Processing Terms

Deze verwerkersvoorwaarden zijn opgesteld door Dyzle® met als doel om als Verwerker te voldoen aan de bepalingen van de Algemene Verordening Gegevensbescherming (AVG). Dit is een verwerkersovereenkomst in de zin van artikel 28 lid 3 AVG, waarin de rechten en verplichtingen ten aanzien van de verwerking van de persoonsgegevens schriftelijk is geregeld, waaronder ten aanzien van de beveiliging.

In deze verwerkersvoorwaarden is Opdrachtgever de natuurlijke- of rechtspersoon die aan Dyzle Services B.V., of aan haar gelieerde entiteiten, de opdracht geeft om ten behoeve van hem specifieke verwerkingsactiviteiten te verrichten, hierna te noemen: “Verantwoordelijke”.

In deze verwerkersvoorwaarden is Opdrachtnemer Dyzle Services B.V., gevestigd aan de Transistorstraat 7, 1322 CJ te Almere, de rechtspersoon die verwerkingsactiviteiten gaat uitvoeren voor Opdrachtgever, hierna te noemen: “Verwerker”.

Verantwoordelijke en Verwerker worden afzonderlijk tevens “Partij” of gezamenlijk “Partijen” genoemd.

Algemeen

Partijen hanteren in deze verwerkersvoorwaarden, naast de definities vanuit de AVG, de volgende definities (in alfabetische volgorde):

1. Algemene voorwaarden: de Algemene voorwaarden van Verwerker, die onverkort van toepassing zijn op iedere afspraak tussen Verwerker en Verantwoordelijke en van welke Algemene voorwaarden deze verwerkersovereenkomst onlosmakelijk deel uitmaken.
2. Betrokkene: De natuurlijke persoon op wie een Persoonsgegeven betrekking heeft.
3. Overeenkomst: elke afspraak tussen Opdrachtgever en Verwerker tot het verrichten van werkzaamheden of leveren van diensten door Verwerker ten behoeve van de Opdrachtgever, conform het bepaalde in de opdracht.
4. Sub-verwerker: Degene die de Verwerker bijstaat in de Verwerking van Persoonsgegevens.
5. Verantwoordelijke: De verwerkingsverantwoordelijke conform de definitie van de AVG, oftewel de opdrachtgever.
6. Werkzaamheden: alle werkzaamheden waartoe opdracht is gegeven, of die door Verwerker uit anderen hoofde worden verricht. Het voorgaande geldt in de ruimste zin van het woord en omvat in ieder geval de werkzaamheden zoals vermeld in de opdracht.

Toepasselijkheid verwerkersvoorwaarden

Reikwijdte verwerkersvoorwaarden

1. Met het geven van de opdracht tot het verrichten van Werkzaamheden heeft Verantwoordelijke aan Verwerker de opdracht gegeven om de Persoonsgegevens te verwerken namens de Verantwoordelijke in overeenstemming met de bepalingen van deze verwerkersvoorwaarden.
2. Verwerker verwerkt de Persoonsgegevens uitsluitend in overeenstemming met deze verwerkersvoorwaarden. Verwerker bevestigt de Persoonsgegevens niet voor andere doeleinden te verwerken.
3. De zeggenschap over de Persoonsgegevens komt nooit bij Verwerker te rusten.
4. De Verantwoordelijke kan additionele, schriftelijke instructies aan Verwerker geven vanwege aanpassingen of wijzigingen in de van toepassing zijnde regelgeving op het gebied van bescherming van persoonsgegevens.
5. Indien instructies van Verantwoordelijke aan Verwerker strijd opleveren met enige wettelijke bepalingen omtrent gegevensbescherming, meldt Verwerker dit bij Verantwoordelijke.
6. Verwerker verwerkt de Persoonsgegevens enkel in de Europese Economische Ruimte of wanneer adequate waarborgen aanwezig zijn (waaronder Privacy Shield) elders.

Geheimhouding

1. Verwerker en de personen die in dienst zijn van Verwerker dan wel werkzaamheden voor hem verrichten, voor zover deze personen toegang hebben tot persoonsgegevens, verwerken de gegevens slechts in opdracht van Verantwoordelijke, behoudens afwijkende wettelijke verplichtingen.
2. Verwerker en de personen die in dienst zijn van Verwerker dan wel werkzaamheden voor hem verrichten, voor zover deze personen toegang hebben tot persoonsgegevens, zijn verplicht tot geheimhouding van de persoonsgegevens waarvan zij kennisnemen, behoudens voor zover enig wettelijk voorschrift hen tot mededeling verplicht of uit een taak de noodzaak tot mededeling voortvloeit.

