Verwerkersovereenkomst

1. Onderwerp

1. Deze verwerkersovereenkomst is van toepassing voor zover Verwerker bij de uitvoering van Vollo persoonsgegevens verwerkt ten behoeve van en in opdracht van Verwerkingsverantwoordelijke.
2. De verwerking vindt uitsluitend plaats ten behoeve van de uitvoering van de overeenkomst en volgens gedocumenteerde instructies van Verwerkingsverantwoordelijke, tenzij een wettelijke verplichting anders bepaalt.
3. Deze verwerkersovereenkomst geldt naast de algemene voorwaarden van Vollo.

2. Rollen

1. Verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking voor persoonsgegevens die zij via Vollo laat verwerken.
2. Verwerker verwerkt deze persoonsgegevens uitsluitend ten behoeve van Verwerkingsverantwoordelijke.
3. Voor verwerkingen waarvoor Vollo zelfstandig het doel en de middelen bepaalt, bijvoorbeeld eigen facturatie, accountbeheer en beveiliging, kan Vollo zelf verwerkingsverantwoordelijke zijn.

3. Kenmerken van de verwerking

Onderwerp

Het leveren van SaaS-functionaliteit voor het vinden, beoordelen, beheren en ondersteunen van aanbestedingen en bidprojecten.

Duur

Gedurende de looptijd van de hoofdovereenkomst, plus een eventuele beperkte periode die noodzakelijk is voor verwijdering, herstel, beveiliging of wettelijke verplichtingen.

Aard van de verwerking

• verzamelen;
• vastleggen;
• opslaan;
• ordenen;
• raadplegen;
• analyseren;
• structureren;
• combineren;
• genereren;
• doorsturen;
• verwijderen.

Doeleinden

• account- en teamfunctionaliteit;
• documentopslag;
• aanbestedingsanalyse;
• eisenmatrices;
• Go/No-Go-ondersteuning;
• AI-analyse;
• bidmanagement;
• taken en planning;
• samenwerking;
• technische ondersteuning;
• beveiliging en back-up.

4. Categorieën betrokkenen

Afhankelijk van wat de klant in Vollo verwerkt kunnen persoonsgegevens betrekking hebben op:

• medewerkers van de klant;
• contactpersonen;
• bestuurders;
• vertegenwoordigers;
• onderaannemers;
• partners;
• referentiecontacten;
• medewerkers van aanbestedende diensten;
• personen die voorkomen in aanbestedings- of projectdocumenten;
• andere personen van wie de klant gegevens in Vollo invoert.

5. Categorieën persoonsgegevens

Afhankelijk van het gebruik kunnen onder andere worden verwerkt:

• naam;
• functie;
• werkgever of organisatie;
• zakelijke contactgegevens;
• accountgegevens;
• gebruikersidentificatie;
• activiteiten binnen de software;
• gegevens uit cv's;
• referentiegegevens;
• certificaten;
• projectinformatie;
• documenten;
• correspondentie;
• technische gegevens;
• IP-adressen;
• overige persoonsgegevens die de klant in documenten of invoervelden verwerkt.

6. Bijzondere persoonsgegevens

1. Vollo is niet ontworpen voor het structureel verwerken van bijzondere categorieën persoonsgegevens.
2. Verwerkingsverantwoordelijke zal bijzondere persoonsgegevens alleen via Vollo verwerken wanneer daarvoor een geldige grondslag bestaat en dit noodzakelijk is.
3. Verwerkingsverantwoordelijke blijft verantwoordelijk voor de rechtmatigheid van dergelijke verwerking.

7. Instructies

1. Verwerker verwerkt persoonsgegevens uitsluitend volgens gedocumenteerde instructies van Verwerkingsverantwoordelijke.
2. Het normale gebruik van Vollo en de instellingen die Verwerkingsverantwoordelijke binnen de software kiest gelden als gedocumenteerde instructies.
3. Wanneer Verwerker van mening is dat een instructie in strijd is met toepasselijke privacywetgeving, informeert Verwerker Verwerkingsverantwoordelijke daarover voordat de instructie wordt uitgevoerd, voor zover de wet dit toestaat.

8. Geheimhouding

1. Personen die onder verantwoordelijkheid van Verwerker toegang hebben tot persoonsgegevens zijn gebonden aan passende vertrouwelijkheidsverplichtingen.
2. Toegang wordt beperkt tot personen voor wie dit noodzakelijk is voor de uitvoering van hun werkzaamheden.

