Online support
Partijen
Afnemer ASSU Applicatie (hierna: "Verwerkingsverantwoordelijke");
en
YORON BV, gevestigd aan Idsteinlaan 15 te Vlijmen, ingeschreven bij de Kamer van Koophandel onder nummer 17135401 en hierbij rechtsgeldig vertegenwoordigd door A. Oeben Holla (hierna: "Verwerker");
Hierna gezamenlijk te noemen de "Partijen" en afzonderlijk "Partij",
in aanmerking nemende dat
- Verwerkingsverantwoordelijke de beschikking heeft over persoonsgegevens van diverse betrokkenen;
- Verwerker in het kader van haar dienstverlening persoonsgegevens van diverse betrokkenen verwerkt ten behoeve van Verwerkingsverantwoordelijke;
- Verwerkingsverantwoordelijke de doeleinden en middelen aanwijst voor de verwerking, waarvoor de in deze Verwerkersovereenkomst genoemde voorwaarden gelden;
- Verwerker tevens bereid is verplichtingen omtrent beveiliging en andere aspecten van de Algemene Verordening Gegevensbescherming (hierna: "AVG") na te komen;
- met persoonsgegevens gegevens in de zin van artikel 4 lid 1 van de AVG bedoeld worden;
- Verwerkingsverantwoordelijke aangemerkt kan worden als verantwoordelijke in de zin van artikel 4 lid 7 van de AVG;
- Verwerker aangemerkt kan worden als Verwerker in de zin van artikel 4 lid 8 van de AVG;
- Partijen, mede gelet op het vereiste uit artikel 28 lid 1 van de AVG, hun rechten en plichten schriftelijk wensen vast te leggen middels deze Verwerkersovereenkomst (hierna: "Verwerkersovereenkomst");
zijn als volgt overeengekomen:
Artikel 1. Doeleinden van verwerking
1.1
Deze Verwerkersovereenkomst is van toepassing op de Verwerking van Persoonsgegevens door Verwerker ten behoeve van Verwerkingsverantwoordelijke die plaatsvindt in het kader van de dienstverlening van Verwerker aan Verwerkingsverantwoordelijke, zoals nader geregeld in de tussen Partijen gesloten overeenkomst van dienstverlening en/of de Algemene Voorwaarden.
1.2
De toegestane verwerkingen worden uitgevoerd binnen een (semi-)geautomatiseerde omgeving onder controle van Verwerker.
1.3
De persoonsgegevens die door Verwerker in het kader van de Verwerkersovereenkomst (zullen) worden verwerkt, zijn opgenomen in Bijlage 1, evenals de categoriëen betrokkenen. Verwerker zal de persoonsgegevens niet voor enig ander doel verwerken dan door Verwerkingsverantwoordelijke is vastgesteld. Verwerkingsverantwoordelijke zal Verwerker op de hoogte stellen van de verwerkingsdoeleinden voor zover deze niet reeds in deze Verwerkersovereenkomst zijn genoemd.
1.4
Partijen erkennen dat Verwerker ook Persoonsgegevens Verwerkt in het kader van de dienstverlening waarvoor zij zelf het doel en de middelen bepaalt. Dit geldt bijvoorbeeld voor Persoonsgegevens over contactpersonen bij de Verwerkingsverantwoordelijke. Op de Verwerking van deze Persoonsgegevens, die aan de AVG moet voldoen, is de Verwerkersovereenkomst niet van toepassing.
1.5 De Verwerking van Persoonsgegevens onder deze Verwerkersovereenkomst heeft niet tot gevolg dat Verwerkingsverantwoordelijke enige intellectuele eigendomsrechten of andere aanspraken op de Persoonsgegevens overdraagt aan Verwerker, en is evenmin bedoeld om op enigerlei wijze afbreuk te doen aan de rechten van Betrokkenen.
Artikel 2. Verplichtingen Verwerker
2.1
Verwerker zal de Persoonsgegevens uitsluitend ten behoeve van de Verwerkingsverantwoordelijke Verwerken, en slechts voor zover noodzakelijk voor de dienstverlening van Verwerker aan Verwerkingsverantwoordelijke, alsmede voor die doeleinden die daarmee redelijkerwijs samenhangen of die tussen Partijen nader schriftelijk worden bepaald. Verwerker zal de Persoonsgegevens niet voor enig ander doel verwerken dan zoals door Verwerkingsverantwoordelijke is vastgesteld.
2.2
De Verwerker zal de Verwerkingsverantwoordelijke onmiddellijk in kennis stellen indien naar zijn mening een instructie van de Verwerkingsverantwoordelijke in strijd is met de AVG of andere relevante wet- en regelgeving.
2.3
Verwerker zal ervoor zorgen dat haar verplichtingen uit deze Verwerkersovereenkomst worden opgelegd aan degenen die Persoonsgegevens verwerken onder het gezag van Verwerker, waaronder begrepen maar niet beperkt tot werknemers.
