VERWERKINGOVEREENKOMST

Artikel 1. DEFINITIES

“Algemene Verordening Gegevensbescherming” of “AVG”: verwijst naar Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 inzake de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens.
“Betrokkene” of “Betrokken Personen” betekent de identificeerbare natuurlijke persoon wiens Persoonsgegevens verwerkt worden.
“Datalek” betekent een inbreuk op de beveiliging van Persoonsgegevens die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens.
“Medewerker(s)” betekent de personen die door de Partijen worden gemachtigd voor de uitvoering van deze Verwerkingsovereenkomst en die onder hun verantwoordelijkheid werken.
"Persoonsgegevens” betekent alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon; als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.
"Privacywetgeving” betekent de volledige Belgische en Europese wetgeving van toepassing op gegevensbescherming, waaronder de Algemene Verordening Gegevensbescherming.
"Subverwerker” betekent iedere derde partij die door Verwerker wordt ingeschakeld om ten behoeve van Verwerker persoonsgegevens te verwerken, zonder aan het rechtstreeks gezag van Verwerker te zijn onderworpen.
“Toezichthoudende Autoriteit”: verwijst in België naar de Gegevensbeschermingsautoriteit.
“Verwerker”: verwijst naar een natuurlijke of rechtspersoon die persoonsgegevens namens de Verwerkingsverantwoordelijke verwerkt.
“Verwerking” betekent iedere bewerking of geheel van bewerkingen met betrekking tot Persoonsgegevens of een geheel van Persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.
“Verwerkingsverantwoordelijke” betekent iedere natuurlijke of rechtspersoon die het doel van en de middelen voor de Verwerking van persoonsgegevens vaststelt.
“Verwerkingsovereenkomst” betekent deze bijlage bij de Overeenkomst.

Artikel 2. DOEL

De huidige Verwerkersovereenkomst heeft als voorwerp uiteen te zetten onder welke voorwaarden de Verwerker de Persoonsgegevens in opdracht van de Verwerkingsverantwoordelijke mag verwerken.
Partijen komen overeen dat deze Verwerkersovereenkomst integraal deel uitmaakt van de Overeenkomst tussen MTH, die optreedt als Verwerker, en de Klant, die optreedt als Verwerkingsverantwoordelijke.

Artikel 3. TOEGESTANE VERWERKING

De Verwerker verbindt zich ertoe enkel Persoonsgegevens te verwerken op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke, die voortvloeien uit de Overeenkomst. De Overeenkomst en de Verwerkersovereenkomst bepalen gezamenlijk het onderwerp en de duur van de Verwerking.
De Verwerker en diens Medewerkers verwerken de Persoonsgegevens voor rekening van Verwerkingsverantwoordelijke in het kader van de hieronder beschreven dienstverlening en doelstelling: elke verwerking die nodig is voor het uitvoeren van de diensten vermeld op het Bestelformulier of elke andere verwerking waartoe de Verwerkingsverantwoordelijke een opdracht heeft gegeven aan de Verwerker. Dit omvat minstens het volgende: onboarding, HR-support, gebruikersbeheer, hosting, ondersteuning, communicatie, versturen van e-mails binnen de organisatie van de Verwerkingsverantwoordelijke, en uitnodigingen versturen aan nieuwe gebruikers voor de registratie van een gebruikersaccount. In het kader van Evenementen omvat dit minstens ook het beheer van de inschrijvingen, het inschrijven van deelnemers bij de organisator of eventuele wijzigingen.
Voor de volledige duur van de Verwerkingsovereenkomst kan Verwerker de Persoonsgegevens aan de volgende Verwerkingen onderwerpen: het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.
De Verwerker verwerkt de volgende soorten van Persoonsgegevens: basisidentificatiegegevens (bv. voornaam, naam), persoonlijke kenmerken (bv. geboortedatum), contactgegevens (e-mailadres), professionele gegevens of beroepsgegevens (bv. statuut als bediende of arbeider, (departement, titel, of functie).
Deze Persoonsgegevens hebben betrekking op de volgende categorieën van Betrokkenen: medewerkers van de Verwerkingsverantwoordelijke.

