Verwerkersovereenkomst

Grondslag: Uitvoeringsbesluit (EU) 2021/915, modelbepalingen voor art. 28 lid 7 AVG. De klant is verwerkingsverantwoordelijke, axnet verwerker. Deze bepalingen horen bij de overeenkomst (algemene voorwaarden, artikel 2.3) en gelden vanaf de aanmelding (artikel 3.3); een aparte acceptatie is niet nodig. De klant vindt ze in de console, onder Juridisch & data.

Bijlage I bundelt bijlage I en II van het model; bijlage II en III hier zijn bijlage III en IV van het model.

1. Doel en toepassingsgebied

1. Deze bepalingen waarborgen dat art. 28 lid 3 en 4 AVG wordt nageleefd.
2. De partijen staan in bijlage I.
3. De bepalingen gelden voor de verwerking in bijlage I.
4. De bijlagen I tot en met III zijn onderdeel van deze bepalingen.
5. De bepalingen laten de verplichtingen van de klant onder de AVG onverlet.
6. De bepalingen waarborgen op zichzelf niet de naleving van hoofdstuk V AVG (doorgifte).

2. Onveranderlijkheid

1. Partijen wijzigen deze bepalingen niet, behalve om de bijlagen aan te vullen of bij te werken.
2. Partijen mogen de bepalingen opnemen in een ruimer contract en er bepalingen aan toevoegen, als die er niet rechtstreeks of indirect mee in strijd zijn en de rechten van betrokkenen niet beperken.

3. Uitleg

1. Begrippen uit de AVG hebben hier dezelfde betekenis.
2. De bepalingen worden gelezen in het licht van de AVG.
3. De bepalingen worden niet uitgelegd in strijd met de AVG of op een manier die de rechten van betrokkenen beperkt.

4. Rangorde

Bij strijd tussen deze bepalingen en andere afspraken tussen partijen gaan deze bepalingen voor.

5. Toetreding

1. Een andere entiteit kan met instemming van alle partijen toetreden, door bijlage I aan te vullen.
2. Vanaf de toetreding is zij partij, met de rechten en plichten van haar rol.
3. Voor de periode vóór de toetreding heeft zij geen rechten of plichten.

6. Beschrijving van de verwerking

De verwerking, met de doeleinden, staat in bijlage I.

7. Verplichtingen van partijen

7.1 Instructies

1. axnet verwerkt alleen op gedocumenteerde instructies van de klant, tenzij Unierecht of Nederlands recht verwerking vereist. axnet meldt dat dan vooraf, tenzij de wet dat verbiedt. De overeenkomst en wat de klant in de console en via de API doet, gelden als instructies. De klant kan tijdens de looptijd verdere instructies geven; die worden vastgelegd.
2. axnet meldt het de klant direct als een instructie naar zijn oordeel in strijd is met de AVG of ander privacyrecht.

7.2 Doelbinding

axnet verwerkt alleen voor de doeleinden in bijlage I, tenzij de klant verdere instructies geeft.

7.3 Duur

axnet verwerkt alleen gedurende de periode in bijlage I.

7.4 Beveiliging

1. axnet neemt ten minste de maatregelen in bijlage II, ook tegen een inbreuk in verband met persoonsgegevens. axnet houdt daarbij rekening met de stand van de techniek, de kosten, de aard, omvang, context en doeleinden van de verwerking, en de risico’s voor betrokkenen.
2. axnet geeft medewerkers alleen toegang tot persoonsgegevens voor zover dat strikt nodig is. Zij hebben een geheimhoudingsplicht.

7.5 Gevoelige gegevens

De klant bepaalt welke gegevens hij in de dienst zet. Gaat het om bijzondere categorieën of strafrechtelijke gegevens (AVG art. 9 en 10), dan past axnet specifieke beperkingen of aanvullende waarborgen toe, zoals partijen die schriftelijk afspreken.

7.6 Documentatie en naleving

1. Partijen kunnen de naleving van deze bepalingen aantonen.
2. axnet behandelt vragen van de klant over de verwerking snel en adequaat.
3. axnet geeft de klant alle informatie die nodig is om naleving aan te tonen. axnet staat audits toe en werkt eraan mee, met redelijke tussenpozen of bij aanwijzingen van niet-naleving.
4. De klant kan de audit zelf doen of een onafhankelijke auditor aanwijzen. Een audit kan een inspectie van de locaties van axnet omvatten, met een redelijke aankondiging.
5. Partijen geven deze informatie, ook de uitkomst van audits, op verzoek aan de toezichthouder.

