Verwerkersovereenkomst DKLV
1. Partijen en toepasselijkheid
1.1. Deze overeenkomst wordt gesloten tussen Designer Kollektiv (DKLV), Mussenstraat 9, 1223 RB Hilversum, KvK 30136861, hello@dklv.nl, als verwerker, en de in bijlage A genoemde klant als verwerkingsverantwoordelijke. Partijen controleren de exacte contracterende namen en rechtsvormen vóór ondertekening of elektronische aanvaarding.
1.2. Deze overeenkomst geldt uitsluitend voor de persoonsgegevens die DKLV namens de klant verwerkt bij de in bijlage A beschreven dienstverlening. Voor eigen verwerkingen, zoals de eigen facturatie en zakelijke contacten, bepaalt DKLV zelfstandig haar AVG-verantwoordelijkheden. De feitelijke rolverdeling is leidend.
1.3. Deze overeenkomst en bijlagen vormen een aanvulling op de betreffende dienstverleningsovereenkomst. Zij worden schriftelijk of elektronisch overeengekomen. Bij strijdigheid gaan de bepalingen over persoonsgegevens in deze overeenkomst voor. Een uitdrukkelijk overeengekomen andere rangorde blijft gelden, voor zover wettelijk toegestaan.
1.4. Dit model introduceert geen beschikbaarheidsgarantie, 24/7-support, specifieke certificering, vaste periodieke externe pentest of verzekeringssom. Wettelijke beveiligings-, meld-, audit- en ondersteuningsverplichtingen blijven onverkort gelden.
2. Instructies en doeleinden
2.1. DKLV verwerkt de persoonsgegevens uitsluitend op gedocumenteerde instructie van de klant, voor de doeleinden en duur in bijlage A. Dit geldt ook voor doorgifte buiten de EER. De overeenkomst, ingevulde bijlagen en geautoriseerde gebruikshandelingen binnen de afgesproken dienst vormen dergelijke instructies.
2.2. Als Unierecht of lidstatelijk recht DKLV tot verwerking verplicht, informeert DKLV de klant vooraf over die verplichting, tenzij de wet dat om gewichtige redenen van algemeen belang verbiedt.
2.3. DKLV informeert de klant onmiddellijk als een instructie volgens DKLV in strijd is met de AVG of andere toepasselijke gegevensbeschermingsregels. DKLV mag de betreffende verwerking opschorten terwijl partijen een rechtmatige oplossing vaststellen en beperkt de gevolgen daarvan zoveel mogelijk.
2.4. DKLV gebruikt deze persoonsgegevens niet voor eigen reclame, verkoop aan derden of training van algemene AI-modellen. Afwijkende inzet vereist voorafgaande afzonderlijke afspraken en een rechtmatige grondslag; dit model verleent daarvoor geen toestemming.
2.5. De klant bepaalt de doeleinden en rechtmatige grondslag, verzorgt de vereiste informatie aan betrokkenen en levert niet meer gegevens aan dan noodzakelijk. Bijzondere persoonsgegevens, strafrechtelijke gegevens en BSN mogen uitsluitend worden verwerkt wanneer dit uitdrukkelijk in bijlage A is opgenomen, wettelijk is toegestaan en passende maatregelen zijn afgesproken. Een optiek- of hoortoepassing wordt niet zonder beoordeling als vrij van gezondheidsgegevens beschouwd.
3. Geheimhouding en toegang
3.1. DKLV beperkt toegang tot personen die deze nodig hebben voor de overeengekomen werkzaamheden. Zij zijn contractueel of wettelijk tot geheimhouding verplicht.
3.2. DKLV zorgt voor passende instructies aan bevoegde medewerkers en ingeschakelde personen. Geheimhouding blijft na beëindiging van hun betrokkenheid gelden.
