Verwerkersovereenkomst

1. Wanneer deze overeenkomst geldt

Kort gezegd: Ze geldt wanneer NINAWA voor u persoonsgegevens van uw klanten of bezoekers behandelt, bijvoorbeeld via een website of systeem dat NINAWA bouwt, host of onderhoudt.

Deze verwerkersovereenkomst maakt deel uit van de overeenkomst tussen de klant en de geverifieerde juridische exploitant achter NINAWA. Ze geldt telkens wanneer NINAWA persoonsgegevens namens de klant verwerkt om de overeengekomen dienst te leveren, bijvoorbeeld contact- of boekingsformulieren, klantaccounts, bestelgegevens of mailinglijsten op een website of systeem dat NINAWA bouwt, host, onderhoudt of ondersteunt.

Ze geldt niet voor persoonsgegevens die NINAWA voor eigen doeleinden verwerkt, zoals de eigen contactgegevens van de klant, offertes, facturen of ondersteuningsberichten. Die verwerking staat beschreven in de privacyverklaring.

2. Rollen en instructies

Kort gezegd: U bepaalt wat er met de gegevens gebeurt; NINAWA volgt alleen uw gedocumenteerde instructies.

De klant is verwerkingsverantwoordelijke en de geverifieerde juridische exploitant achter NINAWA is verwerker. NINAWA verwerkt de gegevens uitsluitend op gedocumenteerde instructies van de klant, tenzij EU- of Belgisch recht anders vereist. In dat geval informeert NINAWA de klant vóór de verwerking, tenzij dat recht dit verbiedt.

• Gedocumenteerde instructies zijn deze verwerkersovereenkomst, de aanvaarde offerte en projectbijlage, en schriftelijke verzoeken via Client Studio of per e-mail.
• NINAWA gebruikt de gegevens niet voor eigen doeleinden, verkoopt ze niet en combineert ze niet met gegevens van andere klanten.
• Als NINAWA meent dat een instructie de gegevensbeschermingswetgeving schendt, meldt NINAWA dit aan de klant en kan NINAWA die instructie opschorten tot ze bevestigd of gewijzigd is.

3. Verwerkingsdetails (bijlage I)

Kort gezegd: De tabel toont wat gewoonlijk verwerkt wordt; uw projectbijlage legt de exacte details voor uw project vast.

De aanvaarde offerte of projectbijlage legt per project het onderwerp, de duur, de doeleinden, de gegevenscategorieën en de betrokkenen vast. Waar die afwijkt van de tabel hieronder, geldt de projectbijlage.

4. Vertrouwelijkheid

Kort gezegd: Alleen wie toegang nodig heeft om de dienst te leveren, kan de gegevens zien, en die personen zijn tot geheimhouding verplicht.

NINAWA geeft alleen toegang tot persoonsgegevens aan personen die die toegang nodig hebben om de dienst te leveren en die door een overeenkomst of een wettelijke plicht tot vertrouwelijkheid gehouden zijn. Hun toegang eindigt zodra ze niet langer nodig is.

5. Beveiligingsmaatregelen (bijlage II)

Kort gezegd: NINAWA beschermt de gegevens met technische en organisatorische maatregelen die passen bij het risico.

NINAWA neemt passende technische en organisatorische maatregelen, rekening houdend met de stand van de techniek, de kosten, de aard van de verwerking en de risico's voor de betrokkenen. De huidige maatregelen zijn:

• Versleuteld transport (HTTPS/TLS) voor websites, Client Studio en beheer.
• Toegang alleen via persoonlijke accounts, met sterke wachtwoorden, sessiebeveiliging en beperking van herhaalde aanmeldpogingen.
• Scheiding tussen klanten: elk verzoek wordt gecontroleerd tegen de klant waartoe het behoort, en geautomatiseerde tests dekken dit af.
• Afgeschermde opslag van bestanden, buiten de publieke website, alleen downloadbaar na een toegangscontrole; uploads, downloads en verwijderingen worden gelogd.
• Regelmatige versleutelde back-ups, gescheiden van de productieserver bewaard bij Hetzner in de EU, met een beperkte bewaartermijn (momenteel 30 dagen) en een gedocumenteerde herstelprocedure.
• E-mail vanuit websites en Client Studio wordt verzonden via de eigen mailservers van NINAWA, en bezoekersstatistieken draaien op de eigen server van NINAWA (zelf gehoste Umami): geen externe e-mail- of analyseleverancier ontvangt de gegevens.
• Software-updates en beveiligingsfixes als onderdeel van onderhoud en Managed Care.
• Een gedocumenteerde incidentprocedure, logging van belangrijke handelingen, en toegang voor het team beperkt tot wat elke rol nodig heeft.

NINAWA kan deze maatregelen na verloop van tijd verbeteren, maar verlaagt het algemene beschermingsniveau niet zonder de klant te informeren.

6. Subverwerkers

Kort gezegd: NINAWA gebruikt alleen andere leveranciers die voor uw project zijn vastgelegd, en verwittigt u voordat er een wordt toegevoegd of vervangen.

De klant geeft een algemene toestemming voor de subverwerkers die in de projectbijlage zijn vastgelegd. Vandaag worden de servers van NINAWA in de EU gehost door Hetzner en door een Belgisch hostingbedrijf, en worden versleutelde back-ups bij Hetzner bewaard. De naam van elke leverancier die voor een project wordt gebruikt, staat in de projectbijlage en wordt op verzoek meegedeeld. E-mail en bezoekersstatistieken draaien op de eigen servers van NINAWA, zonder externe e-mail- of analyseleverancier.

