Verwerkersovereenkomst
Deze verwerkersovereenkomst hoort bij de overeenkomst tussen CybearSquad B.V. en de Klant over het gebruik van CybearEye. Zij regelt hoe CybearSquad omgaat met persoonsgegevens die de Klant in het platform verwerkt, conform artikel 28 van de Algemene Verordening Gegevensbescherming.
De meeste leveranciers geven hun verwerkersovereenkomst pas na ondertekening van een geheimhoudingsverklaring. Wij zetten hem gewoon op de site, zodat u hem kunt lezen voordat u met ons in gesprek gaat. Bij het sluiten van de overeenkomst wordt deze tekst als bijlage opgenomen en door beide partijen ondertekend.
1. Partijen en rollen
- Verwerkingsverantwoordelijke: de Klant. De Klant bepaalt welke persoonsgegevens in CybearEye worden vastgelegd en met welk doel.
- Verwerker: CybearSquad B.V., gevestigd te Rijswijk, KvK 86522027.
Waar hierna "de overeenkomst" staat, wordt de hoofdovereenkomst bedoeld, inclusief de algemene voorwaarden. Bij tegenstrijdigheid tussen die stukken en deze verwerkersovereenkomst gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.
2. Onderwerp en duur
CybearSquad verwerkt persoonsgegevens uitsluitend om het CybearEye-platform te leveren, te onderhouden en te ondersteunen. De verwerking duurt zolang de overeenkomst loopt, plus de termijnen voor teruggave en verwijdering uit artikel 11.
3. Aard van de verwerking en categorieën
| Categorie betrokkenen | Categorieën persoonsgegevens |
|---|---|
| Gebruikers van de Klant | Naam, zakelijk e-mailadres, functie, toegewezen rol en rechten, inlog- en sessiegegevens, en de handelingen die zij in het platform verrichten (audit-trail) |
| Medewerkers van de Klant | Naam, functie, afdeling en de rol die zij vervullen bij processen, assets, risico's, incidenten en taken, ook wanneer zij zelf geen account hebben |
| Contactpersonen bij leveranciers van de Klant | Naam, functie en zakelijke contactgegevens, voor zover de Klant die vastlegt bij leveranciersbeheer |
| Betrokkenen genoemd in incidenten | De gegevens die de Klant zelf in een incidentregistratie opneemt |
| Personen in gekoppelde systemen van de Klant | Alleen als de Klant een koppeling aanzet: naam, zakelijk e-mailadres, personeelsnummer, afdeling en functie uit de personeelsadministratie; accounts, rollen, apparaten met hun gebruiker en aanmeld- en beveiligingsmeldingen uit bijvoorbeeld Microsoft 365 of Google Workspace; meldingen uit het ticketsysteem van de Klant |
Het platform is niet bedoeld voor het verwerken van bijzondere categorieën persoonsgegevens als bedoeld in artikel 9 AVG, of van strafrechtelijke gegevens. De Klant legt die niet in vrije tekstvelden vast. Doet de Klant dat toch, dan is dat zijn eigen keuze en verantwoordelijkheid.
Koppelingen zet de Klant zelf aan en uit. De leveranciers van die systemen, zoals Microsoft, Google, AFAS, Nmbrs en TOPdesk, zijn leveranciers van de Klant en geen subverwerkers van CybearSquad. CybearSquad vraagt bij die systemen alleen leesrechten en haalt alleen op wat de koppeling nodig heeft.
Uploadt de Klant een overeenkomst, dan laat CybearSquad die direct door de AI-subverwerker lezen om afwijkingen van het leveranciersbeleid van de Klant te signaleren, tenzij de Klant dat in de instellingen heeft uitgezet. Overige AI-analyses starten alleen op verzoek van een gebruiker.
4. Instructies
CybearSquad verwerkt persoonsgegevens uitsluitend op schriftelijke instructie van de Klant. De overeenkomst, deze verwerkersovereenkomst en het normale gebruik van het platform gelden als die instructie.
Meent CybearSquad dat een instructie in strijd is met de AVG of andere wetgeving over gegevensbescherming, dan meldt CybearSquad dat direct aan de Klant en mag de uitvoering worden opgeschort tot de Klant de instructie heeft bevestigd of aangepast.
CybearSquad gebruikt de gegevens van de Klant niet voor eigen doeleinden. In het bijzonder worden zij niet gebruikt voor productontwikkeling op individueel niveau, niet voor commerciële doeleinden en niet om AI-modellen te trainen.
5. Vertrouwelijkheid
Iedereen die onder gezag van CybearSquad toegang heeft tot persoonsgegevens van de Klant is tot geheimhouding verplicht, hetzij op grond van een arbeidsovereenkomst, hetzij op grond van een afzonderlijke geheimhoudingsverklaring. Die verplichting blijft na afloop van de samenwerking bestaan.
Toegang tot productiegegevens is beperkt tot de personen die deze nodig hebben voor beheer of support, en wordt vastgelegd in een audit-trail.
6. Beveiliging
CybearSquad treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. Daartoe behoren in elk geval:
- Versleuteling van gegevens tijdens transport (TLS 1.3), van het verkeer tussen de eigen servers en van alle backups
- Verplichte tweestapsverificatie voor iedere gebruiker die met een wachtwoord inlogt
- Scheiding van gegevens per organisatie, technisch afgedwongen bij elke opvraging
- Toegangsbeheer op basis van rollen en minimale rechten, zowel binnen het platform als op de infrastructuur
- Een audit-trail van wijzigingen, inzichtelijk voor de beheerders van de Klant
- Dagelijkse backups, inclusief de gebruikersaccounts, met een uitgeschreven en periodiek geoefend herstelproces
- Beveiligingsupdates volgens vaste termijnen en doorlopende bewaking van kwetsbaarheden
- Geautomatiseerde tests die bij elke release controleren dat gegevens niet over organisatie- of rolgrenzen heen lekken
De actuele beschrijving op hoofdlijnen staat op de security-pagina. Klanten met een lopende overeenkomst ontvangen op verzoek de uitgebreidere security-bijlage (technische en organisatorische maatregelen) onder geheimhouding. CybearSquad mag maatregelen wijzigen zolang het beschermingsniveau daardoor niet daalt.
