Juridische informatie
Verwerkersovereenkomst
Lees welke verwerking van klantgegevens een Configurix-DPA regelt. Vraag de overeenkomst en verwerkingsbijlagen voor uw implementatie aan.
Bijgewerkt:
Deze pagina beschrijft de verwerkingsonderwerpen die u met Configurix bespreekt. De bindende verwerkersovereenkomst vermeldt de daadwerkelijke klant en dienstverlener, de afgesproken instructies en de implementatiebijlagen. Regel de toepasselijke schriftelijke overeenkomst voordat persoonsgegevens namens uw bedrijf worden verwerkt.
Overeenkomst en verantwoordelijkheden
Bepaalt een klant waarom en hoe zijn persoonsgegevens worden gebruikt, dan is hij verwerkingsverantwoordelijke. Verwerkt Configurix die gegevens namens hem, dan volgen de verwerkersplichten uit de toepasselijke overeenkomst en wet. De rollen hangen af van de daadwerkelijke verwerking.
De afgesproken DPA legt de rechten en plichten van de verantwoordelijke en de verplichtingen van de verwerker vast. Lees deze samen met de dienstenovereenkomst en verwerkingsbijlagen.
Omvang en duur van de dienst
Configurix is gespecialiseerd in complexe producten en bouwt configuratoren en bedrijfssoftware op maat. Een implementatie kan productkeuze en prijzen verbinden met offertes, CRM en aanvraagkwalificatie, agenda’s en afspraken, materialen/BOM, werkzaamheden, orders, facturatie of afgesproken integraties.
Leg vast welke functies en verwerkingen werkelijk zijn inbegrepen, met welk doel, gedurende welke periode en volgens welke klantinstructies. Gebruik de volgende gegevens om de bijlage voor te bereiden.
| Af te spreken onderdeel | Wat u vastlegt |
|---|---|
| Dienst en doel | Softwarefuncties, verwerkingshandelingen en zakelijke doelen waarop de overeenkomst ziet. |
| Duur | Dienst- en verwerkingsperiode en afspraken bij beëindiging. |
| Personen en gegevens | Betrokken personen en de werkelijk gebruikte persoonsgegevensvelden. |
| Systemen en locaties | Hosting, opslag, toegangslanden, subverwerkers en gekoppelde systemen. |
| Beveiliging en bewaring | Toepasselijke technische en organisatorische maatregelen, bewaring en verwijdering. |
| Instructies en contacten | Bevoegde instructies, verantwoordelijke contacten en afhandeling van incidenten en verzoeken. |
Personen en persoonsgegevens
De scope kan medewerkers van de klant die de software gebruiken, eindklanten, zakelijke contacten en projectdeelnemers omvatten. Vermeld de toepasselijke groepen en velden in de overeenkomst.
Product- en bedrijfsgegevens vallen binnen de persoonsgegevensscope als ze een persoon identificeren of betrekking hebben op een identificeerbare persoon. Beperk de gegevens tot wat de afgesproken dienst nodig heeft.
- Contact- en accountgegevens, zoals naam, zakelijk e-mailadres, telefoon en projectadres
- Configuratie-, offerte-, afspraak-, order- of factuurgegevens die aan een persoon zijn gekoppeld
- Berichten, documenten en ondersteuningsinformatie met persoonsgegevens
- Technische registraties, zoals IP-adressen, accountactiviteit en relevante logbestanden
Instructies en vertrouwelijkheid
Verwerking namens de klant volgt zijn vastgelegde instructies, ook over doorgiften, tenzij toepasselijke wetgeving anders vereist. Leg vast wie instructies mag geven en hoe een instructie wordt behandeld die strijdig is met gegevensbeschermingsrecht.
De overeenkomst moet vertrouwelijkheid voor bevoegde personen, noodzakelijke werktoegang en de uitoefening van contractuele rechten door de verantwoordelijke regelen.