Artikel 4. RECHTEN EN VERPLICHTINGEN VAN DE VERWERKINGSVERANTWOORDELIJKE

Verwerkingsverantwoordelijke heeft de plicht de informatie in artikels 13 en 14 van de AVG te verschaffen aan de Betrokkenen die het onderwerp zijn van de Verwerkingen onder de huidige Verwerkersovereenkomst.
Verwerkingsverantwoordelijke stelt de Persoonsgegevens, zoals uiteengezet in deze Verwerkersovereenkomst, ter beschikking van Verwerker. De Verwerkingsverantwoordelijke bepaalt het doel van en de middelen voor de Verwerking. Hij garandeert dat de Verwerking van de Persoonsgegevens, waaronder de doorgifte van de Persoonsgegevens, gebeurt op een wettelijke manier en overeenkomstig de relevante Privacywetgeving.
De Verwerking door de Verwerker gebeurt enkel op basis van schriftelijke instructies vanwege de Verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke garandeert dat de opdracht tot Verwerking van de Persoonsgegevens conform de Privacywetgeving gebeurt. Indien de opdracht tot Verwerking wijzigt, brengt de Verwerkingsverantwoordelijke de Verwerker hiervan onmiddellijk op de hoogte.
Indien de Medewerkers van Verwerkingsverantwoordelijke zelf Persoonsgegevens verwerken valt de verantwoordelijkheid voor de naleving van de voorschriften van de Privacywetgeving van Verwerkingen van Persoonsgegevens onder de verantwoordelijkheid van de Verwerkingsverantwoordelijke en niet onder de verantwoordelijkheid van de Verwerker.
De Verwerkingsverantwoordelijke houdt een register van de verwerkingsactiviteiten die onder haar verantwoordelijkheid plaatsvinden overeenkomstig artikel 30(1) van de AVG.
Alle informatie en materiaal ter beschikking gesteld door de Verwerkingsverantwoordelijke aan de Verwerker en die Persoonsgegevens bevatten zullen steeds als eigendom van de Verwerkingsverantwoordelijke beschouwd worden.

Artikel 5. RECHTEN EN VERPLICHTINGEN VAN DE VERWERKER

Verwerker mag enkel de Persoonsgegevens verwerken die strikt noodzakelijk zijn voor de uitvoering van de Overeenkomst en verbindt zich er toe de Persoonsgegevens uitsluitend te verwerken voor de in deze Verwerkersovereenkomst omschreven doeleinden. Verwerker zal de Persoonsgegevens niet voor enig ander doel verwerken dan zoals door Verwerkingsverantwoordelijke is bepaald.
Verwerker verbindt zich ertoe de Persoonsgegevens uitsluitend te verwerken op basis van de schriftelijke instructies van Verwerkingsverantwoordelijke en volgens de bepalingen van de Verwerkersovereenkomst. Indien van de Verwerker verwacht wordt dat zij Persoonsgegevens doorgeeft naar een derde land of aan een internationale organisatie op grond van het recht van de Europese Unie of het recht van een Lidstaat dat van toepassing is op haar, moet Verwerker dit melden aan Verwerkingsverantwoordelijke voorafgaand aan de Verwerking, tenzij indien het desbetreffende recht haar deze kennisgeving verbiedt op grond van gewichtige redenen van algemeen belang.
Verwerker waarborgt de vertrouwelijkheid van de Persoonsgegevens die haar werden doorgegeven in het kader van de Verwerkersovereenkomst. Verwerker waarborgt bovendien dat al haar Medewerkers zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden.
Verwerker mag de Persoonsgegevens niet opslaan, overdragen of op andere wijze verwerken op een locatie buiten de Europese Economische Ruimte of doorgeven aan landen buiten de Europese Economische Ruimte, zonder voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke. Daarenboven moet Verwerker zich ervan verzekeren dat het derde land of de internationale organisatie een adequaat niveau van gegevensbescherming biedt. Indien dit niet het geval is, moeten er gepaste garanties gegeven worden op contractuele wijze of moet de uitdrukkelijke toestemming van Betrokkenen bekomen worden.
Verwerker verwerkt de Persoonsgegevens die door Verwerkingsverantwoordelijke zijn doorgegeven, voor zolang dit nodig is voor de uitvoering van de Overeenkomst. Van zodra de opdracht is uitgevoerd, maakt Verwerker binnen redelijke termijn, tenzij uitdrukkelijk anders overeengekomen, een einde aan elk ander gebruik van de Persoonsgegevens dan wat noodzakelijk is om Verwerkingsverantwoordelijke in staat te stellen de gegevens te recupereren die aan Verwerker werden toevertrouwd.
Verwerker zal Verwerkingsverantwoordelijke in de mate van het mogelijke bijstaan bij diens plicht om verzoeken van Betrokken in te willigen betreffende het recht van inzage, recht van rectificatie, recht van gegevenswissing, recht van beperking van de Verwerking, recht van overdraagbaarheid van de gegevens, of recht van bezwaar tegen geautomatiseerde individuele besluitvorming (met inbegrip van profilering). In het geval dat een betrokkene een dergelijk verzoek richt aan Verwerker, zal Verwerker het verzoek doorsturen aan Verwerkingsverantwoordelijke, en zal Verwerkingsverantwoordelijke het verzoek verder afhandelen, tenzij expliciet anders overeengekomen.
Verwerker staat Verwerkingsverantwoordelijke bij voor iedere gegevensbeschermings-effectbeoordeling en voorafgaande raadpleging van de Toezichthoudende Autoriteit. Daarenboven staat Verwerker de Verwerkingsverantwoordelijke bij om verzoeken van de Toezichthoudende Autoriteit te beantwoorden. Voor de uitvoering van dergelijke verzoeken kunnen Partijen overeenkomen om hieraan een vergoedingsregeling te koppelen.
Indien noodzakelijk voor de uitvoering van de opdracht, kan Verwerker een kopie maken en overgaan tot het nemen van een back-up. De Persoonsgegevens op deze kopieën en back-ups genieten dezelfde bescherming als de originele Persoonsgegevens.
Verwerker houdt een schriftelijk register bij van alle verwerkingsactiviteiten uitgevoerd voor de rekening van de Verwerkingsverantwoordelijke. Dit register bevat alle gegevens die artikel 30(2) van de AVG vereist.
Verwerker garandeert dat haar Medewerkers uitsluitend toegang hebben tot de Persoonsgegevens voor zover dit nodig is om hun taken in het kader van de opdracht tot Verwerking uit te voeren. De Medewerkers van de Verwerker zijn ook gebonden door vertrouwelijkheidsplicht. Verwerker zal zijn Medewerkers informeren over de verplichtingen van de Privacywetgeving en van deze Verwerkersovereenkomst.

