VERWERKERSOVEREENKOMST

Deze Verwerkersovereenkomst is van toepassing op alle vormen van Verwerking van Persoonsgegevens die House of Numbers B.V. ingeschreven bij de Kamer van Koophandel onder nummer 28113736, (hierna: Verwerker) uitvoert ten behoeve van een wederpartij aan wie zij diensten levert (hierna: Verwerkingsverantwoordelijke). Verwerkingsverantwoordelijke en Verwerker worden hieronder gezamenlijk aangeduid als Partijen.

ARTIKEL 1. DEFINITIES
In deze Verwerkersovereenkomst wordt verstaan onder:
a. Persoonsgegeven: Elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon;
b. Verwerken of Verwerking: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van ter beschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;
a. Datalek: een inbreuk op de beveiliging van Persoonsgegevens die per ongeluk of op onrechtmatige wijze leidt tot – of waarbij redelijkerwijs niet uit te sluiten valt dat die kan leiden tot – de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte Persoonsgegevens, en die waarschijnlijk een risico inhoudt voor de rechten en vrijheden van Betrokkene(n);
b. Betrokkene: degene op wie een Persoonsgegeven betrekking heeft;
c. AP: de Autoriteit Persoonsgegevens, het zelfstandig bestuursorgaan dat in Nederland bij wet als toezichthouder is aangesteld voor het toezicht op de Verwerking van Persoonsgegevens;
d. AVG: de Algemene Verordening Gegevensbescherming;
e. Verwerkersovereenkomst: deze verwerkersovereenkomst.

ARTIKEL 2. TOEPASSINGSBEREIK VERWERKERSOVEREENKOMST
2.1 Deze Verwerkersovereenkomst is van toepassing op de Verwerking van Persoonsgegevens door Verwerker ten behoeve van Verwerkingsverantwoordelijke die plaatsvindt in het kader van de dienstverlening van Verwerker aan Verwerkingsverantwoordelijke, zoals nader geregeld in de tussen Partijen gesloten overeenkomst van dienstverlening en/of de Algemene Voorwaarden van
House of Numbers B.V.
2.2 De Verantwoordelijke bepaalt welke Persoonsgegevens onder de overeengekomen voorwaarden bij Verwerker worden verwerkt. Een nadere beschrijving van de te verwerken Persoonsgegevens is, opgesteld door Verwerkingsverantwoordelijke, opgenomen in Bijlage A.
2.3 Partijen erkennen dat Verwerker ook Persoonsgegevens Verwerkt in het kader van de dienstverlening waarvoor zij zelf het doel en de middelen bepaalt. Dit geldt bijvoorbeeld voor Persoonsgegevens over contactpersonen bij de Verwerkingsverantwoordelijke. Op de Verwerking van deze Persoonsgegevens, die aan de AVG moet voldoen, is de Verwerkersovereenkomst niet van toepassing.
2.4 De Verwerking van Persoonsgegevens onder deze Verwerkersovereenkomst heeft niet tot gevolg dat Verwerkingsverantwoordelijke enige intellectuele eigendomsrechten of andere aanspraken op de Persoonsgegevens overdraagt aan Verwerker, en is evenmin bedoeld om op enigerlei wijze afbreuk te doen aan de rechten van Betrokkenen.

