Overeenkomst inzake de bescherming
van persoonsgegevens
Op grond van deze overeenkomst heeft de verwerker, Nemorius, toegang tot persoonsgegevens en verwerkt deze namens de opdrachtgever, die wordt beschouwd als de „verantwoordelijke voor de verwerking”. Als zodanig verbindt de verwerker zich ertoe de toepasselijke wet- en regelgeving inzake de bescherming van persoonsgegevens na te leven, in het bijzonder EU-verordening nr. 2016/679 van 27 april 2016, bekend als de „AVG“, en Wet nr. 78-17 van 6 januari 1978, bekend als de „Wet op de gegevensbescherming“, zoals gewijzigd, in overeenstemming met de hieronder uiteengezette voorwaarden.
Artikel 1. Specifieke definities
„Persoonsgegevens”: alle informatie die betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon (hierna de „betrokkene” genoemd); een „identificeerbare natuurlijke persoon” wordt geacht een natuurlijke persoon te zijn die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificatiecode, of aan de hand van een of meer specifieke factoren die kenmerkend zijn voor de fysieke, fysiologische, genetische, mentale, economische, culturele of sociale identiteit van de natuurlijke persoon.
„Onder „verwerking“ wordt verstaan elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens of verzamelingen van persoonsgegevens, al dan niet met behulp van geautomatiseerde middelen, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, aanpassen of wijzigen, opvragen, raadplegen, gebruiken, openbaar maken door middel van doorzending, verspreiding of op andere wijze beschikbaar stellen, afstemmen of samenvoegen, beperken, wissen of vernietigen.
„Verwerkingsverantwoordelijke”: de natuurlijke of rechtspersoon, overheidsinstantie, dienst of ander orgaan die of dat, alleen of samen met anderen, het doel en de middelen van de verwerking vaststelt; wanneer het doel en de middelen van een dergelijke verwerking worden bepaald door het recht van de Unie of het recht van een lidstaat, kan de verwerkingsverantwoordelijke worden aangewezen of kunnen de specifieke criteria voor zijn aanwijzing worden vastgesteld door het recht van de Unie of door het recht van een lidstaat.
„Verwerker”: een natuurlijke of rechtspersoon, overheidsinstantie, dienst of ander orgaan dat namens de verwerkingsverantwoordelijke persoonsgegevens verwerkt.
„Inbreuk in verband met persoonsgegevens”: een inbreuk op de beveiliging die leidt tot de onopzettelijke of onrechtmatige vernietiging, het verlies, de wijziging, de onrechtmatige openbaarmaking van of de onrechtmatige toegang tot persoonsgegevens die worden doorgegeven, opgeslagen of anderszins verwerkt.
„Toepasselijke wet- en regelgeving”: verwijst naar alle wetten en voorschriften met betrekking tot de bescherming van persoonsgegevens en privacy, met inbegrip van Wet nr. 78-17 inzake informatietechnologie, gegevensbestanden en burgerlijke vrijheden van 6 januari 1978, zoals gewijzigd, en Europese Verordening nr. 2016/679 van 27 april 2016, bekend als de „Algemene Verordening Gegevensbescherming“ (AVG), die van kracht is vanaf de datum van inwerkingtreding. In het kader van hun contractuele relatie verbinden de Partijen zich ertoe de geldende regelgeving na te leven die van toepassing is op de verwerking van persoonsgegevens, en in het bijzonder Verordening (EU) 2016/679 van 27 april 2016 (hierna de „AVG” genoemd) en de gewijzigde Franse wet op de gegevensbescherming van 6 januari 1978 na te leven.
Artikel 2. Algemene beginselen
In het kader van hun contractuele relatie komen de Partijen overeen zich te houden aan de toepasselijke wet- en regelgeving inzake de bescherming van persoonsgegevens.
De verwerker handelt uitsluitend op instructie van de verwerkingsverantwoordelijke, met het oog op de verwerking van persoonsgegevens namens hem. Als zodanig verbindt de verwerker zich ertoe de persoonsgegevens die onder de verantwoordelijkheid van de verwerkingsverantwoordelijke vallen, uitsluitend te verwerken met het oog op de uitvoering van de diensten die voortvloeien uit de bepalingen van de hoofdovereenkomst waarop deze clausule betrekking heeft.
