20201202545 210315 Verwerkers OVK Draagvlakmeting BIZ Waarderpolder 2022-2026

INFORMATIE BEVEILIGINGS DIENST

VNG RealÍsatie

ii fffi:ff:H" Verwe rkersovereen komst u itvoeri ng Draagvla kmeting BIZ Waa rderpolder 2022-2026 O.b.v. Standaard Verwerkersovereenkomst Gemeenten

Vereniging van Nederlandse Gemeenten / lnformatiebeveiligingsdienst voor gemeenten", licentie onder:

cc BY-NC-SA 4.0.

1

INFORMATIE BEVEILIGINGS DIENST

VNG Realisatie

Colofon

Naam document Standaard verwerkersovereenkomst gemeenten

Versienummer 2.3

Versiedatum 26-r1-2020

Versiebeheer Het beheer van dít document berust bij de lnformatiebeveiligingsdienst voor gemeenten (lBD).

oeo

@ BY NC

SA

Vereniging van Nederlandse Gemeenten / lnformatiebeveiligingsdienst voor gemeenten (lBD) Tenzíj anders vermeld, is dit werk verstrekt onder een Creative Commons Naamsvermelding-Niet

Commercieel-Gelijk Delen 4.0 lnternationaal licentie. Dit houdt in dat het materiaal gebruikt en gedeeld mag worden onder de volgende voorwaarden: Alle rechten voorbehouden. Verveelvoudiging, verspreiding en gebruik van deze uitgave voor het doel zoals vermeld in deze uitgave is met bronvermelding toegestaan

voor alle gemeenten en overheidsorganisaties. Voor commerciële organisaties wordt hierbij toestemming verleend om dit document te bekijken, af te drukken, te verspreiden en te gebruiken onder de hiernavolgende voorwaarden:

L De IBD wordt als bron vermeld. 2. Het document en de inhoud mogen commercieel niet geëxploiteerd worden. 3. Publicaties of informatie waarvan de intellectuele eigendomsrechten niet bij de verstrekker berusten, blijven onderworpen aan de beperkingen opgelegd door de IBD en / of de Vereniging van Nederlandse Gemeenten.

4. ledere kopie van dit document, of een gedeelte daarvan, dient te zijn voorzien van de in deze paragraaf vermelde mededeling. Wanneer dit werk wordt gebruikt, hanteer dan de volgende methode van naamsvermelding: "Vereniging van Nederlandse Gemeenten / lnformatiebeveiligingsdienst voor gemeenten", licentie onder: CC BY-NC-SA 4.0.

Bezoek htto://creativecommons.orgllicenses/bv-nc-sa/4.0

voor meer informatie over de licentie.

Rechten en vr¡jwar¡ng De IBD is zich bewust van haar verantwoordelijkheid een zo betrouwbaar mogelijke uitgave te verzorgen

Niettemin kan de IBD geen aansprakelijkheid aanvaarden voor eventueel in deze uitgave voorkomende onjuistheden, onvolledigheden of nalatigheden. De IBD aanvaardt ook geen aansprakelijkheid voor enig

Verwerkersovereenkomst u¡tvoer¡ng Draagvlakmeting BIZ Waarderpolder 2O22-2O26

2

INFORMATIE BEVEILIGINGS DIENST gebruik voorliggende of van

uitgave

VNG Realisatie

schade ontstaan door de inhoud van de uitgave of door de toepassing

ervan

Met dank aan De gemeenten, leveranciers en derden die hebben bijgedragen aan de totstandkoming van dit document. ln

het bijzonder de toetsgroep, de klankbordgroep en Beheergroep VWO die hebben bijgedragen aan het verwerken van de feedback.

Wijzigingshistorie: Versie

Datum

Wijziging / Actie

0.1

20-05-2018

Opzet Bespreking met leveranciers en gemeenten.

77-06-2018

o.2

Com mentaar bespreking verwerkt.

Voorgelegd aan alle contactpersonen van gemeenten en levera nciers.