Artikel 6. SUBVERWERKERS

Verwerkingsverantwoordelijke verleent Verwerker hierbij een algemene machtiging om andere verwerkers (hierna “Subverwerkers”) in te schakelen. Verwerkingsverantwoordelijke kan een bezwaar maken tegen de aanstelling of vervanging van andere verwerkers op basis van redelijke gronden waarvan hij Verwerker schriftelijk zal informeren. Indien Verwerkingsverantwoordelijke redelijkerwijs bezwaar maakt tegen de aanstelling of vervanging van andere verwerkers zal Verwerker te goeder trouw met Verwerkingsverantwoordelijke samenwerken om een commercieel redelijke wijziging in de dienstverlening te bewerkstellingen die het gebruik van de voorgestelde Subverwerker vermijdt, en indien een dergelijke wijziging niet kan worden doorgevoerd binnen één (1) maand na ontvangst door Verwerker van de kennisgeving door Verwerkingsverantwoordelijke, dan kan elke Partij de Overeenkomst zonder rechterlijke tussenkomst en zonder schadevergoeding beëindigen met ingang van de datum waarop de aanstelling of vervanging van kracht wordt.
Verwerker moet verzekeren dat de Subverwerker dezelfde waarborgen biedt met betrekking tot het treffen van passende technische en organisatorische maatregelen in overeenkomst met artikel 32 van de AVG.
Alle verplichtingen uit artikel 5 van de huidige Verwerkersovereenkomst zijn integraal van toepassing op de Subverwerker. Deze verplichtingen worden schriftelijk gestipuleerd in een overeenkomst tussen de Verwerker en de Subverwerker. Verwerker blijft volledig verantwoordelijk ten aanzien van de Verwerkingsverantwoordelijke voor de naleving door de Subverwerker van haar verplichtingen.
Voor een correcte uitvoering van de taken als Verwerker wordt beroep gedaan op volgende subverwerkers: Microsoft Azure, WeFitter, Typeform, Vimeo, HumanDesign.ai & Brevo.

