Bijlage 24 Stanley Security AVG.pdf

Stanley Security Alarmcentrale BV Keienbergweg 50 1101 GC Amsterdam www.stanleyalarmcentrale.nl

Data en Video use and Storage Processing Agreement Tussen:

KS NL13 BV met zijn hoofdzetel te Peterplatz 10 Munchen, onder Kamer van Koophandel nummer 68242875, hier vertegenwoordigd door R. Blijleven Hierna genoemd KS NL13 BV, of de verwerkingsverantwoordelijke, controller.

en:

Stanley Security Alarmcentrale B.V., met zijn geregistreerd kantoor te Amsterdam, onder Kamer van Koophandel nummer 02052535 , hier rechtsgeldig vertegenwoordigd door H. Brouwer Hierna genoemd Stanley NL of de gegevensverwerker, processor

Overwegend dat: De verwerkingsverantwoordelijke, collector, persoonlijke gegevens heeft die hij aan de gegevensverwerker, processor wil toevertrouwen. Het doel van dit contract is om de uitvoering en organisatie van deze behandeling door de gegevensverwerker, te regelen en voldoende garanties te bieden met betrekking tot de bescherming van de privacy. Het zijn meer in het bijzonder de technische en organisatorische maatregelen - zoals vermeld in art. 32 van de algemene verordening gegevensbescherming (AVG/ GDPR) - om te voldoen aan de vereisten van de verordening en om de bescherming van de rechten van de betrokkene te waarborgen. Alle betrokken partijen verbinden zich ertoe in principe en expliciet de bepalingen van de Algemene Verordening Gegevensbescherming na te leven, die op 25/05/2018 in werking is getreden, evenals enige andere relevante regelgeving. Bij de beoordeling van het passende beveiligingsniveau wordt in het bijzonder rekening gehouden met de risico's die aan de gegevensverwerking kleven, met name als gevolg van de vernietiging, het verlies, de wijziging of ongeoorloofde openbaarmaking van

1 Ver.30052018

Stanley Security Alarmcentrale BV Keienbergweg 50 1101 GC Amsterdam www.stanleyalarmcentrale.nl

doorgezonden persoonsgegevens, opgeslagen of anderzijds verwerkt, of per ongeluk of onrechtmatig, ongeoorloofde toegang tot dergelijke gegevens.

Artikel 1 - Voorwerp van de opdracht (artikel 28, lid 3, a) De gegevensverwerker treedt uitsluitend op namens de verwerkingsverantwoordelijke en zal alleen persoonsgegevens raadplegen en/of verwerken indien en voor zover noodzakelijk voor de uitvoering van het contract. Daarbij volgt de gegevensverwerker alle redelijke instructies van de verwerkingsverantwoordelijke. In overeenstemming met deze instructies en de bepalingen van dit contract, verwerkt de gegevensverwerker alleen persoonlijke gegevens namens de verwerkingsverantwoordelijke voor één of meer van de volgende doeleinden (ook bekend als het doel): Doel van de verwerking van persoonsgegevens in het kader van: - Alarmafhandeling (goederenalarmen en of persoonsalarmen en of brandalarmen). - Aard en doel van de verwerking: In het kader van de Wet van 2 oktober 2017 tot regeling van de private en bijzondere veiligheid en haar Koninklijke besluiten, - Camerabewaking. - Aard en doel van de verwerking: In het kader van de Wet van 21 maart 2007 tot regeling van de plaatsing en het gebruik van bewakingscamera's en haar Koninklijke besluiten. - Toegangscontrole. - Aard en doel van de verwerking: In het kader van beveiliging waarbij een controle gebeurt op het openen en sluiten van toegangen. - Commerciële toepassingen. - Aard en doel van de verwerking: In het kader van prospecten. - Administratieve afhandelingen.

- Aard en doel van de verwerking: In het kader van de boekhouding Duur van de verwerking: De wettelijke termijnen worden gerespecteerd nadat het contract wordt stopgezet. Type persoonsgegevens dat wordt verwerkt: aanspreking, naam, voornaam, burgerlijke staat, nationaliteit, postadres, telefoonnummer, e-mailadres, bankrekeningnummer, camerabeelden, toegangscodes. Categorieën van personen die betrokken zijn, bij de gegevensverwerker: personeelsleden, dienstverleners. Artikel 2: Naleving van de algemene voorschriften inzake gegevensbescherming. De partijen verbinden zich ertoe in principe en expliciet de bepalingen van Europese Verordening 2016/679 betreffende de bescherming van natuurlijke personen met

2 Ver.30052018

Stanley Security Alarmcentrale BV Keienbergweg 50 1101 GC Amsterdam www.stanleyalarmcentrale.nl

betrekking tot de verwerking van persoonsgegevens en het vrije verkeer van dergelijke gegevens te respecteren.

