Verwerkingsovereenkomst

1.     De klant/gebruiker van OnlineStemtool.nl van Vote Company BV verder te noemen "Verantwoordelijke", enerzijds,

en

2.     Vote Company BV, gevestigd te Hilversum bij de Kamer van Koophandel geregistreerd onder nummer 54722128, verder te noemen “Verwerker”, anderzijds,

Hierna gezamenlijk te noemen ‘Partijen’

 

OVERWEGINGEN:

· Partijen zijn overeen gekomen dat Verwerker – in het kader van de opdracht mailen van stemgerechtigden –bepaalde diensten zal leveren aan Verantwoordelijke, bestaande uit het verzorgen van het IT-technische deel van de opdracht.

· Verwerker zal, in het kader van de Hoofdovereenkomst, ten behoeve van Verantwoordelijke persoonsgegevens (hierna: “Persoonsgegevens”) verwerken respectievelijk de Algemene Verordening Gegevensbescherming (Verordening 2016/679/EU; hierna: de AVG);

· Partijen in de onderhavige Verwerkingsovereenkomst een aantal voorwaarden wensen vast te leggen die van toepassing zijn op hun relatie in verband met de vermelde verwerkingsdiensten van Verwerker.

 

PARTIJEN VERKLAREN TE ZIJN OVEREENGEKOMEN ALS VOLGT:

1.           DEFINITIES

1.1        Betrokkene:
De natuurlijke persoon op wie een Persoonsgegeven betrekking heeft.

1.2        Verwerker:
De natuurlijke persoon of rechtspersoon die ten behoeve van de Verantwoordelijke Persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen.

1.3        Verwerkingsovereenkomst:
Deze overeenkomst tussen Verantwoordelijke en Verwerker met als onderwerp het verwerken van Persoonsgegevens, inclusief alle documenten waarnaar verwezen wordt en die de nadere rechten en verplichtingen van Partijen uiteenzetten.

1.4        Datalek:
Een inbreuk op beveiligingsmaatregelen die erop zijn gericht Persoonsgegevens te beveiligen tegen verlies of enige vorm van onrechtmatige Verwerking van Persoonsgegevens, waaronder onder meer ongeoorloofde wijziging van Persoonsgegevens.

1.5        Hoofdovereenkomst:
De overeenkomst die Verantwoordelijke en Verwerker zijn aangegaan ter levering van diensten door Verwerker in het kader van de opdracht en waaruit verwerking van Persoonsgegevens voortvloeit.

1.6        Persoonsgegeven:
Elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon.

1.7        Sub-Verwerker:
De natuurlijke persoon of rechtspersoon die een Verwerker bijstaat in het Verwerken van Persoonsgegevens ten behoeve van Verantwoordelijke.

1.8        Verantwoordelijke:
De natuurlijke persoon, rechtspersoon of ieder ander die, of het bestuursorgaan dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van Persoonsgegevens vaststelt.

1.9        Verwerking van Persoonsgegevens:        
Elke handeling of elk geheel van handelingen met betrekking tot Persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens.

1.10      Alle van de hierboven gebruikte woorden en termen in het enkelvoud hebben dezelfde betekenis als in het meervoud en vice versa.

1.11      De aanduidingen boven de artikelen van deze Verwerkingsovereenkomst hebben uitsluitend tot doel de leesbaarheid van de Verwerkingsovereenkomst te vergroten. De inhoud en strekking van het onder een bepaalde aanduiding opgenomen artikel beperken zich derhalve niet tot die aanduiding.

 

2.           VERWERKING VAN PERSOONSGEGEVENS

2.1        Verwerker stelt het doel en de middelen voor de verwerking van Persoonsgegevens van stemmers vast. Dit doel is opgenomen in Appendix 1a.

2.2        De Verantwoordelijke stelt het doel en de middelen voor de verwerking van Persoonsgegevens van stemgerechtigden vast. Dit doel is opgenomen in Appendix 1b.