Artikel 3. Algemene verplichtingen van de verwerker
Bij de uitvoering van zijn taken verbindt de verwerker zich ertoe:
- Persoonsgegevens uitsluitend te verwerken voor de doeleinden die onder de onderaannemingsovereenkomst vallen, zoals hieronder beschreven;
- de verwerkingsverantwoordelijke onmiddellijk op de hoogte te stellen indien hij van mening is dat een instructie een inbreuk vormt op de toepasselijke wet- en regelgeving of enige andere bepaling van het recht van de Europese Unie of het recht van de lidstaten met betrekking tot de bescherming van persoonsgegevens;
- de vertrouwelijkheid, integriteit en beschikbaarheid van de verwerkte persoonsgegevens te waarborgen;
- ervoor te zorgen dat het personeel dat bevoegd is om persoonsgegevens te verwerken, onderworpen is aan een passende geheimhoudingsverplichting en de nodige opleiding op het gebied van de bescherming van persoonsgegevens krijgt;
- rekening te houden, met betrekking tot zijn diensten, met de beginselen van „gegevensbescherming door ontwerp en bij gebrek aan andere bepalingen“;
- Geen persoonsgegevens buiten de Europese Unie door te geven zonder de voorafgaande en uitdrukkelijke toestemming van de verwerkingsverantwoordelijke en passende waarborgen te bieden in verband met een dergelijke doorgifte, met inbegrip van een standaardkennisgeving die moet worden verstrekt aan de betrokkenen die door de verwerking worden geraakt. Indien de verwerker krachtens het recht van de Europese Unie of het recht van de lidstaat waaraan hij is onderworpen, verplicht is persoonsgegevens door te geven aan een derde land of een internationale organisatie, stelt hij de verwerkingsverantwoordelijke vóór het begin van de verwerking in kennis van deze wettelijke verplichting, tenzij het toepasselijke recht een dergelijke kennisgeving om dwingende redenen van algemeen belang verbiedt;
- De verwerkingsverantwoordelijke bijstaan bij het nakomen van zijn verplichtingen inzake gegevensbeveiliging, rekening houdend met de aard van de verwerking en de informatie waarover hij beschikt;
- Alle passende technische en organisatorische maatregelen te nemen om een beveiligingsniveau te waarborgen dat in verhouding staat tot de betrokken risico’s, teneinde vernietiging, verlies, wijziging, openbaarmaking of ongeoorloofde toegang – hetzij per ongeluk, hetzij opzettelijk – alsmede elke andere vorm van onrechtmatige verwerking van persoonsgegevens te voorkomen. De verwerker verbindt zich er in het bijzonder toe alle hieronder beschreven beveiligingsmaatregelen te implementeren;
- Toegangsbeheer
- Gebruikersauthenticatie
- Registratie van verbindingen
- Controleerbaarheid van logbestanden
- Fysieke en hardwarebeveiligingsmaatregelen
- Beveiliging van de fysieke toegang tot servers
- Beveiliging van de logische toegang tot servers en applicaties
- Beveiliging van het interne computernetwerk
- Gegevensversleuteling/pseudonimisering
- Beheer van kwetsbaarheden en back-ups
- Implementatie van fysieke, technische en organisatorische beveiligingsmaatregelen in overeenstemming met de ISO 27001-norm – Nemorius is gecertificeerd.
- Het bijhouden van een schriftelijk overzicht van alle verwerkingsactiviteiten die namens de verwerkingsverantwoordelijke worden uitgevoerd, in overeenstemming met de toepasselijke wet- en regelgeving;
- De verwerkingsverantwoordelijke de documentatie ter beschikking stellen die nodig is om aan te tonen dat aan alle verplichtingen is voldaan en om audits, met inbegrip van inspecties, door de verwerkingsverantwoordelijke of een door hem aangewezen auditor mogelijk te maken, en mee te werken aan dergelijke audits. De verwerker verbindt zich er voorts toe volledige transparantie te waarborgen met betrekking tot het beveiligingsbeleid en/of de organisatorische en technische maatregelen die zijn geïmplementeerd om de namens de verwerkingsverantwoordelijke verwerkte persoonsgegevens te beveiligen. In het bijzonder verbindt de verwerker zich ertoe om, op verzoek van de verwerkingsverantwoordelijke, zo spoedig mogelijk alle informatie over dit beleid en deze maatregelen te verstrekken.
