Alles over AVG binnen Newbase.
Verwerkersovereenkomst
Algemene Verordening Gegevensbescherming (AVG)
Newbase BV verwerkt onder andere persoonsgegevens voor en in opdracht van de klant omdat de klant een software gebruikersovereenkomst heeft met Newbase BV. Newbase BV en de klant zijn daarom verplicht volgens de Algemene Verordening Gegevensbescherming (AVG) om een Verwerkersovereenkomst te sluiten. Omdat Newbase BV een standaard applicatie (Newbase online) met de daarbij behorende standaard dienstverlening levert, heeft Newbase BV de verwerkingsovereenkomst opgenomen in de Algemene Voorwaarden en SLA. Newbase BV is in dezen de ‘verwerker’ en de klant de ‘verwerking verantwoordelijke’. Newbase BV en de klant verplichten zich over en weer om de Algemene Verordening Gegevensbescherming (AVG) na te leven. Voor de definities van begrippen wordt aangesloten bij de AVG. Newbase BV zal de persoonsgegevens alleen verwerken voor en in opdracht van de klant en om uitvoering te geven aan de overeenkomst.
Instructies verwerking
De verwerking bestaat uit het beschikbaar stellen van de Newbase BV applicaties met de door de klant ingevoerde en gegenereerde data. Newbase BV zal geen gegevens toevoegen, aanpassen of verwijderen zonder dat de klant daar specifieke instructie's voor gegeven heeft. Die instructie kan via een verzoek of via de applicatie worden gegeven.
Binnen de applicaties, die Newbase BV online beschikbaar stelt, zijn verschillende soorten persoonsgegevens vast te leggen. Newbase BV is zich ervan bewust dat de klant al deze, en eventueel nog zelf aan te maken persoonsgegevens of categorieën, kan invoeren en dat Newbase BV deze dan zal verwerken. De klant is zelf verantwoordelijk voor de beoordeling of het doel en aard van de verwerking past bij de dienstverlening die Newbase BV doet.
Newbase BV verzamelt geanonimiseerde gegevens over het gebruik van haar producten en diensten. Deze gegevens ondersteunen Newbase BV om inzicht te krijgen of, hoe en hoe vaak bepaalde onderdelen van het product gebruikt worden. De geanonimiseerde gegevens zullen uitsluitend gebruikt worden om producten en dienstverlening te verbeteren. Newbase BV zal de verzamelde gebruikersstatistieken nooit gebruiken voor commerciële doeleinden of aanbieden aan derde partijen.
Geheimhoudingsplicht
Newbase BV is zich bewust dat de informatie die de klant met Newbase BV deelt en opslaat binnen Newbase online, een geheim en bedrijfsgevoelig karakter heeft. Alle Newbase BV medewerkers zullen gedurende hun dienstverband en daarna, zoals in hun arbeidsovereenkomst met geheimhoudingsclausule is opgenomen, op verantwoorde wijze met de informatie van de klant omgaan.
Medewerkers met toegang tot klantgegevens
Systeembeheerders en supportmedewerkers van Newbase BV hebben volledige toegang tot de klantgegevens voor:
• het plaatsen van een nieuwe versie;
• het doorvoeren van patches en hotfixes;
• het maken van een back-up;
• het ondersteunen van klanten/gebruikers.
Implementatieconsultants en andere Newbase BV medewerkers hebben alleen toegang tot de klantgegevens indien zij toestemming daarvoor hebben ontvangen van de klant en voor zolang zij toestemming hebben van de klant door het beschikbaar stellen van de gebruikersgegevens aan een implementatieconsultant.
