Verwerkersovereenkomst

Artikel 1. Definities en reikwijdte

1.1 Begrippen die in deze verwerkersovereenkomst met een hoofdletter zijn geschreven hebben de betekenis die daaraan in de algemene voorwaarden van Signasys is gegeven. Signasys is IMFUEL (handelend onder de naam Signasys), gevestigd te Capelle aan den IJssel, KvK-nummer 53162994; waar in deze verwerkersovereenkomst Signasys als partij wordt genoemd, wordt deze onderneming bedoeld. Klant is de onderneming of organisatie die met Signasys een Overeenkomst heeft gesloten, een Bureau daaronder begrepen.

1.2 De begrippen persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene, inbreuk in verband met persoonsgegevens en toezichthoudende autoriteit hebben de betekenis die artikel 4 AVG daaraan geeft.

1.3 Deze verwerkersovereenkomst geldt voor alle verwerkingen van persoonsgegevens die Signasys als verwerker ten behoeve van de Klant verricht in het kader van de Overeenkomst. Zij geldt niet voor verwerkingen waarvoor Signasys zelf verwerkingsverantwoordelijke is, zoals de klantadministratie, de facturatie, de beveiligingslogboeken van de Dienst en het gebruik van de website; daarop is de privacyverklaring van Signasys van toepassing.

1.4 Bij strijd tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, uitsluitend voor zover het de verwerking van persoonsgegevens betreft.

Artikel 2. Rollen en omschrijving van de verwerking

2.1 De Klant is verwerkingsverantwoordelijke en Signasys is verwerker voor de in dit artikel omschreven verwerkingen. Als de Klant zelf verwerker is voor zijn eigen klanten, bijvoorbeeld als Bureau voor zijn Eindklanten, treedt Signasys op als subverwerker. De Klant staat er dan voor in dat hij door de betrokken verwerkingsverantwoordelijken bevoegd is Signasys als subverwerker in te schakelen en dat deze verwerkersovereenkomst de verplichtingen bevat die hij op grond van zijn eigen verwerkersovereenkomst aan een subverwerker moet opleggen.

2.2 Onderwerp en aard van de verwerking: het opslaan, weergeven, bewerken (zoals het verkleinen en bijsnijden van Afbeeldingen), hosten, back-uppen en exporteren van de inhoud die de Klant in de Dienst plaatst, en het aanmaken, authenticeren en beheren van de Gebruikers die de Klant uitnodigt.

2.3 Doel van de verwerking: het ter beschikking stellen van de Dienst aan de Klant zoals omschreven in de Overeenkomst. Signasys verwerkt de persoonsgegevens voor geen enkel ander doel.

2.4 Categorieën van betrokkenen: (a) Gebruikers die de Klant uitnodigt, zoals medewerkers, freelancers en medewerkers van een Bureau of Eindklant; (b) personen van wie gegevens voorkomen in de inhoud van nieuwsbrieven, zoals medewerkers, bestuurders, klanten of andere personen op foto's, in citaten of in teksten; (c) ontvangers van nieuwsbrieven, uitsluitend voor zover hun IP-adres en technische gegevens in de logbestanden van Signasys terechtkomen bij het laden van Afbeeldingen vanaf signasys.nl.

2.5 Categorieën van persoonsgegevens: van Gebruikers: naam, e-mailadres, gehasht wachtwoord, eventueel tweestapsverificatiegeheim, rol, IP-adres, browsergegevens en tijdstip van inloggen; in de inhoud: alle persoonsgegevens die de Klant in teksten en Afbeeldingen opneemt, zoals namen, functies, portretfoto's en citaten; van ontvangers: IP-adres en technische gegevens van het e-mailprogramma in logbestanden.

2.6 De Dienst is niet ontworpen voor bijzondere categorieën van persoonsgegevens (artikel 9 AVG), gegevens van strafrechtelijke aard (artikel 10 AVG) of nationale identificatienummers zoals het burgerservicenummer. De Klant plaatst zulke gegevens niet in de Dienst zonder voorafgaande Schriftelijke afspraak met Signasys over aanvullende maatregelen.