Artikel 4. Verplichtingen van de verwerker in geval van subverwerking
Indien er verdere subverwerkers worden ingeschakeld, legt de verwerker deze dezelfde verplichtingen op als die welke in deze clausule zijn beschreven en zorgt hij ervoor dat zij alle waarborgen bieden die vereist zijn door de toepasselijke wet- en regelgeving.
De verwerker stelt de verwerkingsverantwoordelijke vooraf in kennis van elk gebruik van een nieuwe subverwerker. De verwerkingsverantwoordelijke beschikt over 14 werkdagen om bezwaar te maken.
De verwerker stelt de verwerkingsverantwoordelijke een uitgebreide en actuele lijst van zijn subverwerkers ter beschikking. Deze lijst is opgenomen in bijlage 2 bij deze overeenkomst.
Artikel 5. Verplichtingen tot bijstand en samenwerking
- Inbreuk op de bescherming van persoonsgegevens
De verwerker stelt de verwerkingsverantwoordelijke binnen maximaal 24 uur nadat hij hiervan kennis heeft genomen, in kennis van elke inbreuk op de bescherming van persoonsgegevens, via het e-mailadres dat in de hoofdovereenkomst aan de verwerkingsverantwoordelijke is verstrekt.
De melding moet een beschrijving bevatten van de aard van de inbreuk op de persoonsgegevens, met inbegrip van de categorieën en het aantal betrokkenen, de naam van de persoon die verantwoordelijk is voor de betreffende verwerking, de gevolgen van de inbreuk voor de betrokkenen, de maatregelen die zijn genomen om deze te verhelpen, en de geschatte termijn voor de uitvoering van die maatregelen om de gevolgen voor de betrokkenen te beperken en herhaling te voorkomen. Deze melding gaat vergezeld van alle relevante documentatie om de Verwerkingsverantwoordelijke in staat te stellen dit inbreuk op de persoonsgegevens te melden aan de bevoegde toezichthoudende autoriteit en, indien van toepassing, aan de betrokkenen.
De Verwerker verbindt zich er voorts toe de oorzaak van de inbreuk op de persoonsgegevens te onderzoeken en alle corrigerende maatregelen te nemen die nodig zijn om deze op te lossen, de gevolgen ervan te beperken en herhaling te voorkomen.
De verwerker verbindt zich er tevens toe de verwerkingsverantwoordelijke bij te staan bij het doen van de nodige meldingen aan de bevoegde autoriteiten en/of de betrokkenen.
- Informatie en afhandeling van verzoeken van betrokkenen
om hun rechten uit te oefenen De verwerkingsverantwoordelijke verstrekt de betrokkenen op het moment van verzameling informatie over de doeleinden en kenmerken van de verwerking van persoonsgegevens die onder deze overeenkomst vallen.
Op uitdrukkelijke schriftelijke instructie van de verwerkingsverantwoordelijke kan de verwerker echter worden belast met de verantwoordelijkheid om deze informatie te verstrekken. In dat geval worden de inhoud van de informatie en de wijze waarop deze wordt verstrekt, bepaald door de Verwerkingsverantwoordelijke. De Verwerker verbindt zich ertoe de Verwerkingsverantwoordelijke op welke wijze dan ook het bewijs te verstrekken dat de informatie is verstrekt.
Betrokkenen moeten hun rechten op inzage, rectificatie, verwijdering, beperking en bezwaar tegen de verwerking, evenals het recht op gegevensoverdraagbaarheid, rechtstreeks bij de afdelingen van de verwerkingsverantwoordelijke uitoefenen.
Voor zover mogelijk dient de verwerker de verwerkingsverantwoordelijke bij te staan bij het nakomen van diens verplichting om te reageren op verzoeken van betrokkenen tot uitoefening van hun rechten, met name door alle relevante technische en organisatorische maatregelen te nemen om de effectieve uitvoering van dergelijke verzoeken te waarborgen.
Wanneer betrokkenen verzoeken indienen bij de verwerker om hun rechten uit te oefenen, moet de verwerker deze verzoeken na ontvangst per e-mail doorsturen naar het adres dat in het hoofdcontract is vermeld of naar gdpr@nemorius.com.
