Data protection
If Supplier Processes Personal Data for the benefit of Client in the performance of the Agreement, the following conditions shall apply in addition to the General Terms and Conditions.
The applicability of Client’s processing agreements is expressly rejected.
Article 1. General Provisions
The terms defined in this Annex that are also defined in the General Data Protection Regulation (hereinafter: “GDPR”) shall have the same meaning as assigned to them in the GDPR. This Annex qualifies as a data processing agreement within the meaning of Article 28 of the GDPR.
The Supplier provides the Client with the option to make use of the Service, whereby the Supplier may process Personal Data on behalf of and for the benefit of the Client during the provision of the Service. With regard to such Processing of Personal Data, the Client shall be regarded as the Controller, or, if the Client Processes the Personal Data on behalf of a third party, as the Processor. The Supplier shall act as either a Processor or Sub-Processor, depending on the role of the Client in the Processing of Personal Data.
Article 2. Purposes of Processing
The Supplier undertakes to process Personal Data on behalf of the Client in accordance with the conditions laid down in the Agreement. Processing shall take place solely within the scope of the performance of the Agreement, and for the duration thereof, as well as for any purposes that are reasonably connected thereto or determined by mutual consent.
The Supplier shall not process the Personal Data for any other purpose than as specified by the Client. The Client shall inform the Supplier of the processing purposes insofar as they are not already mentioned in this Annex.
The Supplier has no authority over the purposes and means of the Processing of Personal Data and shall not make independent decisions regarding the receipt and use of Personal Data, the disclosure thereof to third parties, or the duration of storage.
The Supplier processes Personal Data on behalf of the Client, on the understanding that such data shall not include special categories of personal data, citizen service numbers (BSNs), or data relating to criminal convictions or offences. The standard categories of personal data that may be processed include:
– name and address details (NAW data);
– telephone numbers;
– email addresses;
– IP addresses;
as well as any other potential categories of non-sensitive personal data.
Such Personal Data shall relate to the following categories of Data Subjects:
– individuals using the Service;
– website visitors;
– individuals who receive emails from or send emails to the Client;
– individuals included in the Client’s address book within the webmail environment provided by the Supplier;
– individuals submitting Personal Data via a contact form;
– individuals making Personal Data available to the Client for processing;
as well as other possible categories of Data Subjects whose Personal Data is processed via the Service.
Article 3. Obligations of the Supplier
With regard to the Processing activities referred to in Article 2 of this Annex, the Supplier shall ensure compliance with the obligations imposed by the GDPR on processors.
The Supplier shall process Personal Data and other data provided by or on behalf of the Client solely on the basis of written instructions issued by the Client.
Upon request and within a reasonable timeframe, the Supplier shall provide the Client with information on the measures it has taken in order to comply with its obligations under this Annex.
The obligations of the Supplier arising from this Annex shall equally apply to any persons who process Personal Data under the authority of the Supplier.
If the Supplier is of the opinion that an instruction from the Client violates applicable data protection legislation, it shall notify the Client thereof.
The Supplier shall, upon request, provide reasonable assistance to the Client in fulfilling its obligations under the GDPR, including but not limited to the Client’s security obligations, the obligation to notify data breaches, the performance of data protection impact assessments (DPIAs), and any required prior consultation with the supervisory authority in case of high-risk Processing. The Client shall reimburse the Supplier for any reasonable costs incurred in this regard.
Article 4. Transfer of Personal Data
The Supplier shall process Personal Data within countries of the European Union. The Client also grants the Supplier permission to process Personal Data in countries outside the European Union, subject to compliance with the applicable legal and regulatory requirements.
Upon request, the Supplier shall inform the Client about which country or countries are involved.
Article 5. Allocation of Responsibility
Both Parties shall ensure compliance with applicable data protection laws and regulations. The authorized Processing operations shall be carried out by the Supplier within a (semi-)automated environment.
The Supplier shall be solely responsible for the Processing of Personal Data under this Annex, in accordance with the instructions of the Client and under the express (ultimate) responsibility of the Client.
