Verwerkersovereenkomst

Bij verschillen tussen deze Nederlandse versie en een vertaling is deze Nederlandse versie leidend.

Deze Verwerkersovereenkomst (inclusief bijlagen, de "Verwerkersovereenkomst") maakt deel uit van de Onderliggende Overeenkomst (zoals hieronder gedefinieerd) tussen Integer Technologies B.V. en de Klant.

Deze Verwerkersovereenkomst is van toepassing wanneer Integer Technologies B.V. (de "Verwerker") in verband met de Onderliggende Overeenkomst Persoonsgegevens verwerkt ten behoeve van de Klant (de "Verwerkingsverantwoordelijke").

Algemene bepalingen

Overzicht

Deze Verwerkersovereenkomst beschrijft de verplichtingen van partijen, onder meer op grond van toepasselijke wet- en regelgeving op het gebied van privacy, informatiebeveiliging en gegevensbescherming, met betrekking tot de verwerking en beveiliging van persoonsgegevens. Deze Verwerkersovereenkomst treedt in werking op de Ingangsdatum (zoals hieronder gedefinieerd) en vervangt alle eerdere afspraken over de verwerking en beveiliging van Persoonsgegevens, met inbegrip van eerdere versies van deze Verwerkersovereenkomst. Met een hoofdletter geschreven begrippen die in deze Verwerkersovereenkomst niet zijn gedefinieerd, hebben de betekenis die daaraan in de Onderliggende Overeenkomst is gegeven.

Overwegingen

1. A.De Verwerker verricht bepaalde werkzaamheden voor de Verwerkingsverantwoordelijke, waarbij de Verwerker persoonsgegevens verwerkt ten behoeve van de Verwerkingsverantwoordelijke. Deze werkzaamheden zijn vastgelegd in een afzonderlijke overeenkomst (hierna: de Onderliggende Overeenkomst).
2. B.De Verwerkingsverantwoordelijke en de Verwerker wensen in deze Verwerkersovereenkomst hun wederzijdse rechten en verplichtingen vast te leggen met betrekking tot deze verwerking van persoonsgegevens door de Verwerker, in overeenstemming met de Algemene Verordening Gegevensbescherming ("AVG").
3. C.Deze Verwerkersovereenkomst is beperkt tot de aspecten van de door de Verwerker te verrichten werkzaamheden die onder de AVG vallen, en is aangegaan ter uitvoering van de verplichtingen uit artikel 28 AVG. Andere aspecten van de door de Verwerker te verrichten werkzaamheden, zoals eisen op grond van andere wetgeving, licentieaspecten van gebruikte of geïnstalleerde software en commerciële aspecten zoals betalingen en kosten, maken geen deel uit van deze Verwerkersovereenkomst en worden geregeld in andere overeenkomsten.

1. Definities

De met een hoofdletter geschreven begrippen in deze Verwerkersovereenkomst hebben de volgende betekenis:

• Verwerkersovereenkomst: deze verwerkersovereenkomst;
• Ingangsdatum: de datum waarop partijen met deze Verwerkersovereenkomst hebben ingestemd;
• Onderliggende Overeenkomst: de overeenkomst waarin de door de Verwerker te verrichten werkzaamheden zijn beschreven, inclusief de daarop van toepassing zijnde voorwaarden;
• Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon die door de Verwerker wordt verwerkt in verband met de Onderliggende Overeenkomst, ongeacht of de Verwerker bevoegd is deze gegevens te verwerken;
• Toegangsgegevens: gebruikersnamen, wachtwoorden en andere gegevens waarmee de Verwerker toegang krijgt tot de IT-systemen van de Verwerkingsverantwoordelijke;
• Comité: het orgaan van toezichthoudende autoriteiten in de Europese Unie als bedoeld in hoofdstuk VII, afdeling 2 AVG, bekend als het Europees Comité voor gegevensbescherming (EDPB).

Begrippen die in deze Verwerkersovereenkomst niet zijn gedefinieerd, hebben de betekenis die daaraan in artikel 4 AVG is gegeven.

2. Verantwoordelijkheden

Met betrekking tot de verplichtingen die voortvloeien uit de verwerking van Persoonsgegevens en de AVG geldt het volgende:

2.1 De Verwerkingsverantwoordelijke is verwerkingsverantwoordelijke voor de verwerking van Persoonsgegevens in de zin van artikel 4, onderdeel 7 AVG.

