Bijlage 5 2 Verwerkersovereenkomst Centraal Loket Zero-Emissie 1 0 getekend

Gemeente x Amsterdam

Verwerkersovereenkomst Centraal Loket Zero-Emissie 1.0 (2024/1621455) De publiekrechteiijke rechtspersoon gemeente Haarlem, gevestigd aan de Grote Markt 2 (2o11RD) te Haarlem, te dezen rechtsgeldig vertegenwoordig door de heer drs. J. Wienen, waarvan het college van Burgemeester en Wethouders ten aanzien van het Centraal Loket 1.0 ontheffingen artikel 12 en 13 de verwerkingsverantwoordelijke is, verder te noemen Verwerkingsverantwoordelijke, hierbij rechtsgeldig vertegenwoordig door de heer/mevrouw Milou Hassing, projectleider / beleidsadviseur van gemeente Haarlem en De publiekrechtelijke rechtspersoon gemeente Amsterdam, gevestigd aan Amstel 1, 1011 PN te Amsterdam verder te noemen Verwerker hierbij rechtsgeldig vertegenwoordigd door mevrouw l. van Scheppingen, Directeur V&OR van de gemeente Amsterdam, hierna afzonderlijk te noemen Partij, of gezamenlijk Partijen, Overwegen het volgende: a) Diverse Nederlandse gemeente in hun rol als Verwerkingsverantwoordelijke hebben aan gemeente Amsterdam een opdracht verstrekt voor het opzetten van een landelijk portaal voor het aanvragen van een ontheffing in verband met Zero Emissie zones. Gemeente Amsterdam in hun rol als Verwerker van Nederlandse gemeente aan SHPV de b) opdracht heeft gegeven om de financiële beoordeling uit te voeren voor aanvragers van een ontheffing in het kader van bedrijfseconomische omstandigheden (artikel 12).

c) Partijen hebben op 5 november 2024 de Dienstverleningsovereenkomst Centraal Loket 1.0 Zerod) e) f)

Emissiezone, verder te noemen Hoofdovereenkomst, afgesloten. Verwerker verwerkt voor de uitvoering van de Hoofdovereenkomst Persoonsgegevens voor Verwerkingsverantwoordelijke, in de vorm van ontheffingsaanvragen; Op cle verwerking van Persoonsgegevens door Verwerker zijn de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG) van toepassing; Partijen willen in aanvulling op de AVG en de UAVG de volgende afspraken over de verwerking van Persoonsgegevens vastleggen in deze verwerkersovereenkomst (hierna: de Verwerkersovereenkomst);

En komen het volgende overeen: Artikel 1 Definities 1.1 Begrippen uit de AVG en de UAVG die in deze Verwerkersovereenkomst worden gebruikt, hebben dezelfde betekenis. 1.2 Bijlagen: aanhangsels bij deze Verwerkersovereenkomst, die onlosmakelijk deel uitmaken van deze Verwerkersovereenkomst.

Artikel 2 lngangsdatum en duur 2.1 Deze Verwerkersovereenkomst gaat in op het moment dat de Hoofdovereenkomst tot stand is gekomen, tenzij Partijen anders overeenkomen. 2.2 Deze Verwerkersovereenkomst eindigt op het moment dat verwerker de verwerking van Persoonsgegevens op grond van de Hoofdovereenkomst heeft beëindigd en de afspraken over het teruggeven en/of wissen van Persoonsgegevens zijn nagekomen. 2.3 Wanneer Partijen een (nieuwe) Verwerkersovereenkomst overeenkomen, betekent dat dat de oude Verwerkersovereenkomst komt te vervallen. Artikel 3 Onderwerp van deze Verwerkersovereenkomst 3.1 Verwerker verwerkt de door of via Verwerkersverantwoordelijke ter beschikking gestelde Persoonsgegevens uitsluitend in opdracht van Verwerkersverantwoordelijke (en die op diens beurt van de Verwerkingsverantwoordelijken) voor de uitvoering van de Hoofdovereenkomst en uitsluitend overeenkomstig schriftelijke instructies van Verwerker, tenzij een op Sub-verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke wettelijke bepaling hem tot verwerking verplicht. ln dat geval zal Verwerker de Verwerkingsverantwoordelijke, voorafgaand aan de verwerking, daarvan zonder onredelijke vertraging in kennis stellen, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.