0.99

30-07-2018

1.00

. Or-OA-ZOrA i

Commentaar Leveranciers en Gemeenten verwerkt. Voorpublicatie IBD website - Ter vaststelling aangeboden aan het College van Dienstverlening.

I

1.09

07-LL-2078

Versie aangepast na consultatie gemeenten en leveranciers.

1.10

15-11-2018

i Versie aangepast op basis van beslissing toelsgroep dl d. 72-71-2}tg

t.LL

ào-rr-zore

Versie aangepast op basis van consultatie Beheergroep VWO

28-03-2019

i Versie aangepast conform input Landsadvocaat en besluitvorming

Deze versie wordt voorgelegd aan toetsgroep.

(toetsgroep gemeenten en klankbordgroep leveranciers). Beheergroep VWO. 2.1

tt-Lt-2019

Versie 2.0 aangepast n.a.v. bijeenkomst Beheergroep VWO d.d. 10-10-2019.

2.2

08-04-2020

Versie 2.1 aangepast conform besluit Beheergroep VWO.

2.3

L9-tL-2020

Versie 2.2 aangepast conform besluit beheergroep VWO

Over de IBD De IBD is een gezamenlijk initiatief van alle Nederlandse Gemeenten. De IBD is de sectorale CERT / CSIRT

voor alle Nederlandse gemeenten en richt zich op (incident)ondersteuning op het gebied van informatiebeveiliging. De IBD is voor gemeenten het schakelpunt met het Nationaal Cyber Security Centrum (NCSC). De IBD ondersteunt gemeenten bij hun inspanningen op het gebied van informatiebeveiliging en

privacy /gegevensbescherming en geeft regelmatig kennisproducten u¡t. Daarnaast faciliteert de IBD kennisdeling tussen gemeenten onderling, met andere overheidslagen, met vitale sectoren en met leveranciers. Alle Nederlandse gemeenten kunnen gebruikmaken van de producten en de generieke

dienstverlening van de lBD. De IBD is ondergebracht bij VNG Realisatie.

€rÐ R¡¡1]¡¡dc

Verwerkersovereenkomst uitvoering Draagvlakmeting BIZ Waarderpolder 2022-2026

3

INFORMATIE BEVEILIGINGS DIENST

VNG Realisatie

Toelichting

Dit product is een nadere uitwerking voor gemeenten van de Baseline lnformatiebeveiliging Overheid (BlO) De BIO is eind 2018 bestuurlijk vastgesteld als gezamenlijke norm voor informatiebeveiliging voor alle

Nederlandse overheden.

Doel Gemeenten en leveranciers willen bij de uítvoering van hun taken en diensten komen tot een goede dienstverlening voor inwoners en bedrijven. Als bij de uitvoering van deze taken en diensten persoonsgegevens worden verwerkt dan willen gemeenten en leveranciers de verplichtingen op grond van de AVG nakomen. Daarbij willen Partijen uitgaan van wederzijds vertrouwen. Het doel van de verwerkersovereenkomst is om het gemeenten en hun leveranciers makkelijker te maken om tot afspraken te komen over de verwerking van persoonsgegevens. Dit product bevat de gemeentelijke

standaard voor een verwerkersovereenkomst. Deze standaard wordt gebruikt als aanvulling op een hoofdovereenkomst om op grond van de AVG (artikel 28.3 en 28.9) nadere afspraken te maken en vast te leggen over de omgang met persoonsgegevens.

Rangorde De rangorde van de verschillende documenten (o.a. inkoopdocumenten, hoofdovereenkomst,

verwerkersovereenkomst) wordt geregeld in de hoofdovereenkomst.

Beheer van deze standaard Deze standaard verwerkersovereenkomst

wordt beheerd door VNG-Realisatie/lBD. Verbetervoorstellen

kunnen door zowel gemeenten als leveranciers naar privacv@vng.nl worden gemaild. Tweemaal per jaar beoordeelt de Beheergroep VWO (bestaande uit vertegenwoordigers van gemeenten en leveranciers), de verbetervoorstellen en zo nodig worden deze verwerkt in een volgende versie. Hebt u vragen over het gebruik van deze standaard overeenkomst neem dan ook contact op met de IBD via privacv@vne.nl.

