Verwerkingsverantwoordelijke heeft Verwerker opdracht gegeven tot het verrichten van de volgende dienstverlening: [beschrijving dienstverlening, bijv. "advisering inzake contractstructurering en de bijbehorende toegang tot het klantportaal van Lake-Project"] (hierna: de "Diensten"), zoals nader omschreven in de tussen Partijen gesloten opdracht/overeenkomst van [datum overeenkomst] (de "Hoofdovereenkomst").

In het kader van de uitvoering van de Diensten verwerkt Verwerker persoonsgegevens namens Verwerkingsverantwoordelijke. Partijen wensen de voorwaarden voor deze verwerking in de onderhavige verwerkersovereenkomst (de "VOK") vast te leggen, overeenkomstig art. 28 lid 3 van de Algemene Verordening Gegevensbescherming (EU) 2016/679 ("AVG").

In deze VOK hebben de begrippen die in de AVG zijn gedefinieerd dezelfde betekenis als in de AVG. Voorts gelden de volgende definities:

1. Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals nader omschreven in Bijlage A.
2. Betrokkene: de natuurlijke persoon op wie de persoonsgegevens betrekking hebben.
3. Datalek: een inbreuk in verband met persoonsgegevens als bedoeld in art. 4 lid 12 AVG.
4. Sub-verwerker: een derde partij die door Verwerker wordt ingeschakeld voor de verwerking van persoonsgegevens namens Verwerkingsverantwoordelijke, zoals vermeld in Bijlage B.

1. Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de uitvoering van de Diensten en conform de in Bijlage A opgenomen specificatie.
2. Verwerker verwerkt de persoonsgegevens niet voor eigen doeleinden of andere doeleinden dan zoals door Verwerkingsverantwoordelijke schriftelijk is opgedragen.
3. Verwerker verwerkt de persoonsgegevens in de Europese Economische Ruimte (EER), tenzij Verwerkingsverantwoordelijke schriftelijk toestemming geeft voor verwerking buiten de EER. Voor gebruik van sub-verwerkers buiten de EER zijn passende waarborgen van kracht conform artikel 46 AVG (standaardcontractbepalingen).

1. Verwerker verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van Verwerkingsverantwoordelijke, tenzij een Unierechtelijke of lidstaatrechtelijke bepaling Verwerker verplicht tot verdere verwerking. In dat geval stelt Verwerker Verwerkingsverantwoordelijke vóór de verwerking in kennis van die wettelijke verplichting, tenzij dat wettelijk verboden is.
2. De Hoofdovereenkomst en deze VOK gelden als gedocumenteerde instructie.
3. Verwerker deelt Verwerkingsverantwoordelijke onverwijld mede als naar zijn oordeel een instructie inbreuk maakt op de AVG of andere toepasselijke privacywetgeving.

1. Verwerker waarborgt dat personen die gemachtigd zijn de persoonsgegevens te verwerken, deze vertrouwelijk behandelen en daartoe gebonden zijn door een wettelijke of contractuele geheimhoudingsplicht.
2. Verwerker beperkt de toegang tot persoonsgegevens tot die personen voor wie toegang noodzakelijk is voor de uitvoering van de Diensten.

1. Verwerker treft passende technische en organisatorische maatregelen om een beveiligingsniveau te waarborgen dat is afgestemd op het risico, waaronder:
   • versleuteling van persoonsgegevens in rust en tijdens transport (TLS 1.2+);
   • toegangsbeveiliging op basis van het principe van minimale rechten;
   • gebruik van meertrapsauthenticatie (passkeys / MFA) voor systemen die persoonsgegevens bevatten;
   • patchbeheer: kritieke beveiligingsupdates worden binnen 30 dagen toegepast;
   • periodieke back-ups en gedocumenteerde herstelprocedures.
2. Een overzicht van de genomen maatregelen is op verzoek beschikbaar. Verwerker voert op verzoek en ten minste eenmaal per jaar een interne beoordeling uit van de effectiviteit van de maatregelen.

