Verwerkersovereenkomst

Deze verwerkersovereenkomst vormt een aanvulling op de overeenkomst waaronder OSCloud managed hosting, infrastructuur, softwarefuncties of ondersteuning aan de klant levert. Zij is automatisch van toepassing voor zover OSCloud bij de uitvoering van die diensten persoonsgegevens verwerkt in opdracht van de klant.

De overeenkomst geeft uitvoering aan artikel 28 van de Algemene verordening gegevensbescherming. Wanneer de klant zelf als verwerker optreedt voor een andere verwerkingsverantwoordelijke, geldt OSCloud voor die verwerking als subverwerker en staat “verwerkingsverantwoordelijke” in deze overeenkomst mede voor de klant in diens rol als verwerker, voor zover de context dit vereist.

1. Begrippen en toepasselijkheid

1.1 Begrippen

Begrippen uit de AVG, waaronder persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke, verwerker en toezichthoudende autoriteit, hebben in deze overeenkomst dezelfde betekenis als in de AVG.

1.2 Aanvullende begrippen

• Hoofdovereenkomst: de bestelling, algemene voorwaarden en eventuele offerte of andere overeenkomst voor de diensten.
• Klantpersoonsgegevens: persoonsgegevens die OSCloud namens de klant verwerkt bij het leveren van de diensten.
• Instructie: een gedocumenteerde opdracht van de klant over de verwerking van klantpersoonsgegevens, waaronder de hoofdovereenkomst, instellingen in het platform en schriftelijke supportverzoeken.
• Beveiligingsincident: een inbreuk in verband met klantpersoonsgegevens die leidt tot de onbedoelde of onrechtmatige vernietiging, het verlies, de wijziging of ongeoorloofde verstrekking van of toegang tot die gegevens.
• Subverwerker: een derde die OSCloud inschakelt om namens de klant specifieke verwerkingsactiviteiten uit te voeren.

1.3 Partijen en rollen

De klant is verwerkingsverantwoordelijke voor klantpersoonsgegevens en OSCloud is verwerker. Wanneer de klant voor een eigen opdrachtgever als verwerker handelt, garandeert de klant dat hij bevoegd is OSCloud als subverwerker in te schakelen en instructies door te geven. De klant blijft verantwoordelijk voor de rechtmatigheid van zijn doeleinden, instructies en gebruik van de diensten.

1.4 Eigen verwerkingen van OSCloud

Deze verwerkersovereenkomst geldt niet voor persoonsgegevens die OSCloud voor eigen doeleinden als verwerkingsverantwoordelijke verwerkt, zoals accountbeheer, contractadministratie, facturering, betalingen via Mollie, fraudepreventie, eigen beveiligingsadministratie en naleving van wettelijke verplichtingen. Daarop is het privacybeleid van OSCloud van toepassing.

1.5 Rangorde

Bij strijdigheid over de bescherming van klantpersoonsgegevens gaat deze verwerkersovereenkomst voor op de hoofdovereenkomst. Een afzonderlijk ondertekende, specifiekere privacyafspraak gaat voor op deze standaardtekst voor zover daarin uitdrukkelijk van deze overeenkomst wordt afgeweken. Voor overige onderwerpen blijft de hoofdovereenkomst gelden.

2. Omschrijving van de verwerking

2.1 Onderwerp en doel

OSCloud verwerkt klantpersoonsgegevens uitsluitend om de overeengekomen hosting-, opslag-, netwerk-, back-up-, beheer-, beveiligings-, migratie- en ondersteuningsdiensten te leveren en in stand te houden. De nadere omschrijving staat in bijlage A.

2.2 Duur

De verwerking duurt zolang de hoofdovereenkomst van kracht is en daarna alleen gedurende de overeengekomen export-, back-up- en verwijdertermijnen of zolang een toepasselijke wettelijke verplichting bewaring vereist.

2.3 Geen verkoop of eigen marketing

OSCloud verkoopt klantpersoonsgegevens niet, gebruikt ze niet voor eigen advertentieprofielen en benadert betrokkenen niet voor eigen marketing op basis van de gehoste inhoud.

