Deze verwerkersovereenkomst geldt tussen Valerie Vos, eenmanszaak met handelsnaam It’s a design thing, 3130 Begijnendijk, ondernemingsnummer BE0685.752.881 (“de Verwerker”), en elke klant die bij haar diensten afneemt waarbij persoonsgegevens worden verwerkt (“de Klant”).

Artikel 1 – Toepassing

1. Deze overeenkomst maakt deel uit van de algemene voorwaarden van It’s a design thing en is van toepassing zodra de Klant een offerte of de algemene voorwaarden aanvaardt voor diensten zoals domeinnamen, webhosting, e-mailhosting of technisch beheer (“de Dienstverlening”).
2. Partijen kunnen voor een specifieke klant een afzonderlijke verwerkersovereenkomst ondertekenen. Die gaat dan voor op deze tekst.

Artikel 2 – Definities

Begrippen als “persoonsgegevens”, “verwerking”, “verwerkingsverantwoordelijke”, “verwerker”, “betrokkene” en “inbreuk in verband met persoonsgegevens” (datalek) hebben de betekenis uit artikel 4 van de Algemene Verordening Gegevensbescherming (AVG).

Artikel 3 – Voorwerp en rolverdeling

1. De Verwerker verwerkt persoonsgegevens alleen voor de Dienstverlening, zoals beschreven in de Bijlage.
2. De Klant is verwerkingsverantwoordelijke. Hij bepaalt het doel en de middelen van de verwerking en is verantwoordelijk voor de rechtmatigheid ervan, voor de informatie aan betrokkenen en voor zijn interne afspraken met medewerkers.
3. Buiten de Dienstverlening vallen: het beheer en de beveiliging van toestellen, het beheer van gebruikers en wachtwoorden binnen de organisatie van de Klant, interne procedures, software van derden, en de inhoud, plugins en instellingen van een website na de oplevering, tenzij daarvoor een apart onderhoudscontract bestaat.
4. Heeft de Klant zelf toegang tot het beheerpaneel van de hostingprovider, dan is hij verantwoordelijk voor de wijzigingen die hij daar zelf uitvoert.

Artikel 4 – Instructies

1. De Verwerker verwerkt persoonsgegevens alleen op basis van schriftelijke instructies van de Klant, behalve als een wettelijke verplichting anders oplegt. In dat geval brengt de Verwerker de Klant vooraf op de hoogte, tenzij de wet dat verbiedt.
2. Instructies worden gegeven door de contactpersoon van de Klant uit de offerte of door een persoon die de Klant schriftelijk aanduidt. Instructies per e-mail vanaf een gekend adres gelden als schriftelijk.
3. Bij instructies over toegang tot mailboxen, zoals een wachtwoord wijzigen, een doorsturing instellen of een mailbox verwijderen, controleert de Verwerker de identiteit van de aanvrager en bevestigt hij de uitgevoerde wijziging schriftelijk, met datum.
4. Is een instructie volgens de Verwerker in strijd met de AVG, dan meldt hij dat meteen aan de Klant en mag hij de uitvoering opschorten.
5. De Verwerker leest de inhoud van mailboxen niet, tenzij de Klant dat uitdrukkelijk en schriftelijk vraagt voor een welomschreven reden. Een export of back-up van een mailbox gebeurt alleen op schriftelijke vraag, en de Verwerker verwijdert zijn eigen kopie zodra die aan de Klant bezorgd is.

Artikel 5 – Vertrouwelijkheid

De Verwerker houdt de persoonsgegevens geheim en gebruikt ze niet voor eigen doeleinden. Medewerkers of hulppersonen van de Verwerker zijn gebonden aan een gelijkwaardige geheimhoudingsplicht. Deze verplichting blijft gelden na het einde van de overeenkomst.

Artikel 6 – Beveiliging

1. De Verwerker neemt passende technische en organisatorische maatregelen volgens artikel 32 van de AVG, zoals beschreven in de Bijlage.
2. De Klant kiest het beveiligingsniveau van de afgenomen diensten. Standaard mailboxen bieden bijvoorbeeld geen tweestapsverificatie. Wenst de Klant een hoger niveau, dan maakt de Verwerker daarvoor een offerte.
3. De Klant staat zelf in voor de beveiliging van toestellen, het geheimhouden en regelmatig wijzigen van wachtwoorden, en zijn interne toegangsbeleid.

Artikel 7 – Subverwerkers

1. De Klant geeft de Verwerker algemene toestemming om de subverwerkers uit de Bijlage in te schakelen.
2. De Verwerker meldt een nieuwe of vervangende subverwerker minstens 30 dagen vooraf per e-mail aan de Klant. De Klant kan binnen die termijn gemotiveerd bezwaar maken en, als partijen geen oplossing vinden, de betrokken dienst opzeggen.
3. De Verwerker legt aan elke subverwerker minstens gelijkwaardige verplichtingen op.

Artikel 8 – Doorgifte buiten de EER

De Verwerker geeft geen persoonsgegevens door naar landen buiten de Europese Economische Ruimte, tenzij de Klant daar vooraf schriftelijk mee instemt en de voorwaarden van hoofdstuk V van de AVG vervuld zijn.

Artikel 9 – Bijstand

1. De Verwerker helpt de Klant binnen redelijke grenzen bij verzoeken van betrokkenen en bij vragen van de Gegevensbeschermingsautoriteit, en bij zijn verplichtingen uit de artikelen 32 tot 36 van de AVG.
2. Een verzoek dat de Verwerker rechtstreeks van een betrokkene krijgt, stuurt hij zonder vertraging door naar de Klant.
3. Bijstand van meer dan [2] uur per jaar, en het opvragen van logs of back-ups bij een subverwerker, wordt aangerekend tegen het geldende uurtarief, na voorafgaand akkoord van de Klant.

