Afspraken over privacy.

Verwerkingsverantwoordelijke: jij, de opdrachtgever. Jij bepaalt waarvoor en hoe de persoonsgegevens worden verwerkt.

Verwerker: Vyxen, de eenmanszaak van Erik Burema, ingeschreven bij de Kamer van Koophandel onder nummer 96720131 ("ik").

Deze verwerkersovereenkomst geldt naast de algemene voorwaarden van Vyxen. Bij een tegenstrijdigheid over persoonsgegevens gaat deze verwerkersovereenkomst voor.

Ik verwerk persoonsgegevens voor jou als dat nodig is voor het werk uit de overeenkomst. Bijvoorbeeld bij het bouwen, testen, hosten en onderhouden van je website, webshop of maatwerksoftware, het koppelen van formulieren en betalingen, en het oplossen van storingen.

Welke persoonsgegevens, van welke betrokkenen, voor welk doel en waar ze staan, leggen we per project vast in bijlage 1.

Deze overeenkomst loopt zolang ik voor jou persoonsgegevens verwerk, en eindigt niet eerder dan nadat alle gegevens zijn teruggegeven of verwijderd volgens artikel 10.

Ik verwerk de persoonsgegevens alleen in opdracht van jou en volgens jouw schriftelijke instructies. De overeenkomst en deze verwerkersovereenkomst gelden als die instructies. Ik gebruik de gegevens nooit voor mijn eigen doelen.

Moet ik de gegevens volgens de wet anders verwerken, bijvoorbeeld omdat een overheidsinstantie erom vraagt, dan laat ik je dat vooraf weten, tenzij de wet dat verbiedt.

Vind ik dat een instructie van jou in strijd is met de AVG of andere privacyregels, dan laat ik je dat direct weten. Ik hoef die instructie dan niet uit te voeren totdat we samen een oplossing hebben gevonden.

Jij staat ervoor in dat je de persoonsgegevens rechtmatig verwerkt en dat je een geldige grondslag hebt, bijvoorbeeld voor het verzamelen van gegevens van je klanten of leden.

Ik houd de persoonsgegevens geheim. Iedereen die ik inschakel en die toegang krijgt tot de gegevens, zoals een freelancer, is ook tot geheimhouding verplicht via een schriftelijke afspraak.

Alleen mensen die de gegevens echt nodig hebben voor het werk krijgen toegang, en alleen tot de gegevens die ze daarvoor nodig hebben.

Ik neem passende technische en organisatorische maatregelen om de persoonsgegevens te beschermen, zoals bedoeld in artikel 32 AVG. Daarbij houd ik rekening met de stand van de techniek, de kosten, de aard van de gegevens en de risico's voor betrokkenen.

De maatregelen die ik in elk geval neem, staan in bijlage 2. Ik mag de maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.

Jij bent verantwoordelijk voor de beveiliging van je eigen kant: je eigen wachtwoorden, apparaten, accounts en de mensen binnen je bedrijf die toegang hebben (zie ook artikel 13 van de algemene voorwaarden).

Je geeft mij algemene toestemming om andere partijen in te schakelen die persoonsgegevens voor mij verwerken (subverwerkers), zoals hosting- en databaseleveranciers en freelancers. De subverwerkers die ik nu gebruik staan in bijlage 3.

Wil ik een nieuwe subverwerker inschakelen of een bestaande vervangen, dan laat ik je dat minstens 14 dagen van tevoren per e-mail weten. Je kunt binnen die 14 dagen met een goede reden bezwaar maken. Komen we er dan samen niet uit, dan mag je het betreffende deel van de overeenkomst opzeggen zonder extra kosten.

Met elke subverwerker spreek ik minstens dezelfde privacyverplichtingen af als in deze overeenkomst. Ik blijf tegenover jou verantwoordelijk voor de subverwerkers die ik inschakel.

