AVG-naleving (GDPR)

Doel

Dit hoofdstuk heeft tot doel de voorwaarden vast te leggen waaronder de verwerker zich ertoe verbindt om, namens de klant-verwerkingsverantwoordelijke, de hierna omschreven verwerkingen van persoonsgegevens uit te voeren.

In het kader van hun contractuele relatie verbinden de partijen zich ertoe de geldende regelgeving inzake de verwerking van persoonsgegevens na te leven, en in het bijzonder Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016, van toepassing vanaf 25 mei 2018, hierna "de Europese gegevensbeschermingsverordening" genoemd.

Beschrijving van de verwerking waarop de onderaanneming betrekking heeft

De verwerker is gemachtigd om, namens de klant-verwerkingsverantwoordelijke, de persoonsgegevens te verwerken die nodig zijn om de volgende diensten te leveren:

1. Hosting van gegevens in Data Centers

Wij werken samen met OVH, gecertificeerd in het kader van de AVG door CISPE (Cloud Infrastructure Services Providers in Europe).
Zie de volgende link: https://www.ovh.com/fr/protection-donnees-personnelles/gdpr.xml

2. Back-up van gegevens voor dagelijkse back-ups

Elke nacht starten wij back-upscripts voor al onze klant-verwerkingsverantwoordelijken met een onderhoudscontract.
De back-ups zijn een kopie van de actieve productiedatabase.
De back-ups worden opgeslagen op harde schijven versleuteld met XTS AES 128-bit en een 256-bit sleutel.
De back-ups worden verwijderd na een levenscyclus van 15 dagen.

3. Ondersteuning van gegevens in lokale omgevingen

Voor test-, ondersteunings- of ontwikkelingsdoeleinden kan het voorkomen dat onze teams een gedeeltelijke of volledige kopie moeten maken van gegevens uit de productiedatabase.
Wanneer dergelijke kopieën worden gemaakt, worden ze opgeslagen op lokale harde schijven versleuteld met XTS AES 128-bit en een 256-bit sleutel.

De aard van de verrichtingen op de gegevens is gebaseerd op dit contract, en meer bepaald op het onderhoudscontract tussen de klant-verwerkingsverantwoordelijke en de verwerker.

Voor de uitvoering van de diensten die onder dit contract vallen, kan de klant-verwerkingsverantwoordelijke aanvullende informatie verstrekken.

Aan de verwerker wordt geen enkele andere taak toevertrouwd dan het bewaren en back-uppen van de gegevens.

Verplichtingen van de verwerker ten aanzien van de verwerkingsverantwoordelijke

Doel en instructies

De verwerker verbindt zich ertoe de gegevens uitsluitend te verwerken voor de doeleinden waarop de onderaannemingsovereenkomst betrekking heeft, namelijk uitsluitend de bewaring en back-up ervan.

Hij verbindt zich ertoe de gegevens te verwerken in overeenstemming met de gedocumenteerde instructies van de verwerkingsverantwoordelijke.

Indien de verwerker van mening is dat een instructie een inbreuk vormt op de Europese gegevensbeschermingsverordening of op enige andere bepaling van Unie- of lidstaatrecht inzake gegevensbescherming, brengt hij de verwerkingsverantwoordelijke daarvan onmiddellijk op de hoogte.

Indien de verwerker bovendien verplicht is gegevens door te geven aan een derde land of een internationale organisatie, krachtens het Unierecht of het recht van de lidstaat waaraan hij onderworpen is, moet hij de verwerkingsverantwoordelijke vóór de verwerking op de hoogte brengen van deze wettelijke verplichting, tenzij het betrokken recht deze informatie om gewichtige redenen van algemeen belang verbiedt.

Vertrouwelijkheid

De verwerker verbindt zich ertoe de vertrouwelijkheid van de verwerkte persoonsgegevens te waarborgen.

Hij verbindt zich er bovendien toe erop toe te zien dat de dienstverleners of personeelsleden die betrokken zijn bij de bewaring en back-up van persoonsgegevens in het kader van de uitvoering van dit contract:

Niet gerechtigd zijn de gegevens zelf te verwerken,
Zich contractueel verbinden tot vertrouwelijkheid of onderworpen zijn aan een passende wettelijke vertrouwelijkheidsverplichting,
De nodige opleiding krijgen op het gebied van bescherming van persoonsgegevens, alsook over het belang van de naleving van de wetgeving inzake bescherming van de persoonlijke levenssfeer.

De vertrouwelijkheidsverbintenissen die krachtens dit contract zijn aangegaan, blijven gelden gedurende de gehele looptijd ervan, alsook gedurende een periode van twee jaar vanaf de datum waarop het afloopt.

Tot slot verbindt de verwerker zich ertoe, wat betreft zijn tools, producten, toepassingen of diensten, rekening te houden met de beginselen van gegevensbescherming door ontwerp en gegevensbescherming door standaardinstellingen.

