Verwerkersovereenkomst

1. Partijen en rollen

De zakelijke klant is de verwerkingsverantwoordelijke. Zij bepaalt waarom en hoe persoonsgegevens via haar website worden gebruikt. ManiSite is de verwerker en verwerkt die gegevens uitsluitend voor het leveren van de afgesproken diensten.

Deze verwerkersovereenkomst vormt een bijlage bij de hoofdovereenkomst en de algemene voorwaarden.

2. Onderwerp, doel en duur

De verwerking is beperkt tot wat nodig is voor hosting, opslag, beveiliging, back-ups, technisch beheer, ondersteuning, zakelijke e-mail en het laten functioneren van formulieren. De verwerking duurt zolang de hoofdovereenkomst loopt en tijdens de afgesproken verwijder- en overdrachtsperiode daarna.

3. Gegevens en betrokkenen

Afhankelijk van wat de klant gebruikt, kunnen de volgende gegevens worden verwerkt:

• Namen en contactgegevens van bezoekers en cliënten
• Formulierberichten en afspraakverzoeken
• IP-adressen, technische loggegevens en tijdstippen
• Zakelijke e-mail en mailboxgegevens
• Beheerdersaccounts en inloggegevens
• Foto's, reviews en andere door de klant geplaatste inhoud

Betrokkenen kunnen onder andere bezoekers, cliënten, medewerkers en contactpersonen van de klant zijn. De diensten zijn niet ingericht voor medische dossiers, burgerservicenummers of andere bijzondere persoonsgegevens. De klant voorkomt dat zulke gegevens zonder noodzaak via vrije tekstvelden worden verzameld.

4. Instructies en verantwoordelijkheden

ManiSite verwerkt persoonsgegevens alleen volgens de hoofdovereenkomst, deze overeenkomst en aanvullende schriftelijke instructies van de klant. Wanneer een instructie naar het oordeel van ManiSite in strijd is met privacywetgeving, wordt de klant daarover geïnformeerd en mag uitvoering worden opgeschort.

De klant zorgt voor een geldige grondslag, duidelijke informatie aan betrokkenen, passende bewaartermijnen en een eigen privacyverklaring. De klant richt formulieren zo in dat niet meer gegevens worden gevraagd dan nodig.

5. Geheimhouding en toegang

Alleen personen die toegang nodig hebben voor beheer, ondersteuning of beveiliging krijgen toegang tot persoonsgegevens. Zij zijn contractueel of wettelijk tot geheimhouding verplicht. ManiSite bekijkt mailbox- of formulierinhoud alleen wanneer dit nodig is voor ondersteuning, beveiliging, een instructie van de klant of een wettelijke verplichting.

6. Beveiliging

ManiSite treft, passend bij het risico, onder meer de volgende maatregelen:

• Versleutelde verbindingen voor publiek webverkeer
• Beperkte en beveiligde beheeraccounts
• Updates en herstel van bekende kwetsbaarheden
• Redelijke back-up- en herstelvoorzieningen
• Logging en maatregelen tegen misbruik
• Beveiligde overdracht van wachtwoorden en toegang

De klant gebruikt sterke, unieke wachtwoorden, beschermt eigen apparaten en meldt verlies of mogelijk misbruik van toegang onmiddellijk.

7. Datalekken

ManiSite meldt een bevestigd beveiligingsincident waarbij klantgegevens betrokken zijn zonder onredelijke vertraging aan de klant. De melding bevat, voor zover bekend, de aard van het incident, betrokken gegevens, waarschijnlijke gevolgen en genomen of voorgestelde maatregelen.

De klant beslist als verwerkingsverantwoordelijke of melding aan de Autoriteit Persoonsgegevens of betrokkenen nodig is. ManiSite verleent daarbij redelijke ondersteuning. Onderzoek of werkzaamheden die aantoonbaar door handelen van de klant nodig zijn, kunnen apart worden berekend.

8. Verzoeken van betrokkenen

Ontvangt ManiSite rechtstreeks een verzoek tot inzage, correctie, verwijdering, beperking of overdracht van gegevens die onder verantwoordelijkheid van de klant vallen, dan wordt het verzoek in beginsel doorgestuurd naar de klant. ManiSite helpt de klant redelijkerwijs bij de behandeling van zulke verzoeken.

9. Subverwerkers

De klant geeft algemene toestemming om leveranciers in te schakelen voor hosting, domeinbeheer, e-mail, back-ups en beveiliging. Voor verzending van e-mail kan Zoho worden gebruikt. Met subverwerkers worden passende privacy- en beveiligingsafspraken gemaakt.

ManiSite informeert de klant over een wezenlijke wijziging in subverwerkers. De klant kan binnen veertien dagen gemotiveerd bezwaar maken wanneer de wijziging aantoonbaar een privacyrisico oplevert. Kunnen partijen dat risico niet oplossen, dan mag de klant het getroffen onderdeel beëindigen.

10. Verwerking buiten de Europese Economische Ruimte

Persoonsgegevens worden bij voorkeur binnen de Europese Economische Ruimte verwerkt. Als een leverancier gegevens buiten de EER verwerkt, zorgt ManiSite voor een wettelijk toegestaan overdrachtsmechanisme en passende aanvullende waarborgen wanneer die vereist zijn.

11. Controle en informatie

ManiSite verstrekt op redelijk verzoek informatie waarmee de klant naleving van deze overeenkomst kan beoordelen. Een aanvullende audit vindt maximaal één keer per jaar plaats, tijdens kantooruren en zonder de veiligheid of vertrouwelijkheid van andere klanten te schaden. Kosten zijn voor de klant, tenzij een wezenlijke tekortkoming van ManiSite wordt vastgesteld.

12. Teruggave en verwijdering

Na beëindiging kan de klant binnen dertig dagen verzoeken om beschikbare klantgegevens terug te ontvangen in een gangbare vorm. Daarna verwijdert ManiSite de persoonsgegevens uit actieve systemen, tenzij wettelijke bewaring nodig is. Gegevens in beveiligde back-ups verdwijnen volgens de normale back-upcyclus en worden in de tussentijd niet voor andere doelen gebruikt.

13. Aansprakelijkheid en rangorde

De aansprakelijkheidsafspraken uit de algemene voorwaarden gelden ook voor deze verwerkersovereenkomst. Bij strijdigheid gaat deze verwerkersovereenkomst voor waar het specifiek om verwerking van persoonsgegevens gaat.

14. Contact

Vragen, beveiligingsmeldingen en privacyverzoeken kunnen worden gestuurd naar info@manisite.nl. Vermeld bij een urgente beveiligingsmelding duidelijk om welke website en welk incident het gaat.