9. Beveiliging

1. Verwerker treft passende technische en organisatorische maatregelen overeenkomstig het risico van de verwerking.
2. Deze maatregelen kunnen onder andere omvatten:
   • toegangsbeveiliging;
   • autorisatiebeheer;
   • versleuteling waar passend;
   • beveiligde verbindingen;
   • logging;
   • back-ups;
   • kwetsbaarheids- en patchbeheer;
   • beveiligingsprocedures;
   • beperking van toegang tot productieomgevingen;
   • maatregelen rond beschikbaarheid en herstel.
3. Beveiligingsmaatregelen kunnen worden aangepast aan technische ontwikkelingen, mits het beschermingsniveau daardoor niet wezenlijk wordt verminderd.

10. Subverwerkers

1. Verwerkingsverantwoordelijke geeft Verwerker algemene toestemming om subverwerkers in te schakelen die noodzakelijk zijn voor de dienstverlening.
2. Dit kunnen bijvoorbeeld leveranciers zijn voor:
   • hosting;
   • cloudinfrastructuur;
   • databases;
   • e-mail;
   • AI-diensten;
   • monitoring;
   • support;
   • opslag;
   • beveiliging.
3. Verwerker legt aan subverwerkers die persoonsgegevens namens Verwerkingsverantwoordelijke verwerken passende privacyverplichtingen op.
4. Verwerker blijft tegenover Verwerkingsverantwoordelijke verantwoordelijk voor de naleving van de verplichtingen van zijn subverwerkers voor zover de AVG dit vereist.
5. Een actuele lijst van relevante subverwerkers wordt op verzoek beschikbaar gesteld.
6. Wanneer een nieuwe subverwerker een wezenlijke wijziging betekent, kan Verwerker klanten daar vooraf over informeren.
7. Wanneer Verwerkingsverantwoordelijke op redelijke privacygronden bezwaar maakt tegen een nieuwe subverwerker, zullen partijen proberen een redelijke oplossing te vinden.

11. Internationale doorgifte

1. Persoonsgegevens worden niet buiten de Europese Economische Ruimte doorgegeven zonder dat daarvoor een geldige wettelijke grondslag bestaat.
2. Indien een subverwerker persoonsgegevens verwerkt in een land zonder adequaatheidsbesluit, treft Verwerker waar vereist passende waarborgen, zoals de toepasselijke Standard Contractual Clauses van de Europese Commissie.
3. Waar wettelijk nodig worden aanvullende beschermingsmaatregelen beoordeeld.

12. Rechten van betrokkenen

1. Verwerker verleent, rekening houdend met de aard van de verwerking, redelijke ondersteuning aan Verwerkingsverantwoordelijke bij verzoeken van betrokkenen.
2. Wanneer een betrokkene rechtstreeks bij Verwerker een verzoek doet dat betrekking heeft op persoonsgegevens waarvoor de klant Verwerkingsverantwoordelijke is, verwijst Verwerker de betrokkene waar passend naar Verwerkingsverantwoordelijke of stuurt het verzoek door.
3. Verwerker neemt geen zelfstandige inhoudelijke beslissing over dergelijke verzoeken, tenzij daartoe wettelijk verplicht.

13. Beveiligingsincidenten en datalekken

1. Indien Verwerker kennis krijgt van een inbreuk in verband met persoonsgegevens die namens Verwerkingsverantwoordelijke worden verwerkt, informeert Verwerker Verwerkingsverantwoordelijke zonder onredelijke vertraging.
2. Verwerker verstrekt, voor zover beschikbaar, informatie die redelijkerwijs nodig is voor beoordeling en eventuele melding van het incident.
3. Deze informatie kan onder andere omvatten:
   • de aard van het incident;
   • categorieën betrokken gegevens;
   • vermoedelijke gevolgen;
   • getroffen of voorgenomen maatregelen.
4. Een melding door Verwerker houdt niet automatisch een erkenning van aansprakelijkheid in.
5. Verwerkingsverantwoordelijke blijft verantwoordelijk voor de beoordeling of melding aan een toezichthouder of betrokkenen noodzakelijk is, tenzij de wet anders bepaalt.

14. DPIA en overleg met toezichthouder

Verwerker verleent, rekening houdend met de aard van de verwerking en de beschikbare informatie, redelijke medewerking wanneer Verwerkingsverantwoordelijke:

• een gegevensbeschermingseffectbeoordeling moet uitvoeren;
• voorafgaand overleg met een toezichthouder nodig heeft.

Kosten voor uitzonderlijke of omvangrijke ondersteuning kunnen na voorafgaand overleg worden doorberekend.

