Gegevensverwerkersovereenkomst

Deze gegevensverwerkersovereenkomst (hierna: “de/deze “Verwerkersovereenkomst”)  is integraal onderdeel van de Algemene voorwaarden en licentie software-applicatie OWLIX™ (hierna: “de Overeenkomst”) die is aangegaan tussen Owlix B.V., De Werf 15, 2544 EH Den Haag, KvK-nummer 93197292 enerzijds en de gebruiker (hierna: “de Gebruiker”) van de OWLIX™ softwareapplicatie (hierna: “de Software”) anderzijds en is geldig tussen de partijen vanaf het moment van digitale ondertekening dan wel acceptatie door de Gebruiker van de Overeenkomst.

Overwegingen:

1. De Gebruiker en Owlix B.V. zijn de Overeenkomst aangegaan op basis waarvan de Gebruiker een licentie verkrijgt voor het gebruik van de Software;
2. Bij het gebruik van de Software verwerkt Owlix B.V. Persoonsgegevens in opdracht van de Gebruiker, waarbij de Gebruiker als de verwerkingsverantwoordelijke heeft te gelden en Owlix B.V. als de verwerker;
3. De Gebruiker en Owlix B.V. wensen in deze Verwerkersovereenkomst de wederzijdse rechten en verplichtingen voor de verwerking van persoonsgegevens door Owlix B.V. vast te leggen overeenkomstig de relevante wet- en regelgeving. 

Artikel 1. Partijen zijn het volgende overeengekomen:

1. De in deze Verwerkersovereenkomst gebruikte woorden of formuleringen hebben de volgende betekenis, tenzij de AVG of de Uitvoeringswet AVG anders bepaalt:
   
   1. Betrokkene: degene op wie (een) Persoonsgegeven(s) betrekking heeft/hebben;
   2. Overeenkomst: de Algemene voorwaarden en licentie met betrekking tot de software-applicatie OWLIX™;
   3. Verwerkersovereenkomst: deze Gegevensverwerkersovereenkomst;
   4. Persoonsgegevens: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon dat Owlix B.V. op grond van de Overeenkomst Verwerkt of dient te Verwerken;
   5. Verwerken/Verwerking: alle handelingen of reeks handelingen uitgevoerd op Persoonsgegevens, al dan niet door geautomatiseerde middelen, zoals verzamelen, vastleggen, structureren, opslaan, aanpassen of wijzigen, ophalen, raadplegen, gebruiken, bekendmaken door overdracht, verspreiding of anderszins beschikbaar maken, afstemmen of combineren, blokkeren, wissen of vernietigen.
   6. AVG: Algemene Verordening Gegevensbescherming (Verordening van de Europese Unie 2016/679 van 27 april 2016).

Artikel 2. Toepasselijkheid

2.1 Tenzij Partijen schriftelijk anders zijn overeengekomen, zijn de bepalingen van deze Overeenkomst van toepassing op iedere Verwerking door Owlix B.V. op grond van de Hoofdovereenkomst tussen de Gebruiker en Owlix B.V. De afspraken in deze Verwerkersovereenkomst hebben voorrang boven de Overeenkomst voor zover deze betrekking hebben op de Verwerking van Persoonsgegevens.

Artikel 3. Verwerking door Owlix B.V.

3.1 Owlix B.V. neemt de bescherming van Persoonsgegevens serieus en zal daarom zoveel als voor haar naar redelijkheid mogelijk zorgdragen voor de naleving van de voorwaarden die op grond van de AVG, de Uitvoeringswet AVG en andere relevante wet- en regelgeving worden gesteld aan het verwerken van Persoonsgegevens. 

3.2 Owlix B.V. zal de verkregen persoonsgegevens verwerken voor zover dat noodzakelijk is om aan haar verplichtingen uit de Overeenkomst te voldoen.