The Supplier is not responsible for any other Processing activities of Personal Data, including but not limited to the collection of Personal Data by the Client, Processing for purposes not disclosed to the Supplier, Processing by third parties, or Processing for other purposes. The Client bears full responsibility for such Processing. The Client shall ensure that such Processing is lawful and that its systems and infrastructure are adequately secured at all times.
It is the responsibility of the Client to assess whether the Supplier offers sufficient guarantees regarding the implementation of appropriate technical and organizational measures to ensure that the Processing complies with the requirements of the GDPR and/or any other applicable legislation and that the rights of Data Subjects are adequately protected.
The Client warrants at all times that the content, usage, and instructions for Processing Personal Data, as referred to in this Annex, are lawful and do not infringe upon the rights of any third parties.
The Client further warrants that no special categories of personal data, citizen service numbers (BSNs), or data relating to criminal convictions or offences shall be processed when using the Services, unless explicitly agreed otherwise in writing.
Without prejudice to any other rights of the Supplier, the Client shall indemnify the Supplier against any damages, third-party claims, and penalties imposed by supervisory authorities resulting from the Client’s breach of this Annex and/or the GDPR and/or any other applicable legislation.
Article 6. Use of Third Parties or Subcontractor
The Client hereby grants the Supplier a general authorization to engage third parties (sub-processors) in the Processing of Personal Data. Upon request, the Supplier shall inform the Client as soon as possible about the sub-processors it has engaged.
The Supplier has the right to change or replace sub-processors. The Supplier shall inform the Client of any intended changes concerning the addition or replacement of sub-processors, thereby giving the Client the opportunity to object. Any such objection must be submitted in writing, with reasoning, within two weeks of notification. If the Client does not object within this period, the Client shall be deemed to have accepted the changes.
If the Client objects within the aforementioned period, both Parties shall endeavor to reach a reasonable solution. If no agreement is reached, the Supplier shall be entitled to engage the new sub-processor, and the Client shall be entitled to terminate the Agreement effective as of the date the new sub-processor is engaged.
The Supplier shall unconditionally ensure that any such third party assumes, in writing, the same obligations as agreed between the Client and the Supplier. The Supplier shall remain responsible for proper compliance with these obligations by such third parties.
Article 7. Security
The Supplier shall use its best efforts to implement appropriate technical and organizational measures to protect the Processing of Personal Data, particularly against the accidental or unlawful destruction, loss, alteration, unauthorized disclosure of, or access to, transmitted, stored, or otherwise processed data.
The Supplier shall implement current and up-to-date technical and organizational security measures.
The Supplier may amend its security measures if it deems such changes necessary to maintain an appropriate level of security.
The Supplier does not warrant that its security measures will be effective under all circumstances. The Supplier shall make reasonable efforts to ensure that the security level complies with standards that, taking into account the state of the art, the costs of implementation, the nature, scope and context of the Processing, the purposes and intended use of the Service, the risks to the rights and freedoms of Data Subjects and the likelihood and severity of such risks, are not unreasonable.
The security measures described shall, in the opinion of the Client, offer a level of protection appropriate to the risks involved in the Processing of the Personal Data it uses or provides, taking into account the factors mentioned in paragraph 3 of this article.
The Client shall only make Personal Data available to the Supplier for Processing after ensuring that the required security measures have been implemented. The Client is responsible for compliance with the agreed measures.
Article 8. Data Breach Notification
In the event of a security breach and/or personal data breach (defined as a breach of security leading accidentally or unlawfully to the destruction, loss, alteration, unauthorized disclosure of, or access to, transmitted, stored, or otherwise processed data), the Supplier shall use its best efforts to notify the Client as soon as possible, upon which the Client shall determine whether it is required to notify the relevant supervisory authority and/or the Data Subject. The Supplier shall make reasonable efforts to ensure that the information provided is complete, correct, and accurate.
If required by applicable laws or regulations, the Supplier shall assist in notifying the relevant authorities and any affected Data Subjects. The Client remains responsible for the actual notification to such authorities.