Geen verdere verstrekking

Beveiligingsmaatregelen

1. Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van personen, treft Verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. De beveiligingsmaatregelen die thans zijn genomen zijn:
   1. Logische toegangscontrole door middel van persoonsgebonden user-id en wachtwoord.
   2. De toegangscontrole bepaalt tevens tot welke onderdelen van het Dyzle portaal toegang wordt verleend. Daarmee worden bevoegdheden toegewezen aan specifieke personen.
   3. Er is continu aandacht voor de gevaren van ransomware en de noodzaak tot geheimhouding van eigen inlogcodes.
   4. Met derden zijn/worden sub-verwerkersovereenkomsten gesloten.
   5. ISO 27001 gecertificeerde leverancier voor de hosting van het Dyzle portaal.
   6. Er zijn ICT voorzieningen geïmplementeerd zoals een firewall en back-ups.
   7. Arbeidscontracten kennen een geheimhoudingsclausule die blijft gelden na uitdiensttreding.

2.  Verwerker zorgt voor maatregelen die voldoen aan hetgeen bepaald is in artikel 32 AVG.

Compliance monitoring

1. Processor shall provide Information on the Processing of the Data by Processor or Sub-Processors at the latter’s request and for the latter’s account. Processor shall provide the requested information as soon as possible, but at the latest within five working days.
2. Respondent shall have the right once a year and at its own expense to have an independent third party to be jointly appointed by Respondent and Processor conduct an inspection to verify Processor’s compliance with the obligations under the AVG and this Processor Agreement. Processor shall provide all reasonably necessary cooperation in this regard. Processor shall have the right to charge its costs associated with the inspection to Respondent.
3. In the context of its obligation under paragraph 1 of this article, Processor shall in any case provide to Respondent or a third party engaged by Respondent for that purpose:
   • Provide all relevant information and documents;
   • Provide access to all relevant buildings, information systems and Data
4. Respondent and Processor shall consult with each other as soon as possible after the completion of the report to address any risks and shortcomings. Processor shall, at the expense of the Responsible Party, take measures to bring the identified risks and shortcomings to a level acceptable to the Responsible Party or to remove them, respectively, unless the parties have agreed otherwise in writing.

Data breach

1. As soon as possible after Processor learns of an incident or data breach that (partly) affects or may affect the data, Processor will notify the Data Subject via the Data Subject’s contact details known to Processor and will provide information about: the nature of the incident or data breach, the data affected, the identified and expected consequences of the incident or data breach on the data and the measures that Processor has taken and will take.
2. The Respondent makes the assessment whether a notification is made to the Personal Data Authority or data subjects. Processor will support Respondent in notifications to data subjects and/or authorities.
3. Processor has appropriate policies regarding data breaches.

Sub-processors

1. Processor utilizes a number of Sub-Processors for the performance of its services, to which Processor hereby consents. These Sub-processors are currently:
2. SMSpack, based in The Hague, for sending out SMS alerts and messages;
3. Fenix Informatie Technologie B.V., located in Vlist, for sending out IVR (Interactive Voice Response) alerts and messages;
4. BIT B.V., based in Ede, for hosting the Dyzle portal.
5. Respondent hereby gives Processor general written consent to engage Sub-processors to process personal data, as well as to replace such Sub-processors.
6. Processor shall ensure that the Sub-Processor is subject to these Processor Terms or to a Sub-Processor Agreement containing the same obligations as these Processor Terms.
7. If the sub-processor engaged fails to fulfill its data protection obligations, the Processor shall always be liable for fulfilling obligations to the Controller.

Cooperation obligations and rights of data subjects

1. Processor, taking into account the nature of the processing, shall assist the Controller by means of appropriate technical and organizational measures, as far as possible, in fulfilling its duty to respond to requests for the exercise of the data subject’s rights set forth in Chapter III AVG.
2. Processor shall, if applicable and promptly after a request to do so by Respondent, provide proof of Processor’s accommodation of the data subject’s request. The costs of exercising a data subject’s rights shall be borne by Respondent.
3. Processor shall, to the extent permitted by law, notify Respondent if Processor receives a request from data subject in connection with the rights provided to data subject by the Privacy Law and Regulations. Processor shall not comply with any request of a Data Subject without the consent of Respondent.