2.2 De Verwerker is opdrachtnemer van de Verwerkingsverantwoordelijke en is voor de verwerking van Persoonsgegevens verwerker in de zin van artikel 4, onderdeel 8 AVG.

2.3 Wanneer de Verwerkingsverantwoordelijke de diensten van de Verwerker gebruikt ten behoeve van een derde, zoals een eigen klant, is de Verwerkingsverantwoordelijke ervoor verantwoordelijk dat de noodzakelijke afspraken met die derde zijn gemaakt, waaronder zo nodig een verwerkersovereenkomst, en dat die derde toestemming heeft gegeven voor de inschakeling van de Verwerker en van de in Bijlage 2 genoemde subverwerkers. In dat geval geeft de Verwerkingsverantwoordelijke de instructies van die derde door aan de Verwerker en stuurt zij meldingen op grond van de artikelen 4.10 en 4.12 waar nodig door aan die derde.

3. Toepasselijkheid en reikwijdte van de verwerking

3.1 Tenzij partijen schriftelijk anders zijn overeengekomen, zijn de bepalingen van deze Verwerkersovereenkomst van toepassing op elke verwerking van Persoonsgegevens door de Verwerker.

3.2 De reikwijdte van de verwerking van Persoonsgegevens door de Verwerker volgt uit de verplichtingen van de Verwerker zoals omschreven in deze Verwerkersovereenkomst, inclusief de bijlagen.

3.3 De Verwerkingsverantwoordelijke verleent de Verwerker het recht om Persoonsgegevens die op grond van deze Verwerkersovereenkomst worden verwerkt te gebruiken voor het maken van geanonimiseerde en/of geaggregeerde gegevens, die niet langer te herleiden zijn tot een geïdentificeerde of identificeerbare natuurlijke persoon, en om deze geanonimiseerde en/of geaggregeerde gegevens te gebruiken voor het ontwikkelen, onderhouden en verbeteren van haar producten en diensten. Daarbij gelden de volgende voorwaarden:

1. a.Voor het maken van de geanonimiseerde en/of geaggregeerde gegevens treedt de Verwerker op als verwerkingsverantwoordelijke in de zin van artikel 4, onderdeel 7 AVG en voldoet zij aan alle daarmee samenhangende wettelijke vereisten, waaronder in ieder geval de verplichtingen uit artikel 6, lid 4 AVG.
2. b.De geanonimiseerde en/of geaggregeerde gegevens zijn geen Persoonsgegevens. De Verwerker zal niet proberen natuurlijke personen op basis van deze gegevens te heridentificeren.
3. c.De Verwerker gebruikt Persoonsgegevens niet voor andere eigen doeleinden.

4. Verplichtingen van de Verwerker

4.1 De Verwerker verwerkt de Persoonsgegevens uitsluitend ten behoeve van de Verwerkingsverantwoordelijke, behoudens afwijkende wettelijke verplichtingen en met inachtneming van artikel 3.3 van deze Verwerkersovereenkomst. De Verwerker informeert de Verwerkingsverantwoordelijke vooraf over dergelijke afwijkende wettelijke bepalingen, tenzij de wet dit verbiedt.

4.2 De Verwerker verwerkt de gegevens ten behoeve van de Verwerkingsverantwoordelijke, overeenkomstig de instructies van de Verwerkingsverantwoordelijke en onder diens verantwoordelijkheid. De te verrichten werkzaamheden, de categorieën te verwerken Persoonsgegevens en de categorieën betrokkenen zijn vastgelegd in Bijlage 4, die een integraal onderdeel vormt van deze Verwerkersovereenkomst.

4.3 Indien naar het redelijke oordeel van de Verwerker Persoonsgegevens moeten worden verwerkt voor doeleinden die niet onder artikel 4.2 vallen, stelt de Verwerker de Verwerkingsverantwoordelijke daarvan onverwijld op de hoogte. De Verwerker voert een dergelijke verwerking pas uit na toestemming van de Verwerkingsverantwoordelijke. Deze toestemming kan schriftelijk of per e-mail worden gegeven.