2.4
Verwerker zal, voor zover dat binnen haar macht ligt, bijstand verlenen aan Verwerkingsverantwoordelijke in het nakomen van zijn verplichtingen:
- i. om verzoeken te beantwoorden van Betrokkenen die hun rechten uitoefenen onder de AVG;
- ii. met betrekking tot de beveiliging van de Verwerking van de Persoonsgegevens, de melding van Datalekken aan de AP en de Betrokkenen;
- iii. een mogelijk vereiste gegevensbeschermingseffectbeoordeling (‘Privacy Impact Assessment’) en voorafgaande raadpleging van de AP.
2.5
In het geval dat een Betrokkene een verzoek tot uitoefening van zijn/haar wettelijke rechten richt aan Verwerker, zal Verwerker het verzoek doorsturen aan Verwerkingsverantwoordelijke, en zal Verwerkingsverantwoordelijke het verzoek verder afhandelen, onverminderd het bepaalde in artikel 2.4.i). Verwerker mag de betrokkene daarvan op de hoogte stellen.
Artikel 3. Doorgifte van persoonsgegevens
3.1
Verwerker mag de persoonsgegevens verwerken in landen binnen de Europees Economische Ruimte (EER). Doorgifte naar landen buiten de EER is zonder toestemming van de Verwerkings-verantwoordelijke verboden.
Artikel 4. Verdeling van verantwoordelijkheid
4.1
Verwerker is louter verantwoordelijk voor de verwerking van persoonsgegevens onder deze Verwerkersovereenkomst, overeenkomstig de schriftelijke instructies van Verwerkingsverantwoordelijke en onder de uitdrukkelijke (eind-)verantwoordelijkheid van Verwerkingsverantwoordelijke. Voor de overige verwerkingen van persoonsgegevens, waaronder in ieder geval begrepen, maar niet beperkt tot, de verzameling van persoonsgegevens door de Verwerkingsverantwoordelijke, verwerkingen voor doeleinden die niet door Verwerkingsverantwoordelijke aan Verwerker zijn gemeld, verwerkingen door derden en/of voor andere doeleinden, is Verwerker uitdrukkelijk niet verantwoordelijk.
4.2
Verwerkingsverantwoordelijke staat ervoor in dat de inhoud, het gebruik en de opdracht tot de verwerkingen van persoonsgegevens zoals bedoeld in deze Verwerkersovereenkomst, niet onrechtmatig zijn en geen inbreuk maken op enig recht van derden.
4.3
Verwerkingsverantwoordelijke zal de contactgegevens van haar Data Protection Officer, of ander aanspreekpunt op het gebied van privacy, bij Verwerker bekendmaken en up-to-date houden, via het controlepaneel van de bij Verwerker afgenomen diensten. Verwerkingsverantwoordelijke vrijwaart Verwerker voor schade ontstaan als gevolg van het niet (tijdig) of onjuist invullen hiervan.
Artikel 5. Inschakelen van derden of onderaannemers (subverwerkers)
5.1
Verwerkingsverantwoordelijke geeft Verwerker hierbij toestemming om bij de verwerking van persoonsgegevens op grond van deze Verwerkersovereenkomst, gebruik te maken van onderaannemers (subverwerkers), met inachtneming van de toepasselijke privacywetgeving.
5.2
Verwerker zal de Verwerkingsverantwoordelijke zo spoedig mogelijk informeren over voorgenomen wijzigingen in de door haar in te schakelen onderaannemers. Verwerkingsverantwoordelijke heeft het recht om tegen enige door Verwerker nieuw in te schakelen of te wijzigen subverwerker, schriftelijk en gemotiveerd binnen veertien (14) kalenderdagen na aankondiging van de door haar in te schakelen onderaannemers bezwaar te maken. Wanneer de Verwerkingsverantwoordelijke bezwaar maakt, zullen Partijen onderling in overleg treden om tot een oplossing te komen.
5.3
Verwerker zorgt er in ieder geval voor dat deze onderaannemers dezelfde plichten op zich nemen als tussen Verwerkingsverantwoordelijke en Verwerker zijn overeengekomen. Verwerkingsverantwoordelijke heeft het recht de mogelijk hierbij betrokken overeenkomsten in te zien. Verwerker staat in voor een correcte naleving van deze plichten door deze onderaannemers en is bij fouten van deze onderaannemers zelf jegens Verwerkingsverantwoordelijke aansprakelijk voor alle schade alsof zij zelf de fout(en) heeft begaan.
Artikel 6. Meldplicht
6.1
Verwerkingsverantwoordelijke is te allen tijde verantwoordelijk voor de wettelijk vereiste melding van een Datalek aan de AP en/of Betrokkenen. De meldplicht van de Verwerker geldt enkel indien een lek daadwerkelijk heeft plaatsgevonden.