3.3 Naast de noodzakelijke verwerking genoemd in art. 3.3 geeft de Gebruiker toestemming aan Owlix B.V. om de naam en het mailadres van de Gebruiker gebruiken voor gerichte marketing en het doen van aanbiedingen rondom producten en diensten van Owlix B.V., aan haar verbonden ondernemingen dan wel zorgvuldig geselecteerde partners van Owlix B.V. De Gebruiker heeft het recht om zijn toestemming hiervoor in te trekken door middel van een kennisgeving aan info@owlix.com. 

3.4 Owlix B.V. verwerkt de Persoonsgegevens slechts in opdracht en volgens de instructies van de Gebruiker en met het doel als bepaald in deze Verwerkersovereenkomst en de Overeenkomst. Owlix B.V. zal geen zelfstandige beslissing nemen over het gebruik en de duur van de opslag van de Persoonsgegevens. Owlix B.V. zal Persoonsgegevens bovendien niet met een ander doel dan de uitvoering van de Overeenkomst laten verwerken door derden. Op de in dit artikel genoemde uitgangspunten wordt alleen afgeweken als de (Nederlandse) wet of autoriteiten daartoe verplichten. 

3.5 Om uitvoering aan de Verwerkersovereenkomst te kunnen geven zal Owlix B.V. in elk geval de in Bijlage 1 opgesomde persoonsgegevens moeten verwerken.

3.6 Owlix B.V. zal de Persoonsgegevens bewaren voor de duur als opgenomen in Bijlage 2. 

3.7 De Persoonsgegevens waartoe Owlix B.V. op grond van de Overeenkomst toegang heeft, worden met de grootste zorg behandeld. Om de veiligheid van de Persoonsgegevens zoveel mogelijk te kunnen waarborgen, verschaft Owlix B.V. enkel toegang tot de Persoonsgegevens aan haar werknemers voor zover dat nodig is voor het verrichten van de diensten op grond van de Overeenkomst. Owlix B.V. en de aan haar verbonden personen betrachten uiteraard geheimhouding ten aanzien van de onder deze Verwerkersovereenkomst verwerkte Persoonsgegevens. 

3.8 Het is mogelijk dat Owlix B.V. op grond van een bevel van een gerechtelijke of bestuurlijke instantie gehouden is om Persoonsgegevens aan een derde te verstrekken. In dat geval zal Owlix B.V. de Gebruiker binnen 7 werkdagen na ontvangst van een dergelijk bevel en voordat door Owlix B.V. op het bevel is gehandeld, daarvan in kennis stellen om de Gebruiker in staat te stellen tegen het dwangmiddel bezwaar of beroep aan te tekenen. De verantwoordelijkheid om rechtsmiddelen tegen een dergelijk bevel aan te wenden ligt uitdrukkelijk bij de Gebruiker. Als de betreffende wetgeving op grond waarvan het bevel is gegeven, kennisgeving van de Gebruiker door Owlix B.V. op grond van gewichtige redenen van algemeen belang verbiedt, vindt kennisgeving niet plaats.

3.9 Indien Owlix B.V. van oordeel is dat op grond van een wettelijke verplichting Persoonsgegevens ter beschikking moeten worden gesteld aan een daartoe bevoegde instantie, stelt Owlix B.V. de Gebruiker daarvan schriftelijk in kennis, waarna, op verzoek van de Gebruiker, eventueel ook de betreffende wettelijke verplichting wordt benoemd en relevante informatie zal worden verstrekt. De kennisgeving vindt niet plaats als de betreffende wetgeving kennisgeving op grond van gewichtige redenen van algemeen belang verbiedt.

3.10 Owlix B.V. zal de Gebruiker in kennis stellen van alle verzoeken met betrekking tot inzage in de Persoonsgegevens die rechtstreeks van een Betrokkene zijn ontvangen. 

