Verwerkers­overeenkomst

Artikel 1 Wat deze overeenkomst is

1.1Deze verwerkersovereenkomst is een bijlage bij de algemene voorwaarden van De Vilder Webdesign. Ze is onderdeel van elke overeenkomst waarbij ik voor jou persoonsgegevens verwerk. Ze bevat de afspraken die artikel 28 van de Algemene verordening gegevensbescherming (AVG) vraagt.

1.2Jij bent de verwerkingsverantwoordelijke: je bepaalt waarvoor en hoe de persoonsgegevens worden verwerkt. Ik ben de verwerker: ik verwerk ze alleen voor jou.

1.3Woorden als persoonsgegevens, verwerken, betrokkene en inbreuk in verband met persoonsgegevens betekenen hier hetzelfde als in de AVG. Zo’n inbreuk noem ik hier een datalek. Een subverwerker is een andere verwerker die ik inschakel. De andere begrippen staan in artikel 1 van de algemene voorwaarden.

Artikel 2 Waarvoor ik persoonsgegevens verwerk

2.2Ik gebruik deze persoonsgegevens niet voor mijn eigen doelen. Laat ik je website als voorbeeld van mijn werk zien (artikel 14.8 van de algemene voorwaarden), dan zijn daarbij alleen je bedrijfsnaam en je eigen naam en contactgegevens als ondernemer te zien. Die gebruik ik dan als verantwoordelijke, zoals in de privacyverklaring staat.

Artikel 3 Welke gegevens en van wie

3.2Welke velden je formulieren hebben, bepaal jij. Bijzondere persoonsgegevens, zoals gegevens over gezondheid, en het burgerservicenummer zijn niet de bedoeling. Wil je die toch via je website verwerken, overleg dan eerst met me: daar zijn extra afspraken en maatregelen voor nodig.

3.3Gegevens die ik nodig heb om met jou samen te werken en te factureren, vallen niet onder deze overeenkomst. Die verwerk ik zelf als verantwoordelijke; zie de privacyverklaring.

Artikel 4 Duur

4.1Deze overeenkomst geldt zolang ik voor jou persoonsgegevens verwerk: tijdens de bouw, tijdens het abonnement voor hosting en onderhoud, en bij ander werk aan je website.

4.2Ze eindigt pas als ik alle persoonsgegevens heb teruggegeven of verwijderd (artikel 16).

Artikel 5 Wat jij doet

5.1Jij zorgt dat je de persoonsgegevens mag verwerken en laten verwerken, bijvoorbeeld omdat je er een geldige grondslag voor hebt.

5.2Jij informeert de mensen om wie het gaat, bijvoorbeeld met een privacyverklaring op je website.

5.3Je geeft me alleen instructies die passen bij de AVG.

Artikel 6 Alleen op jouw instructie

6.1Ik verwerk de persoonsgegevens alleen op jouw schriftelijke instructie. Je instructies staan in de overeenkomst, het voorstel en deze verwerkersovereenkomst. Je kunt ze per e-mail aanvullen. Dat geldt ook voor het doorgeven van gegevens naar een land buiten de Europese Economische Ruimte (artikel 11).

6.2Verplicht de wet mij om iets anders te doen, dan laat ik je dat vooraf weten, tenzij de wet dat verbiedt.

6.3Vind ik dat een instructie in strijd is met de AVG of een andere privacyregel, dan laat ik je dat meteen weten.

Artikel 7 Geheimhouding

7.1Ik houd de persoonsgegevens geheim. Ik werk alleen: er zijn geen medewerkers die erbij kunnen.

7.2Schakel ik ooit iemand in die de gegevens kan zien, dan zorg ik dat die ook tot geheimhouding verplicht is.

7.3Ik geef de gegevens alleen aan anderen als dat in deze overeenkomst staat, als jij dat vraagt of als de wet mij daartoe verplicht.

Artikel 8 Beveiliging

8.1Ik neem passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen, passend bij de risico’s (artikel 32 AVG). Ik houd daarbij rekening met de stand van de techniek en de kosten.

8.3Beveiliging kan nooit elk risico uitsluiten. Gaat er toch iets mis, dan geldt artikel 14.

Artikel 9 AI-diensten

9.1Bij mijn werk gebruik ik AI-diensten zoals Claude van Anthropic als hulpmiddel. Gegevens van jouw klanten of websitebezoekers, zoals inzendingen van je contactformulier, zet ik daar nooit in. Ook inloggegevens en andere vertrouwelijke informatie (artikel 18 van de algemene voorwaarden) zet ik er nooit in. Andere persoonsgegevens die ik voor jou verwerk, zoals namen of foto’s van je medewerkers, zet ik er alleen in voor zover dat nodig is voor de opdracht. Dat doe ik op jouw instructie, zoals we in artikel 17.2 van de algemene voorwaarden hebben afgesproken. Wil je dat niet, laat het me dan weten. Vanaf dat moment doe ik het niet meer (artikel 17.4 van de algemene voorwaarden).