The Supplier’s notification shall at least include:
– the (suspected) cause of the breach;
– the (known or likely) consequences;
– the (proposed) remedy;
– the measures already taken;
– contact details for follow-up;
– the parties that have been informed (e.g., Data Subjects, Client, supervisory authority).
Article 9. Handling Data Subject Requests
If a Data Subject addresses a request regarding their Personal Data to the Supplier, the Supplier shall forward the request to the Client and notify the Data Subject thereof. The Client shall then handle the request independently. If the Client requires assistance from the Supplier in handling the request, the Supplier shall cooperate and may charge reasonable costs for such assistance.
Article 10. Confidentiality
All Personal Data processed by the Supplier on behalf of the Client pursuant to this Annex shall be subject to a duty of confidentiality towards third parties. The Supplier shall not use this information for any purpose other than for which it was obtained, unless it has been anonymized and is no longer traceable to any Data Subject.
This duty of confidentiality does not apply in the following circumstances:
– if the Client has given explicit permission to disclose the information to third parties;
– if the disclosure is logically necessary for the performance of the Agreement or this Annex;
– if there is a legal obligation and/or court order to disclose the information to a third party;
– in respect of third parties who, in accordance with Article 6, are engaged as sub-processors and to whom Personal Data is disclosed in that capacity.
Article 11. Audit
The Client has the right to conduct audits, or have them conducted, by an independent IT expert bound by confidentiality, in order to verify compliance with all provisions of this Annex.
Such an audit shall only take place after the Client has requested and assessed similar audit reports available from the Supplier and has provided reasonable grounds to justify an audit initiated by the Client. Such an audit is justified only if the existing reports do not sufficiently demonstrate the Supplier’s compliance with this Annex. The Client-initiated audit shall be conducted once per year, upon at least two weeks’ prior written notice.
The Supplier shall cooperate with the audit and shall provide all reasonably relevant information, including supporting data such as system logs, and access to staff within a reasonable time frame, which shall not exceed two weeks unless urgent circumstances dictate otherwise.
The findings of the audit shall be assessed jointly by the Parties and may result in changes or improvements to be implemented by one or both Parties.
The reasonable costs of the audit shall be borne by the Client, it being understood that the fees of the external IT expert shall always be paid by the Client.
Article 12. Duration and Termination
This Annex is concluded for the term specified in the Agreement between the Parties and, in the absence thereof, for the duration of the cooperation.
This Annex may not be terminated prematurely.
The Annex may only be amended by mutual consent.
Upon termination of the Annex, the Supplier shall, without undue delay, delete the Personal Data received from the Client, unless the Parties agree that the Supplier shall return such data to the Client or the Supplier is legally required to retain such data. Any costs incurred by the Supplier in connection with the deletion and/or return of Personal Data may be charged to the Client.
Content
Gegevensbescherming
Indien Leverancier bij de uitvoering van de Overeenkomst ten behoeve van Opdrachtgever Persoonsgegevens Verwerkt, zijn in aanvulling op de Algemene Voorwaarden de onderstaande voorwaarden van toepassing. De toepasselijkheid van verwerkersovereenkomsten van Opdrachtgever wordt uitdrukkelijk van de hand gewezen.
Artikel 1 Algemeen
De begrippen die in deze Bijlage worden gedefinieerd in de Algemene Verordening Gegevensbescherming (hierna: “AVG”) hebben de betekenis die daaraan in de AVG is toegekend. Deze Bijlage kwalificeert als een verwerkersovereenkomst als bedoeld in artikel 28 AVG.
Leverancier biedt Opdrachtgever de mogelijkheid om de Dienst af te nemen, waarbij Leverancier bij de uitvoering van de Dienst voor en ten behoeve van Opdrachtgever Persoonsgegevens kan Verwerken. Bij deze Verwerking van Persoonsgegevens kan Opdrachtgever worden aangemerkt als Verwerkingsverantwoordelijke, of indien Opdrachtgever de Persoonsgegevens ten behoeve van een derde partij Verwerkt als Verwerker. Leverancier vervult (afhankelijk van de hoedanigheid waarin de Opdrachtgever Persoonsgegevens Verwerkt) de rol van Verwerker of subverwerker.
