Verwerkersovereenkomst Kleding Management Systeem

Versie 1.0, geldig vanaf datum

Deze verwerkersovereenkomst hoort bij de overeenkomst voor het gebruik van het Kleding Management Systeem tussen de klant (verwerkingsverantwoordelijke) en bedrijfsnaam (verwerker). Je gaat ermee akkoord bij het aanvragen ervan. Bij strijdigheid met de algemene voorwaarden gaat deze overeenkomst voor.

1. Onderwerp

De verwerker stelt het Kleding Management Systeem beschikbaar als online dienst: een webwinkel waarin medewerkers van de klanten van de verwerkingsverantwoordelijke bedrijfskleding bestellen binnen een toegekend budget. De verwerker verwerkt persoonsgegevens uitsluitend om die dienst te leveren en alleen op schriftelijke instructie van de verwerkingsverantwoordelijke. Het gebruik van de dienst zoals bedoeld geldt als zo'n instructie.

2. Geheimhouding

Iedereen die namens de verwerker toegang heeft tot de gegevens is tot geheimhouding verplicht.

3. Beveiliging

De verwerker neemt passende technische en organisatorische maatregelen. Daartoe behoren in elk geval:

• een eigen database per klantomgeving, zodat gegevens van verschillende klanten gescheiden zijn;
• wachtwoorden, uitnodigings- en herstelcodes uitsluitend als hash, met vervaltijd en eenmalig gebruik;
• rolgebaseerde toegang en een logboek van inlogpogingen en wijzigingen;
• versleutelde verbindingen en een beveiligde sessie;
• dagelijkse back-ups binnen de Europese Economische Ruimte, met een bewaartermijn van dertig dagen.

4. Subverwerkers

De verwerkingsverantwoordelijke geeft toestemming voor de inzet van de volgende categorieën subverwerkers:

• de partij die de servers en back-ups verzorgt, binnen de Europese Economische Ruimte;
• de dienst voor het versturen van e-mail, gevestigd in de Verenigde Staten. Doorgifte gebeurt op basis van het EU-VS Data Privacy Framework / standaardcontractbepalingen;
• het boekhoudpakket waarnaar bestellingen worden geëxporteerd, als de verwerkingsverantwoordelijke die koppeling gebruikt.

Een overzicht met namen wordt op verzoek verstrekt. De verwerker kondigt een nieuwe subverwerker 30 dagen vooraf aan; de verwerkingsverantwoordelijke kan binnen die termijn bezwaar maken en de overeenkomst per de ingangsdatum opzeggen.

5. Datalekken

De verwerker meldt een inbreuk op de beveiliging die gevolgen heeft voor de persoonsgegevens zonder onredelijke vertraging, en uiterlijk binnen 24 uur na ontdekking, aan de verwerkingsverantwoordelijke. De melding bevat wat op dat moment bekend is over de aard, de omvang en de genomen maatregelen.

6. Rechten van betrokkenen en bijstand

De verwerker helpt de verwerkingsverantwoordelijke bij verzoeken van betrokkenen en bij een gegevensbeschermingseffectbeoordeling, voor zover de gegevens in het systeem staan. De meeste verzoeken kan de verwerkingsverantwoordelijke zelf afhandelen in het beheerscherm.

7. Audit

De verwerkingsverantwoordelijke kan de verwerker vragen aan te tonen dat deze overeenkomst wordt nageleefd. De verwerker verstrekt daarvoor de benodigde informatie. Kosten van een audit door een derde zijn voor de verwerkingsverantwoordelijke.

8. Einde van de overeenkomst

Na het einde van de overeenkomst stelt de verwerker de gegevens op verzoek binnen 30 dagen beschikbaar in een gangbaar formaat. Daarna verwijdert hij ze, en uit de back-ups binnen dertig dagen, tenzij een wettelijke plicht tot bewaren geldt.

Bijlage — Gegevens en betrokkenen

Betrokkenen: medewerkers van de klanten van de verwerkingsverantwoordelijke die kleding bestellen, beheerders die budgetten toekennen en bestellingen goedkeuren, en contactpersonen op vestigingen en afleverlocaties.

Bijzondere categorieën persoonsgegevens, strafrechtelijke gegevens en het BSN worden niet verwerkt. De verwerkingsverantwoordelijke voert ze ook niet in, ook niet in vrije tekstvelden.