Verwerkersovereenkomst PubliekChat

1.1 Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon als bedoeld in artikel 4 lid 1 AVG.

1.2 Verwerking: elke bewerking van persoonsgegevens als bedoeld in artikel 4 lid 2 AVG.

1.3 AVG: Verordening (EU) 2016/679 van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens.

1.4 Platform: het PubliekChat-platform, inclusief de publieksassistent, het beheerpaneel en alle bijbehorende diensten.

2.1 Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de levering van het Platform. De duur van deze verwerking is gelijk aan de looptijd van deze overeenkomst; zie artikel 8 voor het ingangsmoment en de gevolgen van beëindiging.

2.2 Categorieën betrokkenen: websitebezoekers die de publieksassistent van Verwerkingsverantwoordelijke gebruiken, en beheerders en contactpersonen van Verwerkingsverantwoordelijke.

2.3 Verwerkte persoonsgegevens: naam, functie en contactgegevens van beheerders en contactpersonen; en vragen, antwoorden en gebruiksgegevens van de publieksassistent, waarbij persoonsgegevens zoveel mogelijk worden afgeschermd.

2.4 De dienstverlening is niet bedoeld voor bijzondere categorieën persoonsgegevens (artikel 9 AVG) en vereist geen persoonsgegevens van websitebezoekers. Onbedoelde invoer is niet volledig uit te sluiten; bij constatering stemmen partijen passende maatregelen af.

3.1 Verwerker verwerkt persoonsgegevens — ook bij doorgifte buiten de EER — uitsluitend op basis van gedocumenteerde instructies van Verwerkingsverantwoordelijke, tenzij een wettelijke verplichting anders vereist, en zorgt ervoor dat gemachtigde personen gebonden zijn aan geheimhouding. Verwerker stelt Verwerkingsverantwoordelijke onverwijld in kennis indien een instructie naar zijn oordeel in strijd is met de AVG.

3.2 Verwerker neemt passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG; zie Bijlage 1.

3.3 Verwerker verleent Verwerkingsverantwoordelijke medewerking bij verzoeken van betrokkenen (hoofdstuk III AVG) en bij het nakomen van verplichtingen uit de artikelen 32 tot en met 36 AVG, waaronder het melden van datalekken.

3.4 Verwerker stelt op verzoek de informatie ter beschikking die nodig is om naleving van dit artikel aan te tonen.

3.5 Verwerker mag geanonimiseerde en geaggregeerde gebruiksgegevens gebruiken voor verbetering van het platform, mits niet herleidbaar tot individuele organisaties of gebruikers.

4.1 Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid van de verwerking van persoonsgegevens die zij aan Verwerker verstrekt, en garandeert dat aangeleverde informatiebronnen publiek toegankelijk zijn en vrij van persoonsgegevens, vertrouwelijke informatie en bijzondere categorieën persoonsgegevens.

4.2 Verwerkingsverantwoordelijke informeert betrokkenen over de verwerking van hun persoonsgegevens, voor zover van toepassing, en stelt Verwerker onverwijld op de hoogte van wijzigingen die van invloed kunnen zijn op de verwerking.

5.1 Verwerkingsverantwoordelijke verleent Verwerker algemene toestemming voor het inschakelen van subverwerkers. Verwerker legt iedere subverwerker gelijkwaardige verplichtingen op als opgenomen in deze overeenkomst.

5.2 Verwerker informeert Verwerkingsverantwoordelijke vooraf over een nieuwe of vervangende subverwerker. Verwerkingsverantwoordelijke kan binnen 14 dagen na die melding gemotiveerd bezwaar maken. Vinden partijen geen oplossing, dan kan Verwerkingsverantwoordelijke de dienstverlening kosteloos beëindigen.

5.3 Is een vervanging dringend nodig voor de beveiliging of de continuïteit van de dienstverlening, dan mag Verwerker de nieuwe subverwerker direct inschakelen en informeert hij Verwerkingsverantwoordelijke zo snel mogelijk daarna. Het recht op bezwaar blijft dan bestaan.

5.4 De huidige subverwerkers staan in Bijlage 2.

6.1 Verwerker meldt een inbreuk op de beveiliging van persoonsgegevens onverwijld nadat deze bij Verwerker bekend is geworden, aan Verwerkingsverantwoordelijke, met ten minste de aard van de inbreuk, de categorieën en het aantal betrokkenen, de waarschijnlijke gevolgen en de getroffen maatregelen.

6.2 Verwerkingsverantwoordelijke beoordeelt of melding bij de Autoriteit Persoonsgegevens nodig is, en meldt zo nodig zonder onredelijke vertraging en, waar mogelijk, binnen 72 uur na kennisname van de inbreuk.

7.1 Verwerkingsverantwoordelijke heeft het recht een audit uit te laten voeren door een onafhankelijke derde, met een aankondigingstermijn van minimaal 30 dagen en op kosten van Verwerkingsverantwoordelijke.

8.1 Deze overeenkomst geldt vanaf het moment dat Verwerker voor Verwerkingsverantwoordelijke persoonsgegevens verwerkt, waaronder bij de inrichting van de publieksassistent, en zolang Verwerkingsverantwoordelijke het Platform gebruikt. Zij eindigt zodra dat gebruik wordt beëindigd; de verplichtingen uit artikel 8.2 en de geheimhoudingsplicht blijven daarna gelden.

8.2 Na beëindiging verwijdert of retourneert Verwerker, naar keuze van Verwerkingsverantwoordelijke, alle persoonsgegevens van Verwerkingsverantwoordelijke binnen 30 dagen, tenzij een wettelijke bewaartermijn anders vereist. Bij gebreke van een tijdige keuze gaat Verwerker over tot verwijdering. Een eventuele retournering gebeurt via een handmatig proces, in de vorm van een exportbestand van de persoonsgegevens van Verwerkingsverantwoordelijke, waaronder de chatgesprekken en de gegevens van beheerders en contactpersonen.

9.1 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter te Amsterdam.