Verwerkersovereenkomst

Deze overeenkomst is tussen jou, onze klant, en ons. Jij bent de verwerkingsverantwoordelijke: je bepaalt waarvoor en hoe persoonsgegevens op je site worden gebruikt. Wij zijn de verwerker: we verwerken die gegevens alleen voor jou.

Onderneming

Casa Lab., eenmanszaak

KvK-nummer

97816930

Btw-id

NL002397505B81

Adres

Kleine Kolonieweg 104, 8075 PC Elspeet

E-mail

info@casa-lab.eu

Woorden als persoonsgegevens, verwerken, betrokkene en inbreuk in verband met persoonsgegevens (datalek) betekenen hier hetzelfde als in de AVG, de Europese privacywet.

Deze overeenkomst gaat over de persoonsgegevens die we verwerken doordat we je site hosten en onderhouden. Ze is onderdeel van onze algemene voorwaarden. Met je akkoord op het voorstel ga je er ook mee akkoord; apart tekenen hoeft niet. Wil je een ondertekend exemplaar, dan sturen we dat op verzoek.

De overeenkomst loopt zolang we je site hosten of onderhouden, en eindigt vanzelf met de hosting. Afspraken die naar hun aard doorlopen, zoals geheimhouding en verwijderen, blijven daarna gelden.

Wat we doen

Je site bewaren en aan bezoekers tonen (hosting), berichten die via een formulier op je site binnenkomen per e-mail aan je doorsturen, de techniek van je site onderhouden en de site beveiligen.

Welke gegevens

Technische gegevens van bezoekers in de logbestanden van de hosting, zoals IP-adres, browser en tijdstip; wat bezoekers in een formulier invullen, zoals naam, e-mailadres, telefoonnummer en bericht; en persoonsgegevens die je zelf op je site zet, zoals namen en foto's van medewerkers.

Van wie

Bezoekers van je site, je klanten en andere mensen die een formulier op je site gebruiken, en je medewerkers of anderen die op je site staan.

Bijzondere gegevens

Je site is niet bedoeld voor bijzondere persoonsgegevens, zoals gegevens over gezondheid. Zijn die voor je site toch nodig, dan spreken we vooraf extra maatregelen af.

We verwerken de gegevens alleen op jouw schriftelijke instructies. Die staan in het voorstel, in de algemene voorwaarden, in deze overeenkomst en in de e-mails waarin je ons iets vraagt. We gebruiken de gegevens niet voor onszelf of voor anderen.

Vinden we dat een instructie in strijd is met de AVG of een andere privacyregel, dan laten we je dat direct weten. Verplicht de wet ons tot een verwerking die je niet hebt gevraagd, dan melden we je dat vooraf, tenzij de wet dat verbiedt.

We houden de persoonsgegevens geheim. Behalve wijzelf hebben alleen onze subverwerkers er toegang toe, en alleen voor zover hun taak dat vraagt (artikel 7). Schakelen we iemand in die bij de gegevens kan, dan geldt voor die persoon dezelfde geheimhouding.

We nemen passende technische en organisatorische maatregelen om de gegevens te beveiligen, waaronder:

• versleutelde verbindingen (https) voor je site en voor ons beheer ervan;
• toegang alleen voor ons, met sterke wachtwoorden en tweestapsverificatie: inloggen met een extra code;
• beveiligingsupdates voor de software waarop je site draait;
• hosting bij een professionele partij met eigen beveiligingsmaatregelen;
• niet meer gegevens dan nodig: berichten via een formulier sturen we door en bewaren we niet langer dan nodig is om ze af te leveren, tenzij we met je iets anders afspreken.

We passen deze maatregelen aan als de risico's of de techniek veranderen.

Je geeft ons toestemming om deze partijen in te schakelen (subverwerkers). Ze verwerken alleen wat voor hun taak nodig is:

• Vercel (Verenigde Staten): hosting van je site en de bijbehorende logbestanden;
• Resend (Verenigde Staten): het versturen van berichten via een formulier op je site, als je site zo'n formulier heeft;
• Google (Google Workspace): onze e-mail, als berichten of gegevens van je site via onze mailbox lopen.

Met elke subverwerker hebben we een verwerkersovereenkomst die de persoonsgegevens minstens even goed beschermt als deze overeenkomst, zoals artikel 28 lid 4 AVG vraagt. We blijven tegenover jou verantwoordelijk voor zijn werk.