3. Instructies en rechtmatigheid

3.1 Gedocumenteerde instructies

OSCloud verwerkt klantpersoonsgegevens alleen op gedocumenteerde instructies van de klant, ook bij doorgifte aan een derde land of internationale organisatie, tenzij Unierecht of Nederlands recht OSCloud tot verwerking verplicht. In dat geval informeert OSCloud de klant vóór de verwerking over die verplichting, tenzij de wet dit om gewichtige redenen van algemeen belang verbiedt.

3.2 Omvang van de instructies

De hoofdovereenkomst, deze verwerkersovereenkomst, de gekozen configuratie en normaal gebruik van het platform vormen de volledige initiële instructies. Aanvullende instructies moeten schriftelijk of elektronisch worden gegeven door een bevoegde contactpersoon en binnen de overeengekomen diensten, toepasselijke wet en technische mogelijkheden vallen.

3.3 Onrechtmatige instructie

Wanneer OSCloud van mening is dat een instructie inbreuk maakt op de AVG of andere toepasselijke gegevensbeschermingswetgeving, informeert OSCloud de klant daar onmiddellijk over. OSCloud mag de uitvoering van het betrokken deel opschorten totdat de instructie is bevestigd, aangepast of ingetrokken, zonder klantpersoonsgegevens voor een ander doel te gebruiken.

3.4 Aanvullend werk

Instructies die buiten de normale functionaliteit of overeengekomen ondersteuning vallen, kunnen afhankelijk zijn van een technische beoordeling, aanvullende afspraken en een redelijke vergoeding. OSCloud weigert geen bijstand die op grond van artikel 28 AVG noodzakelijk is enkel omdat daarover nog geen standaardproces bestaat.

4. Vertrouwelijkheid en toegang

4.1 Geautoriseerde personen

OSCloud beperkt toegang tot klantpersoonsgegevens tot personen die deze toegang nodig hebben voor levering, beveiliging, onderhoud, incidentafhandeling of ondersteuning. Toegang wordt waar passend toegekend volgens het beginsel van minimale bevoegdheden en periodiek ingetrokken wanneer zij niet meer nodig is.

4.2 Geheimhouding

Iedere persoon die onder het gezag van OSCloud toegang heeft tot klantpersoonsgegevens, is contractueel of wettelijk tot passende geheimhouding verplicht en verwerkt de gegevens uitsluitend overeenkomstig de instructies, tenzij een wettelijke verplichting anders bepaalt.

4.3 Supporttoegang

OSCloud bekijkt gehoste inhoud niet routinematig. Wanneer supporttoegang noodzakelijk is, beperkt OSCloud die toegang zoveel mogelijk tot de betrokken omgeving, gegevens en duur. De klant vermijdt het verstrekken van productiegegevens in supportberichten wanneer een afgeschermd voorbeeld volstaat.

5. Beveiliging van de verwerking

5.1 Passend beveiligingsniveau

OSCloud treft en onderhoudt passende technische en organisatorische maatregelen overeenkomstig artikel 32 AVG. Bij het bepalen van het beveiligingsniveau houdt OSCloud rekening met de stand van de techniek, uitvoeringskosten, aard, omvang, context en doeleinden van de verwerking en de waarschijnlijkheid en ernst van risico’s voor betrokkenen.

5.2 Baseline-maatregelen

De belangrijkste categorieën maatregelen staan in bijlage B. OSCloud mag maatregelen vervangen of verder ontwikkelen wanneer het algemene beschermingsniveau daardoor niet wezenlijk wordt verlaagd. Pakket- of klantspecifieke maatregelen worden alleen gegarandeerd wanneer zij in de bestelling, een service level agreement of een afzonderlijke beveiligingsbijlage staan.

5.3 Verantwoordelijkheid van de klant

De diensten werken binnen een gedeeld beveiligingsmodel. De klant is verantwoordelijk voor onder meer rechtmatig ontwerp van zijn applicatie, account- en rechtenbeheer, veilige wachtwoorden en multifactorauthenticatie waar beschikbaar, updates van eigen code en plugins, correcte configuratie, gegevensminimalisatie, bewaartermijnen en eigen export- of back-upmaatregelen voor zover die niet uitdrukkelijk als OSCloud-dienst zijn overeengekomen.

6. Beveiligingsincidenten

6.1 Kennisgeving aan de klant

OSCloud informeert de klant zonder onredelijke vertraging nadat OSCloud kennis heeft gekregen van een beveiligingsincident met klantpersoonsgegevens. Een melding is geen erkenning van schuld of aansprakelijkheid.