4.4 De Verwerker draagt zorg voor de naleving van de voorwaarden die op grond van de AVG en andere toepasselijke wet- en regelgeving aan de verwerking van Persoonsgegevens worden gesteld. Dit omvat het instrueren van het personeel van de Verwerker over de juiste verwerking van Persoonsgegevens in overeenstemming met alle toepasselijke wet- en regelgeving. Dit omvat tevens de verplichting voor de Verwerker, haar personeel en alle onderaannemers, inclusief hun personeel, om de vertrouwelijkheid van de Persoonsgegevens te waarborgen. De Verwerker zorgt ervoor dat de naleving van deze verplichting aantoonbaar en gedocumenteerd is.

4.5 De Verwerker verleent de Verwerkingsverantwoordelijke naar beste weten en kunnen medewerking bij alle aspecten van de naleving van de AVG waarvoor medewerking of informatie van de Verwerker nodig is. Dit omvat in ieder geval het beschikbaar stellen van de documentatie die de Verwerkingsverantwoordelijke nodig heeft om te voldoen aan artikel 5, lid 2 AVG. Indien de daarvoor benodigde documentatie, of een deel daarvan, vertrouwelijke informatie of knowhow van de Verwerker bevat, heeft de Verwerker het recht te verlangen dat inzage in de vertrouwelijke documentatie uitsluitend wordt verleend onder een schriftelijke geheimhoudingsovereenkomst. Deze geheimhoudingsovereenkomst bevat in ieder geval een aansprakelijkheidsbepaling ten gunste van de Verwerker voor het geval de geheimhoudingsplicht wordt geschonden.

4.6 Partijen komen overeen dat de verplichtingen uit artikel 4.5 beperkt zijn tot die aspecten van de naleving van de AVG die direct of indirect verband houden met de werkzaamheden die de Verwerker op grond van deze Verwerkersovereenkomst en/of de Onderliggende Overeenkomst verricht.

4.7 De Verwerker betracht de uiterste zorgvuldigheid bij de verwerking van de Persoonsgegevens. De Verwerker zorgt er te allen tijde voor dat de integriteit en juistheid van de door haar verwerkte Persoonsgegevens gewaarborgd is en blijft.

4.8 De Verwerker verstrekt Persoonsgegevens niet aan derden en stelt deze niet aan derden ter beschikking. Dit verbod geldt niet indien de Persoonsgegevens aan een derde worden verstrekt:

1. a.op grond van een uitdrukkelijke schriftelijke instructie van de Verwerkingsverantwoordelijke; of
2. b.op grond van een wettelijk voorschrift; of
3. c.op last van een rechterlijke of bestuurlijke instantie, mits de Verwerker de Verwerkingsverantwoordelijke binnen 24 uur na ontvangst van een dergelijke last hiervan op de hoogte stelt, zodat de Verwerkingsverantwoordelijke de haar ter beschikking staande rechtsmiddelen kan aanwenden; of
4. d.op grond van artikel 4.14.

Persoonsgegevens mogen worden verstrekt aan derden buiten de Europese Unie en de Europese Economische Ruimte, mits de Verwerker zorgt voor een passende grondslag als bedoeld in hoofdstuk V AVG.

4.9 Indien de Verwerker wettelijk verplicht is Persoonsgegevens te verstrekken aan een bevoegde autoriteit, stelt zij de Verwerkingsverantwoordelijke daarvan vóór de verstrekking schriftelijk op de hoogte, tenzij de wet dit verbiedt, en verstrekt zij alle relevante informatie die de Verwerkingsverantwoordelijke redelijkerwijs nodig heeft om de beschikbare rechtsmiddelen aan te wenden. De Verwerker verstrekt niet meer Persoonsgegevens dan wettelijk vereist.

4.10 De Verwerker is zich bewust van en aanvaardt de op haar rustende meldplicht, die als volgt wordt nagekomen:

1. a.De Verwerker meldt iedere inbreuk in verband met Persoonsgegevens als bedoeld in artikel 33, lid 1 AVG zonder onredelijke vertraging aan de Verwerkingsverantwoordelijke, en in ieder geval binnen 48 uur na ontdekking. Deze termijn geldt ook tijdens weekenden, vakanties en feestdagen.
2. b.De Verwerker verstrekt de Verwerkingsverantwoordelijke alle informatie en medewerking die nodig is om zo spoedig mogelijk de oorzaak en omvang van het verlies, de onbevoegde toegang, de inbreuk of het beveiligingsprobleem vast te stellen en de vereiste meldingen aan de bevoegde autoriteiten te doen.
3. c.Indien niet alle informatie binnen 48 uur beschikbaar is, verstrekt de Verwerker de informatie waarover zij beschikt en vult zij de overige informatie gefaseerd aan zodra deze beschikbaar komt.