3.2 De door Verwerker uit te voeren verwerkingen staan beschreven in tabel 1 van Bijlage 1. Artikel 4 lnhoudelijke afspraken 4.1 Beveiligingsmaatregelen Verwerker zorgt voor passende technische en organisatorische maatregelen om de Persoonsgegevens goed te beveiligen, zoals bedoeld in artikel 32 AVG. De wijze waarop Verwerker de passende technische en organisatorische maatregelen aantoont, staat in Bijlage 2. 4.2 Audits Verwerker verleent alle benodigde medewerking aan audits uitgevoerd door een gecertificeerde auditor over de nakoming van de afspraken binnen deze Verwerkersovereenkomst en Bijlagen, tenzij Verwerker door middel van een geldige certificering, die periodiek door een geaccrediteerde insteiling wordt getoetst, heeft aangetoond dat Verwerker de gemaakte afspraken nakomt. De kosten van deze audit worden gedragen door Verwerkingsverantwoordelijke (zowel eigen kosten als kosten van Verwerker), tenzij de auditor één of meer tekortkomingen van niet ondergeschikte aard van Verwerker constateert die ten nadele zijn van Verwerkingsverantwoordelijke. Verwerking buiten de EER Verwerker mag Persoonsgegevens buiten de Europese Economische Ruimte (laten) verwerken wanneer is voldaan aan de voorwaarden van artikel 45 of 46 AVG. Wanneer er sprake is van een verwerking buiten de EER, dan stelt Verwerker de verwerkingsverantwoordelijke daarvan vooraf op de hoogte.

4.4 Geheimhouding Personen die werken voor andere Verwerker en de Sub-verwerker, moeten Persoonsgegevens waarmee zij werken geheimhouden. De personen die werken voor Sub-verwerker en andere sub-verwerkers hebben daarom een geheimhoudingsverklaring getekend, of zich op een andere manier schriftelijk gebonden aan de geheimhouding. 4.5 Andere Sub-verwerkers De ten tijde van het afsluiten van deze Verwerkersovereenkomst bekende andere Subverwerkers vermeldt Sub-verwerker in Bijlage 1. Verwerkingsverantwoordelijke verleent hierbij algemene toestemming voor de inschakeling van andere Sub-verwerkers. Sub-verwerker houdt na de start van de werkzaamheden Verwerker op de hoogte van de beoogde inschakeling van nieuwe Sub-verwerkers. Bij de inschakeling van sub-verwerkers blijven de artikelen 28.2 en 28.4 AVG onverkort van kracht. 4.6 Rechten van betrokkenen Als een betrokkene een beroep doet op zijn rechten zoals genoemd in artikel 12 t/m 22 AVG, helpt Verwerker de Verwerkingsverantwoordelijke om daarop binnen de wettelijke termijnen een beslissing te nemen.

4.7

Gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging Op verzoek van Verwerker werkt Sub-verwerker altijd mee aan een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging als bedoeid in artikel 35 en 36 AVG.

Artikel 5 lnbreuk in verband met Persoonsgegevens 5.1 Sub-verwerker zal Verwerker zonder onredelijke vertraging, maar uiterlijk binnen 24 uur, ¡nformeren na vaststelling van een (vermoedelijke) lnbreuk in verband met Persoonsgegevens. Sub-verwerker vermeldt hierbij voor zover bekend de vermeende oorzaak van de (vermoedelijke) lnbreuk, de categorie persoonsgegevens, de categorie betrokkenen en het aantal betrokkenen. 5.2 ln geval van een lnbreuk neemt Sub-verwerker zonder onredelijke vertraging alle maatregelen om de lnbreuk te herstellen, de gevolgen daarvan te beperken en verdere lnbreuken te voorkomen en houdt de Verwerker hiervan op de hoogte. 5.3 Sub-verwerker heeft een gedetailleerd logboek van de lnbreuken en de maatregelen die op lnbreuken zijn genomen. Verwerker mag dat ïnzien, wanneer deze daarom vraagt. 5.4 De Verwerkingsverantwoordelijke beslist uiteindelijk of de lnbreuk moet worden gemeld bij de toezichthoudende autoriteit en/of Betrokkene. Sub-verwerker ondersteunt de Verwerker waar mogelijk, bij de melding aan de Verwerkingsverantwoordelijke, toezichthoudende autoriteit en/of Betrokkene. Artikel 6 Aansprakelijkheid 6.1 Eventuele in de Hoofdovereenkomst overeengekomen beperkingen van de aansprakelijkheid hebben ook betrekking op de Verwerkersovereenkomst.

