Verwerkersovereenkomst

1. Wanneer geldt deze overeenkomst

1. Deze verwerkersovereenkomst is van toepassing zodra de klant via een dienst van NextraHosting (zoals webhosting, VPS of e-mailhosting) persoonsgegevens verwerkt van eigen klanten, bezoekers, medewerkers of andere betrokkenen — bijvoorbeeld via een gehoste website, webshop of mailbox.
2. In dat geval is de klant de verwerkingsverantwoordelijke in de zin van de AVG, en treedt NextraHosting op als verwerker: NextraHosting verwerkt die gegevens uitsluitend ten behoeve van het technisch leveren van de dienst en niet voor eigen doeleinden.
3. Deze overeenkomst maakt onderdeel uit van, en is aanvullend op, de algemene voorwaarden van NextraHosting. Bij tegenstrijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden voor zover het de verwerking van persoonsgegevens betreft, gaat deze verwerkersovereenkomst voor.
4. Door een dienst te bestellen waarbij persoonsgegevens van derden worden verwerkt, aanvaardt de klant deze verwerkersovereenkomst. Voor klanten die een specifiek ondertekend exemplaar wensen, kan hierover contact worden opgenomen via het klantenportaal.

2. Definities

Begrippen als "verwerkingsverantwoordelijke", "verwerker", "betrokkene", "persoonsgegevens", "verwerking" en "datalek" hebben de betekenis die de AVG daaraan geeft. Met "klant" wordt in dit document bedoeld: de klant van NextraHosting in de hoedanigheid van verwerkingsverantwoordelijke.

3. Onderwerp, aard en doel van de verwerking

1. NextraHosting verwerkt persoonsgegevens uitsluitend voor zover dit noodzakelijk is voor het leveren van de door de klant afgenomen dienst (zoals opslag, verzending en beschikbaarstelling van data via hosting, VPS of e-mail).
2. De aard van de verwerking bestaat in hoofdzaak uit het opslaan, doorgeven en beschikbaar houden van gegevens die de klant zelf via de dienst verwerkt. NextraHosting bepaalt niet het doel of de middelen van deze verwerking; dat doet de klant.
3. De categorieën betrokkenen en soorten persoonsgegevens zijn afhankelijk van hoe de klant de dienst inricht en gebruikt, en worden indicatief beschreven in de bijlage bij artikel 16.

4. Instructies van de verwerkingsverantwoordelijke

1. NextraHosting verwerkt persoonsgegevens uitsluitend op basis van deze overeenkomst en op basis van de door de klant via het gebruik van de dienst impliciet gegeven instructies (bijvoorbeeld de wijze waarop de klant de dienst configureert).
2. Aanvullende schriftelijke instructies die redelijkerwijs buiten de normale technische levering van de dienst vallen, kan NextraHosting alleen uitvoeren voor zover dit technisch mogelijk is en tegen eventueel nader overeen te komen voorwaarden.
3. Indien NextraHosting van mening is dat een instructie in strijd is met de AVG of andere toepasselijke privacywetgeving, informeert zij de klant hierover voordat zij de instructie uitvoert.

5. Verplichtingen van NextraHosting als verwerker

1. NextraHosting verwerkt de persoonsgegevens uitsluitend voor het doel omschreven in artikel 3, en niet voor eigen doeleinden zoals marketing, tenzij de klant hiervoor uitdrukkelijk toestemming heeft gegeven.
2. NextraHosting zorgt ervoor dat personen die onder haar gezag persoonsgegevens verwerken (waaronder medewerkers), gehouden zijn aan geheimhouding, zie artikel 6.
3. NextraHosting stelt de klant desgevraagd, binnen redelijke termijn, de informatie beschikbaar die nodig is om aan te tonen dat aan de verplichtingen uit dit document en de AVG wordt voldaan.

6. Geheimhouding

NextraHosting en de personen die in dienst van NextraHosting of namens haar persoonsgegevens verwerken, zijn verplicht tot geheimhouding van de persoonsgegevens waarvan zij kennisnemen, behoudens voor zover een wettelijke plicht tot bekendmaking geldt.

7. Beveiligingsmaatregelen

1. NextraHosting treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking, rekening houdend met de stand van de techniek, de uitvoeringskosten, en de aard, omvang, context en doeleinden van de verwerking.
2. Deze maatregelen omvatten onder meer: versleutelde verbindingen, toegangsbeveiliging op basis van functiescheiding, logging en monitoring van systemen, en periodieke evaluatie van getroffen maatregelen.
3. De klant is zelf verantwoordelijk voor het treffen van passende maatregelen binnen zijn eigen toepassing (bijvoorbeeld een correct beveiligde website of webshop) en voor het beheer van eigen inloggegevens.
4. De in dit artikel genoemde maatregelen zijn gericht op beveiliging tegen verlies en onrechtmatige verwerking en vormen nadrukkelijk geen back-upgarantie. De klant blijft, ook in zijn hoedanigheid van verwerkingsverantwoordelijke, te allen tijde zelf en als enige verantwoordelijk voor het maken en actueel houden van eigen back-ups van alle persoonsgegevens die hij via de dienst verwerkt, conform artikel 10 van de algemene voorwaarden. NextraHosting is niet aansprakelijk voor verlies van deze gegevens, behoudens voor zover dit het gevolg is van opzet of bewuste roekeloosheid van NextraHosting.

