Verwerkersovereenkomst

Deze verwerkersovereenkomst regelt hoe WIWO Media, een handelsnaam van CW Nederland B.V., persoonsgegevens verwerkt die zij in opdracht van Klant verwerkt bij het leveren van haar Diensten. Zij voldoet aan artikel 28 van de Algemene verordening gegevensbescherming (AVG). Deze verwerkersovereenkomst maakt deel uit van iedere Overeenkomst tussen WIWO Media en Klant en is van toepassing doordat Klant de algemene voorwaarden aanvaardt (artikel 20 van de algemene voorwaarden). Een afzonderlijke ondertekening is niet nodig. Begrippen met een hoofdletter hebben de betekenis die de algemene voorwaarden of de AVG eraan geven.

Artikel 1. Partijen en rollen

1.1 Partijen bij deze verwerkersovereenkomst zijn:

• Klant, als verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 AVG; en
• CW Nederland B.V., handelend onder de naam WIWO Media, gevestigd aan de Mina Krusemanstraat 38, 3207 DE Spijkenisse, ingeschreven bij de Kamer van Koophandel onder nummer 92544347, als verwerker in de zin van artikel 4 lid 8 AVG.

1.2 Treedt Klant zelf op als verwerker voor een andere verwerkingsverantwoordelijke (bijvoorbeeld een webbureau dat hosting afneemt voor zijn eigen klanten), dan is WIWO Media subverwerker van Klant. Klant staat er dan voor in dat deze verwerkersovereenkomst past binnen de afspraken die hij met zijn eigen opdrachtgever heeft gemaakt, en treedt tegenover WIWO Media op als enig aanspreekpunt.

1.3 Deze verwerkersovereenkomst geldt niet voor persoonsgegevens die WIWO Media voor eigen doeleinden verwerkt als verwerkingsverantwoordelijke, zoals klant-, contact- en factuurgegevens van Klant. Daarvoor geldt de privacyverklaring.

Artikel 2. Onderwerp, aard en doel van de verwerking

2.1 Onderwerp van deze verwerkersovereenkomst is de verwerking van persoonsgegevens door WIWO Media in opdracht van Klant, uitsluitend voor zover dat nodig is voor het leveren van de Diensten die Klant afneemt.

2.2 De aard van de verwerking bestaat, afhankelijk van de Dienst, uit het opslaan, bewaren, doorgeven, beschikbaar stellen, back-uppen, terugzetten, beveiligen, scannen op malware en spam, bijwerken van software, ondersteunen bij storingen en verwijderen van persoonsgegevens, en bij Maatwerk en telefonie ook het inrichten en technisch verwerken van gegevens in de door WIWO Media gebouwde of beheerde systemen.

2.3 Het doel van de verwerking is uitsluitend de uitvoering van de Overeenkomst, waaronder het leveren, beveiligen, onderhouden en ondersteunen van de Diensten. WIWO Media verwerkt de persoonsgegevens niet voor eigen doeleinden.

2.4 WIWO Media heeft geen zeggenschap over het doel en de middelen van de verwerking van de persoonsgegevens die Klant via de Diensten verwerkt. Klant bepaalt welke persoonsgegevens hij met de Diensten verwerkt.

Artikel 3. Categorieën persoonsgegevens en betrokkenen

3.1 Afhankelijk van de Dienst die Klant afneemt, verwerkt WIWO Media in opdracht van Klant de volgende categorieën persoonsgegevens van de volgende categorieën betrokkenen:

3.2 Klant bepaalt zelf of hij via de Diensten bijzondere categorieën van persoonsgegevens (artikel 9 AVG), strafrechtelijke gegevens (artikel 10 AVG) of het burgerservicenummer verwerkt. Doet Klant dat, dan is hij ervoor verantwoordelijk dat dit rechtmatig gebeurt en dat de beveiligingsmaatregelen in artikel 7 passend zijn voor die gegevens. Klant informeert WIWO Media als hij zulke gegevens op grote schaal verwerkt, zodat partijen kunnen overleggen over aanvullende maatregelen.

Artikel 4. Duur

4.1 Deze verwerkersovereenkomst geldt zolang WIWO Media in opdracht van Klant persoonsgegevens verwerkt op grond van een Overeenkomst. Zij eindigt automatisch als alle Overeenkomsten zijn geëindigd en WIWO Media de persoonsgegevens heeft verwijderd of geretourneerd volgens artikel 12.