Doelgroep Dit document is van belang voor het management van de gemeente, de systeemeigenaren, gemeentelijke

inkopers, privacyfu nctionarissen en informatiebeveiligers.

Relatie met over¡ge documenten:

¡ GIBIT; o BaselinelnformatiebeveiligingOverheid(BlO) ¡ Voorbeeld lnformatiebeveiligingsbeleid van de gemeente, H2.4.1; ¡ lnkoopvoorwaarden en informatiebeveiligingseisen; . Toegang van externe partijen en inhuur; ¡ Handreiking Service Level Agreements;

Verwerkersovereenkomst uitvoering Draagvlakmeting BIZ Waarderpolder 2O22-2026

4

INFORMATIE BEVEILIGINGS DI ENST Geheimhoudingsverklaringen;

VNG RealÍsatie

Handleiding screening personeel; Contractmana8ement en; Voorbeeld Responsible Disclosure beleid.

Maatregelen Baseline lnformatiebeve¡l¡g¡ng Overheid (BlO) Maatregel 15.1.1.3 Met alle leveranciers die als verwerker voor of namens de organisatie persoonsgegevens verwerken, worden verwerkersovereenkomsten gesloten waarin alle wettelijk vereiste afspraken zijn vastgesteld.

Verwerkersovereenkomst uitvoering Draagvlakmeting BIZ Waarderpoldet 2O22-2O26

5

INFORMATIE BEVEILIGINGS DIENST

VNG Realisatie

Verwerkersovereenkomst u itvoering Draagvlakmeting BIZ Waarderpolder 2022-2026 Gemeente Haarlem, waarvan het college van Burgemeester en Wethouders de verwerkingsverantwoordelijke is, verder te noemen Verwerkingsverantwoordelijke, hierbij rechtsgeldig vertegenwoordigd door de mevrouw J. Kaper, Afdelingshoofd Economie, Cultuur, Duurzaamheid en Wonen (ECDW). en KG Parkmanagement gevestigd te Haarlem, KVK-nummer 34235732 verder te noemen Verwerker, híerbij rechtsgeldig vertegenwoordigd door de heer E.A. van Dijk, Directeur,

hierna afzonderl'rjk te noemen "Parlij", of gezamenlijk "Partijen" Overwegen het volgende: a) Partijen hebben op 15 maart 2027 de 'Overeenkomst U¡tvoering Draagvlakmeting BIZ Waarderpolder 2022-2026', hierna Hoofdovereenkomst, afgesloten, op grond waarvan Verwerker de volgende dienst(en) levert aan de Verwerkingsverantwoordelijke: het uitvoeren van alle noodzakelijke werkzaamheden t.b.v. de uitvoering van de draagvlakmeting BIZ Waarderpolder 2022-2026. NB. De'Verwerkersovereenkomst Uitvoering Draagvlakmeting BIZ Waarderpolder 2022-2026' en 'het Reglement Draagvlakmeting BIZ Waarderpolder 2022-2026'zijn beide onderdeel van de nota Overeenkomst Uitvoeríng Draagvlakmeting BIZ Waarderpolder 2022-2026' die op 9 maart 2021 is vastgesteld is door het College van B&W'. b) Verwerker verwerkt voor de uitvoering van de Hoofdovereenkomst Persoonsgegevens voo r Verwerki n gsvera ntwoordel ijke; c) Op de verwerking van Persoonsgegevens door Verwerker zijn de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG)van toepassing; d) Partijen willen in aanvulling op de AVG en de UAVG de volgende afspraken over de verwerking van Persoonsgegevens vastleggen in deze verwerkersovereenkomst (hierna: de Verwerkersovereenkomst); En komen het volgende overeen

Artikel 1 Definities

t.t

!.2

Begrippen uit de AVG en de UAVG die in deze Verwerkersovereenkomst worden gebruikt, hebben dezelfde betekenis. Bijlagen: aanhangsels bij deze Verwerkersovereenkomst, die onlosmakelijk deel uitmaken van deze Verwerkersovereen komst.