2.3        Verantwoordelijke verstrekt Persoonsgegevens van stemgerechtigden aan Verwerker. Een overzicht van de categorieën Persoonsgegevens van

die aan Verwerker verstrekt kunnen worden, wordt opgenomen in Appendix 1b. Verwerker verwerkt deze Persoonsgegevens uitsluitend ter uitvoering van de Hoofdovereenkomst en deze Verwerkingsovereenkomst. Verwerker zal de Persoonsgegevens onder geen enkele omstandigheid voor eigen doeleinden gebruiken, behoudens andersluidende wettelijke verplichtingen.

2.4        Verwerker verstrekt Persoonsgegevens van stemmers aan Verantwoordelijke. Een overzicht van de categorieën Persoonsgegevens die aan Verantwoordelijke verstrekt kunnen worden, wordt opgenomen in Appendix 1a. Verantwoordelijke verwerkt deze Persoonsgegevens uitsluitend ter uitvoering van de Hoofdovereenkomst en deze Verwerkingsovereenkomst. Verantwoordelijke zal de Persoonsgegevens onder geen enkele omstandigheid gebruiken voor andere doeleinden dan waarvoor toestemming is verleend vanuit de betrokkene.

2.5        Verwerker is niet gerechtigd een Sub-Verwerker in te schakelen zonder voorafgaande algemene of specifieke schriftelijke toestemming van Verantwoordelijke. In het geval van algemene toestemming licht Verwerker de Verantwoordelijke in over beoogde veranderingen inzake de toevoeging of vervanging van Sub-Verwerkers. Daarbij wordt de Verantwoordelijke de mogelijkheid geboden bezwaar te maken tegen deze veranderingen. Daarnaast zal Verwerker, alvorens zij overgaat tot inschakeling van de Sub-Verwerker, in een schriftelijke overeenkomst dezelfde of gelijkwaardige verplichtingen aan die Sub-Verwerker op te leggen als die op Verwerker zelf rusten uit hoofde van deze Verwerkingsovereenkomst.

2.6        Zowel de Verantwoordelijke als Verwerker zullen indien nodig elkaar bijstand verlenen bij het nakomen van de verplichtingen uit hoofde van de artikelen 32 tot en met 36 van de AVG. Met name zal Verwerker medewerking verlenen bij uitvoering van de nodige handelingen naar aanleiding van verzoeken van Betrokkenen omtrent inzage, correctie, beperking of verwijdering van Persoonsgegevens. Dit laatste kan maximaal tot 1 maand na de laatste stemdag. Want dan zijn alle gegevens overgedragen aan de Verantwoordelijke en niet meer in het bezit van de Verwerker.

2.7        Verwerker zal de Persoonsgegevens uitsluitend opslaan en verwerken binnen de Europese Unie.

2.8        Verwerker zal Verantwoordelijke alle informatie ter beschikking stellen die nodig is om de nakoming van deze Verwerkingsovereenkomst aan te tonen. Daartoe zal Verwerker met name medewerking verlenen aan (indien door Verantwoordelijk gewenst) audits, waaronder inspecties, door Verantwoordelijke of een door Verantwoordelijke gemachtigde controleur. De kosten van dergelijke audits worden gedragen door Verantwoordelijke. Indien uit de audit volgt dat Verwerker enige verplichting uit de Verwerkingsovereenkomst niet is nagekomen, neemt Verwerker de maatregelen die redelijkerwijs nodig zijn om alsnog aan de desbetreffende verplichting(en) te voldoen.

2.9       Indien voor het (kunnen) nakomen van enige verplichting van Verwerker uit hoofde van deze Verwerkingsovereenkomst, bepaalde technische maatregelen, aanpassingen of werkzaamheden vereist zijn, kan Verwerker slechts verplicht worden tot het verrichten van deze maatregelen, aanpassingen en werkzaamheden, indien deze uitdrukkelijk en schriftelijk met Verwerker zijn overeengekomen. Verwerker is gerechtigd aan Verantwoordelijke kosten in rekening te brengen voor de in dit verband vereiste maatregelen, aanpassingen en werkzaamheden. Wanneer de verwerker de verplichtingen uit de Verwerkingsovereenkomst niet is nagekomen, zullen de auditkosten voor de Verwerker zijn.

 

3.           BEVEILIGING

3.1        Verwerker treft passende technische en organisatorische maatregelen om de Persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico's die de verwerking en de aard van te beschermen Persoonsgegevens met zich meebrengen.

