Contractspartijen

1. De “Verwerkingsverantwoordelijke”;

en

2. Searchflow B.V, gevestigd aan Twentepoort Oost 55B, 7609 RG te Almelo, ingeschreven bij de Kamer van Koophandel onder nummer 71034277 en rechtsgeldig vertegenwoordigd door Roderick Bryde (hierna: “Verwerker”);

hierna gezamenlijk te noemen de “Partijen” en afzonderlijk “Partij”,

in aanmerking nemende dat

• Verwerkingsverantwoordelijke de beschikking heeft over persoonsgegevens;
• Verwerker in het kader van haar dienstverlening persoonsgegevens verwerkt ten behoeve van Verwerkingsverantwoordelijke;
• Verwerkingsverantwoordelijke en Verwerker ten behoeve van het voorgaande een Overeenkomst hebben gesloten inzake één of meerdere diensten met betrekking tot online marketing activiteiten en toegang content management systemen websites.
• Verwerkingsverantwoordelijke de doeleinden en middelen aanwijst voor de verwerking, waarvoor de hierin genoemde voorwaarden gelden;
• Verwerker tevens bereid is verplichtingen omtrent beveiliging en andere aspecten van de Wet bescherming persoonsgegevens (hierna: “Wbp”), dan wel de Algemene Verordening Gegevensbescherming (hierna: “AVG”) na te komen;
• met persoonsgegevens gegevens in de zin van artikel 1 sub a van de Wbp, dan wel artikel 4 lid 1 van de AVG bedoeld worden;
• Verwerkingsverantwoordelijke aangemerkt kan worden als verantwoordelijke in de zin van artikel 1 sub d van de Wbp, dan wel als verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 van de AVG;
• Verwerker aangemerkt kan worden als Verwerker in de zin van artikel 1 sub e van de Wbp, dan wel als verwerker in de zin van artikel 4 lid 8 van de AVG;
• Partijen, mede gelet op het vereiste uit artikel 14 lid 5 van de Wbp en artikel 28 lid 1 van de AVG, hun rechten en plichten schriftelijk wensen vast te leggen middels deze Verwerkersovereenkomst (hierna: “Verwerkersovereenkomst”);
• waar gerefereerd wordt aan (bepalingen uit) de Wbp, per 25 mei 2018 (de corresponderende bepalingen uit) de AVG worden bedoeld.

zijn als volgt overeengekomen:

Artikel 1. Doeleinden van verwerking

• Verwerker verwerkt persoonsgegevens uitsluitend voor de uitvoering van de overeengekomen online marketingdiensten, waaronder het beheren van content, campagnes, analyse en rapportage.

• De verwerkingen omvatten uitsluitend persoonsgegevens zoals opgenomen in Bijlage 1. Verwerkingen voor andere doeleinden geschieden alleen na schriftelijke toestemming van Verwerkingsverantwoordelijke.

• Persoonsgegevens blijven eigendom van de Verwerkingsverantwoordelijke en/of de betrokkene.

Artikel 2. Verplichtingen Verwerker

• Verwerker waarborgt dat verwerking plaatsvindt conform de AVG.

• Verwerker treft passende technische en organisatorische maatregelen, zoals beschreven in Bijlage 3.

• Verwerker biedt ondersteuning bij DPIA’s, audits en naleving van de AVG. Eventuele kosten hiervoor worden in overleg bepaald.

• Verwerker beperkt toegang tot persoonsgegevens tot bevoegd personeel (need-to-know-basis).

Artikel 3. Subverwerkers

• Verwerker mag subverwerkers inschakelen voor de uitvoering van de overeenkomst. De actuele lijst van subverwerkers is op aanvraag beschikbaar.

• Verwerkingsverantwoordelijke heeft het recht binnen 14 dagen bezwaar te maken tegen nieuwe subverwerkers.

• Verwerker waarborgt dat subverwerkers zich houden aan dezelfde beveiligings- en geheimhoudingsverplichtingen.