Artikel 2 lngangsdatum en duur

2.I 2.2

Deze Verwerkersovereenkomst gaat in op het moment dat de Hoofdovereenkomst tot stand is gekomen, tenzij Partijen anders overeenkomen. Deze Verwerkersovereenkomst eindigt op het moment dat Verwerker de verwerking van Persoonsgegevens op grond van de Hoofdovereenkomst heeft beëindigd en de afspraken over het teruggeven en/of wissen van Persoonsgegevens zijn nagekomen.

Artikel 3 Ondemerp van deze Verwerkersovereenkomst 3.1 Verwerker verwerkt de door of vía Verwerkingsverantwoordelijke ter beschikking gestelde Persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke voor de uitvoering van de Hoofdovereenkomst en uitsluitend overeenkomstig schriftelijke instructies van Verwerkingsverantwoordelijke, tenzij een op Verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke wettelijke bepaling hem tot verwerking verplicht. ln dat geval zal Verwerker

Verwerkersovereenkomst u¡tvoering Draagvlakmeting BIZ Waarderpolder 2022-2026

6

INFORMATIE BEVEILIGINGS DIENST Verwerkingsve rantwoordelijke, voorafgaand

VNG Realisatíe

aan de verwerking, daarvan zonder onredelijke vertraging in kennis stellen, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang

3.2

verbiedt. De door Verwerker uit te voeren verwerkingen staan beschreven in tabel 1 van Bijlage 1.

Artikel 4 lnhoudelijke afspraken

4.L

4.2

4.3

4.4

4.5

4.6

Beveiligingsmaatregelen Verwerker zorgt voor passende technische en organisatorische maatregelen om de Persoonsgegevens goed te beveiligen, zoals bedoeld in artikel 32 AVG. De wijze waarop Verwerker de passende technische en organisatorische maatregelen aantoont, staat in Bijlage 2. Audits Verwerker verleent alle benodigde medewerking aan audits uitgevoerd door een gecertificeerde auditor over de nakoming van de afspraken binnen deze Verwerkersovereenkomst en Bijlagen, tenzij Verwerker door middel van een geldige certif¡cering, die periodiek door een geaccrediteerde instelling wordt getoetst, heeft aangetoond dat Verwerker de gemaakte afspraken nakomt, De kosten van deze audit worden gedragen door Verwerkingsverantwoordelijke (zowel eigen kosten als kosten van Verwerker), tenzij de auditor één of meer tekortkomingen van niet ondergeschikte aard van Verwerker constateert die ten nadele zijn van Verwerkingsverantwoordelijke. Verwerking buiten de EER Verwerker mag Persoonsgegevens buiten de Europese Economische Ruimte (laten) verwerken wanneer is voldaan aan de voorwaarden van artikel 45 of 46 AVG. Wanneer er sprake is van een verwerking buiten de EER, dan stelt Verwerker Verwerkingsverantwoordelijke daarvan vooraf op de hoogte.

Geheimhouding Personen die werken voor (sub)Verwerker en (sub)Verwerker zelf, moeten Persoonsgegevens waarmee zij werken geheimhouden. De personen die werken voor Verwerker en subverwerkers hebben daarom een geheimhoudingsverklaring getekend, of zich op een andere manier schriftelijk gebonden aan de geheimhouding. Subvennerkers De ten tijde van het afsluiten van deze Verwerkersovereenkomst bekende subverwerkers vermeldt Verwerker in tabel 3 van Bijlage 1. Verwerkingsverantwoordelijke verleent hierbij algemene toestemming voor de inschakeling van subverwerkers. Verwerker houdt na de start van de werkzaamheden Verwerkingsverantwoordelijke op de hoogte van de beoogde inschakeling van nieuwe subverwerkers. Bij de inschakeling van subverwerkers blijven de artikelen 28.2 en 28.4 AVG onverkort van kracht. Rechten van betrokkenen Als een betrokkene een beroep doet op zijn rechten zoals genoemd in artikel t2t/m 22 AVG, helpt Verwerker Verwerkingsverantwoordelijke om daarop binnen de wettelijke termijnen een beslissing te nemen.

