Verwerkersovereenkomst

Partijen:

1. De Verwerkingsverantwoordelijke (hierna: “Opdrachtgever”): de Klant die met Promora een overeenkomst sluit voor de levering van producten en/of diensten en in dat kader persoonsgegevens aan Promora verstrekt.

2. De Verwerker (hierna: “Promora”): MumboMedia B.V., handelend onder de naam Promora.nl, gevestigd aan de M.J. van Olmstraat 39b, 9672 AE Winschoten, ingeschreven bij de Kamer van Koophandel onder nummer 87424584.

Gezamenlijk aangeduid als “Partijen”.

Overwegende dat:

• Opdrachtgever en Promora een of meer overeenkomsten hebben gesloten op grond waarvan Promora producten levert, bedrukt en/of verzendt (hierna: de “Hoofdovereenkomst”);
• Promora bij de uitvoering van de Hoofdovereenkomst mogelijk persoonsgegevens verwerkt waarvan Opdrachtgever de verwerkingsverantwoordelijke is;
• Partijen op grond van artikel 28 AVG verplicht zijn de afspraken over deze gegevensverwerking vast te leggen in een verwerkersovereenkomst;
• Partijen met dit document aan die verplichting wensen te voldoen.

Komen het volgende overeen:

Artikel 1 – Definities

1. De begrippen in deze verwerkersovereenkomst hebben dezelfde betekenis als in de AVG (Verordening (EU) 2016/679), tenzij hierna anders gedefinieerd.
2. Persoonsgegevens: alle gegevens die betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon en die Promora in het kader van de Hoofdovereenkomst verwerkt.
3. Verwerking: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, zoals het verzamelen, vastleggen, ordenen, opslaan, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken, combineren, afschermen, wissen of vernietigen.
4. Datalek: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot de verwerkte Persoonsgegevens.
5. Subverwerker: een derde partij die door Promora wordt ingeschakeld om namens haar een deel van de verwerking uit te voeren.

Artikel 2 – Onderwerp en duur

1. Deze verwerkersovereenkomst is van toepassing op alle verwerkingen van Persoonsgegevens die Promora uitvoert in het kader van de Hoofdovereenkomst.
2. De aard en het doel van de verwerking, de soorten Persoonsgegevens en de categorieën betrokkenen zijn beschreven in Bijlage 1 bij deze overeenkomst.
3. Deze verwerkersovereenkomst treedt in werking op het moment dat de Hoofdovereenkomst wordt gesloten en eindigt van rechtswege zodra Promora geen Persoonsgegevens meer verwerkt in het kader van de Hoofdovereenkomst.

Artikel 3 – Verplichtingen van Promora

1. Promora verwerkt Persoonsgegevens uitsluitend ten behoeve van de uitvoering van de Hoofdovereenkomst, op basis van schriftelijke instructies van Opdrachtgever. Promora verwerkt de gegevens niet voor eigen doeleinden.
2. Promora informeert Opdrachtgever onverwijld indien een instructie naar het oordeel van Promora in strijd is met de AVG of andere toepasselijke wet- of regelgeving.
3. Promora waarborgt dat personen die toegang hebben tot de Persoonsgegevens zich contractueel of wettelijk tot geheimhouding hebben verplicht.
4. Promora treft passende technische en organisatorische maatregelen om de Persoonsgegevens te beveiligen tegen ongeautoriseerde of onrechtmatige verwerking, verlies, vernietiging of beschadiging. Deze maatregelen omvatten ten minste:
   • versleuteling van gegevens bij opslag en transport (TLS/SSL);
   • toegangsbeperking op basis van het need-to-know-principe;
   • regelmatige back-ups binnen beveiligde Nederlandse datacenters (MumboMedia.nl);
   • tijdige installatie van beveiligingsupdates en patches;
   • periodieke evaluatie van de doeltreffendheid van de genomen maatregelen.
5. Promora verleent Opdrachtgever, voor zover redelijkerwijs mogelijk, bijstand bij het nakomen van diens verplichtingen jegens betrokkenen (verzoeken om inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar).
6. Promora verleent Opdrachtgever bijstand bij het uitvoeren van gegevensbeschermingseffectbeoordelingen (DPIA’s) en bij voorafgaande raadpleging van de Autoriteit Persoonsgegevens, voor zover relevant voor de verwerking onder deze overeenkomst.
7. Na beëindiging van de verwerkersovereenkomst verwijdert Promora alle Persoonsgegevens en eventuele kopieën, tenzij bewaring op grond van Unierecht of lidstaatrecht verplicht is. Promora bevestigt de verwijdering schriftelijk aan Opdrachtgever.