2.7 Duur van de verwerking: zolang de Overeenkomst voortduurt, vermeerderd met de termijnen voor export en verwijdering in artikel 12.

2.8 Signasys ontvangt of beheert geen adressenlijsten van ontvangers en verstuurt geen nieuwsbrieven. Die verwerkingen vinden plaats in Mailchimp of een ander door de Klant gekozen verzendprogramma en vallen buiten deze verwerkersovereenkomst.

Artikel 3. Verplichtingen van Signasys

3.1 Signasys verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Klant. De Overeenkomst, deze verwerkersovereenkomst en het gebruik van de functies van de Dienst door de Klant en zijn Gebruikers gelden als instructies. Aanvullende instructies die buiten de functionaliteit van de Dienst vallen, zijn alleen bindend als Signasys ze Schriftelijk heeft aanvaard; Signasys mag daarvoor een redelijke vergoeding vragen.

3.2 Als Signasys op grond van Unierecht of Nederlands recht verplicht is persoonsgegevens te verwerken zonder instructie van de Klant, informeert zij de Klant vooraf over die verplichting, tenzij die wetgeving dit om gewichtige redenen van algemeen belang verbiedt.

3.3 Signasys informeert de Klant onmiddellijk als een instructie naar haar mening in strijd is met de AVG of andere toepasselijke privacywetgeving. Signasys is niet gehouden instructies juridisch te toetsen.

3.4 Signasys verwerkt de persoonsgegevens binnen de Europese Economische Ruimte en geeft ze niet door naar een land buiten de EER anders dan overeenkomstig artikel 8.

3.5 Signasys verleent de Klant redelijke bijstand bij het nakomen van zijn verplichtingen op grond van de artikelen 32 tot en met 36 AVG (beveiliging, meldplicht datalekken, gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging), rekening houdend met de aard van de verwerking en de informatie waarover Signasys beschikt. Voor bijstand die verder gaat dan het verstrekken van al beschikbare informatie mag Signasys een redelijke vergoeding vragen.

3.6 Signasys stelt de Klant alle informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen van artikel 28 AVG worden nageleefd, overeenkomstig artikel 11.

3.7 Signasys houdt een register bij van de categorieën van verwerkingsactiviteiten die zij voor de Klant verricht, zoals bedoeld in artikel 30 lid 2 AVG, voor zover zij daartoe verplicht is.

Artikel 4. Verplichtingen van de Klant

4.1 De Klant staat ervoor in dat de verwerking van persoonsgegevens die hij in de Dienst plaatst of laat plaatsen rechtmatig is, dat hij daarvoor een grondslag heeft, dat hij de betrokkenen overeenkomstig de artikelen 13 en 14 AVG informeert en dat de inhoud van zijn nieuwsbrieven geen inbreuk maakt op rechten van betrokkenen.

4.2 De Klant is verantwoordelijk voor het beheer van zijn Gebruikers en hun rechten, voor het tijdig verwijderen van Gebruikers die geen toegang meer mogen hebben en voor het instellen van de beveiligingsopties van de Dienst, zoals het verplicht stellen van tweestapsverificatie.

4.3 De Klant stelt zelf vast of de door Signasys geboden beveiligingsmaatregelen passend zijn voor de gegevens die hij in de Dienst plaatst, en plaatst geen gegevens waarvoor die maatregelen niet passend zijn.

4.4 De Klant vrijwaart Signasys tegen aanspraken van betrokkenen, toezichthouders en andere derden die voortvloeien uit een handelen of nalaten van de Klant in strijd met de AVG, andere toepasselijke privacywetgeving of deze verwerkersovereenkomst.