Artikel 3: Gebruik van persoonsgegevens (artikel 28, lid 3 (4)) Alleen persoonsgegevens die strikt noodzakelijk zijn voor de in artikel 1 beschreven doeleinden, mogen door de gegevensverwerker worden verwerkt. De verwerking van de betreffende gegevens en de wijze van aanbieden moeten altijd op een veilige manier worden georganiseerd. De gegevens mogen alleen door de gegevensverwerker worden verwerkt voor de doeleinden die worden beschreven in artikel 1 van dit contract. Het is de gegevensverwerker verboden om een kopie van de beschikbaar gestelde gegevens te maken, behalve voor het doel van een back-up, als dit essentieel is tijdens de uitvoering van de opdracht zoals beschreven in dit contract. De gegevensverwerker bewaart de gegevens niet langer dan nodig is voor het leveren van de dienst waarvoor deze beschikbaar zijn gesteld. Als de gegevens niet langer nodig zijn, zal de gegevensverwerker ze vernietigen of terugsturen naar de controller. De gegevensverwerker is verplicht om de vertrouwelijkheid te garanderen van de persoonsgegevens die hij van de verwerkingsverantwoordelijke ontvangt. Een uitzondering op deze regel is alleen mogelijk wanneer een wettelijke verplichting of gerechtelijk bevel de gegevensverwerker verplicht om deze bekend te maken of wanneer de overdracht van gegevens wordt gedaan door de controller.

Elke juridisch bindende mededeling van persoonsgegevens aan derden moet eerst door de gegevensverwerker aan de verwerkingsverantwoordelijke worden gemeld. Vertrouwelijkheid blijft bestaan na de overdracht of afloop van dit contract.

Artikel 4: Gebruik van onderaannemers (artikel 28, lid 4) Voor de praktische uitvoering, kan de gegevensverwerker, onder aanneming-contracten afsluiten met derden. De controller verklaart algemene instemming met de uitbesteding van persoonlijke gegevens aan onderaannemers voor de beoogde doeleinden. Indien de gegevensverwerker de verwerking van persoonsgegevens namens de verwerkingsverantwoordelijke (gedeeltelijk) uitbesteedt, doet de gegevensverwerker dit altijd door middel van een schriftelijk contract (DPA) met de onderaannemer die identiek of ten minste gelijkwaardig zijn aan de verplichtingen die in dit contract aan de gegevensverwerker worden opgelegd. Als de onderaannemer zijn verplichting tot gegevensbescherming onder een dergelijke

3 Ver.30052018

Stanley Security Alarmcentrale BV Keienbergweg 50 1101 GC Amsterdam www.stanleyalarmcentrale.nl

schriftelijke overeenkomst niet nakomt, blijft de gegevensverwerker volledig aansprakelijk jegens de verwerkingsverantwoordelijke voor de naleving van deze verplichtingen. De gegevensverwerker houdt een lijst bij van actieve onderaannemers met subonderaannemers en kan deze binnen een redelijke termijn leveren op schriftelijk verzoek

(Inclusief per e-mail) aan de controller. De gegevensverwerker informeert de controller structureel in het geval van een wijziging in deze lijst. Het feit dat de gegevensverwerker zijn toezeggingen geheel of gedeeltelijk aan derden toevertrouwt, ontslaat hem niet van zijn verantwoordelijkheid jegens de verwerkingsverantwoordelijke voor de verwerking. Deze laatste erkent geen enkele contractuele relatie met deze derden. Alle verplichtingen die aan de gegevensverwerker worden opgelegd, zijn ook bindend voor elk van zijn werknemers of leveranciers voor de diensten die hen aanbelangen. De gegevensverwerker zal met name aan zijn werknemers of leveranciers de vertrouwelijkheidverplichtingen opleggen die op hem is gebaseerd. Hij houdt het bewijs van naleving van deze verplichting ter beschikking van de verwerkingsverantwoordelijke.

