1. Onderwerp, duur en rollen
Deze overeenkomst volgt de onderdelen die art. 28 lid 3 AVG voorschrijft (onder a tot en met h). Jij (de zakelijke klant) bent verwerkingsverantwoordelijke voor de persoonsgegevens op je server; Seveke Creative · nog in te vullen (proef, er gaat geen factuur weg) · KvK 42046182 · btw NL005457210B66 ("wij") is verwerker. Voor je accountgegevens en facturen zijn wij zelf verantwoordelijke; daarvoor geldt de privacyverklaring.
- Onderwerp: het leveren en beheren van een virtuele server waarop jij gegevens opslaat en verwerkt.
- Aard en doel: opslag en rekenkracht, starten, stoppen, herstellen en wissen van de server op jouw verzoek.
- Soort gegevens en betrokkenen: wat jij op de server zet; dat bepalen en kennen alleen jij.
- Duur: zolang je abonnement loopt, plus de tijd die nodig is om de server na het einde te wissen.
2. Instructies
Wij verwerken de gegevens op je server uitsluitend op basis van jouw schriftelijke instructies (art. 28 lid 3 onder a AVG). Deze overeenkomst en wat je in het portaal kiest, gelden als die instructies: we leveren, starten, stoppen, herstellen en wissen de server op jouw verzoek en kijken niet in de inhoud. Alleen als de wet ons daartoe verplicht, verwerken we anders; dan melden we dat vooraf, tenzij de wet dat verbiedt. Vinden we dat een instructie in strijd is met de AVG, dan laten we je dat direct weten.
3. Vertrouwelijkheid
Iedereen die namens ons toegang kan krijgen tot je server, is gebonden aan geheimhouding (art. 28 lid 3 onder b AVG). Toegang tot het beheer vraagt tweestapsverificatie en elke beheeractie komt in een logboek.
4. Beveiliging
We nemen passende technische en organisatorische maatregelen (art. 32 AVG, art. 28 lid 3 onder c), waaronder:
- versleutelde verbindingen naar het portaal en de API;
- tweestapsverificatie voor beheerders, en voor klanten als optie;
- een eenmalig serverwachtwoord dat versleuteld wordt bewaard en uiterlijk 24 uur na levering wordt gewist;
- een logboek van beheer- en klantacties dat niet kan worden gewijzigd;
- alleen datacenterlocaties in de EU in ons aanbod (Frankrijk, Duitsland of Litouwen; zie de privacyverklaring).
Jij bent verantwoordelijk voor de beveiliging binnen je server: updates, wachtwoorden, firewall en back-ups van je eigen gegevens.
5. Subverwerkers en bezwaar
Je geeft ons bij het aangaan van deze overeenkomst algemene schriftelijke toestemming (art. 28 lid 2 AVG) voor de subverwerkers in de actuele lijst. Die lijst, met per partij de taak en het land, staat in hoofdstuk 3 van de privacyverklaring en geldt als bijlage bij deze overeenkomst. Onze serverleverancier is subverwerker voor de inhoud van je server. Elke subverwerker is via een overeenkomst aan dezelfde verplichtingen gebonden als wij (art. 28 lid 4 AVG); blijft een subverwerker in gebreke, dan blijven wij tegenover jou aansprakelijk.
- Willen we een subverwerker toevoegen of vervangen, dan mailen we je dat minstens 30 dagen vooraf, met de naam, de taak en het land.
- Je kunt binnen 14 dagen na die mail bezwaar maken via het contactformulier met het onderwerp "AVG-verzoek"; je krijgt een referentie.
- Komen we er samen niet uit, dan kun je het abonnement opzeggen tegen het einde van de lopende periode; de wijziging gaat voor jou niet eerder in.
6. Rechten van betrokkenen
We helpen je met passende maatregelen bij het beantwoorden van verzoeken van betrokkenen (art. 28 lid 3 onder e AVG). Krijgen wij een verzoek van iemand van wie jij gegevens op je server verwerkt, dan sturen we dat door naar jou en reageren we niet zelf inhoudelijk. Je kunt de gegevens op je server zelf inzien, aanpassen en wissen; waar je daarvoor onze hulp nodig hebt, helpen we je binnen redelijke grenzen.
7. Datalekken en bijstand
Ontdekken wij een inbreuk op de beveiliging die jouw gegevens raakt, dan melden we dat zonder onredelijke vertraging aan jou, met wat we weten over aard, omvang en gevolgen, zodat jij binnen 72 uur kunt melden bij de Autoriteit Persoonsgegevens (art. 33 AVG) en waar nodig de betrokkenen kunt informeren (art. 34 AVG). We leggen elk lek vast in een dossier met referentie en tijdlijn. We helpen je bij de beveiliging (art. 32 AVG), een gegevensbeschermingseffectbeoordeling (art. 35 AVG) en voorafgaande raadpleging van de toezichthouder (art. 36 AVG), voor zover dat over onze dienst gaat (art. 28 lid 3 onder f AVG).
8. Wissen of terugbezorgen
Bij het einde van de overeenkomst kies je (art. 28 lid 3 onder g AVG):
- Terugbezorgen: tot het einde van de betaalde periode heb je volledige toegang tot je server en haal je je gegevens zelf op, bijvoorbeeld via SSH. Een gids laat zien hoe.
- Wissen: na de einddatum wissen we de server, inclusief het snapshot. Je ontvangt een bevestiging met datum en tijdstip.
Wat de wet ons verplicht te bewaren (facturen en de bestelgegevens die erbij horen, 7 jaar) valt buiten deze overeenkomst en staat in de privacyverklaring.
9. Controle
We geven je alle informatie die nodig is om aan te tonen dat we art. 28 AVG en deze overeenkomst nakomen, en we werken mee aan een audit of inspectie door jou of een onafhankelijke deskundige die jij aanwijst (art. 28 lid 3 onder h AVG).
- Je vraagt een audit minstens 30 dagen vooraf aan via het contactformulier; samen leggen we moment en omvang vast.
- De deskundige is tot geheimhouding verplicht en krijgt geen toegang tot gegevens van andere klanten.
- Eén audit per jaar is zonder kosten; een extra audit of een audit die meer dan één werkdag van ons vraagt, kost de uren die we eraan besteden, tenzij de audit een tekortkoming bij ons aantoont.
- Vindt de audit een tekortkoming, dan herstellen we die en laten we je weten wanneer dat klaar is.
10. Versie en akkoord
Je accepteert deze overeenkomst bij het bestellen als zakelijke klant. Je akkoord leggen we vast met klant, bestelling, versie en tijdstip, zodat altijd herleidbaar is welke versie voor jou geldt. Wijzigen we de tekst, dan krijg je de nieuwe versie vooraf per e-mail; eerdere versies blijven op aanvraag beschikbaar. Op deze overeenkomst is Nederlands recht van toepassing.