AP 6d 4. Ondertekende verwerkersovereenkomst

32752

Ill\l\\lllll\ll N32054 |

:

Verwerkersovereenkomst uitvoering Offerte optimalisatie en doorontwikkeling Ondernemersfonds Nunspeet Gemeente Nunspeet, waarvan het college van Burgemeester en Wethouders de verwerkingsverantwoordelijke is, verder te noemen Verwerkingsverantwoordelijke, hierbij rechtsgeldig vertegenwoordigd door de heer drs. M. van de Bunte, functie:

wethouder van de gemeente Nunspeet

en

Blaauwberg, gevestigd te Leiden, KVK-nummer 70552053 verder te noemen Verwerker, hierbij rechtsgeldig vertegenwoordigd door de heer Rob Manders, directeur eigenaar, hierna afzonderlijk te noemen “Partij”, of gezamenlijk “Partijen” Overwegen het volgende: 3) Partijen hebben op 14 juni 2022 de Offerte optimalisatie en doorontwikkeling, hierna Hoofdovereenkomst, afgesloten, op grond waarvan Verwerker de volgende dienst(en) levert aan de

Verwerkingsverantwoordelijke: het inzichtelijk maken van de mogelijkheden voor een gemeentebreed ondernemersfonds voor de gemeente Nunspeet met inzicht in de opbrengst per gebied en of sector; Verwerker verwerkt voor de uitvoering van de Hoofdovereenkomst Persoonsgegevens voor Verwerkingsverantwoordelijke; <) _ Op de verwerking van Persoonsgegevens door Verwerker zijn de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG) van toepassing; b)

d)

jen willen in aanvulling op de AVG en de UAVG de volgende afspraken over de verwerking van

Persoonsgegevens vastleggen in deze verwerkersovereenkomst (hierna: de Verwerkersovereenkomst); En komen het volgende overeen: Artikel

11

_

1 Definities

Begrippen uit de AVG en de UAVG die in deze Verwerkersovereenkomst worden gebruikt, hebben dezelfde betekenis.

12

_

Bijlagen: aanhangsels bij deze Verwerkersovereenkomst, die onlosmakelijk deel uitmaken van deze Verwerkersovereenkomst.

Artikel 2 Ingangsdatum en duur 21

_

Deze Verwerkersovereenkomst gaat in op het moment dat de Hoofdovereenkomst tot stand is gekomen, tenzij Partijen anders overeenkomen.

2.2

_

Deze Verwerkersovereenkomst eindigt op het moment dat Verwerker de verwerking van Persoonsgegevens op grond van de Hoofdovereenkomst heeft beëindigd en de afspraken over het teruggeven en/of wissen van Persoonsgegevens zijn nagekomen.

Artikel 3 Onderwerp van deze Verwerkersovereenkomst 31 _ Verwerker verwerkt de door of via Verwerkingsverantwoordelijke ter beschikking gestelde Persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke voor de uitvoering van de Hoofdovereenkomst en uitsluitend overeenkomstig schriftelijke instructies van

Verwerkingsverantwoordelijke, tenzij een op Verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke wettelijke bepaling hem tot verwerking verplicht. In dat geval zal Verwerker Verwerkingsverantwoordelijke, voorafgaand aan de verwerking, daarvan zonder onredelijke vertraging n kennis stellen, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.

3.2

_

De door Verwerker uit te voeren verwerkingen staan beschreven in tabel 1 van Bijlage 1.