Accounts op jouw naam. Staat een dienst op jouw eigen naam, zoals een Supabase-project, Vercel-team of Mollie-account dat jij hebt afgesloten, dan is die leverancier geen subverwerker van mij maar jouw eigen verwerker (of een zelfstandige verantwoordelijke, zoals een betaalprovider). De afspraken met die leverancier maak je dan zelf, meestal door hun verwerkersvoorwaarden te accepteren.

Ik verwerk de persoonsgegevens zoveel mogelijk binnen de Europese Economische Ruimte (EER). Voor databases en hosting kies ik een Europese regio als de dienst dat mogelijk maakt.

Sommige leveranciers zijn Amerikaanse bedrijven, of kunnen voor support of beheer toegang hebben vanuit landen buiten de EER. Ik schakel die alleen in als er een geldige basis is voor de doorgifte, zoals certificering onder het EU-US Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.

Wil een betrokkene zijn of haar gegevens inzien, laten aanpassen, laten verwijderen of overdragen, dan help ik je daarbij voor zover dat redelijk is. Krijg ik zo'n verzoek rechtstreeks, dan stuur ik het zonder vertraging aan jou door. Ik beantwoord het niet zelf, tenzij je dat vraagt.

Ik help je ook, voor zover redelijk en nodig, bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij vragen van de Autoriteit Persoonsgegevens.

Hulp die niet meer dan een paar minuten kost, doe ik kosteloos. Voor meer werk reken ik mijn uurtarief, behalve als de hulp nodig is door een fout van mij.

Ontdek ik een datalek dat gaat over gegevens die ik voor jou verwerk, dan meld ik dat zo snel mogelijk aan je, uiterlijk binnen 48 uur nadat ik het heb ontdekt. Zo heb je genoeg tijd om, als dat nodig is, binnen 72 uur een melding te doen bij de Autoriteit Persoonsgegevens.

In mijn melding staat, voor zover ik het weet: wat er is gebeurd, welke gegevens en betrokkenen het raakt, wat de mogelijke gevolgen zijn en welke maatregelen ik heb genomen of voorstel. Weet ik nog niet alles, dan vul ik de melding zo snel mogelijk aan.

Jij beslist of je het datalek meldt bij de Autoriteit Persoonsgegevens en de betrokkenen. Ik doe dat niet zelf, tenzij de wet mij daartoe verplicht.

Ik houd een overzicht bij van alle datalekken die jouw gegevens raken.

Eindigt de overeenkomst, dan geef ik je de persoonsgegevens terug in een gangbaar formaat, of verwijder ik ze. Jij kiest wat je wilt. Zeg je niets binnen 30 dagen na het einde, dan verwijder ik de gegevens.

Kopieën in back-ups worden automatisch verwijderd volgens de bewaartermijn van die back-ups, uiterlijk 90 dagen na het einde. Tot die tijd blijven ze beveiligd en gebruik ik ze niet.

Ik bewaar gegevens langer alleen als de wet dat verplicht. Op verzoek bevestig ik schriftelijk dat de gegevens zijn verwijderd.

Ik geef je alle informatie die nodig is om te laten zien dat ik me aan deze overeenkomst houd.

Je mag maximaal eens per jaar, of na een datalek, een controle (audit) laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding verplicht is. Je kondigt dat minstens 30 dagen van tevoren aan. De kosten van de audit zijn voor jou, tenzij blijkt dat ik me op belangrijke punten niet aan deze overeenkomst houd.

Voor de aansprakelijkheid tussen jou en mij geldt artikel 16 van de algemene voorwaarden van Vyxen.

Dit laat onverlet de rechten van betrokkenen en de regels uit artikel 82 AVG. Die kunnen we niet onderling beperken.

Wijzigingen in deze overeenkomst en de bijlagen leggen we schriftelijk vast.

Op deze overeenkomst is Nederlands recht van toepassing. Voor geschillen geldt artikel 24 van de algemene voorwaarden.