Verwerkersovereenkomst

Partijen en rollen

1. Deze verwerkersovereenkomst geldt tussen de klant, als verwerkingsverantwoordelijke, en Aivisualize (eenmanszaak van M. van Looij), handelend onder de naam CRM8, als verwerker.
2. De klant bepaalt het doel van en de middelen voor de verwerking van de persoonsgegevens die hij via de dienst verwerkt. CRM8 verwerkt deze persoonsgegevens uitsluitend ten behoeve van de klant en volgens diens instructies.
3. Deze verwerkersovereenkomst is automatisch van toepassing zodra de klant de dienst gebruikt en daarbij persoonsgegevens verwerkt; een aparte ondertekening is niet vereist. Een ondertekend exemplaar is op verzoek beschikbaar.

Definities

Begrippen als persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene, sub-verwerker en inbreuk in verband met persoonsgegevens hebben de betekenis die de AVG daaraan geeft. Overige met een hoofdletter geschreven begrippen hebben de betekenis uit de algemene voorwaarden.

Onderwerp, aard en instructies

1. CRM8 verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de klant, waaronder begrepen de instructies die besloten liggen in het gebruik van de functies van de dienst en in de overeenkomst. Onderwerp, aard, doel, categorieën betrokkenen en soorten persoonsgegevens staan in Bijlage 1.
2. CRM8 verwerkt de persoonsgegevens niet voor eigen doeleinden, behalve om te voldoen aan een wettelijke verplichting of om de dienst te leveren, te beveiligen en te verbeteren met geanonimiseerde of geaggregeerde gegevens die niet herleidbaar zijn tot een persoon.
3. CRM8 informeert de klant als een instructie naar haar mening in strijd is met de AVG of andere privacyregelgeving.
4. CRM8 verwerkt persoonsgegevens gedurende de looptijd van de overeenkomst, tenzij anders bepaald.

Geheimhouding

1. CRM8 houdt de persoonsgegevens geheim en verstrekt deze niet aan derden, behalve op grond van deze verwerkersovereenkomst of een wettelijke verplichting.
2. CRM8 zorgt ervoor dat personen die toegang hebben tot de persoonsgegevens tot geheimhouding verplicht zijn en dat toegang beperkt is tot wat noodzakelijk is voor hun taak.

Beveiliging

1. CRM8 neemt passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking. De maatregelen staan beschreven in Bijlage 2.
2. De klant is verantwoordelijk voor een correct en veilig gebruik van de dienst aan zijn kant, waaronder het beheer van gebruikers en toegangsrechten en het beveiligen van inloggegevens.

Sub-verwerkers

1. De klant verleent CRM8 algemene toestemming om sub-verwerkers in te schakelen voor de uitvoering van de dienst. De actuele sub-verwerkers, ingedeeld naar categorie en functie, staan in Bijlage 3; een actueel overzicht met namen is op aanvraag beschikbaar via privacy@crm8.app.
2. CRM8 legt aan iedere sub-verwerker verplichtingen op die gelijkwaardig zijn aan die uit deze verwerkersovereenkomst.
3. CRM8 informeert de klant over voorgenomen wijzigingen in sub-verwerkers, zodat de klant daartegen bezwaar kan maken. Maakt de klant op redelijke, aan de gegevensbescherming gerelateerde gronden bezwaar en komen partijen er niet uit, dan mag de klant het betreffende onderdeel van de dienst of de overeenkomst opzeggen.
4. CRM8 blijft jegens de klant verantwoordelijk voor de nakoming door haar sub-verwerkers.

Rechten van betrokkenen

1. Als een betrokkene zich rechtstreeks tot CRM8 wendt met een verzoek tot uitoefening van zijn rechten, verwijst CRM8 de betrokkene door naar de klant, tenzij de wet anders vereist.
2. CRM8 verleent de klant, rekening houdend met de aard van de verwerking, redelijke medewerking en biedt passende technische en organisatorische maatregelen om de klant in staat te stellen te voldoen aan verzoeken van betrokkenen. Voor zover deze medewerking meer dan incidenteel of eenvoudig is, mag CRM8 hiervoor de redelijke kosten in rekening brengen.

