Welke afspraken staan er in een verwerkersovereenkomst?
In een verwerkersovereenkomst maken de verwerkingsverantwoordelijke en de verwerker afspraken over wat de verwerker wel en niet mag of moet doen met de persoonsgegevens die de verwerkingsverantwoordelijke aanlevert. Denk aan het soort gegevens, meldingen over afwijkingen en bewaar- en verwijdertermijnen.
Wat staat er in de verwerkersovereenkomst?
In de verwerkersovereenkomst staat:
- de omschrijving van het onderwerp, de duur, de aard en het doel van de verwerking
- het soort persoonsgegevens en de categorieën van betrokkenen
- de rechten en verplichtingen van jou en Laposta over en weer
Waar gebruik je de overeenkomst voor?
Met de verwerkersovereenkomst kun je aantonen hoe je voldoet aan je verplichtingen als verwerkingsverantwoordelijke richting je relaties (betrokkenen). Je kunt de overeenkomst ook gebruiken als zij hun privacyrechten uitoefenen, zoals het recht op inzage, correctie, wissen en dataportabiliteit.
Wat spreekt Laposta met je af?
Laposta houdt zich aan de instructies die in de overeenkomst zijn vastgelegd:
- Geheimhoudingsplicht: Laposta zal de persoonsgegevens bijvoorbeeld nooit voor eigen doeleinden gebruiken. Personen in dienst van of werkzaam voor Laposta zijn gehouden aan de Ethische Code van Laposta en aan een geheimhoudingsplicht.
- Beveiliging: Laposta neemt passende technische en organisatorische maatregelen om de verwerking te beveiligen. Bijvoorbeeld pseudonimisering en versleuteling van persoonsgegevens, permanente informatiebeveiliging, herstel van beschikbaarheid en toegang tot gegevens bij incidenten en regelmatige beveiligingstesten.
- Subverwerkers: Laposta schakelt geen subverwerker(s) in zonder je voorafgaande schriftelijke toestemming. Laposta legt een subverwerker in een subverwerkersovereenkomst dezelfde verplichtingen op als Laposta tegenover jou heeft, en is aansprakelijk voor de nakoming van de afspraken door de subverwerker (onder artikel 28, lid 4 van de AVG).
- Gegevens verwijderen: na afloop van de verwerkingsdiensten verwijdert Laposta de gegevens drie maanden na beëindiging van de overeenkomst, of geeft ze aan je terug als je dat wilt.
- Audits: Laposta laat onder de ISO 27001-certificering interne en externe audits uitvoeren en werkt desgevraagd mee aan je audits of die van een derde partij.
Hoe je de overeenkomst met Laposta accepteert en terugvindt, en wanneer je een eigen overeenkomst kunt laten beoordelen, lees je in Verwerkersovereenkomst met Laposta.