SO Office & Energy Verwerkersvoorwaarden
Voorafgaandelijke uiteenzetting:
(a) Wanneer SO Office & Energy ‘Persoonsgegevens’ – zijnde alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (de ‘betrokkene’) – dient te verwerken namens de klant, zullen SO Office & Energy en de klant de bepalingen van deze Bijlage, die voorrang heeft op de SO Office & Energy algemene voorwaarden in geval van conflicten tussen de bepalingen, naleven. Als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;
(b) De partijen wensen hiermee een verwerkersovereenkomst af te sluiten in overeenstemming met de vereisten van de regelgeving aangaande de verwerking van persoonsgegevens, in het bijzonder de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (de ‘Algemene Verordening Gegevensbescherming’ of ‘AVG’) en de Belgische wetten die deze verder implementeren en aanvullen. In het algemeen dienen begrippen gebruikt in deze verwerkersvoorwaarden begrepen te worden zoals bedoeld in voormelde wetgeving;
(c) De klant is aldus een verwerkingsverantwoordelijke/verwerker van de Persoonsgegevens en SO Office & Energy een verwerker van de Persoonsgegevens. Partijen komen het volgende overeen:
1. Toepassingsgebied
1.1 SO Office & Energy zal de in Annex A vermelde Persoonsgegevens verwerken in het kader van de uitvoering van haar activiteiten.
1.2 De klant zal verantwoordelijk zijn voor de bepaling van het doel en de middelen van de verwerking van de Persoonsgegevens wanneer deze verwerkingsverantwoordelijke is. Het doel van de verwerking van de Persoonsgegevens is in de eerste plaats de diensten van de hoofdovereenkomst uitvoeren (het ‘Doel’), zoals nader beschreven in Annex A.
1.3 De Persoonsgegevens die SO Office & Energy namens de klant zal verwerken, zullen de eigendom blijven van de klant, derde partijen en/of de desbetreffende betrokkenen.
2. Algemene verplichtingen
2.1 SO Office & Energy verbindt er zich toe:
(i) De persoonsgegevens te verwerken overeenkomstig de schriftelijke instructies van de klant tenzij een op SO Office & Energy van toepassing zijnde wettelijke bepaling haar tot verwerking verplicht; in dat geval stelt SO Office & Energy klant voorafgaandelijk aan de verwerking in kennis van dat wettelijke voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. SO Office & Energy zal de klant verwittigen wanneer zij van mening is dat een bepaalde instructie niet in overeenstemming is met de toepasselijke regelgeving;
(ii) de Persoonsgegevens enkel te verwerken namens de klant, in het kader van het afgesproken Doel en geenszins voor andere doeleinden;
(iii) de Persoonsgegevens te verwerken in overeenstemming met alle wettelijke bepalingen en regulering aangaande de bescherming van Persoonsgegevens, in ieder geval de AVG;
(iv) de Persoonsgegevens enkel over te dragen naar derde landen of een internationale organisatie wanneer zij in de gepaste maatregelen heeft voorzien en op voorwaarde dat voor de betrokkenen effectieve en afdwingbare rechten en effectieve mogelijkheden om administratief beroep of beroep in rechte in te stellen voorhanden zijn;
(v) het algemene vertrouwelijk karakter van de Persoonsgegevens te respecteren en de toegang tot de Persoonsgegevens te beperken tot haar medewerkers en business partners voor zover zij deze nodig hebben voor het uitvoeren van hun werkzaamheden en zij tevens tot een geheimhoudingsverplichting gebonden zijn.
2.2 Ook de klant verbindt er zich toe de Persoonsgegevens te verwerken in overeenstemming met alle wettelijke voorschriften en regulering, in ieder geval de AVG.
3. Subverwerkers
3.1 SO Office & Energy is gerechtigd een beroep te doen op subverwerkers. Klant kan bezwaar maken tegen de verwerking door de door SO Office & Energy gemelde subverwerkers. SO Office & Energy zal ervoor zorgen dat haar subverwerkers enkel Persoonsgegevens verwerken nadat zij een schriftelijke verwerkersovereenkomst heeft afgesloten met haar subverwerker, overeenkomstig de bepalingen van de verwerkersvoorwaarden.