Artikel 2. Doeleinden van de Verwerking
Leverancier verbindt zich ertoe om onder de voorwaarden uit de Overeenkomst in opdracht van Opdrachtgever Persoonsgegevens te Verwerken. De Verwerking zal uitsluitend plaatsvinden in het kader van het uitvoeren van de Overeenkomst alsmede voor de duur daarvan, plus die doeleinden die daarmee redelijkerwijs samenhangen of die met nadere instemming worden bepaald.
Leverancier zal de Persoonsgegevens niet voor enig ander doel Verwerken dan zoals door Opdrachtgever is vastgesteld. Opdrachtgever zal Leverancier op de hoogte stellen van de verwerkingsdoeleinden voor zover deze niet reeds in deze Bijlage zijn genoemd.
Leverancier heeft geen zeggenschap over het doel en de middelen voor de Verwerking van Persoonsgegevens. Leverancier neemt geen zelfstandige beslissingen over de ontvangst en het gebruik van de Persoonsgegevens, de verstrekking aan derden en de duur van de opslag van Persoonsgegevens.
Leverancier Verwerkt in opdracht van Opdrachtgever Persoonsgegevens, met dien verstande dat deze geen bijzondere Persoonsgegevens, Burgerservicenummers dan wel gegevens betreffende strafrechtelijke veroordelingen of strafbare feiten betreffen, zoals bijvoorbeeld de volgende standaard categorieën:
– NAW-gegevens;
– telefoonnummers;
– e-mailadressen;
– IP-adressen;
en andere mogelijke categorieën van niet bijzondere Persoonsgegevens.
Deze Persoonsgegevens hebben betrekking op de in dit artikellid bepaalde categorieën Betrokkenen. De Betrokkenen betreffen:
– personen die gebruik maken van de Dienst;
– bezoekers van de website;
– personen die e-mail ontvangen van of verzenden aan Opdrachtgever;
– personen die opgenomen worden door Opdrachtgever in haar e-mailadressenboek binnen de door Leverancier beschikbaar gestelde webmailomgeving;
– personen die Persoonsgegevens in een contactformulier invullen;
– personen die Persoonsgegevens ter Verwerking ter beschikking stellen aan Opdrachtgever;
en andere mogelijke categorieën Betrokkenen wiens Persoonsgegevens middels de Dienst worden Verwerkt.
Artikel 3. Verplichtingen Leverancier
Ten aanzien van de in artikel 2 van dit Beleid genoemde Verwerkingen zal Leverancier zorg dragen voor de naleving van de voorwaarden die, op grond van de AVG, worden gesteld aan het Verwerken van Persoonsgegevens door Leverancier vanuit diens rol.
Leverancier zal Persoonsgegevens en andere gegevens Verwerken die door of namens de Opdrachtgever aan Leverancier zullen worden aangeleverd en op basis van schriftelijke instructies van Opdrachtgever.
Leverancier zal Opdrachtgever, op diens verzoek daartoe en binnen een redelijke termijn, informeren over de door hem genomen maatregelen aangaande zijn verplichtingen onder deze Bijlage.
De verplichtingen van Leverancier die uit deze Bijlage voortvloeien, gelden ook voor degenen die Persoonsgegevens Verwerken onder het gezag van Leverancier.
Leverancier zal Opdrachtgever in kennis stellen indien naar zijn mening een instructie van Opdrachtgever in strijd is met relevante privacywet- en regelgeving.
Leverancier zal Opdrachtgever, op diens verzoek daartoe, de noodzakelijke medewerking verlenen bij het nakomen van diens plichten conform de AVG, waaronder mede doch niet uitsluitend diens beveiligingsplicht, de meldplicht datalekken, het uitvoeren van een gegevensbeschermingseffectbeoordeling en een voorafgaande raadpleging bij de toezichthouder bij een Verwerking met een hoog risico. De door Leverancier redelijkerwijs gemaakte of te maken kosten in verband met de voornoemde medewerking zullen door Opdrachtgever worden vergoed.