7.7 Subverwerkers

1. De klant geeft algemene toestemming voor de subverwerkers in bijlage III. axnet meldt een voorgenomen toevoeging of vervanging minstens 30 dagen vooraf, per e-mail en in de console, zodat de klant bezwaar kan maken. axnet geeft de informatie die daarvoor nodig is.
2. axnet legt een subverwerker in een contract in wezen dezelfde verplichtingen op als deze bepalingen.
3. Op verzoek geeft axnet een kopie van zo’n contract. Bedrijfsgeheimen, ook persoonsgegevens, mag axnet daarin weglakken.
4. axnet blijft tegenover de klant volledig aansprakelijk voor de subverwerker, en meldt het als die zijn verplichtingen niet nakomt.
5. Waar axnet het kan afspreken, staat in het contract met de subverwerker dat de klant, als axnet feitelijk verdwijnt of insolvent wordt, dat contract mag beëindigen en de subverwerker mag opdragen de persoonsgegevens te wissen of terug te geven. Google biedt alleen standaardvoorwaarden, zonder dat recht; eindigt het contract van axnet met Google, dan wist Google de gegevens volgens zijn Cloud Data Processing Addendum (art. 6.2).

7.8 Doorgifte

1. axnet geeft persoonsgegevens alleen door aan een derde land of internationale organisatie op gedocumenteerde instructie van de klant, of als Unierecht of Nederlands recht dat vereist, en in overeenstemming met hoofdstuk V AVG.
2. Doet een subverwerker zo’n doorgifte, dan mogen axnet en de subverwerker de naleving van hoofdstuk V waarborgen met de standaardcontractbepalingen van de Europese Commissie (AVG art. 46 lid 2), als aan de voorwaarden daarvan is voldaan.

8. Bijstand aan de klant

1. axnet meldt een verzoek van een betrokkene direct aan de klant en beantwoordt het niet zelf, tenzij de klant daartoe opdracht geeft.
2. axnet helpt de klant met passende technische en organisatorische maatregelen om verzoeken van betrokkenen te beantwoorden.
3. axnet helpt de klant daarnaast, rekening houdend met de aard van de verwerking en de informatie waarover axnet beschikt, bij:
   1. een gegevensbeschermingseffectbeoordeling (AVG art. 35);
   2. een voorafgaande raadpleging van de Autoriteit Persoonsgegevens (AVG art. 36);
   3. juiste en actuele gegevens: axnet meldt het direct als het merkt dat gegevens onjuist of verouderd zijn;
   4. de verplichtingen van AVG art. 32.
4. De maatregelen voor deze bijstand staan in bijlage II.

9. Inbreuken

9.1 Bij de klant

Bij een inbreuk in verband met persoonsgegevens die de klant verwerkt, helpt axnet de klant:

1. de inbreuk te melden aan de Autoriteit Persoonsgegevens, zonder onredelijke vertraging en zo mogelijk binnen 72 uur nadat de klant ervan weet;
2. de informatie voor die melding te verkrijgen: de aard van de inbreuk, de waarschijnlijke gevolgen en de maatregelen;
3. de betrokkenen te informeren als de inbreuk waarschijnlijk een hoog risico voor hen oplevert (AVG art. 34).

9.2 Bij axnet

Bij een inbreuk in verband met persoonsgegevens die axnet voor de klant verwerkt, meldt axnet dat zonder onredelijke vertraging, uiterlijk binnen 48 uur nadat axnet ervan weet, aan het beveiligingscontact dat de klant in de console opgaf. De melding bevat ten minste:

1. de aard van de inbreuk, met zo mogelijk de categorieën en het geschatte aantal betrokkenen en gegevens;
2. een contactpunt voor meer informatie;
3. de waarschijnlijke gevolgen, en de maatregelen die axnet nam of voorstelt.

Is niet alle informatie tegelijk beschikbaar, dan volgt de rest zonder onredelijke vertraging.