6.2
Om Verwerkingsverantwoordelijke in staat te stellen aan deze wettelijke plicht te voldoen, stelt Verwerker de Verwerkingsverantwoordelijke onverwijld en indien mogelijk binnen 24 uur nadat is vastgesteld dat sprake is van een Datalek, op de hoogte van een eventueel Datalek. Melding wordt gedaan aan de aan ons bekende contactgegevens, dan wel de tussen partijen gangbare communicatie kanalen
6.3
De meldplicht behelst in ieder geval het melden van het feit dat er een lek is geweest, alsmede, voor zover bekend bij Verwerker:
- de aard van het Datalek, waar mogelijk onder vermelding van de categorieën van Betrokkenen en, bij benadering, de duur en omvang van het Datalek;
- de naam en de contactgegevens van de functionaris voor gegevensbescherming van Verwerker of een ander contactpunt waar meer informatie kan worden verkregen;
- de waarschijnlijke gevolgen van het Datalek;
- de maatregelen die de Verwerker heeft voorgesteld of genomen om het Datalek aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.
6.4
Verwerkingsverantwoordelijke zal zorg dragen voor het voldoen aan eventuele (wettelijke) meldplichten. Indien relevante weten/of regelgeving dit vereist, zal Verwerker meewerken aan het informeren van de ter zake relevante autoriteiten en/of betrokkenen.
Artikel 7. Beveiliging
7.1
Verwerker zal, rekening houdend met de stand van de techniek, de uitvoeringskosten en de haar bekende informatie over de verwerkingsdoeleinden en de risico’s van de Verwerking, passende technische en organisatorische maatregelen nemen met betrekking tot de te verrichten Verwerkingen van Persoonsgegevens, tegen verlies of tegen enige vorm van onrechtmatige Verwerking (zoals onbevoegde toegang tot of ongeoorloofde aantasting, wijziging of verstrekking van de Persoonsgegevens). Verwerker heeft hiertoe de in Bijlage 2 benoemde beveiligingsmaatregelen genomen
7.2
Ondanks dat Verwerker conform het eerste lid van dit artikel passende beveiligingsmaatregelingen dient te treffen, kan Verwerker er niet voor instaan dat de beveiliging onder alle omstandigheden doeltreffend is. Verwerker zal bij een dreiging van of daadwerkelijk doorbreken van deze beveiligingsmaatregelen er echter redelijkerwijs alles aan doen om verlies van persoonsgegevens zo veel mogelijk te beperken.
7.3
Verwerkingsverantwoordelijke stelt enkel persoonsgegevens aan Verwerker ter beschikking voor verwerking, indien zij zich ervan heeft verzekerd dat passende beveiligingsmaatregelen zijn getroffen.
Artikel 8. Afhandeling verzoeken van betrokkenen
8.1
In het geval dat een betrokkene een van zijn wettelijke rechten met betrekking tot zijn persoonsgegevens wenst uit te oefenen en een verzoek hiertoe richt aan Verwerker, zal Verwerker dit verzoek doorzenden aan Verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke zal vervolgens zorgdragen voor de afhandeling van het verzoek. Verwerker mag de betrokkene daarvan op de hoogte stellen.
8.2
In het geval dat een betrokkene een verzoek tot uitoefening van een van zijn wettelijke rechten met betrekking tot persoonsgegevens indient, zal Verwerker, indien Verwerkingsverantwoordelijke dit verlangt, technische ondersteuning bij het uitvoeren van het verzoek verlenen, voor zover mogelijk en voor zover dit redelijk is. Verwerker mag hiervoor redelijke kosten bij Verwerkingsverantwoordelijke in rekening brengen.
Artikel 9. Geheimhouding en vertrouwelijkheid
9.1
Op alle persoonsgegevens die Verwerker van Verwerkingsverantwoordelijke ontvangt en/of zelf verzamelt in het kader van deze Verwerkersovereenkomst, rust een geheimhoudingsplicht jegens derden. Bovendien hebben binnen de organisatie van Verwerker slechts die personen toegang tot persoonsgegevens, voor wie dit op grond van hun taken noodzakelijk is en voor zover dit voor hun taken noodzakelijk is. Op de resultaten van de audit als omschreven in artikel 10, rust voor Verwerkingsverantwoordelijke een geheimhoudingsplicht jegens derden.
9.2
De geheimhoudingsplicht jegens derden is niet van toepassing voor zover de andere Partij uitdrukkelijke voorafgaande schriftelijke toestemming heeft gegeven om de informatie aan derden te verschaffen, indien het verstrekken van de informatie aan derden logischerwijs noodzakelijk is gezien de aard van de verstrekte opdracht en de uitvoering van deze Verwerkersovereenkomst, of indien er een wettelijke verplichting bestaat om de informatie aan een derde te verstrekken. Indien een Partij wettelijk verplicht is informatie aan een derde te verstrekken, zal deze de andere Partij hier onverwijld doch binnen 24 uur schriftelijk over informeren, voor zover dat wettelijk is toegestaan.
