Verwerkersovereenkomst (VO)

Standaardcontractbepalingen

Officiële tekst volgens EUR-Lex (CELEX 32021D0915), bijlage bij het besluit. De gekozen opties zijn gemarkeerd met [Keuze: …], de niet-gekozen opties zijn doorgehaald; voor het overige is de tekst ongewijzigd.

Deel II: Verplichtingen van de partijen

Clausule 6: Beschrijving van de verwerking

De details van de verwerkingsactiviteiten, met name de categorieën persoonsgegevens en de doeleinden waarvoor de persoonsgegevens in opdracht van de verwerkingsverantwoordelijke worden verwerkt, zijn opgenomen in bijlage II.

Clausule 7: Verplichtingen van de partijen

7.1. Instructies

a) De verwerker verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke, tenzij hij krachtens het recht van de Unie of het recht van een lidstaat waaraan hij onderworpen is, verplicht is tot verwerking. In een dergelijk geval stelt de verwerker de verwerkingsverantwoordelijke vóór de verwerking in kennis van deze wettelijke vereisten, tenzij het betreffende recht dit verbiedt vanwege een zwaarwegend openbaar belang. De verwerkingsverantwoordelijke kan gedurende de gehele duur van de verwerking van persoonsgegevens nadere instructies geven. Deze instructies moeten te allen tijde worden gedocumenteerd.

b) De verwerker stelt de verwerkingsverantwoordelijke onverwijld in kennis wanneer hij van mening is dat de door de verwerkingsverantwoordelijke gegeven instructies in strijd zijn met Verordening (EU) 2016/679, Verordening (EU) 2018/1725 of de geldende voorschriften inzake gegevensbescherming van de Unie of de lidstaten in strijd zijn.

7.2. Doelbinding

De verwerker verwerkt de persoonsgegevens uitsluitend voor het/de in bijlage II genoemde specifieke doel(en), tenzij hij nadere instructies van de verwerkingsverantwoordelijke ontvangt.

7.3. Duur van de verwerking van persoonsgegevens

De gegevens worden door de verwerker uitsluitend verwerkt gedurende de in bijlage II aangegeven termijn.

7.4. Beveiliging van de verwerking

a) De verwerker neemt ten minste de in bijlage III genoemde technische en organisatorische maatregelen om de beveiliging van de persoonsgegevens te waarborgen. Dit omvat de bescherming van de gegevens tegen een inbreuk op de beveiliging die, hetzij onopzettelijk, hetzij onrechtmatig, leidt tot vernietiging, verlies, wijziging of onrechtmatige openbaarmaking van of onrechtmatige toegang tot de gegevens (hierna „inbreuk op de bescherming van persoonsgegevens” genoemd). Bij de beoordeling van het passende beschermingsniveau houden de partijen naar behoren rekening met de stand van de techniek, de implementatiekosten, de aard, de omvang, de omstandigheden en de doeleinden van de verwerking, alsmede met de risico’s voor de betrokkenen.

b) De verwerker verleent zijn personeel slechts toegang tot de persoonsgegevens die het voorwerp van de verwerking vormen, voor zover dit strikt noodzakelijk is voor de uitvoering, het beheer en het toezicht op de overeenkomst. De verwerker waarborgt dat de personen die bevoegd zijn om de ontvangen persoonsgegevens te verwerken, zich tot vertrouwelijkheid hebben verbonden of onderworpen zijn aan een passende wettelijke geheimhoudingsplicht.

7.5. Gevoelige gegevens

Indien de verwerking betrekking heeft op persoonsgegevens waaruit de raciale of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen of het lidmaatschap van een vakbond blijken, of die genetische gegevens of biometrische gegevens bevatten met het oog op de eenduidige identificatie van een natuurlijke persoon, gegevens over de gezondheid, het seksleven of de seksuele geaardheid van een persoon, of gegevens over strafrechtelijke veroordelingen en strafbare feiten bevatten (hierna „gevoelige gegevens” genoemd), past de verwerker specifieke beperkingen en/of aanvullende waarborgen toe.

