Verwerkersovereenkomst

1. Partijen en rollen

Deze overeenkomst geldt tussen de klant (de verwerkingsverantwoordelijke) en OK2Work, KvK [nog in te vullen], [nog in te vullen] (de verwerker, hierna “OK2Work”). Hij hoort bij de algemene voorwaarden en is door de klant aanvaard bij het aanmaken van de omgeving. Bij tegenstrijdigheid gaat deze overeenkomst voor, voor zover het om persoonsgegevens gaat.

2. Onderwerp

OK2Work verwerkt persoonsgegevens alleen om de dienst OK2Work te leveren: werkvergunningen, LOTOTO, toolboxmeetings, meldingen en acties vastleggen en tonen, e-mails versturen die bij de dienst horen, en de dienst beveiligen en onderhouden.

Een melding van een ongeval kan gegevens over letsel bevatten; dat zijn gezondheidsgegevens. De klant zorgt dat daar niet meer in komt dan nodig is om het ongeval te onderzoeken en te voorkomen (bijvoorbeeld “snijwond aan hand”, geen medische details), en dat alleen wie het nodig heeft de melding kan zien. Andere bijzondere persoonsgegevens horen niet in OK2Work.

3. Instructies

OK2Work verwerkt de gegevens alleen in opdracht van de klant, zoals vastgelegd in deze overeenkomst en zoals de klant de dienst zelf instelt en gebruikt. OK2Work gebruikt de gegevens niet voor eigen doeleinden en verkoopt ze niet. Vindt OK2Work een instructie in strijd met de wet, dan meldt zij dat aan de klant.

4. Geheimhouding

Iedereen die namens OK2Work toegang heeft tot de gegevens, is tot geheimhouding verplicht. Toegang is beperkt tot wat nodig is voor de dienst, beveiliging of support.

5. Beveiliging

OK2Work neemt passende technische en organisatorische maatregelen, waaronder:

• versleutelde verbindingen (https) en beveiligingsheaders;
• wachtwoorden alleen als hash opgeslagen;
• strikte afscherming van de gegevens per klant, die bij elke wijziging automatisch wordt getest;
• afremmen van inlogpogingen en een logboek van acties;
• tweestapverificatie met een authenticator-app, die de klant voor al zijn gebruikers verplicht kan stellen;
• opslag in een database in de EU (Frankfurt);
• automatisch verwijderen van oude inlogpogingen, IP-adressen en e-mails.

6. Subverwerkers

De klant geeft toestemming voor het inschakelen van deze subverwerkers:

OK2Work legt aan elke subverwerker minstens dezelfde verplichtingen op als in deze overeenkomst. Doorgifte buiten de EER gebeurt alleen met passende waarborgen, zoals de standaardcontractbepalingen van de Europese Commissie of het EU-VS Data Privacy Framework. Een nieuwe subverwerker meldt OK2Work minstens 30 dagen vooraf per e-mail aan de beheerder. Heeft de klant een gegronde reden om bezwaar te maken, dan zoeken we samen een oplossing; lukt dat niet, dan mag de klant opzeggen.

7. Datalekken

OK2Work meldt een inbreuk op de beveiliging die gevolgen heeft voor persoonsgegevens van de klant zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat zij die heeft ontdekt. De melding bevat wat er bekend is over de aard, de betrokken gegevens, de waarschijnlijke gevolgen en de genomen maatregelen. De klant beslist of hij het lek meldt bij de Autoriteit Persoonsgegevens en de betrokkenen; OK2Work helpt daarbij.

8. Hulp aan de klant

OK2Work helpt de klant, voor zover redelijk, bij verzoeken van betrokkenen (zoals inzage of verwijdering) en bij een eventuele gegevensbeschermingseffectbeoordeling. Veel hiervan kan de klant zelf in OK2Work doen, bijvoorbeeld gebruikers aanpassen of op inactief zetten. Krijgt OK2Work zelf een verzoek van een betrokkene, dan stuurt zij dat door naar de klant.

9. Einde van de overeenkomst

Na het einde van het abonnement kan de klant zijn gegevens nog 90 dagen opvragen in een gangbaar bestand. Daarna verwijdert OK2Work de omgeving met alle persoonsgegevens, tenzij de wet bewaren verplicht. Kopieën in back-ups verdwijnen zodra die volgens de normale cyclus worden overschreven.

10. Controle

OK2Work geeft de klant op verzoek de informatie die nodig is om aan te tonen dat zij zich aan deze overeenkomst houdt. Een audit door een onafhankelijke deskundige is mogelijk na een aankondiging van minstens 30 dagen, hooguit eens per jaar (behalve na een datalek), en op kosten van de klant.

11. Aansprakelijkheid en looptijd

Voor aansprakelijkheid geldt wat daarover in de algemene voorwaarden staat. Deze overeenkomst loopt zolang OK2Work persoonsgegevens voor de klant verwerkt. Op deze overeenkomst is Nederlands recht van toepassing.

Contact

Vragen, of een getekende versie nodig voor jullie administratie? Mail naar info@ok2work.nl.