Deze Verwerkersovereenkomst kan als bijlage bij een individuele Overeenkomst voor Varilo-dienstverlening gelden of elektronisch samen met de Algemene Voorwaarden worden aanvaard. Voor de in opdracht verwerkte gegevens betekent “Verwerkingsverantwoordelijke” de Varilo-Klant en “Verwerker” de Dienstverlener van Varilo.
- Vesta Usługi i Szkolenia Marcin Makowski ul. Wrzosowa 33, 84-300 Lębork, Poland NIP (Polish tax ID): 841-161-18-09 e-mail: kontakt@varilo.eu Website: varilo.pl
§ 1. Onderwerp en rollen van Partijen
De Verwerkingsverantwoordelijke geeft Vesta Usługi i Szkolenia Marcin Makowski opdracht persoonsgegevens te verwerken voor zover dit noodzakelijk is voor het leveren van het Varilo-platform.
De verwerking wordt opgedragen op grond van artikel 28 AVG. De Verwerker verwerkt persoonsgegevens uitsluitend namens de Verwerkingsverantwoordelijke en op diens gedocumenteerde instructies, tenzij verwerking verplicht is op grond van het recht van de Europese Unie of het recht van een lidstaat dat op de Verwerker van toepassing is.
De configuratie van het Account, het maken van Checklists, het verlenen van bevoegdheden en andere handelingen van de Verwerkingsverantwoordelijke binnen de Dienst gelden als gedocumenteerde verwerkingsinstructies voor zover deze voortvloeien uit de functionaliteit van Varilo.
§ 2. Duur, aard en doel van de verwerking
De verwerking duurt gedurende de periode waarin de Dienst wordt geleverd en gedurende de tijd die nodig is om verplichtingen in verband met beëindiging, verwijdering of teruggave van gegevens uit te voeren.
De verwerking is geautomatiseerd en kan onder meer omvatten: verzamelen, vastleggen, ordenen, opslaan, raadplegen, wijzigen, beschikbaar stellen aan bevoegde gebruikers, genereren van rapporten, maken van back-ups, beperken, exporteren en verwijderen van gegevens.
Het doel van de verwerking is de Verwerkingsverantwoordelijke in staat te stellen Varilo te gebruiken, met name Checklists en Controles te maken en uit te voeren, rapporten en statistieken te genereren, toegang te beheren, afwijkingen te documenteren en gegevens in verband met deze processen op te slaan.
§ 3. Categorieën betrokkenen en soorten gegevens
De gegevens kunnen met name betrekking hebben op:
- werknemers, medewerkers en personen die namens de Verwerkingsverantwoordelijke handelen
- werknemers van aannemers, onderaannemers, leveranciers en zakelijke partners
- chauffeurs, operators en gebruikers van machines, apparatuur, voertuigen of objecten
- personen die Controles uitvoeren
- klanten, bezoekers en andere personen van wie de Verwerkingsverantwoordelijke besluit gegevens rechtmatig in Varilo te verwerken.
De gegevens kunnen met name omvatten:
- voor- en achternaam, e-mailadres, gebruikersidentificatie, functie, afdeling of organisatorische eenheid
- antwoorden in Checklists, datum en tijd van een Controle, opmerkingen, informatie over acties en afwijkingen
- foto’s, bijlagen en andere bestanden die door de Verwerkingsverantwoordelijke of personen die namens hem handelen zijn ingevoerd
- identificatiegegevens van apparatuur, machines, voertuigen, objecten en locaties die aan een natuurlijke persoon zijn gekoppeld indien de Verwerkingsverantwoordelijke het proces zo configureert
- andere gegevens die de Verwerkingsverantwoordelijke in formuliervelden invoert.
Voor de standaardwerking van Varilo is verwerking van bijzondere categorieën persoonsgegevens niet vereist. Indien de Verwerkingsverantwoordelijke besluit dergelijke gegevens te verwerken, is hij verantwoordelijk voor een passende rechtsgrond, beoordeling van de noodzaak en toepassing van passende waarborgen.
§ 4. Verplichtingen van de Verwerkingsverantwoordelijke
De Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid van de verkrijging en verwerking van gegevens, de vaststelling van doeleinden en rechtsgronden, de omvang van gegevens, de inhoud van Checklists en het uitvoeren van informatieverplichtingen jegens betrokkenen.
De Verwerkingsverantwoordelijke verbindt zich ertoe de Verwerker geen instructies te geven die in strijd zijn met de AVG of andere privacywetgeving.
De Verwerkingsverantwoordelijke is verantwoordelijk voor het toekennen en intrekken van bevoegdheden aan zijn Gebruikers en voor de keuze van de toegangsconfiguratie van Checklists die via QR, NFC of link worden gedeeld.