3.11 Owlix B.V. kan voor haar dienstverlening gebruik maken van diensten van derden die daardoor kunnen worden aangemerkt als sub-verwerker. Bij de selectie van deze partijen hanteert Owlix B.V. de hoogste standaarden met betrekking tot de verwerking van Persoonsgegevens. De door Owlix B.V. gehanteerde normen zien onder andere op het bieden van afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen door de sub-verwerker zodat de verwerking aan de wettelijke verplichtingen voldoet en de bescherming van de rechten van de Betrokkenen worden gewaarborgd. Op verzoek zal Owlix B.V. de gegevens van de sub-verwerkers verschaffen. De Gebruiker geeft algemene toestemming voor het inschakelen van sub-verwerkers.

3.12 De Gebruiker gaat hierbij akkoord met en geeft toestemming in algemene zin, als bedoeld in lid 2 van artikel 28 AVG, voor toekomstige uitbreidingen c.q. wijzigingen van de verwerking namens Owlix B.V. en het laten verrichten van Verwerkingen door andere c.q. nieuwe (sub-)verwerkers namens Owlix B.V. 

Artikel 4. Meldplicht datalekken

4.1 Owlix B.V. zal de Gebruiker, nadat Owlix B.V. ervan kennis heeft gekregen, zo snel mogelijk in kennis stellen van iedere inbreuk op de beveiliging (van welke aard dan ook) die (mede) betrekking heeft of kan hebben op de verwerking van Persoonsgegevens. Owlix B.V. zal de Gebruiker, indien mogelijk, inlichten over (i) de aard van de inbreuk; (ii) de (mogelijk) getroffen Persoonsgegevens; (iii) de vastgestelde en verwachte gevolgen van de inbreuk voor de verwerking van Persoonsgegevens en de daarbij betrokken personen; en (iv) de maatregelen die Owlix B.V. heeft getroffen en zal treffen om de negatieve gevolgen van de inbreuk te beperken. 

4.2 Ter bevordering van de dienstverlening door Owlix B.V. en de beveiliging van Persoonsgegevens is de Gebruiker verplicht Owlix B.V. zo snel mogelijk, doch binnen 24 uur, te informeren over ieder lek van Persoonsgegevens waarvan zij kennis heeft genomen. De Gebruiker is aansprakelijk en vrijwaart Owlix B.V. voor alle schade die ontstaat of is ontstaan door nalatigheid van de Gebruiker omtrent deze verplichting.

4.3 De verantwoordelijkheid voor het melden van een datalek bij de autoriteiten en/of bij Betrokkenen berust te allen tijde bij de Gebruiker. 

Artikel 5. Beveiligingsmaatregelen en inspectie

5.1 Om ervoor te zorgen dat de Persoonsgegevens zoveel mogelijk worden beschermd neemt Owlix B.V. maatregelen om Persoonsgegevens te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking. Indien door de Gebruiker aanvullende maatregelen worden gewenst, kan in overleg met Owlix B.V. worden bekeken of de gewenste maatregelen mogelijk en/of doeltreffend zijn en tegen welke kosten de aanvullende maatregelen kunnen worden aangeboden. Mocht een van de beveiligingsmaatregelen van Owlix B.V. worden gewijzigd, dan wordt dit onderdeel van het door Owlix B.V. gevoerde beleid ten aanzien van de bescherming van de in opdracht van de Gebruiker verwerkte persoonsgegevens, welke op verzoek aan de Gebruiker kan wordt verstrekt. Owlix B.V. treft hiertoe adequate technische en organisatorische maatregelen. 

5.2 De Gebruiker heeft het recht om de naleving van de beveiligingsmaatregelen door Owlix B.V. te (laten) inspecteren door een neutrale en deskundige onderzoeksinstantie. Uiteraard wordt aan het onderzoek wel de voorwaarde gesteld dat geheimhouding van Persoonsgegevens en van de bevindingen van het onderzoek tegenover derden wordt gegarandeerd. Owlix B.V. kan vanzelfsprekend geen inspecties laten verrichten bij sub-verwerkers. Omtrent het gedeelte van de beveiliging waarvoor sub-verwerkers verantwoordelijk zijn, kan Owlix B.V. op verzoek van de Gebruiker, het gegevensbeschermingsbeleid en de eventuele certificaten van sub-verwerkers verstrekken.