Artikel 4. Datalekken en meldplicht

• Verwerker meldt een datalek binnen 24 uur na ontdekking, inclusief aard, oorzaak, omvang en getroffen persoonsgegevens.

• Verwerker werkt mee aan meldingen aan betrokkenen en/of de Autoriteit Persoonsgegevens.

• Communicatie over datalekken geschiedt bij voorkeur via versleutelde e-mail of telefonisch.

Artikel 5. Rechten van betrokkenen

• Inkomende verzoeken van betrokkenen worden zonder onnodige vertraging doorgestuurd naar Verwerkingsverantwoordelijke.

• Verwerker verleent medewerking bij verzoeken m.b.t. inzage, verwijdering, correctie en dataportabiliteit.

Artikel 6. Beveiliging

• Verwerker maakt gebruik van:

  • 2FA op relevante accounts.

  • Sterk wachtwoordbeleid en wachtwoordmanagers.

  • Logging en monitoring van toegangspogingen.

  • Versleutelde opslag in cloudomgevingen.

  • Geen opslag op privé-apparaten of onbeheerde datadragers.

• Volledig overzicht in Bijlage 3.

Artikel 7. Bewaartermijnen

• Persoonsgegevens worden na beëindiging van de overeenkomst verwijderd of op verzoek geretourneerd.

• Maximale bewaartermijn na beëindiging: 3 maanden, tenzij anders overeengekomen.

• Back-ups met persoonsgegevens worden binnen 30 dagen na beëindiging verwijderd.

Artikel 8. Geheimhouding

1. Verwerker en haar medewerkers behandelen alle persoonsgegevens vertrouwelijk.

2. Uitzonderingen enkel bij wettelijke verplichting of voorafgaande schriftelijke toestemming.

Artikel 9. Audits en controle

• Verwerkingsverantwoordelijke mag jaarlijks (op eigen kosten) een audit uitvoeren, na schriftelijke aankondiging van 2 weken.

• Verwerker werkt volledig mee aan audits en verstrekt alle benodigde informatie.

Artikel 10. Aansprakelijkheid

• Aansprakelijkheid van Verwerker is beperkt tot directe schade en tot maximaal het factuurbedrag van de afgelopen maand.

• Uitsluiting van indirecte schade, tenzij bij opzet of grove nalatigheid.

Bijlage 1: Overzicht met verwerkingen en verwerkingsdoelen

De volgende soorten persoonsgegevens zullen door Verwerker in opdracht van Verwerkingsverantwoordelijke verwerkt worden:

• Voornaam, achternaam

• E-mailadres

• IP-adres

• Telefoonnummer

• Locatiegegevens

• Website-interacties (klikgedrag, sessiedata)

• Gebruikers-ID’s van ad-platformen Categorieën betrokkenen: klanten, leads, websitebezoekers

Bijlage 2: Subverwerkers en/of categorieën van subverwerkers

Verwerker kan, afhankelijk van de te leveren diensten, bij de Verwerking gebruik maken van de volgende (categorieën) subverwerkers:

• Cloudopslag (Google Drive, Dropbox, OneDrive)

• E-mailsoftware (Mailchimp, Outlook, Roundcube)

• CRM/projectsoftware (Simplicate, Asana, Leadinfo)

• Hosting (IT & Care, Shockmedia, Vimexx, Neostrada)

• Tracking & advertentieplatformen (Google Ads, Analytics, Hotjar, etc.)

Volledige lijst beschikbaar op verzoek

Bijlage 3: Beveiligingsmaatregelen

Verwerker heeft de volgende beveiligingsmaatregelen genomen:

• Unieke wachtwoorden en 2FA verplicht op gevoelige systemen

• Gebruik van professionele wachtwoordmanager

• Regelmatige software-updates en firewall- & antivirusbescherming

• Geen opslag van persoonsgegevens op privé-apparaten

• Logging van toegang en logging van wijzigingen aan data

• Vernietiging van papieren documenten via papierversnipperaar