§ 5. Verplichtingen van de Verwerker
- persoonsgegevens uitsluitend verwerken op gedocumenteerde instructie van de Verwerkingsverantwoordelijke en voor zover noodzakelijk voor de Dienst
- ervoor zorgen dat personen die bevoegd zijn persoonsgegevens te verwerken aan geheimhouding zijn gebonden
- passende technische en organisatorische maatregelen toepassen overeenkomstig artikel 32 AVG
- rekening houdend met de aard van de verwerking de Verwerkingsverantwoordelijke waar mogelijk helpen bij de uitoefening van rechten van betrokkenen
- de Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking en beschikbare informatie, bijstaan bij de naleving van de verplichtingen uit artikelen 32-36 AVG
- na beëindiging van de Dienst, naar keuze van de Verwerkingsverantwoordelijke, persoonsgegevens verwijderen of teruggeven tenzij de wet verdere bewaring vereist
- de Verwerkingsverantwoordelijke informatie ter beschikking stellen die nodig is om naleving van artikel 28 AVG aan te tonen.
§ 6. Beveiliging van de verwerking
De Verwerker handhaaft beveiligingsmaatregelen die passen bij het risico, de aard van de gegevens en de werking van de Dienst. Deze omvatten ten minste, voor zover van toepassing op het betreffende onderdeel van het systeem:
- beveiliging van gegevensoverdracht met actuele versleutelingsmechanismen voor verbindingen
- toegangscontrole voor Accounts en administratieve functies en toepassing van het beginsel van minimale bevoegdheden
- bescherming van authenticatiegegevens en beperking van administratieve toegang tot personen die deze nodig hebben
- updates van software en infrastructuurcomponenten die onder controle van Varilo staan
- mechanismen voor beschikbaarheid en gegevensherstel en gebruik van beveiligingsmaatregelen van de infrastructuurleverancier
- procedures voor reactie op incidenten en inbreuken in verband met persoonsgegevens
- periodieke beoordeling van de passendheid van de toegepaste beveiligingsmaatregelen.
De Verwerkingsverantwoordelijke erkent dat de beveiliging van de Dienst mede afhankelijk is van een correcte beveiliging van accounts, apparaten en processen aan zijn zijde.
§ 7. Subverwerkers
De Verwerkingsverantwoordelijke verleent de Verwerker algemene toestemming om subverwerkers in te schakelen die noodzakelijk zijn voor het leveren van Varilo.
De Verwerker zorgt ervoor dat aan een subverwerker passende gegevensbeschermingsverplichtingen worden opgelegd overeenkomstig artikel 28 lid 4 AVG.
De Verwerker blijft tegenover de Verwerkingsverantwoordelijke verantwoordelijk voor de nakoming van de verplichtingen door de subverwerker voor zover de AVG dit vereist.
Bij een voorgenomen wezenlijke wijziging waarbij een subverwerker wordt toegevoegd of vervangen, informeert Varilo de Verwerkingsverantwoordelijke in beginsel ten minste 14 dagen vooraf per e-mail of via de Dienst, zodat een gemotiveerd bezwaar op het gebied van gegevensbescherming kan worden ingediend.
§ 8. Huidige subverwerker
Actuele informatie over subverwerkers kan worden verkregen via kontakt@varilo.eu.
| Partij | Omvang | Gegevens | Locatie / doorgifte |
|---|---|---|---|
| Name.com | hosting en infrastructuur voor de werking van Varilo en de opslag van gegevens | accountgegevens, technische gegevens en Klantinhoud die binnen de Dienst wordt opgeslagen | gegevens kunnen buiten de EER, waaronder in de VS, worden verwerkt overeenkomstig de voorwaarden en DPA van Name.com |
§ 9. Doorgifte buiten de EER
De Verwerkingsverantwoordelijke erkent dat in verband met het gebruik van de infrastructuur van Name.com de in opdracht verwerkte gegevens buiten de Europese Economische Ruimte kunnen worden doorgegeven, waaronder naar de Verenigde Staten.
De Verwerker waarborgt dat doorgifte buiten de EER uitsluitend plaatsvindt op een wijze die op grond van hoofdstuk V AVG is toegestaan, met een passende doorgiftegrondslag en, indien vereist, passende waarborgen.
Op verzoek van de Verwerkingsverantwoordelijke verstrekt de Verwerker beschikbare informatie over het gebruikte doorgiftemechanisme en relevante waarborgen, met inachtneming van rechten en bedrijfsgeheimen van leveranciers.
§ 10. Rechten van betrokkenen
Indien de Verwerker rechtstreeks een verzoek ontvangt van een persoon met betrekking tot gegevens waarvoor de Klant verwerkingsverantwoordelijke is, beslist de Verwerker niet zelfstandig op dat verzoek, tenzij hij daartoe gemachtigd is of wettelijk verplicht is.
De Verwerker stuurt het verzoek zonder onnodige vertraging door aan de Verwerkingsverantwoordelijke en verleent, rekening houdend met de aard van de verwerking, redelijke bijstand bij de uitvoering ervan via functies die in de Dienst beschikbaar zijn of andere technisch beschikbare middelen.