9.2Ik schakel Anthropic niet in als subverwerker. Anthropic verwerkt de gegevens niet namens mij: ik heb met Anthropic geen verwerkersovereenkomst. Anthropic Ireland, Limited verwerkt wat ik in Claude zet volgens zijn eigen voorwaarden en privacybeleid, en is zelf verantwoordelijk voor wat het met die gegevens doet. Anthropic brengt gegevens ook over naar de Verenigde Staten en andere landen buiten de Europese Economische Ruimte. Hoe lang Anthropic gegevens bewaart en welke waarborgen het voor die doorgifte gebruikt, staat in de privacyverklaring.

9.3Gesprekken in Claude met persoonsgegevens die ik voor jou verwerk, verwijder ik zoals in artikel 16 staat.

9.4Wil ik meer persoonsgegevens in AI-diensten zetten dan in artikel 9.1 staat, dan doe ik dat pas na je uitdrukkelijke schriftelijke toestemming.

Artikel 10 Subverwerkers

10.2Ik schakel alleen subverwerkers in die bij overeenkomst gebonden zijn aan in wezen dezelfde verplichtingen inzake gegevensbescherming als in deze overeenkomst staan, zoals geheimhouding, beveiliging en het melden van datalekken (artikel 28 lid 4 AVG). Netlify heeft daarvoor een eigen verwerkersovereenkomst (Data Processing Agreement), die volgens Netlify onderdeel is van zijn voorwaarden. Voor Google is dat het Cloud Data Processing Addendum, dat volgens Google onderdeel is van de overeenkomst voor Google Workspace. Daarin staat dat Google de gegevens als verwerker verwerkt.

10.3Wil ik een subverwerker toevoegen of vervangen, dan laat ik je dat vooraf per e-mail weten, minstens 14 dagen voordat de wijziging ingaat.

10.4Je kunt binnen die 14 dagen met redenen bezwaar maken. Komen we er samen niet uit, dan kun je de dienst waarvoor ik die subverwerker nodig heb opzeggen tegen de dag waarop de wijziging ingaat, zonder extra kosten.

10.5Ik blijf tegenover jou volledig verantwoordelijk voor de nakoming van de verplichtingen van mijn subverwerkers (artikel 28 lid 4 AVG).

Artikel 11 Doorgifte buiten de Europese Economische Ruimte

11.1Netlify is een Amerikaans bedrijf en kan persoonsgegevens in de Verenigde Staten verwerken. Volgens Netlify neemt het deel aan het EU-VS Data Privacy Framework. Voor bedrijven die daaraan deelnemen, heeft de Europese Commissie een adequaatheidsbesluit genomen (artikel 45 AVG). Valt een doorgifte daar niet onder, dan gelden volgens de verwerkersovereenkomst van Netlify de standaardcontractbepalingen van de Europese Commissie (artikel 46 AVG).

11.2Google Cloud EMEA Limited is gevestigd in Ierland. Volgens het Cloud Data Processing Addendum kan Google persoonsgegevens verwerken in elk land waar Google of zijn subverwerkers faciliteiten hebben, dus ook buiten de Europese Economische Ruimte. Voor de Verenigde Staten gebruikt Google het EU-VS Data Privacy Framework (zie artikel 11.1): volgens Google is Google LLC daarvoor gecertificeerd. Voor andere landen zonder adequaatheidsbesluit gelden volgens dat addendum de standaardcontractbepalingen van de Europese Commissie (artikel 46 AVG). Google houdt zich het recht voor om voor andere landen dan de Verenigde Staten de uitzonderingen uit artikel 49 lid 1 AVG te gebruiken.

11.3Met deze overeenkomst geef je mij de instructie om Netlify en Google in te schakelen, ook voor deze doorgiften.

11.4Een andere doorgifte buiten de Europese Economische Ruimte doe ik alleen als daarvoor een geldige grondslag uit de AVG bestaat, zoals een adequaatheidsbesluit of standaardcontractbepalingen.

Artikel 12 Rechten van betrokkenen

12.1Vraagt iemand om inzage, correctie, verwijdering of een ander recht uit de AVG, dan help ik je om dat verzoek op tijd te beantwoorden. Moet ik daarvoor gegevens aanpassen of verwijderen, bijvoorbeeld een formulierinzending, dan doe ik dat op jouw instructie.

12.2Komt zo’n verzoek bij mij binnen, dan stuur ik het zonder onnodige vertraging naar je door. Ik beantwoord het niet zelf, tenzij je me dat vraagt.