6.2 Inhoud van de kennisgeving

Voor zover de informatie beschikbaar is, bevat de kennisgeving:

• de aard van het incident en de vermoedelijke datum of periode;
• de betrokken categorieën gegevens en betrokkenen en, waar mogelijk, een benadering van de aantallen;
• de waarschijnlijke gevolgen;
• de genomen of voorgestelde maatregelen om het incident te beheersen en gevolgen te beperken;
• een contactpunt voor vervolgvragen.

Wanneer niet alle informatie direct beschikbaar is, verstrekt OSCloud de beschikbare informatie in fasen zonder de eerste kennisgeving onnodig uit te stellen.

6.3 Onderzoek en medewerking

OSCloud onderzoekt het incident, neemt redelijke herstelmaatregelen en verstrekt de klant de informatie die redelijkerwijs nodig is om diens verplichtingen uit de artikelen 33 en 34 AVG na te komen. De klant bepaalt als verwerkingsverantwoordelijke of melding aan een toezichthouder of betrokkenen vereist is, tenzij de wet OSCloud een zelfstandige meldplicht oplegt.

6.4 Meldingen door de klant

De klant meldt een vermoedelijk incident, gecompromitteerd account of kwetsbaarheid onverwijld via support@oscloud.nl en neemt redelijke maatregelen om verdere schade te voorkomen. De klant deelt geen kwetsbaarheden publiek voordat een redelijke herstelmogelijkheid is geboden.

7. Bijstand aan de klant

7.1 Verzoeken van betrokkenen

Rechtstreekse verzoeken van betrokkenen over klantpersoonsgegevens stuurt OSCloud waar mogelijk door naar de klant. OSCloud beantwoordt zo’n verzoek niet zelfstandig, tenzij de klant daartoe instrueert of de wet dit verplicht. Rekening houdend met de aard van de verwerking helpt OSCloud de klant met passende technische en organisatorische maatregelen om verzoeken om inzage, rectificatie, verwijdering, beperking, overdraagbaarheid of bezwaar af te handelen.

7.2 Beveiliging en gegevensbeschermingseffectbeoordeling

Rekening houdend met de aard van de verwerking en de beschikbare informatie helpt OSCloud de klant bij naleving van de artikelen 32 tot en met 36 AVG, waaronder beveiliging, incidentmeldingen, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthouder.

7.3 Toezichthouders

OSCloud werkt mee aan rechtmatige verzoeken en onderzoeken van bevoegde toezichthouders voor zover die betrekking hebben op de verwerking onder deze overeenkomst. OSCloud informeert de klant vooraf, tenzij dit wettelijk verboden is.

7.4 Kosten van buitengewone bijstand

Standaardbijstand die redelijkerwijs bij de dienst hoort, is in de overeengekomen prijs inbegrepen. Voor omvangrijke, herhaalde of klantspecifieke werkzaamheden die niet zijn veroorzaakt door een tekortkoming van OSCloud, kan OSCloud na voorafgaande afstemming een redelijke vergoeding vragen.

8. Subverwerkers

8.1 Algemene toestemming

De klant geeft OSCloud algemene schriftelijke toestemming om subverwerkers in te schakelen voor de in deze overeenkomst beschreven verwerking. De actuele lijst, met functie en relevante verwerkingslocatie, staat op de pagina Subverwerkers.

8.2 Wijzigingen

OSCloud informeert klanten ten minste dertig dagen vooraf over een voorgenomen toevoeging of vervanging van een subverwerker. Wanneer een dringende wijziging noodzakelijk is voor beveiliging, wettelijke naleving of continuïteit, informeert OSCloud de klant zo spoedig mogelijk en licht OSCloud de spoed toe.

8.3 Bezwaar

De klant kan binnen de aangekondigde termijn gemotiveerd bezwaar maken wanneer de wijziging aantoonbaar een wezenlijk gegevensbeschermingsrisico oplevert. Partijen proberen eerst een redelijke oplossing te vinden. Is dat niet mogelijk, dan kan de klant vóór ingebruikname van de betreffende subverwerker het rechtstreeks geraakte deel van de dienst beëindigen. Een bezwaar dat uitsluitend op commerciële voorkeur berust, geldt niet als redelijk privacybezwaar.