Willen we een subverwerker toevoegen of vervangen, dan melden we dat minstens een maand vooraf per e-mail. Heb je daar een gegronde reden tegen, laat het ons dan binnen die termijn weten. Vinden we samen geen oplossing, dan kun je de hosting opzeggen tegen de dag waarop de wijziging ingaat.

Gegevens gaan alleen naar een land buiten de Europese Economische Ruimte met de waarborgen die de AVG vraagt: het EU-VS Data Privacy Framework, voor bedrijven die daarvoor zijn gecertificeerd, of de standaardcontractbepalingen van de Europese Commissie, vaste modelafspraken over privacy.

Krijgen we een verzoek van iemand over zijn gegevens op je site, bijvoorbeeld om inzage of verwijdering, dan sturen we dat direct aan je door. Jij beantwoordt het; wij helpen je daarbij, bijvoorbeeld door gegevens op te zoeken of te verwijderen.

We helpen je ook, voor zover dat bij onze rol past, met de beveiliging, met het melden van datalekken, met een beoordeling van de privacyrisico's (DPIA) en met overleg met de Autoriteit Persoonsgegevens. Kost die hulp meer dan een kleine inspanning, dan spreken we vooraf met je af wat dat kost.

Ontdekken we een datalek bij ons of bij een subverwerker dat persoonsgegevens van je site raakt, of meldt een subverwerker ons zo'n lek, dan melden we dat zonder onnodige vertraging per e-mail aan je, met als doel binnen 48 uur nadat we het ontdekten. We vertellen je dan, voor zover we het weten:

• wat er is gebeurd, en wanneer;
• om welke gegevens het gaat, en om ongeveer hoeveel mensen;
• wat de gevolgen waarschijnlijk zijn;
• welke maatregelen we hebben genomen of voorstellen.

Weten we nog niet alles, dan vullen we de melding aan zodra we meer weten. Jij beslist of je het lek meldt bij de Autoriteit Persoonsgegevens, wat binnen 72 uur moet, en aan de mensen om wie het gaat. Wij helpen je daarbij en houden een overzicht bij van alle datalekken.

We geven je alle informatie die nodig is om te laten zien dat we ons aan deze overeenkomst houden. Wil je dat controleren met een audit, dan kan dat door jou of door een onafhankelijke deskundige die je aanwijst, met geheimhouding, hooguit één keer per jaar en na een aankondiging van minstens een maand. Na een datalek, of als een toezichthouder erom vraagt, kan het ook vaker en met een kortere aankondiging. De kosten zijn voor jou, tenzij de audit laat zien dat we deze overeenkomst op een belangrijk punt niet nakomen. Rapporten en certificaten van onze subverwerkers over hun beveiliging mogen we als informatie gebruiken.

Voor de einddatum krijg je op verzoek een kopie van de persoonsgegevens die we voor je site bewaren, zoals opgeslagen formulierberichten, in een gangbaar bestand.

Binnen 30 dagen na de einddatum verwijderen we alle persoonsgegevens die we voor je site verwerken, ook bij onze subverwerkers voor zover wij dat kunnen doen. Logbestanden en reservekopieën bij subverwerkers verdwijnen volgens hun eigen bewaartermijnen. Dit geldt niet voor gegevens die we volgens de wet moeten bewaren. Op verzoek bevestigen we per e-mail dat we de gegevens hebben verwijderd.

• Je zorgt dat je een geldige grondslag hebt om de gegevens op je site te verwerken.
• Je vertelt bezoekers in een privacyverklaring op je site welke gegevens je verwerkt en waarom. Wij zetten die op je site als je hem aanlevert.
• Je geeft ons alleen instructies die aan de wet voldoen.
• Je laat het ons vooraf weten als je site bijzondere persoonsgegevens gaat verwerken (artikel 3).

Voor de aansprakelijkheid tussen jou en ons geldt het artikel Aansprakelijkheid van de algemene voorwaarden. Dat artikel beperkt de rechten niet die bezoekers en andere betrokkenen zelf hebben op grond van de AVG.

Zeggen deze overeenkomst en de algemene voorwaarden iets anders over persoonsgegevens, dan gaat deze overeenkomst voor.

Nederlands recht is van toepassing. Voor geschillen geldt het artikel Toepasselijk recht en geschillen van de algemene voorwaarden.

Voor vragen over deze overeenkomst mail je naar info@casa-lab.eu. Deze overeenkomst bestaat ook in het Engels. Verschillen de teksten, dan gaat de Nederlandse tekst voor.