Verwerkersovereenkomst

1. Artikel 1Partijen en rolverdeling

   1. 1.1Deze verwerkersovereenkomst is onderdeel van de overeenkomst tussen de klant en TTM Communicatie, gevestigd aan Frans L. Blomlaan 3, 4143 CW Leerdam, KvK 51059576.
   2. 1.2De klant is verwerkingsverantwoordelijke: hij bepaalt welke bedrijven worden gevolgd en met welk doel hij de uitkomsten gebruikt.
   3. 1.3Aanbieder is verwerker: zij verwerkt persoonsgegevens uitsluitend in opdracht van de klant en voor het leveren van de dienst.
   4. 1.4Bij tegenstrijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

2. Artikel 2Voorwerp van de verwerking

   1. 2.1De onderwerpen, doeleinden, categorieën van betrokkenen en soorten persoonsgegevens staan in bijlage 1.
   2. 2.2Aanbieder verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van de klant. De overeenkomst en het gebruik van het platform gelden als zodanig.
   3. 2.3Meent aanbieder dat een instructie in strijd is met de wet, dan meldt zij dat direct en mag zij de uitvoering opschorten.
   4. 2.4Aanbieder verwerkt PERSOONSgegevens niet voor eigen doeleinden. Openbare bedrijfsgegevens die geen persoonsgegevens zijn, vallen buiten deze overeenkomst en mag aanbieder ook zelf gebruiken; dat is geregeld in de algemene voorwaarden.
   5. 2.5Gebruikt aanbieder gegevens voor eigen marktcijfers of benchmarks, dan gebeurt dat uitsluitend geaggregeerd en zonder dat de klant, zijn keuzes of een individuele persoon daaruit herleidbaar zijn.

3. Artikel 3Aard van de bronnen

   1. 3.1Aanbieder verzamelt uitsluitend gegevens die openbaar toegankelijk zijn, zonder inloggegevens van derden te gebruiken en zonder technische toegangsbeperkingen te omzeilen.
   2. 3.2Aanbieder verzamelt uitsluitend gegevens over personen in hun zakelijke hoedanigheid, zoals een functietitel of een openbaar bedrijfsprofiel.
   3. 3.3De klant stelt vast dat hij een grondslag heeft voor het laten volgen van de door hem aangewezen bedrijven, en dat de belangen van de betrokkenen daaraan niet in de weg staan.

4. Artikel 4Beveiliging

   1. 4.1Aanbieder treft passende technische en organisatorische maatregelen, beschreven in bijlage 2.
   2. 4.2Aanbieder mag maatregelen wijzigen zolang het beveiligingsniveau daardoor niet lager wordt.
   3. 4.3Personen die namens aanbieder toegang hebben tot de gegevens zijn tot geheimhouding verplicht.

5. Artikel 5Subverwerkers

   1. 5.1De klant geeft aanbieder algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat in bijlage 3.
   2. 5.2Aanbieder legt aan een subverwerker ten minste dezelfde verplichtingen op als in deze overeenkomst staan, en blijft jegens de klant aansprakelijk voor het handelen van de subverwerker.
   3. 5.3Aanbieder meldt een voorgenomen nieuwe of vervangende subverwerker ten minste dertig dagen van tevoren. De klant kan daartegen op redelijke gronden bezwaar maken; komen partijen er niet uit, dan mag de klant de overeenkomst opzeggen tegen de datum van de wijziging.

6. Artikel 6Doorgifte buiten de Europese Economische Ruimte

   1. 6.1Aanbieder verwerkt de persoonsgegevens binnen de Europese Economische Ruimte.
   2. 6.2Is doorgifte daarbuiten onvermijdelijk, dan gebeurt dat uitsluitend met een geldige grondslag, zoals een adequaatheidsbesluit of de modelcontractbepalingen van de Europese Commissie, en wordt de klant daarover vooraf geïnformeerd.

7. Artikel 7Meldplicht bij een datalek

   1. 7.1Aanbieder stelt de klant zonder onredelijke vertraging op de hoogte zodra zij kennisneemt van een inbreuk in verband met persoonsgegevens die de klant raakt, en in elk geval binnen achtenveertig uur.
   2. 7.2De melding bevat ten minste de aard van de inbreuk, de betrokken categorieën en aantallen voor zover bekend, de waarschijnlijke gevolgen en de getroffen of voorgestelde maatregelen.
   3. 7.3Aanbieder verricht zelf geen melding bij de Autoriteit Persoonsgegevens of bij betrokkenen namens de klant, tenzij daarover uitdrukkelijk andere afspraken zijn gemaakt. Het is de klant die als verwerkingsverantwoordelijke beoordeelt of gemeld moet worden.
   4. 7.4Aanbieder verleent redelijke medewerking bij het onderzoeken en beperken van de gevolgen.

8. Artikel 8Rechten van betrokkenen

   1. 8.1Ontvangt aanbieder een verzoek van een betrokkene, zoals inzage, correctie of verwijdering, dan leidt zij dat door naar de klant en beantwoordt zij het niet zelf.
   2. 8.2Aanbieder verleent de klant redelijke medewerking om binnen de wettelijke termijn aan zo’n verzoek te kunnen voldoen, waaronder door de betreffende gegevens op te zoeken, te corrigeren of te verwijderen.
   3. 8.3Aanbieder verleent eveneens medewerking bij een gegevensbeschermingseffectbeoordeling of een voorafgaande raadpleging, voor zover die op de dienst betrekking heeft.

9. Artikel 9Controle

   1. 9.1Aanbieder stelt de klant op verzoek de informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit deze overeenkomst worden nagekomen.
   2. 9.2De klant mag ten hoogste eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden deskundige, na aankondiging van ten minste dertig dagen.
   3. 9.3De kosten van de audit komen voor rekening van de klant, tenzij daaruit een wezenlijke tekortkoming van aanbieder blijkt.

10. Artikel 10Duur en einde

    1. 10.1Deze verwerkersovereenkomst geldt zolang aanbieder persoonsgegevens verwerkt in opdracht van de klant.
    2. 10.2Na het einde van de overeenkomst verwijdert aanbieder de persoonsgegevens conform artikel 9 van de algemene voorwaarden, tenzij de klant binnen de daar genoemde termijn om teruggave verzoekt of een wettelijke bewaarplicht zich tegen verwijdering verzet.
    3. 10.3Verplichtingen die naar hun aard voortduren, waaronder geheimhouding, blijven ook na afloop gelden.

Bijlage 1 — Wat wij verwerken

Bijlage 2 — Beveiligingsmaatregelen

• Alle verbindingen met het platform verlopen versleuteld via HTTPS.
• Wachtwoorden worden uitsluitend gehasht opgeslagen en zijn niet herleidbaar.
• Gegevens van klanten zijn logisch gescheiden. Elke database-opvraging is gebonden aan het account van de ingelogde gebruiker; een geautomatiseerde controle bewaakt bij elke wijziging dat er geen opvraging zonder die scheiding bestaat.
• Toegang tot productiesystemen is beperkt tot medewerkers voor wie dat noodzakelijk is, en is voorzien van tweestapsverificatie.
• Handelingen van beheerders die een klantomgeving raken, worden vastgelegd in een logboek.
• Er worden dagelijkse back-ups gemaakt, met controle op herstelbaarheid.
• Bij het inschakelen van een subverwerker worden ten minste dezelfde verplichtingen doorgelegd.

Bijlage 3 — Subverwerkers

Wijzigt deze lijst, dan melden wij dat ten minste dertig dagen van tevoren (artikel 5.3).