4.11 Een melding van een incident als bedoeld in artikel 4.10 kan telefonisch, per e-mail of schriftelijk worden gedaan. Een telefonische melding wordt bevestigd per e-mail of schriftelijk. Een melding per e-mail wordt telefonisch of schriftelijk bevestigd.

4.12 De Verwerker stelt de Verwerkingsverantwoordelijke onverwijld op de hoogte van alle verzoeken die zij rechtstreeks van een betrokkene ontvangt en die betrekking hebben op de uitoefening van de rechten van betrokkenen zoals omschreven in de AVG. De Verwerker geeft alleen gevolg aan een dergelijk verzoek indien de Verwerkingsverantwoordelijke haar daartoe schriftelijk heeft geïnstrueerd. De Verwerker ondersteunt de Verwerkingsverantwoordelijke met passende technische en organisatorische maatregelen bij de afhandeling van een dergelijk verzoek.

4.13 De Verwerker handelt alle verzoeken en instructies van de Verwerkingsverantwoordelijke met betrekking tot de verwerking van Persoonsgegevens snel en zorgvuldig af.

4.14 De Verwerkingsverantwoordelijke geeft de Verwerker met deze Verwerkersovereenkomst toestemming om derden als onderaannemer (subverwerker) in te schakelen voor de verwerking van Persoonsgegevens, onder de volgende voorwaarden:

1. a.Voordat de Verwerker een derde als subverwerker inschakelt, stelt zij de Verwerkingsverantwoordelijke op de hoogte van dit voornemen en geeft zij de Verwerkingsverantwoordelijke een termijn van 14 dagen om gemotiveerd bezwaar te maken. Deze kennisgeving kan schriftelijk of per e-mail worden gedaan.
2. b.Indien de Verwerkingsverantwoordelijke binnen deze termijn geen gemotiveerd bezwaar heeft gemaakt, wordt de toestemming geacht te zijn verleend.
3. c.Indien de Verwerkingsverantwoordelijke gemotiveerd bezwaar maakt tegen de voorgestelde subverwerker, zoeken de Verwerkingsverantwoordelijke en de Verwerker te goeder trouw naar een oplossing die tegemoetkomt aan de bezwaren van de Verwerkingsverantwoordelijke en die het de Verwerker mogelijk maakt haar verplichtingen uit deze Verwerkersovereenkomst en de Onderliggende Overeenkomst te blijven nakomen zonder onredelijke kosten of andere nadelen.
4. d.De Verwerker zorgt ervoor dat alle subverwerkers gebonden zijn aan alle verplichtingen die op grond van deze Verwerkersovereenkomst op de Verwerker rusten. Dit wordt schriftelijk vastgelegd in de overeenkomst of overeenkomsten tussen de Verwerker en de subverwerker(s). De Verwerker verstrekt deze overeenkomst(en) op eerste verzoek aan de Verwerkingsverantwoordelijke. Indien deze overeenkomsten tekortkomingen bevatten, heeft de Verwerkingsverantwoordelijke het recht van de Verwerker te verlangen dat deze tekortkomingen worden hersteld of dat de samenwerking met de betreffende subverwerker(s) wordt beëindigd.
5. e.Een lijst van subverwerkers waarvoor bij het aangaan van de Onderliggende Overeenkomst toestemming is verleend, is opgenomen in Bijlage 2. De Verwerker zorgt ervoor dat deze lijst regelmatig wordt bijgewerkt naar de actuele situatie.

4.15 De Verwerker zorgt ervoor dat haar personeel gebonden is aan de verplichtingen die op grond van deze Verwerkersovereenkomst op de Verwerker rusten. De Verwerker legt dit schriftelijk vast.

4.16 De Verwerker verleent de Verwerkingsverantwoordelijke naar beste vermogen medewerking bij het nakomen van de verplichtingen van de Verwerkingsverantwoordelijke uit de artikelen 32 tot en met 36 AVG.

4.17 De Verwerker stelt de Verwerkingsverantwoordelijke onmiddellijk in kennis indien naar haar mening een instructie van de Verwerkingsverantwoordelijke inbreuk maakt op de AVG of op andere toepasselijke bepalingen inzake gegevensbescherming.

