Modelverwerkersovereenkomst

Deze overeenkomst dekt één van de twee ketens in deze dienst. Waarom dat onderscheid er is en wat het betekent voor wat u te zien krijgt, staat op de rolverdeling.

1. Partijen en de twee ketens. Deze overeenkomst geldt tussen de opdrachtgever (hierna: de verwerkingsverantwoordelijke) en Delenda, handelsnaam van Thomas van der Bruggen Holding B.V., KvK 75464136, Vermeerstraat 2a, 5301 VE Zaltbommel (hierna: de verwerker). Zij hoort bij de overeenkomst waarop de algemene voorwaarden van toepassing zijn. Zij dekt uitsluitend de eerste van twee ketens, en dat onderscheid is de kern van deze dienst. Voor de gegevens die de opdrachtgever aanlevert om deelnemers uit te nodigen — een naam en een werk-e-mailadres — is de opdrachtgever verwerkingsverantwoordelijke en verwerkt Delenda in haar opdracht. Voor het uitoefenen van de rechten zelf handelt Delenda op het mandaat dat de deelnemer persoonlijk tekent; daar is Delenda zelf verwerkingsverantwoordelijke en loopt de keten niet via de opdrachtgever. Een werkgever kan het recht op inzage, bezwaar of wissing niet namens een werknemer uitoefenen.

2. Onderwerp, duur, aard en doel. Onderwerp en aard van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen staan in bijlage 1. De verwerking duurt zolang de onderliggende overeenkomst duurt en eindigt zoals in artikel 10 bepaald. Delenda verwerkt niet voor eigen doeleinden binnen deze keten.

3. Instructies. Delenda verwerkt uitsluitend op gedocumenteerde instructie van de verwerkingsverantwoordelijke, waaronder wat in deze overeenkomst en de onderliggende overeenkomst is vastgelegd, tenzij een wettelijke bepaling haar tot verwerking verplicht. In dat geval meldt zij dat vooraf, behalve wanneer die bepaling die melding verbiedt. Meent Delenda dat een instructie in strijd is met de AVG, dan meldt zij dat onmiddellijk.

4. Vertrouwelijkheid (art. 28 lid 3 onder b). Iedereen die onder gezag van Delenda toegang heeft tot de persoonsgegevens is tot geheimhouding verplicht, hetzij contractueel, hetzij op grond van de wet. Die plicht duurt voort na afloop van deze overeenkomst.

5. Beveiliging (art. 28 lid 3 onder c, en art. 32). Delenda treft passende technische en organisatorische maatregelen. Welke dat op dit moment zijn, staat in bijlage 3 — en die bijlage noemt met opzet maatregelen die de verwerkingsverantwoordelijke kan laten narekenen in plaats van geloven. Wat nog niet is geregeld, waaronder een externe penetratietest, staat op Beveiliging.

6. Subverwerkers (art. 28 lid 3 onder d, en lid 2). De verwerkingsverantwoordelijke geeft algemene toestemming voor het inschakelen van de subverwerkers in bijlage 2. Delenda meldt een voorgenomen wijziging ten minste dertig dagen vooraf, en de verwerkingsverantwoordelijke kan daartegen bezwaar maken; komen partijen er niet uit, dan mag hij de overeenkomst opzeggen tegen de datum van de wijziging. Delenda legt elke subverwerker dezelfde verplichtingen op als hier gelden en blijft jegens de verwerkingsverantwoordelijke aansprakelijk voor hun handelen.

7. Bijstand bij rechten van betrokkenen (art. 28 lid 3 onder e). Richt een betrokkene zich tot Delenda met een verzoek dat deze keten betreft, dan beantwoordt Delenda dat niet zelf maar stuurt het onverwijld door naar de verwerkingsverantwoordelijke. Delenda verleent, voor zover mogelijk, bijstand bij het beantwoorden ervan. De gegevens in deze keten zijn beperkt — een naam en een werkadres — wat die bijstand navenant eenvoudig maakt.

8. Bijstand bij beveiliging, datalekken en beoordelingen (art. 28 lid 3 onder f). Delenda verleent bijstand bij de verplichtingen uit de artikelen 32 tot en met 36 AVG. Een inbreuk in verband met persoonsgegevens meldt zij onverwijld en uiterlijk binnen achtenveertig uur na ontdekking, met de informatie die de verwerkingsverantwoordelijke nodig heeft om zijn eigen meldplicht binnen tweeënzeventig uur na te komen.

9. Doorgifte buiten de EER. Binnen deze keten is geen doorgifte buiten de Europese Economische Ruimte beoogd. De verwerkingsomgeving en de bewijsopslag staan in de EU; zie bijlage 2. Blijkt doorgifte toch nodig, dan gebeurt dat niet zonder voorafgaande melding en een geldige grondslag uit hoofdstuk V AVG.