Artikel 7. VERTROUWELIJKHEID

Verwerker is gehouden tot een vertrouwelijkheidsplicht ten aanzien van de Persoonsgegevens die hij van Verwerkingsverantwoordelijke ontvangt voor de opdracht tot Verwerking en van alle informatie die hij in het kader van deze Verwerkersovereenkomst ontvangt. Deze vertrouwelijkheidsplicht geldt onverkort voor de Medewerkers van Verwerker en voor eventuele Subverwerkers en hun Medewerkers.
Deze vertrouwelijkheidsplicht ontstaat tijdens de onderhandelingen van de Verwerkersovereenkomst, blijft gelden tijdens de volledige duur van de Verwerkersovereenkomst en ook na het beëindigen van de Verwerkersovereenkomst.
Deze vertrouwelijkheidsplicht geldt niet wanneer Verwerker door de Toezichthoudende Autoriteit, een wettelijke bepaling of een rechterlijk bevel verplicht wordt deze Persoonsgegevens mee te delen, wanneer de informatie openbaar bekend is en wanneer de gegevensverstrekking plaatsvindt in opdracht van Verwerkingsverantwoordelijke.

Artikel 8. BEVEILIGINGSMAATREGELEN

Verwerkingsverantwoordelijke en Verwerker nemen de vereiste en passende technische en organisatorische maatregelen (hierna de “Veiligheidsmaatregelen”) om de Persoonsgegevens te beschermen tegen vernietiging, hetzij bij ongeluk, hetzij onrechtmatig, tegen verlies, vervalsing, niet-toegelaten verspreiding of toegang, met name wanneer de verwerking doorzending van gegevens via een netwerk omvat, dan wel tegen enige andere vorm van onwettige Verwerking of gebruik.
De Veiligheidsmaatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een adequaat beveiligingsniveau gelet op de risico’s die de verwerking en de aard van te beschermen gegevens met zich meebrengen. De Veiligheidsmaatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen.
Verwerker dient Verwerkingsverantwoordelijke te informeren omtrent alle Veiligheidsmaatregelen die hij neemt om aan de beschermingsverplichting te voldoen. Voor het bepalen van de relevante maatregelen wordt er rekening gehouden met de stand van de techniek en de kosten van de tenuitvoerlegging. Indien er door wijzigingen in de technologie wijzigingen dienen aangebracht te worden in de gebruikte technologie, zal de Verwerker de nodige kosten hiervan op zich nemen.

Artikel 9. MELDING VAN EEN DATALEK

Indien Verwerker een Datalek vaststelt, meldt hij dit onverwijld aan Verwerkingsverantwoordelijke na de vaststelling. Deze melding wordt ten minste het volgende omschreven of meegedeeld:

de aard van de inbreuk in verband met persoonsgegevens, waar mogelijk onder vermelding van de categorieën van Betrokkenen en Persoonsgegevens in kwestie en, bij benadering, het aantal Betrokkenen en Persoonsgegevens in kwestie;
de naam en de contactgegevens van de functionaris voor gegevensbescherming of een ander contactpunt waar meer informatie kan worden verkregen;
de waarschijnlijke gevolgen van het Datalek in verband met Persoonsgegevens;
de maatregelen die Verwerkingsverantwoordelijke heeft voorgesteld of genomen om het Datalek aan te pakken, waaronder, in voorkomend geval, de maatregelen om de eventuele nadelige gevolgen daarvan te beperken.

Het is aan de Verwerkingsverantwoordelijke om te beoordelen of zij het Datalek zal melden aan de Toezichthoudende Autoriteit of de Betrokkenen daarover zal informeren.

Artikel 10. DUUR EN BEËINDIGING VAN DE GEGEVENSVERWERKINGOVEREENKOMST

Deze Verwerkersovereenkomst loopt voor zolang de Overeenkomst van kracht is en wordt beëindigd op hetzelfde ogenblik als de Overeenkomst. De Verwerkersovereenkomst kan niet los van de Overeenkomst worden opgezegd, tenzij de Partijen overeenkomen dat beëindiging noodzakelijk is om zich te schikken naar de Privacywetgeving of beslissingen van de Toezichthoudende Autoriteit.
Na afloop van de verwerkingsdiensten zal Verwerker, naargelang de keuze van de Verwerkingsverantwoordelijke, alle Persoonsgegevens die in het kader van de Overeenkomst werden verwerkt, wissen of deze aan hem terugbezorgen, en bestaande kopieën en back-ups daarvan verwijderen, tenzij de toepasselijke wetgeving de opslag van de Persoonsgegevens vereist. Eventuele kosten verbonden met het terugsturen van de Persoonsgegevens en de vernietiging daarvan zijn ten laste van de Verwerkingsverantwoordelijke.