Artikel 7 Beëindigen verwerkersovereenkomst 7.1 Partijen moeten in de Hoofdovereenkomst afspraken maken over de beëindiging van de Hoofdovereenkomst en de daaruit voortvloeiende teruggave en wissing van Persoonsgegevens. 7.2 De geheimhouding geldt ook nog na beëindiging van deze Verwerkersovereenkomst. Artikel 8 Overige bepalingen 8.1 Op deze overeenkomst is Nederlands recht van toepassing. Alle geschillen, ook als alleen één Partij víndt dat er een geschil is, zulien in eerste instantie worden voorgelegd aan dezelfde bevoegde rechter als genoemd in de Hoofdovereenkomst. Ondertekening Aldus overeengekomen en ¡n tweevoud ondertekend, lngangsdatum

ljanuari 2025

Gemeente Haarlem

Gemeente Amsterdam

namens deze:

namens deze:

drs. J. Wienen

mevrouw l. van Scheppingen,

burgemeester

Directeur V&OR

plaats: Haarlem

plaats: Amsterdam

november 2024

datum:

Bijlage 1: Overzicht van te verwerken persoonsgegevens Naam verwerking, doeleinden categorieën van betrokkenen en categorieën persoonsgegevens en eventuele doorgifte naar derde landen.

1.

Naam verwerking

Verwerkingsdoel einden

Categorieën van Betrokkenen

Categorieën Persoonsgegevens

Doorgifte naar derde landen

Beoordeling ontheffingsaanvraag Centraal Loket Zero-Emissie

Financiële positie bepalen om te beoordelen ofde aanvrager in aanmerking komt voor ontheffing.

1. Medewerkers van bedrijven

- Contactgegevens: naam, adres, telefoonnummer, e-mailadres.

nee

2. Natuurlijke personen met een bedrijf (bijvoorbeeld: zzP, eenmanszaak, VOF)

- Financiële gegevens - Kenteken

________________

2. Contactgegevens Contactpersoon Verwerkingsverantwoordelijke (NB: Ook buiten kantooruren) Contactpersoon Verwerker (NB: Ook buiten kantooruren)

Naam: Milou Hassing Contactgegevens: mhassing@haarlem.nl; 0628506736 _____________________________________________________ Naam: Arnan Oberski Contactgegevens: 06 12621242, a.oberski @amsterdam.nl

NB: Eventuele wijzigingen in bovenstaande tabellen geven partijen op korte termijn aan elkaar door. lngeschakelde Sub-verwerkers

3.

Sub-verwerker t.o.v. de Gemeente Amsterdam ____________________________________________ beoordelen ontheffing art 12 Bureau voor financieel adviseur Sub-sub-verwerker t.o.v. de Gemeente Amsterdam financiële beoordeling ontheffing art 12 tevens Subverwerker van SHPV SHPV

Bijlage 2: Aantonen passend niveau van beveiliging en aansluiting bij gedragscode Normenstelsel De informatiebeveiliging vindt plaats volgens algemeen erkende normen, namelijk: NEN/ISO 27001. De toereikendheid van de informatiebeveiliging blijkt uit: •

Sub-verwerker is lSO 27001 gecertificeerd. lndien SHPV en/of diens sub-verwerkers niet ISOgecertificeerd is, kan SHPV in ieder geval aantonen dat er voldaan wordt aan relevante eisen vanuit de NEN/ISO 27001 en/of de Baseline lnformatiebeveiliging Overheid.

•

Periodieke externe controles zoals audits, pentesten ofTPMs (bijv. lSAE3xxx SOC type 11)

•

Verwerkersverantwoordelijke reviewt dit rapport en heeft een right to audit om eventueel aanvullend te toetsen

•

De verwerker hanteert een integriteitscode dan wel een interne gedragscode voor zijn medewerkers, waaruit blijkt dat de medewerkers en door de Verwerker ingeschakelde derden de vertrouwelijkheid in acht nemen (artikel 28.lid 3 AVG: verwerker moet bewijsbaar integer medewerkers in dienst hebben).

NB: Uit de certificering/periodieke externe controles/audits of uit de eigen controles/beschrijvingen blijkt of kan afgeleid worden dat de beveiliging passend is bij de verwerking(en) genoemd in bijlage 1.

4