ARTIKEL 3. VERPLICHTINGEN VERWERKER
3.1. Verwerker zal de Persoonsgegevens uitsluitend ten behoeve van de Verwerkingsverantwoordelijke Verwerken, en slechts voor zover noodzakelijk voor de dienstverlening van Verwerker aan Verwerkingsverantwoordelijke, alsmede voor die doeleinden die daarmee redelijkerwijs samenhangen of die tussen Partijen nader schriftelijk worden bepaald. Verwerker zal de Persoonsgegevens niet voor enig ander doel verwerken dan zoals door Verwerkingsverantwoordelijke is vastgesteld.
3.2. De Verwerker zal de Verwerkingsverantwoordelijke onmiddellijk in kennis stellen indien naar zijn mening een instructie van de Verwerkingsverantwoordelijke in strijd is met de AVG of andere relevante wet- en regelgeving.
3.3. Verwerker zal ervoor zorgen dat haar verplichtingen uit deze Verwerkersovereenkomst worden opgelegd aan degenen die Persoonsgegevens verwerken onder het gezag van Verwerker, waaronder begrepen maar niet beperkt tot werknemers.
3.4. Verwerker zal, voor zover dat binnen haar macht ligt, bijstand verlenen aan Verwerkingsverantwoordelijke in het nakomen van zijn verplichtingen:
i) om verzoeken te beantwoorden van Betrokkenen die hun rechten uitoefenen onder de AVG;
ii) met betrekking tot de beveiliging van de Verwerking van de Persoonsgegevens, de melding van Datalekken aan de AP en de Betrokkenen;
iii) een mogelijk vereiste gegevensbeschermingseffectbeoordeling (‘Privacy Impact Assessment’) en voorafgaande raadpleging van de AP. Eventuele kosten verbonden aan deze bijstand zijn niet in de overeengekomen prijzen en vergoedingen van Verwerker begrepen. Verwerker is gerechtigd redelijke kosten voor het verlenen van deze bijstand aan Verwerkingsverantwoordelijke door te belasten. Indien sprake is van dergelijke kosten, zal Verwerker dit zo mogelijk tevoren aangeven.
3.5. In het geval dat een Betrokkene een verzoek tot uitoefening van zijn/haar wettelijke rechten richt aan Verwerker, zal Verwerker het verzoek doorsturen aan Verwerkingsverantwoordelijke, en zal Verwerkingsverantwoordelijke het verzoek verder afhandelen, onverminderd het bepaalde in artikel 3.4.i). Verwerker mag de betrokkene daarvan op de hoogte stellen.

ARTIKEL 4. VERPLICHTINGEN VERANTWOORDELIJKE
4.1. Verwerkingsverantwoordelijke zal Verwerker op de hoogte stellen van de identiteit van haar functionaris voor de gegevensbescherming en/of vertegenwoordiger, voor zover zij die heeft aangesteld. Wijzigingen dienen onverwijld te worden doorgegeven aan Verwerker. Indien Verwerkingsverantwoordelijke geen functionaris of vertegenwoordiger opgeeft, zal Verwerker ervan uitgaan dat Verwerkingsverantwoordelijke die niet heeft aangesteld.
4.2. Verwerkingsverantwoordelijke garandeert dat de inhoud, het gebruik van en de opdracht tot de Verwerkingen van de Persoonsgegevens zoals bedoeld in deze Verwerkersovereenkomst niet onrechtmatig zijn en geen inbreuk maken op enig recht van derden.

ARTIKEL 5. INSCHAKELEN DERDEN DOOR VERWERKER BIJ UITVOERING OVEREENKOMST
5.1 Verwerker mag uitsluitend na voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke een derde inschakelen bij de uitvoering van deze Overeenkomst, onder de voorwaarden die Verwerkingsverantwoordelijke daarbij stelt. Indien een derde na schriftelijke toestemming van Verwerkingsverantwoordelijke wordt ingeschakeld om ten behoeve van Verwerkingsverantwoordelijke specifieke verwerkingsactiviteiten te verrichten (als sub-verwerker), zal Verwerker aan deze andere derde bij overeenkomst minstens dezelfde verplichtingen inzake de Verwerking en bescherming van Persoonsgegevens opleggen als de verplichtingen die zijn opgenomen in deze Overeenkomst.
5.2 Verwerker is in alle opzichten verantwoordelijk en aansprakelijk voor het doen en laten van derden die zij in het kader van deze Overeenkomst inschakelt, en zal Verwerkingsverantwoordelijke vrijwaren voor alle schade en kosten veroorzaakt door deze derden.

ARTIKEL 6. DOORGIFTE VAN PERSOONSGEGEVENS
6.1. Verwerker mag de persoonsgegevens verwerken in landen binnen de Europees Economische Ruimte (EER). Doorgifte naar landen buiten de EER is zonder toestemming van de Verwerkingsverantwoordelijke verboden.