Onderaanneming

De verwerker kan een beroep doen op een andere verwerker, hierna "de daaropvolgende verwerker" genoemd, om specifieke verwerkingsactiviteiten uit te voeren.

In dat geval brengt hij de verwerkingsverantwoordelijke vooraf en schriftelijk op de hoogte van elke voorgenomen wijziging met betrekking tot de toevoeging of vervanging van andere verwerkers.

Deze informatie moet duidelijk de uitbestede verwerkingsactiviteiten, de identiteit en contactgegevens van de verwerker en de data van de onderaannemingsovereenkomst vermelden.

De verwerkingsverantwoordelijke beschikt over een minimumtermijn van vijftien dagen vanaf de datum van ontvangst van deze informatie om bezwaar te maken.

Deze onderaanneming kan alleen plaatsvinden indien de verwerkingsverantwoordelijke binnen de overeengekomen termijn geen bezwaar heeft gemaakt.

De daaropvolgende verwerker is verplicht de verplichtingen van dit contract na te leven namens en volgens de instructies van de verwerkingsverantwoordelijke.

Het is de verantwoordelijkheid van de oorspronkelijke verwerker om ervoor te zorgen dat de daaropvolgende verwerker dezelfde voldoende garanties biedt met betrekking tot de implementatie van passende technische en organisatorische maatregelen, zodat de verwerking voldoet aan de vereisten van de Europese gegevensbeschermingsverordening.

Indien de daaropvolgende verwerker zijn verplichtingen inzake gegevensbescherming niet nakomt, blijft de oorspronkelijke verwerker volledig aansprakelijk ten aanzien van de verwerkingsverantwoordelijke voor de uitvoering van de verplichtingen door de andere verwerker.

Recht op informatie van betrokkenen

Het is de verantwoordelijkheid van de verwerkingsverantwoordelijke om de betrokkenen te informeren op het moment van gegevensverzameling.

Voor zover mogelijk kan de verwerker de verwerkingsverantwoordelijke helpen bij het voldoen aan zijn verplichting om te reageren op verzoeken tot uitoefening van de rechten van betrokkenen:

Recht op inzage, rectificatie, verwijdering en bezwaar,
Recht op beperking van de verwerking,
Recht op gegevensoverdraagbaarheid,
Recht om niet te worden onderworpen aan een geautomatiseerde individuele besluitvorming, met inbegrip van profilering.

Wanneer betrokkenen verzoeken tot uitoefening van hun recht richten aan de verwerker, moet deze ze onmiddellijk na ontvangst per e-mail doorsturen naar het door de verwerkingsverantwoordelijke aangegeven contactpunt.

Melding van inbreuken in verband met persoonsgegevens

De verwerker meldt elke inbreuk in verband met persoonsgegevens aan de verwerkingsverantwoordelijke binnen maximaal vierentwintig uur nadat hij er kennis van heeft genomen, en per e-mail.

Deze melding gaat vergezeld van alle nuttige documentatie zodat de verwerkingsverantwoordelijke, indien nodig, de inbreuk kan melden aan de bevoegde toezichthoudende autoriteit.

Het is vervolgens aan de verwerkingsverantwoordelijke om de vastgestelde inbreuken in verband met persoonsgegevens te melden aan de toezichthoudende autoriteit en te communiceren aan de betrokkene, zo snel mogelijk, tenzij de inbreuk in kwestie waarschijnlijk geen risico inhoudt voor de rechten en vrijheden van die persoon.

De melding aan de toezichthoudende autoriteit en de communicatie aan de betrokkene moeten alle informatie bevatten die vereist is door de Europese gegevensbeschermingsverordening.

Beveiligingsmaatregelen

De verwerker verbindt zich ertoe passende technische en organisatorische beveiligingsmaatregelen te nemen, rekening houdend met de risico's die inherent zijn aan de verwerking en de aard van de persoonsgegevens.

Hij zal met name maatregelen nemen om:

Onbevoegde personen te beletten toegang te krijgen tot de IT-systemen die persoonsgegevens verwerken, zodat zij deze niet kunnen raadplegen, kopiëren, wijzigen, verwijderen of verspreiden,
Ervoor te zorgen dat geautoriseerde gebruikers van de gegevensverwerkingssystemen alleen toegang hebben tot de persoonsgegevens die onder hun toegangsrechten vallen,
Te voorkomen dat persoonsgegevens kunnen worden gelezen, gekopieerd of verwijderd tijdens de overdracht en tijdens het transport van opslagmedia,
De vertrouwelijkheid, integriteit en beschikbaarheid van de verwerkingsdiensten te waarborgen,
De beschikbaarheid van en toegang tot persoonsgegevens binnen een passende termijn te herstellen in geval van een fysiek of technisch incident,
Regelmatig de doeltreffendheid van de technische en organisatorische maatregelen te evalueren die de beveiliging van de verwerking waarborgen.

