijke instructies van Verwerkingsverantwoordelijke en onder de uitdrukkelijke (eind-)verantwoordelijkheid van Verwerkingsverantwoordelijke. Voor de overige verwerkingen van persoonsgegevens, waaronder in ieder geval begrepen, maar niet beperkt tot, de verzameling van persoonsgegevens door de Verwerkingsverantwoordelijke, verwerkingen voor doeleinden die niet door Verwerkingsverantwoordelijke aan Verwerker zijn gemeld, verwerkingen door derden en/of voor andere doeleinden, is Verwerker uitdrukkelijk niet verantwoordelijk.
3. Verwerkingsverantwoordelijke staat ervoor in dat de inhoud, het gebruik en de opdracht tot de verwerkingen van persoonsgegevens zoals bedoeld in deze Verwerkersovereenkomst, niet onrechtmatig zijn en geen inbreuk maken op enig recht van
4. Verwerkingsverantwoordelijke zal de contactgegevens van haar Data Protection Officer, of ander aanspreekpunt op het gebied van privacy, bij Verwerker bekendmaken en up-to- date houden, via het controlepaneel van de bij Verwerker afgenomen diensten. Verwerkingsverantwoordelijke vrijwaart Verwerker voor schade ontstaan als gevolg van het niet (tijdig) of onjuist invullen

Artikel 5. Inschakelen van derden of onderaannemers (subverwerkers)

1. Verwerkingsverantwoordelijke geeft Verwerker hierbij toestemming om bij de verwerking van persoonsgegevens op grond van deze Verwerkersovereenkomst, gebruik te maken van onderaannemers (subverwerkers), met inachtneming van de toepasselijke privacywetgeving.
2. Verwerker zal de Verwerkingsverantwoordelijke zo spoedig mogelijk informeren over voorgenomen wijzigingen in de door haar in te schakelen onderaannemers. Verwerkingsverantwoordelijke heeft het recht om tegen enige door Verwerker nieuw in te schakelen of te wijzigen subverwerker, schriftelijk en gemotiveerd binnen veertien (14) kalenderdagen na aankondiging van de door haar in te schakelen onderaannemers bezwaar te maken. Wanneer de Verwerkingsverantwoordelijke bezwaar maakt, zullen Partijen onderling in overleg treden om tot een oplossing te komen.
3. Verwerker zorgt er in ieder geval voor dat deze onderaannemers dezelfde plichten op zich nemen als tussen Verwerkingsverantwoordelijke en Verwerker zijn overeengekomen. Verwerkingsverantwoordelijke heeft het recht de mogelijk hierbij betrokken overeenkomsten in te zien. Verwerker staat in voor een correcte naleving van deze plichten door deze onderaannemers en is bij fouten van deze onderaannemers zelf jegens Verwerkingsverantwoordelijke aansprakelijk voor alle schade alsof zij zelf de fout(en) heeft

Artikel 6. Meldplicht

1. In het geval van ontdekking van een datalek zal Verwerker de Verwerkingsverantwoordelijke daarover onverwijld, maar in ieder geval binnen 48 uur na ontdekking ervan informeren, naar aanleiding waarvan Verwerkingsverantwoordelijke beoordeelt of zij de Autoriteit Persoonsgegevens en/of betrokkene(n) zal informeren of niet. Onder een datalek wordt verstaan: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens; tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. De meldplicht van de Verwerker geldt enkel indien een lek daadwerkelijk heeft
2. De meldplicht behelst in ieder geval het melden van het feit dat er een lek is geweest, alsmede, voor zover bekend bij Verwerker:
   • wat de (vermeende) oorzaak is van het lek;
   • wat het (vooralsnog bekende en/of te verwachten) gevolg is; wat de (voorgestelde) oplossing is;
   • contactgegevens voor de opvolging van de melding;
   • het aantal personen waarvan gegevens zijn gelekt (indien geen exact aantal bekend is: het minimale en maximale aantal personen waarvan gegevens zijn gelekt);
   • een omschrijving van de groep personen van wie gegevens zijn gelekt; het soort of de soorten persoonsgegevens die gelekt zijn;
   • de datum waarop het lek heeft plaatsgevonden (indien geen exacte datum bekend is: de periode waarbinnen het lek heeft plaatsgevonden);
   • de datum en het tijdstip waarop het lek bekend is geworden bij Verwerker of bij een door hem ingeschakelde derde/onderaannemer;
   • of de gegevens versleuteld, gehasht of op een andere manier onbegrijpelijk of ontoegankelijk zijn gemaakt voor onbevoegden;
   • wat de voorgenomen en/of reeds ondernomen maatregelen zijn om het lek te dichten en om de gevolgen van het lek te beperken.
3. Verwerkingsverantwoordelijke zal zorg dragen voor het voldoen aan eventuele (wettelijke) meldplichten. Indien relevante wet- en/of regelgeving dit vereist, zal Verwerker meewerken aan het informeren van de ter zake relevante autoriteiten en/of betrokkenen.

