Verwerkersovereenkomst
Deze Verwerkersovereenkomst is van toepassing op alle vormen van verwerking vanpersoonsgegevens die CyberBrain IT Services, ingeschreven bij de Kamer vanKoophandel onder nummer 9171039, (hierna: Verwerker) uitvoert ten behoeve vaneen wederparJj aan wie zij diensten levert (hierna: Verwerkingsverantwoordelijke) op
grond van de tussen parJjen gesloten overeenkomst (hierna: de Hoofdovereenkomst).

Ar-kel 1. Doeleinden van verwerking
1.1. Verwerker verbindt zich onder de voorwaarden van deze Verwerkersovereenkomst
in opdracht van Verwerkingsverantwoordelijke persoonsgegevens te verwerken.
Verwerking zal uitsluitend plaatsvinden in het kader van het in de 'cloud' opslaan vangegevens van Verwerkingsverantwoordelijke, en bijbehorende online diensten,Diensten op het gebied van ontwikkelen van websites, apps en andere online
toepassingen., plus die doeleinden die daarmee redelijkerwijs samenhangen of die met
nadere instemming worden bepaald.
1.2. De persoonsgegevens die door Verwerker in het kader van de werkzaamheden als
bedoeld in het vorige lid worden verwerkt en de categorieën van de betrokkenen vanwie deze aQomsJg zijn, zijn opgenomen in Bijlage 1. Verwerker zal depersoonsgegevens niet voor enig ander doel verwerken dan zoals door
Verwerkingsverantwoordelijke is vastgesteld. Verwerkingsverantwoordelijke zal
Verwerker op de hoogte stellen van de verwerkingsdoeleinden voor zover deze niet
reeds in deze Verwerkersovereenkomst zijn genoemd.
1.3. De in opdracht van Verwerkingsverantwoordelijke te verwerken persoonsgegevens
blijven eigendom van Verwerkingsverantwoordelijke en/of de betreﬀende
betrokkenen.

Ar-kel 2. Verplich-ngen Verwerker
2.1. Ten aanzien van de in arJkel 1 genoemde verwerkingen zal Verwerker zorg dragenvoor de naleving van de toepasselijke wet- en regelgeving, waaronder in ieder geval
begrepen de wet- en regelgeving op het gebied van de bescherming vanpersoonsgegevens, zoals de AVG.
2.2. Verwerker zal Verwerkingsverantwoordelijke, op diens eerste verzoek daartoe,
informeren over de door haar genomen maatregelen aangaande haar verplichJngen
onder deze verwerkersovereenkomst.
2.3. De verplichJngen van Verwerker die uit deze verwerkersovereenkomst
voortvloeien, gelden ook voor degenen die persoonsgegevens verwerken onder het
gezag van Verwerker, waaronder begrepen maar niet beperkt tot werknemers, in deruimste zin van het woord.
2.4. Verwerker zal Verwerkingsverantwoordelijke onmiddellijk in kennis stellen indien
naar zijn mening een instrucJe van Verwerkingsverantwoordelijke in strijd is met de inPagina 1 van 7

is met de in lid 1 bedoelde wetgeving.
2.5. Verwerker zal, voor zover dat binnen haar macht ligt, bijstand verlenen aan
Verwerkingsverantwoordelijke ten behoeve van het uitvoeren vangegevensbeschermingseﬀectbeoordelingen (DPIA's) en een eventueel benodigdevoorafgaande raadpleging bij de Autoriteit Persoonsgegevens.
2.6. Verwerker zal conform arJkel 30 AVG een register van alle categorieën van
verwerkingsacJviteiten voeren, die zij ten behoeve van Verwerkingsverantwoordelijkeverricht onder deze Verwerkersovereenkomst. Op verzoek zal Verwerker
Verwerkingsverantwoordelijke hier inzage in verschaﬀen.

Ar-kel 3. Doorgi<e van persoonsgegevens
3.1. Verwerker mag de persoonsgegevens verwerken in landen binnen de Europese
Unie. Doorgi^e naar landen buiten de Europese Unie is verboden.

Ar-kel 4. Verdeling van verantwoordelijkheid
4.1. De toegestane verwerkingen zullen door medewerkers van Verwerker worden
uitgevoerd binnen een geautomaJseerde omgeving.
4.2. Verwerker is louter verantwoordelijk voor de verwerking van de persoonsgegevens
onder deze Verwerkersovereenkomst, overeenkomsJg de instrucJes vanVerwerkingsverantwoordelijke en onder de uitdrukkelijke (eind-)verantwoordelijkheid
van Verwerkingsverantwoordelijke. Voor de overige verwerkingen van
persoonsgegevens, waaronder in ieder geval begrepen, maar niet beperkt tot, deverzameling van de persoonsgegevens door Verwerkingsverantwoordelijke,
verwerkingen voor doeleinden die niet door Verwerkingsverantwoordelijke aanVerwerker zijn gemeld, verwerkingen door derden en/of voor andere doeleinden, isVerwerker uitdrukkelijk niet verantwoordelijk.
4.3. Verwerkingsverantwoordelijke garandeert dat de inhoud, het gebruik en de
opdracht tot de verwerkingen van de persoonsgegevens zoals bedoeld in dezeverwerkersovereenkomst niet onrechtmaJg zijn en geen inbreuk maken op enig recht
van derden.