Artikel 10. Audit
10.1
Verwerkingsverantwoordelijke heeft het recht om audits uit te laten voeren op de naleving van deze Verwerkersovereenkomst indien dit gebeurt door of namens een wettelijke toezichthouder (“right to examine/right to audit”) op grond van een wettelijke bevoegdheid tot controle van naleving van de AVG of andere op Verwerkingsverantwoordelijke toepasselijke wet- en regelgeving.
10.2
Op verzoek van Verwerker toont Verwerkingsverantwoordelijke aan dat sprake is van een dergelijke wettelijke bevoegdheid.
10.3
Verwerker zal aan de audit meewerken en alle voor de audit redelijkerwijs noodzakelijke informatie tijdig ter beschikking stellen.
10.4
De bevindingen naar aanleiding van de uitgevoerde audit zullen aan Verwerker beschikbaar worden gesteld en door Verwerker worden beoordeeld en kunnen, naar eigen goeddunken van Verwerker en op de wijze zoals Verwerker zelf bepaalt, worden doorgevoerd door Verwerker.
10.5
De kosten van de audit worden door Verwerkingsverantwoordelijke gedragen. Eventuele kosten verbonden aan de medewerking door Verwerker zijn niet in de overeengekomen prijzen en vergoedingen van Verwerker begrepen. Verwerker is gerechtigd redelijke kosten voor het verlenen van deze bijstand aan Verwerkingsverantwoordelijke door te belasten. Indien sprake is van dergelijke kosten, zal Verwerker dit zo mogelijk tevoren aangeven.
Artikel 11. Aansprakelijkheid
11.1
Voor de aansprakelijkheid van Partijen voor schade als gevolg van een toerekenbare tekortkoming in de nakoming van de Verwerkersovereenkomst, dan wel uit onrechtmatige daad of anderszins, wordt de in de Algemene Voorwaarden van Verwerker overeengekomen regeling omtrent aansprakelijkheid van toepassing verklaard.
11.2
Verwerkingsverantwoordelijke vrijwaart Verwerker voor schade (waaronder schade als gevolg van eventuele aanspraken van de AP en/of Betrokkenen, en alle daarmee verband houdende kosten), indien deze aanspraak een toerekenbare tekortkoming betreft van Verwerkingsverantwoordelijke van zijn verplichtingen onder deze Verwerkersovereenkomst of de AVG.
Artikel 12. Duur en beëindiging
12.1
Deze Verwerkersovereenkomst komt tot stand ofwel door ondertekening van Partijen en op de datum van de laatste ondertekening, ofwel door actieve en ondubbelzinnige toestemming via de webportaal van Verwerker en op de datum dat deze toestemming gegeven is.
12.2
Deze Verwerkersovereenkomst is aangegaan voor de duur zoals bepaald in de hoofdovereenkomst tussen Partijen en bij gebreke daarvan in ieder geval voor de duur van de samenwerking, dat wil zeggen: zo lang als Verwerkingsverantwoordelijke gebruik maakt van dienstverlening van Verwerker waarbij Verwerker ten behoeve van Verwerkingsverantwoordelijke Persoonsgegevens Verwerkt.
12.3
Bij beëindiging van de Verwerkersovereenkomst, om welke reden en op welke wijze dan ook, zal Verwerker Verwerkingsverantwoordelijke een redelijke gelegenheid bieden om een elektronische kopie te maken van alle persoonsgegevens die bij haar aanwezig zijn, en zal zij zo spoedig mogelijk na het einde van de Verwerkersovereenkomst eventuele resterende kopieën daarvan wissen.
12.4
Deze Verwerkersovereenkomst verwoordt de enige geldende afspraken tussen Verwerkingsverantwoordelijke en Verwerker betreffende de verwerking van Persoonsgegevens door Verwerker en vervangt alle voorgaande bewerkersovereenkomsten en andere schriftelijke dan wel mondelinge afspraken en correspondentie over dat onderwerp.
12.5
Mededelingen betrekking hebbend op deze Verwerkersovereenkomst dienen schriftelijk te worden gedaan.
12.6
Deze Verwerkersovereenkomst is aangegaan met het doel te voldoen aan de vereisten gesteld door de AVG aan de Verwerking van Persoonsgegevens door Verwerker ten behoeve van Verwerkings-verantwoordelijke. Indien de wettelijke vereisten vergen dat deze Verwerkersovereenkomst wordt gewijzigd, mag elke Partij een wijzigingsvoorstel doen, waarna de Partijen in goed vertrouwen onderhandelingen zullen aangaan om overeenstemming te bereiken, om de voortdurende naleving van de toepasselijke wetgeving te verzekeren
12.7
Verwerker is daarnaast gerechtigd deze Verwerkersovereenkomst van tijd tot tijd eenzijdig te herzien. Zij zal minimaal één maand van tevoren mededeling doen van de wijzigingen aan Verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke mag opzeggen tegen het einde van deze maand indien zij niet akkoord kan gaan met de wijzigingen. Een akkoord met de gewijzigde voorwaarden kan elektronisch worden gegeven. Indien de Verwerkingsverantwoordelijke een maand na aankondiging van de gewijzigde voorwaarden gebruik maakt van de dienstverlening van Verwerker waarop de Verwerkersovereenkomst betrekking heeft, geldt dit ook als een akkoord met de gewijzigde voorwaarden.