Artikel 7. Beveiliging

1. Verwerker zal passende technische en organisatorische maatregelen nemen met betrekking tot de te verrichten verwerkingen van persoonsgegevens, tegen verlies of tegen enige vorm van onrechtmatige verwerking (zoals onbevoegde kennisname, aantasting, wijziging of verstrekking van persoonsgegevens). Verwerker heeft hiertoe de in Bijlage 2 benoemde beveiligingsmaatregelen
2. Ondanks dat Verwerker conform het eerste lid van dit artikel passende beveiligingsmaatregelingen dient te treffen, kan Verwerker er niet voor instaan dat de beveiliging onder alle omstandigheden doeltreffend is. Verwerker zal bij een dreiging van of daadwerkelijk doorbreken van deze beveiligingsmaatregelen er echter redelijkerwijs alles aan doen om verlies van persoonsgegevens zo veel mogelijk te
3. Verwerkingsverantwoordelijke stelt enkel persoonsgegevens aan Verwerker ter beschikking voor verwerking, indien zij zich ervan heeft verzekerd dat passende beveiligingsmaatregelen zijn

Artikel 8. Afhandeling verzoeken van betrokkenen

1. In het geval dat een betrokkene een van zijn wettelijke rechten met betrekking tot zijn persoonsgegevens wenst uit te oefenen en een verzoek hiertoe richt aan Verwerker, zal Verwerker dit verzoek doorzenden aan Verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke zal vervolgens zorgdragen voor de afhandeling van het verzoek. Verwerker mag de betrokkene daarvan op de hoogte
2. In het geval dat een betrokkene een verzoek tot uitoefening van een van zijn wettelijke rechten met betrekking tot persoonsgegevens indient, zal Verwerker, indien Verwerkingsverantwoordelijke dit verlangt, technische ondersteuning bij het uitvoeren van het verzoek verlenen, voor zover mogelijk en voor zover dit redelijk is. Verwerker mag hiervoor redelijke kosten bij Verwerkingsverantwoordelijke in rekening

Artikel 9. Geheimhouding en vertrouwelijkheid

1. Op alle persoonsgegevens die Verwerker van Verwerkingsverantwoordelijke ontvangt en/of zelf verzamelt in het kader van deze Verwerkersovereenkomst, rust een geheimhoudingsplicht jegens derden. Bovendien hebben binnen de organisatie van Verwerker slechts die personen toegang tot persoonsgegevens, voor wie dit op grond van hun taken noodzakelijk is. Op de resultaten van de audit als omschreven in artikel 10, rust voor Verwerkingsverantwoordelijke een geheimhoudingsplicht jegens
2. De geheimhoudingsplicht jegens derden is niet van toepassing voor zover de andere Partij uitdrukkelijke voorafgaande schriftelijke toestemming heeft gegeven om de informatie aan derden te verschaffen, indien het verstrekken van de informatie aan derden logischerwijs noodzakelijk is gezien de aard van de verstrekte opdracht en de uitvoering van deze Verwerkersovereenkomst, of indien er een wettelijke verplichting bestaat om de informatie aan een derde te verstrekken. Indien een Partij wettelijk verplicht is informatie aan een derde te verstrekken, zal deze de andere Partij hier onverwijld doch binnen 24 uur schriftelijk over informeren, voor zover dat wettelijk is toegestaan.

Artikel 10. Audit

1. Verwerkingsverantwoordelijke heeft het recht om een audit uit te laten voeren door een door beiden Partijen overeengekomen onafhankelijke deskundige derde die aan geheimhouding is gebonden, ter controle van de naleving van deze Verwerkersovereenkomst.
2. Deze audit vindt uitsluitend plaats bij een concreet en schriftelijk gemotiveerd vermoeden van misbruik van persoonsgegevens door Verwerker. De door Verwerkingsverantwoordelijke geïnitieerde audit vindt veertien (14) kalenderdagen na voorafgaande schriftelijke aankondiging door de Verwerkingsverantwoordelijke
3. Verwerker zal aan de audit meewerken en alle voor de audit redelijkerwijs noodzakelijke informatie binnen een redelijke termijn ter beschikking stellen, waarbij een termijn van maximaal veertien (14) kalenderdagen redelijk
4. De bevindingen naar aanleiding van de uitgevoerde audit zullen door Partijen in onderling overleg worden beoordeeld en, naar aanleiding daarvan, al dan niet worden doorgevoerd door één van de Partijen of door Partijen
5. De kosten van de audit worden door Verwerkingsverantwoordelijke