Ar-kel 5. Inschakelen van derden of onderaannemers
5.1. Verwerker mag in het kader van deze verwerkersovereenkomst gebruik maken vanderden onder voorwaarde dat deze vooraf worden gemeld aanVerwerkingsverantwoordelijke. Verwerkingsverantwoordelijke mag bezwaar maken
indien het gebruik van een speciﬁeke gemelde derde onaanvaardbaar voor haar is.
5.2. Verwerker zorgt er in ieder geval voor dat deze derden schri^elijk ten minste
dezelfde plichten op zich nemen als tussen Verwerkingsverantwoordelijke en
Verwerker zijn overeengekomen. Verwerkingsverantwoordelijke hee^ het recht demogelijk hierbij betrokken overeenkomsten in te zien.
5.3. Verwerker staat in voor een correcte naleving van de plichten uit deze

Pagina 2 van 7

Verwerkersovereenkomst door deze derden en is bij fouten van deze derden zelfaansprakelijk voor alle schade alsof zij zelf de fout(en) hee^ begaan.

Ar-kel 6. Beveiliging
6.1. Verwerker zal zich inspannen voldoende technische en organisatorischemaatregelen te nemen met betrekking tot de te verrichten verwerkingen van
persoonsgegevens, tegen verlies of tegen enige vorm van onrechtmaJge verwerking(zoals onbevoegde kennisname, aantasJng, wijziging of verstrekking van depersoonsgegevens).
6.2. Verwerker hee^ in ieder geval de volgende maatregelen genomen:
••••
•
•

Beveiliging van netwerkverbindingen via Secure Socket Layer (SSL) technologie;
AutomaJsche logging van alle handelingen rond de persoonsgegevens;
EncrypJe (versleuteling) van digitale bestanden met persoonsgegevens;
Een beveiligd intern netwerk;
Organisatorische maatregelen voor toegangsbeveiliging;Beveiliging van netwerkverbindingen via Transport Layer Security (TLS)
technologie.

6.3. Verwerker staat er niet voor in dat de beveiliging onder alle omstandigheden
doeltreﬀend is. Indien een uitdrukkelijk omschreven beveiliging in de
Verwerkersovereenkomst ontbreekt, zal Verwerker zich inspannen de beveiliging telaten voldoen aan een niveau dat, gelet op de stand van de techniek, de gevoeligheid
van de persoonsgegevens en de aan het treﬀen van de beveiliging verbonden kosten,niet onredelijk is. Verwerkingsverantwoordelijke stelt enkel persoonsgegevens aan
Verwerker ter beschikking voor verwerking, indien zij zich ervan hee^ verzekerd dat devereiste beveiligingsmaatregelen zijn getroﬀen. Verwerkingsverantwoordelijke isverantwoordelijk voor de naleving van de door ParJjen afgesproken maatregelen.

Ar-kel 7. Meldplicht
7.1. Verwerkingsverantwoordelijke is te allen Jjde verantwoordelijk voor het melden
van een beveiligingsincident en/of datalek (waaronder wordt verstaan: een inbreuk op
de beveiliging die per ongeluk of op onrechtmaJge wijze leidt tot de vernieJging, hetverlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang
tot doorgezonden, opgeslagen of anderszins verwerkte gegevens) aan detoezichthouder en/of betrokkenen. Om Verwerkingsverantwoordelijke in staat testellen aan deze webelijke plicht te voldoen, stelt Verwerker
Verwerkingsverantwoordelijke onverwijld op de hoogte van het beveiligingsincident
en/of het datalek.
7.2. Een melding moet alJjd worden gedaan, maar alleen als de gebeurtenis zich
daadwerkelijk voorgedaan hee^.
7.3. De meldplicht behelst in ieder geval het melden van het feit dat er een lek isgeweest. Daarnaast behelst de meldplicht:

Pagina 3 van 7••••de aard van de inbreuk in verband met persoonsgegevens, waar mogelijk onder
vermelding van de categorieën van betrokkenen en persoonsgegevens in
kwesJe en, bij benadering, het aantal betrokkenen en persoonsgegevens inkwesJe;de naam en de contactgegevens van de funcJonaris voor gegevensbeschermingof een ander contactpunt waar meer informaJe kan worden verkregen;de waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens;de maatregelen die Verwerker hee^ voorgesteld of genomen om de inbreuk inverband met persoonsgegevens aan te pakken, waaronder, in voorkomend
geval, de maatregelen ter beperking van de eventuele nadelige gevolgen
daarvan.