Datalekken

1. CRM8 informeert de klant zonder onredelijke vertraging, en in beginsel binnen achtenveertig (48) uur, nadat zij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die de gegevens van de klant betreft.
2. CRM8 verstrekt daarbij de informatie waarover zij redelijkerwijs beschikt, zodat de klant kan beoordelen of melding aan de toezichthouder of aan betrokkenen nodig is. De melding aan de Autoriteit Persoonsgegevens en/of aan betrokkenen is de verantwoordelijkheid van de klant als verwerkingsverantwoordelijke.
3. CRM8 neemt redelijke maatregelen om de inbreuk te beperken en herhaling te voorkomen.

Doorgifte buiten de EER

1. CRM8 verwerkt persoonsgegevens bij voorkeur binnen de EER. Vindt doorgifte naar een land buiten de EER plaats, dan zorgt CRM8 voor een geldige overdrachtsgrondslag, zoals een adequaatheidsbesluit of de modelcontractbepalingen (Standard Contractual Clauses) van de Europese Commissie, aangevuld met aanvullende maatregelen waar nodig.
2. Informatie over de gehanteerde waarborgen is op aanvraag beschikbaar.

Controle en audits

1. CRM8 stelt de klant desgevraagd de informatie ter beschikking die nodig is om aan te tonen dat aan de verplichtingen uit artikel 28 AVG wordt voldaan, bijvoorbeeld in de vorm van beschrijvingen van maatregelen of, indien beschikbaar, certificeringen of auditrapporten.
2. Is deze informatie ontoereikend, dan maakt de klant ten hoogste eenmaal per jaar een audit mogelijk, uitgevoerd door een onafhankelijke, aan geheimhouding gebonden deskundige, na redelijke voorafgaande aankondiging, tijdens kantooruren en zonder de bedrijfsvoering of de vertrouwelijkheid van andere klanten van CRM8 te verstoren.
3. De kosten van een audit komen voor rekening van de klant, tenzij uit de audit blijkt dat CRM8 wezenlijk tekortschiet.

Teruggave en verwijdering

1. Na het einde van de overeenkomst stelt CRM8 de klant gedurende een redelijke termijn in staat de persoonsgegevens te exporteren.
2. Daarna verwijdert CRM8 de persoonsgegevens uit haar systemen, of anonimiseert deze, behoudens een wettelijke bewaarplicht. Gegevens in reguliere back-ups worden verwijderd volgens de normale back-upcyclus.

Aansprakelijkheid en duur

1. Op deze verwerkersovereenkomst is de aansprakelijkheidsregeling uit de algemene voorwaarden van toepassing.
2. Deze verwerkersovereenkomst geldt zolang CRM8 in het kader van de dienst persoonsgegevens verwerkt namens de klant, en eindigt zodra de verwerking, inclusief verwijdering, is voltooid.

Bijlage 1: Verwerkingsgegevens

Bijlage 2: Technische en organisatorische maatregelen

CRM8 hanteert onder meer de volgende beveiligingsmaatregelen. Deze kunnen in de tijd wijzigen, mits het beschermingsniveau ten minste gelijkwaardig blijft.

• versleuteling van gegevens tijdens transport (TLS) en, waar passend, in rust;
• logische scheiding van de gegevens van verschillende klanten, waarbij iedere klant in een eigen, geïsoleerde omgeving werkt;
• toegangsbeveiliging met persoonlijke accounts, sterke authenticatie en ondersteuning voor tweefactorauthenticatie;
• toegang op basis van need-to-know en rolgebaseerde autorisaties;
• regelmatige back-ups en maatregelen voor herstel na incidenten;
• monitoring, logging en maatregelen tegen ongeoorloofde toegang en misbruik;
• periodiek onderhoud, updates en beveiligingsverbeteringen;
• geheimhoudingsplicht voor personeel en zorgvuldige selectie van sub-verwerkers;
• procedures voor het signaleren, beoordelen en afhandelen van beveiligingsincidenten.

Bijlage 3: Sub-verwerkers

CRM8 schakelt sub-verwerkers in voor de volgende functies. De hierbij behorende namen en vestigingslanden zijn opgenomen in een actueel overzicht dat op aanvraag beschikbaar is via privacy@crm8.app.

Sub-verwerkers verwerken uitsluitend de gegevens die noodzakelijk zijn voor hun functie en zijn contractueel tot een gelijkwaardig beschermingsniveau gebonden.