15. Informatie en audits

1. Verwerker stelt informatie beschikbaar die redelijkerwijs noodzakelijk is om naleving van de toepasselijke verplichtingen voor verwerkers aan te tonen.
2. Waar mogelijk wordt eerst gebruikgemaakt van bestaande documentatie, certificeringen, beveiligingsinformatie of onafhankelijke rapportages.
3. Indien daarmee redelijkerwijs onvoldoende zekerheid kan worden verkregen, kan Verwerkingsverantwoordelijke een audit verzoeken.
4. Een audit:
   • wordt vooraf schriftelijk aangekondigd;
   • vindt tijdens normale kantooruren plaats;
   • mag de beveiliging of dienstverlening aan andere klanten niet in gevaar brengen;
   • respecteert vertrouwelijkheid;
   • wordt in beginsel maximaal eenmaal per jaar uitgevoerd, tenzij sprake is van een concreet incident of wettelijke noodzaak.
5. Redelijke kosten van een specifieke audit kunnen aan Verwerkingsverantwoordelijke worden doorberekend wanneer geen relevante tekortkoming bij Verwerker wordt aangetroffen.

16. Verwijdering en teruggave

1. Na beëindiging van de dienstverlening verwijdert Verwerker persoonsgegevens die uitsluitend namens Verwerkingsverantwoordelijke worden verwerkt binnen een redelijke technische termijn, tenzij de klant de gegevens eerst exporteert, wettelijke bewaring vereist is of gegevens tijdelijk in back-ups aanwezig blijven.
2. Gegevens in back-ups worden volgens het normale back-up- en retentieschema verwijderd of overschreven en worden in de tussentijd niet voor andere doeleinden gebruikt.
3. Indien wettelijk vereist kan Verwerkingsverantwoordelijke vóór verwijdering verzoeken om een redelijk beschikbare export.

17. Aansprakelijkheid

Voor aansprakelijkheid tussen partijen gelden de afspraken uit de hoofdovereenkomst en de algemene voorwaarden, voor zover deze niet in strijd zijn met dwingend toepasselijk privacyrecht.

18. Looptijd

1. Deze verwerkersovereenkomst treedt in werking zodra Vollo namens de klant persoonsgegevens verwerkt.
2. Zij eindigt wanneer Verwerker geen persoonsgegevens meer namens Verwerkingsverantwoordelijke verwerkt.
3. Bepalingen die naar hun aard na beëindiging behoren voort te duren, waaronder geheimhouding en verwijdering, blijven van toepassing.

19. Wijzigingen

Verwerker mag deze overeenkomst aanpassen wanneer de dienstverlening, beveiliging of wetgeving verandert, mits het beschermingsniveau voor persoonsgegevens daardoor niet wezenlijk wordt verminderd.

Materiële wijzigingen worden waar redelijk vooraf bekendgemaakt.

20. Toepasselijk recht

Op deze verwerkersovereenkomst is Nederlands recht van toepassing.

Geschillen worden behandeld overeenkomstig de geschillenregeling in de hoofdovereenkomst.

Bijlage 1 – Verwerkingsinstructie

De klant instrueert Vollo om persoonsgegevens te verwerken voor zover noodzakelijk om de door de klant gebruikte Vollo-functionaliteiten uit te voeren.

De klant kan deze instructie binnen de beschikbare functionaliteiten nader bepalen door:

• gebruikers toe te voegen of te verwijderen;
• documenten te uploaden of verwijderen;
• bidprojecten aan te maken;
• gegevens te wijzigen;
• functies te activeren;
• het account te beëindigen.

Bijlage 2 – Subverwerkers

Vollo houdt een actuele lijst bij van subverwerkers die namens klanten persoonsgegevens kunnen verwerken.

Deze lijst bevat waar relevant:

• naam van de leverancier;
• type dienstverlening;
• plaats van verwerking;
• toepasselijke doorgiftewaarborgen.

Bijlage 3 – Technische en organisatorische maatregelen

Vollo hanteert naar aard en risico passende maatregelen, waaronder waar relevant:

1. beveiligde netwerkverbindingen;
2. toegangscontrole;
3. gebruikers- en rollenbeheer;
4. sterke authenticatie voor beheertoegang;
5. encryptie waar passend;
6. logging en monitoring;
7. back-up- en herstelprocedures;
8. patch- en updatebeheer;
9. beperking van productieomgevingstoegang;
10. procedures voor beveiligingsincidenten;
11. vertrouwelijkheidsverplichtingen voor bevoegde personen;
12. beveiligingsafspraken met relevante leveranciers;
13. periodieke beoordeling en verbetering van beveiligingsmaatregelen.