Ar-kel 8. AGandeling verzoeken van betrokkenen
8.1. In het geval dat een betrokkene een verzoek tot uitoefening van zijn/haarwebelijke rechten (arJkel 15-22 AVG) richt aan Verwerker, zullen ParJjen het verzoek
van de betrokkene in onderling overleg adandelen. Verwerkingsverantwoordelijke
blij^ in dat geval wel eindverantwoordelijk voor de adandeling.

Ar-kel 9. Geheimhouding en vertrouwelijkheid
9.1. Op alle persoonsgegevens die Verwerker van Verwerkingsverantwoordelijke
ontvangt en/of zelf verzamelt in het kader van deze Verwerkersovereenkomst, rust een
geheimhoudingsplicht jegens derden. Verwerker zal deze informaJe niet voor een
ander doel gebruiken dan waarvoor zij deze hee^ verkregen, zelfs niet wanneer deze ineen zodanige vorm is gebracht zodat deze niet tot betrokkenen herleidbaar is.
9.2. Deze geheimhoudingsplicht is niet van toepassing voor zover
Verwerkingsverantwoordelijke uitdrukkelijke toestemming hee^ gegeven om de
informaJe aan derden te verschaﬀen, indien het verstrekken van de informaJe aanderden logischerwijs noodzakelijk is gezien de aard van de verstrekte opdracht en deuitvoering van deze Verwerkersovereenkomst, of indien er een webelijke verplichJng
bestaat om de informaJe aan een derde te verstrekken.

Ar-kel 10. Audit
10.1. Verwerkingsverantwoordelijke hee^ het recht om audits uit te laten voeren door
een onadankelijke derde die aan geheimhouding is gebonden ter controle vannaleving van de beveiligingseisen, naleving van de algemene regels rond verwerking
van persoonsgegevens, misbruik van persoonsgegevens door medewerkers vanVerwerker, naleving van alle punten uit de Verwerkersovereenkomst, en alles dat daar
direct verband mee houdt.
10.2. Deze audit mag eens per jaar plaatsvinden alsook bij een concreet vermoeden
van misbruik van persoonsgegevens.
10.3. Verwerker zal aan de audit meewerken en alle voor de audit redelijkerwijs
relevante informaJe, inclusief ondersteunende gegevens zoals systeemlogs, en
Pagina 4 van 7

medewerkers zo Jjdig mogelijk ter beschikking stellen.
10.4. De bevindingen naar aanleiding van de uitgevoerde audit zullen door ParJjen inonderling overleg worden beoordeeld en, naar aanleiding daarvan, al dan niet worden
doorgevoerd door één van de ParJjen of door beide ParJjen gezamenlijk.
10.5. De kosten van de audit worden door Verwerkingsverantwoordelijke gedragen.

Ar-kel 11. Aansprakelijkheid
11.1. De aansprakelijkheid van Verwerker voor schade als gevolg van een toerekenbare
tekortkoming in de nakoming van de Verwerkersovereenkomst, dan wel uit
onrechtmaJge daad of anderszins, is uitgesloten. Voor zover voornoemde
aansprakelijkheid niet kan worden uitgesloten is deze per gebeurtenis (een reeks
opeenvolgende gebeurtenissen geldt als één gebeurtenis) beperkt tot de vergoedingvan directe schade, tot maximaal het bedrag van de door Verwerker ontvangenvergoedingen voor de werkzaamheden onder deze Verwerkersovereenkomst over demaand voorafgaande aan de schadeveroorzakende gebeurtenis. De aansprakelijkheid
van Verwerker voor directe schade zal in totaal nooit meer bedragen dan het bedragaan ontvangen vergoedingen voor de werkzaamheden onder deVerwerkersovereenkomst over de drie maanden voorafgaand aan deschadeveroorzakende gebeurtenis.
11.2. Onder directe schade wordt uitsluitend verstaan alle schade bestaande uit:••••

schade direct toegebracht aan stoﬀelijke zaken (“zaakschade”);
redelijke en aantoonbare kosten om de Verwerker ertoe te manen de
Verwerkersovereenkomst (weer) deugdelijk na te komen;
redelijke kosten ter vaststelling van de oorzaak en de omvang van de schadevoor zover betrekking hebbende op de directe schade zoals hier bedoeld is; enredelijke en aantoonbare kosten die Verwerkingsverantwoordelijke hee^gemaakt ter voorkoming of beperking van de directe schade zoals in dit arJkel
bedoeld.