7. Subverwerkers
De Klant geeft CybearSquad algemene toestemming om subverwerkers in te schakelen. De actuele lijst, met vestigingsland en doel, staat in het privacy statement en maakt onderdeel uit van deze overeenkomst.
CybearSquad meldt een voorgenomen toevoeging of vervanging minimaal 30 dagen vooraf. De Klant kan binnen die termijn gemotiveerd bezwaar maken. Komen partijen er niet uit, dan mag de Klant de overeenkomst opzeggen per de datum waarop de wijziging ingaat, zonder kosten.
CybearSquad legt aan iedere subverwerker dezelfde verplichtingen op als in deze overeenkomst staan, en blijft jegens de Klant volledig aansprakelijk voor het handelen van die subverwerkers.
8. Doorgifte buiten de EER
CybearSquad geeft geen persoonsgegevens door aan landen buiten de Europese Economische Ruimte. Alle infrastructuur en alle subverwerkers bevinden zich binnen de EU. Zou doorgifte in de toekomst toch nodig worden, dan gebeurt dat alleen na voorafgaande melding aan de Klant en uitsluitend op een geldige grondslag uit hoofdstuk V AVG.
9. Bijstand aan de Klant
CybearSquad verleent de Klant redelijke medewerking bij:
- Verzoeken van betrokkenen om inzage, correctie, verwijdering, beperking, bezwaar of overdraagbaarheid. Beheerders van de Klant kunnen het meeste zelf in het platform afhandelen, met een volledige export en gerichte verwijdering.
- Het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de toezichthouder.
- Het aantonen van naleving van artikel 32 tot en met 36 AVG.
Ontvangt CybearSquad rechtstreeks een verzoek van een betrokkene over gegevens van de Klant, dan beantwoordt CybearSquad dat niet zelf, maar stuurt het door naar de Klant.
10. Datalekken
Ontdekt CybearSquad een inbreuk in verband met persoonsgegevens die de Klant raakt, dan meldt CybearSquad dat zonder onnodige vertraging en uiterlijk binnen 24 uur na ontdekking aan het bij ons bekende contactadres van de Klant.
Die melding bevat, voor zover bekend: de aard van de inbreuk, de betrokken categorieën en aantallen, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen, en een contactpunt voor nadere informatie. Ontbreekt informatie nog, dan volgt die zo snel mogelijk in aanvullende berichten.
De beoordeling of melding aan de Autoriteit Persoonsgegevens of aan betrokkenen verplicht is, ligt bij de Klant als verwerkingsverantwoordelijke. CybearSquad meldt niet zelfstandig namens de Klant.
11. Teruggave en verwijdering
De Klant kan tijdens de looptijd op elk moment zelf een volledige export maken in open, machine-leesbare formaten, zonder tussenkomst van CybearSquad en zonder kosten. Die mogelijkheid blijft na beëindiging nog 30 dagen beschikbaar.
Daarna verwijdert CybearSquad de persoonsgegevens uit de productie-omgeving, en binnen de backup-termijn van 30 dagen ook uit de backups. Gegevens die CybearSquad op grond van een wettelijke plicht moet bewaren, zoals facturatiegegevens, blijven uitsluitend voor dat doel bewaard.
Op verzoek bevestigt CybearSquad de verwijdering schriftelijk.
12. Audit
De Klant mag eenmaal per jaar, en verder bij een concrete aanleiding zoals een datalek, controleren of CybearSquad deze overeenkomst naleeft. Dat kan door schriftelijke vragen, door inzage in de security-bijlage en in rapportages van uitgevoerde toetsen, en desgewenst door een audit ter plaatse door een onafhankelijke, aan geheimhouding gebonden auditor.
Een audit ter plaatse kondigt de Klant minimaal 30 dagen vooraf aan en verstoort de bedrijfsvoering zo min mogelijk. De Klant draagt de eigen kosten. Blijkt uit de audit dat CybearSquad tekortschiet, dan draagt CybearSquad de kosten van de audit en herstelt het tekort op eigen kosten en binnen een redelijke termijn.
13. Aansprakelijkheid
Op deze verwerkersovereenkomst is de aansprakelijkheidsregeling uit de algemene voorwaarden van toepassing. Die beperking geldt niet voor zover dwingend recht daaraan in de weg staat, waaronder artikel 82 AVG in de verhouding tot betrokkenen.
14. Duur, wijziging en toepasselijk recht
Deze verwerkersovereenkomst treedt in werking bij het aangaan van de overeenkomst en eindigt zodra alle persoonsgegevens conform artikel 11 zijn teruggegeven of verwijderd. Bepalingen die naar hun aard bedoeld zijn om voort te duren, zoals geheimhouding, blijven daarna van kracht.
Wijzigingen worden minimaal twee maanden vooraf aangekondigd. Is een wijziging voor de Klant nadelig van betekenis, dan mag de Klant de overeenkomst per ingangsdatum van de wijziging beëindigen.
Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Den Haag.
Contact
Vragen over deze verwerkersovereenkomst, of een concept vooraf ontvangen: privacy@cybeareye.nl. CybearSquad B.V., Rijswijk, KvK 86522027.