Artikel 5. Vertrouwelijkheid

5.1 Signasys houdt de persoonsgegevens die zij voor de Klant verwerkt geheim en verstrekt ze niet aan derden, behalve voor zover dat nodig is voor de uitvoering van de Overeenkomst, een wettelijke verplichting dat vereist of de Klant daarmee Schriftelijk heeft ingestemd.

5.2 Signasys zorgt ervoor dat iedereen die onder haar gezag toegang heeft tot de persoonsgegevens, waaronder haar beheerder, medewerkers en ingeschakelde hulppersonen, op grond van een overeenkomst of een wettelijke plicht tot geheimhouding is verplicht en de persoonsgegevens alleen verwerkt op instructie van de Klant.

5.3 Toegang tot persoonsgegevens wordt beperkt tot degenen die die toegang nodig hebben voor de uitvoering van de Overeenkomst. Alleen de beheerder van Signasys heeft beheertoegang tot de servers en de database van de Dienst.

5.4 Als een bevoegde autoriteit Signasys verplicht persoonsgegevens van de Klant te verstrekken, informeert Signasys de Klant daarover vooraf, tenzij dat wettelijk verboden is, en beperkt zij de verstrekking tot wat de autoriteit verlangt.

Artikel 6. Beveiliging

6.1 Signasys neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking, rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard, de omvang, de context en de doeleinden van de verwerking en de risico's voor betrokkenen (artikel 32 AVG).

6.2 Signasys mag de maatregelen aanpassen aan de stand van de techniek, mits het beveiligingsniveau als geheel niet daalt. Een actuele beschrijving van de maatregelen verstrekt Signasys op verzoek.

6.3 Signasys garandeert niet dat de beveiliging onder alle omstandigheden doeltreffend is. Zij spant zich in om de maatregelen te laten voldoen aan een niveau dat, gelet op de stand van de techniek, de gevoeligheid van de gegevens en de kosten, niet onredelijk is.

6.4 Signasys heeft ten minste de volgende maatregelen getroffen:

• TLS-versleuteling op alle verbindingen met de Dienst en de website;
• opslag van wachtwoorden uitsluitend als hash met argon2id;
• tweestapsverificatie met een authenticator-app, door beheerders van de Klant verplicht te stellen per Gebruiker, per Organisatie of voor iedereen;
• sessies die automatisch verlopen;
• logische scheiding van gegevens per Organisatie, met toegangscontrole op basis van rollen;
• beperking van het aantal inlogpogingen;
• logging van inlog- en beveiligingsgebeurtenissen, bewaard gedurende 12 maanden;
• dagelijkse back-ups (eenmaal per nacht), 30 dagen bewaard;
• servers in een datacenter in Nederland;
• beheertoegang tot servers en database uitsluitend voor de beheerder van Signasys;
• het tijdig installeren van beveiligingsupdates voor de gebruikte software.

Artikel 7. Subverwerkers

7.1 De Klant geeft Signasys algemene toestemming om voor de uitvoering van de Overeenkomst subverwerkers in te schakelen. De subverwerkers bij het sluiten van de Overeenkomst zijn vermeld in lid 7.6.

7.2 Signasys legt aan iedere subverwerker bij overeenkomst verplichtingen op die ten minste gelijkwaardig zijn aan die uit deze verwerkersovereenkomst, in het bijzonder wat betreft vertrouwelijkheid, beveiliging en doorgifte. Signasys blijft jegens de Klant volledig aansprakelijk voor de nakoming door haar subverwerkers.

7.3 Signasys informeert de Klant minimaal 14 dagen vóór het inschakelen van een nieuwe subverwerker of het vervangen van een bestaande subverwerker per e-mail, met vermelding van de naam, het land van verwerking en de werkzaamheden van de subverwerker.