4.2 Deze verwerkersovereenkomst kan niet los van de Overeenkomst worden opgezegd.

Artikel 5. Instructies van Klant

5.1 WIWO Media verwerkt de persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van Klant, ook bij een doorgifte naar een land buiten de Europese Economische Ruimte (EER), tenzij een op WIWO Media toepasselijke wettelijke bepaling haar tot verwerking verplicht. In dat geval stelt WIWO Media Klant voorafgaand aan de verwerking op de hoogte, tenzij de wet die kennisgeving verbiedt.

5.2 De Overeenkomst, deze verwerkersovereenkomst en de instellingen die Klant zelf in het Klantportaal, het Controlpaneel of de Diensten kiest, gelden als de gedocumenteerde instructies van Klant. Aanvullende instructies geeft Klant Schriftelijk.

5.3 Is een instructie naar het oordeel van WIWO Media in strijd met de AVG of andere regels over gegevensbescherming, dan informeert WIWO Media Klant daar direct over. WIWO Media mag de uitvoering van die instructie opschorten totdat Klant de instructie heeft bevestigd of gewijzigd.

5.4 Instructies die verder gaan dan de standaard werking van de Diensten en die extra werkzaamheden vragen, kan WIWO Media als meerwerk in rekening brengen volgens artikel 21 van de algemene voorwaarden, na voorafgaande opgave van de kosten.

Artikel 6. Geheimhouding

6.1 WIWO Media zorgt ervoor dat iedereen die onder haar gezag toegang heeft tot de persoonsgegevens, zoals medewerkers en ingehuurde krachten, tot geheimhouding is verplicht, op grond van een overeenkomst of de wet.

6.2 WIWO Media verstrekt de persoonsgegevens niet aan derden, tenzij Klant daarvoor toestemming heeft gegeven, dit nodig is voor de uitvoering van de Overeenkomst (bijvoorbeeld via een subverwerker volgens artikel 8), of WIWO Media daartoe wettelijk verplicht is. Bij een wettelijke verplichting informeert WIWO Media Klant zo snel mogelijk, voor zover de wet dat toestaat.

6.3 Medewerkers van WIWO Media krijgen alleen toegang tot persoonsgegevens voor zover dat voor hun werkzaamheden nodig is.

Artikel 7. Beveiliging

7.1 WIWO Media neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en tegen iedere vorm van onrechtmatige verwerking, als bedoeld in artikel 32 AVG. Daarbij houdt WIWO Media rekening met de stand van de techniek, de uitvoeringskosten, de aard, omvang, context en doelen van de verwerking, en de risico's voor de rechten en vrijheden van betrokkenen.

7.2 WIWO Media treft in elk geval de volgende maatregelen:

• de Diensten draaien op door WIWO Media zelf beheerde servers in datacenters in de Europese Unie (Duitsland);
• de accounts van klanten zijn op de servers strikt van elkaar gescheiden;
• de servers worden beschermd met een firewall en met automatische blokkering van herhaalde mislukte inlogpogingen (fail2ban);
• hostingaccounts worden dagelijks gescand op malware;
• de kernbestanden van WordPress-installaties worden gecontroleerd op wijzigingen aan de hand van officiële checksums;
• verbindingen met websites, het Klantportaal en het Controlpaneel worden versleuteld via TLS, met gratis SSL-certificaten die automatisch worden vernieuwd;
• binnenkomende e-mail wordt gefilterd op spam en schadelijke inhoud, en SPF, DKIM en DMARC worden ondersteund;
• er worden dagelijks back-ups gemaakt, die buiten de webserver (off-site) worden opgeslagen;
• de systemen worden 24 uur per dag, 7 dagen per week geautomatiseerd bewaakt;
• toegang tot systemen en persoonsgegevens is beperkt tot medewerkers die die toegang voor hun werk nodig hebben, en wordt ingetrokken als dat niet meer zo is;
• voor beheertoegang worden sleutels of sterke wachtwoorden gebruikt, en tweestapsverificatie waar de betreffende systemen dat ondersteunen;
• systeemsoftware wordt actueel gehouden en beveiligingsupdates worden met voorrang geïnstalleerd.