5.3 Omdat de in artikel 5.2 bedoelde inspecties belastend zijn voor de bedrijfsvoering van Owlix B.V. komen partijen overeen dat deze inspecties alleen plaatsvinden nadat de Gebruiker de bij Owlix B.V. aanwezige soortgelijke inspectierapportages heeft opgevraagd en beoordeeld en voldoende zwaarwegende, redelijke argumenten aanbrengt die een door de Gebruiker geïnitieerde inspectie alsnog rechtvaardigen. Een inspectie is gerechtvaardigd indien de bij Owlix B.V. aanwezige soortgelijke inspectierapportages geen of onvoldoende uitsluitsel geven over het naleven van deze Verwerkersovereenkomst door Owlix B.V. De door de Gebruiker geïnitieerde inspectie vindt twee weken na voorafgaande aankondiging door de Gebruiker, en maximaal eens per jaar plaats.

5.4 Alle kosten, vergoedingen en onkosten in verband met de inspectie, met inbegrip van personeelskosten en overige interne kosten, zoals winstderving, die Owlix B.V. moet maken ter ondersteuning van de inspectie komen voor rekening van de Gebruiker. 

5.5 De Gebruiker zal Owlix B.V. direct na ontvangst een exemplaar van het rapport van de Inspectie verstrekken.

Artikel 6. Verplichtingen Gebruiker

6.1 De Gebruiker gaat ermee akkoord en staat ervoor in dat de verschaffing van de Persoonsgegevens overeenkomstig deze Verwerkersovereenkomst in overeenstemming is met de AVG, de Uitvoeringswet AVG en overige relevante wet- en regelgeving. De Gebruiker is zelf verantwoordelijk voor het toezicht hierop, middels de haar toekomende maatregelen.

Artikel 7. Aansprakelijkheid

7.1 Alle verwerkingen vinden plaats onder verantwoordelijkheid van de Gebruiker. Owlix B.V. is niet aansprakelijk voor schade, tenzij de schade het gevolg is van opzet of bewuste roekeloosheid aan de zijde van Owlix B.V. In het geval Owlix B.V. aansprakelijk is jegens de Gebruiker of Betrokkene is deze aansprakelijkheid beperkt tot het bedrag dat door de verzekeraar van Owlix B.V. wordt uitgekeerd. Als de verzekeraar van Owlix B.V. niet tot uitkeren overgaat, is de aansprakelijkheid van Owlix B.V. beperkt tot een bedrag ter hoogte van het factuurbedrag over de afgelopen twaalf maanden. Aansprakelijkheid van Owlix B.V. vanwege gevolgschade, waaronder maar niet beperkt tot: omzet- of winstderving en reputatieschade, is uitgesloten.

7.2 De Gebruiker is gehouden om Owlix B.V. zo spoedig mogelijk, doch binnen 72 uur nadat de Gebruiker dit heeft geconstateerd/ontdekt of redelijkerwijs had kunnen constateren/ontdekken te informeren over iedere vermeende aanspraak op Owlix B.V. Na de informatieverschaffing zal Owlix B.V. de schade, indien Owlix B.V. van mening is hiervoor aansprakelijk te zijn, kosteloos naar redelijkheid beperken en herstellen. Pas wanneer deze remedie geen uitkomst biedt om de schade effectief te verhelpen, heeft de Gebruiker recht op vergoeding van de door haar geleden schade, met inachtneming van het voorgaande lid. Wanneer de Gebruiker Owlix B.V. omtrent de schade/aansprakelijkheid te laat heeft geïnformeerd, vervalt het recht op enige remedie. De bewijslast dat de schade aan Owlix B.V. is toe te rekenen, ligt bij de Gebruiker.