8.4 Verplichtingen en verantwoordelijkheid

OSCloud legt iedere subverwerker door middel van een schriftelijke overeenkomst in wezen dezelfde gegevensbeschermingsverplichtingen op als in deze overeenkomst, voor zover die op de uitbestede verwerking van toepassing zijn. OSCloud blijft tegenover de klant verantwoordelijk voor de nakoming van die verplichtingen door de subverwerker overeenkomstig artikel 28 lid 4 AVG.

8.5 Informatie over afspraken

Op redelijk verzoek verstrekt OSCloud informatie die nodig is om naleving van dit artikel aan te tonen. Kopieën van subverwerkersovereenkomsten mogen worden geanonimiseerd of gedeeltelijk afgeschermd om vertrouwelijke informatie, beveiliging en rechten van derden te beschermen.

9. Internationale doorgiften

9.1 Doorgiftemechanisme

OSCloud geeft klantpersoonsgegevens alleen door buiten de Europese Economische Ruimte wanneer aan hoofdstuk V AVG is voldaan. Afhankelijk van de bestemming gebruikt OSCloud een adequaatheidsbesluit, passende waarborgen zoals de toepasselijke standaardcontractbepalingen van de Europese Commissie, of een andere wettelijk toegestane grondslag.

9.2 Aanvullende beoordeling

Waar vereist beoordeelt OSCloud het doorgifterisico en treft OSCloud aanvullende technische, contractuele of organisatorische maatregelen. De klant machtigt OSCloud om namens hem de noodzakelijke standaardcontractbepalingen met een subverwerker te sluiten.

9.3 Informatie

De subverwerkerslijst vermeldt waar relevante doorgifte buiten de Europese Economische Ruimte kan plaatsvinden. Op redelijk verzoek verstrekt OSCloud informatie over het gebruikte mechanisme en een beschikbare kopie van de waarborgen, met redelijke afscherming van vertrouwelijke of beveiligingsgevoelige onderdelen.

10. Teruggave en verwijdering

10.1 Export tijdens de overeenkomst

De klant gebruikt beschikbare export- en beheerfuncties om klantpersoonsgegevens vóór beëindiging veilig te stellen. OSCloud verleent redelijke aanvullende bijstand wanneer een overeengekomen standaardexport niet volstaat.

10.2 Keuze bij beëindiging

Na beëindiging verwijdert of retourneert OSCloud, naar keuze van de klant en voor zover technisch redelijk, de klantpersoonsgegevens en verwijdert OSCloud bestaande kopieën, tenzij toepasselijk Unierecht of Nederlands recht bewaring verplicht. Een keuze voor teruggave ontslaat OSCloud niet van de verplichting resterende kopieën volgens het verwijderproces te wissen.

10.3 Operationele termijn en back-ups

Waar technisch en wettelijk mogelijk houdt OSCloud klantdata na beëindiging nog maximaal dertig dagen beschikbaar voor een tijdig aangevraagde export. Daarna worden actieve kopieën verwijderd. Restkopieën in back-ups blijven afgeschermd, worden niet voor andere doeleinden gebruikt en worden volgens het reguliere roulatie- en verwijderproces overschreven, tenzij een wettelijke bewaarplicht geldt.

10.4 Bevestiging

Op redelijk schriftelijk verzoek bevestigt OSCloud na voltooiing dat de verwijdering overeenkomstig dit artikel is uitgevoerd. OSCloud hoeft geen gegevens te herstellen die volgens de overeengekomen termijnen rechtmatig zijn verwijderd.

11. Informatie en audits

11.1 Beschikbare informatie

OSCloud stelt de klant alle informatie ter beschikking die redelijkerwijs nodig is om naleving van artikel 28 AVG en deze overeenkomst aan te tonen. OSCloud kan daarvoor actuele beveiligingsdocumentatie, vragenlijsten, onafhankelijke rapporten of certificeringen gebruiken wanneer die beschikbaar en passend zijn.

11.2 Audit door de klant

Wanneer beschikbare documentatie onvoldoende is, mag de klant of een onafhankelijke, niet-concurrerende auditor die aan geheimhouding is gebonden eenmaal per twaalf maanden een proportionele audit uitvoeren. Een aanvullende audit is toegestaan na een relevant beveiligingsincident, een gemotiveerd vermoeden van wezenlijke niet-naleving of op verzoek van een bevoegde toezichthouder.

