Verwerkersovereenkomst

1. Partijen en rollen

De opdrachtgever bepaalt het doel van en de middelen voor de verwerking van de gegevens van zijn leden en is daarmee verwerkingsverantwoordelijke in de zin van de AVG. Helveron verwerkt deze gegevens uitsluitend namens de opdrachtgever en is daarmee verwerker. Voor de eigen lead- en klantgegevens van Helveron is Helveron zelf verwerkingsverantwoordelijke; die vallen buiten deze overeenkomst en zijn beschreven in de privacyverklaring.

2. Onderwerp, aard en doel

Helveron verwerkt de persoonsgegevens uitsluitend voor het leveren, hosten en onderhouden van het beheersysteem waarmee de opdrachtgever zijn leden, betalingen, planning en communicatie beheert. Helveron gebruikt de gegevens niet voor eigen doeleinden en verkoopt of deelt ze niet met derden, behoudens de in artikel 6 genoemde subverwerkers.

3. Soorten gegevens en betrokkenen

Bijzondere persoonsgegevens. Helveron vraagt er niet om, maar het beheersysteem maakt het de opdrachtgever wel mogelijk gegevens over gezondheid vast te leggen, zoals blessures, allergieën of medicijngebruik. Voert de opdrachtgever zulke gegevens in, dan bepaalt hij zelf het doel en de rechtsgrond daarvan en is hij daarvoor verwerkingsverantwoordelijke. Helveron behandelt die gegevens vervolgens als bijzondere persoonsgegevens en past daarop dezelfde beveiligingsmaatregelen toe als op de overige gegevens, aangevuld met toegangsbeperking tot uitsluitend die medewerkers van de opdrachtgever die de opdrachtgever daarvoor aanwijst.

Minderjarigen. De opdrachtgever verwerkt vaak gegevens van leden onder de 16 jaar. De opdrachtgever draagt er zorg voor dat daarvoor toestemming is van een ouder of voogd waar de wet dat vereist, en dat de informatie aan die betrokkenen begrijpelijk is. Helveron richt het systeem zo in dat niet meer gegevens worden vastgelegd dan de opdrachtgever nodig heeft, en verwerkt gegevens van minderjarigen nooit voor eigen doeleinden.

4. Instructies

Helveron verwerkt de gegevens uitsluitend op basis van schriftelijke instructies van de opdrachtgever, waaronder deze overeenkomst, tenzij een wettelijke verplichting Helveron tot verwerking noodzaakt. Aanvullende of afwijkende instructies geeft de opdrachtgever schriftelijk of per e-mail.

Helveron gebruikt de gegevens niet voor eigen doeleinden. Dat betekent in ieder geval dat Helveron de gegevens niet gebruikt voor eigen marktonderzoek of marketing, niet verwerkt in demonstratie- of testomgevingen, niet inzet om statistieken of vergelijkingen over meerdere opdrachtgevers heen te maken, en niet gebruikt om systemen voor kunstmatige intelligentie te trainen of te verbeteren, tenzij de opdrachtgever daar per geval uitdrukkelijk schriftelijk mee instemt.

Meent Helveron dat een instructie in strijd is met de AVG of andere wetgeving over gegevensbescherming, dan meldt Helveron dat onmiddellijk aan de opdrachtgever en schort de uitvoering van die instructie op totdat partijen tot een oplossing zijn gekomen.

5. Beveiliging

Helveron treft passende technische en organisatorische maatregelen conform artikel 32 AVG, waaronder:

• Versleutelde opslag (AES-256) en versleuteld transport (HTTPS/TLS)
• Toegangsbeveiliging met sterke wachtwoorden en twee-factor-authenticatie
• Toegang op need-to-know-basis; alleen Helveron en strikt noodzakelijke subverwerkers
• Logging van verwerkingen en scheiding van gegevens per opdrachtgever (tenant-isolatie)
• Hosting in datacenters die voldoen aan ISO 27001 of gelijkwaardig

6. Subverwerkers

De opdrachtgever geeft Helveron toestemming om voor de uitvoering de volgende subverwerkers in te schakelen:

Helveron legt elke subverwerker bij overeenkomst dezelfde verplichtingen op het gebied van gegevensbescherming op als die uit deze overeenkomst voor Helveron voortvloeien, voor zover die op de dienst van die subverwerker van toepassing zijn. Komt een subverwerker zijn verplichtingen niet na, dan blijft Helveron jegens de opdrachtgever volledig aansprakelijk voor het nakomen daarvan.

Helveron informeert de opdrachtgever bij een voorgenomen wijziging of toevoeging van een subverwerker. De opdrachtgever mag daartegen binnen een redelijke termijn gemotiveerd bezwaar maken.

7. Doorgifte buiten de EER

Voor subverwerkers in de Verenigde Staten gelden het EU-US Data Privacy Framework (DPF) en/of de Standaardcontractbepalingen (SCC's) conform hoofdstuk V AVG. Voor Zwitserland geldt een adequaatheidsbesluit van de Europese Commissie. Andere doorgifte buiten de EER vindt niet plaats zonder passende waarborgen.

