VERWERKERSOVEREENKOMST AVG

SHI b.v. verwerkt onder andere persoonsgegevens voor en in opdracht van de klant. SHI b.v. en de klant zijn daarom verplicht volgens de Algemene Verordening Gegevensbescherming (AVG) om een Verwerkersovereenkomst te sluiten. Volgens de AVG is SHI b.v. 'verwerker' en is de klant 'verwerkingsverantwoordelijke'. In deze Verwerkersovereenkomst is daarnaast opgenomen hoe SHI b.v. met de meldplicht datalekken omgaat.
Deze overeenkomst maakt onderdeel uit van het totaal aan maatregelen genomen door SHI b.v. in het kader van de AVG en datalekken.

Verwerkersovereenkomst

SHI b.v. en de klant verplichten zich over en weer om de AVG na te leven. Voor de definities van begrippen wordt aangesloten bij artikel 1 van de AVG.
SHI b.v. zal de van toepassing zijnde persoonsgegevens alleen verwerken voor en in opdracht van de klant en om uitvoering te geven aan de overeenkomst. SHI b.v. heeft geen zeggenschap over de persoonsgegevens die door de klant beschikbaar worden gesteld. Zonder noodzaak, gezien de aard van de door de klant verstrekte opdracht, expliciete toestemming van de klant of wettelijke verplichting zal SHI b.v. de gegevens niet aan derden verstrekken of voor andere doeleinden verwerken, dan voor de overeengekomen doeleinden. De klant garandeert dat de persoonsgegevens verwerkt mogen worden op basis van een in de AVG genoemde grondslag.
SHI b.v. neemt passende technische en organisatorische maatregelen om de persoonsgegevens van de klant te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking. Deze maatregelen worden aangemerkt als een passend beveiligingsniveau in de zin van de AVG. De klant is gerechtigd om in overleg met SHI b.v. tijdens de looptijd van de overeenkomst en in onderling overleg door een onafhankelijke deskundige de naleving hiervan te controleren, bijvoorbeeld door middel van het uitvoeren van een audit. De klant zal alle kosten in verband met deze controle dragen. SHI b.v. zal, indien een gemotiveerd verzoek gedaan wordt door een daartoe bevoegde autoriteit en op grond van relevante wet- en regelgeving, de gevraagde informatie beschikbaar stellen aan de betreffende organisatie.
Tevens verplicht SHI b.v. enige sub-bewerker, zoals hieronder benoemd, eveneens te voldoen aan een dergelijk verzoek van deze toezichthouders.
De verwerkersverantwoordelijke zal SHI b.v. direct op de hoogte stellen van enige al dan niet bindende aanwijzing opgelegd door de Autoriteit Persoonsgegevens. SHI b.v. zal in alle redelijkheid die maatregelen nemen die nodig zijn om de AVG na te leven.

Sub-verwerker

SHI b.v. zal uitsluitend gebruik maken van een sub-verwerker indien dit nodig is voor de levering van de dienst of goederen en zal in het kader daarvan niet meer persoonsgegevens verstrekken dan die informatie die voor de sub-verwerker nodig is voor de levering van de dienst of goederen. Indien SHI b.v. enige bindende aanwijzing ontvangt waarbij betrokkenheid van de sub-verwerker relevantie heeft, zal SHI b.v. de sub-verwerker terstond informeren met de eis om passende maatregelen te nemen die nodig zijn om de AVG na te leven.
SHI b.v. zal geen nieuwe sub-verwerkers gegevens laten verwerken zonder de klant daarover tijdig te informeren. De klant kan, indien hij dat nodig acht, bezwaar maken bij SHI b.v. tegen de sub-verwerker en in het uiterste geval heeft de klant de mogelijkheid om de overeenkomst te beëindigen.

Privacy en geheimhouding

SHI b.v. is zich bewust dat de informatie die de klant met SHI b.v. deelt en opslaat binnen het ordersysteem van SHI b.v. een gevoelig karakter in het kader van de AVG heeft. Alle SHI b.v. medewerkers zullen gedurende hun dienstverband en daarna, zoals in hun arbeidsovereenkomst met geheimhoudingsclausule is opgenomen, op verantwoorde wijze met de informatie van de klant omgaan.