7.3 WIWO Media mag de maatregelen aanpassen, mits het beveiligingsniveau daardoor niet afneemt.

7.4 Klant is verantwoordelijk voor de beveiliging van de onderdelen die hij zelf beheert, zoals zijn inloggegevens, eigen software, plug-ins en code, de instellingen die hij zelf kiest en, bij een onbeheerde VPS, het besturingssysteem en alle software op de server (Deel D van de algemene voorwaarden). Klant beoordeelt of de maatregelen van WIWO Media passend zijn voor de persoonsgegevens die hij verwerkt.

7.5 WIWO Media staat niet in voor een beveiliging die onder alle omstandigheden doeltreffend is. Zij zorgt wel voor een beveiligingsniveau dat, gelet op de risico's, passend is.

Artikel 8. Subverwerkers

8.1 Klant geeft WIWO Media algemene toestemming om voor de verwerking subverwerkers in te schakelen. WIWO Media maakt daarbij gebruik van subverwerkers in de volgende categorieën:

• leveranciers van datacenter-, server- en netwerkcapaciteit in de Europese Unie;
• leveranciers van opslag voor off-site back-ups;
• registrerende instanties en registrars voor domeinnamen, voor zover zij houdergegevens verwerken;
• leveranciers van telecomdiensten voor het afwikkelen van telefoonverkeer;
• leveranciers van AI-modellen, voor zover die worden ingezet bij support of in AI-oplossingen die Klant afneemt.

8.2 Op verzoek van Klant verstrekt WIWO Media een actuele lijst van de subverwerkers die zij voor de Diensten van Klant inschakelt, met hun vestigingsland.

8.3 WIWO Media informeert Klant vooraf over het inschakelen van een nieuwe subverwerker of de vervanging van een bestaande subverwerker. Klant kan binnen 14 dagen na die kennisgeving Schriftelijk en gemotiveerd bezwaar maken. Partijen overleggen dan over een oplossing. Komen partijen er niet uit, dan mag Klant de betreffende Dienst opzeggen tegen de datum waarop de nieuwe subverwerker wordt ingeschakeld, zonder dat Klant daarvoor een vergoeding verschuldigd is.

8.4 WIWO Media legt aan iedere subverwerker Schriftelijk ten minste dezelfde verplichtingen op het gebied van gegevensbescherming op als die in deze verwerkersovereenkomst voor WIWO Media gelden. WIWO Media blijft tegenover Klant verantwoordelijk voor de nakoming van die verplichtingen door de subverwerker.

Artikel 9. Doorgifte buiten de Europese Economische Ruimte

9.1 WIWO Media verwerkt de persoonsgegevens in beginsel binnen de Europese Economische Ruimte. De servers waarop de hosting-, e-mail- en VPS-diensten draaien, staan in de Europese Unie.

9.2 Een doorgifte van persoonsgegevens naar een land buiten de EER vindt alleen plaats als daarvoor een passende waarborg geldt volgens hoofdstuk V van de AVG, zoals een adequaatheidsbesluit van de Europese Commissie (waaronder het EU-VS Data Privacy Framework voor daaraan deelnemende organisaties) of de standaardcontractbepalingen van de Europese Commissie, zo nodig met aanvullende maatregelen. Dit kan zich voordoen bij het gebruik van AI-modellen van derden bij support of in AI-oplossingen.

9.3 WIWO Media beperkt de persoonsgegevens die bij AI-ondersteuning worden gebruikt tot wat voor het doel nodig is, en kiest leveranciers en instellingen waarbij de gegevens niet worden gebruikt om modellen te trainen, voor zover de leverancier dat mogelijk maakt.

9.4 Op verzoek van Klant laat WIWO Media weten naar welke landen buiten de EER persoonsgegevens worden doorgegeven en op welke waarborg die doorgifte berust.

Artikel 10. Inbreuk in verband met persoonsgegevens (datalek)

10.1 Klant is als verwerkingsverantwoordelijke verantwoordelijk voor het melden van een inbreuk in verband met persoonsgegevens (datalek) aan de Autoriteit Persoonsgegevens en, waar nodig, aan betrokkenen.