7.6. Documentatie en naleving van de bepalingen

a) De partijen moeten kunnen aantonen dat zij deze bepalingen naleven.

b) De verwerker behandelt verzoeken van de verwerkingsverantwoordelijke met betrekking tot de verwerking van gegevens overeenkomstig deze bepalingen onverwijld en op passende wijze.

c) De verwerker stelt de verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de naleving aan te tonen van de in deze bepalingen vastgelegde verplichtingen die rechtstreeks voortvloeien uit Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 voortvloeien. Op verzoek van de verwerkingsverantwoordelijke staat de verwerker tevens toe dat de verwerkingsactiviteiten die onder deze bepalingen vallen, met redelijke tussenpozen of bij aanwijzingen van niet-naleving worden gecontroleerd, en draagt hij bij aan een dergelijke controle. Bij het nemen van een besluit over een controle of inspectie kan de verwerkingsverantwoordelijke rekening houden met relevante certificeringen van de verwerker.

d) De verwerkingsverantwoordelijke kan de controle zelf uitvoeren of een onafhankelijke controleur aanstellen. De controles kunnen ook inspecties omvatten in de bedrijfsruimten of fysieke faciliteiten van de verwerker en worden, indien van toepassing, met een redelijke voorafgaande kennisgeving uitgevoerd.

e) De partijen stellen de in deze clausule genoemde informatie, met inbegrip van de resultaten van controles, op verzoek ter beschikking van de bevoegde toezichthoudende autoriteit(en).

7.7. Inschakeling van subverwerkers

a) OPTIE 2: ALGEMENE SCHRIFTELIJKE TOESTEMMING: De verwerker beschikt over de algemene toestemming van de verwerkingsverantwoordelijke voor het inschakelen van subverwerkers die in een overeengekomen lijst zijn opgenomen. De verwerker stelt de verwerkingsverantwoordelijke ten minste 30 dagen van tevoren uitdrukkelijk en schriftelijk in kennis van alle voorgenomen wijzigingen in deze lijst door toevoeging of vervanging van subverwerkers, en geeft de verwerkingsverantwoordelijke daarmee voldoende tijd om bezwaar te kunnen maken tegen deze wijzigingen voordat de betreffende subverwerker(s) wordt/worden ingeschakeld. De verwerker stelt de verwerkingsverantwoordelijke de nodige informatie ter beschikking, zodat deze zijn recht van bezwaar kan uitoefenen. [Keuze: optie 2, termijn 30 dagen; de overeengekomen lijst is bijlage IV]

b) Indien de verwerker een subverwerker inschakelt voor het uitvoeren van bepaalde verwerkingsactiviteiten (in opdracht van de verwerkingsverantwoordelijke), dan dient deze opdracht te worden gegeven door middel van een overeenkomst die de subverwerker in wezen dezelfde gegevensbeschermingsverplichtingen oplegt als die welke voor de verwerker gelden krachtens deze bepalingen. De verwerker zorgt ervoor dat de subverwerker de verplichtingen nakomt waaraan de verwerker krachtens deze clausules en overeenkomstig Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 is onderworpen.

c) De verwerker verstrekt de verwerkingsverantwoordelijke op diens verzoek een kopie van een dergelijke onderverwerkingsovereenkomst en van eventuele latere wijzigingen daarin. Voor zover dit noodzakelijk is ter bescherming van bedrijfsgeheimen of andere vertrouwelijke informatie, met inbegrip van persoonsgegevens, kan de verwerker de tekst van de overeenkomst onleesbaar maken alvorens een kopie te verstrekken.

d) De verwerker is jegens de verwerkingsverantwoordelijke volledig aansprakelijk voor het nakomen door de subverwerker van zijn verplichtingen uit hoofde van de met de verwerker gesloten overeenkomst. De verwerker stelt de verwerkingsverantwoordelijke in kennis indien de subverwerker zijn contractuele verplichtingen niet nakomt.

e) De verwerker komt met de subverwerker een derdebegunstigingsclausule overeen, op grond waarvan de verwerkingsverantwoordelijke - in het geval dat de verwerker feitelijk of juridisch niet meer bestaat of insolvent is - het recht heeft om de onderaannemingsovereenkomst te beëindigen en de onderaannemer op te dragen de persoonsgegevens te wissen of terug te geven.