Effectbeoordelingen en betrekkingen met de toezichthoudende
autoriteit De verwerker verbindt zich ertoe samen te werken met de verwerkingsverantwoordelijke en deze bij te staan bij het nakomen van zijn verplichtingen. Meer in het bijzonder zal de verwerker de verwerkingsverantwoordelijke bijstaan bij het uitvoeren van effectbeoordelingen inzake gegevensbescherming, hetzij vóór, hetzij na de uitvoering van een verwerkingsactiviteit, door alle noodzakelijke informatie met betrekking tot de verwerking te verstrekken. De verwerker verleent deze bijstand eveneens in verband met het verplichte voorafgaande overleg met de CNIL in gevallen waarin uit de effectbeoordeling blijkt dat er hoge restrisico’s bestaan.In geval van een inspectie en/of een verzoek van een toezichthoudende autoriteit zal de verwerker met de verwerkingsverantwoordelijke samenwerken en deze bijstaan door alle documentatie te verstrekken die nodig is om aan te tonen dat de toepasselijke wet- en regelgeving wordt nageleefd.
Artikel 6. Overdraagbaarheid van persoonsgegevens
Bij beëindiging van de overeenkomst moet de verwerker alle verwerkte persoonsgegevens via een beveiligde methode in een bruikbaar formaat aan de verwerkingsverantwoordelijke teruggeven. Na ontvangstbevestiging moet de verwerker alle bestaande kopieën van de persoonsgegevens uit zijn informatiesysteem en, indien van toepassing, uit de systemen van zijn eventuele subverwerkers vernietigen. De verwerker verklaart schriftelijk dat de persoonsgegevens zijn vernietigd, met inachtneming van eventuele wettelijke en regelgevende bewaarverplichtingen waaraan hij onderworpen is.
Artikel 7. Verplichtingen van de verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke verbindt zich ertoe:
- de verwerker toegang te verlenen tot de persoonsgegevens die onder deze overeenkomst vallen;
- alle instructies met betrekking tot de verwerking van persoonsgegevens waarbij de verwerker betrokken is, schriftelijk vast te leggen;
- er vooraf en gedurende de gehele duur van de verwerking voor te zorgen dat de verwerker voldoet aan de in de AVG vastgelegde verplichtingen;
- Toezicht te houden op de verwerking, met inbegrip van het uitvoeren van audits en inspecties bij de verwerker.
Artikel 8. Gerechtelijke of administratieve bevelen
De verwerker verbindt zich ertoe de verwerkingsverantwoordelijke binnen 24 uur na ontvangst van een verzoek tot openbaarmaking of inzage van persoonsgegevens, uitgevaardigd door een gerechtelijke of administratieve autoriteit, hiervan op de hoogte te stellen, alvorens enig antwoord te verstrekken.
Artikel 9. Betrekkingen met toezichthoudende autoriteiten
De verwerker verbindt zich ertoe de verwerkingsverantwoordelijke onmiddellijk op de hoogte te stellen van elk verzoek of elke controle door een toezichthoudende autoriteit.
Artikel 10. Automatische beëindiging wegens schending
De Verwerkingsverantwoordelijke verklaart dat de bepalingen met betrekking tot Persoonsgegevens wezenlijke verplichtingen van deze overeenkomst vormen, zonder welke hij deze overeenkomst niet met de Verwerker zou zijn aangegaan
Bijgevolg kan de Verwerkingsverantwoordelijke zich beroepen op elke vastgestelde schending van deze bepalingen of op elk inbreuk op de bescherming van persoonsgegevens, hetgeen dan van rechtswege een grond voor beëindiging vormt.
De uit deze overeenkomst voortvloeiende verplichtingen inzake de bescherming van persoonsgegevens blijven ook na beëindiging van de hoofdovereenkomst waaraan deze bepalingen zijn gehecht, van kracht.
Bijlage 1. Overzicht van verwerkingsactiviteiten
Deze overeenkomst, met inbegrip van de hierboven uiteengezette clausules, vormt de instructies van de verwerkingsverantwoordelijke met betrekking tot de verwerkingsactiviteiten die de verwerker namens de verwerkingsverantwoordelijke moet uitvoeren (naar behoefte te dupliceren).