Artikel 4 – Subverwerkers

1. Promora schakelt bij de uitvoering van de Hoofdovereenkomst de volgende subverwerkers in:

2. Opdrachtgever verleent Promora hierbij algemene schriftelijke toestemming om subverwerkers in te schakelen voor de in lid 1 genoemde categorieën. Promora stelt Opdrachtgever ten minste veertien dagen voorafgaand aan een wijziging of toevoeging van een subverwerker schriftelijk op de hoogte. Opdrachtgever kan binnen die termijn gemotiveerd bezwaar maken. Indien Partijen niet tot overeenstemming komen, heeft Opdrachtgever het recht de Hoofdovereenkomst en deze verwerkersovereenkomst op te zeggen.
3. Promora legt aan iedere subverwerker ten minste dezelfde verplichtingen op als die welke in deze verwerkersovereenkomst zijn vastgelegd. Promora blijft jegens Opdrachtgever volledig aansprakelijk voor de naleving door subverwerkers.

Artikel 5 – Doorgifte buiten de EER

1. Promora geeft Persoonsgegevens niet door naar een land buiten de Europese Economische Ruimte (EER), tenzij:
   • de Europese Commissie een adequaatheidsbesluit heeft genomen voor dat land; of
   • er passende waarborgen zijn getroffen, zoals Standard Contractual Clauses (SCC’s) conform het besluit van de Europese Commissie; of
   • een van de uitzonderingen uit artikel 49 AVG van toepassing is.
2. Promora informeert Opdrachtgever vooraf over een voorgenomen doorgifte en de getroffen waarborgen.

Artikel 6 – Meldplicht datalekken

1. Promora stelt Opdrachtgever zonder onredelijke vertraging – en waar haalbaar binnen achtenveertig uur – op de hoogte van een Datalek dat betrekking heeft op de Persoonsgegevens die onder deze overeenkomst worden verwerkt.
2. De melding bevat ten minste:
   • de aard van het Datalek, inclusief – voor zover bekend – de categorieën en het geschatte aantal betrokkenen en gegevensrecords;
   • de waarschijnlijke gevolgen van het Datalek;
   • de maatregelen die Promora heeft genomen of voorstelt om het Datalek te verhelpen en de nadelige gevolgen te beperken;
   • de contactgegevens van de contactpersoon bij Promora.
3. Promora werkt volledig mee aan het onderzoek van Opdrachtgever en aan eventuele meldingen aan de Autoriteit Persoonsgegevens en/of de betrokkenen.
4. Promora documenteert alle Datalekken, inclusief de feiten, de gevolgen en de genomen herstelmaatregelen, en stelt deze documentatie desgevraagd beschikbaar aan Opdrachtgever.

Artikel 7 – Audit en controle

1. Promora stelt Opdrachtgever alle informatie ter beschikking die nodig is om de naleving van de in deze verwerkersovereenkomst en in artikel 28 AVG neergelegde verplichtingen aan te tonen.
2. Promora maakt audits, waaronder inspecties, door Opdrachtgever of een door Opdrachtgever gemachtigde onafhankelijke auditor mogelijk en draagt daaraan bij. De kosten van een audit komen voor rekening van Opdrachtgever, tenzij uit de audit blijkt dat Promora haar verplichtingen niet nakomt.
3. Opdrachtgever kondigt een audit ten minste dertig dagen van tevoren schriftelijk aan. Audits vinden plaats tijdens reguliere kantooruren en worden uitgevoerd op een wijze die de bedrijfsvoering van Promora zo min mogelijk verstoort.
4. Indien meerdere opdrachtgevers vergelijkbare audits wensen, kan Promora voorstellen om een gezamenlijke of onafhankelijke audit te laten uitvoeren en het rapport met de betreffende opdrachtgevers te delen.

Artikel 8 – Aansprakelijkheid

1. De aansprakelijkheid van Promora onder deze verwerkersovereenkomst is beperkt tot hetgeen is bepaald in de Hoofdovereenkomst en de daarbij behorende algemene voorwaarden van Promora.
2. Promora vrijwaart Opdrachtgever tegen boetes opgelegd door de Autoriteit Persoonsgegevens, voor zover de boete direct en aantoonbaar het gevolg is van een toerekenbare tekortkoming van Promora in de nakoming van haar verplichtingen uit deze verwerkersovereenkomst.

Artikel 9 – Looptijd en beëindiging

1. Deze verwerkersovereenkomst is onlosmakelijk verbonden met de Hoofdovereenkomst en kent dezelfde looptijd.
2. Bij beëindiging van de Hoofdovereenkomst, om welke reden dan ook, eindigt ook deze verwerkersovereenkomst, met inachtneming van de verplichtingen uit artikel 3 lid 7 (verwijdering van gegevens).
3. Bepalingen die naar hun aard bestemd zijn om na beëindiging voort te duren — waaronder geheimhouding, aansprakelijkheid en het recht op audit — blijven onverminderd van kracht.

Artikel 10 – Toepasselijk recht en geschillen

1. Op deze verwerkersovereenkomst is uitsluitend Nederlands recht van toepassing.
2. Geschillen die voortvloeien uit of verband houden met deze verwerkersovereenkomst worden voorgelegd aan de bevoegde rechter in het arrondissement Noord-Nederland, tenzij dwingendrechtelijke bepalingen anders voorschrijven.