3.2        De bij het aangaan van de Verwerkingsovereenkomst genomen maatregelen als bedoeld in het artikel over veiligheid

 

4.           DATALEKKEN

4.1        Verantwoordelijke is verantwoordelijk voor het beoordelen van het bestaan van een   verplichting tot, en het daadwerkelijk uitvoeren van, melding van een Datalek aan een toezichthoudende autoriteit en/of Betrokkenen.

4.2        Verwerker zal enig Datalek na kennisname hiervan door Verwerker, zo snel mogelijk, maar in ieder geval binnen 24 uur na kennisname, een beknopte melding rapporteren aan Verantwoordelijke. Verwerker vermeldt daarbij in ieder geval de volgende gegevens:
a)     De (vermoedelijke) oorzaak van het Datalek;
b)     De (vooralsnog bekende en/of te verwachten) gevolgen van het Datalek;
c)      Locatiegegevens van het Datalek;
d)     De eventuele onbevoegde ontvangers van de Persoonsgegevens en alle beschikbare informatie over hen;
e)     Voorstellen voor maatregelen ter beperking van de schade;
f)      Eventuele andere gegevens indien Verantwoordelijke daarom verzoekt.

4.3        Verwerker zal op verzoek van Verantwoordelijke meewerken aan het adequaat informeren van Betrokkenen of de toezichthoudende instanties over het Datalek, en zich ter zake beschikbaar houden voor overleg met Verantwoordelijke.

4.4        Verantwoordelijke en Verwerker betrachten strikte geheimhouding jegens ieder ander dan elkaar omtrent het Datalek, eventuele vrees voor een Datalek en verdere gerelateerde zaken, behoudens andersluidende verplichtingen ingevolge het Unierecht of Nederlands recht.

 

5.           GEHEIMHOUDING

5.1        Partijen zijn zich ervan bewust dat Persoonsgegevens kwalificeren als confidentiële informatie en zij gehouden zijn tot geheimhouding van de Persoonsgegevens. Persoonsgegevens mogen slechts gebruikt worden ter uitvoering van de Hoofdovereenkomst en deze Verwerkingsovereenkomst.

5.2        Partijen zullen de Persoonsgegevens niet aan anderen ter beschikking stellen dan zijn eigen werknemers en/of derden die een legitieme reden hebben tot inzage daarvan. Verwerker zal waarborgen dat zijn werknemers en/of derden die toegang hebben tot de Persoonsgegevens zich ertoe hebben gebonden verbonden vertrouwelijkheid in acht te nemen.

5.3        Verwerker zal alle persoonsgegevens retourneren aan Verantwoordelijke en/of al deze informatie en eventuele kopieën hiervan vernietigen binnen 10 (tien) werkdagen na ontvangst van het verzoek daartoe van Verantwoordelijke. Maximaal tot 1 maand na de laatste stemdag heeft Verwerker persoonsgegevens in beheer. Daarna zijn alle gegevens overgedragen aan de Verantwoordelijke en niet meer in het bezit van de Verwerker.

 

6.           DUUR

6.1        De Verwerkingsovereenkomst treedt in werking op het moment van ondertekening en is aangegaan voor de duur van de Hoofdovereenkomst.

6.2        Na afloop van de Verwerkingsactiviteiten zal Verwerker, op verzoek van Verantwoordelijke of maximaal 3 maanden na de laatste stemdag, alle persoonsgegevens wissen of aan Verantwoordelijke terugbezorgen, en bestaande kopieën verwijderen.

 

7.           WIJZIGING

7.1        Indien zich in de toekomst wijzigingen voordoen in de nationale of Europese regelgeving over de bescherming van Persoonsgegevens, zullen Partijen deze Verwerkingsovereenkomst wijzigen voor zover dit nodig is om aan die nieuwe regelgeving te voldoen.

 

8.           OVERDRACHT

8.1        De tussen Verwerker en Verantwoordelijke gesloten Verwerkingsovereenkomst en de daaruit voortvloeiende rechten en verplichtingen kunnen niet aan derden worden overgedragen zonder de schriftelijke toestemming van de andere partij.

 

9.           APPENDICES

9.1        De Appendices van de Verwerkingsovereenkomst maken een integraal onderdeel uit van de Verwerkingsovereenkomst. Bij strijd tussen de Appendices en de Verwerkingsovereenkomst, prevaleert de Verwerkingsovereenkomst.