Artikel 13. Toepasselijk recht en geschillenbeslechting
13.1
De Verwerkersovereenkomst en de uitvoering daarvan worden beheerst door Nederlands recht.
13.2
Alle geschillen welke tussen Partijen mochten ontstaan in verband met de Verwerkersovereenkomst, zullen worden voorgelegd aan de bevoegde rechter in het arrondissement waar Verwerker gevestigd is.
13.3
In geval van strijdigheid tussen deze Verwerkersovereenkomst en de Overeenkomst en/of toepasselijke algemene voorwaarden, prevaleert de Verwerkersovereenkomst.
Artikel 14. Definities
In deze Verwerkersovereenkomst wordt verstaan onder:
- Persoonsgegeven: Elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon;
- Verwerken of Verwerking: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van ter beschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;
- Datalek: een inbreuk op de beveiliging van Persoonsgegevens die per ongeluk of op onrechtmatige wijze leidt tot - of waarbij redelijkerwijs niet uit te sluiten valt dat die kan leiden tot - de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte Persoonsgegevens, en die waarschijnlijk een risico inhoudt voor de rechten en vrijheden van Betrokkene(n);
- Betrokkene: degene op wie een Persoonsgegeven betrekking heeft;
- AP: de Autoriteit Persoonsgegevens, het zelfstandig bestuursorgaan dat in Nederland bij wet als toezichthouder is aangesteld voor het toezicht op de Verwerking van Persoonsgegevens;
- AVG: de Algemene Verordening Gegevensbescherming;
- Verwerkersovereenkomst: deze verwerkersovereenkomst.
Bijlage 1: Specificatie persoonsgegevens
1A
Verwerker en de hieronder aangegeven subverwerkers verwerken persoonsgegevens in het kader van (een of meerdere van) de volgende ASSU Applicaties:
- ASSU Website
- ASSU Domeinnaamregistratie
- ASSU E-mail
- ASSU Digitaal
- ASSU Video
- ASSU Marketing
- ASSU SSL-certificaten
- ASSU Applicaties niet nader gespecificeerd
1B
Verwerker verwerkt persoonsgegevens voor (een of meerdere van) de volgende doeleinden
Relatieadministratie van Yoron: het doel van de gegevensopslag in onze administratie is ter identificatie en facturatie van Verwerkersverantwoordelijke. De volgende gegevens kunnen door Verwerker in opdracht van Verwerkersverantwoordelijke verwerkt worden met betrekking tot de administratie van Verwerker.
| soort gegevens | Categorie (over wie gaan de gegevens) |
| Bedrijfsnaam | Verwerkersverantwoordelijke |
| Adresgegevens | Verwerkersverantwoordelijke |
| Naam contactpersoon | Verwerkersverantwoordelijke |
| Contactgegevens | Verwerkersverantwoordelijke |
| Factuur e-mailadres | Verwerkersverantwoordelijke |
| Inhoud e-mails, i.c. content met betrekking tot de ASSU Applicaties | Verwerkersverantwoordelijke |
Subverwerker Jamilo
ASSU Website ontwikkeling: de volgende gegevens kunnen door Subverwerker in opdracht van Verwerkersverantwoordelijke verwerkt worden met betrekking tot het hosten van de website(s) voor Verwerkersverantwoordelijke. Het doel van deze opslag is de backup / fallback mogelijkheid wanneer contactformulieren niet verzonden kunnen worden naar de juiste ontvanger.
| soort gegevens | Categorie (over wie gaan de gegevens) |
Een kopie (backup) van een verzonden contactformulier. De volgende persoonsgegevens kunnen daarbij worden opgeslagen:
| Bezoeker website van de klant van Verwerkersverantwoordelijke |
Subverwerker Jamilo
Applicatieontwikkeling – Reseller beheerpaneel: Yoron maakt gebruik van een administratiepakket dat door Subverwerker is ontwikkeld. Het doel van het gebruik van dit pakket door Yoron is voor het vastleggen van klantgegevens en abonnementen op de verschillende ASSU Applicaties. De volgende gegevens worden door Subverwerker verwerkt met het beheerpaneel.
