Artikel 1 – Definities

Voor de toepassing van deze Overeenkomst worden de volgende definities gehanteerd:

• Betrokkene: een geïdentificeerde of identificeerbare natuurlijke persoon; als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.
• Persoonsgegevens: alle informatie over een Betrokkene.
• Verwerking: een bewerking of een geheel van bewerkingen met betrekking tot Persoonsgegevens of een geheel van Persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken d.m.v. doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.
• Verwerkingsverantwoordelijke: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de Verwerking van Persoonsgegevens vaststelt.
• Verwerker: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die ten behoeve van de Verwerkingsverantwoordelijke Persoonsgegevens verwerkt.
• Subverwerker: elke Verwerker waarop de Verwerker een beroep doet om Persoonsgegevens te verwerken en akkoord gaat om dit te doen ten behoeve van de Verwerkingsverantwoordelijke en in overeenstemming met deze Overeenkomst.
• Derde: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, niet zijnde de Betrokkene, noch de Verwerkingsverantwoordelijke, noch de Verwerker, noch de personen die onder rechtstreeks gezag van de Verwerkingsverantwoordelijke of de Verwerker gemachtigd zijn om de Persoonsgegevens te verwerken.
• Toezichthoudende autoriteit: een door een lidstaat ingevolge artikel 51 van de GDPR ingestelde onafhankelijke overheidsinstantie.

Artikel 2 – Voorwerp

2.1. De Verwerkingsverantwoordelijke verleent de toestemming aan de Verwerker om Persoonsgegevens te verwerken. De Verwerking gebeurt in naam en voor de rekening van de Verwerkingsverantwoordelijke. De Verwerkingsverantwoordelijke blijft uitsluitend verantwoordelijk voor de gegevensverwerking.

2.2. De verwerkingsactiviteit van de Verwerker bestaat uit de volgende diensten:

• Beheer van IT-infrastructuur: Dit kan inhouden dat Cuarta toegang heeft tot systemen waarin persoonsgegevens worden verwerkt, bijvoorbeeld e-mails, CRM-systemen of cloudopslag.
• Cybersecurity en monitoring: Dit kan het analyseren van logs, het detecteren van dreigingen en het uitvoeren van penetratietests omvatten, waarbij persoonsgegevens in systemen kunnen voorkomen.
• Support en helpdesk: Wanneer Cuarta IT-ondersteuning biedt aan medewerkers van de Verwerkingsverantwoordelijke, kan dat betekenen dat zij persoonsgegevens in systemen of tickets raadplegen.
• Dataopslag en back-ups: Als Cuarta back-ups maakt of beheert, kan dit betrekking hebben op persoonsgegevens in bestanden, databases of e-mails.
• Authenticatie en toegangsbeheer: Dit omvat bijvoorbeeld het instellen van gebruikersaccounts, wachtwoordbeheer en Multi-Factor Authenticatie (MFA).

2.3. De categorieën van Betrokkenen zijn klanten, leveranciers en werknemers van de Verwerkingsverantwoordelijke [eventueel nog nader te specificeren].

2.4. Het soort Persoonsgegevens dat verwerkt kan worden door de Verwerker zijn identificatiegegevens en locatiegegevens [eventueel nog nader te specificeren]. Bijzondere categorieën van Persoonsgegevens, zoals opgesomd in artikel 9, lid 1 van de GDPR, worden niet verwerkt, tenzij met expliciete toestemming.

2.5. De Verwerker gebruikt de Persoonsgegevens enkel om een goede dienstverlening te bieden aan de Verwerkingsverantwoordelijke in overeenstemming met deze Overeenkomst en de overige overeenkomsten die tussen de Verwerker en de Verwerkingsverantwoordelijke afgesloten zijn.

2.6. De Persoonsgegevens zullen enkel en alleen verwerkt worden voor de diensten gespecificeerd in dit artikel en zullen bijgevolg niet gebruikt worden voor eigen doeleinden van de Verwerker, zoals directe marketingdoeleinden. Enkel en alleen de Persoonsgegevens in dit artikel zullen en kunnen door de Verwerker gebruikt worden ter Verwerking.

2.7. Indien de opdracht tot Verwerking wijzigt, brengt de Verwerkingsverantwoordelijke de Verwerker hiervan onmiddellijk op de hoogte.

Artikel 3 – Duur

3.1. Deze Overeenkomst treedt in werking op het moment van de ondertekening door Partijen en is geldig zolang de Verwerker Persoonsgegevens verwerkt in naam en voor rekening van de Verwerkingsverantwoordelijke.

3.2. Elk van de Partijen kan eisen om de Overeenkomst met onmiddellijke ingang te beëindigen ingeval van een ernstige schending van deze Overeenkomst of de toepasselijke bepalingen van de GDPR door de andere Partij. Bij het beëindigen van deze Overeenkomst met onmiddellijke ingang, wordt in een aangetekende brief aan de andere Partij de reden van beëindiging vermeld.