3.3. Supporttoegang tot een klantomgeving wordt gebruikt binnen de afgesproken opdracht en autorisatie. De wijze van autoriseren, beperken, vastleggen en beëindigen van toegang staat in bijlage B. Er wordt geen permanent onbeperkt toegangsrecht verleend door dit model.
4. Beveiliging
4.1. DKLV treft passende technische en organisatorische maatregelen overeenkomstig artikel 32 AVG, rekening houdend met de stand van de techniek, uitvoeringskosten, aard, omvang, context en doeleinden van verwerking en de risico’s voor betrokkenen. De concrete maatregelen en taakverdeling staan in bijlage B.
4.2. Maatregelen omvatten waar passend vertrouwelijkheid, integriteit, beschikbaarheid, veerkracht, herstelmogelijkheden en een proces om de doeltreffendheid regelmatig te beoordelen. Partijen leggen de toepasselijke maatregelen concreet vast. Een lege checklist is geen beschrijving van gerealiseerde beveiliging.
4.3. DKLV mag maatregelen actualiseren mits het overeengekomen beschermingsniveau niet wordt verlaagd en de wettelijke vereisten worden nageleefd. Materiële wijzigingen worden gedocumenteerd en de klant krijgt de relevante informatie.
4.4. Geen enkele partij garandeert absolute beveiliging. Dat beperkt niet de verplichting om passende maatregelen te treffen, incidenten te behandelen en toerekenbare tekortkomingen te herstellen.
5. Subverwerkers en internationale verwerking
5.1. De klant verleent algemene schriftelijke toestemming voor de subverwerkers die bij het sluiten van deze overeenkomst in bijlage C zijn vermeld. Een lege of onduidelijke leverancierslijst levert geen toestemming op voor onbekende subverwerkers.
5.2. DKLV informeert de klant minimaal dertig kalenderdagen vóór toevoeging of vervanging van een subverwerker, met relevante gegevens over taak, locatie en waarborgen. De klant kan binnen die periode gemotiveerd bezwaar maken op gegevensbeschermingsgronden. De nieuwe subverwerker krijgt geen toegang vóór het einde van die periode, tenzij de klant eerder schriftelijk instemt.
5.3. Een bezwaar vermeldt de concrete gegevensbeschermingsrisico’s en beschikbare onderbouwing. Een voorkeur voor een bepaalde leverancier of een bezwaar zonder gegevensbeschermingsgrond geeft op zichzelf geen recht op kosteloze beëindiging. DKLV reageert gemotiveerd en partijen bespreken in goed overleg passende waarborgen of een werkbaar alternatief. Als een gegrond gegevensbeschermingsbezwaar niet redelijkerwijs kan worden opgelost en daardoor geen rechtmatige en werkbare voortzetting beschikbaar is, kan ieder van partijen de getroffen dienstverlening vóór inzet van de betwiste subverwerker schriftelijk beëindigen, zonder beëindigingsvergoeding voor dat deel. Reeds geleverde prestaties blijven verschuldigd; vooruitbetaalde niet geleverde prestaties worden verrekend. Deze regeling verplicht DKLV niet om een oude hostingomgeving onbeperkt in stand te houden en geeft geen recht om andere, niet getroffen diensten te beëindigen. DKLV zet de betwiste subverwerker niet in zolang een gegrond bezwaar niet is opgelost of de getroffen verwerking is beëindigd. Spoed rechtvaardigt geen inzet zonder de vereiste toestemming; DKLV kan in een noodsituatie een afzonderlijke schriftelijke toestemming vragen.
5.4. DKLV legt subverwerkers bij overeenkomst materieel dezelfde gegevensbeschermingsverplichtingen op en blijft tegenover de klant verantwoordelijk voor de nakoming daarvan overeenkomstig artikel 28 lid 4 AVG.