7.8. Internationale gegevensoverdrachten

a) Elke doorgifte van gegevens door de verwerker naar een derde land of een internationale organisatie vindt uitsluitend plaats op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke of ter naleving van een specifieke bepaling krachtens het recht van de Unie of het recht van een lidstaat waaraan de verwerker is onderworpen, en moet in overeenstemming zijn met hoofdstuk V van Verordening (EU) 2016/679 of Verordening (EU) 2018/1725 in overeenstemming zijn.

b) De verwerkingsverantwoordelijke stemt ermee in dat, in gevallen waarin de verwerker overeenkomstig clausule 7.7 een subverwerker inschakelt voor de uitvoering van bepaalde verwerkingsactiviteiten (in opdracht van de verwerkingsverantwoordelijke) en deze verwerkingsactiviteiten een doorgifte van persoonsgegevens in de zin van hoofdstuk V van Verordening (EU) 2016/679 inhouden, de verwerker en de subverwerker de naleving van hoofdstuk V van Verordening (EU) 2016/679 kunnen waarborgen door gebruik te maken van standaardcontractbepalingen die door de Commissie zijn vastgesteld overeenkomstig artikel 46, lid 2, van Verordening (EU) 2016/679, mits aan de voorwaarden voor de toepassing van deze standaardcontractbepalingen is voldaan.

Clausule 8: Ondersteuning van de verwerkingsverantwoordelijke

a) De verwerker stelt de verwerkingsverantwoordelijke onverwijld in kennis van elk verzoek dat hij van de betrokkene heeft ontvangen. Hij beantwoordt het verzoek niet zelf, tenzij hij daartoe door de verwerkingsverantwoordelijke is gemachtigd.

b) Rekening houdend met de aard van de verwerking ondersteunt de verwerker de verwerkingsverantwoordelijke bij het nakomen van diens verplichting om te reageren op verzoeken van betrokkenen tot uitoefening van hun rechten. Bij het nakomen van zijn verplichtingen overeenkomstig de punten a) en b) volgt de verwerker de instructies van de verwerkingsverantwoordelijke op.

c) Naast de verplichting van de verwerker om de verwerkingsverantwoordelijke overeenkomstig clausule 8, onder b), bij te staan, ondersteunt de verwerker de verwerkingsverantwoordelijke, rekening houdend met de aard van de gegevensverwerking en de informatie waarover hij beschikt, tevens bij het nakomen van de volgende verplichtingen:

• 1) De verplichting om een beoordeling uit te voeren van de gevolgen van de voorgenomen verwerkingsactiviteiten voor de bescherming van persoonsgegevens (hierna „gegevensbeschermings-effectbeoordeling” genoemd), indien een vorm van verwerking naar verwachting een hoog risico voor de rechten en vrijheden van natuurlijke personen met zich meebrengt;
• 2) de verplichting om vóór de verwerking de bevoegde toezichthoudende autoriteit(en) te raadplegen, indien uit een gegevensbeschermings-effectbeoordeling blijkt dat de verwerking een hoog risico met zich mee zou brengen, tenzij de verwerkingsverantwoordelijke maatregelen neemt om het risico te beperken;
• 3) De verplichting om ervoor te zorgen dat de persoonsgegevens feitelijk juist en actueel zijn, doordat de verwerker de verwerkingsverantwoordelijke onmiddellijk op de hoogte stelt wanneer hij vaststelt dat de door hem verwerkte persoonsgegevens onjuist of verouderd zijn;
• 4) Verplichtingen overeenkomstig artikel 32 van Verordening (EU) 2016/679. [Keuze: optie 1]

d) De partijen leggen in bijlage III de passende technische en organisatorische maatregelen vast ter ondersteuning van de verwerkingsverantwoordelijke door de verwerker bij de toepassing van deze clausule, alsmede het toepassingsgebied en de omvang van de vereiste ondersteuning.