7.4 De Klant kan binnen die 14 dagen Schriftelijk en gemotiveerd bezwaar maken tegen de wijziging, op gronden die verband houden met de bescherming van persoonsgegevens. Partijen overleggen dan over een oplossing, bijvoorbeeld een aanpassing van de inzet van de subverwerker. Komen zij binnen 30 dagen na het bezwaar niet tot een oplossing, dan mag de Klant de Overeenkomst voor de betrokken Organisatie of Organisaties Schriftelijk opzeggen tegen de datum waarop de nieuwe subverwerker wordt ingeschakeld. Signasys betaalt dan vooruitbetaalde abonnementsgelden voor de periode na de beëindiging naar rato terug; de vergoeding voor de Setup wordt niet terugbetaald.

7.5 Google Analytics wordt uitsluitend op de publieke website van Signasys gebruikt en verwerkt geen persoonsgegevens uit de Dienst; Google Ireland Limited is daarvoor geen subverwerker van de Klant. Een actueel overzicht van subverwerkers staat in de privacyverklaring op signasys.nl en wordt op verzoek verstrekt.

7.6 Subverwerkers bij het sluiten van de Overeenkomst:

• Amazon Web Services EMEA SARL (Luxemburg): verzending van transactionele systeem-e-mail via Amazon SES vanuit de regio Frankfurt (EU), zoals uitnodigingen voor Gebruikers, wachtwoordherstel en testmails.
• Google Ireland Limited (Ierland): Google Workspace voor de zakelijke mailbox support@signasys.nl, waarin supportcorrespondentie met de Klant en zijn Gebruikers wordt verwerkt.
• De hostingleverancier van het datacenter in Nederland waar de door Signasys beheerde server staat: fysieke hosting van de Dienst, de database, de Afbeeldingen en de back-ups. Alleen de beheerder van Signasys heeft beheertoegang tot deze server.

Artikel 8. Doorgifte buiten de EER

8.1 Signasys slaat de persoonsgegevens van de Klant op op servers in Nederland en verstuurt systeem-e-mail vanuit de regio Frankfurt. Signasys geeft persoonsgegevens niet door naar landen buiten de Europese Economische Ruimte, behalve zoals in dit artikel omschreven.

8.2 Bij het gebruik van Google Workspace kan verwerking buiten de EER voorkomen, in het bijzonder in de Verenigde Staten. Deze doorgifte is gebaseerd op het adequaatheidsbesluit van de Europese Commissie voor het EU-US Data Privacy Framework, voor zover de ontvanger daaronder is gecertificeerd, en daarnaast op de standaardcontractbepalingen van de Europese Commissie (Uitvoeringsbesluit (EU) 2021/914), waar nodig aangevuld met passende aanvullende maatregelen.

8.3 Als een adequaatheidsbesluit of de standaardcontractbepalingen hun geldigheid verliezen, werken partijen in redelijkheid samen om een alternatief doorgiftemechanisme te treffen. Signasys verstrekt op verzoek een kopie van de toepasselijke waarborgen.

8.4 Iedere andere doorgifte buiten de EER vereist de voorafgaande Schriftelijke toestemming van de Klant en een passende waarborg in de zin van hoofdstuk V AVG, tenzij Signasys daartoe wettelijk verplicht is.

Artikel 9. Inbreuken in verband met persoonsgegevens

9.1 Signasys informeert de Klant zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat zij een inbreuk in verband met persoonsgegevens heeft ontdekt die persoonsgegevens van de Klant betreft, per e-mail aan de beheerders van de Klant en aan het door de Klant opgegeven e-mailadres voor beveiligingsmeldingen.

9.2 De melding bevat, voor zover op dat moment bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en persoonsgegevens, de waarschijnlijke gevolgen, de maatregelen die Signasys heeft genomen of voorstelt om de inbreuk aan te pakken en de gevolgen te beperken, en contactgegevens voor meer informatie. Informatie die nog niet beschikbaar is, verstrekt Signasys zodra zij die heeft, zonder op volledigheid te wachten.