§ 11. Inbreuken in verband met persoonsgegevens
Nadat de Verwerker kennis heeft genomen van een inbreuk in verband met de in opdracht verwerkte persoonsgegevens, stelt hij de Verwerkingsverantwoordelijke zonder onnodige vertraging daarvan in kennis.
Voor zover beschikbaar verstrekt de Verwerker informatie waarmee de Verwerkingsverantwoordelijke de inbreuk kan beoordelen en zijn verplichtingen uit artikelen 33 en 34 AVG kan uitvoeren, waaronder een beschrijving van de aard van de inbreuk, mogelijke gevolgen en genomen of voorgestelde maatregelen om de gevolgen te beperken.
Indien volledige informatie niet gelijktijdig kan worden verstrekt, kan deze zonder onnodige vertraging in fasen worden aangevuld.
§ 12. Audits en aantonen van naleving
De Verwerker stelt de Verwerkingsverantwoordelijke informatie ter beschikking die nodig is om naleving van artikel 28 AVG aan te tonen.
De Verwerkingsverantwoordelijke kan binnen een redelijk bereik een audit uitvoeren na voorafgaande schriftelijke kennisgeving, op een wijze die de activiteiten van Varilo niet onnodig verstoort en geen gegevens of bedrijfsgeheimen van andere Klanten openbaar maakt.
Partijen maken in eerste instantie gebruik van een documentaire of audit op afstand. Een audit ter plaatse kan worden uitgevoerd indien er een gerechtvaardigde noodzaak bestaat die redelijkerwijs niet op een andere wijze kan worden vervuld.
De kosten van de audit komen voor rekening van de Verwerkingsverantwoordelijke, tenzij uit de audit een wezenlijke schending van de verplichtingen van de Verwerker blijkt.
§ 13. Verwijdering of teruggave van gegevens
Na beëindiging van de Dienst kan de Verwerkingsverantwoordelijke teruggave van gegevens verzoeken voor zover technisch beschikbare exportfuncties dit ondersteunen, of verwijdering verlangen.
Na uitvoering van de instructie worden gegevens uit actieve systemen verwijderd, tenzij toepasselijke wetgeving verdere bewaring vereist.
Gegevens kunnen in back-upkopieën aanwezig blijven totdat deze volgens de normale back-uprotatie worden overschreven. Tot dat moment blijven zij onderworpen aan geheimhoudings- en beveiligingsverplichtingen en worden zij niet voor andere doeleinden gebruikt.
§ 14. Aansprakelijkheid
Iedere Partij is verantwoordelijk voor de naleving van de verplichtingen die de AVG rechtstreeks aan die Partij oplegt.
De Verwerkingsverantwoordelijke is in het bijzonder verantwoordelijk voor de rechtmatigheid van verwerkingsdoeleinden en rechtsgronden, de omvang van de in opdracht gegeven gegevens, de inhoud van instructies en de uitvoering van informatieverplichtingen.
Beperkingen van aansprakelijkheid in de hoofdovereenkomst zijn van toepassing voor zover de AVG en ander dwingend recht dit toestaan.
§ 15. Looptijd en slotbepalingen
Deze DPA blijft van kracht zolang de Verwerker persoonsgegevens namens de Verwerkingsverantwoordelijke verwerkt.
Verplichtingen inzake vertrouwelijkheid en gegevensbeveiliging blijven na beëindiging van de samenwerking gelden voor gegevens die nog niet overeenkomstig deze DPA zijn verwijderd.
Deze DPA kan elektronisch worden gesloten, waaronder door aanvaarding samen met de Algemene Voorwaarden van Varilo.
Op onderwerpen die hierin niet zijn geregeld, zijn de AVG en het toepasselijke Poolse en Unierecht van toepassing.
Bij tegenstrijdigheid tussen deze DPA en een ander contractueel document prevaleert deze DPA voor zover het de bescherming van in opdracht verwerkte persoonsgegevens betreft.
Deze Nederlandse versie is een vertaling van de Poolse DPA. Tenzij uitdrukkelijk anders overeengekomen, prevaleert bij interpretatieverschillen de Poolse versie voor zover het toepasselijke recht dit toestaat.
Bijlage A. Contactgegevens en informatie over hosting
Contact Varilo voor gegevensbescherming: kontakt@varilo.eu.
Hostingleverancier: Name.com. Openbare juridische voorwaarden en documentatie over gegevensverwerking zijn beschikbaar op de website van Name.com, waaronder de sectie “Policies, Procedures and Agreements” en het document “Web Hosting Data Processing Addendum”.
| VERWERKINGSVERANTWOORDELIJKE / KLANT | VERWERKER |
|---|---|
| ____________________________ ____________________________ datum en handtekening | Vesta Usługi i Szkolenia Marcin Makowski ____________________________ datum en handtekening |