5. Beveiligingsmaatregelen en inspectie

5.1 De Verwerker neemt alle noodzakelijke technische en organisatorische maatregelen om de Persoonsgegevens te beschermen tegen verlies en tegen elke vorm van onrechtmatige verwerking.

5.2 De door de Verwerker te nemen maatregelen voldoen in ieder geval aan de volgende eisen:

1. a.artikel 32 AVG;
2. b.toepasselijke dwingende wettelijke eisen van het Comité met betrekking tot de aard van de door de Verwerker te verwerken persoonsgegevens en de aard van die verwerking;
3. c.toepasselijke dwingende richtsnoeren van het Comité;
4. d.toepasselijke dwingende specifieke regelgeving van de Autoriteit Persoonsgegevens (AP) met betrekking tot de aard van de door de Verwerker te verwerken persoonsgegevens en de aard van die verwerking;
5. e.toepasselijke dwingende richtlijnen van de AP en Bijlage 1.

Bij strijdigheid tussen deze normen en regels geldt de hierboven vermelde volgorde, waarbij het eerstgenoemde voorgaat. Naleving van de genoemde normen en regels omvat in ieder geval de daarin opgenomen audit- en inspectieverplichtingen.

5.3 De Verwerker stemt ermee in dat op verzoek van de Verwerkingsverantwoordelijke de gegevensverwerkingsvoorzieningen van de Verwerker kunnen worden geïnspecteerd in verband met de verwerkingen die onder deze Verwerkersovereenkomst vallen (de "Inspectie"). De Inspectie wordt uitgevoerd door een door de Verwerkingsverantwoordelijke aangewezen onderzoeksinstantie die naar het redelijke oordeel van partijen onafhankelijk en deskundig is. De Verwerkingsverantwoordelijke zorgt ervoor dat de onderzoeksinstantie ten opzichte van derden tot geheimhouding van haar bevindingen is verplicht.

5.4 De Inspectie omvat alle verplichtingen die voortvloeien uit deze Verwerkersovereenkomst, de AVG en de daarop gebaseerde lagere regelgeving. Dit omvat in ieder geval de op grond van artikel 5.2 vereiste beveiligingsmaatregelen.

5.5 De Verwerker verleent de onderzoeksinstantie volledige medewerking, onder meer door inzage te geven in alle documentatie die nodig is om de naleving van de wettelijke verplichtingen en van deze Verwerkersovereenkomst aan te tonen. Indien deze documentatie, of een deel daarvan, vertrouwelijke informatie of knowhow van de Verwerker bevat, heeft de Verwerker het recht te verlangen dat inzage in de vertrouwelijke documentatie uitsluitend wordt verleend onder een schriftelijke geheimhoudingsovereenkomst. De Verwerkingsverantwoordelijke sluit daartoe de noodzakelijke schriftelijke overeenkomsten met de onderzoeksinstantie en stelt deze ter beschikking aan de Verwerker. Deze overeenkomsten bevatten in ieder geval een aansprakelijkheidsbepaling ten gunste van de Verwerker voor het geval de geheimhoudingsplicht wordt geschonden.

5.6 Indien naar het redelijke oordeel van de Verwerker een in het kader van de Inspectie gegeven instructie van de Verwerkingsverantwoordelijke of de onderzoeksinstantie in strijd is met toepasselijke wettelijke voorschriften, stelt de Verwerker de Verwerkingsverantwoordelijke daarvan onverwijld op de hoogte. Deze melding kan schriftelijk of per e-mail worden gedaan.

5.7 De Verwerkingsverantwoordelijke draagt alle kosten, vergoedingen en uitgaven in verband met de Inspectie, met inbegrip van redelijke interne kosten van de Verwerker. Deze verplichting vervalt indien uit de Inspectie blijkt dat de Verwerker essentiële verplichtingen uit de AVG en/of deze Verwerkersovereenkomst niet nakomt of verwaarloost, waaronder in ieder geval alle verplichtingen van de Verwerker op grond van de artikelen 4.8, 4.10, 4.14, 5.1 en 5.2 van deze Verwerkersovereenkomst. In dat geval komen alle kosten van de onderzoeksinstantie voor rekening van de Verwerker.