9.3 De Klant beoordeelt zelf of de inbreuk moet worden gemeld aan de Autoriteit Persoonsgegevens (binnen 72 uur na het bekend worden, artikel 33 AVG) en aan de betrokkenen (artikel 34 AVG), en doet die meldingen zelf. Signasys meldt een inbreuk die gegevens van de Klant betreft niet zelf aan de toezichthouder of aan betrokkenen, tenzij de Klant daarom Schriftelijk verzoekt of Signasys daartoe wettelijk verplicht is.

9.4 Signasys verleent de Klant alle redelijke medewerking bij het onderzoek naar de inbreuk, het beperken van de gevolgen en het voldoen aan zijn meldplichten, en documenteert alle inbreuken, de gevolgen daarvan en de genomen maatregelen.

9.5 Partijen communiceren niet publiek over een inbreuk die gegevens van de andere partij betreft zonder voorafgaand overleg, tenzij een wettelijke plicht dat vereist.

Artikel 10. Rechten van betrokkenen

10.1 Signasys verleent de Klant, rekening houdend met de aard van de verwerking, bijstand bij het vervullen van zijn plicht om verzoeken van betrokkenen te beantwoorden (artikelen 15 tot en met 22 AVG), door middel van passende technische en organisatorische maatregelen. De Dienst biedt de Klant de mogelijkheid om gegevens van Gebruikers zelf in te zien, te wijzigen en te verwijderen en om de inhoud van nieuwsbrieven te bewerken, te exporteren en te verwijderen.

10.2 Als een betrokkene zich rechtstreeks tot Signasys wendt met een verzoek dat betrekking heeft op persoonsgegevens die Signasys voor de Klant verwerkt, stuurt Signasys het verzoek binnen vijf Werkdagen door aan de Klant en laat zij de betrokkene weten dat de Klant het verzoek behandelt. Signasys beantwoordt het verzoek niet zelf inhoudelijk, tenzij de Klant daarom Schriftelijk verzoekt of een wettelijke plicht dat vereist.

10.3 Voor bijstand die de Klant niet zelf via de functies van de Dienst kan uitvoeren, mag Signasys een redelijke vergoeding vragen, tenzij het verzoek het gevolg is van een tekortkoming van Signasys.

Artikel 11. Controle en audit

11.1 Signasys stelt de Klant op verzoek de informatie ter beschikking die redelijkerwijs nodig is om de naleving van deze verwerkersovereenkomst aan te tonen, zoals een beschrijving van de beveiligingsmaatregelen, het overzicht van subverwerkers en, voor zover beschikbaar, rapportages van onafhankelijke onderzoeken of certificeringen.

11.2 Als die informatie voor de Klant redelijkerwijs onvoldoende is, mag de Klant eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, deskundige auditor die tot geheimhouding is verplicht. De Klant kondigt een audit minimaal 30 dagen vooraf Schriftelijk aan, met vermelding van het doel en de reikwijdte. Partijen stellen de reikwijdte, het tijdstip en de werkwijze in overleg vast, zodanig dat de bedrijfsvoering van Signasys en de vertrouwelijkheid van gegevens van andere klanten niet worden geschaad.

11.3 De audit vindt bij voorkeur plaats op basis van door Signasys verstrekte documentatie en rapportages. Een onderzoek op locatie vindt alleen plaats als documentatie redelijkerwijs niet toereikend is, en alleen op Werkdagen.

11.4 De kosten van de audit, inclusief de redelijke kosten van de tijd die Signasys daaraan besteedt, komen voor rekening van de Klant, tenzij de audit een wezenlijke tekortkoming van Signasys aan het licht brengt.

11.5 Partijen bespreken de bevindingen van de audit. Signasys neemt gebleken tekortkomingen binnen een redelijke termijn weg. De Klant mag een audit vaker dan eenmaal per jaar laten uitvoeren als een toezichthouder dat eist of na een inbreuk in verband met persoonsgegevens die gegevens van de Klant betreft.