Artikel 4. Doorgifte van Persoonsgegevens
Leverancier Verwerkt Persoonsgegevens in landen binnen de Europese Unie. Opdrachtgever geeft Leverancier daarnaast toestemming voor de Verwerking van Persoonsgegevens in landen buiten de Europese Unie, met inachtneming van de daarvoor geldende wet- en regelgeving.
Leverancier zal Opdrachtgever, op diens verzoek daartoe, melden om welk land of welke landen het gaat.
Artikel 5. Verdeling van verantwoordelijkheid
Partijen zullen zorg dragen voor de naleving van toepasselijke privacywet- en regelgeving. De toegestane Verwerkingen zullen door Leverancier worden uitgevoerd binnen een (semi-)geautomatiseerde omgeving.
Leverancier is louter verantwoordelijk voor de Verwerking van de Persoonsgegevens onder deze Bijlage, overeenkomstig de instructies van Opdrachtgever en onder de uitdrukkelijke (eind)verantwoordelijkheid van Opdrachtgever.
Voor alle overige Verwerkingen van Persoonsgegevens, waaronder in ieder geval begrepen maar niet beperkt tot de verzameling van de Persoonsgegevens door Opdrachtgever, Verwerkingen voor doeleinden die niet door Opdrachtgever aan Leverancier zijn gemeld, Verwerkingen door derden en/of voor andere doeleinden, is Leverancier niet verantwoordelijk. De verantwoordelijkheid voor deze Verwerkingen rust uitsluitend bij Opdrachtgever. Opdrachtgever staat te allen tijde in voor de rechtmatigheid van deze Verwerkingen en dat zijn systemen en infrastructuur te allen tijde adequaat beveiligd zijn.
Het is aan Opdrachtgever om te beoordelen of Leverancier afdoende garanties biedt met betrekking tot het toepassen van passende technische en organisatorische maatregelen opdat de Verwerking aan de vereisten van de Algemene Verordening Gegevensbescherming en/of enige andere toepasselijke wet- en regelgeving voldoet en de bescherming van de rechten van Betrokkenen voldoende zijn gewaarborgd.
Opdrachtgever staat te allen tijde ervoor in dat de inhoud, het gebruik en de opdracht tot Verwerkingen van Persoonsgegevens, zoals bedoeld in deze Bijlage, niet onrechtmatig is en geen inbreuk maakt op enig recht van derden.
Opdrachtgever staat te allen tijde ervoor in dat er bij het gebruik van de Diensten geen bijzondere Persoonsgegevens, Burgerservicenummers dan wel gegevens betreffende strafrechtelijke veroordelingen of strafbare feiten worden Verwerkt, behoudens andersluidende schriftelijke afspraken.
Onverminderd de overige rechten van Leverancier, vrijwaart Opdrachtgever Leverancier van eventuele schade, aanspraken van derden en door toezichthouders opgelegde boetes, indien Opdrachtgever in strijd handelt met deze Bijlage en/of de Algemene Verordening Gegevensbescherming en/of enige andere toepasselijke wet- en regelgeving.
Artikel 6. Inschakelen van derden of onderaannemers
Opdrachtgever verleent Leverancier hierbij een algemene toestemming om bij de Verwerking derden (subverwerkers) in te schakelen. Op verzoek van Opdrachtgever zal Leverancier Opdrachtgever zo spoedig mogelijk informeren over de door haar ingeschakelde subverwerkers.
Leverancier heeft het recht om veranderingen inzake de toevoeging of vervanging van subverwerkers door te voeren. Leverancier zal Opdrachtgever inlichten over de beoogde veranderingen inzake de toevoeging of vervanging van subverwerkers, waarbij Opdrachtgever de mogelijkheid wordt geboden tegen deze veranderingen bezwaar te maken. Dit bezwaar dient schriftelijk, binnen twee weken en door argumenten ondersteund, te worden ingediend. Indien Opdrachtgever geen bezwaar maakt binnen de genoemde termijn van twee weken, dan wordt Opdrachtgever geacht ermee in te stemmen.