| soort gegevens | Categorie (over wie gaan de gegevens) |
| Bedrijfsnaam | Verwerkersverantwoordelijke |
| E-mailadres | Verwerkersverantwoordelijke |
| Adres | Verwerkersverantwoordelijke |
| Naam | Verwerkersverantwoordelijke |
| Telefoonnummer | Verwerkersverantwoordelijke |
| Bedrijfsnaam | Klant van verwerkersverantwoordelijke |
| E-mailadres | Klant van verwerkersverantwoordelijke |
| Factuur e-mailadres | Klant van verwerkersverantwoordelijke |
| Adres | Klant van verwerkersverantwoordelijke |
| BTW-nummer | Klant van verwerkersverantwoordelijke |
| KvK Nummer | Klant van verwerkersverantwoordelijke |
| Rekeningnummer | Klant van verwerkersverantwoordelijke |
| Initialen | Contactpersoon bij klant van verwerkersverantwoordelijke |
| Naam | Contactpersoon bij klant van verwerkersverantwoordelijke |
| Geslacht | Contactpersoon bij klant van verwerkersverantwoordelijke |
| Telefoonnummer | Contactpersoon bij klant van verwerkersverantwoordelijke |
| E-mailadres | Contactpersoon bij klant van verwerkersverantwoordelijke |
- Cloudopslag
- Beschikbaar stellen VPS
- Beveiliging
- Opzetten netwerk
- Om te voldoen aan de eisen van de whois-database
- Klantinformatie ten behoeve van de facturatie
- Overdracht gegevens wanbetalers richting diverse instellingen
1C
Verwerker verwerkt namens Verwerkingsverantwoordelijke de volgende categorieën persoonsgegevens:
- NAW-gegevens
- Contactgegevens
- Identificatienummer
- Klantnummer
- Betaalgegevens
- Geboortedatum
- Geslacht
- Nationaliteit
- Inloggegevens
- Financiële gegevens en betalingsgegevens
- IP-adres
- Socialmedia-accounts
- Gegevens over klik- en surfgedrag
- Gegevens over bestellingen en gebruik van diensten/producten
- Inhoud van e-mails, contactformulieren, chatberichten en andere communicatie
- Locatiegegevens
- Pasfoto’s
- Overige via de diensten van Verwerker opgeslagen of anderszins te verwerken gegevens
1D
Het betreft de volgende categorieën betrokkenen:
- Klanten
- Websitebezoekers
- Medewerkers
- Sollicitanten
- Accounthouders
- Potentiële klanten
- Leveranciers
- Overige categorieën personen van wie er persoonsgegevens verwerkt worden via de diensten van Verwerker
Verwerkingsverantwoordelijke staat ervoor in dat de in deze Bijlage 1 omschreven persoonsgegevens en categorieën volledig en correct zijn, en vrijwaart Verwerker voor enige gebreken en aanspraken die resulteren uit een incorrecte weergave door Verwerkingsverantwoordelijke.
Bijlage 2: Beveiligingsmaatregelen
- Verwerker heeft de volgende beveiligingsmaatregelen genomen:
- Logische toegangscontrole, gebruikmakend van sterke wachtwoorden;
- Automatische logging van alle handelingen rond persoonsgegevens;
- Fysieke maatregelen voor toegangsbeveiliging;
- Encryptie (versleuteling) van het versturen en opslaan van digitale bestanden met persoonsgegevens;
- Monitoring van genomen beveiligingsmaatregelen;
- Organisatorische maatregelen voor toegangsbeveiliging;
- Steekproefsgewijze controle op naleving van het beveiligingsbeleid;
- Doelgebonden toegangsbeperkingen;
- Controle op toegekende bevoegdheden.
Hackers en andere kwaadwillenden vinden steeds nieuwe manieren om data te stelen en controle over devices te verkrijgen voor losgeld. Daarom is het met name voor financieel advieskantoren belangrijk om van security een prioriteit te maken. Immers, juist een financieel advieskantoor beschikt over erg veel persoonlijke en financiële data van haar klanten.
De afgelopen jaren zijn er veel voorbeelden voorbij gekomen waaruit bleek dat ook Nederlandse bedrijven kwetsbaar zijn voor cyberaanvallen. Nagenoeg alle financieel advieskantoren zijn in hoge mate afhankelijk geworden van digitale processen. Hierdoor lopen zij een groter risico op financiële schade, imagoschade en wettelijke opgelegde schade wanneer ze bijvoorbeeld gehackt worden of als er een datalek plaatsvindt.
Phishing is een belangrijk risico. Er zijn legio voorbeelden van e-mails en websites van banken die zelfs door kenners vrijwel niet te ontmaskeren zijn. Wanneer u of uw medewerker vervolgens zijn of haar gegevens en een wachtwoord invult, krijgen de criminelen vrij spel. Zij kunnen dan rondkijken binnen de rechten van een gebruiker. Waar je bij ransomware vaak direct het gevolg ziet, kan het bij phishing lang duren voordat de hacker toeslaat. U kunt dus ongemerkt maandenlang een securitylek hebben.
Tegenwoordig zie je ook steeds vaker een speciale variant van phishing: spearfishing. Hierbij worden personen nauwkeurig getarget. Zo krijgen uw financiële medewerkers bijvoorbeeld een mailtje van ‘de baas’, met de vraag of ze direct geld kunnen overmaken. Of een juridisch medewerker krijgt de vraag van iemand die ze vertrouwen om gevoelige documenten meteen op de mail te zetten. Ook voor bedrijven die veel werken met persoonsgegevens kan phishing grote gevolgen hebben.