Clausule 9: Melding van inbreuken op de bescherming van persoonsgegevens

In geval van een inbreuk ### opde### bescherming van persoonsgegevenswerkt de verwerker samen met de verwerkingsverantwoordelijke en verleent hij hem de nodige ondersteuning, zodat de verwerkingsverantwoordelijke kan voldoen aan zijn verplichtingen krachtens de artikelen 33 en 34 van Verordening (EU) 2016/679 of, indien van toepassing, de artikelen 34 en 35 van Verordening (EU) 2018/1725 kan nakomen, waarbij de verwerker rekening houdt met de aard van de verwerking en de informatie waarover hij beschikt.

9.1. Inbreuk op de bescherming van de door de verwerkingsverantwoordelijke verwerkte gegevens

In geval van een inbreuk op de bescherming van persoonsgegevens in verband met de door de verwerkingsverantwoordelijke verwerkte gegevens, ondersteunt de verwerker de verwerkingsverantwoordelijke als volgt:

a) bij de onmiddellijke melding van de inbreuk op de bescherming van persoonsgegevens aan de bevoegde toezichthoudende autoriteit(en), nadat de verwerkingsverantwoordelijke kennis heeft genomen van de inbreuk, voor zover relevant (tenzij de inbreuk op de bescherming van persoonsgegevens naar verwachting geen risico vormt voor de persoonlijke rechten en vrijheden van natuurlijke personen);

b) bij het verzamelen van de volgende informatie, die overeenkomstig artikel 33, lid 3, van Verordening (EU) 2016/679 in de melding van de verwerkingsverantwoordelijke moet worden vermeld, waarbij deze informatie ten minste het volgende moet omvatten: [keuze: optie 1]

• 1) de aard van de persoonsgegevens, voor zover mogelijk, met vermelding van de categorieën en het geschatte aantal betrokken personen, alsmede de categorieën en het geschatte aantal betrokken persoonsgegevensrecords;
• 2) de waarschijnlijke gevolgen van de inbreuk op de bescherming van persoonsgegevens;
• 3) de door de verwerkingsverantwoordelijke genomen of voorgestelde maatregelen om de inbreuk op de bescherming van persoonsgegevens te verhelpen en, indien van toepassing, maatregelen om de mogelijke nadelige gevolgen ervan te beperken.

Indien en voor zover niet al deze informatie tegelijkertijd kan worden verstrekt, bevat de eerste melding de op dat moment beschikbare informatie, en wordt aanvullende informatie, zodra deze beschikbaar is, vervolgens zonder onnodige vertraging verstrekt;

c) bij het nakomen van de verplichting krachtens artikel 34 van Verordening (EU) 2016/679, de betrokkene onverwijld in kennis te stellen van de inbreuk op de bescherming van persoonsgegevens, indien deze inbreuk naar verwachting een hoog risico voor de rechten en vrijheden van natuurlijke personen met zich meebrengt. [Keuze: optie 1]

9.2. Inbreuk op de bescherming van de door de verwerker verwerkte gegevens

In geval van een inbreuk opde beschermingvanpersoonsgegevens in verband met de door de verwerkerverwerktegegevens, meldt de verwerker deze onmiddellijk aan de verwerkingsverantwoordelijke nadat hij kennis heeft genomen van de inbreuk. Deze melding moet ten minste de volgende informatie bevatten:

a) een beschrijving van de aard van de inbreuk (indien mogelijk met vermelding van de categorieën en het geschatte aantal betrokken personen en het geschatte aantal betrokken gegevensrecords);

b) contactgegevens van een contactpunt waar nadere informatie over de inbreuk op de bescherming van persoonsgegevens kan worden verkregen;

c) de verwachte gevolgen en de genomen of voorgestelde maatregelen om de inbreuk op de bescherming van persoonsgegevens te verhelpen, met inbegrip van maatregelen om de mogelijke nadelige gevolgen ervan te beperken.

Indien en voor zover niet alle informatie tegelijkertijd kan worden verstrekt, bevat de oorspronkelijke melding de op dat moment beschikbare informatie, en wordt aanvullende informatie, zodra deze beschikbaar is, vervolgens zonder onnodige vertraging verstrekt.