8. Inschakelen van subverwerkers

1. De klant geeft NextraHosting toestemming om voor de uitvoering van de dienst subverwerkers in te schakelen, zoals datacenters, infrastructuurpartners en aanbieders van technische ondersteunende diensten.
2. NextraHosting legt aan iedere subverwerker vergelijkbare verplichtingen op als in deze overeenkomst zijn opgenomen, en blijft jegens de klant verantwoordelijk voor de nakoming daarvan door de subverwerker.
3. Bij een voorgenomen wijziging van subverwerkers die redelijkerwijs relevant is voor de klant, informeert NextraHosting de klant hierover, zodat de klant bezwaar kan maken op basis van gegronde privacygronden.

9. Bijstand bij rechten van betrokkenen

Voor zover een betrokkene een verzoek richt aan NextraHosting dat feitelijk de klant als verwerkingsverantwoordelijke aangaat (bijvoorbeeld een inzageverzoek over gegevens die de klant via de dienst verwerkt), stelt NextraHosting de klant hiervan zo spoedig mogelijk op de hoogte en verwijst zij de betrokkene, waar mogelijk, door naar de klant. NextraHosting verleent redelijke medewerking aan de klant om aan diens verplichtingen op grond van de AVG te voldoen.

10. Meldplicht datalekken

1. NextraHosting informeert de klant zonder onredelijke vertraging nadat zij kennis heeft genomen van een inbreuk in verband met persoonsgegevens die de klant via de dienst verwerkt (datalek), zodat de klant zo nodig tijdig kan voldoen aan zijn eigen meldplicht richting de Autoriteit Persoonsgegevens en, indien vereist, betrokkenen.
2. NextraHosting verstrekt daarbij de op dat moment beschikbare informatie over de aard van de inbreuk, de vermoedelijke gevolgen en de reeds genomen of voorgestelde maatregelen.

11. Audit

NextraHosting verstrekt de klant desgevraagd relevante informatie om aan te tonen dat zij aan haar verplichtingen op grond van deze overeenkomst voldoet, bijvoorbeeld via beschikbare beveiligingsdocumentatie. Een audit ter plaatse is alleen mogelijk na voorafgaand overleg, binnen redelijke grenzen wat betreft aankondigingstermijn, frequentie en kosten, en met inachtneming van de vertrouwelijkheid en veiligheid van de systemen van NextraHosting en haar overige klanten.

12. Doorgifte buiten de EER

NextraHosting verwerkt persoonsgegevens in beginsel binnen de Europese Economische Ruimte (EER). Indien voor de uitvoering van de dienst gegevens buiten de EER worden verwerkt, zorgt NextraHosting ervoor dat dit gebeurt met een passend beschermingsniveau, bijvoorbeeld op basis van een adequaatheidsbesluit van de Europese Commissie of modelcontractbepalingen.

13. Aansprakelijkheid

De aansprakelijkheid van NextraHosting onder deze verwerkersovereenkomst is onderworpen aan dezelfde beperkingen als opgenomen in artikel 12 van de algemene voorwaarden van NextraHosting, waaronder de specifieke uitsluiting van aansprakelijkheid voor verlies van gegevens uit artikel 10 daarvan, voor zover dwingend recht zich daar niet tegen verzet.

14. Duur, teruggave en vernietiging van gegevens

1. Deze verwerkersovereenkomst geldt zolang de klant een dienst afneemt waarbij persoonsgegevens van derden worden verwerkt, en eindigt van rechtswege op het moment dat die dienst eindigt.
2. Na beëindiging van de overeenkomst worden de bij de dienst behorende persoonsgegevens verwijderd conform artikel 7 van de algemene voorwaarden, tenzij een wettelijke bewaarplicht anders vereist. De klant is zelf, volledig en als enige verantwoordelijk voor het tijdig veiligstellen van een eigen kopie van de gegevens vóór beëindiging; na verwijdering is herstel niet meer mogelijk en aanvaardt NextraHosting hiervoor geen aansprakelijkheid.

15. Toepasselijk recht en rangorde

Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Voor geschillenbeslechting geldt hetgeen is bepaald in artikel 17 van de algemene voorwaarden.

16. Bijlage: overzicht van de verwerking

Dit overzicht is indicatief en afhankelijk van de wijze waarop de klant de dienst inricht en gebruikt.

Categorieën betrokkenen (afhankelijk van klantgebruik)

• Klanten en contactpersonen van de klant
• Bezoekers van een door de klant gehoste website
• Ontvangers en afzenders van e-mail via een bij NextraHosting afgenomen mailbox

Categorieën persoonsgegevens (afhankelijk van klantgebruik)

• Contactgegevens (naam, e-mailadres, telefoonnummer, adres)
• Inloggegevens voor een door de klant beheerde toepassing
• Inhoud van e-mailberichten en bijlagen
• Technische gegevens zoals IP-adressen in serverlogs

Duur van de verwerking

Zolang de onderliggende dienst loopt, en tot maximaal 30 dagen na beëindiging daarvan, tenzij een wettelijke bewaarplicht anders vereist.

Subverwerkers

Een actueel overzicht van door NextraHosting ingeschakelde subverwerkers (waaronder datacenter- en infrastructuurpartners) is op verzoek beschikbaar via het klantenportaal.