8. Rechten van betrokkenen

Leden, ouders en andere betrokkenen kunnen zich met een beroep op hun AVG-rechten uitsluitend tot de opdrachtgever wenden. Bereikt zo'n verzoek toch Helveron rechtstreeks, dan beantwoordt Helveron het niet inhoudelijk, maar stuurt het binnen twee werkdagen door naar de opdrachtgever en laat de betrokkene weten dat dit is gebeurd.

Helveron verleent de opdrachtgever de medewerking die redelijkerwijs nodig is om zo'n verzoek af te handelen. Daaronder valt in ieder geval een overzicht van de gegevens die over een betrokkene zijn vastgelegd, het aanpassen of verwijderen van gegevens, en een export in een gangbaar en machineleesbaar formaat.

Helveron levert die medewerking binnen tien werkdagen na het verzoek van de opdrachtgever, zodat de opdrachtgever ruim binnen de wettelijke termijn van één maand kan antwoorden. Geldt door de aard van het verzoek een kortere termijn, dan meldt de opdrachtgever dat erbij en spant Helveron zich in die termijn te halen.

Helveron verleent de opdrachtgever daarnaast redelijke medewerking bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij een voorafgaande raadpleging van de Autoriteit Persoonsgegevens, voor zover die betrekking heeft op de verwerkingen die Helveron voor de opdrachtgever uitvoert.

9. Datalekken

Bij een inbreuk in verband met persoonsgegevens informeert Helveron de opdrachtgever zonder onredelijke vertraging, in beginsel binnen 48 uur na ontdekking, met de bij Helveron bekende informatie. De opdrachtgever beoordeelt of melding aan de Autoriteit Persoonsgegevens of aan betrokkenen nodig is; die melding is de verantwoordelijkheid van de opdrachtgever.

10. Geheimhouding

Helveron houdt de persoonsgegevens geheim en zorgt dat personen die toegang hebben tot een geheimhoudingsplicht zijn gebonden.

11. Audit

Helveron stelt de opdrachtgever op verzoek de informatie ter beschikking die deze redelijkerwijs nodig heeft om vast te stellen dat Helveron deze overeenkomst en de AVG naleeft. Daaronder vallen in ieder geval de beveiligingsmaatregelen uit artikel 5, de actuele lijst met subverwerkers uit artikel 6, en de beschikbare beveiligingsverklaringen of certificeringen van die subverwerkers. Helveron beoordeelt zijn maatregelen ten minste eenmaal per jaar en legt de uitkomst schriftelijk vast; de opdrachtgever kan die vastlegging opvragen.

Geeft die informatie de opdrachtgever naar zijn redelijke oordeel onvoldoende zekerheid, dan mag hij een audit laten uitvoeren door een onafhankelijke deskundige die aantoonbaar gekwalificeerd is op het gebied van informatiebeveiliging of gegevensbescherming, niet werkzaam is bij een concurrent van Helveron, en vooraf een geheimhoudingsverklaring tekent.

De opdrachtgever kondigt een audit ten minste dertig kalenderdagen vooraf schriftelijk aan, met opgave van de te onderzoeken onderdelen en de werkwijze. De audit vindt plaats op werkdagen tussen 09.00 en 17.00 uur en verstoort de dienstverlening niet meer dan strikt noodzakelijk.

De audit strekt zich uitsluitend uit tot de verwerkingen die Helveron voor deze opdrachtgever uitvoert. De deskundige krijgt geen toegang tot persoonsgegevens van andere opdrachtgevers van Helveron, noch tot informatie waarvan verstrekking Helveron in strijd zou brengen met een geheimhoudingsplicht jegens een derde of met de beveiliging van het platform. Waar de audit niet zonder die informatie kan plaatsvinden, stelt Helveron een geanonimiseerde of geaggregeerde variant beschikbaar.

De opdrachtgever kan ten hoogste eenmaal per kalenderjaar een audit laten uitvoeren, tenzij hij een concrete aanwijzing heeft dat Helveron zijn verplichtingen niet nakomt of een toezichthouder daartoe opdracht geeft. De deskundige legt zijn conceptbevindingen eerst aan Helveron voor, die binnen tien werkdagen feitelijke onjuistheden kan corrigeren; daarna gaat het definitieve rapport naar de opdrachtgever.

De kosten van de deskundige komen voor rekening van de opdrachtgever, tenzij uit de audit een wezenlijke tekortkoming van Helveron blijkt. In dat geval draagt Helveron die kosten en treft hij op eigen kosten de nodige herstelmaatregelen.

12. Duur en beëindiging

Deze overeenkomst geldt zolang Helveron persoonsgegevens namens de opdrachtgever verwerkt en eindigt met de hoofdovereenkomst. Na beëindiging verwijdert Helveron de persoonsgegevens of geeft deze op verzoek terug in een gangbaar formaat, tenzij een wettelijke bewaarplicht anders bepaalt.

13. Aansprakelijkheid en recht

Op deze overeenkomst is de aansprakelijkheidsregeling uit de algemene voorwaarden van Helveron van toepassing. Op deze overeenkomst is Nederlands recht van toepassing; geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement waar Helveron is gevestigd.

14. Contact