5.8 De Verwerkingsverantwoordelijke verstrekt de Verwerker een kopie van het Inspectierapport.

6. Verplichtingen van de Verwerkingsverantwoordelijke

6.1 De Verwerkingsverantwoordelijke handelt alle verzoeken van betrokkenen tot uitoefening van hun rechten op grond van de AVG af. De Verwerkingsverantwoordelijke informeert en instrueert de Verwerker tijdig over alle werkzaamheden die de Verwerker naar aanleiding van dergelijke verzoeken moet verrichten.

6.2 De Verwerkingsverantwoordelijke meldt de Verwerker onverwijld alle beveiligingsincidenten in verband met Persoonsgegevens die zij ontdekt of waarvan zij kennis krijgt. De Verwerkingsverantwoordelijke erkent en aanvaardt dat zij, indien zij deze verplichting niet nakomt, op grond van artikel 82 AVG samen met de Verwerker aansprakelijk is voor de daaruit voortvloeiende schade van betrokkenen. Het niet nakomen van deze verplichting door de Verwerkingsverantwoordelijke laat de verplichtingen van de Verwerker uit deze Verwerkersovereenkomst en de aansprakelijkheid van de Verwerker op grond van artikel 7 onverlet.

6.3 De Verwerkingsverantwoordelijke is verantwoordelijk voor haar eigen naleving van de artikelen 32 tot en met 36 AVG, waaronder in ieder geval de verplichting om te zorgen voor een passende beveiliging van haar IT-systemen. Deze beveiliging voldoet aan de stand van de techniek.

6.4 De Verwerkingsverantwoordelijke verleent de Verwerker naar beste weten en kunnen medewerking bij alle aspecten van de naleving van de AVG waarvoor medewerking of informatie van de Verwerkingsverantwoordelijke nodig is.

6.5 De Verwerkingsverantwoordelijke staat ervoor in dat de te verwerken persoonsgegevens rechtmatig zijn verkregen en rechtmatig worden verwerkt. De Verwerkingsverantwoordelijke is aansprakelijk voor alle schade die voortvloeit uit onrechtmatige verkrijging of verwerking. De Verwerkingsverantwoordelijke vrijwaart de Verwerker tegen alle aanspraken, geschillen, verliezen, schade en kosten van de Verwerker die direct of indirect voortvloeien uit of verband houden met een schending van deze verplichting.

7. Aansprakelijkheid

7.1 Iedere partij is verantwoordelijk voor haar eigen naleving van de toepasselijke wetgeving inzake gegevensbescherming, waaronder de AVG.

7.2 Iedere partij is aansprakelijk voor schade die voortvloeit uit haar eigen schending van deze Verwerkersovereenkomst of van de toepasselijke wetgeving inzake gegevensbescherming.

7.3 Indien beide partijen verantwoordelijk zijn voor dezelfde schade, wordt de aansprakelijkheid tussen partijen verdeeld naar rato van ieders verantwoordelijkheid voor de schade, met inachtneming van artikel 82 AVG.

7.4 De Verwerker blijft verantwoordelijk voor de nakoming van de verplichtingen van haar subverwerkers uit deze Verwerkersovereenkomst, voor zover artikel 28, lid 4 AVG dat vereist.

7.5 Behalve voor zover toepasselijk recht dit verbiedt, is de aansprakelijkheid op grond van deze Verwerkersovereenkomst onderworpen aan de uitsluitingen en beperkingen van aansprakelijkheid in de Onderliggende Overeenkomst.

7.6 Niets in deze Verwerkersovereenkomst sluit de aansprakelijkheid van een partij uit of beperkt deze, voor zover een dergelijke uitsluiting of beperking op grond van toepasselijk recht niet is toegestaan.

8. Duur en beëindiging

8.1 Deze Verwerkersovereenkomst wordt aangegaan voor onbepaalde tijd.

8.2 Deze Verwerkersovereenkomst eindigt van rechtswege bij beëindiging van de dienstverlening door de Verwerker. Deze Verwerkersovereenkomst kan niet op andere wijze worden beëindigd, tenzij zij wordt vervangen door een andere verwerkersovereenkomst die de volledige verwerking van Persoonsgegevens door de Verwerker omvat.

