Verwerkersovereenkomst

Verwerker verwerkt persoonsgegevens in opdracht van verwerkingsverantwoordelijke uitsluitend om Rollout te leveren: het plannen van de overstap van medewerkers, vastleggen wat zij nodig hebben, controleren van de gereedheid in Microsoft Entra ID, Intune en Exchange, en de communicatie daarover. Deze overeenkomst loopt zolang verwerker persoonsgegevens verwerkt voor verwerkingsverantwoordelijke.

• Betrokkenen: medewerkers en contactpersonen van klanten van verwerkingsverantwoordelijke; gebruikers (engineers) van verwerkingsverantwoordelijke.
• Persoonsgegevens: naam, UPN (inlognaam), werk-e-mailadres, functie, afdeling, vestiging, afspraakgegevens, toegewezen apparaat (model en serienummer), gereedheid uit de Microsoft-omgeving (licenties, groepslidmaatschappen, apparaten), notities van verwerkingsverantwoordelijke, anonieme beoordelingen, en voor gebruikers: accountgegevens, sessiegegevens en regels in het auditlog.
• Er worden geen bijzondere persoonsgegevens verwerkt. Verwerkingsverantwoordelijke voert zulke gegevens niet in Rollout in.

Verwerker verwerkt persoonsgegevens alleen op gedocumenteerde instructie van verwerkingsverantwoordelijke, waaronder het gebruik van de dienst zoals bedoeld en de instellingen die verwerkingsverantwoordelijke kiest. Meent verwerker dat een instructie in strijd is met de wet, dan meldt hij dat direct.

Personen die namens verwerker persoonsgegevens verwerken, zijn tot geheimhouding verplicht. Toegang is beperkt tot wat nodig is voor support en onderhoud en wordt vastgelegd.

Verwerker neemt passende technische en organisatorische maatregelen, ten minste:

• versleuteling van alle verbindingen (TLS, HSTS) en van opgeslagen gegevens;
• scheiding tussen organisaties op databaseniveau (Row Level Security), ook bij een fout in de applicatie;
• standaard alleen leesrechten op Microsoft-omgevingen, met federatieve inloggegevens in plaats van geheimen;
• een auditlog van wijzigingen dat niet ongemerkt kan worden aangepast;
• persoonlijke links (inplannen, portaal) gehasht opgeslagen, intrekbaar en beschermd tegen raden;
• automatische verwijdering van afgeronde projecten na de bewaartermijn die verwerkingsverantwoordelijke instelt;
• regelmatige updates van afhankelijkheden en een vastgelegde procedure voor incidenten.

Verwerkingsverantwoordelijke geeft algemene toestemming voor het inschakelen van sub-verwerkers. De huidige sub-verwerkers zijn:

Verwerker legt sub-verwerkers dezelfde verplichtingen op over gegevensbescherming. Verwerker informeert verwerkingsverantwoordelijke ten minste 30 dagen vooraf over nieuwe of vervangende sub-verwerkers. Verwerkingsverantwoordelijke kan op redelijke gronden bezwaar maken; komen partijen er niet uit, dan mag verwerkingsverantwoordelijke de overeenkomst voor de betreffende dienst opzeggen.

Persoonsgegevens worden alleen buiten de Europese Economische Ruimte gebracht als een passend beschermingsniveau is gewaarborgd, zoals een adequaatheidsbesluit van de Europese Commissie (onder meer voor het Verenigd Koninkrijk en voor bedrijven die zijn gecertificeerd onder het EU-US Data Privacy Framework) of modelcontractbepalingen.

Verwerker helpt verwerkingsverantwoordelijke bij het beantwoorden van verzoeken van betrokkenen, bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij een voorafgaande raadpleging van de toezichthouder, voor zover het gaat om de verwerking onder deze overeenkomst. Rollout bevat functies om de gegevens van een individuele medewerker te exporteren en te wissen.

Verwerker meldt een inbreuk in verband met persoonsgegevens die de gegevens van verwerkingsverantwoordelijke raakt zonder onredelijke vertraging, en in elk geval binnen 48 uur na ontdekking. De melding bevat ten minste de aard van de inbreuk, de betrokken gegevens en betrokkenen, de waarschijnlijke gevolgen en de genomen maatregelen. Verwerkingsverantwoordelijke beslist of de toezichthouder en betrokkenen worden geïnformeerd.

Verwerker stelt de informatie beschikbaar die nodig is om naleving aan te tonen, waaronder de beveiligingsdocumentatie en, voor Enterprise-klanten, het meest recente pentestrapport. Verwerkingsverantwoordelijke mag een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht, maximaal eens per jaar, met redelijke aankondiging en op eigen kosten.

Na het einde van de overeenkomst kan verwerkingsverantwoordelijke de gegevens nog 30 dagen exporteren. Daarna verwijdert verwerker de persoonsgegevens, ook uit back-ups zodra die verlopen, tenzij de wet bewaren verplicht. Op verzoek bevestigt verwerker de verwijdering.

De aansprakelijkheidsregeling uit de algemene voorwaarden is van toepassing. Op deze overeenkomst is Nederlands recht van toepassing.

Host verwerkingsverantwoordelijke Rollout zelf, dan heeft verwerker geen toegang tot de persoonsgegevens en geldt deze overeenkomst alleen voor zover verwerker bij support toegang krijgt tot persoonsgegevens.