3.3. Bij de beëindiging van de Overeenkomst zal de Verwerker, naar keuze van de Verwerkingsverantwoordelijke en op schriftelijk verzoek, de Persoonsgegevens verwijderen of teruggeven aan de Verwerkingsverantwoordelijke. Voor de uitvoering van dergelijke verzoeken kunnen Partijen overeenkomen om hieraan een vergoedingsregeling te koppelen. Tevens zal de Verwerker alle bestaande kopieën van de Persoonsgegevens, die zij ontvangen heeft van de Verwerkingsverantwoordelijke, verwijderen, tenzij wetgeving bewaring van deze Persoonsgegevens vereist of de Verwerker een gerechtvaardigd belang heeft.

3.4. Indien alle andere overeenkomsten die tussen de Verwerker en de Verwerkingsverantwoordelijke afgesloten zijn, worden beëindigd, dan eindigt deze Overeenkomst ook van rechtswege.

Artikel 4 – Rechten en plichten van de Verwerkingsverantwoordelijke

4.1. Met betrekking tot de Persoonsgegevens heeft de Verwerkingsverantwoordelijke de rechten en de verplichtingen van een Verwerkingsverantwoordelijke zoals bepaald in de GDPR.

4.2. De Verwerkingsverantwoordelijke verplicht zich om geen instructies, aanwijzingen of verzoeken door te geven aan de Verwerker, die in strijd zouden zijn met de bepalingen van de GDPR of waarmee de Verwerker en/of haar Subverwerker(s) het toepasselijk recht waartoe ze gebonden zijn, zouden schenden.

4.3. De Verwerkingsverantwoordelijke garandeert dat zij de Persoonsgegevens die zij ter beschikking stelt van de Verwerker voor Verwerking op een wettelijke manier en in ieder geval conform de bepalingen van de GDPR heeft verkregen, verwerkt en doorgegeven aan de Verwerker. In ieder geval zal de Verwerkingsverantwoordelijke de Verwerker integraal vrijwaren voor elke vordering van een Betrokkene die betrekking heeft op de Verwerking van zijn of haar Persoonsgegevens en de Verwerker hiervoor schadeloosstellen.

Artikel 5 – Instructies aan de Verwerker

5.1. De Verwerker verwerkt de Persoonsgegevens uitsluitend op basis van instructies van de Verwerkingsverantwoordelijke wanneer Persoonsgegevens aan een derde land of een internationale organisatie worden doorgegeven, tenzij een op de Verwerker van toepassing zijnde wettelijke bepaling hem tot Verwerking verplicht. In dat laatste geval stelt de Verwerker de Verwerkingsverantwoordelijke in kennis van dat wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.

5.2. De instructies en andere communicaties met betrekking tot de Verwerking van de Persoonsgegevens worden slechts geacht goed ontvangen te zijn door de Verwerker, indien de goede ontvangst schriftelijk wordt bevestigd door de Verwerker.

5.3. Indien de Verwerker van mening is dat een instructie van de Verwerkingsverantwoordelijke de bepalingen van de GDPR of van het toepasselijk nationaal recht schendt, zal zij dit melden aan de Verwerkingsverantwoordelijke. Deze adviseringsbevoegdheid vanuit de Verwerker is louter een inspanningsverbintenis en kan niet tegen de Verwerker gebruikt worden als aansprakelijkheidsgrond.

Artikel 6 – Vertrouwelijkheid

6.1. De Verwerker verbindt zich ertoe om de Persoonsgegevens en de Verwerking van deze Persoonsgegevens als vertrouwelijk te behandelen. De Verwerker zal de vertrouwelijkheid van de Persoonsgegevens waarborgen door:

• toegang tot Persoonsgegevens enkel te verlenen aan personen die de gegevens nodig hebben voor de uitvoering van hun taken, in opdracht van de Verwerkingsverantwoordelijke;
• Persoonsgegevens van de Verwerkingsverantwoordelijke en van klanten, leveranciers of werknemers van de Verwerkingsverantwoordelijke niet langer te bewaren dan nodig om het doel te realiseren waarvoor ze werden verzameld.

6.2. De Verwerker waarborgt dat de tot het Verwerken van de Persoonsgegevens gemachtigde personen zich ertoe hebben verbonden de vertrouwelijkheid van de Persoonsgegevens in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden. Zij volgen alle technische voorschriften voor het verzekeren van de vertrouwelijkheid van de Persoonsgegevens nauwgezet op.

Artikel 7 – Beveiliging van de Verwerking

7.1. Tijdens de uitvoering van deze Overeenkomst zullen de Verwerker en de Verwerkingsverantwoordelijke passende technische en organisatorische maatregelen nemen om een op het risico afgestemd beveiligingsniveau te kunnen waarborgen voor de Betrokkenen. Deze maatregelen kunnen, waar passend, het volgende omvatten:

1. Pseudonimisering en versleuteling van Persoonsgegevens;
2. Garantie om op een permanente basis de vertrouwelijkheid, de integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en diensten te garanderen;
3. Tijdig herstellen van de toegang en beschikbaarheid tot de Persoonsgegevens bij een fysiek of technisch incident;
4. Testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de Verwerking.

7.2. Elk van de Partijen behoudt zich het recht voor om de Overeenkomst op te schorten en/of te beëindigen, wanneer de andere Partij niet langer kan voorzien in de gepaste technische en organisatorische maatregelen voor het verwerkingsrisico.

