Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij de overeenkomst tussen COMPANY_NAMEnog in te vullen en een klant met SIA Organisation. De klant is verwerkingsverantwoordelijke, COMPANY_NAMEnog in te vullen is verwerker.

Het gaat om persoonsgegevens van medewerkers en van gebruikers van de werkruimte, voor zover die in SIA worden ingevoerd: naam, functie, dienstverband, de omschrijving van een dossier en de datums die daarbij horen.

Deze overeenkomst geldt zolang de hoofdovereenkomst loopt, en eindigt pas zodra alle persoonsgegevens zijn teruggegeven of verwijderd.

De verwerker verwerkt persoonsgegevens uitsluitend op schriftelijke instructie van de klant. Het gebruik van de dienst zelf geldt als zo’n instructie.

Blijkt een instructie in strijd met de wet, dan meldt de verwerker dat voordat hij hem uitvoert.

Iedereen die namens de verwerker toegang heeft tot de persoonsgegevens is tot geheimhouding verplicht, ook nadat de opdracht is afgelopen.

Versleuteld verkeer, wachtwoorden alleen als hash, toegang op basis van rollen, logging van die toegang, een gescheiden werkruimte per klant en periodieke back-ups.

De maatregelen worden aangepast zodra de stand van de techniek daarom vraagt.

De verwerker schakelt subverwerkers in: een aanbieder van AI-modellen, onder een verwerkersovereenkomst, en de hostingpartij in de EU.

Een nieuwe subverwerker wordt dertig dagen van tevoren gemeld. De klant kan daar bezwaar tegen maken, en opzeggen als er geen oplossing komt.

Komt er bij de verwerker een verzoek binnen van een medewerker, dan stuurt hij dat door naar de klant en beantwoordt hij het niet zelf.

De verwerker helpt de klant om zo’n verzoek binnen de termijn af te handelen, met de middelen die de dienst daarvoor heeft.

De verwerker meldt een inbreuk in verband met persoonsgegevens binnen 72 uur nadat hij daarvan kennis heeft genomen, aan de klant.

De melding vermeldt wat er is gebeurd, om welke gegevens het gaat, wat de gevolgen kunnen zijn en welke maatregelen zijn genomen. De melding aan de toezichthouder en aan betrokkenen doet de klant.

De klant mag eens per jaar laten controleren of deze afspraken worden nagekomen, door een onafhankelijke auditor en op eigen kosten. De verwerker levert de informatie die daarvoor nodig is.

Aan het einde van de overeenkomst worden alle persoonsgegevens op verzoek teruggegeven in een gangbaar formaat, en daarna verwijderd, uiterlijk dertig dagen na afloop.

Back-ups verdwijnen binnen de reguliere bewaartermijn daarvan. Wat de verwerker wettelijk moet bewaren, blijft bewaard.