Verwerkersovereenkomst RoosterPartner

Download PDF

Artikel 1 — Partijen

Deze overeenkomst wordt gesloten tussen:

Verwerkingsverantwoordelijke: de zakelijke organisatie die gebruikmaakt van RoosterPartner, hierna "Klant".

Verwerker: PlanningPartner VOF, gevestigd te Charlotte de Bourbonlaan 12 te Voorschoten, KvK 86544381, hierna "Leverancier".

Deze overeenkomst vormt een aanvulling op de overeenkomst voor het gebruik van RoosterPartner.

Artikel 2 — Onderwerp en duur

Leverancier verwerkt persoonsgegevens namens Klant voor het beschikbaar stellen en ondersteunen van het RoosterPartner-platform.

De verwerking vindt plaats gedurende de looptijd van de dienstverlening en de overeengekomen periode voor teruggave en verwijdering van gegevens.

De categorieën persoonsgegevens, betrokkenen en verwerkingsdoeleinden zijn beschreven in Bijlage A.

Artikel 3 — Instructies

Leverancier verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van Klant, waaronder de overeenkomst en het overeengekomen gebruik van de Dienst.

Leverancier gebruikt deze persoonsgegevens niet voor eigen commerciële doeleinden.

Indien een wettelijke verplichting tot afwijkende verwerking bestaat, informeert Leverancier Klant vooraf, tenzij dit wettelijk verboden is.

Leverancier meldt het wanneer een instructie naar zijn oordeel in strijd is met de AVG of andere toepasselijke privacywetgeving.

Artikel 4 — Geheimhouding

Leverancier zorgt ervoor dat personen die toegang hebben tot persoonsgegevens aan een passende geheimhoudingsverplichting zijn gebonden.

Toegang wordt beperkt tot personen die deze voor hun werkzaamheden nodig hebben.

Artikel 5 — Beveiliging

Leverancier treft passende technische en organisatorische beveiligingsmaatregelen overeenkomstig artikel 32 AVG.

Deze maatregelen worden afgestemd op de aard van de gegevens, de verwerkingsrisico's en de stand van de techniek.

De daadwerkelijk geïmplementeerde maatregelen worden beschreven in Bijlage B.

Leverancier beoordeelt deze maatregelen periodiek en past ze waar nodig aan.

Artikel 6 — Subverwerkers

Klant verleent algemene schriftelijke toestemming voor de inzet van subverwerkers die op de actuele subverwerkerslijst staan vermeld.

Leverancier informeert Klant vooraf over voorgenomen toevoegingen of vervangingen en biedt een redelijke mogelijkheid bezwaar te maken.

Leverancier legt subverwerkers gegevensbeschermingsverplichtingen op die ten minste gelijkwaardig zijn aan de relevante verplichtingen uit deze overeenkomst.

Leverancier blijft tegenover Klant verantwoordelijk voor de nakoming van de verplichtingen door subverwerkers.

Artikel 7 — Datalekken

Leverancier informeert Klant zonder onredelijke vertraging nadat hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens.

Als contractueel uitgangspunt streeft Leverancier naar een eerste melding binnen 24 uur na vaststelling van het incident.

De eerste melding bevat de op dat moment beschikbare informatie over de aard van het incident, mogelijke gevolgen en genomen maatregelen.

Ontbrekende informatie wordt zo spoedig mogelijk aangevuld.

Leverancier werkt redelijkerwijs mee aan onderzoek, beperking van schade en eventuele meldingen aan de Autoriteit Persoonsgegevens of betrokkenen.

Klant blijft verantwoordelijk voor het beoordelen en uitvoeren van zijn wettelijke meldplichten als verwerkingsverantwoordelijke.

Artikel 8 — Rechten van betrokkenen

Leverancier ondersteunt Klant, rekening houdend met de aard van de verwerking en beschikbare informatie, bij verzoeken om inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en andere toepasselijke AVG-rechten.