5.5. Opslag, verwerking en toegang op afstand buiten de EER worden vooraf in bijlage C benoemd en alleen uitgevoerd op gedocumenteerde instructie en met een geldige doorgiftegrondslag. DKLV controleert, waar nodig, adequaatheid, toepasselijke standaardcontractbepalingen, doorgifterisico’s en aanvullende maatregelen. Een Europese serverlocatie sluit toegang vanuit een derde land niet uit.
5.6. DKLV informeert de klant over een verzoek van een autoriteit om klantgegevens, tenzij dat wettelijk verboden is, en beoordeelt de rechtmatigheid en omvang voordat gegevens worden verstrekt.
6. Persoonsgegevensincidenten
6.1. Zodra DKLV kennis krijgt van een datalek met betrekking tot namens de klant verwerkte persoonsgegevens, informeert zij de klant zonder onredelijke vertraging via de incidentcontacten in bijlage A. Dit is geen termijn van 72 uur voor DKLV en wordt niet uitgesteld tot de volgende reguliere werkdag. Een aanvullende concreet overeengekomen kortere meldtermijn blijft gelden.
6.2. De eerste melding bevat, voor zover beschikbaar: aard en tijdstip van het incident en de ontdekking; getroffen systemen; categorieën en geschatte aantallen betrokkenen en records; waarschijnlijke gevolgen; getroffen en voorgestelde maatregelen; en het incidentcontact. Ontbrekende informatie wordt zonder onredelijke vertraging aangevuld. Volledig onderzoek is geen voorwaarde voor de eerste melding.
6.3. DKLV beperkt de gevolgen, bewaart relevante onderzoeksinformatie op passende wijze en ondersteunt de klant bij beoordeling, registratie en eventuele meldingen. Zij documenteert het incident en de herstelmaatregelen.
6.4. De klant beslist over meldingen aan toezichthouders en betrokkenen voor de verwerking waarvoor hij verantwoordelijke is. DKLV doet zulke meldingen namens de klant alleen op instructie of als zij daar zelf wettelijk toe verplicht is. Iedere partij behoudt haar eigen wettelijke verplichtingen.
7. Rechten, onderzoek en ondersteuning
7.1. DKLV ondersteunt de klant, rekening houdend met de aard van de verwerking en voor zover mogelijk, bij verzoeken om inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar.
7.2. Een rechtstreeks aan DKLV gericht verzoek betreffende de klantverwerking wordt zonder onredelijke vertraging doorgestuurd naar de klant. DKLV beslist daarover niet zelfstandig, tenzij daartoe bevoegd of verplicht.
7.3. DKLV ondersteunt de klant bij naleving van artikelen 32 tot en met 36 AVG, waaronder beveiliging, datalekken, een noodzakelijke gegevensbeschermingseffectbeoordeling (DPIA) en voorafgaande raadpleging. Partijen stemmen hun medewerking af op de wettelijke termijnen en de beschikbare informatie.
7.4. Reguliere naleving binnen de afgesproken dienstverlening is inbegrepen. Voor aantoonbaar aanvullende ondersteuning kunnen vooraf redelijke kosten worden afgesproken, voor zover wettelijk toegestaan. DKLV rekent herstel van een eigen tekortkoming niet als extra ondersteuning aan. Een kostendiscussie mag noodzakelijke of urgente wettelijke medewerking niet blokkeren.
8. Informatie en audits
8.1. DKLV verstrekt de informatie die nodig is om naleving van deze overeenkomst en artikel 28 AVG aan te tonen en staat audits, waaronder inspecties, door de klant of diens gemachtigde onafhankelijke auditor toe en werkt daaraan mee.
8.2. Partijen gebruiken waar passend eerst actuele documentatie en bestaande onafhankelijke onderzoeken. Daarmee vervalt het recht op aanvullend onderzoek niet als deze informatie onvoldoende is, een incident daartoe aanleiding geeft of een toezichthouder dit vereist.