Beveiliging
Newbase BV neemt blijvend passende technische en organisatorische maatregelen om de persoonsgegevens van de klant te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking. Onze hosting provider voor Newbase NOW is KPN Internedservices is daarvoor ISO27001 gecertificeerd. Onze hosting provider voor Newbase NEXT is Amazon is daarvoor ISO27001 gecertificeerd. Deze maatregelen worden aangemerkt als een passend beveiligingsniveau in de zin van de AVG. Meer informatie hierover is te vinden op de speciale website van KPN en / of Amazon , zoekterm ISO. De klant is gerechtigd om in overleg met Newbase BV tijdens de looptijd van de overeenkomst door een onafhankelijke deskundige de naleving hiervan te controleren, bijvoorbeeld door het uitvoeren van een audit. De klant zal alle kosten in verband met deze controle dragen.
Indien de Autoriteit Persoonsgegevens aan de verwerkersverantwoordelijke een bindende aanwijzing geeft, dient de klant Newbase BV direct op de hoogte te stellen van deze bindende aanwijzing. Newbase BV zal er alles aan doen wat in redelijkheid van haar verwacht kan worden om de naleving mogelijk te maken. Als Newbase BV niet doet wat in redelijkheid van haar gevraagd kan worden, waardoor een boete volgt, of als de Autoriteit Persoonsgegevens direct een boete oplegt omdat sprake is van opzet of ernstige verwijtbare nalatigheid aan de kant van Newbase BV, dan geldt de toepasselijke aansprakelijkheidsbeperking als hiervoor genoemd in het hoofdstuk Aansprakelijkheid niet.
Subverwerkers
Newbase BV verwerkt de klantdata van de Newbase NOW applicatie in datacenters van KPN Interned Services en Newbase NEXT bij Amazon en deze is hiermee subverwerker. De datacenters waar Newbase BV gebruik van maakt bevinden zich uitsluitend in Nederland (Schiphol Rijk en Haarlem) en vallen onder Nederlandse wet- en regelgeving en voldoen aan de strenge Nederlandse en Europese wetgeving met betrekking tot logische en fysieke toegangsbeveiliging en continuïteit. De datacenters zijn minimaal ISO 27001 gecertificeerd. De (persoons)gegevens worden door Newbase BV en sub verwerker uitsluitend verwerkt binnen de Europese Economische ruimte.
Newbase BV zal geen nieuwe sub verwerkers gegevens laten verwerken zonder de klant daarover tijdig te informeren. De klant kan bezwaar maken bij Newbase BV tegen de sub verwerker. Newbase BV zal deze bezwaren op directieniveau afhandelen. Mocht Newbase BV toch gegevens willen laten verwerken door de nieuwe sub verwerker, heeft de klant de mogelijkheid om de overeenkomst te beëindigen.
Privacyrechten
Newbase BV heeft geen zeggenschap over de persoonsgegevens die door de klant beschikbaar worden gesteld. Zonder noodzaak, gezien de aard van de door de klant verstrekte opdracht, expliciete toestemming van de klant of wettelijke verplichting, zal Newbase BV de gegevens niet aan derden verstrekken of voor andere doeleinden verwerken, dan voor de overeengekomen doeleinden. De klant garandeert dat de persoonsgegevens verwerkt mogen worden op basis van een in de AVG genoemde grondslag.
Newbase BV zal wel, indien een verzoek gedaan wordt door de Stichting Autoriteit Financiële Markten, De Europese Centrale Bank of De Nederlandsche Bank N.V. op grond van de uitvoering van hun taak uit hoofde van de Wft, of op grond van andere wet- en regelgeving, alle mogelijke informatie beschikbaar stellen aan de betreffende organisatie. Tevens verplicht Newbase BV de subverwerker, zoals hierboven benoemd, eveneens te voldoen aan een dergelijk verzoek van deze toezichthouders.
Betrokkenen
De klant is verantwoordelijk voor de ingevoerde gegevens van de betrokkenen en daarbij voor het informeren en bijstaan van de rechten van de betrokkenen. Newbase BV zal nooit op verzoeken van betrokkenen ingaan en altijd verwijzen naar de verantwoordelijke. Newbase BV zal, voor zover dat binnen de applicatie mogelijk is, haar medewerking verlenen aan de klant zodat deze kan voldoen aan zijn wettelijke verplichtingen in het geval dat een betrokkene haar rechten uitoefent op grond van de AVG of andere toepasselijke regelgeving betreffende de verwerking van persoonsgegevens.