ARTIKEL 7. BEVEILIGING
7.1. Verwerker zal, rekening houdend met de stand van de techniek, de uitvoeringskosten en aard van de verwerkingsdoeleinden, passende technische en organisatorische maatregelen nemen met betrekking tot de te verrichten Verwerkingen van Persoonsgegevens, tegen verlies of tegen enige vorm van onrechtmatige Verwerking (zoals onbevoegde toegang tot of ongeoorloofde aantasting, wijziging of verstrekking van de Persoonsgegevens).
7.2. Verwerker heeft in ieder geval de maatregelen genomen zoals genoemd in het Beveiligingsprotocol, waarvan de actuele versie is aangehecht (Bijlage B). Onverminderd haar verplichting uit hoofde van het voorgaande artikellid, mag Verwerker het Beveiligingsprotocol op ieder moment eenzijdig aanpassen. Zij zal Verwerkingsverantwoordelijke op de hoogte stellen van zulke aanpassingen. De actuele versie van het Beveiligingsprotocol is beschikbaar via de website van de verwerker. Verwerkingsverantwoordelijke zal ten aanzien van het Beveiligingsprotocol geheimhouding betrachten conform Artikel 9.
7.3 Verwerker werkt conform standaarden die geacht worden te voldoen aan de beveiligingseisen rekening houdend met de stand van de techniek. Deze standaarden zijn nader beschreven in Bijlage B.

ARTIKEL 8. MELDPLICHT
8.1. Verwerkingsverantwoordelijke is te allen tijde verantwoordelijk voor de wettelijk vereiste melding van een Datalek aan de AP en/of Betrokkenen.
8.2. Om Verwerkingsverantwoordelijke in staat te stellen aan deze wettelijke plicht te voldoen, stelt Verwerker de Verwerkingsverantwoordelijke onverwijld en indien mogelijk binnen 2 werkdagen nadat is vastgesteld dat sprake is van een Datalek, op de hoogte van een eventueel Datalek. Melding wordt gedaan aan de aan ons bekende contactgegevens, dan wel de gangbare communicatiekanalen die daarvoor bedoeld zijn.
8.3. De mededeling door de Verwerker maakt in elk geval melding van het feit dat er een Datalek is geweest. Daarnaast beschrijft de mededeling:
• de aard van het Datalek, waar mogelijk onder vermelding van de categorieën van Betrokkenen en, bij benadering, de duur en omvang van het Datalek;
• de naam en de contactgegevens van de functionaris voor gegevensbescherming van Verwerker of een ander contactpunt waar meer informatie kan worden verkregen;
• de waarschijnlijke gevolgen van het Datalek;
• de maatregelen die de Verwerker heeft voorgesteld of genomen om het Datalek aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige
gevolgen daarvan.

ARTIKEL 9. GEHEIMHOUDING EN VERTROUWELIJKHEID
9.1. Op alle Persoonsgegevens die Verwerker van Verwerkingsverantwoordelijke ontvangt en/of zelf verzamelt in het kader van deze Verwerkersovereenkomst, rust een geheimhoudingsplicht jegens derden. Verwerker zal deze informatie niet voor een ander doel gebruiken dan waarvoor zij deze heeft verkregen.
9.2. Deze geheimhoudingsplicht is niet van toepassing voor zover Verwerkingsverantwoordelijke uitdrukkelijke toestemming heeft gegeven om de informatie aan derden te verschaffen, indien het verstrekken van de informatie aan derden logischerwijs noodzakelijk is gezien de aard van de verstrekte opdracht en de uitvoering van deze Verwerkersovereenkomst, of indien er een wettelijke verplichting bestaat om de informatie aan een derde te verstrekken.
9.3. Indien Verwerker op grond van een wettelijke verplichting gehouden is om Persoonsgegevens aan een derde te verstrekken, zal zij Verwerkingsverantwoordelijke hiervan tevoren op de hoogte stellen, tenzij dit verboden is onder de betreffende wetgeving.

ARTIKEL 10. AUDIT
10.1. Verwerkingsverantwoordelijke heeft het recht om audits uit te laten voeren op de naleving van deze Verwerkersovereenkomst indien dit gebeurt door of namens een wettelijke toezichthouder (“right to examine/right to audit”) op grond van een wettelijke bevoegdheid tot controle van naleving van de AVG of andere op Verwerkingsverantwoordelijke toepasselijke wet- en regelgeving. Op verzoek van Verwerker toont Verwerkingsverantwoordelijke aan dat sprake is van een dergelijke wettelijke bevoegdheid.
10.2. Verwerker zal aan de in het vorige artikellid genoemde audit meewerken en alle voor de audit redelijkerwijs relevante gegevens en medewerkers tijdig ter beschikking stellen.
10.3. De bevindingen naar aanleiding van de uitgevoerde audit zullen aan Verwerker beschikbaar worden gesteld en door Verwerker worden beoordeeld en kunnen, naar eigen goeddunken van Verwerker en op de wijze zoals Verwerker zelf bepaalt, worden doorgevoerd door Verwerker.
10.4. Alle kosten in verband met de audit worden door Verwerkingsverantwoordelijke gedragen. Eventuele kosten verbonden aan de medewerking door Verwerker zijn niet in de overeengekomen prijzen en vergoedingen van Verwerker begrepen. Verwerker is gerechtigd redelijke kosten voor het verlenen van deze bijstand aan Verwerkingsverantwoordelijke door te belasten. Indien sprake is van dergelijke kosten, zal Verwerker dit zo mogelijk tevoren aangeven.