Medewerkers met toegang tot klantgegevens

De volgende functies binnen SHI b.v. hebben toegang tot de klantgegevens.
Verkoop: Wegens de commerciële aspecten van de overeenkomst.
Verkoop binnendienst: Wegens de administratieve afwikkeling van de overeenkomst inclusief facturatie.
Bedrijfsbureau: Wegens de administratieve afwikkeling van de fysieke afhandeling van de order.
Magazijn: Wegens klant order picking en verzendklaar maken van de goederen.
Financiële administratie: Wegens het uitoefenen van controle op transacties en betalingen.
ICT-afdeling: Wegens het onderhoud van het systeem.
Kwaliteitsdienst: In geval van calamiteiten.
De gegeven toegang is beperkt tot die gegevens welke nodig zijn voor de uitvoering van de taken
binnen de genoemde functie. Consultants, supportmedewerkers en sub-verwerkers hebben alleen
toegang tot de klantgegevens tot welke zij, uit hoofde van de werkzaamheden, toegang moeten
kunnen hebben.

Gegevens

SHI b.v. verzamelt geanonimiseerde gegevens over haar producten.
Deze gegevens ondersteunen SHI b.v. om inzicht te krijgen in verkoopstatistieken en zullen uitsluitend gebruikt worden om producten en dienstverlening te verbeteren.
De datacenters waar de servers van SHI b.v. gehuisvest zijn, bevinden zich uitsluitend in Nederland en vallen onder Nederlandse wet- en regelgeving en voldoen aan de strenge Nederlandse en Europese wetgeving met betrekking tot logische en fysieke toegangsbeveiliging en continuïteit. De datacenters zijn ISO 27001 gecertificeerd. De datacenters zijn uitsluitend in gebruik voor de opslag
van data en is als zodanig een sub-verwerker.

Meldplicht datalekken

De AVG vereist dat eventuele datalekken door de verwerkingsverantwoordelijke van de data,
gemeld worden aan de Autoriteit Persoonsgegevens. SHI b.v. zal in relatie tot de persoonsgegevens van klant zelf geen meldingen doen bij de Autoriteit Persoonsgegevens tenzij enig datalek niet beperkt is tot uitsluitend de gegevens van de klant.
Uiteraard zal SHI b.v. als verwerker de klant juist, tijdig en volledig informeren over relevante incidenten, zodat de klant als verwerkingsverantwoordelijke aan zijn wettelijke verplichtingen kan voldoen.

Bepaling en melding datalek

Voor het bepalen van een datalek, gebruikt SHI b.v. de AVG en de Beleidsregels meldplicht datalekken als leidraad. Onder een datalek vallen alle beveiligingsincidenten waardoor de bescherming van persoonsgegevens van klant op enig moment is doorbroken of waardoor de
persoonsgegevens blootgesteld zijn aan verlies of onrechtmatige verwerking. Het kan bijvoorbeeld
gaan om het verlies van een USB-stick of computer, inbraak door een hacker, verzending van een email
waarin de e-mailadressen zichtbaar zijn voor alle geadresseerden, een malwarebesmetting of een calamiteit zoals brand in een datacenter of andere sub-verwerker.
SHI b.v. heeft een eenduidige procedure opgesteld en gedistribueerd onder alle medewerkers. Onderdeel van deze procedure is het onderzoeken van en het bijhouden van een register met betrekking tot datalekken.
In geval van een datalek waarvan melding dient te worden gemaakt, zal SHI b.v., indien relevant, de klant binnen 48 uur na constatering informeren. De klant kan daarmee voldoen aan de termijn van 72 uur voor melding aan de Autoriteit Persoonsgegevens na constatering van het datalek.
Indien de klant een (voorlopige) melding verricht bij de Autoriteit Persoonsgegevens en/of de betrokkene(n) over een datalek bij SHI b.v. dient de klant SHI b.v. hierover vooraf te informeren. In geval zulk een doorgezette melding een niet terechte melding betreft, dan is de klant aansprakelijk voor alle door SHI b.v. geleden schade en kosten. De klant is daarnaast verplicht een dergelijke melding direct in te trekken en van deze intrekking SHI b.v. op de hoogte te stellen.