Artikel 8. Beëindiging

8.1 Deze Verwerksovereenkomst is voor onbepaalde tijd aangegaan en eindigt op het moment dat de Overeenkomst eindigt.

8.2 Tenzij partijen schriftelijk anders overeenkomen, zal Owlix B.V. in geval van beëindiging van de Overeenkomst – voor zover mogelijk – alle aan haar ter beschikking gestelde Persoonsgegevens binnen een termijn van 4 weken aan de Gebruiker retourneren en alle digitale kopieën van Persoonsgegevens vernietigen. Indien naar het oordeel van Owlix B.V. een wettelijke verplichting het geheel of gedeeltelijk retourneren of vernietigen van de Persoonsgegevens door Owlix B.V. verbiedt of beperkt, zal zij de Gebruiker schriftelijk informeren over de toepasselijke wet- en regelgeving.  

Artikel 9. Overdracht rechten en plichten

9.1 Vanwege de vertrouwelijke aard van de dienstverlening zullen partijen de rechten en verplichtingen uit deze Verwerkersovereenkomst niet zonder schriftelijke toestemming van de andere partij aan derden overdragen. 

Artikel 10. Deelbaarheid

10.1 Indien één of meer bepalingen van deze Verwerkersovereenkomst niet rechtsgeldig blijkt te zijn, zal de Verwerksovereenkomst voor het overige van kracht blijven. Partijen zullen over de bepalingen die niet rechtsgeldig blijken te zijn overleg plegen, teneinde een vervangende regeling te treffen die wel rechtsgeldig is en zoveel mogelijk aansluit bij de strekking van de te vervangen regeling.

10.2 Indien de Europese Commissie en/of de Autoriteit Persoonsgegevens, of diens rechtsopvolgers, zou besluiten om standaardcontractbepalingen vast te stellen als bedoeld in artikel 28 lid 7 en 8 AVG, zullen deze standaardcontractbepalingen tussen partijen gelden vanaf het moment dat ze in werking treden. Indien de bepalingen afwijken van de relevante bepalingen uit deze Verwerkersovereenkomst, dan zullen ze daarvoor in de plaats treden. 

Artikel 11. Toepasselijk recht en geschillen

11.1. Nederlands recht is van toepassing op deze Verwerkersovereenkomst.

11.2 Alle geschillen voortvloeiende uit of samenhangende met deze Verwerkersovereenkomst zullen uitsluitend worden voorgelegd aan de rechtbank in Den Haag.

11.3 Waar er gebruik wordt gemaakt van vertalingen van deze Verwerkersovereenkomst in andere talen, geldt dat de Nederlandse taalversie leidend zal zijn. 

Bijlage 1: Specificatie persoonsgegevens en betrokkenen

Persoonsgegevens

Owlix B.V. zal in het kader van de Verwerkersovereenkomst, de volgende persoonsgegevens verwerken in opdracht van de Gebruiker: 

• NAW-gegevens,
• Telefoonnummer,
• Emailadres,
• Klantnummer,
• Bestelhistorie,
• Overige relevante door de betrokkene gedeelde gegevens.

Van de categorieën betrokkenen:

• Medewerkers van de Gebruiker of de Gebruiker zelf,
• Klanten en opdrachtgevers van de Gebruiker,
• Overige betrokkenen verbonden aan de Gebruiker.

De Gebruiker staat ervoor in dat voor de verwerking van de in deze bijlage omschreven persoonsgegevens een geldige grond als bedoeld in artikel 6 AVG aanwezig is en vrijwaart Owlix B.V. voor iedere aansprakelijkheid dienaangaande. Daarnaast staat de Gebruiker ervoor in dat de in deze bijlage beschreven persoonsgegevens en categorieën betrokkenen volledig en correct zijn, en vrijwaart Owlix B.V. voor enige aanspraken die resulteren uit gebreken en een incorrecte weergave door de Gebruiker.

Bijlage 2: Bewaartermijn persoonsgegevens

Owlix B.V. zal de Persoonsgegevens bewaren conform onderstaand overzicht.