Data processing agreement

1Parties and subject matter

1. This data processing agreement is part of every agreement between Netslim (processor) and a business customer (controller), and forms part of the terms and conditions. By taking a service, the customer accepts this agreement. A signed version is not needed, but we can provide one on request.
2. This agreement covers the personal data the customer processes with Netslim services. Examples are the content of websites and databases, mailboxes, files on servers, and the customer data the customer enters in the invoicing tool.
3. Netslim is itself responsible for the data it processes to serve the customer (such as the customer's account and invoices). The privacy statement applies to that data.

2Nature, purpose and types of data

3Processing on instructions

1. Netslim verwerkt de persoonsgegevens alleen in opdracht van de klant en volgens diens instructies. Het gebruik van de dienst zoals de klant die inricht, geldt als instructie.
2. Netslim gebruikt de gegevens niet voor eigen doeleinden, verkoopt ze niet en bekijkt de inhoud niet, tenzij dat nodig is voor support waar de klant om vraagt, voor het oplossen van een storing, of als de wet dat verplicht (bijvoorbeeld bij een notice-and-takedown-melding of een bevel van een bevoegde instantie).
3. Vindt Netslim dat een instructie in strijd is met de AVG, dan laat zij dat de klant direct weten.

4Geheimhouding

Iedereen die bij Netslim toegang heeft tot de persoonsgegevens, is tot geheimhouding verplicht. Toegang wordt alleen gegeven aan wie dat voor zijn werk nodig heeft.

5Security

Netslim neemt passende technische en organisatorische maatregelen om de gegevens te beveiligen, rekening houdend met de stand van de techniek en de risico's. Daaronder vallen in elk geval:

• servers in datacenters binnen de Europese Unie, met fysieke toegangsbeveiliging;
• versleutelde verbindingen (TLS) voor beheer en voor de websites van klanten;
• regelmatige beveiligingsupdates van besturingssystemen en serversoftware, firewalls en bescherming tegen DDoS-aanvallen;
• scheiding van de omgevingen van verschillende klanten;
• regelmatige back-ups, die even goed beveiligd zijn als de originele gegevens;
• beheerderstoegang alleen met sterke authenticatie en tweestapsverificatie, en logging van beheertoegang;
• versleutelde opslag van wachtwoorden en andere geheimen.

De klant is zelf verantwoordelijk voor de beveiliging van wat hij beheert, zoals zijn website-software, plugins, wachtwoorden en de toegang van zijn eigen medewerkers.

6Subverwerkers

1. De klant geeft Netslim algemene toestemming om subverwerkers in te schakelen. Op dit moment zijn dat:
   • de datacenter- en serverleveranciers van Netslim binnen de EU (waaronder Hetzner Online GmbH, Duitsland, voor VPS en dedicated servers);
   • SMTP2GO, voor het versturen van e-mail vanuit de factuurtool en andere systeemmails;
   • Google, uitsluitend voor klanten die Google Workspace afnemen.
2. Netslim legt subverwerkers minstens dezelfde verplichtingen op als in deze overeenkomst staan.
3. Bij het toevoegen of vervangen van een subverwerker informeert Netslim de klant vooraf via de website of het account. De klant kan binnen 14 dagen gemotiveerd bezwaar maken; komen we er niet uit, dan mag de klant de betreffende dienst opzeggen.

7Transfers outside the EU

Netslim slaat de gegevens op binnen de Europese Economische Ruimte. Gegevens worden alleen buiten de EER verwerkt als dat voor een dienst nodig is en er passende waarborgen zijn, zoals een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie.

8Datalekken

1. Ontdekt Netslim een inbreuk in verband met persoonsgegevens (datalek) bij de gegevens van de klant, dan meldt zij dat zonder onredelijke vertraging, en in elk geval binnen 48 uur na ontdekking, aan de klant.
2. De melding bevat, voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het (waarschijnlijk) betreft, de vermoedelijke gevolgen en de maatregelen die Netslim heeft genomen of voorstelt.
3. De klant beslist zelf of hij het datalek meldt aan de Autoriteit Persoonsgegevens en aan de betrokkenen. Netslim helpt daarbij waar dat redelijk is.

9Medewerking en rechten van betrokkenen

1. De klant kan de meeste gegevens zelf inzien, aanpassen, exporteren en verwijderen via zijn hosting of account. Lukt dat niet, dan helpt Netslim de klant bij verzoeken van betrokkenen.
2. Krijgt Netslim rechtstreeks een verzoek van een betrokkene, dan stuurt zij dat door naar de klant.
3. Netslim verleent ook redelijke medewerking aan een gegevensbeschermingseffectbeoordeling (DPIA) of een vraag van de toezichthouder. Kost dat meer dan een redelijke inspanning, dan mag Netslim daarvoor haar normale uurtarief rekenen.

10Controle

De klant mag controleren of Netslim zich aan deze overeenkomst houdt. Netslim geeft daarvoor de benodigde informatie. Een audit door een onafhankelijke deskundige is mogelijk na overleg, maximaal eenmaal per jaar, met een vooraankondiging van minstens 14 dagen en zonder de bedrijfsvoering onnodig te verstoren. De kosten zijn voor de klant, tenzij de audit ernstige tekortkomingen aan het licht brengt.

11Einde en teruggave

1. Deze overeenkomst loopt zolang de klant diensten afneemt waarbij Netslim persoonsgegevens voor hem verwerkt.
2. Na afloop kan de klant zijn gegevens tot de einddatum zelf exporteren. Daarna verwijdert Netslim de gegevens, ook uit de back-ups zodra die volgens de normale cyclus worden overschreven (meestal binnen 30 dagen), tenzij de wet bewaren verplicht.

12Aansprakelijkheid en overig

1. Voor de aansprakelijkheid onder deze overeenkomst geldt de regeling in de algemene voorwaarden.
2. Bij tegenstrijdigheid gaat deze verwerkersovereenkomst voor op de algemene voorwaarden, voor zover het de verwerking van persoonsgegevens betreft.
3. Vragen over deze overeenkomst stel je via info@netslim.nl.