Verwerkers-
overeenkomst.

1. Rollen en toepasselijkheid

1. De klant is verwerkingsverantwoordelijke voor persoonsgegevens die hij via de diensten opslaat, verstuurt of anderszins verwerkt, voor zover de klant doel en middelen van die verwerking bepaalt.
2. Knoth is verwerker voor zover zij die persoonsgegevens uitsluitend namens de klant verwerkt.
3. Voor gegevens die Knoth voor eigen bedrijfsdoeleinden verwerkt, zoals facturatie, klantadministratie, beveiligingslogs en communicatie, kan Knoth zelfstandig verwerkingsverantwoordelijke zijn. Deze verwerkersovereenkomst ziet niet op die zelfstandige verwerkingen.
4. De klant staat ervoor in dat de verwerking die hij Knoth opdraagt rechtmatig is en dat hij betrokkenen op passende wijze informeert.

2. Onderwerp, duur en aard van de verwerking

De klant bepaalt de concrete categorieën persoonsgegevens en betrokkenen binnen zijn gebruik van de dienst. Bijzondere of strafrechtelijke persoonsgegevens worden alleen verwerkt wanneer de klant daar zelf rechtmatig voor kiest en passende maatregelen treft.

3. Gedocumenteerde instructies en geheimhouding

1. Knoth verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructies van de klant en voor zover nodig voor de uitvoering van de overeenkomst.
2. Een bestelling, supportverzoek, wijzigingsopdracht of andere aantoonbare instructie van de klant kan als gedocumenteerde instructie gelden.
3. Wanneer Knoth op grond van Unierecht of Nederlands recht verplicht is persoonsgegevens anders te verwerken, informeert zij de klant vooraf indien en voor zover de wet dit toestaat.
4. Personen die onder gezag van Knoth toegang hebben tot persoonsgegevens zijn aan geheimhouding gebonden of vallen onder een passende wettelijke geheimhoudingsplicht.
5. Knoth informeert de klant wanneer een instructie naar haar oordeel in strijd is met toepasselijke privacywetgeving.

4. Technische en organisatorische beveiliging

1. Knoth treft passende technische en organisatorische maatregelen die zijn afgestemd op de aard van de dienstverlening, de stand van de techniek en de redelijkerwijs bekende risico’s.
2. Deze maatregelen kunnen onder meer bestaan uit toegangsbeveiliging, netwerkbeveiliging, logging, patch- en updatebeheer, backups waar onderdeel van de dienst, beveiligde beheerverbindingen en beperking van toegang tot bevoegde personen.
3. De klant blijft verantwoordelijk voor beveiligingsmaatregelen binnen zijn eigen beheerlaag, waaronder sterke wachtwoorden, actuele websites en applicaties, correcte toegangsrechten en veilige configuratie.
4. Knoth verstrekt op redelijk verzoek informatie die nodig is om naleving van deze overeenkomst aan te tonen, voor zover dit geen beveiligingsrisico of schending van vertrouwelijkheid jegens derden oplevert.

5. Subverwerkers

1. De klant geeft Knoth algemene toestemming om subverwerkers in te schakelen wanneer dit nodig is voor de dienstverlening, bijvoorbeeld datacenter-, netwerk-, backup- of softwareleveranciers.
2. Knoth legt aan subverwerkers die persoonsgegevens voor Knoth verwerken passende gegevensbeschermingsverplichtingen op.
3. Knoth blijft tegenover de klant verantwoordelijk voor de nakoming van de verplichtingen die op grond van artikel 28 AVG aan een ingeschakelde subverwerker moeten worden doorgelegd.
4. De klant kan gemotiveerd bezwaar maken tegen een nieuwe subverwerker wanneer daarvoor concrete gegevensbeschermingsgronden bestaan. Partijen zoeken dan naar een werkbare oplossing; wanneer die niet mogelijk is kan dit gevolgen hebben voor de betreffende dienst.

6. Verwerking buiten de EER

1. Knoth streeft ernaar persoonsgegevens binnen de Europese Economische Ruimte te verwerken wanneer dit binnen de gekozen dienstverlening mogelijk is.
2. Voor doorgifte buiten de EER worden, indien vereist, passende waarborgen toegepast overeenkomstig de AVG, bijvoorbeeld een adequaatheidsbesluit of geldige standaardcontractbepalingen.
3. Op verzoek informeert Knoth de klant over de voor de betreffende dienst relevante verwerkingslocaties en waarborgen voor zover deze informatie beschikbaar en deelbaar is.