3.2 Wanneer een subverwerker diens wettelijke verplichtingen niet nakomt, zal SO Office & Energy volledig aansprakelijk blijven voor haar subverwerker’s verplichtingen.
4. Bijstand en verzoeken van betrokkenen
4.1 SO Office & Energy zal, rekening houdende met de aard van de verwerking en de informatie die zij heeft, de klant bijstaan in het naleven van de verplichtingen vermeld in de artikelen 32 tot 36 van de AVG, zijnde aangaande de beveiligingsmaatregelen, melding aan de autoriteiten, kennisgeving aan betrokkenen, voorbereiding van gegevensbeschermingseffectbeoordelingen en voorafgaandelijke raadpleging bij autoriteiten enz.
4.2 Rekening houdende met de aard van de verwerking, zal SO Office & Energy de klant bijstaan in het vervullen van diens wettelijke verplichtingen zoals deze vermeld in hoofdstuk III van de AVG, zijnde het beantwoorden van verzoeken van betrokkenen die hun rechten wensen uit te oefenen, zoals maar niet beperkt het vragen van toegang tot hun Persoonsgegevens, rectificatie van Persoonsgegevens, wissing van Persoonsgegevens, beperking van de verwerking van Persoonsgegevens, overdraagbaarheid van gegevens en het recht om bezwaar aan te tekenen tegen geautomatiseerde individuele besluitvorming, met inbegrip van profiling en dit binnen een gepaste termijn en op kosten van klant.
5. Beveiliging
SO Office & Energy zal alle passende technische en organisatorische maatregelen nemen om de Persoonsgegevens te beschermen tegen vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking of ongeoorloofde toegang, hetzij per ongeluk hetzij onrechtmatig (de ‘Maatregelen’). Rekening houdend met de stand van de techniek, de uitvoeringskosten, zullen de passende Maatregelen genomen worden om een op het risico afgestemd beveiligingsrisico te waarborgen, tevens rekening houdende met de aard van de Persoonsgegevens en de risico’s die met de verwerking gepaard kunnen gaan.
6. Datalekken
6.1 SO Office & Energy zal de klant binnen de 48u informeren over een beveiligingsincident of een datalek dat (mogelijks) ongeoorloofde toegang, verlies of ongeoorloofde verwerking van Persoonsgegevens teweeg heeft gebracht (het ‘Datalek’).
6.2 De melding aan de klant zal in ieder geval het volgende bevatten: (i) de aard en de omvang van het Datalek (en de relevante Persoonsgegevens) en; (ii) de maatregelen die SO Office & Energy genomen heeft en de maatregelen die nog genomen moeten worden om het Datalek en de negatieve gevolgen van het Datalek te stoppen en om toekomstige Datalekken te voorkomen. Bovendien zal SO Office & Energy de klant ook alle andere gepaste en relevante informatie omtrent het Datalek bezorgen.
6.3 In geval van een Datalek zal SO Office & Energy alle medewerking verlenen om de relevante informatie te bezorgen aan de autoriteit en de betrokkenen.
7. Audit
7.1 SO Office & Energy zal audits en inspecties door de klant, inspecteurs van de klant, autoriteiten, toelaten indien de klant hierom zou verzoeken en voor zover dit relevant zou zijn om SO Office & Energy’s naleving van deze Bijlage en de toepasselijke wetgeving aangaande de bescherming van persoonsgegevens te controleren. De kosten van deze inspecteurs zal door de klant gedragen worden. De klant zal het verzoek minstens 7 werkdagen op voorhand aan SO Office & Energy kennisgeven.