Indien Opdrachtgever binnen de termijn als bedoeld in het vorige artikellid bezwaar maakt, dan zullen beide partijen zich inspannen om in goed overleg tot een redelijke oplossing te komen. Indien partijen geen overeenstemming kunnen bereiken over het voornemen van Leverancier, dan is Leverancier gerechtigd om de betreffende nieuwe subverwerker in te schakelen en is Opdrachtgever gerechtigd om de Overeenkomst op te zeggen tegen de datum waarop de nieuwe subverwerker ingeschakeld wordt.
Leverancier zorgt er onvoorwaardelijk voor dat deze derden schriftelijk dezelfde plichten op zich nemen als tussen Opdrachtgever en Leverancier zijn overeengekomen. Leverancier staat in voor een correcte naleving van deze plichten door deze derden.
Artikel 7. Beveiliging
Leverancier zal zich inspannen passende technische en organisatorische maatregelen te nemen met betrekking tot de te verrichten Verwerkingen van Persoonsgegevens, vooral als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens.
Leverancier treft actuele en up-to-date technische en organisatorische beveiligingsmaatregelen.
Leverancier kan wijzigingen aanbrengen in de getroffen beveiligingsmaatregelen indien dat naar haar oordeel noodzakelijk is om een passend beveiligingsniveau te blijven bieden.
Leverancier staat er niet voor in dat de beveiliging onder alle omstandigheden doeltreffend is. Leverancier zal zich inspannen om de beveiliging te laten voldoen aan een niveau dat, gelet op de stand van de techniek, de uitvoeringskosten van de beveiligingsmaatregelen, de aard, omvang en de context van de Verwerkingen, de doeleinden en het beoogd gebruik van de Dienst, de verwerkingsrisico’s en de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van Betrokkenen die zij gezien het beoogd gebruik van de Dienst mocht verwachten, niet onredelijk is.
De omschreven beveiligingsmaatregelen bieden, naar het oordeel van de Opdrachtgever, rekening houdend met de in lid 3 van dit artikel genoemde factoren een op het risico van de Verwerking van de door hem gebruikte of verstrekte Persoonsgegevens afgestemd beveiligingsniveau.
Opdrachtgever stelt enkel Persoonsgegevens ter Verwerking aan Leverancier ter beschikking, indien Opdrachtgever zich ervan heeft verzekerd dat de vereiste beveiligingsmaatregelen zijn getroffen. Opdrachtgever is verantwoordelijk voor de naleving van de door Partijen afgesproken maatregelen.
Artikel 8. Meldplicht
In het geval van een beveiligingslek en/of een datalek (waaronder wordt verstaan: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins Verwerkte gegevens) zal Leverancier, zich naar beste kunnen inspannen om Opdrachtgever daarover zo snel mogelijk te informeren naar aanleiding waarvan Opdrachtgever beoordeelt of zij de toezichthoudende autoriteiten en/of Betrokkenen zal informeren of niet. Leverancier spant zich naar beste kunnen in om de verstrekte informatie volledig, correct en accuraat te maken.
Indien de wet- en/of regelgeving dit vereist zal Leverancier meewerken aan het informeren van de terzake relevante autoriteiten en eventueel Betrokkenen. Opdrachtgever is verantwoordelijk voor het melden naar de relevante autoriteiten.
De meldplicht behelst voor Leverancier in ieder geval het melden aan Opdrachtgever van het feit dat er een lek is geweest, alsmede:
– wat de (vermeende) oorzaak is van het lek;
– wat het (vooralsnog bekende en/of te verwachten) gevolg is;
– wat de (voorgestelde) oplossing is;
– wat de reeds ondernomen maatregelen zijn;
– wat de contactgegevens voor de opvolging van de melding zijn;
– wie geïnformeerd is (zoals Betrokkene zelf, Opdrachtgever, toezichthouder).
Artikel 9. Afhandeling verzoeken van Betrokkenen
In het geval dat een Betrokkene een verzoek over zijn Persoonsgegevens richt aan Leverancier, zal Leverancier het verzoek doorsturen aan Opdrachtgever en de Betrokkene hiervan op de hoogte stellen. Opdrachtgever zal het verzoek vervolgens verder zelfstandig afhandelen. Indien blijkt dat de Opdrachtgever hulp nodig heeft van Leverancier voor de uitvoering van een verzoek van een Betrokkene, zal Leverancier hieraan meewerken en kan Leverancier hiervoor kosten in rekening brengen.