Artikel 4 Inhoudelijke afspraken

41

_

Beveiligingsmaatregelen Verwerker zorgt voor passende technische en organisatorische maatregelen om de Persoonsgegevens

goed te bevelligen, zoals bedoeld in artikel 32 AVG. De wijze waarop Verwerker de passende technische en organisatorische maatregelen aantoont, staat in Bijlage 2. 42

43

Audits

Verwerker verleent alle benodigde medewerking aan audits uitgevoerd door een gecertificeerde auditor over de nakoming van de afspraken binnen deze Verwerkersovereenkomst en Bijlagen, tenzij Verwerker door middel van een geldige certificering, die periodiek door een geaccrediteerde instelling wordt getoetst, heeft aangetoond dat Verwerker de gemaakte afspraken nakomt. De kosten van deze audit worden gedragen door Verwerkingsverantwoordelijke (zowel eigen kosten als kosten van Verwerker), tenzij de auditor één of meer tekortkomingen van niet ondergeschikte aard van Verwerker constateert die ten nadele zijn van Verwerkingsverantwoordelijke. Verwerking buiten de EER Verwerker mag Persoonsgegevens buiten de Europese Economische Ruimte (laten) verwerken wanneer is voldaan aan de voorwaarden van artikel 45 en 46 AVG. Wanneer er sprake is van een

verwerking buiten de EER, dan stelt Verwerker Verwerkingsverantwoordelijke daarvan vooraf op de 44

hoogte. Geheimhouding

Personen die werken voor (sub)Verwerker en (sub)Verwerker zelf, moeten Persoonsgegevens waarmee zij werken geheimhouden. De personen die werken voor Verwerker en subverwerkers

hebben daarom een geheimhoudingsverklaring getekend, of zich op een andere manier schriftelijk gebonden aan de geheimhouding. 45

Subverwerkers

De ten tijde van het afsluiten van deze Verwerkersovereenkomst bekende subverwerkers vermeldt Verwerker in tabel 3 van Bijlage 1. Verwerkingsverantwoordelijke verleent hierbij algemene

toestemming voor de inschakeling van subverwerkers. Verwerker houdt na de start van de werkzaamheden Verwerkingsverantwoordelijke op de hoogte van de beoogde inschakeling van nieuwe subverwerkers. Bij de inschakeling van subverwerkers blijven de artikelen 28.2 en 28.4 AVG onverkort van kracht. 46

Rechten van betrokkenen

Als een betrokkene een beroep doet op zijn rechten zoals genoemd in artikel 12 t/m 22 AVG, helpt Verwerker Verwerkingsverantwoordelijke om daarop binnen de wettelijke termijnen een beslissing te nemen.

47

Gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging Op verzoek van Verwerkingsverantwoordelijke werkt Verwerker altijd mee aan een

gegevensbeschermingseffectbeoordeling (DPIA] en een voorafgaande raadpleging als bedoeld in artikel 35 en 36 AVG.

Artikel 5 Inbreuk in verband met Persoonsgegevens 51

Verwerker zal Verwerkingsverantwoordelijke zonder onredelijke vertraging, maar uiterlijk binnen 24 uur, informeren na vaststelling van een (vermoedelijke) Inbreuk in verband met Persoonsgegevens.

Verwerker vermeldt hierbij voor zover bekend de vermeende oorzaak van de (vermoedelijke) Inbreuk, de categorie persoonsgegevens, de categorie betrokkenen en het aantal betrokkenen. 52

53

54

In geval van een Inbreuk neemt Verwerker zonder onredelijke vertraging alle maatregelen om de Inbreuk te herstellen, de gevolgen daarvan te beperken en verdere Inbreuken te voorkomen. Verwerker heeft een gedetailleerd logboek van de Inbreuken en de maatregelen die op Inbreuken zijn genomen. Verwerkingsverantwoordelijke mag dat inzien, wanneer deze daarom vraagt.

Verwerkingsverantwoordelijke beslist of de Inbreuk moet worden gemeld bij de toezichthoudende autoriteit en/of Betrokkene. Verwerker ondersteunt de Verwerkingsverantwoordelijke waar nodig bij

de melding aan de toezichthoudende autoriteit en/of Betrokkene. Artikel 6 Aansprakelijkheid 61 Eventuele in de Hoofdovereenkomst overeengekomen beperkingen van de aansprakelijkheid hebben ook betrekking op de Verwerkersovereenkomst.

Partijen moeten in de Hoofdovereenkomst afspraken maken over de beëindiging van de Hoofdovereenkomst en de daaruit voortvloeiende teruggave en wissing van Persoonsgegevens.