Artikel 9 — Overige AVG-verplichtingen

Leverancier verleent, rekening houdend met de aard van de verwerking en de beschikbare informatie, redelijke ondersteuning bij:

• Het beoordelen en melden van datalekken.
• Het uitvoeren van gegevensbeschermingseffectbeoordelingen (DPIA's).
• Eventuele voorafgaande raadpleging van de toezichthouder.
• Het aantonen van naleving van de verplichtingen uit artikel 28 AVG.

Artikel 10 — Internationale doorgifte

Doorgifte van persoonsgegevens buiten de EER vindt uitsluitend plaats wanneer wordt voldaan aan hoofdstuk V AVG.

Waar noodzakelijk worden passende doorgiftemechanismen en aanvullende waarborgen toegepast.

De relevante doorgiften en subverwerkers worden opgenomen in de subverwerkersdocumentatie.

Artikel 11 — Teruggave en verwijdering

Na beëindiging van de dienstverlening stelt Leverancier Klant in staat de persoonsgegevens terug te ontvangen in een overeengekomen, gangbaar formaat.

Na afloop van de overeengekomen exporttermijn verwijdert Leverancier de persoonsgegevens of retourneert deze overeenkomstig de keuze van Klant, tenzij een wettelijke bewaarplicht anders vereist.

De verwerking van gegevens in back-ups en de termijnen voor definitieve verwijdering worden beschreven in Bijlage B.

Leverancier verwijdert ook kopieën voor zover geen wettelijke uitzondering van toepassing is.

Artikel 12 — Controle en audits

Leverancier stelt de informatie beschikbaar die redelijkerwijs nodig is om naleving van artikel 28 AVG aan te tonen.

Leverancier maakt audits door Klant of een gemachtigde onafhankelijke auditor mogelijk en werkt daaraan mee overeenkomstig artikel 28 AVG.

Partijen stemmen planning en uitvoering af om onnodige verstoring en blootstelling van gegevens van andere klanten te voorkomen.

Eventuele afspraken over kosten en uitvoering mogen de wettelijke auditrechten niet feitelijk onmogelijk maken.

Artikel 13 — Aansprakelijkheid

De aansprakelijkheidsregeling uit de hoofdovereenkomst is van toepassing voor zover deze verenigbaar is met dwingend recht.

Deze overeenkomst beperkt geen rechten van betrokkenen of aansprakelijkheid die rechtstreeks uit de AVG voortvloeit.

Partijen dragen ieder verantwoordelijkheid voor hun eigen wettelijke verplichtingen.

Artikel 14 — Slotbepalingen

Deze overeenkomst geldt gedurende de periode waarin Leverancier namens Klant persoonsgegevens verwerkt.

Bij strijdigheid met de algemene voorwaarden heeft deze overeenkomst voorrang voor de verwerking van persoonsgegevens.

Nederlands recht is van toepassing.

Bijlage A — Beschrijving van de verwerking

Onderwerp: Personeelsplanning via RoosterPartner.

Doeleinden: Het vastleggen en beheren van beschikbaarheid, werktijden, verlof, diensten, bezetting en gerelateerde planningsinformatie.

Categorieën betrokkenen:

• Medewerkers van de Klant.
• Ingehuurde professionals en freelancers.
• Planners, leidinggevenden en beheerders.

Categorieën persoonsgegevens:

• Naam en contactgegevens.
• Functie, afdeling en kwalificaties.
• Beschikbaarheid en werktijden.
• Verlofgegevens en roosterhistorie.
• Gebruikersgegevens en autorisaties.
• Overige door Klant ingevoerde gegevens binnen de overeengekomen functionaliteiten.

Bijzondere persoonsgegevens (indien gebruikt):

• Kwalificaties en vaardigheden medewerkers

Duur: Gedurende de overeenkomst en de overeengekomen periode voor gegevensoverdracht en verwijdering.

Bijlage B — Technische en organisatorische maatregelen

De volgende maatregelen worden ingevuld en bevestigd aan de hand van de daadwerkelijk geïmplementeerde beveiliging:

Deze bijlage moet vóór ingebruikname worden ingevuld. Niet-geïmplementeerde maatregelen mogen niet als bestaande beveiliging worden gepresenteerd.