A. Tabel van toepassing op de verwerking die wordt uitgevoerd voor de dienst „Linkverkorting en QR-code“
Beschrijving van de verwerking | Na ontvangst van een lange link van de klant zal Nemorius deze inkorten voordat deze wordt verspreid. Na verspreiding worden gegevens verzameld en vervolgens samengevat in een rapport. |
|---|---|
Doeleinden van de verwerking |
|
Aard van de verwerkingen |
|
Categorie van betrokkenen | Gebruikers van de link of QR-code. |
Rechtmatigheid | De verwerkingsverantwoordelijke bepaalt de rechtsgrondslag voor de verwerking. Nemorius verwerkt de gegevens op basis van de overeenkomst tussen de klant en Nemorius. |
Persoonsgegevens |
|
Bewaartermijnen | Logbestanden worden 12 maanden bewaard vanaf de datum van verzameling, en in elk geval worden de gegevens aan het einde van het contract vernietigd en teruggegeven, of gewoon vernietigd, afhankelijk van de instructies van de verwerkingsverantwoordelijke. |
B. Tabel van toepassing op de verwerking die wordt uitgevoerd voor de dienst „Formulieren”
Overzicht van de verwerking | Nemorius biedt de klant een platform voor het maken van een onlineformulier dat kan worden gedeeld. Na publicatie verstrekt Nemorius een rapport over het formulier en de resultaten daarvan, evenals een overzichtstabel met de ontvangen antwoorden op elke vraag in het formulier. |
|---|---|
Doeleinden van de verwerking |
|
Aard van de verwerkingen |
|
Categorie van betrokkenen | Respondenten van het formulier |
Rechtmatigheid | De verwerkingsverantwoordelijke bepaalt de rechtsgrondslag voor de verwerking. Nemorius voert de verwerking uit op basis van de overeenkomst tussen de klant en Nemorius. |
Categorieën persoonsgegevens | De verwerkte persoonsgegevens zijn afhankelijk van de inhoud van het door de verwerkingsverantwoordelijke gepubliceerde formulier. Het is de verantwoordelijkheid van de verwerkingsverantwoordelijke om te bepalen welke gegevens worden verwerkt en hoe gevoelig deze zijn. In alle gevallen wordt een klikteller gebruikt voor formulierstatistieken. |
Bewaartermijnen | De ontvangen reacties en de rapporten worden bewaard voor de duur van de overeenkomst of in overeenstemming met de instructies van de klant. |
Bijlage 2. Lijst van verwerkers in opdracht
Voor de URL-verkorter en QR-codes:
- Matomo, uitgegeven door InnoCraft Limited (InnoCraft), gevestigd op het volgende adres: HLB Mann Judd, Level 8, 57 Symonds Street, Grafton, Auckland 1010, Nieuw-Zeeland. Nieuw-Zeeland is een land dat aan de vereisten voldoet. Voor de doorgifte van persoonsgegevens naar deze landen is geen doorgiftekader vereist.
- AMAZON WEB SERVICES EMEA SARL, met wereldwijd hoofdkantoor op 440 Terry Avenue North, WA 98109, Seattle, Verenigde Staten. Voor de Verenigde Staten geldt een gedeeltelijk adequaatheidsbesluit. Amazon Web Services is gecertificeerd onder het Data Privacy Framework. Naast deze garantie regelen de standaardcontractbepalingen de relatie tussen de verwerkingsverantwoordelijke en de verwerker in verband met de diensten van Amazon Web Services.
- Scaleway SAS, met maatschappelijke zetel te 8 rue de la Ville-l'Évêque, 75008 Parijs, Frankrijk. De gegevens worden gehost in datacenters die zich in de Europese Unie bevinden. De gegevensverwerking valt derhalve onder Verordening (EU) 2016/679 (AVG).
Geen verdere subverwerkers
Voor formulieren:
- AMAZON WEB SERVICES EMEA SARL, met wereldwijd hoofdkantoor te 440 Terry Avenue North, WA 98109, Seattle, Verenigde Staten. Voor de Verenigde Staten geldt een gedeeltelijk adequaatheidsbesluit. Amazon Web Services is gecertificeerd onder het Data Privacy Framework. Naast deze garantie regelen de standaardcontractbepalingen de relatie tussen de verwerkingsverantwoordelijke en de verwerker in het kader van de diensten van Amazon Web Services.
- Scaleway SAS, met maatschappelijke zetel te 8 rue de la Ville-l’Évêque, 75008 Parijs, Frankrijk. De gegevens worden gehost in datacentra die zich in de Europese Unie bevinden. De gegevensverwerking valt derhalve onder Verordening (EU) 2016/679 (AVG).
Er zijn geen verdere subverwerkers.
Laatst bijgewerkt: 27 juli 2026