Artikel 5: Beveiliging (artikel 32) Zowel de controller als de processor nemen passende technische en organisatorische maatregelen om een passend beveiligingsniveau te waarborgen. De verwerkingsverantwoordelijke zorgt ervoor dat de gegevensverwerker alle vereiste maatregelen neemt (zoals vermeld in artikel 32 van de AVG). Met het oog op de stand van de techniek, de implementatiekosten, de aard, de omvang, de context en het doel van de verwerking, alsmede de risico's, waarvan de mate van waarschijnlijkheid en ernst varieert, rechten en vrijheden van personen, nemen de controller en de processor passende technische en organisatorische maatregelen om een beveiligingsniveau te waarborgen aangepast aan het risico. In het bijzonder beveiligt de gegevensverwerker, persoonsgegevens tegen de vernietiging, het verlies, de wijziging, ongeautoriseerde openbaarmaking van gegevens die zijn verzonden, opgeslagen of anderszins verwerkt, of per ongeluk of onrechtmatig ongeautoriseerde toegang tot dergelijke gegevens.

4 Ver.30052018

Stanley Security Alarmcentrale BV Keienbergweg 50 1101 GC Amsterdam www.stanleyalarmcentrale.nl

De maatregelen omvatten: -

-

-

-

het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en flexibiliteit van verwerkingssystemen en -diensten te garanderen. de mogelijkheid om tijdelijk de beschikbaarheid en toegang tot persoonlijke gegevens te herstellen in geval van een fysiek of technisch incident. een procedure voor het testen, beoordelen en evalueren, op gezette tijden, van de effectiviteit van technische en organisatorische maatregelen om de behandeling te waarborgen. Implementatie en gebruik van beveiligingstechnologieën en -technieken, die in overeenstemming zijn met de beste werkwijzen in de sector (firewall, netwerk, antimalware, wachtwoordbeleid ...) het vertrouwen dat er een restrictie rust op de beschikbare video alarmverificatie mogelijkheid waarbij tot maximaal een uur teruggekeken kan worden bij een alarmmelding, deze mogelijkheid niet toegepast wordt bij andere meldingen dan waarvoor dit bedoelt is. Operators worden tewerkgesteld op een Particuliere Alarm Centrale onder de hiertoe geldende wettelijke bepalingen (WPBR) en 3-jaarlijks gescreend door de Politie. Hoewel technisch beperkt mogelijk, dienen wij het doel van het te beveiligen object niet uit het oog te verliezen en daarbij de middelen voorhanden niet aanwenden voor oneigenlijk of onethisch gebruik door deze toe te passen op heimelijke ‘meekijk’ acties.

Het camerasysteem zou wel na goedkeuring of in overleg met de opdrachtgever in gebruik genomen kunnen worden om bijvoorbeeld vast te stellen of een aanwezige medewerker in juiste welzijn aanwezig is als bijvoorbeeld geen contact verkregen kan worden, e.e.a. nader te omschrijven in de DAP of SOP’s. Zonder aanleiding van operationele en procedurele nood- of oorzaak is het systeem met haar aangesloten objecten in een passieve ruststand zonder dat de camerabeelden hiervan beschikbaar zijn.

Artikel 6: Kennisgeving van datalekken De gegevensverwerker verbindt zich ertoe alle (pogingen) van ongeoorloofde of anderszins ongeoorloofde behandeling of toegang tot persoonsgegevens of andere vertrouwelijke gegevens te melden. De gegevensverwerker moet de overtreding onmiddellijk, uiterlijk 24 uur na de vaststelling van het incident, melden. Daarnaast neemt de gegevensverwerker alle maatregelen die redelijkerwijs nodig zijn om (nieuwe) inbreuken op veiligheidsmaatregelen te voorkomen of te beperken.

5 Ver.30052018

Stanley Security Alarmcentrale BV Keienbergweg 50 1101 GC Amsterdam www.stanleyalarmcentrale.nl

De gegevensverwerker zal in zijn kennisgeving ten minste het volgende vermelden: - de aard van het incident - moment van de vaststelling - geïmpacteerde gegevens - maatregelen die onmiddellijk worden genomen om eventuele extra schade te beperken. - moment dat het incident eindigde - structurele preventiemaatregelen voor de toekomst De verwerkingsverantwoordelijke stelt, binnen de wettelijke termijnen, de relevante toezichthoudende autoriteit in kennis van datalekken, waarvoor een wettelijke kennisgeving moet worden gedaan.

Artikel 7: Beperking van fysieke en functionele toegang De gegevensverwerker neemt de nodige technische en organisatorische maatregelen om ervoor te zorgen dat plaatsen waar persoonsgegevens worden verwerkt in opdracht van de verwerkingsverantwoordelijke niet toegankelijk zijn voor onbevoegde personen. De gegevensverwerker beperkt de toegang tot persoonsgegevens tot personeelsleden die de gegevens nodig hebben om de taken uit te voeren die de gegevenswerker hun toevertrouwt uit hoofde van dit contract.