7.2 Wanneer de klant inspecties in de gebouwen van SO Office & Energy zou willen (laten) uitvoeren, zal SO Office & Energy alle nodige medewerking verlenen, inclusief de toegang tot de gebouwen verschaffen en de gevraagde documentatie en informatie overmaken en dit tijdens de gebruikelijke kantooruren van 9u tot 17u, maandag tot en met vrijdag.
8. Aansprakelijkheid
SO Office & Energy is slechts aansprakelijk voor de schade die door verwerking is veroorzaakt wanneer bij de verwerking niet is voldaan aan de specifiek tot verwerkers gerichte verplichtingen van de toepasselijke wetgeving aangaande de bescherming van Persoonsgegevens of buiten dan wel in strijd met de rechtmatige instructies van de klant is gehandeld. Tenzij de wet of de toepasselijke rechtspraak dit niet zou toelaten of in geval van opzet of fraude, zal de aansprakelijkheid van SO Office & Energy in het kader van deze Bijlage steeds beperkt zijn tot de beperking van aansprakelijkheid zoals beschreven in de hoofdovereenkomst. Wanneer de subverwerker van SO Office & Energy zijn verplichtingen niet nakomt, blijft SO Office & Energy ten aanzien van klant volledig aansprakelijk voor het nakomen van de verplichtingen van die andere verwerker, evenwel enkel binnen de aansprakelijkheidsbeperking van de voormelde paragraaf.
9. Beëindiging
Wanneer de hoofdovereenkomst wordt beëindigd, gelijk op welke grond of op gelijk welke wijze, zal SO Office & Energy onmiddellijk op eigen kosten en initiatief alle Persoonsgegevens van klant verwijderen of terugbezorgen. Indien de klant SO Office & Energy niet bericht binnen de maand na beëindiging, is SO Office & Energy gerechtigd om de Persoonsgegevens te verwijderen – tenzij zij deze dient te bewaren overeenkomstig de toepasselijke wetgeving of ter bescherming van haar belangen in geval van een geschil. Plus in dit kader wenst SO Office & Energy ook te verwijzen naar de overeengekomen data aggregatie zoals vermeld in haar algemene voorwaarden, waardoor SO Office & Energy gerechtigd is de data verder te gebruiken voor statistische doeleinden.
Annex A:
• Te verwerken Persoonsgegevens: alle gegevens die de klant verwerkt in het kader van de uitvoering van de opdracht. Bijvoorbeeld in het kader van een HR opdracht: in ieder geval generieke gegevens (zoals naam en adres, contactgegevens, geslacht, geboortedatum, geboorteplaats), maar evenzeer gedragsgegevens (bv. prestatierapporten, arbeidscompetenties, opleidingen, attesten, werkhistoriek), financiële gegevens (vergoeding/salaris) en gevoelige gegevens (bv. gezondheidsgegevens die van belang zijn in het kader van de uitoefening van de job). Ook arbeidsgerelateerde gegevens: andere gegevens van de arbeidsovereenkomst, aan- en afwezigheden, verplaatsingsmiddelen en -tijd.
• Categorieën van betrokkenen: naargelang de opdracht, gaat het over persoonsgegevens van medewerkers van de klant (werknemers die op de payroll staan, maar ook freelancers en/of onderaannemers), dan wel klantengegevens of leveranciersgegevens.
• De gegevens worden niet langer bijgehouden dan noodzakelijk.
• Doel: Uitvoering van de activiteiten volgend uit de hoofdovereenkomst met name: diensten zoals nader beschreven in de offerte.
• Subverwerkers: in ieder geval de uitvoerders van de opdracht
• Verwerkingsactiviteiten: o.a. verzamelen, ordenen, vastleggen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verzenden, ter beschikking stellen, combineren, afschermen, wissen en verder over het algemeen zeer ruim verwerken naargelang de behoeften van de opdracht.
• Technische en organisatorische maatregelen:
o Tools uitloggen bij niet-gebruik
o Antivirus
o Wachtwoordbeheersysteem, 2FA toepassen bij gebruik van eigen tools
o Documenten met persoonsgegevens worden versnipperd