Verwerkersovereenkomst

Concept – verwerkersovereenkomst voor een zakelijke opdracht

Kies eerst de juiste rol. Dit aanpasbare concept is uitsluitend bedoeld voor verwerkingen waarbij Uw Bedrijf B.V. persoonsgegevens op gedocumenteerde instructie van een zakelijke opdrachtgever verwerkt. Een zakelijke klant maakt ons niet automatisch verwerker. Bij particuliere klanten zijn wij voor onze eigen klantenadministratie, werkzaamheden en wettelijke registratie verwerkingsverantwoordelijke: gebruik daarvoor de privacyverklaring en sluit op die grond geen verwerkersovereenkomst met de particulier.

Laat partijen vóór ondertekening de opdracht, instructies, gegevenscategorieën, betrokkenen, duur, concrete maatregelen en de toestemming voor subverwerkers vastleggen en juridisch beoordelen. Dit concept wordt niet door alleen publicatie een gesloten overeenkomst en is geen bewijs van volledige AVG-naleving.

Partijen en rollen

De zakelijke opdrachtgever is verwerkingsverantwoordelijke voor de hieronder af te spreken verwerking; Uw Bedrijf B.V. is daarvoor verwerker. Verwerkingen voor onze eigen doeleinden, zoals eigen facturatie en wettelijk verplichte registraties, vallen onder onze verantwoordelijkheid en privacyverklaring. Beschrijf deze afbakening per opdracht.

Opdracht, instructies en duur

Leg de aard, het doel en de duur van de verwerking vast. Denk aan installatiebeheer, planning, werkbonnen, rapportages, auditregistraties, documenten, klantportaal en communicatie. Wij verwerken uitsluitend op gedocumenteerde instructie van de opdrachtgever, ook bij doorgifte, tenzij de wet anders verplicht. Wij informeren de opdrachtgever over die verplichting voor zover toegestaan en melden een instructie die naar ons oordeel in strijd is met gegevensbeschermingsregels.

Gegevens en betrokkenen

Beschrijf de benodigde contact- en adresgegevens, gebruikers- en installatiegegevens, werkbonnen, foto’s, handtekeningen, certificaten en communicatie. Benoem welke klanten, medewerkers, contactpersonen of andere betrokkenen hieronder vallen en beperk de verwerking tot wat voor de opdracht nodig is.

Geheimhouding en beveiliging

Wij binden bevoegde personen aan geheimhouding en leggen passende technische en organisatorische maatregelen vast in een bijlage. Beschrijf toegangsbeheer, beveiligde verbindingen, logging, back-ups, herstel, verwijdering en de verdeling van verantwoordelijkheden. Controleer of de maatregelen daadwerkelijk zijn ingericht.

Subverwerkers

Voor de afgesproken verwerking in F-Register is F-Register subverwerker. F-Register beheert zelf de servers, software, encryptie en beveiliging op hardware/infrastructuur van Worldstream B.V. in Nederland. Worldstream heeft voor deze dienst geen beheertoegang tot de serverinhoud en maakt geen serverback-ups. F-Register gebruikt TransIP B.V. als subverwerker voor documentopslag en eigen offsite back-ups in Amsterdam, Nederland. Leg de vereiste voorafgaande schriftelijke toestemming en verplichtingen vast. Spreek bij algemene toestemming af hoe nieuwe of vervangende subverwerkers vooraf worden gemeld en hoe bezwaar kan worden gemaakt. Voeg eigen koppelingen en overige subverwerkers afzonderlijk toe en leg eventuele doorgiften buiten de EER en hun waarborgen vast.

Incidenten en ondersteuning

Wij melden een inbreuk op de verwerkte persoonsgegevens zonder onredelijke vertraging aan de opdrachtgever en verstrekken beschikbare informatie over aard, gevolgen en maatregelen. Leg een bereikbaar meldpunt en werkafspraken vast. Wij ondersteunen de opdrachtgever, rekening houdend met de aard van de verwerking en beschikbare informatie, bij rechtenverzoeken, beveiligingsverplichtingen, meldingen, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging.

Controle en verantwoording

Wij stellen informatie beschikbaar waarmee naleving kan worden aangetoond en werken mee aan redelijke audits en inspecties door de opdrachtgever of diens gemachtigde. Werk reikwijdte, vertrouwelijkheid en praktische afspraken uit zonder dit recht uit te sluiten.

Einde en bewaring

Leg de einddatum, exportwijze, ophaaltermijn en verwijdering vast. Na de opdracht worden gegevens naar keuze van de opdrachtgever teruggegeven of verwijderd, met verwijdering van kopieën, tenzij de wet bewaring vereist. Beschrijf de back-upretentie en herstelprocedure. Voor registraties waarop artikel 7 van Verordening (EU) 2024/573 van toepassing is, geldt minimaal vijf jaar bewaring; behoud uitsluitend de gegevens die voor die verplichting nodig zijn. Dit is geen algemene bewaartermijn voor het volledige klantdossier.

Contact

Vragen en instructies kunnen worden gestuurd naar info@uw-website.nl. Vul de contactpersoon en incidentroute van de zakelijke opdrachtgever aan.