10. Einde: teruggave of wissing (art. 28 lid 3 onder g). Na afloop wist Delenda de persoonsgegevens uit deze keten, of geeft ze terug, naar keuze van de verwerkingsverantwoordelijke — behalve waar het Unierecht of het Nederlandse recht opslag voorschrijft. Op één punt wijkt dit af, en dat is opzet: het bewijsdossier van een deelnemer gaat naar die deelnemer en niet naar de opdrachtgever. Dat dossier hoort bij de tweede keten, waarin de deelnemer de betrokkene is en de opdrachtgever geen partij. Zie artikel 15 van de algemene voorwaarden.

11. Controle en audit (art. 28 lid 3 onder h). Delenda stelt alle informatie beschikbaar die nodig is om naleving aan te tonen, en maakt controles mogelijk. De verwerkingsverantwoordelijke kan eenmaal per kalenderjaar een audit laten uitvoeren door een onafhankelijke deskundige die zelf tot geheimhouding is gehouden, met een aankondiging van ten minste twee weken. De kosten komen voor rekening van de verwerkingsverantwoordelijke, tenzij de audit een tekortkoming van Delenda aantoont. Blijkt zo'n tekortkoming, dan herstelt Delenda die op eigen kosten.

12. Aansprakelijkheid, recht en rechter. Op deze overeenkomst zijn de aansprakelijkheidsbepalingen van de algemene voorwaarden van toepassing, met dien verstande dat artikel 82 AVG onverkort geldt en daarvan niet ten nadele van de betrokkene kan worden afgeweken. Nederlands recht is van toepassing; geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Oost-Brabant.

Bijlage 1 — de verwerking

Overgenomen uit ons verwerkingsregister, onderdeel B1. Dit is de enige verwerking waarvoor Delenda verwerker is.

• Onderwerp en aard: het vastleggen van een deelnemer en het versturen van één uitnodiging aan die deelnemer om zelf een mandaat te tekenen.
• Doel: de deelnemer in staat stellen zelf te beslissen of hij van de dienst gebruikmaakt.
• Categorieën betrokkenen: de door de opdrachtgever aangemelde bestuurders en medewerkers, en de contactpersonen van de opdrachtgever zelf.
• Soort persoonsgegevens: naam en werk-e-mailadres, meer niet. Adres, geboortedatum en naamvarianten vult de deelnemer zelf aan in zijn eigen portaal, en die vallen daarmee buiten deze keten.
• Duur: zolang de overeenkomst loopt. Een vertrokken contactpersoon wordt uitgeschakeld en niet verwijderd, zodat de organisatie haar eigen geschiedenis houdt.

Bijlage 2 — subverwerkers

Vier partijen, met de rol waarin zij optreden en het land waar de gegevens staan. Waar de regio niet is vastgesteld, staat dat er als openstaand — een niet-geverifieerde vestigingsplaats in een verwerkersovereenkomst is erger dan een lege cel.

• Supabase — database en bewijsopslag. Frankfurt, regio eu-central-1.
• Resend — uitgaande en binnenkomende post. Ierland, regio eu-west-1.
• Netlify — hosting van de website en de twee portalen. Regio nog niet vastgesteld.
• Cloudflare — naamgeving (DNS). Regio nog niet vastgesteld.

Met geen van deze vier is op dit moment een eigen verwerkersovereenkomst gesloten. Dat is een tekortkoming en geen detail; zij staat als zodanig in onze eigen administratie en wordt hier genoemd omdat u er anders bij een audit zelf achter komt.

Bijlage 3 — beveiligingsmaatregelen

Alleen maatregelen die te controleren zijn. Waar een maatregel in code of in de database is vastgelegd, staat erbij hoe u dat kunt narekenen.

• Gescheiden databaserollen met kolomrechten. De rol waarmee het opdrachtgeversportaal draait, mag het id en de organisatie van een deelnemer lezen en diens naam níét, en heeft op de identificerende gegevens, de bewijsketen en de bevindingen geen enkel recht. Het aanmelden van een deelnemer loopt over een dérde rol, die geen enkel verzoek kan zien. Dit is geen afspraak in onze code maar een weigering van de database, en er staan toetsscripts naast die het aantonen.
• Onveranderlijk bewijs. Elke gebeurtenis in een dossier hangt in een hashketen die manipulatie aanwijst, en de database weigert het verwijderen van bewijs. Geen enkele webrol kan in die keten schrijven.
• Dataminimalisatie aan de bron. Wij slaan geen burgerservicenummer op en bewaren geen identiteitsdocumenten; het datamodel kent er geen veld voor.
• Toegang zonder wachtwoorden. Inloggen gaat met een eenmalige link; van het token wordt alleen een SHA-256 bewaard, dus wie de tabel leest kan als niemand inloggen.
• Geen derden op de website. Geen cookies voor analyse, geen scripts van derden — afgedwongen met een inhoudsbeleidsregel die externe hosts blokkeert in plaats van dat te beloven.
• Datalekprocedure. Vastgelegd, met de meldtermijn uit artikel 8 hierboven.