8.3 Partijen evalueren deze Verwerkersovereenkomst en passen deze zo nodig aan bij een wezenlijke wijziging in de dienstverlening van de Verwerker of een relevante wijziging in de toepasselijke wet- en regelgeving. De Verwerker stelt de Verwerkingsverantwoordelijke ten minste 30 dagen vóór de inwerkingtreding van een wijziging van deze Verwerkersovereenkomst daarvan op de hoogte, per e-mail aan het in Bijlage 3 bedoelde adres. Wijzigingen van Bijlage 2 verlopen volgens artikel 4.14.

8.4 Tenzij de Verwerkingsverantwoordelijke schriftelijk anders instrueert, en met inachtneming van artikel 3.3 van deze Verwerkersovereenkomst, zal de Verwerker bij beëindiging van de Verwerkersovereenkomst:

1. a.alle Persoonsgegevens en Toegangsgegevens aan de Verwerkingsverantwoordelijke retourneren;
2. b.alle kopieën van de Persoonsgegevens en Toegangsgegevens die zij onder zich heeft vernietigen; en
3. c.de Verwerkingsverantwoordelijke bevestigen dat deze vernietiging heeft plaatsgevonden.

8.5 Indien naar het redelijke oordeel van de Verwerker een zelfstandige wettelijke verplichting van de Verwerker het retourneren of vernietigen van de Persoonsgegevens geheel of gedeeltelijk verbiedt of beperkt, geldt het volgende:

1. a.De Verwerker stelt de Verwerkingsverantwoordelijke zo spoedig mogelijk schriftelijk op de hoogte van deze wettelijke verplichting en van de Persoonsgegevens waarop deze betrekking heeft. De Verwerker verstrekt alle relevante informatie die de Verwerkingsverantwoordelijke redelijkerwijs nodig heeft om te bepalen of vernietiging kan plaatsvinden en, zo ja, onder welke voorwaarden.
2. b.Indien de wettelijke verplichting naar het redelijke oordeel van de Verwerkingsverantwoordelijke gehele of gedeeltelijke vernietiging van de Persoonsgegevens door de Verwerker toestaat, gaat de Verwerker op verzoek van de Verwerkingsverantwoordelijke onmiddellijk tot vernietiging over.
3. c.Indien de Verwerkingsverantwoordelijke vaststelt dat vernietiging niet mag plaatsvinden, deelt zij dit schriftelijk mee aan de Verwerker. In dat geval waarborgt de Verwerker de vertrouwelijkheid van de Persoonsgegevens jegens de Verwerkingsverantwoordelijke en verwerkt zij de Persoonsgegevens uitsluitend om te voldoen aan de genoemde wettelijke verplichting of op schriftelijke instructie van de Verwerkingsverantwoordelijke.

8.6 Verplichtingen die naar hun aard bestemd zijn om na beëindiging van deze Verwerkersovereenkomst voort te duren, waaronder de geheimhoudingsverplichtingen uit artikel 4.4, de verplichtingen uit de artikelen 8.4 en 8.5 en de bepalingen van artikel 7, blijven na beëindiging van kracht.

9. Nietigheid

Indien een of meer bepalingen van deze Verwerkersovereenkomst nietig of vernietigbaar blijken te zijn, blijft het overige deel van de Verwerkersovereenkomst van kracht. Partijen treden in overleg over de bepalingen die niet rechtsgeldig zijn, teneinde een vervangende bepaling overeen te komen die wel rechtsgeldig is en die de strekking van de te vervangen bepaling zoveel mogelijk benadert.

10. Rangorde

Bij strijdigheid tussen deze Verwerkersovereenkomst en andere overeenkomsten met betrekking tot de dienstverlening van de Verwerker, waaronder in ieder geval de Onderliggende Overeenkomst, prevaleert deze Verwerkersovereenkomst.

11. Kennisgevingen

Waar deze Verwerkersovereenkomst bepaalt dat een partij de andere partij een kennisgeving of melding doet, worden de contactgegevens in Bijlage 3 gebruikt. Wijzigingen in deze contactgegevens worden schriftelijk aan de andere partij meegedeeld.

12. Toepasselijk recht en geschillen

12.1 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.

12.2 Alle geschillen die voortvloeien uit of verband houden met deze Verwerkersovereenkomst worden uitsluitend voorgelegd aan de bevoegde rechter in het arrondissement waar de Verwerker is gevestigd.

