Verwerkersovereenkomst

Zet je persoonsgegevens op je hosting bij Daylit, bijvoorbeeld van klanten, leden of bezoekers van je site, dan verwerken wij die gegevens voor jou. De AVG schrijft voor dat we daar afspraken over maken (artikel 28). Die staan hieronder. Ze gelden automatisch voor iedere klant die persoonsgegevens via onze dienst verwerkt, als onderdeel van onze algemene voorwaarden.

1. Partijen en rollen

1.1 Jij bent de verwerkingsverantwoordelijke: jij bepaalt waarom en hoe persoonsgegevens op je hosting worden verwerkt.

1.2 BBJL B.V., handelend onder de naam Daylit, Graafschap 5, 5431 DE Cuijk, is de verwerker: wij verwerken de gegevens alleen om de hostingdienst aan je te leveren.

2. Onderwerp en duur

2.1 Onderwerp: het opslaan, beschikbaar stellen, back-uppen en technisch beheren van gegevens die jij op je hosting plaatst of laat verzamelen.

2.2 Soorten gegevens: dat bepaal jij. Meestal gaat het om contactgegevens, accountgegevens, bestellingen, berichten en technische gegevens zoals IP-adressen.

2.3 Betrokkenen: dat bepaal jij. Meestal gaat het om bezoekers, klanten, leden en medewerkers van jouw organisatie.

2.4 Duur: deze afspraken gelden zolang wij gegevens voor jou verwerken, dus zolang de hostingovereenkomst loopt en tot de gegevens zijn verwijderd volgens artikel 9.

3. Alleen op jouw instructie

3.1 We verwerken de gegevens alleen voor het leveren van de dienst en volgens jouw schriftelijke instructies. Het gebruik van de dienst zoals je die inricht, geldt als instructie.

3.2 We gebruiken de gegevens nooit voor eigen doeleinden, verkopen ze niet en bekijken de inhoud niet, tenzij dat nodig is voor technisch beheer, het oplossen van een storing, het beoordelen van een melding van misbruik of omdat de wet het verplicht.

3.3 Vinden we dat een instructie in strijd is met de AVG, dan laten we je dat direct weten.

3.4 Verplicht de wet ons om gegevens te verstrekken, dan informeren we je daarover vooraf, tenzij de wet dat verbiedt.

4. Geheimhouding

Iedereen die namens Daylit toegang heeft tot de gegevens, is tot geheimhouding verplicht.

5. Beveiliging

We nemen passende technische en organisatorische maatregelen om de gegevens te beschermen, waaronder:

• servers in Nederland, in een afgeschermd netwerk;
• scheiding tussen klanten: elke site draait in een eigen, afgeschermde container;
• versleutelde verbindingen (TLS) voor websites en beheer;
• toegang tot systemen alleen voor wie dat nodig heeft, met sterke authenticatie;
• automatische beveiligingsupdates van het besturingssysteem;
• dagelijkse backups;
• logging en monitoring om misbruik en storingen op te sporen.

Jij bent verantwoordelijk voor de beveiliging van wat je zelf beheert, zoals je thema's, plug-ins, eigen code en wachtwoorden.

6. Subverwerkers

6.1 Op dit moment schakelen we voor de opslag en verwerking van jouw hostinggegevens geen subverwerkers in: de dienst draait op onze eigen apparatuur.

6.2 Willen we een subverwerker inschakelen, bijvoorbeeld voor een extra backup op een andere locatie, dan laten we je dat minstens 30 dagen van tevoren weten. Je mag daartegen bezwaar maken. Komen we er niet uit, dan mag je de overeenkomst kosteloos opzeggen.

6.3 Een subverwerker legen we dezelfde verplichtingen op als in deze overeenkomst staan.

6.4 We geven gegevens niet door aan landen buiten de Europese Economische Ruimte zonder je voorafgaande toestemming en zonder de waarborgen die de AVG vereist.

7. Datalekken

7.1 Ontdekken we een inbreuk op de beveiliging die jouw gegevens raakt, dan laten we je dat zonder onredelijke vertraging weten, en uiterlijk binnen 48 uur na ontdekking.

7.2 We geven je de informatie die je nodig hebt om te beoordelen of je de inbreuk moet melden bij de Autoriteit Persoonsgegevens of aan betrokkenen: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het waarschijnlijk raakt, de mogelijke gevolgen en welke maatregelen we hebben genomen.

7.3 Het melden aan de toezichthouder en aan betrokkenen is jouw verantwoordelijkheid; wij helpen je daarbij.

8. Hulp bij rechten van betrokkenen

8.1 Meestal kun je verzoeken van betrokkenen, zoals inzage of verwijdering, zelf afhandelen in je site. Lukt dat niet, dan helpen we je binnen redelijke grenzen.

8.2 Krijgen wij zelf zo'n verzoek over jouw gegevens, dan sturen we het door naar jou.

8.3 We helpen je ook, binnen redelijke grenzen, bij een gegevensbeschermingseffectbeoordeling (DPIA) of overleg met de toezichthouder.

9. Einde van de verwerking

Eindigt de hostingovereenkomst, dan kun je tot de einddatum je gegevens zelf downloaden. 30 dagen na de einddatum verwijderen we de gegevens definitief; daarna verdwijnen ze in de gewone cyclus uit onze backups. Dit geldt niet voor zover de wet ons verplicht gegevens langer te bewaren.

10. Controle

10.1 We geven je op verzoek de informatie die nodig is om aan te tonen dat we ons aan deze afspraken houden.

10.2 Heb je een gegronde reden om te twijfelen, dan mag je eenmaal per jaar een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding verplicht is. Je kondigt dat minstens 30 dagen vooraf aan. De audit mag de dienst en de gegevens van andere klanten niet in gevaar brengen. De kosten zijn voor jou, tenzij blijkt dat wij ons wezenlijk niet aan deze afspraken hielden.

11. Overige afspraken

11.1 Voor de aansprakelijkheid gelden de afspraken in de algemene voorwaarden. Elk van ons blijft wel zelf verantwoordelijk voor boetes die de toezichthouder aan hem oplegt.

11.2 Spreken deze afspraken en de algemene voorwaarden elkaar tegen over persoonsgegevens, dan gaan deze afspraken voor.

11.3 Op deze overeenkomst is Nederlands recht van toepassing.