7.3. De Verwerker heeft, onder andere, de volgende beveiligingsmaatregelen getroffen:

• Beveiliging toegang tot bedrijfssite en bedrijfsgebouw;
• Beveiliging tot server infrastructuur;
• Laptops van de werknemers zijn beveiligd met een wachtwoord;
• Antivirussoftware, firewalls, spamfilter;
• Beveiligingsbeleid m.b.t. het gebruik van wachtwoorden en testomgevingen;
• Het behouden van een register van alle categorieën van verwerkingsactiviteiten, ten behoeve van de Verwerkingsverantwoordelijke verricht, conform artikel 30, lid 2 van de GDPR;

Artikel 8 – Inschakeling van Subverwerker(s)

8.1. De Verwerker heeft het recht om beroep te doen op een Subverwerker voor de Verwerking van Persoonsgegevens voor de Verwerkingsverantwoordelijke.

8.2. De Verwerker verbindt zich ertoe dat diens Subverwerker(s), per overeenkomst, gebonden zijn aan dezelfde verplichtingen als deze waartoe de Verwerker zich dient te houden en voortvloeien uit deze Overeenkomst.

8.3. Wanneer de Subverwerker van de Verwerker haar verplichtingen inzake gegevensbescherming niet nakomt, blijft de Verwerker ten aanzien van de Verwerkingsverantwoordelijke aansprakelijk voor het nakomen van de verplichtingen van die Subverwerker.

Artikel 9 – Rechten van de Betrokkenen

9.1. Rekening houdend met de aard van de Verwerking, zal de Verwerker de Verwerkingsverantwoordelijke door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bijstand verlenen bij het vervullen van diens plicht om verzoeken ter uitoefening van de vastgestelde rechten van de Betrokkene te beantwoorden. Uitsluitend de Verwerkingsverantwoordelijke blijft verantwoordelijk ten aanzien van de Betrokkene.

9.2. Partijen zullen zich aan volgende richtlijnen houden met betrekking tot een verzoek van Betrokkenen betreffende hun rechten inzake de Verwerking van de hen betreffende Persoonsgegevens:

• Zo snel als mogelijk en uiterlijk binnen 48 uur elkaar op de hoogte brengen van elk verzoek dat door een Betrokkene wordt ingediend met betrekking tot Persoonsgegevens die door de Verwerker en/of Subverwerker(s) namens de Verwerkingsverantwoordelijke worden Verwerkt;
• Aanwezigheid van de nodige technische en organisatorische capaciteiten om de toegang tot Persoonsgegevens te blokkeren en Persoonsgegevens fysiek te vernietigen zonder mogelijkheid tot recuperatie, ingeval de Verwerkingsverantwoordelijke dit verzoekt;
• Op verzoek van de Verwerkingsverantwoordelijke zal de Verwerker proportionele maatregelen nemen om naar beste vermogen de informatie te verstrekken die nodig is om haar belangen te verdedigen in procedures die tegen de Verwerkingsverantwoordelijke of haar personeel worden aangespannen wegens schending van de fundamentele rechten op privacy en bescherming van Persoonsgegevens van Betrokkenen.

Artikel 10 – Ondersteuning van de Verwerkingsverantwoordelijke

10.1. De Verwerker verleent de Verwerkingsverantwoordelijke, rekening houdend met de aard van de Verwerking en de haar ter beschikking staande informatie, bijstand bij het doen nakomen van de verplichtingen die voortvloeien uit de artikelen 32 t.e.m. 36 van de GDPR.

10.2. De Verwerkingsverantwoordelijke dient op haar beurt dan weer de passende technische en organisatorische maatregelen te treffen om te waarborgen en te kunnen aantonen dat de Verwerking van Persoonsgegevens in overeenstemming is met de GDPR. Hiervoor zal zij alle nodige assistentie verlenen aan de Verwerker om hieraan te voldoen.

Artikel 11 – Aansprakelijkheid

11.1. De Verwerker kan nooit aansprakelijk gesteld worden voor eventuele indirecte schade, gevolgschade of gederfde winst, veroorzaakt tijdens de Verwerking van de Persoonsgegevens. De Verwerker kan uitsluitend aansprakelijk gehouden worden voor zover er opzet in hoofde van de Verwerker is bewezen.

Artikel 12 – Algemene bepalingen

12.1. Deze Overeenkomst kan alleen schriftelijk worden gewijzigd of aangevuld na onderling akkoord tussen Partijen.

12.2. Alle termen met een hoofdletter hebben een betekenis conform de definities voorzien in de GDPR, tenzij ze afzonderlijk gedefinieerd zijn in deze Overeenkomst.

12.3. Deze Overeenkomst is opgesteld om conform de GDPR te zijn en dient dus ook in overeenstemming met deze wetgeving geïnterpreteerd te worden.

12.4. Elk geschil tussen de Partijen met betrekking tot de bepalingen van deze Overeenkomst zal voor de bevoegde rechtbanken van het arrondissement Kortrijk gebracht worden en uitsluitend conform het Belgische recht worden beoordeeld.