De oplossing
Zet in op het veilig gebruik van wachtwoorden, die geregeld veranderd worden. Dat kan bijvoorbeeld met een password manager. Werk daarnaast niet alleen met wachtwoorden, maar ga standaard voor multifactor authenticatie. Dit kan onder meer met biometrische herkenning (van gezicht of vinger), in combinatie met een app of dongle (bijvoorbeeld YubiKey), waarmee u unieke, tijdelijke, inlogcodes kunt genereren. Werk daarnaast aan de kennis van uw medewerkers, bijvoorbeeld door middel van trainingen.
YORON heeft een verdedigingstool ontwikkeld om phishing-awareness te vergroten. Dat doen we me door gecontroleerde phishingtesten uit te voeren, waarbij een nepmail wordt verstuurd. Verderop leest u er alles over.
‘Voorheen was het gevaar dat uw data vernietigd werd. Tegenwoordig is de schade groter wanneer de data openbaar gemaakt wordt’
Bij ransomware wordt een device vergrendeld, zodat u niet meer bij uw systemen en data kunt. Voorheen was hierbij het gevaar vooral dat uw data vernietigd zou worden. Tegenwoordig is de schade voor bedrijven groter wanneer de data openbaar gemaakt wordt. Wanneer bijvoorbeeld financiële gegevens of persoonsgegevens in handen van criminelen zijn gevallen, kan je dat als bedrijf duur komen te staan. In de financiële sector ligt dit risico vooral op het gebied van imagoschade en een verlies aan vertrouwen in uw organisatie.
De oplossing
Om uzelf te wapenen tegen ransomware, moet u in elk geval een plan hebben waarin u beschrijft wat u kunt doen in geval van een aanval. Zorg ervoor dat u voldoende back-ups hebt van uw gegevens. Deze kunt u ook (versleuteld) bij een goed beveiligde clouddienst onderbrengen. U kunt uzelf ook tegen ransomware beschermen door systemen en kritieke software en processen te isoleren. Wanneer een cybercrimineel uw organisatie aanvalt, blijft deze aanval dan in een soort container. Tot slot kunt u een verzekering afsluiten om de kosten van dataverlies te verzekeren. Het is tenslotte niet mogelijk om uw systemen altijd 100% veilig te houden.
Nieuwe technieken bieden niet alleen maar kansen, ze kunnen ook een groot risico vormen voor uw organisatie. Zo gebruiken criminelen algoritmes om social media af te struinen, op zoek naar informatie om een dataprofiel mee te maken. Dit wordt vervolgens gebruikt voor spearfishing of identiteitsdiefstal. Denk ook aan apps als TikTok en WOMBO, waarbij het algoritme achter de app biometrische data verzamelt. Op basis hiervan zijn deepfakes te maken.
Het is zelfs mogelijk om complete vingerafdrukken uit foto’s af te leiden. Dit maakt eenvoudige biometrische authenticatie onveilig. En ook de techniek Internet of Things brengt naast voordelen ook risico’s met zich mee. De techniek draait erom dat steeds meer apparaten met het internet verbonden zijn. Vrijwel iedereen heeft tegenwoordig een slimme lamp, thermostaat of koelkast, maar niet iedereen kent de beveiligingsrisico’s.
Zo zagen we bij een grote Franse supermarktketen dat de ‘slimme’ kassa’s gehackt konden worden. Denk ook bijvoorbeeld aan industrie. Wanneer machines gekoppeld zijn aan het internet, kan een hacker complete productieprocessen platleggen.
Oplossing
Naast technologie ligt de oplossing deels in voorlichting. Biometrische sensoren moeten minstens kunnen herkennen dat ze te maken hebben met een levend persoon om veiliger te zijn. Het is belangrijk dat uw medewerkers de gevaren van nieuwe technologieën kennen en niet onderschatten.
Financieel advieskantoren zijn een kwetsbare groep. Er is bij deze doelgroep weinig budget voor security, terwijl er wel waardevolle data opgeslagen wordt. Cybercriminelen kiezen voor advieskantoren vanwege het hoge 'rendement'. Binnen onze branche is de kans groter dat een financieel kantoor tegen ernstige problemen aanloopt bij een groot datalek. Zij zijn dus eerder geneigd om te betalen wanneer ze aangevallen worden.
Uit de praktijk blijkt dat veel financieel advieskantoren onvoldoende aandacht hebben voor cybercrime. De oorzaken zijn onder andere:
1. Gebrek aan interesse
Een simpel gebrek aan interesse is vaak de oorzaak van een laag bewustzijn als het gaat om cyberrisico`s. De gedachte dat iedereen een potentieel doelwit is, is nog niet doorgedrongen. Dit zien we regelmatig bij kleinere organisaties. Deze organisaties realiseren zich vaak niet dat criminelen niet kijken naar de omvang.