10. Niet-naleving en einde

1. Komt axnet deze bepalingen niet na, dan kan de klant axnet opdragen de verwerking op te schorten tot axnet ze weer naleeft. axnet meldt het de klant direct als het ze niet kan naleven.
2. De klant mag de overeenkomst ontbinden voor zover die de verwerking betreft, als:
   1. de verwerking is opgeschort en axnet de bepalingen niet binnen een redelijke termijn, en uiterlijk binnen een maand, weer naleeft;
   2. axnet deze bepalingen of de AVG wezenlijk of blijvend schendt;
   3. axnet een bindende beslissing van een rechter of van de Autoriteit Persoonsgegevens over deze bepalingen niet naleeft.
3. axnet mag de overeenkomst ontbinden voor zover die de verwerking betreft, als de klant vasthoudt aan een instructie waarvan axnet meldde dat die in strijd is met de wet (clausule 7.1).
4. Na het einde wist axnet, naar keuze van de klant, alle persoonsgegevens of geeft ze terug, en wist axnet bestaande kopieën, tenzij de wet bewaren vereist. Export en wissen volgen de termijnen van artikel 9 van de algemene voorwaarden. Na beëindiging wegens niet betalen is er geen exportperiode: axnet wist de gegevens bij de beëindiging, 30 dagen na het stoppen van de machines (voorwaarden artikel 7.1 en 8.5). Back-ups verlopen na 7 dagen. Tot het wissen waarborgt axnet de naleving van deze bepalingen.

Bijlage I · Partijen en verwerking

Verwerkingsverantwoordelijke

Partij

De klant, met de bedrijfsgegevens in de console

Contact

Het beveiligingscontact in de console

Activiteit

Gebruik van de dienst van axnet

Ondertekening

Aanvaarding van de algemene voorwaarden bij de aanmelding (voorwaarden artikel 3.3): datum en versie

Verwerker

Partij

axnet, een eenmanszaak ingeschreven bij de KvK onder nummer 98873423

Contact

privacy@axnet.nl · info@axnet.nl

Activiteit

Rekenkracht, opslag, netwerk en back-ups (hosting)

Ondertekening

Publicatie van deze versie

Verwerking

Betrokkenen

Bepaald door de klant, zoals zijn klanten, medewerkers en de gebruikers van zijn toepassingen

Gegevens

Bepaald door de klant: alles op zijn machines, volumes, snapshots, back-ups en images; daarnaast IP-adressen in de firewall-log en in metrics

Gevoelige gegevens

Bepaald door de klant (clausule 7.5)

Aard

Opslaan, hosten, back-uppen en netwerkverkeer doorgeven. axnet kijkt niet in de gegevens.

Doel

De dienst leveren volgens de overeenkomst

Duur

Looptijd van de overeenkomst, plus de termijnen voor export en wissen

Frequentie

Doorlopend

Locatie

EU-NL-1 · regio Amsterdam, Nederland, in het datacenter van Alsycon B.V. (KvK 74671960); back-ups in hetzelfde datacenter, op eigen infrastructuur van axnet

Bijlage II · Maatregelen

Toegang

Inloggen

Tweestapsverificatie verplicht voor elk account; passkeys; sessies inzien en beëindigen

Rechten

Rollen Eigenaar, Beheerder, Facturatie, Lid en Auditor; toegang per project of machine

Beleid

Beveiligingsbeleid per organisatie

Log

Activiteiten- en auditlog per organisatie

Medewerkers

Alleen de eigenaar van axnet heeft toegang; nieuwe medewerkers tekenen een geheimhoudingsverklaring voordat zij toegang krijgen

Scheiding

Klanten

Elke klant een eigen organisatie; klanten hebben geen toegang tot de onderliggende virtualisatie

Machines

Compute in eigen virtuele machines; containers unprivileged

Netwerk

Privénetwerken per organisatie; geen gedeeld IPv4-adres

Netwerk

Firewall

De axnet firewall per machine: policies, controleren en toepassen, log

Mail

Uitgaande mail (poort 25) dicht voor nieuwe accounts

Transport

Console en API alleen via HTTPS

Gegevens

Back-ups

Optie per machine: dagelijks, 7 dagen bewaard, herstel van losse bestanden

Fysiek

Datacenter (bijlage I), toegang: 24/7 beveiligd, met toegangspas

Bijlage III · Subverwerkers

Google kan gegevens ook buiten de EER verwerken, zoals in de Verenigde Staten. Daarvoor geldt clausule 7.8.

Wijzigingen meldt axnet minstens 30 dagen vooraf; de klant kan bezwaar maken (clausule 7.7).