Artikel 12. Duur, beëindiging en verwijdering van gegevens

12.1 Deze verwerkersovereenkomst duurt zolang Signasys persoonsgegevens voor de Klant verwerkt en eindigt van rechtswege zodra Signasys alle persoonsgegevens overeenkomstig dit artikel heeft verwijderd. Zij kan niet afzonderlijk van de Overeenkomst worden beëindigd.

12.2 De Klant zorgt ervoor dat hij de persoonsgegevens en inhoud die hij wil behouden vóór het einde van de Overeenkomst zelf exporteert met de exportfuncties van de Dienst (HTML van nieuwsbrieven en download van Afbeeldingen). Signasys houdt de Dienst daarvoor tot de einddatum beschikbaar.

12.3 Drie maanden na het einde van de Overeenkomst verwijdert Signasys alle persoonsgegevens die zij voor de Klant verwerkt, waaronder de inhoud van nieuwsbrieven, Afbeeldingen en de accounts van Gebruikers, tenzij Unierecht of Nederlands recht opslag van de persoonsgegevens verplicht. Gedurende die drie maanden blijven Afbeeldingen in al verzonden nieuwsbrieven bereikbaar, zoals omschreven in de algemene voorwaarden. Op Schriftelijk verzoek van de Klant verwijdert Signasys de gegevens eerder.

12.4 Back-ups waarin de verwijderde gegevens voorkomen worden binnen 30 dagen na de verwijdering overschreven. Tot dat moment blijven de gegevens in de back-ups onder deze verwerkersovereenkomst vallen; zij worden niet voor andere doelen gebruikt en alleen teruggezet als dat nodig is voor herstel van de Dienst als geheel.

12.5 Op verzoek bevestigt Signasys Schriftelijk dat de verwijdering is uitgevoerd.

12.6 Persoonsgegevens die Signasys als verwerkingsverantwoordelijke verwerkt, zoals facturen en de contactgegevens van de Klant, bewaart Signasys overeenkomstig haar privacyverklaring en de wettelijke bewaartermijnen.

Artikel 13. Aansprakelijkheid

13.1 Op de aansprakelijkheid van partijen onder deze verwerkersovereenkomst is artikel 17 van de algemene voorwaarden (Aansprakelijkheid) van toepassing, inclusief de daarin opgenomen beperkingen, uitsluitingen en vervaltermijnen. Die beperkingen gelden ook voor boetes, schadevergoedingen en kosten die het gevolg zijn van een inbreuk in verband met persoonsgegevens of een overtreding van de AVG, voor zover de wet dat toelaat.

13.2 De beperkingen gelden niet voor zover de schade het gevolg is van opzet of bewuste roekeloosheid van Signasys of haar leidinggevenden, en doen geen afbreuk aan de rechten van betrokkenen op grond van artikel 82 AVG.

13.3 Wordt Signasys door een betrokkene of een toezichthouder aangesproken voor een schending die aan de Klant is toe te rekenen, dan vrijwaart de Klant Signasys overeenkomstig artikel 4.4. Wordt de Klant aangesproken voor een schending die uitsluitend aan Signasys is toe te rekenen, dan vergoedt Signasys de schade van de Klant met inachtneming van lid 13.1.

Artikel 14. Slotbepalingen

14.1 Signasys mag deze verwerkersovereenkomst wijzigen overeenkomstig artikel 20 van de algemene voorwaarden. Wijzigingen die nodig zijn om te blijven voldoen aan de AVG, richtsnoeren van toezichthouders of rechtspraak, mag Signasys met kennisgeving aan de Klant direct doorvoeren.

14.2 Als een bepaling van deze verwerkersovereenkomst nietig of niet afdwingbaar is, blijven de overige bepalingen van kracht en vervangen partijen de bepaling door een geldige bepaling met zo veel mogelijk dezelfde strekking.

14.3 Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden beslecht overeenkomstig artikel 22 van de algemene voorwaarden.

14.4 Deze verwerkersovereenkomst is opgesteld in het Nederlands en vertaald in het Engels. Bij verschillen in uitleg prevaleert de Nederlandse tekst.