Artikel 8: Bewustmaking en opleiding van personeel (artikel 29) De gegevensverwerker verbindt zich ertoe de personen die toegang hebben tot de gegevens, in overeenstemming met dit contract, te informeren over de bepalingen van de Algemene Verordening Gegevensbescherming (GDPR). De gegevensverwerker garandeert dat personen die gemachtigd zijn om persoonsgegevens te verwerken zich ertoe hebben verbonden de vertrouwelijkheid te respecteren of dat zij gebonden zijn door een toepasselijke wettelijke verplichting met betrekking tot vertrouwelijkheid.

Artikel 9: Toepassing van de kennisgevingsplicht (artikel 13) Indien de gegevensverwerker bij de uitvoering van dit contract rechtstreeks persoonlijke gegevens van de betrokkenen verzamelt en de gegevens registreert, dient hij te voldoen aan de bepalingen van artikel 13 van de algemene gegevensverordening en de betrokkenen op de hoogte te stellen (voorbeeld via een privacy beleid). Indien van toepassing wordt afgesproken dat de gegevensverwerker de inhoud en de wijze van melding van tevoren aan de verwerkingsverantwoordelijke voorlegt. 6 Ver.30052018

Stanley Security Alarmcentrale BV Keienbergweg 50 1101 GC Amsterdam www.stanleyalarmcentrale.nl

Artikel 10: Controle door de verwerkingsverantwoordelijke (artikel 28, lid 3, onder h) De controller aanvaardt het ISO9001-certificaat van de gegevensverwerker als bewijsmateriaal om aan te tonen dat het voldoet aan de beoogde verplichtingen van GDPR.

Artikel 11: Aansprakelijkheid (artikel 82, lid 2) De gegevensverwerker is aansprakelijk voor de schade die voortvloeit uit de niet-naleving van dit contract en de vereisten die van toepassing zijn op de gegevensverwerker die is opgericht krachtens de privacywetgeving met betrekking tot de bescherming van persoonsgegevens, onverminderd de aansprakelijkheid volgens andere regels, voor zover dit voortvloeit uit zijn activiteit.

De gegevensverwerker is in geen geval aansprakelijk voor schade als gevolg van instructies van de controller. Als de verwerkingsverantwoordelijke door een betrokkene wordt aangehouden voor vergoeding van schade, wordt de gegevensverwerker bij de procedure betrokken. Als de verwerkingsverantwoordelijke aansprakelijk wordt gesteld, kan hij zich tegen de gegevensverwerker wenden als hij persoonlijk tekort is geschoten in overeenstemming met dit contract en de vereisten die zijn vastgelegd in de privacywet.

Artikel 12: Verplichting bij de verwerking van persoonsgegevens (artikel 28, lid 3, onder g) De partijen komen overeen dat de gegevensverwerker aan het einde van de levering van gegevensverwerkingdiensten alle verzonden persoonlijke gegevens en kopieën daarvan aan de controller moet terugsturen of, indien de controller dit wenst, alle gegevens vernietigen en aan de controller verklaren dat de vernietiging heeft plaatsgevonden, tenzij de wet die van toepassing is op de gegevensverwerker hem verbiedt om alle overgedragen persoonsgegevens geheel of gedeeltelijk terug te geven of te vernietigen. In dit geval garandeert de aanbieder dat het de vertrouwelijkheid van de verwerkte persoonsgegevens respecteert en dat het de doorgevoerde persoonsgegevens niet meer actief verwerkt.

Artikel 13: Duur van dit contract Dit contract wordt van kracht nadat het door beide partijen is ondertekend. Het contract wordt gesloten voor de periode waarin het diensten en of kadercontract bij de gegevensverwerker van kracht is. Als dit laatste contract wordt beëindigd, wordt dit

7 Ver.30052018

Stanley Security Alarmcentrale BV Keienbergweg 50 1101 GC Amsterdam www.stanleyalarmcentrale.nl

contract ook beëindigd, met uitzondering van de vertrouwelijkheidsclausule, die van kracht blijft na de overdracht of het verlopen van dit contract. Gedaan te Amsterdam op 29 april 2020 in 2 exemplaren.

Voor de verwerkingsverantwoordelijke,

Voor de gegevensverwerker,

Naam: R Blijleven

Naam:

H.A.D. Brouwer

Functie: Business Develop Manager

Functie:

Director Monitoring CE

Handtekening:

Handtekening:

8 Ver.30052018