2. Andere prioriteiten
De waan van de dag: vaak zijn er tal van andere zaken die meer prioriteit behoeven. Het verhogen van security awareness komt daardoor onderaan het prioriteitenlijstje te staan. We horen vaak dat een campagne niet ten koste mag gaan van de arbeidsproductiviteit.
3. Er is geen noodzaak
Vaak is er (nog) geen noodzaak om te investeren in security awareness, want er hebben nog geen incidenten plaatsgevonden. Totdat er wel iets gebeurt. En dan ben je te laat! Criminelen kondigen natuurlijk niet aan dat ze een phishingmail gaan versturen.
4. Geen direct resultaat
Security awareness geeft geen direct resultaat en de schade van afgeweerde incidenten is niet meetbaar. Een hoop afgeweerde incidenten zullen ook nooit aan het licht komen. Security awareness lijkt dus alleen maar tijd en geld te kosten.
1. Noodzaak
Door een echt incident, zoals een datalek of ransomware-infectie, zal security awareness bovenaan de prioriteitenlijst komen te staan. Dit druist natuurlijk tegen alles in waar de security awareness manager voor staat: het voorkomen van incidenten veroorzaakt door medewerkers. Een goede manier om de noodzaak aan te tonen is om een aanval te simuleren. Een phishing simulatie kost niet veel en toont goed aan hoe kwetsbaar een organisatie is.
2. Compliancy
Compliancy-richtlijnen (denk bijvoorbeeld aan de AVG) stellen de eis dat er ‘redelijke maatregelen’ getroffen worden om incidenten te voorkomen. Wat redelijke maatregelen zijn wordt niet gespecificeerd.
In de praktijk zien we dat veel incidenten te wijten zijn aan onvoldoende maatregelen, waarna waarschuwingen, sancties of aansprakelijkheid volgen (AP, AFM, DNB...). Natuurlijk is 100% veiligheid niet mogelijk. Het is dan ook aan het betreffende advieskantoor om aan te tonen dat er alles aan gedaan is om risico’s te verkleinen. Het adequaat trainen van medewerkers is daar één onderdeel van. Als er na een incident niet aangetoond kan worden dat medewerkers adequaat getraind worden zeg je als advieskantoor eigenlijk dat het onderwerp niet belangrijk genoeg was.
3. Een veilige werkomgeving
Welke financieel advieskantoor wil nou geen professionele uitstraling, waarbij uiterst zorgvuldig wordt omgegaan met de uiterst privacygevoelige informatie waarover zij beschikken? Informatie is goud waard voor advieskantoren, dus ook voor criminelen. Dat wilt u dan toch zo goed mogelijk beschermen?
Door medewerkers te trainen worden zij bewust van hun rol en verantwoordelijkheden op het gebied van informatiebeveiliging. Ze zullen bewuster worden van de waarde van informatie en zorgvuldiger en alerter te werk gaan. Daarnaast kunnen medewerkers de kennis ook in hun privésituatie gebruiken, zodat ze ook daar weerbaarder worden.
4. Reputatie en imago
Een incident, zoals een datalek, kan desastreuze gevolgen hebben voor de reputatie van een financieel advieskantoor. Dit is misschien wel de grootste schadepost die je als organisatie kan hebben, want het vertrouwen in de organisatie wordt ernstig geschaad.
Daarnaast vragen (potentiële) klanten steeds vaker welke maatregelen een advieskantoor treft op het gebied van informatiebeveiliging. Klanten vertrouwen u immers hun data toe. Door medewerkers te trainen laat u zien dat u veel waarde hecht aan de gegevens van klanten, medewerkers, burgers, et cetera. Het aantoonbaar zorgvuldig omgaan met gegevens kan uw reputatie ten goede komen en u net dat streepje voor geven ten opzichte van de concurrentie.
Het phishing awareness programma besteedt aandacht aan de volgende aspecten van gedragsverandering:
- Kennis: leer potentieel gevaarlijke situaties herkennen.
- Ervaring: ervaar gevaarlijke situaties in een vertrouwde omgeving.
- Gedrag: wordt gemotiveerd om adequaat te reageren op risicovolle situaties.
Door een situatie te ervaren blijft de kennis en ervaring goed hangen, waardoor gedrag blijvend positief beïnvloed wordt. U en uw medewerkers zijn dan beter in staat om adequaat te reageren op de échte phishingmails.
YORON verstuurt naar de e-mailadressen van de medewerkers met enige regelmaat ‘spam-mail’. Op het moment dat een van uw medewerkers de bijlage opent of op de aangeboden link klikt, verschijnt de boodschap dat uw medewerker er met open ogen ingetuind is.
Natuurlijk sturen wij ook naar uw eigen e-mailadres deze 'spam-mail'.
En wilt u over cijfers beschikken als het gaar om de impact van cybercrime? Download dan onderstaande brochure!