8.3. Als uitgangspunt vindt maximaal één reguliere audit per periode van twaalf maanden plaats; dit schept geen verplichting om ieder jaar een audit te laten uitvoeren. Aanvullend onderzoek blijft mogelijk en DKLV werkt daaraan mee voor zover redelijkerwijs nodig om naleving vast te stellen, bijvoorbeeld bij onvoldoende informatie, een relevant incident, een concrete aanwijzing van niet-naleving, controle van herstelmaatregelen of een verzoek van een toezichthouder. Het uitgangspunt is geen absolute beperking van het wettelijke auditrecht. Reguliere audits worden zo mogelijk tien werkdagen vooraf aangekondigd. Partijen stemmen doel, noodzakelijke scope, planning en wijze van onderzoek af en vermijden onnodige herhaling. Zij beperken verstoring en beschermen gegevens van andere klanten, vertrouwelijke informatie en beveiliging. Bij urgentie of een wettelijk vereiste geldt geen blokkerende wachttijd. DKLV kan de noodzakelijke audit niet afhankelijk maken van haar vrije toestemming.
8.4. De klant draagt in beginsel de kosten van zijn eigen auditor. Partijen spreken eventuele redelijke aanvullende inzet vooraf af. Als een audit een wezenlijke tekortkoming van DKLV aantoont, draagt DKLV de redelijke, daaraan toerekenbare audit- en herstelkosten volgens de toepasselijke aansprakelijkheidsafspraken en de wet.
9. Einde verwerking
9.1. Na einde van de verwerkingsdiensten geeft DKLV naar keuze van de klant de persoonsgegevens terug of verwijdert zij deze en verwijdert bestaande kopieën, tenzij Unierecht of lidstatelijk recht bewaring verplicht. De klant legt de keuze en uitvoerbare planning vast in bijlage A.
9.2. De overdrachts-, ophaal- en verwijdertermijnen worden afgestemd met de dienstverleningsovereenkomst en dwingende overstapregels. Een algemene exporttermijn staat niet boven de AVG. Tijdens afwikkeling blijft deze overeenkomst gelden en worden gegevens niet voor andere doelen gebruikt.
9.3. Bijlage B beschrijft hoe verwijdering uit actieve systemen en back-ups wordt uitgevoerd en wat bij herstel uit een back-up gebeurt. Verwijderde gegevens mogen daardoor niet opnieuw blijvend beschikbaar worden. Een wettelijke bewaarplicht wordt gedocumenteerd; de betreffende gegevens blijven afgeschermd.
9.4. DKLV bevestigt op verzoek de uitvoering van teruggave en verwijdering, inclusief eventuele wettelijke uitzonderingen.
10. Aansprakelijkheid en slotbepalingen
10.1. Voor onderlinge aansprakelijkheid en, voor zover rechtens toegestaan, regres gelden de aansprakelijkheidsafspraken uit de betreffende dienstverleningsovereenkomst en de rechtsgeldig toepasselijke DKLV-voorwaarden. Deze overeenkomst introduceert geen aanvullende privacycap, boete of verzekeringslimiet. Als geen aansprakelijkheidsbeperking rechtsgeldig is overeengekomen, wordt deze niet door een verwijzing naar de website alsnog gecreëerd.
10.2. Dwingende AVG-verplichtingen, rechten van betrokkenen, wettelijke regresrechten voor zover daarvan niet mag worden afgeweken en bevoegdheden van toezichthouders blijven gelden. Een verzekering verandert de contractuele aansprakelijkheidsomvang niet.
10.3. Deze overeenkomst geldt zolang DKLV de betreffende persoonsgegevens verwerkt. Wijzigingen vereisen schriftelijke overeenstemming of toepassing van een reeds geldig overeengekomen wijzigingsregeling; alleen publicatie van een nieuwe versie is onvoldoende.
10.4. Nederlands recht is van toepassing. Voor geschillen geldt de rechtsgeldig overeengekomen forumkeuze van de dienstverleningsovereenkomst, en anders de wettelijk bevoegde rechter.