De partijen leggen in bijlage III alle overige gegevens vast die de verwerker ter beschikking moet stellen om de verwerkingsverantwoordelijke te ondersteunen bij het nakomen van diens verplichtingen overeenkomstig de artikelen 33 en 34 van Verordening (EU) 2016/679. [Keuze: optie 1]

Bijlage I: Lijst van partijen

Verwerker

Transpareo AG, Tech Cluster Zug, Oberallmendstrasse 18, 6300 Zug, Zwitserland, UID CHE-220.381.580, vertegenwoordigd door Günter Reichelt, voorzitter van de raad van bestuur. Contact: privacy@mail.transpareo.com.

Functionaris voor gegevensbescherming en vertegenwoordiger in de EU overeenkomstig artikel 27 AVG: DGD Deutsche Gesellschaft für Datenschutz, prof. dr. h.c. Heiko Jonny Maniero, Franz-Joseph-Str. 11, 80801 München, Duitsland, info@mail.dg-datenschutz.de.

Transpareo is gevestigd in Zwitserland, waarvoor een adequaatheidsbesluit van de Commissie geldt (2000/518/EG). De gegevens worden in Duitsland opgeslagen.

Verantwoordelijken

Transpareo sluit deze bepalingen afzonderlijk af met elke verantwoordelijke. De verwerkingsverantwoordelijke is ofwel:

1. een klant die het Transpareo-platform gebruikt overeenkomstig de Algemene Voorwaarden (AV). Naam, adres en contactpersoon zijn de gegevens die hij bij het sluiten van de overeenkomst via het platform verstrekt en in zijn account bijhoudt; de contactpersoon is de accounthouder. De bepalingen worden geacht te zijn overeengekomen bij het sluiten van deze overeenkomst (artikel 14 van de AV).
2. een leverancier die via de leverancierspagina een aanvraag doorstuurt naar zijn eigen leveranciers. De verwerkingsverantwoordelijke is de onderneming waarnaar de link is gericht via welke de aanvraag wordt doorgestuurd, zoals aangegeven in de aanvraag. De contactpersoon is degene die de aanvraag doorgeeft, met de naam en het e-mailadres die hij daarbij opgeeft. De leverancier gaat akkoord met de bepalingen door deze bij het doorgeven namens zijn onderneming te aanvaarden; Transpareo slaat de aanvaarde versie en het tijdstip op, samen met de doorgegeven link. Daarnaast zijn voor hem de gebruiksvoorwaarden voor leveranciers van toepassing.

Transpareo fungeert als functionaris voor gegevensbescherming van een verwerkingsverantwoordelijke zodra deze hem aanwijst.

De algemene voorwaarden of de gebruiksvoorwaarden voor leveranciers vormen telkens de hoofdovereenkomst. De bepalingen worden elektronisch aangegaan (art. 28, lid 9 AVG); de datum van toetreding is het tijdstip van het aangaan van de overeenkomst.

Bijlage III: Technische en organisatorische maatregelen

Versleuteling en pseudonimisering

• Alle verbindingen zijn versleuteld met TLS.
• Toegangsgegevens en andere vertrouwelijke gegevens (pincodes, sleutels voor eenmalige codes, SMTP-toegangsgegevens, API-sleutels) worden in de database versleuteld opgeslagen met AES-256-GCM, met een eigen sleutel per werkruimte.
• Back-ups zijn versleuteld.
• De bezoekersstatistieken slaan IP-adressen uitsluitend op als hashwaarde met een geheime sleutel. Bezoeken aan de leverancierspagina worden hierin niet opgenomen.

Scheiding

• Elke klant beschikt over een eigen database.

Fysieke beveiliging

• Servers en objectopslag bevinden zich in datacentra van Hetzner Online GmbH in Falkenstein, Duitsland, die ISO 27001-gecertificeerd zijn.

Identificatie en autorisatie

• Wachtwoorden worden uitsluitend als bcrypt-hash opgeslagen.
• Een tweefactorauthenticatie met een eenmalige code of beveiligingssleutel is beschikbaar voor alle gebruikers; de klant kan dit voor zijn werkruimte vereisen.
• Een sessie wordt beëindigd na een periode van inactiviteit die door de klant wordt ingesteld (standaardinstelling: acht uur).
• Binnen de werkruimte gelden rollen en machtigingen die door de klant worden toegekend.
• Medewerkers van Transpareo openen een werkruimte uitsluitend door zich aan te melden namens de klant; dit wordt vastgelegd in het logboek van het platform en in het beveiligingslogboek van de werkruimte.
• Leverancierspagina: de link bevat een willekeurige sleutel van 16 tekens (80 bit); zonder pincode toont de pagina niets van het gegevensrecord. Na vijf onjuiste pincodes wordt de link gedurende 15 minuten geblokkeerd. Per IP-adres accepteert de pagina maximaal 120 bezoeken per minuut. Bij het deblokkeren krijgt de sessie een nieuwe identificatiecode. De pagina is geblokkeerd voor zoekmachines en geeft haar adres niet door aan externe pagina’s.