Technische en organisatorische maatregelen
Spreek waar van toepassing maatregelen af die passen bij de gegevens, risico’s en architectuur volgens artikel 32 AVG. Benoem de controles en verantwoordelijkheden voor de daadwerkelijke implementatie in plaats van overal dezelfde instellingen te veronderstellen.
De beveiligingsbijlage hoort naar behoefte toegang, versleuteling, back-up en herstel, beschikbaarheid, monitoring, incidentafhandeling en controles te behandelen. Vraag naar de toepasselijke maatregelen en bewijzen voor uw voorgenomen dienst.
Subverwerkers
Leg vast welke leveranciers klantgegevens verwerken, welke taken zij hebben en hoe toestemming wordt geregeld. Artikel 28 AVG vereist voorafgaande specifieke of algemene schriftelijke toestemming; algemene toestemming omvat voorafgaande informatie en de mogelijkheid bezwaar te maken tegen voorgestelde wijzigingen.
De overeenkomst moet gelijkwaardige gegevensbeschermingsplichten voor subverwerkers en de verantwoordelijkheid van de verwerker voor hun handelen regelen. Vraag naar de leverancierslijst en wijzigingsprocedure voor uw implementatie.
Hosting en internationale doorgiften
Benoem de opslaglocaties en landen van waaruit toegang mogelijk is. Die hangen af van afgesproken hosting, ondersteuning en gekoppelde diensten; vraag naar de bestemmingen voor de daadwerkelijke implementatie.
Zijn de AVG-regels voor internationale doorgiften van toepassing, leg dan het juiste doorgiftemechanisme en de waarborgen vast, zoals een toepasselijk adequaatheidsbesluit of contractuele waarborgen. Ze moeten aansluiten op de werkelijke doorgifte; een leveranciersnaam alleen bewijst de afspraken niet.
Verzoeken, incidenten en ondersteuning
De DPA moet ondersteuning regelen bij individuele rechtenverzoeken, beveiligingsverplichtingen, datalekmeldingen en gegevensbeschermingseffectbeoordelingen waar van toepassing, rekening houdend met de verwerking en beschikbare informatie.
Bij een inbreuk in verband met persoonsgegevens die namens de klant worden verwerkt, moet de verwerker de verantwoordelijke zonder onredelijke vertraging informeren. Leg incidentcontacten, escalatie, informatie-uitwisseling en verantwoordelijkheden vast.
Teruggave, verwijdering en bewaring
Aan het einde van de dienst moeten de afspraken voorzien in teruggave of verwijdering naar keuze van de verantwoordelijke, inclusief bestaande kopieën, tenzij de wet opslag vereist. Bepaal formaat, termijnen en verantwoordelijkheden.
Documenteer bewaarplichten en de omgang met back-ups. Vraag naar de afspraken voor uw klantgegevens; ga er niet van uit dat de bewaartermijn voor websiteaanvragen ook voor uw software geldt.
Informatie en auditrechten
De DPA moet voorzien in de informatie die nodig is om de relevante verwerkingsplichten aan te tonen en in audits, waaronder inspecties, door de verantwoordelijke of een bevoegde auditor. Spreek een praktisch proces af voor verzoeken en toegang.
Vraag de verwerkings- en beveiligingsdocumentatie voor uw dienst op en leg het afgesproken beoordelingsproces vast.
De overeenkomst aanvragen
Gebruik het regionale contact of het contact voor gegevensbescherming om een ondertekende DPA aan te vragen, bepalingen te bespreken of verwerkingsbijlagen voor uw dienst te ontvangen.
- Vermeld uw bedrijf en de Configurix-dienst of het voorgenomen project
- Beschrijf gegevens, gebruikers, hostingvereisten en te koppelen systemen
- Vraag naar verwerkingsscope, beveiligingsmaatregelen, leveranciers en doorgiftedetails
Websitebezoekers en aanvragen
De verwerking voor de eigen website, zakelijke aanvragen en administratie van Configurix staat in het privacybeleid van de website. Keuzes over optionele websiteanalyse staan los van de verwerkingsinstructies in een klant-DPA.