AVG: Gezamenlijke verwerkingsverantwoordelijke overeenkomst:
Deze gezamenlijke verwerkingsverantwoordelijke overeenkomst maakt deel uit van de voorwaarden aangegaan door en tussen jou en De Kopgroep Wonen. Het hoofddoel van deze overeenkomst is om de overeenstemming aan te tonen tussen de twee partijen met betrekking tot verwerking van de persoonsgegevens. Dit volgens de Algemene Verordening Gegevensbescherming.
1. Definities
De hierna en hiervoor gebruikte begrippen uit de Algemene Verordening Gegevensbescherming hebben de volgende betekenis:
- Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.
- Verwerking: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken, door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.
- Gezamenlijke verantwoordelijkheid: wanneer twee of meer verantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijk verantwoordelijk.
- Verantwoordelijke: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt: wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verantwoordelijke is of volgens welke criteria deze wordt aangewezen.
- Betrokkene: geïdentificeerd of identificeerbaar natuurlijk persoon op wie de verwerkte persoonsgegevens betrekking hebben.
- Overeenkomst: de hoofdovereenkomst waar deze regeling gezamenlijke verantwoordelijkheid uit voortvloeit.
- Datalek: een inbreuk op de beveiliging die per ongeluk die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen, of anderszins verwerkte gegevens.
- Toezichthoudende autoriteit: een onafhankelijke overheidsinstantie verantwoordelijk voor het toezicht op de naleving van de wet in verband met de verwerking van persoonsgegevens. In Nederland is dit de Autoriteit Persoonsgegevens.
- Regeling gezamenlijke verantwoordelijkheid: de onderhavige overeenkomst.
2. Totstandkoming, duur en beëindiging van deze regeling gezamenlijke verantwoordelijkheid
- Deze regeling gezamenlijke verantwoordelijkheid treedt in werking op de datum waarop partijen deze ondertekenen.
- Deze regeling gezamenlijke verantwoordelijkheid is onderdeel van de overeenkomst en zal gelden voor zolang de overeenkomst duurt.
- Indien de overeenkomst eindigt, eindigt deze regeling gezamenlijke verantwoordelijkheid automatisch, de regeling gezamenlijke verantwoordelijkheid kan niet apart worden opgezegd.
- Na beëindigen van deze regeling gezamenlijke verantwoordelijkheid zullen de lopende verplichtingen, zoals het melden van datalekken waarbij persoonsgegevens van partijen zijn betrokken en de plicht tot geheimhouding blijven voortduren.
3. Verwerken persoonsgegevens
- Partijen verwerken persoonsgegevens gezamenlijk alleen op de wijze zoals partijen dit bij deze regeling gezamenlijke verantwoordelijkheid overeenkomen en zullen persoonsgegevens niet op een andere manier verwerken, tenzij partijen dit gezamenlijk overeenkomen.
- Partijen houden zich bij het verwerken van persoonsgegevens aan de wet en de gegevens worden verwerkt op een behoorlijke, zorgvuldige en transparante wijze.
- Partijen mogen zonder voorafgaande schriftelijke toestemming van elkaar andere personen of organisaties inschakelen bij het verwerken van de persoonsgegevens, met inachtneming van de daarop van toepassing zijnde verplichtingen uit deze regeling gezamenlijke verantwoordelijkheid.
- Wanneer partijen een verzoek van een betrokkene ontvangen ten aanzien van het uitoefenen van zijn of haar rechten, zullen partijen voor het deel waar zij verantwoordelijk voor zijn, zorgen dat de betrokkene zijn of haar rechten effectief kan uitoefenen. Deze rechten bestaan uit een verzoek om inzage, correctie, aanvulling, verwijdering of afscherming, bezwaar maken tegen de verwerking van de persoonsgegevens en een verzoek tot overdraagbaarheid van de eigen persoonsgegevens.
- Partijen dienen op duidelijke en eenvoudige wijze te communiceren waar de betrokkene voor het uitoefenen van zijn rechten terecht kan. Hierbij geven partijen aan welke medeverantwoordelijke er zijn en wie voor welk deel verantwoordelijk is.
4. Exporteren persoonsgegevens
- Partijen mogen uitsluitend persoonsgegevens laten verwerken door andere personen of organisaties buiten de Economisch Europese Ruimte (EER), met inachtneming van de daarop van toepassing zijnde wet- en regelgeving.
5. Geheimhouding
- Partijen zullen de verstrekte persoonsgegevens geheimhouden, tenzij dit op basis van een wettelijke verplichting niet kan.
- Partijen zorgen ervoor dat het personeel en ingeschakelde hulppersonen zich aan deze geheimhouding houden, door een geheimhoudingsplicht in de (arbeids)contracten op te nemen.
6. Datalekken
- In geval van een ontdekking van een mogelijk datalek met betrekking tot persoonsgegevens die vallen binnen de scope van de regeling gezamenlijke verantwoordelijkheid zullen partijen elkaar hierover informeren binnen 24 uur.
- Partijen zullen elkaar op de hoogte houden van nieuwe ontwikkelingen rondom het datalek, ook zullen partijen de getroffen maatregelen om het datalek te beperken en te beëindigen en een soortgelijk incident in de toekomst te kunnen voorkomen, overleggen met elkaar.
- Partijen treden in overleg om te bepalen wie verantwoordelijk is voor het doen van een melding van het datalek bij de toezichthoudende autoriteit en eventueel bij betrokkenen.
- Eventuele kosten die gemaakt worden om het datalek op te lossen en in de toekomst te kunnen voorkomen, komen voor rekening van degene die de kosten maakt.
7. Aansprakelijkheid
- Als een van de partijen de verplichtingen uit deze regeling gezamenlijke verantwoordelijkheid niet nakomt, kunnen zij voor hun deel van de verwerking aansprakelijk gesteld worden.
- De ene medeverantwoordelijke is niet aansprakelijk voor de aan de andere medeverantwoordelijke opgelegde bestuurlijke boete door de toezichthoudende autoriteit als de bestuurlijke boete het gevolg is van uitsluitend het onrechtmatig of nalatig handelen van de medeverantwoordelijke.
- De ene medeverantwoordelijke is niet aansprakelijk voor aanspraken van betrokkenen of andere personen en organisaties waar de andere medeverantwoordelijke de samenwerking mee is aangegaan, als dit uitsluitend het gevolg is van het onrechtmatig of nalatig handelen van de medeverantwoordelijke.
8. Teruggave persoonsgegevens en bewaartermijn
- Na het beëindigen van deze regeling gezamenlijke verantwoordelijkheid geven partijen de persoonsgegevens terug aan elkaar.
- De overgebleven persoonsgegevens zullen partijen vernietigen na verstrijken van de wettelijke bewaartermijn.
9. Slotbepalingen
- Deze regeling gezamenlijke verantwoordelijke is onderdeel van de overeenkomst. Alle rechten en verplichtingen uit de overeenkomst zijn daarom ook van toepassing op deze regeling gezamenlijke verantwoordelijkheid.
- Bij eventuele tegenstrijdigheden tussen de bepalingen in de regeling gezamenlijke verantwoordelijkheid en de overeenkomst, gelden de bepalingen uit deze regeling gezamenlijke verantwoordelijkheid ten aanzien van de verwerking van persoonsgegevens.
- Afwijzingen van deze regeling gezamenlijke verantwoordelijkheid zijn slecht geldig wanneer partijen dit samen schriftelijk overeenkomen.