Logboekregistratie

• Wijzigingen aan gegevensrecords en de handelingen op de leverancierspagina worden geregistreerd met tijdstip, uitvoerder en IP-adres en vijf jaar bewaard; aanmeldingen en andere beveiligingsgebeurtenissen worden één jaar bewaard.
• Serverlogboeken worden na 14 dagen verwijderd.

Integriteit

• Afbeeldingen van leveranciers worden zonder metagegevens bewaard in een beveiligde omgeving buiten de openbare opslagruimte, totdat deze door een controle worden overgenomen. Een reactie wijzigt het gegevensrecord pas na de controle.
• Gepubliceerde versies van het passwoord zijn cryptografisch ondertekend.

Beschikbaarheid en herstel

• Om de vier uur worden de database en bestanden van elke actieve werkruimte geback-upt, versleuteld en gescheiden van de servers opgeslagen in de objectopslag in Duitsland. Lokale kopieën worden na vier dagen verwijderd. De back-ups in de objectopslag worden 90 dagen bewaard en binnen 30 dagen daarna definitief verwijderd.
• Diensten en servers worden voortdurend bewaakt; beveiligingsupdates worden regelmatig geïnstalleerd.
• Transpareo controleert deze maatregelen regelmatig en past ze aan de stand van de techniek aan.

Ondersteuning van de verwerkingsverantwoordelijke (bepalingen 8 en 9)

• Een klant kan de gegevens van zijn werkruimte op het platform inzien, corrigeren en verwijderen. Een leverancier ziet de antwoorden op zijn verzoeken om gegevensverstrekking op de leverancierspagina en kan elke verstrekte link intrekken.
• Verzoeken van betrokkenen die bij Transpareo binnenkomen, worden door Transpareo onmiddellijk doorgestuurd naar de verwerkingsverantwoordelijke.
• Kennisgevingen overeenkomstig de clausules 7.7 en 9.2 worden per e-mail verzonden naar de accounthouder van een klant en naar het e-mailadres dat een leverancier bij het doorgeven opgeeft. Het contactpunt overeenkomstig clausule 9.2, onder b, is privacy@mail.transpareo.com.
• Een melding overeenkomstig artikel 9.2 vermeldt bovendien het tijdstip van de inbreuk en de ontdekking daarvan, alsmede de betrokken werkgebieden of links.

Zwitserse aanvulling

Deze aanvulling vormt een aanvullende bepaling op grond van artikel 2, onder b). Voor zover de verwerking onder de Zwitserse federale wet inzake gegevensbescherming (DSG) valt:

1. gelden verwijzingen naar Verordening (EU) 2016/679 tevens als verwijzingen naar de overeenkomstige bepalingen van de DSG, met name artikel 28 van de AVG naar artikel 9 van de DSG, artikel 32 naar artikel 8, artikel 33 en 34 op artikel 24, artikel 35 en 36 op artikel 22 en 23, hoofdstuk V op de artikelen 16 tot en met 18, de rechten van betrokkenen op de artikelen 25 tot en met 32 van de DSG en gevoelige gegevens overeenkomstig clausule 7.5 op bijzonder beschermingswaardige persoonsgegevens overeenkomstig artikel 5, onder c), van de DSG;
2. is de bevoegde toezichthoudende autoriteit de Federale Commissaris voor gegevensbescherming en openbaarheid (EDÖB); de bevoegdheid van de toezichthoudende autoriteiten krachtens de AVG blijft onverminderd van kracht;
3. wordt ook het Zwitserse recht beschouwd als recht van een lidstaat.

Stand: 8 oktober 2026