Lot van de gegevens

Bij het einde van dit contract verbindt de verwerker zich ertoe, naar keuze van de verwerkingsverantwoordelijke:

Alle persoonsgegevens te vernietigen, of
Alle persoonsgegevens terug te geven aan de verwerkingsverantwoordelijke, of
De persoonsgegevens terug te geven aan de door de verwerkingsverantwoordelijke aangewezen verwerker.

De verwerkingsverantwoordelijke moet de verwerker binnen vijftien dagen na het einde van dit contract op de hoogte brengen van zijn keuze, bij gebreke waarvan alle persoonsgegevens zonder verhaal ten laste van de verwerker zullen worden vernietigd.

De teruggave gaat gepaard met de vernietiging van alle bestaande kopieën in de informatiesystemen van de verwerker, wat schriftelijk zal worden bevestigd.

Functionaris voor gegevensbescherming

De verwerker deelt de verwerkingsverantwoordelijke de naam en contactgegevens mee van zijn functionaris voor gegevensbescherming, indien hij er een heeft aangesteld, overeenkomstig artikel 37 van de Europese gegevensbeschermingsverordening.

De functionaris voor gegevensbescherming van de verwerkingsverantwoordelijke kan worden gecontacteerd op info@anb-rimex.be

Verplichtingen van de klant-verwerkingsverantwoordelijke ten aanzien van de verwerker

De klant-verwerkingsverantwoordelijke verbindt zich ertoe:

De verwerker de nodige informatie te verstrekken voor de uitvoering van zijn verbintenissen.
Elke instructie betreffende de verwerking van de gegevens door de verwerker schriftelijk te formuleren. De diensten die door de verwerker worden verleend om de klant-verwerkingsverantwoordelijke te begeleiden bij de uitvoering van deze instructies, zijn ondersteuningsdiensten die worden geregeld in het kader van het onderhoudscontract dat aan de oorspronkelijke overeenkomst is gekoppeld. De verwerker zal de diensten pas uitvoeren zodra het verzoek is ingediend en gevalideerd door de klant-verwerkingsverantwoordelijke.
Er vooraf en gedurende de gehele duur van de verwerking op toe te zien dat hijzelf en de verwerker de verplichtingen naleven die de Europese gegevensbeschermingsverordening aan de verwerker oplegt,
Toezicht te houden op de verwerking.

Diversen

Aansprakelijkheid

De verwerker is alleen aansprakelijk voor de schade veroorzaakt door de hem toevertrouwde verwerking indien hij de verplichtingen die specifiek voor verwerkers gelden krachtens de Europese gegevensbeschermingsverordening niet heeft nageleefd, of indien hij heeft gehandeld buiten of in strijd met de rechtmatige instructies van de verwerkingsverantwoordelijke.

Hij wordt van alle aansprakelijkheid ontheven indien hij aantoont dat het schadeveroorzakende feit hem geenszins kan worden toegerekend.

Overmacht

Geen van beide partijen is jegens de andere aansprakelijk voor vertraging of niet-nakoming van haar contractuele verplichtingen als gevolg van een of meer omstandigheden die redelijkerwijs buiten haar controle vallen, met name natuurrampen, beslissingen van overheidsinstanties, oorlog, brand, overstroming, explosie en burgerlijke onlusten, waarbij deze lijst niet uitputtend is.

Op voorwaarde dat de partij die de vertraging ondervindt de andere partij onverwijld en schriftelijk in kennis stelt van de reden van de vertraging en de vermoedelijke duur ervan, wordt de uitvoering van de verplichtingen van de vertragende partij opgeschort voor zover de verplichtingen door de vertraging worden beïnvloed, gedurende de periode waarin de oorzaak van de vertraging blijft bestaan.

Overdracht

Geen van beide partijen mag de rechten en verplichtingen die uit dit contract voortvloeien, overdragen zonder de voorafgaande schriftelijke toestemming van de andere partij, die deze toestemming niet zonder redelijke grond mag weigeren of vertragen.

Wijziging

Elke wijziging van dit contract dient verplicht schriftelijk te gebeuren en te worden ondertekend door de persoon die bevoegd is de partijen te binden.

Toepasselijk recht en bevoegde rechtbank

Dit contract wordt beheerst door het Belgisch recht.

Elk geschil met betrekking tot de geldigheid, interpretatie, uitvoering, ontbinding of beëindiging ervan valt onder de exclusieve bevoegdheid van de rechtbanken van de maatschappelijke zetel van de verwerker.

De verwerker kan de verwerkingsverantwoordelijke echter dagvaarden tot tussenkomst en vrijwaring voor een andere rechtbank die bevoegd is om uitspraak te doen over een hoofdvordering die de betrokkenheid van de verwerkingsverantwoordelijke rechtvaardigt.

De verwerkingsverantwoordelijke kan de verwerker echter dagvaarden tot tussenkomst en vrijwaring voor een andere rechtbank die bevoegd is om uitspraak te doen over een hoofdvordering die de betrokkenheid van de verwerkingsverantwoordelijke rechtvaardigt.