Bijlage 1: Technische en organisatorische maatregelen

De Verwerker treft passende technische en organisatorische maatregelen, waaronder toegangsbeheer, meerfactorauthenticatie, versleuteling tijdens transport, logging, rolgebaseerd toegangsbeheer, back-up- en herstelprocedures en procedures voor incidentrespons. Deze maatregelen zijn nader beschreven in het beveiligingsbeleid van de Verwerker, waarvan de Verwerkingsverantwoordelijke op verzoek een kopie ontvangt, onder voorwaarde van geheimhouding.

Bijlage 2: Subverwerkers

De Verwerkingsverantwoordelijke geeft op grond van artikel 4.14 toestemming voor de inschakeling van de volgende subverwerkers:

Bijlage 3: Contactgegevens

Alle kennisgevingen en andere communicatie aan de Verwerker worden gericht aan:

Integer Technologies B.V., t.a.v. de Privacy Officer
Markestrijp 50
5707 DL Helmond
info@integer.energy

Alle kennisgevingen en andere communicatie aan de Verwerkingsverantwoordelijke worden gericht aan het e-mailadres dat aan het account van de Verwerkingsverantwoordelijke is gekoppeld of dat in de Onderliggende Overeenkomst is vermeld.

Bijlage 4: Verwerkingen, categorieën persoonsgegevens en categorieën betrokkenen

Bijlage 4.1 De verwerking van Persoonsgegevens betreft

De verwerking betreft het leveren van het Integer Platform en de Integer Box aan de Verwerkingsverantwoordelijke. Het gaat om een beperkte hoeveelheid persoonsgegevens: contact- en identificatiegegevens van gebruikers van het Platform en, bij uitzondering, gebouw- en installatiegegevens voor zover deze herleidbaar zijn tot een identificeerbare natuurlijke persoon (zie Bijlage 4.3).

De verwerking bestaat uit de volgende handelingen: verzamelen en opslaan, raadplegen en inzien, wijzigen, analyseren, aggregeren en anonimiseren (zie artikel 3.3), verstrekken en verwijderen.

Bijlage 4.2 Duur van de verwerking

Platformgebruikers

Persoonsgegevens worden bewaard zolang het gebruikersaccount actief is.

Na beëindiging van de overeenkomst met de werkgever van de gebruiker, of na deactivering van het gebruikersaccount, worden de persoonsgegevens binnen 6 maanden verwijderd of geanonimiseerd, tenzij langere bewaring noodzakelijk is:

• om te voldoen aan een wettelijke verplichting; of
• voor de vaststelling, uitoefening of verdediging van een rechtsvordering.

Gebouw- en installatiegegevens

Gebouw- en installatiegegevens worden bewaard gedurende de looptijd van de Onderliggende Overeenkomst. Na beëindiging worden zij geretourneerd of verwijderd overeenkomstig artikel 8.4, tenzij zij zijn geanonimiseerd overeenkomstig artikel 3.3.

Bijlage 4.3 Categorieën persoonsgegevens

Platformgebruikers

• Naam
• Zakelijk e-mailadres
• Zakelijk telefoonnummer
• Functie
• Werkgever (bedrijfsnaam)
• IP-adres (technische logging ten behoeve van de toegangsbeveiliging)

Gebouw- en installatiegegevens

Meetwaarden, instelwaarden en bedrijfstoestanden, zoals temperatuur, CO₂-concentratie, aanwezigheidsindicatoren en energieverbruik. De diensten van Integer zijn bestemd voor utiliteitsgebouwen en voor de gemeenschappelijke installaties van woongebouwen, en verwerken deze gegevens op het niveau van zones of gemeenschappelijke installaties, niet van afzonderlijke woningen. Gebouw- en installatiegegevens zijn daarom in de regel geen Persoonsgegevens. Voor zover zij in een specifieke situatie toch herleidbaar zijn tot een identificeerbare natuurlijke persoon (bijvoorbeeld een zone die door één persoon wordt gebruikt), is deze Verwerkersovereenkomst op die gegevens van toepassing.

Bijlage 4.4 Categorieën betrokkenen

• Platformgebruikers
• Gebruikers van de gebouwen waarin de Integer Box is geïnstalleerd, uitsluitend in de situatie beschreven in Bijlage 4.3

Bijlage 4.5 Categorieën medewerkers van de Verwerker met toegang tot de Persoonsgegevens

Directie, administratief personeel, business developers en technisch personeel