10.2 Om Klant in staat te stellen aan die plicht te voldoen, informeert WIWO Media Klant zonder onredelijke vertraging, zo spoedig mogelijk en uiterlijk binnen 48 uur nadat zij een datalek heeft ontdekt dat de persoonsgegevens van Klant betreft. WIWO Media doet de melding aan het e-mailadres van Klant dat in het Klantportaal bekend is, en zo nodig ook telefonisch.

10.3 De melding bevat in elk geval het feit dat er een datalek is geweest. Daarnaast bevat de melding, voor zover bekend bij WIWO Media:

• de datum waarop het datalek heeft plaatsgevonden (als geen exacte datum bekend is: de periode waarbinnen het datalek heeft plaatsgevonden);
• wat de (vermoedelijke) oorzaak van het datalek is;
• de datum en het tijdstip waarop het datalek bekend is geworden bij WIWO Media of bij een door haar ingeschakelde subverwerker;
• het aantal personen van wie gegevens zijn gelekt (als geen exact aantal bekend is: het minimale en maximale aantal);
• een omschrijving van de groep personen van wie gegevens zijn gelekt, inclusief het soort of de soorten persoonsgegevens die zijn gelekt;
• of de gegevens versleuteld, gehasht of op een andere manier onbegrijpelijk of ontoegankelijk zijn gemaakt voor onbevoegden;
• wat de voorgenomen en al genomen maatregelen zijn om het datalek te dichten en de gevolgen ervan te beperken;
• contactgegevens voor de opvolging van de melding.

10.4 Is niet alle informatie direct beschikbaar, dan verstrekt WIWO Media de informatie in stappen, zonder verdere onredelijke vertraging.

10.5 WIWO Media neemt direct de maatregelen die redelijkerwijs van haar kunnen worden verwacht om het datalek te beëindigen en de gevolgen te beperken, houdt Klant op de hoogte van nieuwe ontwikkelingen en werkt mee aan het informeren van de Autoriteit Persoonsgegevens en betrokkenen als de wet dat vereist.

10.6 WIWO Media documenteert alle datalekken die de persoonsgegevens van Klant betreffen, met de feiten, de gevolgen en de genomen maatregelen.

10.7 WIWO Media meldt een datalek dat de persoonsgegevens van Klant betreft niet zelf aan de Autoriteit Persoonsgegevens of aan betrokkenen, tenzij Klant daarom vraagt of de wet WIWO Media daartoe verplicht.

Artikel 11. Bijstand aan Klant

11.1 WIWO Media helpt Klant, rekening houdend met de aard van de verwerking en via passende technische en organisatorische maatregelen, bij het vervullen van zijn plicht om verzoeken van betrokkenen te beantwoorden, zoals verzoeken om inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar. Klant kan veel van deze verzoeken zelf uitvoeren via het Controlpaneel, het Klantportaal of de Diensten.

11.2 Ontvangt WIWO Media zelf een verzoek van een betrokkene dat betrekking heeft op persoonsgegevens die zij voor Klant verwerkt, dan stuurt WIWO Media het verzoek onverwijld door naar Klant. Klant handelt het verzoek zelf af. WIWO Media beantwoordt het verzoek niet inhoudelijk, tenzij Klant daarom vraagt.

11.3 WIWO Media verleent Klant bijstand bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG, zoals het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens, rekening houdend met de aard van de verwerking en de informatie waarover WIWO Media beschikt.

11.4 WIWO Media kan de redelijke kosten van bijstand op grond van dit artikel in rekening brengen tegen het geldende uurtarief, na voorafgaande opgave van de kosten. Bijstand die nodig is door een tekortkoming van WIWO Media wordt niet in rekening gebracht.

Artikel 12. Einde van de verwerking: verwijderen of retourneren

12.1 Na het einde van een Dienst verwijdert WIWO Media de persoonsgegevens die zij voor die Dienst in opdracht van Klant heeft verwerkt, of retourneert zij deze aan Klant, naar keuze van Klant. Klant kan zijn gegevens tot het einde van de Dienst zelf exporteren via het Controlpaneel, het Klantportaal of de Dienst. Wil Klant dat WIWO Media de gegevens retourneert, dan geeft Klant dat vóór het einde van de Dienst Schriftelijk aan. WIWO Media kan voor het retourneren de redelijke kosten in rekening brengen.