 

10.        TOEPASSELIJK RECHT

10.1      Op deze Verwerkingsovereenkomst is het Nederlandse recht van toepassing.

10.2      Geschillen tussen partijen, die niet in overleg kunnen worden opgelost, zullen worden voorgelegd aan de daartoe bevoegde Nederlandse rechter van de rechtbank Midden-Nederland, locatie Utrecht.

 

11.        VRIJWARING

11.1      Verantwoordelijke staat er voor in dat de Verwerking van Persoonsgegevens op basis van de Overeenkomst en Verwerkersovereenkomst niet onrechtmatig is en geen inbreuk wordt gemaakt op de rechten van Betrokkene(n)

11.2      Verantwoordelijke vrijwaart Verwerker voor alle aanspraken van derden, daaronder begrepen Betrokkene(n), die jegens Verwerker mochten worden ingesteld wegens een aan Verantwoordelijke toe te rekenen schending van deze Verwerkersovereenkomst en/of schending van de AVG of andere toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens. 

11.3      Verwerker vrijwaart Verantwoordelijke voor alle aanspraken van derden, daaronder begrepen de Betrokkene(n), die jegens Verantwoordelijke mochten worden ingesteld wegens een aan Verwerker of door hem ingeschakelde derde toe te rekenen schending van deze Verwerkersovereenkomst en/of schending van de AVG of andere toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens.

 

APPENDIX 1 – VERWERKING VAN PERSOONSGEGEVENS

Appendix 1a – Persoonsgegevens van Verwerker richting Verantwoordelijke en vice versa

Het doel is het laten functioneren van een stemomgeving door middel van unieke stemcodes. Onder meer de volgende categorieën Persoonsgegevens van stemgerechtigden kunnen door Verwerker aan Verantwoordelijke en vice versa verstrekt worden indien dat noodzakelijk is voor de stemronde.

•          Voornaam
•          E-mailadres
•          Postadres
•          Geboortedatum
•          IP-adres
•          Geslacht
•          Leeftijd
•          Weging van de stem

Dit is een indicatie, andere persoonsgegevens verwerken zijn ook mogelijk. Opdrachtgever bepaalt welke persoonsgegevens worden aangeleverd.

Doel van verwerking:
Het kunnen mailen van unieke stemcodes aan stemgerechtigden. Deze stemcodes zijn al dan niet gekoppeld aan een wegingscode.

Duur van de verwerking
De verwerking zal plaatsvinden tot maximaal 3 maanden na de laatste stemdag.

 

Appendix 1b - Persoonsgegevens van Verantwoordelijke richting Verwerker en vice versa

Het doel kan zijn om stemgerechtigden een mail te sturen met daarbij unieke stemcode en link van de stemwebsite. Daarnaast kan het doel zijn het aanwijzen van de volgorde en bepalen van de gekozen stemgerechtigden die in de stemronde plaatsnemen. onder meer de volgende categorieën Persoonsgegevens van stemgerechtigden  kunnen door Verwerker aan

Verantwoordelijke en vice versa verstrekt worden:
• Voornaam
• E-mailadres
• Postadres
• Geboortedatum
• Geslacht
• Leeftijd
• Weging van de stem

Dit is een indicatie, andere persoonsgegevens verwerken zijn ook mogelijk. Opdrachtgever bepaalt welke persoonsgegevens worden aangeleverd.

Doel van verwerking:
Voor de verwerking worden de persoonsgegevens met verwerker gedeeld om de mailing met de unieke stemcode en link van de stemwebsite naar de stemgerechtigden te versturen. Daarnaast worden deze gebruikt bij de vaststelling van de eindrapportage van de verkiezing en het aanwijzen van de volgorde en bepalen van de gekozen stemgerechtigden die in de verkiezing plaatsnemen.

Duur van de verwerking:
De verwerking zal plaatsvinden tot maximaal 3 maanden na de laatste stemdag.

 

Iedere klant/gebruiker van OnlineStemtool.nl gaat expliciteit akkoord met deze verwerkersovereenkomst bij het verstrekken van de opdracht aan Vote Company tot realisatie van een stemming/verkiezing.