ARTIKEL 11. AANSPRAKELIJKHEID
11.1. De aansprakelijkheid van Verwerker jegens Verwerkingsverantwoordelijke voor schade (waaronder schade als gevolg van eventuele aanspraken van de AP en/of Betrokkenen, en alle daarmee verband houdende kosten) als gevolg van een toerekenbare tekortkoming door Verwerker in de nakoming van zijn verplichtingen onder deze Verwerkersovereenkomst, de AVG, dan wel uit onrechtmatige daad of anderszins, is per gebeurtenis (waarbij een reeks van opeenvolgende gebeurtenissen geldt als één gebeurtenis) beperkt als volgt: de maximaal uit te keren schadevergoeding is gemaximeerd tot het totaalbedrag van de door House of Numbers in rekening gebrachte werkzaamheden over de afgelopen 12 kalendermaanden.
11.2. Verwerkingsverantwoordelijke vrijwaart Verwerker voor schade (waaronder schade als gevolg van eventuele aanspraken van de AP en/of Betrokkenen, en alle daarmee verband houdende kosten), indien deze aanspraak een toerekenbare tekortkoming betreft van Verwerkingsverantwoordelijke van zijn verplichtingen onder deze Verwerkersovereenkomst of de AVG.

ARTIKEL 12. DUUR EN BEËINDIGING
12.1. Deze Verwerkersovereenkomst komt tot stand ofwel door ondertekening van Partijen en op de datum van de laatste ondertekening, ofwel door actieve en ondubbelzinnige toestemming op digitale wijze verkregen van Verwerker en op de datum dat deze toestemming gegeven is.
12.2. Deze Verwerkersovereenkomst is aangegaan voor de duur zoals bepaald in de hoofdovereenkomst tussen Partijen en bij gebreke daarvan in ieder geval voor de duur van de samenwerking, dat wil zeggen: zo lang als Verwerkingsverantwoordelijke gebruik maakt van dienstverlening van Verwerker waarbij Verwerker ten behoeve van Verwerkingsverantwoordelijke Persoonsgegevens Verwerkt.
12.3. Bij beëindiging van de Verwerkersovereenkomst, om welke reden en op welke wijze dan ook, zal Verwerker Verwerkingsverantwoordelijke een redelijke gelegenheid bieden om een elektronische kopie te maken van alle persoonsgegevens die bij haar aanwezig zijn, en zal zij zo spoedig mogelijk na het einde van de Verwerkersovereenkomst eventuele resterende kopieën daarvan wissen.

ARTIKEL 13. OVERIGE BEPALINGEN
13.1. Deze Verwerkersovereenkomst verwoordt de enige geldende afspraken tussen Verwerkingsverantwoordelijke en Verwerker betreffende de verwerking van Persoonsgegevens door Verwerker en vervangt alle voorgaande bewerkersovereenkomsten en andere schriftelijke dan wel mondelinge afspraken en correspondentie over dat onderwerp.
13.2. Ingeval van strijdigheid van de bepalingen van deze Verwerkersovereenkomst met de Algemene Voorwaarden van House of Numbers B.V. prevaleert deze
Verwerkersovereenkomst.
13.3. Mededelingen betrekking hebbend op deze Verwerkersovereenkomst dienen schriftelijk te worden gedaan.
13.4. Deze Verwerkersovereenkomst is aangegaan met het doel te voldoen aan de vereisten gesteld door de AVG aan de Verwerking van Persoonsgegevens door Verwerker ten behoeve van Verwerkingsverantwoordelijke. Indien de wettelijke vereisten vergen dat deze Verwerkersovereenkomst wordt gewijzigd, mag elke Partij een wijzigingsvoorstel doen, waarna de Partijen in goed vertrouwen onderhandelingen zullen aangaan om overeenstemming te bereiken, om de voortdurende naleving van de toepasselijke wetgeving te verzekeren.
13.5. Verwerker is daarnaast gerechtigd deze Verwerkersovereenkomst van tijd tot tijd eenzijdig te herzien. Zij zal minimaal één maand van tevoren mededeling doen van de wijzigingen aan Verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke mag opzeggen tegen het einde van deze maand indien zij niet akkoord kan gaan met de wijzigingen. Een akkoord met de gewijzigde voorwaarden kan elektronisch worden gegeven. Indien de Verwerkingsverantwoordelijke een maand na aankondiging van de gewijzigde voorwaarden gebruik maakt van de dienstverlening van Verwerker waarop de Verwerkersovereenkomst betrekking heeft, geldt dit ook als een akkoord met de gewijzigde voorwaarden.