NINAWA informeert de klant per e-mail en in Client Studio minstens 14 dagen voordat een subverwerker wordt toegevoegd of vervangen. De klant kan op redelijke gronden van gegevensbescherming bezwaar maken. Wordt er geen redelijke oplossing gevonden, dan kan de klant de betrokken dienst zonder boete beëindigen.

NINAWA legt elke subverwerker dezelfde gegevensbeschermingsverplichtingen op en blijft tegenover de klant verantwoordelijk voor hun prestaties.

7. Hulp bij uw verplichtingen

Kort gezegd: Als een van uw klanten zijn rechten uitoefent, of als u een risico moet beoordelen, helpt NINAWA u.

Rekening houdend met de dienst en de beschikbare informatie helpt NINAWA de klant bij:

• verzoeken van betrokkenen (inzage, verbetering, wissing, bezwaar, overdraagbaarheid): NINAWA stuurt elk verzoek dat het ontvangt zonder onnodige vertraging door naar de klant en beantwoordt het niet zonder instructie;
• de beveiliging van de verwerking, de beoordeling van inbreuken en de bijbehorende meldingen;
• gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthoudende autoriteit waar vereist.

Hulp die verder gaat dan een normale inspanning wordt aangerekend tegen het overeengekomen uurtarief, en alleen nadat de klant de raming heeft goedgekeurd.

8. Inbreuken in verband met persoonsgegevens

Kort gezegd: Als er iets misgaat met uw gegevens, verwittigt NINAWA u snel zodat u uw eigen termijnen kunt halen.

NINAWA informeert de klant zonder onnodige vertraging, en streeft ernaar dit binnen 48 uur te doen, nadat NINAWA kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die klantgegevens treft. Voor zover bekend beschrijft de melding:

• wat er gebeurd is en wanneer;
• de categorieën en het geschatte aantal betrokken personen en gegevensrecords;
• de waarschijnlijke gevolgen;
• de genomen of voorgestelde maatregelen om de schade te beperken;
• een contactpersoon.

NINAWA vult de informatie aan zodra die beschikbaar wordt. Als verwerkingsverantwoordelijke beslist de klant of de toezichthoudende autoriteit (binnen 72 uur waar vereist) en de betrokkenen worden ingelicht; NINAWA helpt daarbij.

9. Doorgiften buiten de EER

Kort gezegd: Uw gegevens blijven in de Europese Economische Ruimte, tenzij uw projectbijlage anders bepaalt en er een geldige wettelijke waarborg geldt.

NINAWA geeft klantgegevens niet door buiten de Europese Economische Ruimte, tenzij dit in de projectbijlage is vastgelegd en gedekt is door een geldige waarborg, zoals een adequaatheidsbesluit of de modelcontractbepalingen van de Europese Commissie.

10. Einde van de dienst: teruggave en verwijdering

Kort gezegd: Wanneer de dienst eindigt, kiest u: u krijgt uw gegevens terug of ze worden verwijderd. Back-ups volgen binnen hun normale cyclus.

Aan het einde van de dienst kiest de klant of NINAWA de klantgegevens teruggeeft (een export van de website, de inhoud en de gegevens) of verwijdert. NINAWA zal dan:

• de gegevens volgens de instructie teruggeven of verwijderen en dit schriftelijk bevestigen;
• back-ups laten vervallen via hun normale cyclus, momenteel binnen 30 dagen, en ze alleen terugzetten om gegevens aan de klant terug te geven;
• alleen bewaren wat EU- of Belgisch recht vereist, voor de vereiste termijn.

De stappen bij vertrek (export, overdracht van domein en accounts, verwijderingsinstructies en het vervallen van back-ups) worden voor de klant getoond in Client Studio.

11. Audits en informatie

Kort gezegd: U kunt NINAWA vragen aan te tonen dat het deze overeenkomst naleeft.

NINAWA stelt de informatie ter beschikking die redelijkerwijs nodig is om naleving van artikel 28 AVG aan te tonen, eerst via documentatie en schriftelijke antwoorden. Volstaat dat niet, dan kan de klant of een tot geheimhouding verplichte auditor na redelijke kennisgeving een evenredige audit uitvoeren, tijdens de kantooruren en zonder de beveiliging van andere klanten aan te tasten. Elke partij draagt haar eigen auditkosten, tenzij de audit een wezenlijke tekortkoming van NINAWA aan het licht brengt.

12. Duur, aansprakelijkheid en voorrang

Kort gezegd: Deze overeenkomst loopt zolang NINAWA uw gegevens verwerkt, en voor gegevensbescherming heeft ze voorrang op de algemene voorwaarden.

Deze verwerkersovereenkomst geldt zolang NINAWA klantgegevens verwerkt, inclusief de periode voor teruggave en verwijdering. De aansprakelijkheid volgt de algemene voorwaarden, onder voorbehoud van dwingend recht en artikel 82 AVG. Is deze verwerkersovereenkomst op het vlak van gegevensbescherming strijdig met de algemene voorwaarden of een ander algemeen contractdocument, dan heeft deze verwerkersovereenkomst voorrang; een projectbijlage die voor een specifiek project is aanvaard, heeft voor dat project voorrang op deze standaardtekst.

De Engelse en Nederlandse versies van deze verwerkersovereenkomst zijn bindend; andere talen zijn vertalingen voor het gemak. Vragen: support@ninawa.net.