11.3 Voorwaarden voor een audit

De klant kondigt een audit in beginsel ten minste dertig dagen vooraf schriftelijk aan en stemt reikwijdte, duur en methode met OSCloud af. De audit vindt tijdens normale werktijden plaats, verstoort de dienstverlening zo min mogelijk en geeft geen toegang tot gegevens van andere klanten, broncode, kwetsbaarheden of informatie die de beveiliging onevenredig zou verzwakken. Deze beperkingen mogen de audit niet feitelijk onmogelijk maken.

11.4 Kosten en bevindingen

Iedere partij draagt haar eigen auditkosten. Blijkt uit de audit een wezenlijke tekortkoming van OSCloud, dan draagt OSCloud de redelijke kosten van noodzakelijke herstelverificatie. De klant verstrekt het definitieve auditrapport aan OSCloud en geeft OSCloud een redelijke hersteltermijn, behalve wanneer onmiddellijke actie wettelijk of wegens een ernstig risico noodzakelijk is.

12. Verplichtingen van de klant

De klant:

• verwerkt klantpersoonsgegevens rechtmatig, transparant en voor bepaalde doeleinden;
• beschikt over een geldige grondslag en verstrekt betrokkenen de vereiste informatie;
• geeft alleen rechtmatige, duidelijke en uitvoerbare instructies;
• verstrekt niet meer persoonsgegevens dan noodzakelijk en bepaalt passende bewaartermijnen;
• beoordeelt of de gekozen dienst en configuratie passend zijn voor het risico en de soorten gegevens;
• houdt eigen contactgegevens en bevoegde gebruikers actueel;
• stelt OSCloud tijdig in staat de in deze overeenkomst beschreven bijstand te leveren.

De klant gebruikt de diensten niet voor bijzondere categorieën persoonsgegevens, strafrechtelijke gegevens of grootschalige hoog-risicoverwerking zonder vooraf te beoordelen of het pakket, de maatregelen en aanvullende afspraken daarvoor geschikt zijn. Het enkele technisch kunnen opslaan van gegevens is geen verklaring van OSCloud dat iedere verwerking voor de klant rechtmatig of passend is.

13. Looptijd en overige bepalingen

13.1 Ingang en duur

Deze verwerkersovereenkomst treedt in werking zodra de hoofdovereenkomst geldt en OSCloud klantpersoonsgegevens verwerkt. Zij blijft gelden zolang OSCloud zulke gegevens verwerkt, ook na formele beëindiging voor zover verwijdering, back-ups, incidenten, audits of wettelijke verplichtingen nog moeten worden afgehandeld.

13.2 Elektronische vorm

Deze overeenkomst kan elektronisch worden aanvaard en door verwijzing onderdeel worden van de hoofdovereenkomst. Partijen kunnen op verzoek een ondertekende versie of een specifieke bijlage vastleggen wanneer een klantproces dit vereist.

13.3 Aansprakelijkheid

De aansprakelijkheidsregeling uit de hoofdovereenkomst is ook op deze verwerkersovereenkomst van toepassing voor zover dwingend gegevensbeschermingsrecht, waaronder artikel 82 AVG, niet anders bepaalt. Niets in deze overeenkomst beperkt bevoegdheden van toezichthouders of rechten van betrokkenen.

13.4 Wijzigingen

OSCloud kan deze standaardovereenkomst wijzigen wanneer wetgeving, toezichthoudende uitleg of de diensten veranderen. Een wezenlijk nadelige wijziging wordt ten minste dertig dagen vooraf aangekondigd. Voor een lopende verwerking wordt het beschermingsniveau niet eenzijdig wezenlijk verlaagd zonder geldige reden en een passende mogelijkheid voor de klant om te reageren.

13.5 Recht en geschillen

Op deze verwerkersovereenkomst is hetzelfde recht en dezelfde geschillenregeling van toepassing als op de hoofdovereenkomst. Wanneer die niets bepaalt, geldt Nederlands recht en is de volgens dwingend recht bevoegde Nederlandse rechter bevoegd.