ARTIKEL 14. TOEPASSELIJK RECHT EN GESCHILLENBESLECHTING
14.1. De Verwerkersovereenkomst en de uitvoering daarvan worden beheerst door Nederlands recht.
14.2. Alle geschillen, welke tussen Partijen mochten ontstaan in verband met de Verwerkersovereenkomst, zullen worden voorgelegd aan de bevoegde rechter voor het arrondissement waarin Verwerker gevestigd is.

ONDERTEKENING
Aldus vastgesteld en overeengekomen te Amsterdam, op 20 juni 2022

House of Numbers B.V. R.E.J. Schouten

BIJLAGE A. OVERZICHT VAN DE VERWERKINGEN
In deze bijlage worden de verwerkingen die door de Verwerker namens de Verwerkingsverantwoordelijke
worden uitgevoerd nader beschreven.
Het verwerken van informatie ten behoeve van het ondersteunen van organisaties bij de financiële huishouding, waaronder het opstellen van jaarcijfers, het uitvoeren van salarisadministraties en het doen van Btw-aangiften.
Tevens het verwerken van informatie ten behoeve van het ondersteunen van particulieren bij de financiële huishouding, waaronder advisering over financiële vraagstukken, het doen van Btw-aangiften en het uitvoeren van administratieve werkzaamheden.
Ten slotte het verwerken van persoonsgegevens ten behoeve van de eigen bedrijfsvoering, waaronder salarisverwerking van medewerkers.

BIJLAGE B. BEVEILIGINGSPROTOCOL
In deze Bijlage worden de technische en organisatorische maatregelen ter beveiliging van de Verwerking
van Persoonsgegevens nader beschreven.

ORGANISATORISCHE MAATREGELEN:
Geheimhoudingsplicht: Informatie die tijdens het werk of binnen de context van de te verrichte werkzaamheden wordt opgedaan zal niet worden gedeeld met anderen buiten de organisatie, behalve wanneer hier een juridische grondslag voor is.
Veilig werken: Bij het uitvoeren van het werk zal aandacht worden besteed aan het veilig werken en het
zorgvuldig omgaan met de te verwerken informatie. Hieronder worden de volgende zaken verstaan:
• Clean desk: Vertrouwelijke informatie wordt goed opgeborgen als je deze tijdelijk niet meer nodig hebt. Dit geldt ook voor het vertrek ’s avonds.
• Clear screen: Sluit je computer af als je even weg bent
• Laat geen documenten liggen op plekken waar je er geen zicht op hebt. Dit geldt ook voor printen: Haal je afdrukken meteen van de printer, laat ze daar niet liggen.
• Deel informatie alleen als het nodig is
• Vernietig documenten en informatie op een beveiligde manier (bijvoorbeeld met de shredder)
• Laat je laptop en smartphone niet onbeheerd achter – ook deze bevatten vertrouwelijke informatie
• Voer vertrouwelijke gesprekken niet in openbare ruimtes
• Laat bezoek niet zonder begeleiding rondlopen door de kantoorruimte
Verplichting tot het melden van datalekken: Medewerkers dienen een geconstateerd of vermoed data-lek direct bij de directie te melden. Verzuim van het doen van een melding kan leiden tot disciplinaire
maatregelen.

TECHNISCHE MAATREGELEN:

Encryptie van data

Vertrouwelijke informatie, waaronder persoonsgegevens, wordt enkel verstuurd via versleutelde verbindingen (HTTPS). Deze technische maatregelen worden door de gebruikte sub verwerkers geboden en
beheerd.

Afgesloten systemen

Data verwerkende systemen die binnen de kantooromgeving van Verwerker worden gehuisvest, zijn enkel
beschikbaar binnen het kantoornetwerk van Verwerker en daarmee niet beschikbaar voor externen