Artikel 13 Hulp bij beveiliging, DPIA en de toezichthouder

13.1Ik help je, waar dat redelijk is en met de informatie die ik heb, bij je verplichtingen uit de artikelen 32 tot en met 36 AVG. Dat gaat over beveiliging, datalekken, een gegevens­beschermings­effect­beoordeling (DPIA) en een voorafgaande raadpleging van de Autoriteit Persoonsgegevens.

13.2Kost die hulp meer dan een beperkte tijd, dan spreken we vooraf een vergoeding af. Hulp bij een datalek dat door mij is ontstaan, reken ik niet.

Artikel 14 Datalekken

14.1Ontdek ik een datalek dat persoonsgegevens raakt die ik voor jou verwerk, dan laat ik je dat zonder onredelijke vertraging weten, en in elk geval binnen 48 uur nadat ik het heb ontdekt. Dat geldt ook als ik het van een subverwerker hoor.

14.2Ik geef je daarbij wat ik weet en wat je nodig hebt voor een eventuele melding: wat er is gebeurd, om welke gegevens en ongeveer hoeveel mensen het gaat, wat de gevolgen kunnen zijn en welke maatregelen zijn of worden genomen (artikel 33 lid 3 AVG). Weet ik nog niet alles, dan geef ik de informatie in stappen.

14.3Ik neem zo snel mogelijk maatregelen om de gevolgen te beperken.

14.4Of een datalek gemeld moet worden bij de Autoriteit Persoonsgegevens of bij de mensen om wie het gaat, beslis jij. Moet je melden, dan doe je dat volgens de AVG zonder onredelijke vertraging en zo mogelijk binnen 72 uur nadat je het weet. Ik meld zelf niets aan de toezichthouder of aan betrokkenen, tenzij je me daar schriftelijk opdracht voor geeft.

14.5Van elk datalek houd ik bij wat er is gebeurd en wat ik heb gedaan.

Artikel 15 Informatie en audits

15.1Ik geef je alle informatie die nodig is om aan te tonen dat ik me aan deze overeenkomst en aan artikel 28 AVG houd.

15.2Je mag laten controleren of ik me eraan houd (een audit), zelf of door een onafhankelijke deskundige die tot geheimhouding verplicht is. We spreken daarvoor minstens twee weken van tevoren een moment af. Een audit kan hooguit één keer per jaar, tenzij er een concrete aanleiding is, zoals een datalek.

15.3De kosten van een audit zijn voor jou, tenzij blijkt dat ik me niet aan deze overeenkomst houd.

15.4Voor Netlify en Google verwijs ik je naar de informatie die zij daarover zelf geven.

Artikel 16 Teruggeven of verwijderen

16.1Eindigt de overeenkomst, dan kies jij of ik de persoonsgegevens aan je teruggeef of verwijder. Teruggeven doe ik in een gangbaar formaat, bijvoorbeeld een export van de formulierinzendingen.

16.2Daarna verwijder ik alle persoonsgegevens die ik nog voor je heb, ook in back-ups, in mijn mailbox (zoals teksten en foto’s die je me hebt gemaild) en bij mijn subverwerkers, voor zover hun systemen dat toelaten. Dat doe ik binnen 30 dagen nadat je de bestanden van je website hebt gekregen. Vraag je ze niet op, dan doe ik het binnen 30 dagen nadat de termijn uit artikel 12.5 van de algemene voorwaarden voorbij is. Vraag je me eerder te verwijderen, dan doe ik dat. Langer bewaren doe ik alleen als de wet mij dat verplicht. Onze gewone berichten over de opdracht vallen niet onder deze overeenkomst (artikel 3.3). Die bewaar ik zoals in de privacyverklaring staat.

16.3Op verzoek bevestig ik je schriftelijk dat de gegevens zijn verwijderd.

Artikel 17 Aansprakelijkheid

17.1Voor de aansprakelijkheid tussen jou en mij geldt artikel 20 van de algemene voorwaarden.

17.2Wat de AVG dwingend regelt, blijft gelden. Bijvoorbeeld het recht van betrokkenen om schadevergoeding te vragen (artikel 82 AVG).

Artikel 18 Slotbepalingen

18.1Zijn deze overeenkomst en de algemene voorwaarden met elkaar in strijd, dan gaat deze overeenkomst voor als het om persoonsgegevens gaat.

18.2Voor het wijzigen van deze overeenkomst geldt artikel 24 van de algemene voorwaarden. Moet deze overeenkomst veranderen door een nieuwe wet of regel, dan pas ik haar aan en laat ik je dat weten.

18.3Op deze overeenkomst is Nederlands recht van toepassing. Voor geschillen geldt artikel 25 van de algemene voorwaarden.