Artikel 10 – Datalekken

1. De Verwerker meldt een datalek zonder onredelijke vertraging aan de Klant, en uiterlijk binnen 48 uur nadat hij er kennis van kreeg. Dat geldt ook voor datalekken die een subverwerker aan de Verwerker meldt.
2. De melding bevat, voor zover bekend: wat er gebeurde, welke gegevens en betrokkenen geraakt zijn, de mogelijke gevolgen en de genomen of voorgestelde maatregelen.
3. De Klant beslist over een melding aan de Gegevensbeschermingsautoriteit of aan de betrokkenen, en doet die zelf.
4. Stelt de Klant zelf een mogelijk datalek vast, zoals een verloren toestel of een uitgelekt wachtwoord, dan meldt hij dat meteen aan de Verwerker.

Artikel 11 – Informatie en audits

1. De Verwerker stelt de Klant de informatie ter beschikking die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd.
2. Voor de hostinginfrastructuur verwijzen partijen naar de certificeringen van de subverwerkers uit de Bijlage.
3. Een audit bij de Verwerker gebeurt maximaal één keer per jaar, na minstens 30 dagen schriftelijke aankondiging, op kosten van de Klant.

Artikel 12 – Duur

Deze overeenkomst geldt vanaf de aanvaarding van de offerte of de algemene voorwaarden, zolang de Verwerker persoonsgegevens verwerkt voor de Klant.

Artikel 13 – Einde van de overeenkomst

1. Bij het einde van de Dienstverlening kiest de Klant schriftelijk of de gegevens worden overgedragen naar een andere provider, of verwijderd.
2. Maakt de Klant binnen 30 dagen na het einde geen keuze, dan mag de Verwerker de gegevens laten verwijderen. Back-ups bij subverwerkers worden verwijderd volgens hun eigen termijnen.
3. De Verwerker bevestigt de verwijdering schriftelijk.

Artikel 14 – Aansprakelijkheid

1. Elke partij is aansprakelijk voor schade die voortvloeit uit haar eigen tekortkomingen onder deze overeenkomst of de AVG, zoals bepaald in artikel 82 van de AVG.
2. Tussen partijen is de aansprakelijkheid van de Verwerker beperkt tot het bedrag dat de Klant in de 12 maanden vóór het schadegeval aan de Verwerker betaalde voor de Dienstverlening, behalve bij opzet of zware fout.
3. De Verwerker is niet aansprakelijk voor schade die voortvloeit uit handelingen of nalatigheden van de Klant of zijn medewerkers, zoals het delen van wachtwoorden of het verlies van toestellen.

Artikel 15 – Wijzigingen en slotbepalingen

1. De Verwerker kan deze overeenkomst wijzigen. Een nieuwe versie wordt minstens 30 dagen voor de inwerkingtreding op de website gepubliceerd en per e-mail aan de Klant gemeld. Gaat de Klant niet akkoord, dan kan hij de betrokken dienst opzeggen vóór de nieuwe versie ingaat.
2. Bij strijdigheid met de algemene voorwaarden gaat deze overeenkomst voor wat betreft de verwerking van persoonsgegevens.
3. Op deze overeenkomst is het Belgisch recht van toepassing. Geschillen worden voorgelegd aan de rechtbanken van [Leuven].

Bijlage – Verwerking, maatregelen en subverwerkers

Beschrijving van de verwerking

Onderdeel	Omschrijving
Diensten	De diensten uit de offerte: domeinnamen, webhosting, e-mailhosting en/of technisch beheer
Aard van de verwerking	Opslag, doorgifte (versturen en ontvangen van e-mail), back-up, technisch beheer en op instructie wijzigen, blokkeren of verwijderen
Doel	De Klant in staat stellen zijn website en e-mail te gebruiken
Betrokkenen	Klanten, medewerkers, websitebezoekers en andere correspondenten van de Klant
Soorten gegevens	Identificatie- en contactgegevens, inhoud van e-mails en bijlagen, gegevens uit contactformulieren, technische gegevens zoals IP-adressen en logs
Bijzondere gegevens	Kunnen voorkomen in e-mails of formulieren, afhankelijk van de activiteit van de Klant. De Verwerker kent de inhoud niet en bepaalt niet wat er verstuurd wordt.
Bewaartermijn	Zolang de Klant de gegevens bewaart, daarna volgens de back-uptermijnen van de subverwerker

Maatregelen van de Verwerker

• Tweestapsverificatie op het beheeraccount bij de hostingprovider, en op de accounts van de Klant in dat beheerpaneel.
• Een sterk, uniek wachtwoord voor het beheeraccount, bewaard in een wachtwoordbeheerder.
• Wijzigingen aan mailboxen alleen op schriftelijke instructie, na identiteitscontrole, met schriftelijke bevestiging en datum.
• Een register van uitgevoerde wijzigingen: datum, mailbox, wijziging en aanvrager.
• Wachtwoorden worden alleen aan de betrokken persoon bezorgd, via een beveiligde, eenmalige link.
• Geen inzage in de inhoud van mailboxen zonder uitdrukkelijke schriftelijke vraag.
• Beveiligde, up-to-date werktoestellen met schijfversleuteling en schermvergrendeling.

Subverwerkers

• Combell nv (team.blue-groep), België
• Dienst: Hosting van domeinnamen, websites en mailboxen; back-ups
• Waarborgen: ISO 9001, ISO 27001, ISO 27701; algemene voorwaarden

Contact: vragen over deze overeenkomst of over gegevensbescherming kunnen naar info@itsadesignthing.be.