4.7

Gegevensbeschermingseffectbeoordelingenvoorafgaanderaadpleging Op verzoek van Verwerkingsverantwoordelijke werkt Verwerker altijd mee aan een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging als bedoeld in artikel 35 en 36 AVG.

Artikel 5 lnbreuk in verband met Persoonsgegevens

5.1 5.2 5.3 5.4

Verwerker zal Verwerkingsverantwoordelijke zonder onredelijke vertraging, maar uiterlijk binnen 24 uur, informeren na vaststelling van een (vermoedelijke) lnbreuk in verband met Persoonsgegevens. Verwerker vermeldt hierbij voor zover bekend de vermeende oorzaak van de (vermoedelijke) lnbreuk, de categorie persoonsgegevens, de categorie betrokkenen en het aantal betrokkenen. ln geval van een lnbreuk neemt Verwerker zonder onredelijke vertraging alle maatregelen om de lnbreuk te herstellen, de gevolgen daarvan te beperken en verdere lnbreuken te voorkomen. Verwerker heeft een gedetailleerd logboek van de lnbreuken en de maatregelen die op lnbreuken zijn genomen. Verwerkingsverantwoordelijke mag dat inzien, wanneer deze daarom vraagt. Verwerkingsverantwoordelijke beslist of de lnbreuk moet worden gemeld bij de toezichthoudende autoriteit en/of Betrokkene. Verwerker ondersteunt de Verwerkingsverantwoordelijke waar nodig bij

Verwerkersovereenkomst u¡tvoer¡ng Draagvlakmeting BIZ Waarderyolder 2O22-2026

INFORMATIE BEVEILIGINGS DIENST melding toezichthoudende autoriteit en/of de

aan de

VNG RealÍsatie Betrokkene.

Artikel 6 Aansprakelijkheid

6.1

Eventuele in de Hoofdovereenkomst overeengekomen beperkingen van de aansprakelijkheid hebben ook betrekkíng op de Verwerkersovereenkomst.

Artikel 7 Beëindigen ven^rerkersovereenkomst

7.L

Partijen moeten in de Hoofdovereenkomst afspraken maken over de beëindiging van de Hoofdovereenkomst en de daaruit voortvloeiende teruggave en wissing van Persoonsgegevens. De geheimhouding geldt ook nog na beëindiging van deze Verwerkersovereenkomst.

7.2

Artikel 8 Overige bepalingen

8.1

Op deze overeenkomst is Nederlands recht van toepassing. Alle geschillen, ook als alleen één Partij

vindt dat er een geschil is, zullen in eerste instantie worden voorgelegd aan dezelfde bevoegde rechter als genoemd in de Hoofdovereenkomst.

Ondertekening Aldus overeengekomen en in tweevoud ondertekend, I

nga n gsdatum : 0I-03 -2021

Gemeente Haarlem De burgemeester van Haarlem

KG Parkmanagement

namens deze:

namens deze:

J. Kaper

E.A. van Dijk

Afd e I i ng sh oofd E co no m ie, Cu ltu u r, Duurzoomheid en Wonen

Directeur

(-{/ ì'./ (144124tîírfe-

plaats: Haarlem datum: 15 maart 2021

plaats: Haarlem

datum: f s'-

Verwerkersovereenkomst u¡tvoer¡ng Draagvlakmeting BIZ Waarderpolder 2022-2026

I

3 - zr

INFORMATIE BEVEILIGINGS DIENST

VNG Realisatie

Bijlage 1: Overzicht van te verwerken persoonsgegevens 1. Naam venrerking, doeleinden categorieën van betrokkenen, categorieën persoonsgegevens en eventuele doorgifte naar derde landen. Naam verwerking

Verwerkingsdoeleinden

Categorieën van Betrokkenen

Categorieën Persoonsgegevens (waaronder bijzondere

Doorgifte naar derde landen

persoonsgegevens)

Uitvoering Draagvlakmeting Btz Waarderpolder 2022-2026

Alle werkzaamheden

Bijdrageplichtigengebruikers/

Objectnummer

díe nodig zíjn

eigenaren van de

Adres WOZ-object

voor het uitvoeren van de draagvlakmeting Btz Waarderpolder 2022-2026

objecten (panden)

Nee.