11.3. De aansprakelijkheid van Verwerker voor indirecte schade is uitgesloten. Onder
indirecte schade wordt verstaan alle schade die geen directe schade is en daarmee inieder geval, maar niet beperkt tot, gevolgschade, gederfde winst, gemiste besparingen,verminderde goodwill, schade door bedrijfsstagnaJe, schade door het niet behalen vanmarkeJngdoeleinden, schade verband houdende met het gebruik van doorVerwerkingsverantwoordelijke voorgeschreven gegevens of databestanden, of verlies,verminking of vernieJging van gegevens of databestanden.
11.4. De in dit arJkel bedoelde uitsluiJngen en beperkingen komen te vervallen indien
en voor zover de schade het gevolg is van opzet of bewuste roekeloosheid van
Verwerker of haar bedrijfsleiding.
11.5. Tenzij nakoming door Verwerker blijvend onmogelijk is, ontstaat deaansprakelijkheid van Verwerker wegens toerekenbare tekortkoming in de nakoming
van de Overeenkomst slechts indien Verwerkingsverantwoordelijke Verwerker
onverwijld schri^elijk in gebreke stelt, waarbij een redelijke termijn voor de zuiveringvan de tekortkoming wordt gesteld, en Verwerker ook na die termijn toerekenbaar
blij^ tekortschieten in de nakoming van haar verplichJngen. De ingebrekestelling dient
Pagina 5 van 7

een zo volledig en gedetailleerd mogelijke omschrijving van de tekortkoming tebevaben, opdat Verwerker in de gelegenheid wordt gesteld adequaat te reageren.
11.6. Iedere vordering tot schadevergoeding door Verwerkingsverantwoordelijke tegen
Verwerker die niet gespeciﬁceerd en expliciet is gemeld, vervalt door het enkele
verloop van twaalf (12) maanden na het ontstaan van de vordering.

Ar-kel 12. Duur en beëindiging
12.1. Deze Verwerkersovereenkomst komt tot stand op het moment dat aanvaarding
door Verwerkingsverantwoordelijke is gemeld aan Verwerker en zal voortduren voor deduur van de Overeenkomst en bij gebreke daarvan voor de duur van de (verdere)samenwerking.
12.2. Zodra de Verwerkersovereenkomst, om welke reden en op welke wijze dan ook, isbeëindigd, zal Verwerker – naar keuze van Verwerkingsverantwoordelijke – allepersoonsgegevens die bij haar aanwezig zijn in originele of kopievorm retourneren aan
Verwerkingsverantwoordelijke, en/of deze originele persoonsgegevens en eventuele
kopieën daarvan verwijderen en/of vernieJgen.
12.3. Verwerker is gerechJgd deze overeenkomst van Jjd tot Jjd te herzien. Zij zal
minimaal drie maanden van tevoren mededeling doen van de wijzigingen aanVerwerkingsverantwoordelijke. Verwerkingsverantwoordelijke mag opzeggen tegen het
einde van deze drie maanden indien zij niet akkoord kan gaan met de wijzigingen.

Ar-kel 13. Toepasselijk recht en geschillenbeslech-ng
13.1. De Verwerkersovereenkomst en de uitvoering daarvan worden beheerst door
Nederlands recht.
13.2. Alle geschillen, welke tussen ParJjen mochten ontstaan in verband met deVerwerkersovereenkomst, zullen worden voorgelegd aan de bevoegde rechter voor het
arrondissement waarin Verwerker gevesJgd is.

Pagina 6 van 7

Bijlage 1: Speciﬁca-e persoonsgegevens
en betrokkenen
Categorieën betrokkenen en persoonsgegevens van verschillende doeleinden
Verwerker zal in het kader van arJkel 1.1 van de Verwerkersovereenkomst, devolgende (bijzondere) persoonsgegevens van de genoemde categorieën betrokkenen
verwerken in opdracht van Verwerkingsverantwoordelijke:
Cloudopslag van gegevens
Websitebezoekers••

Bezoekgedrag
IP-adres

Mogelijke klanten
••
•
•
•

Bezoekgedrag
IP-adres
NAW-gegevens
E-mailadres
Telefoonnummer

Klanten•••

NAW-gegevens
E-mailadres
Telefoonnummer

Diensten op het gebied van ontwikkelen van websites, apps en andere online
toepassingen.
Klanten••••Bezoekgedrag
Telefoonnummer
E-mailadres
NAW-gegevens

Verwerkingsverantwoordelijke staat ervoor in dat de in deze Bijlage 1 omschrevenpersoonsgegevens en categorieën betrokkenen volledig en correct zijn, en vrijwaart
Verwerker voor enige gebreken en aanspraken die resulteren uit een incorrecte
weergave door Verwerkingsverantwoordelijke.

Pagina 7 van 7