Bijlage A. Specificatie van de verwerking

A.1 Onderwerp

Het hosten, opslaan, doorgeven, beveiligen, beschikbaar maken, back-uppen, herstellen, migreren, beheren, ondersteunen en verwijderen van klantpersoonsgegevens binnen de door de klant afgenomen diensten.

A.2 Aard en doeleinden

Geautomatiseerde opslag en overige technische verwerking die noodzakelijk is om de door de klant gekozen websites, applicaties, databases, bestanden, e-mailfuncties en beheeromgevingen te laten functioneren, beveiligen en ondersteunen. De inhoudelijke doeleinden worden uitsluitend door de klant bepaald.

A.3 Duur en frequentie

Doorlopend of incidenteel, afhankelijk van het gebruik van de klant, gedurende de hoofdovereenkomst en de in artikel 10 beschreven export-, back-up- en verwijdertermijnen.

A.4 Categorieën betrokkenen

Afhankelijk van de toepassing kunnen dit onder meer zijn: websitebezoekers, eindgebruikers, klanten en prospects van de klant, medewerkers, sollicitanten, leveranciers, contactpersonen, accountgebruikers en andere personen van wie de klant gegevens via de diensten verwerkt.

A.5 Categorieën persoonsgegevens

Afhankelijk van de toepassing kunnen dit onder meer zijn: identificatie- en contactgegevens, account- en autorisatiegegevens, online identificatoren zoals IP-adressen, apparaat- en gebruiksgegevens, communicatie, formulierinzendingen, bestanden, website- en applicatie-inhoud, databasegegevens, logboeken en andere door de klant bepaalde gegevens.

A.6 Bijzondere en strafrechtelijke gegevens

OSCloud verlangt voor de standaarddienst geen bijzondere categorieën of strafrechtelijke persoonsgegevens. Als de klant zulke gegevens invoert, blijft de klant verantwoordelijk voor de toepasselijke grondslag, risicoanalyse en noodzakelijke aanvullende waarborgen. OSCloud verwerkt ze alleen voor zover ze technisch onderdeel zijn van de klantdata en de gekozen dienst daarvoor geschikt is.

Bijlage B. Categorieën beveiligingsmaatregelen

Afhankelijk van de betreffende dienst, configuratie en risico’s omvat het beveiligingsprogramma van OSCloud passende maatregelen uit de volgende categorieën:

• Toegangsbeheer: individuele accounts, passende authenticatie, minimale bevoegdheden en intrekking van niet langer benodigde toegang.
• Vertrouwelijkheid: geheimhoudingsverplichtingen en beperking van operationele toegang tot bevoegde personen.
• Netwerk- en omgevingsbeveiliging: segmentatie of logische scheiding, firewall- en misbruikbescherming en beveiligde beheerkanalen waar passend.
• Versleuteling: versleutelde verbindingen voor ondersteunde overdracht en passende versleuteling of gelijkwaardige bescherming voor opgeslagen gegevens waar beschikbaar en gelet op het risico noodzakelijk.
• Kwetsbaarheden en wijzigingen: beheer van updates, beveiligingspatches, configuraties en technische wijzigingen binnen de verantwoordelijkheid van OSCloud.
• Logging en monitoring: registratie en beoordeling van relevante beheer-, fout- en beveiligingsgebeurtenissen met passende toegangs- en bewaarbeperkingen.
• Beschikbaarheid en herstel: redundantie, back-ups, herstelprocessen en continuïteitsmaatregelen voor zover onderdeel van de afgenomen dienst.
• Incidentbeheer: procedures voor detectie, escalatie, onderzoek, beperking, herstel en communicatie over beveiligingsincidenten.
• Verwijdering: procedures voor beëindiging van toegang, verwijdering van actieve gegevens en roulatie van back-ups.
• Leveranciersbeheer: beoordeling, contractering en periodieke heroverweging van relevante subverwerkers.
• Evaluatie: periodieke beoordeling en waar passend beproeving van de doeltreffendheid van technische en organisatorische maatregelen.

Bijlage C. Subverwerkers

De actuele subverwerkers, hun functie en relevante verwerkingslocaties worden bijgehouden op oscloud.nl/legal/sub-processors. De kennisgevings- en bezwaarprocedure uit artikel 8 blijft daarop van toepassing.