Verwerkersovereenkomst

1Partijen en onderwerp

1. Deze verwerkersovereenkomst hoort bij elke overeenkomst tussen Netslim (verwerker) en een zakelijke klant (verwerkingsverantwoordelijke), en is onderdeel van de algemene voorwaarden. Door een dienst af te nemen gaat de klant akkoord met deze overeenkomst; een getekende versie is niet nodig, maar kan op verzoek.
2. Deze overeenkomst gaat over de persoonsgegevens die de klant zelf met de diensten van Netslim verwerkt: bijvoorbeeld de inhoud van websites en databases, e-mailboxen, bestanden op servers, en de klantgegevens die de klant in de factuurtool invoert.
3. Voor de gegevens die Netslim zelf verwerkt om de klant te bedienen (zoals het account en de facturen van de klant) is Netslim zelf verantwoordelijk. Daarvoor geldt de privacyverklaring.

2Aard, doel en soorten gegevens

3Verwerken op instructie

1. Netslim verwerkt de persoonsgegevens alleen in opdracht van de klant en volgens diens instructies. Het gebruik van de dienst zoals de klant die inricht, geldt als instructie.
2. Netslim gebruikt de gegevens niet voor eigen doeleinden, verkoopt ze niet en bekijkt de inhoud niet, tenzij dat nodig is voor support waar de klant om vraagt, voor het oplossen van een storing, of als de wet dat verplicht (bijvoorbeeld bij een notice-and-takedown-melding of een bevel van een bevoegde instantie).
3. Vindt Netslim dat een instructie in strijd is met de AVG, dan laat zij dat de klant direct weten.

4Geheimhouding

Iedereen die bij Netslim toegang heeft tot de persoonsgegevens, is tot geheimhouding verplicht. Toegang wordt alleen gegeven aan wie dat voor zijn werk nodig heeft.

5Beveiliging

Netslim neemt passende technische en organisatorische maatregelen om de gegevens te beveiligen, rekening houdend met de stand van de techniek en de risico's. Daaronder vallen in elk geval:

• servers in datacenters binnen de Europese Unie, met fysieke toegangsbeveiliging;
• versleutelde verbindingen (TLS) voor beheer en voor de websites van klanten;
• regelmatige beveiligingsupdates van besturingssystemen en serversoftware, firewalls en bescherming tegen DDoS-aanvallen;
• scheiding van de omgevingen van verschillende klanten;
• regelmatige back-ups, die even goed beveiligd zijn als de originele gegevens;
• beheerderstoegang alleen met sterke authenticatie en tweestapsverificatie, en logging van beheertoegang;
• versleutelde opslag van wachtwoorden en andere geheimen.

De klant is zelf verantwoordelijk voor de beveiliging van wat hij beheert, zoals zijn website-software, plugins, wachtwoorden en de toegang van zijn eigen medewerkers.

6Subverwerkers

1. De klant geeft Netslim algemene toestemming om subverwerkers in te schakelen. Op dit moment zijn dat:
   • de datacenter- en serverleveranciers van Netslim binnen de EU (waaronder Hetzner Online GmbH, Duitsland, voor VPS en dedicated servers);
   • SMTP2GO, voor het versturen van e-mail vanuit de factuurtool en andere systeemmails;
   • Google, uitsluitend voor klanten die Google Workspace afnemen.
2. Netslim legt subverwerkers minstens dezelfde verplichtingen op als in deze overeenkomst staan.
3. Bij het toevoegen of vervangen van een subverwerker informeert Netslim de klant vooraf via de website of het account. De klant kan binnen 14 dagen gemotiveerd bezwaar maken; komen we er niet uit, dan mag de klant de betreffende dienst opzeggen.

7Doorgifte buiten de EU

Netslim slaat de gegevens op binnen de Europese Economische Ruimte. Gegevens worden alleen buiten de EER verwerkt als dat voor een dienst nodig is en er passende waarborgen zijn, zoals een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie.

8Datalekken

1. Ontdekt Netslim een inbreuk in verband met persoonsgegevens (datalek) bij de gegevens van de klant, dan meldt zij dat zonder onredelijke vertraging, en in elk geval binnen 48 uur na ontdekking, aan de klant.
2. De melding bevat, voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het (waarschijnlijk) betreft, de vermoedelijke gevolgen en de maatregelen die Netslim heeft genomen of voorstelt.
3. De klant beslist zelf of hij het datalek meldt aan de Autoriteit Persoonsgegevens en aan de betrokkenen. Netslim helpt daarbij waar dat redelijk is.

9Medewerking en rechten van betrokkenen

1. De klant kan de meeste gegevens zelf inzien, aanpassen, exporteren en verwijderen via zijn hosting of account. Lukt dat niet, dan helpt Netslim de klant bij verzoeken van betrokkenen.
2. Krijgt Netslim rechtstreeks een verzoek van een betrokkene, dan stuurt zij dat door naar de klant.
3. Netslim verleent ook redelijke medewerking aan een gegevensbeschermingseffectbeoordeling (DPIA) of een vraag van de toezichthouder. Kost dat meer dan een redelijke inspanning, dan mag Netslim daarvoor haar normale uurtarief rekenen.

10Controle

De klant mag controleren of Netslim zich aan deze overeenkomst houdt. Netslim geeft daarvoor de benodigde informatie. Een audit door een onafhankelijke deskundige is mogelijk na overleg, maximaal eenmaal per jaar, met een vooraankondiging van minstens 14 dagen en zonder de bedrijfsvoering onnodig te verstoren. De kosten zijn voor de klant, tenzij de audit ernstige tekortkomingen aan het licht brengt.

11Einde en teruggave

1. Deze overeenkomst loopt zolang de klant diensten afneemt waarbij Netslim persoonsgegevens voor hem verwerkt.
2. Na afloop kan de klant zijn gegevens tot de einddatum zelf exporteren. Daarna verwijdert Netslim de gegevens, ook uit de back-ups zodra die volgens de normale cyclus worden overschreven (meestal binnen 30 dagen), tenzij de wet bewaren verplicht.

12Aansprakelijkheid en overig

1. Voor de aansprakelijkheid onder deze overeenkomst geldt de regeling in de algemene voorwaarden.
2. Bij tegenstrijdigheid gaat deze verwerkersovereenkomst voor op de algemene voorwaarden, voor zover het de verwerking van persoonsgegevens betreft.
3. Vragen over deze overeenkomst stel je via info@netslim.nl.