Artikel 10. Geheimhouding en vertrouwelijkheid
Op alle Persoonsgegevens die Leverancier ingevolge deze Bijlage voor Opdrachtgever Verwerkt, rust een geheimhoudingsplicht van Leverancier jegens derden. Leverancier zal deze informatie niet voor een ander doel gebruiken dan waarvoor hij deze heeft verkregen, tenzij deze in een zodanige vorm is gebracht dat deze niet tot Betrokkenen herleidbaar is.
Deze geheimhoudingsplicht is niet van toepassing:
– voor zover Opdrachtgever uitdrukkelijke toestemming heeft gegeven om de informatie aan derden te verschaffen; of
– indien het verstrekken van de informatie aan derden logischerwijs noodzakelijk is voor de uitvoering van de Overeenkomst of deze Bijlage; of
– indien er een wettelijke verplichting en/of een rechterlijk bevel bestaat om de informatie aan een derde te verstrekken; of
– ten aanzien van derden waaraan – met inachtneming van het bepaalde in artikel 6 – Persoonsgegevens in hun hoedanigheid als subverwerker worden verstrekt.
Artikel 11. Audit
Opdrachtgever heeft het recht om audits uit te laten voeren door een onafhankelijke ICT-deskundige die aan geheimhouding is gebonden ter controle van naleving van alle punten uit deze Bijlage.
Deze audit vindt uitsluitend plaatst nadat Opdrachtgever de bij Leverancier aanwezige soortgelijke auditrapportages heeft opgevraagd, beoordeeld en redelijke argumenten aanbrengt die een door Opdrachtgever geïnitieerde audit alsnog rechtvaardigen. Een dergelijke audit wordt gerechtvaardigd wanneer de bij Leverancier aanwezige soortgelijke auditrapportages geen of onvoldoende uitsluitsel geven over het naleven van deze Bijlage door Leverancier. De door Opdrachtgever geïnitieerde audit vindt twee weken na voorafgaande aankondiging door Opdrachtgever, eens per jaar plaats.
Leverancier zal aan de audit meewerken en alle voor de audit redelijkerwijs relevante informatie, inclusief ondersteunende gegevens zoals systeemlogs, en medewerkers zo tijdig mogelijk en binnen een redelijke termijn, waarbij een termijn van maximaal twee weken redelijk is tenzij een spoedeisend belang zich hiertegen verzet, ter beschikking stellen.
De bevindingen naar aanleiding van de uitgevoerde audit zullen door Partijen in onderling overleg worden beoordeeld en, naar aanleiding daarvan, al dan niet worden doorgevoerd door één van de Partijen of door beide Partijen gezamenlijk.
De redelijke kosten voor de audit worden door de Opdrachtgever gedragen, met dien verstande dat de kosten voor de in te huren ICT-deskundige altijd door Opdrachtgever zullen worden gedragen.
Artikel 12. Duur en opzegging
De Bijlage is aangegaan voor de duur zoals bepaald in de Overeenkomst tussen Partijen en bij gebreke daarvan in ieder geval voor de duur van de samenwerking.
De Bijlage kan tussentijds niet worden opgezegd.
Partijen mogen deze Bijlage alleen wijzigen met wederzijdse instemming.
Na beëindiging van de Bijlage vernietigt Leverancier de van Opdrachtgever ontvangen Persoonsgegevens onverwijld, tenzij Partijen overeenkomen dat Leverancier deze Persoonsgegevens aan Opdrachtgever zal terugbezorgen dan wel Leverancier wettelijk verplicht is tot het bewaren van deze Persoonsgegevens. Leverancier kan eventuele kosten die zij maakt in het kader van het vernietigen en/of het terugbezorgen van Persoonsgegevens aan Opdrachtgever in rekening brengen bij Opdrachtgever.