Meldplicht datalekken
De AVG vereist dat eventuele datalekken gemeld worden aan de Autoriteit Persoonsgegevens door de verwerking verantwoordelijke van de data. Newbase BV zal daarom zelf geen meldingen doen bij de Autoriteit Persoonsgegevens. Uiteraard zal Newbase BV de klant juist, tijdig en volledig informeren over relevante incidenten, zodat de klant als verwerking verantwoordelijke aan zijn wettelijke verplichtingen kan voldoen. De Beleidsregels meldplicht datalekken van de Autoriteit Persoonsgegevens geven hierover meer informatie.
Indien de klant een (voorlopige) melding verricht bij de Autoriteit Persoonsgegevens en/of de betrokkene(n) over een datalek bij Newbase BV, zonder dat de klant dit vooraf heeft besproken met Newbase BV, dan is de klant aansprakelijk voor door Newbase BV geleden schade en kosten. De klant is daarnaast verplicht een dergelijke melding direct in te trekken.
Bepaling datalek
Voor het bepalen van een datalek, gebruikt Newbase BV de AVG en de Beleidsregels meldplicht datalekken als leidraad.
Melding aan de klant
Indien blijkt dat bij Newbase BV sprake is van een beveiligingsincident of datalek, zal Newbase BV de klant hierover zo spoedig mogelijk informeren nadat Newbase BV bekend is geworden met het datalek. Om dit te realiseren zorgt Newbase BV ervoor dat al haar medewerkers in staat zijn en blijven om een datalek te constateren en verwacht Newbase BV van haar opdrachtnemers dat zij Newbase BV in staat stelt om hieraan te kunnen voldoen. Voor de duidelijkheid: als er een datalek is bij een leverancier van Newbase BV, dan meldt Newbase BV dit uiteraard ook. Newbase BV is het contactpunt voor de klant. De klant hoeft geen contact op te nemen met de leveranciers van Newbase BV.
Informeren klant (contactpersoon instellen)
In eerste instantie zal Newbase BV de contactpersoon van het abonnement informeren over een datalek.
Informatie verstrekken
Newbase BV probeert de klant direct alle informatie te verstrekken die de klant nodig heeft om een eventuele melding bij de Autoriteit Persoonsgegevens en/of de betrokkene(n) te verrichten.
Termijn van informeren
De AVG geeft aan dat er ‘onverwijld’ gemeld moet worden. Dit is volgens de Autoriteit Persoonsgegevens zonder onnodige vertraging en zo mogelijk niet later dan 72 uur na ontdekking ervan door de verantwoordelijke. Indien er een beveiligingsincident optreedt zal Newbase BV de klant zo snel mogelijk informeren: uiterlijk binnen 48 uur na het ontdekken ervan door Newbase BV. De klant zal zelf de beoordeling moeten maken of het beveiligingsincident valt onder de term ‘datalek’ en of er melding aan de Autoriteit Persoonsgegevens gedaan zal moeten worden. De klant heeft hiervoor 72 uur de tijd, nadat de klant hiervan op de hoogte is gesteld.
Voortgang en maatregelen
Newbase BV zal de klant op de hoogte houden over de voortgang en de maatregelen die getroffen worden. Newbase BV maakt hierover afspraken met de primaire contactpersoon bij de initiële melding. In ieder geval houdt Newbase BV de klant op de hoogte in geval van een wijziging van de situatie, het bekend worden van nadere informatie en over de maatregelen die getroffen worden.
Newbase BV registreert alle security incidenten en handelt deze volgens een vaste procedure (workflow) af.
Gegevens verwijderen
Newbase BV zal, na afloop van de overeenkomst, alle klantgegevens verwijderen. Mocht de klant eerder de gegevens verwijderd willen hebben, dan kan daarvoor een verzoek worden ingediend. Newbase BV verplicht zich daar gehoor aan te geven.