7.2

_

De geheimhouding geldt ook nog na beëindiging van deze Verwerkersovereenkomst.

Artikel 8 Overige bepalingen

81

_

Op deze overeenkomst is Nederlands recht van toepassing. Alle geschillen, ook als alleen één Partij vindt dat er een geschil , zullen in eerste intantie worden voorgelegd aan dezelfde bevoegde rechter als genoemd in de Hoofdovereenkomst.

Ondertekening

Aldus overeengekomen en n tweevoud ondertekend, Gemeente Nunspeet

Blaauwberg

namens deze: rs. M. van de Bunté

lamens deze: Rob Manders, ct

(geanonimiseerd)(geanonimiseerd) SOS

Datum:ÂQ juni 2022

aats:

g

Datum: / /(,/„/ Zo27%,

Bijlage 1: Overzicht van te verwerken persoonsgegevens 1.

Naam verwerking, doeleinden categorieën van betrokkenen, soort persoonsgegevens en eventuele

doorgifte naar derde landen.

VerwerkingsNaam verwerking | doeleinden

Categorieën [ Categorie Doorgifte naar van Persoonsgegevens derde landen Betrokkene | (waaronder bijzondere n

VerwerkingOzb gegevens niet

_ | Optimaliserenen doorontwikkelen

woningen Nunspeet ten behoevevanhet

persoonsgegevens)

| Betreft | geen

‘Omschrijving alle OZB niet woningen

van een kwetsbare _ | objecten, woz-waarde, gemeentebreed | groepen straat, postcode, ondernemersfond huisnummer en plaats |s van gemeente

gemeente

opzetten van het

| Niet van toepassing

Nunspeet

optimaliseren en door-ontwikkelen van

een

gemeentebreed ondernemersfonds

2.

Contactgegevens

Contactpersoon Verwerkingsverantwoordelijke NB: Ook buiten kantooruren) Contactpersoon Verwerker (NB: Ook buiten

Naam: Lontactgegevens: laam:

(geanonimiseerd)

kantooruren)

Contactgegevens: (geanonimiseerd)

Contactgegevens IBD

Ielefoonnummer

NB: Eventuele 3.

igingen in bovenstaande tabellen geven parti

n op korte termijn

aan elkaar door.

Ingeschakelde subverwerkers

Naam en contactgegevens

ubverwerker Geen

KkvK-nummer

bitbestede

berwerkingen

Ioepassing

Bijlage 2: Aantonen passend niveau van beveiliging Normenstelsel/gedragscode De informatiebeveiliging vindt plaats volgens een algemeen erkende overheidsnorm zoals de BIO of vergelijkbaar, namelijk: Voor het jaar 2022 wordt er voldaan aan het normenkader Baseline Informatiebeveiliging Nederlandse gemeenten (BIG). Voor het jaar 2023 en verder wordt er voldaan aan het normenkader Baseline Informatiebeveiliging Oveheid (BI0). Deze richtlijn, die ook geldt voor gemeenten, is van kracht per 01-01-2020.

ndheid van de informatiebeveiliging blijkt uit de volgende certificering en verklaring van toepasselijkheid:

Eigen controles of eigen mededelingen over de beveiligingsmaatregelen zoals hieronder beschreven: Blaauwberg verzekert dat de gegevens slechts beschikbaar zijn op een enkele computer, niet zijnde opslag in de ‘cloud’, beveiligd naar algemene normen met een versleuteld wachtwoord, en slechts toegankelijk voor genoemde verwerker (geanonimiseerd) Blaauwberg gebruikt de verwerkte gegevens slechts voor het eerder genoemde doel, en zal g van deze opdracht alle verwerkingsgegevens verwijderen van de betreffende pc.

NB: Uit de certificering/periodieke externe controles/audits of uit de eigen controles/beschrijvingen blijkt of kan afgeleid worden dat de beveiliging passend is bij de verwerking(en) genoemd in bijlage 1.