Artikel 11. Aansprakelijkheid

1. De aansprakelijkheid van Verwerker voor schade als gevolg van een toerekenbare tekortkoming in de nakoming van de Verwerkersovereenkomst is per gebeurtenis (een reeks opeenvolgende gebeurtenissen geldt als één gebeurtenis) beperkt tot de vergoeding van directe schade, tot maximaal het bedrag van de door Verwerker ontvangen vergoedingen voor de werkzaamheden onder deze Verwerkersovereenkomst over de maand voorafgaande aan de schadeveroorzakende
2. Onder directe schade wordt uitsluitend verstaan alle schade bestaande uit: schade direct toegebracht aan stoffelijke zaken ("zaakschade");
   • redelijke en aantoonbare kosten om de Verwerker ertoe te manen de Verwerkersovereenkomst (weer) deugdelijk na te komen;
   • redelijke kosten ter vaststelling van de oorzaak en de omvang van de schade voor zover betrekking hebbende op de directe schade zoals hier bedoeld is; en
   • redelijke en aantoonbare kosten die Verwerkingsverantwoordelijke heeft gemaakt ter voorkoming of beperking van de directe schade zoals in dit artikel bedoeld.
3. De aansprakelijkheid van Verwerker voor indirecte schade is uitgesloten. Onder indirecte schade wordt verstaan alle schade die geen directe schade is en daarmee in ieder geval, maar niet beperkt tot, gevolgschade, gederfde winst, gemiste besparingen, verminderde goodwill, schade door bedrijfsstagnatie, schade door het niet behalen van marketingdoeleinden, schade verband houdende met het gebruik van door Verwerkingsverantwoordelijke voorgeschreven gegevens of databestanden, of verlies, verminking of vernietiging van gegevens of
4. De in dit artikel bedoelde uitsluitingen en beperkingen komen te vervallen indien en voor zover de schade het gevolg is van opzet of bewuste roekeloosheid van Verwerker of haar bedrijfsleiding.
5. Tenzij nakoming door Verwerker blijvend onmogelijk is, ontstaat de aansprakelijkheid van Verwerker wegens toerekenbare tekortkoming in de nakoming van de Verwerkersovereenkomst slechts indien Verwerkingsverantwoordelijke de Verwerker onverwijld schriftelijk in gebreke stelt, waarbij een redelijke termijn voor de zuivering van de tekortkoming schriftelijk wordt overeengekomen tussen Partijen, en Verwerker ook na die termijn toerekenbaar blijft tekortschieten in de nakoming van haar verplichtingen. De ingebrekestelling dient een zo volledig en gedetailleerd mogelijke omschrijving van de tekortkoming te bevatten, opdat Verwerker in de gelegenheid wordt gesteld adequaat te reageren.
6. Iedere vordering tot schadevergoeding door Verwerkingsverantwoordelijke tegen Verwerker die niet gespecificeerd en expliciet is gemeld, vervalt door het enkele verloop van twaalf (12) maanden na het ontstaan van de

Artikel 12. Duur en beëindiging

1. Deze Verwerkersovereenkomst komt tot stand door ondertekening van Partijen en op de datum van de laatste
2. Deze Verwerkersovereenkomst is aangegaan voor de duur waarbinnen Verwerker persoonsgegevens verwerkt namens en in opdracht van Verwerkingsverantwoordelijke voor de doeleinden omschreven in deze Verwerkersovereenkomst. De Verwerkersovereenkomst kan niet tussentijds worden
3. Deze Verwerkersovereenkomst mag worden gewijzigd met schriftelijke instemming van Partijen.
4. Na beëindiging van de Verwerkersovereenkomst zal Verwerker alle persoonsgegevens die bij haar aanwezig zijn vernietigen, tenzij Partijen schriftelijk anders overeenkomen. Deze bepaling is niet van toepassing indien Verwerker wettelijk verplicht is de gegevens langer te
5. Indien enige bepaling uit de Verwerkersovereenkomst nietig blijkt te zijn of wordt vernietigd, blijven de overige bepalingen volledig van kracht. Partijen zullen alsdan in overleg treden teneinde een nieuwe bepaling ter zake van de nietige of vernietigde bepaling overeen te komen, waarbij zoveel mogelijk het doel en de strekking van de nietige of vernietigde bepaling in acht zullen worden
6. Partijen zullen elkaar volledige medewerking verlenen teneinde deze Verwerkersovereenkomst aan te passen en geschikt te maken voor eventuele nieuwe of gewijzigde