7. Inbreuk in verband met persoonsgegevens

1. Knoth stelt de klant zonder onredelijke vertraging op de hoogte nadat Knoth kennis heeft gekregen van een datalek dat betrekking heeft op persoonsgegevens die Knoth namens de klant verwerkt.
2. Knoth verstrekt, voor zover beschikbaar, informatie over de aard van het incident, de vermoedelijke gevolgen, getroffen of voorgestelde maatregelen en een contactpunt voor opvolging.
3. De klant beoordeelt als verwerkingsverantwoordelijke of melding aan de Autoriteit Persoonsgegevens en/of betrokkenen verplicht is. Knoth verleent redelijke ondersteuning voor zover de aard van de verwerking en beschikbare informatie dat mogelijk maken.
4. Een melding van Knoth aan de klant houdt niet in dat Knoth aansprakelijkheid of een overtreding erkent.

8. Rechten van betrokkenen en overige ondersteuning

1. Wanneer een betrokkene zich rechtstreeks tot Knoth wendt over persoonsgegevens waarvoor de klant verwerkingsverantwoordelijke is, verwijst Knoth het verzoek waar passend door naar de klant.
2. Knoth verleent, rekening houdend met de aard van de verwerking, redelijke technische ondersteuning bij verzoeken tot inzage, correctie, verwijdering, beperking, overdraagbaarheid of bezwaar voor zover de klant dit niet zelfstandig kan uitvoeren.
3. Knoth verleent redelijke ondersteuning bij verplichtingen rondom beveiliging, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging, voor zover dit betrekking heeft op de door Knoth uitgevoerde verwerking.
4. Werkzaamheden die duidelijk buiten de normale dienstverlening vallen kunnen, na overleg, tegen het geldende tarief worden uitgevoerd.

9. Informatie en audit

1. Knoth stelt op redelijk verzoek informatie beschikbaar die noodzakelijk is om naleving van artikel 28 AVG aan te tonen.
2. Wanneer beschikbare documentatie onvoldoende uitsluitsel biedt, kan de klant maximaal eenmaal per jaar een onafhankelijke deskundige een audit laten uitvoeren, tenzij een toezichthouder of concreet incident vaker onderzoek rechtvaardigt.
3. Een audit wordt ten minste twee weken vooraf aangekondigd, vindt tijdens normale werktijden plaats, mag de veiligheid en continuïteit van andere klanten niet aantasten en de auditor is aan geheimhouding gebonden.
4. De redelijke kosten van een door de klant geïnitieerde audit zijn voor rekening van de klant, tenzij uit de audit een wezenlijke tekortkoming van Knoth blijkt die de audit noodzakelijk maakte.

10. Einde van de verwerking

1. Na beëindiging van de dienst verwijdert of retourneert Knoth persoonsgegevens overeenkomstig de keuze van de klant voor zover dit technisch redelijkerwijs mogelijk is en de wet geen verdere bewaring vereist.
2. Productiedata worden na beëindiging verwijderd volgens het normale beëindigingsproces. Kopieën die uitsluitend in backups aanwezig zijn kunnen gedurende de geldende backupretentie blijven bestaan en worden daarna volgens de normale cyclus overschreven of verwijderd.
3. De klant is verantwoordelijk voor het vóór beëindiging maken of opvragen van een bruikbare export van zijn gegevens.

11. Verantwoordelijkheid en aansprakelijkheid

1. Iedere partij is verantwoordelijk voor de eigen verplichtingen onder de AVG.
2. De klant is verantwoordelijk voor het doel, de grondslag, de transparantie richting betrokkenen en de rechtmatigheid van de persoonsgegevens die via de diensten worden verwerkt.
3. De aansprakelijkheidsregeling uit de hoofdovereenkomst en algemene voorwaarden is mede van toepassing op deze verwerkersovereenkomst, voor zover dit volgens de AVG en overige dwingende wetgeving is toegestaan.

12. Duur en slotbepalingen

1. Deze verwerkersovereenkomst geldt zolang Knoth in opdracht van de klant persoonsgegevens verwerkt.
2. Wijzigingen worden schriftelijk of elektronisch vastgelegd. Wanneer gewijzigde privacywetgeving aanpassing noodzakelijk maakt, werken partijen daar redelijkerwijs aan mee.
3. Bij tegenstrijdigheid gaat een specifieke schriftelijke afspraak over gegevensverwerking voor op deze standaardtekst. Voor het overige geldt de rangorde zoals opgenomen in de hoofdovereenkomst.
4. Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden behandeld door de bevoegde Nederlandse rechter, voor zover dwingend recht niet anders bepaalt.