12.2 Kopieën van de persoonsgegevens in back-ups worden in de normale back-uprotatie verwijderd, uiterlijk 30 dagen na het einde van de Dienst, zoals bepaald in artikel 15.5 van de algemene voorwaarden. Tot die tijd blijven de verplichtingen uit deze verwerkersovereenkomst op die kopieën van toepassing.

12.3 WIWO Media bewaart persoonsgegevens langer als een wettelijke bepaling haar daartoe verplicht. Ook dan blijft deze verwerkersovereenkomst van toepassing en worden de gegevens uitsluitend voor dat wettelijke doel bewaard.

12.4 Op verzoek bevestigt WIWO Media Schriftelijk dat de persoonsgegevens zijn verwijderd.

Artikel 13. Informatie en audit

13.1 WIWO Media stelt Klant op verzoek alle informatie ter beschikking die redelijkerwijs nodig is om aan te tonen dat zij haar verplichtingen uit artikel 28 AVG en deze verwerkersovereenkomst nakomt, zoals een beschrijving van de beveiligingsmaatregelen.

13.2 Vindt Klant de verstrekte informatie onvoldoende, dan mag Klant een audit laten uitvoeren door een onafhankelijke, deskundige derde die tot geheimhouding is verplicht. Een audit vindt ten hoogste één keer per kalenderjaar plaats, tenzij er sprake is van een datalek of een concreet en onderbouwd vermoeden dat WIWO Media deze verwerkersovereenkomst niet nakomt.

13.3 Klant kondigt een audit ten minste twee weken van tevoren Schriftelijk aan, met een omschrijving van de reikwijdte. Bij een datalek of een concreet vermoeden kan die termijn worden verkort tot de kortste termijn die redelijk is. Partijen stemmen het tijdstip en de aanpak in redelijkheid af. De audit wordt zo uitgevoerd dat de bedrijfsvoering van WIWO Media en de vertrouwelijkheid en beveiliging van gegevens van andere klanten niet worden geschaad.

13.4 De kosten van de audit, inclusief de redelijke interne kosten van WIWO Media, komen voor rekening van Klant, tenzij uit de audit blijkt dat WIWO Media deze verwerkersovereenkomst op een wezenlijk punt niet nakomt. In dat geval draagt WIWO Media haar eigen kosten en herstelt zij de tekortkoming zo snel mogelijk.

13.5 Klant deelt de bevindingen van de audit met WIWO Media. De bevindingen zijn vertrouwelijk.

Artikel 14. Verplichtingen van Klant

14.1 Klant staat ervoor in dat hij de persoonsgegevens rechtmatig verwerkt, dat hij een geldige grondslag heeft voor de verwerking en dat hij betrokkenen informeert zoals de AVG voorschrijft.

14.2 Klant staat ervoor in dat de inhoud, het gebruik en de opdracht tot de verwerking van de persoonsgegevens niet onrechtmatig zijn en geen inbreuk maken op rechten van derden.

14.3 Klant vrijwaart WIWO Media tegen aanspraken van derden, waaronder betrokkenen en toezichthouders, die het gevolg zijn van een schending door Klant van de AVG of van deze verwerkersovereenkomst.

Artikel 15. Aansprakelijkheid

15.1 Voor de aansprakelijkheid van partijen in verband met deze verwerkersovereenkomst geldt artikel 16 van de algemene voorwaarden, behalve voor zover de AVG dwingend anders bepaalt.

15.2 Artikel 82 AVG blijft onverminderd van toepassing in de verhouding tussen partijen en betrokkenen.

Artikel 16. Rangorde en slotbepalingen

16.1 Bij strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft. Schriftelijke aanvullende afspraken over gegevensbescherming tussen WIWO Media en Klant gaan voor op deze verwerkersovereenkomst.

16.2 WIWO Media mag deze verwerkersovereenkomst wijzigen volgens artikel 22 van de algemene voorwaarden. Een wijziging verlaagt nooit het beschermingsniveau dat de AVG vereist.

16.3 Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Voor geschillen geldt artikel 25 van de algemene voorwaarden.

16.4 Vragen over deze verwerkersovereenkomst kan Klant richten aan privacy@wiwomedia.nl.