Artikel 13. Toepasselijk recht en geschillenbeslechting

1. De Verwerkersovereenkomst en de uitvoering daarvan worden beheerst door Nederlands recht.
2. Alle geschillen welke tussen Partijen mochten ontstaan in verband met de Verwerkersovereenkomst, zullen worden voorgelegd aan de bevoegde rechter in het arrondissement waar Verwerker gevestigd
3. In geval van strijdigheid tussen deze Verwerkersovereenkomst en de Overeenkomst en/of toepasselijke algemene voorwaarden, prevaleert de

Bijlage 1: Specificatie persoonsgegevens

In de navolgende bijlagen worden alle mogelijkheden opgesomd. Alleen de mogelijkheden die betrekking hebben op uw specifieke situatie zijn echter van toepassing.

1A Diensten

Verwerker verwerkt persoonsgegevens in het kader van (een of meerdere van) de volgende diensten:

• (Web)applicatie ontwikkeling
• Mendix licenties & cloud platform
• Webhosting
• Domeinnaamregistratie
• Online cloudopslag / back-up
• E-mail
• SSL-certificaten
• Billing
• Overdracht gegevens wanbetalers richting diverse instellingen
• Private Network

1B Doeleinden

Verwerker verwerkt persoonsgegevens voor (een of meerdere van) de volgende doeleinden

• (Web)applicatie ontwikkeling
• Hosting, cloudopslag
• Beschikbaar stellen VPS Beveiliging
• Opzetten network
• Om te voldoen aan de eisen van de whois-database
• Klantinformatie ten behoeve van de facturatie

1C Categorieën

Verwerker verwerkt namens Verwerkingsverantwoordelijke (een of meerdere van) de volgende categorieën persoonsgegevens:

• NAW-gegevens
• Contactgegevens
• Identificatienummer
• Klantnummer
• Betaalgegevens
• Cv
• Geboortedatum
• Geslacht
• Nationaliteit
• Inloggegevens
• Financiële gegevens en betalingsgegevens
• IP-adres
• Socialmedia-accounts
• Gegevens over klik- en surfgedrag
• Gegevens over bestellingen en gebruik van diensten/producten
• Inhoud van e-mails, contactformulieren, chatberichten en andere communicatie
• Kenteken
• Locatiegegevens
• Pasfoto's
• Camerabeelden
• Personeelsdossier
• Biometrische gegevens
• Burgerservicenummer (BSN)
• Genetische gegevens
• Kopie ID-bewijs
• Levensovertuiging of geloof
• Ras
• Seksuele voorkeur
• Lidmaatschap van een vakbond
• Gezondheidsgegevens/medische gegevens
• Strafrechtelijke gegevens of gegevens over onrechtmatig/hinderlijk gedrag
• Overige via de diensten van Verwerker opgeslagen of anderszins te verwerken gegevens

1D Betrokkenen

Het betreft de volgende categorieën betrokkenen:

• Klanten
• Websitebezoekers
• Medewerkers
• Sollicitanten
• Potentiële klanten
• Leveranciers
• Overige categorieën personen van wie er persoonsgegevens verwerkt worden via de diensten van Verwerker

Verwerkingsverantwoordelijke staat ervoor in dat de in deze Bijlage 1 omschreven persoonsgegevens en categorieën volledig en correct zijn, en vrijwaart Verwerker voor enige gebreken en aanspraken die resulteren uit een incorrecte weergave door Verwerkingsverantwoordelijke.

Bijlage 2: Beveiligingsmaatregelen

Verwerker heeft de volgende beveiligingsmaatregelen genomen:

• Logische toegangscontrole, gebruikmakend van sterke wachtwoorden;
• Fysieke maatregelen voor toegangsbeveiliging;
• Encryptie (versleuteling) van het versturen en opslaan van digitale bestanden met persoonsgegevens;
• Monitoring van genomen beveiligingsmaatregelen;
• Organisatorische maatregelen voor toegangsbeveiliging;
• Steekproefsgewijze controle op naleving van het beveiligingsbeleid;
• Doelgebonden toegangsbeperkingen;
• Controle op toegekende bevoegdheden.