Subjectnummer eigenaar

in de

Waarderpolder

NAW gegevens eigenaar object

Subjectnummer gebruiker NAW gegevens Gebruiker

Object WOZ waarde object OZBG waarde

2. Contactgegevens Contactpersoon Verwerkingsverantwoordelijke iNB: Ook buiten kantooruren)

f'Jaam: Meldpunt datalekken þont..tg"g"uens: datalekmelden@ haa rlem.n

I

h.rn"nåfî"tin* eõil*"*"unt" H.rrt"r'

j"r,0646215099/r.meiier@haarlem.nl, [¡nO, s.hår," n: 06- 46215248/ schouten@haarlem.nl :ontactpersoon Veru¡erker (NB: Ook buiten <antooruren)

aam: E.A van Dijk ctgegevens:

7826 77

of

-rrdtvt"'' lontactgegevens IBD

(Kees Goedknegt)

elefoonnummer 070-373 8011

NB: Eventuele wijzigingen in bovenstaande tabellen geven partijen op korte termíjn aan elkaar door

3. lngeschakeldesubverwerkers Niet van toepassing

Bijlage 2z Aantonen passend niveau van

Verwerkersovereenkomst u¡tvoer¡ng Draagvlakmeting BIZ Waarderpolder 2022-2O26

I

INFORMATIE BEVEILIGINGS DIENST

VNG Realisatie

beveiliging Normenstelsel KG Parkmanagement BV verwerkt de gegevens als volgt: KG Parkmanagement BV heeft adequate organisatorísche maatregelen genomen om de gegevens te beveiligen en kan dat aantonen. Er zijn maatregelen genomen voor de inrichting van de organisatie en voor het verwerken van persoonsgegevens, zoals toekenning en deling van de verantwoordelijkheden, bevoegdheden, instructies, trainingen en geheimhoudingsplichten.

De gegevens die KG Parkmanagement BV van Gemeente Haarlem ontvangt ten behoeve van het project Uitvoering Draagvlakmeting BIZ Waarderpolder 2022-2026 zijn alleen toegankelijk voor de medewerkers van KG Parkmanagement BV die werkzaam zijn aan dit project. De gegevens worden door Gemeente Haarlem via veilige mail (Zorgmail) toegestuurd naar de mailbox van de projectleider van KG Parkmanagement BV. Deze mailbox is alleen toegankelijk voor de projectleider. Vervolgens worden de gegevens op de server opgeslagen in een vergrendelde gedeelte die gehuisvest is in het datacenter lron Mountain gevestigd op de J.W. Lucasweg 35, 2O3t BE Haarlem. Dit gedeelte van de server is alleen toegankelijk voor de medewerkers van KG Parkmanagement BV die werkzaam zijn aan de Uitvoering Draagvlakmeting BIZ Waarderpolder 2022-2026. De gegevens worden na afloop van het project vernietigd door KG Parkmanagement BV.

Datalekken worden conform wetgeving AVG gemeld bij de Autoriteit Persoonsgegevens.

Toereikendheid De toereikendheid van de informatiebeveiliging blijkt uit eigen controles en eigen mededelingen. Personen die werken voor KG Parkmanagement BV moeten Persoonsgegevens waarmee zij werken geheimhouden. De personen die werken voor KG Parkmanagement BV hebben daarom een geheimhoudingsverklaring getekend.

Verwerkersovereenkomst uitvoering Draagvlakmeting BIZ Waarderyolder 2O22-2O26

10