1. Verwerkingsverantwoordelijke verleent Verwerker hierbij algemene toestemming om de in Bijlage B genoemde sub-verwerkers in te schakelen.
2. Verwerker legt aan sub-verwerkers gelijkwaardige verplichtingen op als die welke in deze VOK zijn neergelegd. Verwerker blijft jegens Verwerkingsverantwoordelijke volledig aansprakelijk voor de naleving door sub-verwerkers.
3. Verwerker stelt Verwerkingsverantwoordelijke minimaal 30 dagen vóór het inschakelen van een nieuwe sub-verwerker schriftelijk op de hoogte. Verwerkingsverantwoordelijke kan binnen 14 dagen na kennisgeving schriftelijk bezwaar maken; in dat geval treden Partijen in overleg over een passende oplossing.

1. Verwerker assisteert Verwerkingsverantwoordelijke door passende technische en organisatorische maatregelen bij het vervullen van de plicht om verzoeken om uitoefening van de rechten van betrokkenen (art. 15–22 AVG) te beantwoorden.
2. Verwerker stuurt verzoeken van betrokkenen die rechtstreeks bij Verwerker worden ingediend, onverwijld door naar Verwerkingsverantwoordelijke.
3. Verwerker beantwoordt dergelijke verzoeken niet zelfstandig zonder voorafgaande instructie van Verwerkingsverantwoordelijke, tenzij wettelijk verplicht.

1. Verwerker stelt Verwerkingsverantwoordelijke onverwijld en uiterlijk 24 uur na ontdekking op de hoogte van een (vermoedelijk) datalek dat betrekking heeft op de verwerkte persoonsgegevens.
2. De melding bevat ten minste: de aard van het datalek, de categorieën en het (geschatte) aantal betrokkenen en persoonsgegevensrecords, de waarschijnlijke gevolgen, en de genomen of voorgestelde maatregelen.
3. Verwerker verleent Verwerkingsverantwoordelijke alle medewerking die nodig is voor eventuele melding bij de Autoriteit Persoonsgegevens (art. 33 AVG) en kennisgeving aan betrokkenen (art. 34 AVG).
4. Verwerker houdt een intern register bij van alle datalekken.

1. Verwerker stelt aan Verwerkingsverantwoordelijke alle informatie beschikbaar die nodig is om de nakoming van de verplichtingen in deze VOK aan te tonen.
2. Verwerkingsverantwoordelijke of een door hem aangestelde auditor heeft het recht om, na minimaal 30 dagen schriftelijke vooraankondiging en op kosten van Verwerkingsverantwoordelijke, audits of inspecties uit te voeren. Partijen kunnen overeenkomen dat een audit via schriftelijke vragenlijst plaatsvindt.

1. Na beëindiging van de Diensten verwijdert of retourneert Verwerker — naar keuze van Verwerkingsverantwoordelijke — alle persoonsgegevens en verwijdert bestaande kopieën, tenzij een wettelijke bewaarplicht anders vereist.
2. Verwerker bevestigt schriftelijk de verwijdering binnen 30 dagen na beëindiging van de Diensten.

1. Deze VOK treedt in werking op de datum van ondertekening en loopt parallel met de Hoofdovereenkomst.
2. Bij beëindiging van de Hoofdovereenkomst eindigt ook deze VOK, onverminderd artikel 10 (teruggave en verwijdering) en enige bepaling waarvan de strekking meebrengt dat zij voortduurt na beëindiging.

1. De aansprakelijkheidsregeling in de Hoofdovereenkomst is van overeenkomstige toepassing op schade die voortvloeit uit een schending van deze VOK, voor zover de AVG dit toestaat.
2. Iedere Partij is aansprakelijk voor schade die zij veroorzaakt door schending van de op haar rustende AVG-verplichtingen. Partijen kunnen hun onderlinge aansprakelijkheid beperken overeenkomstig de Hoofdovereenkomst, met dien verstande dat de aansprakelijkheid jegens betrokkenen niet wordt beperkt.

1. Op deze VOK is Nederlands recht van toepassing.
2. Geschillen die voortvloeien uit of verband houden met deze VOK worden voorgelegd aan de bevoegde rechter te Rotterdam, Nederland, tenzij dwingende wettelijke bepalingen anders voorschrijven.