Verwerkersovereenkomst NIS2-portaal

Versie 0.2 (concept) · 020 ICT B.V., KvK 95592342 · hoort bij de voorwaarden NIS2-portaal

Deze overeenkomst geldt tussen uw organisatie (verwerkingsverantwoordelijke) en 020 ICT B.V. (verwerker) voor de persoonsgegevens die 020 ICT voor u verwerkt in het NIS2-portaal. Zij geldt vanaf de start van de proef en zolang 020 ICT gegevens van u bewaart. De overeenkomst volgt artikel 28 van de AVG.

Wat hier niet onder valt: accountgegevens. Voor de accounts van gebruikers (naam, e-mailadres, wachtwoord, inlogtijden, inlogmeldingen met IP-adres en apparaat, en het logboek van wat iemand met zijn eigen account doet) is 020 ICT zelf verwerkingsverantwoordelijke. Die gegevens hebben wij nodig om het portaal veilig te leveren, misbruik te voorkomen en de overeenkomst uit te voeren. Hoe wij daarmee omgaan, staat in de privacyverklaring. Deze overeenkomst gaat alleen over de inhoud die uw organisatie in het portaal vastlegt.

Klant via een partner. Neemt u het portaal af via een partner van 020 ICT (bijvoorbeeld uw IT-leverancier), dan sluit u de verwerkersovereenkomst met die partner. De partner is dan uw verwerker en 020 ICT is subverwerker van de partner. Zie artikel 5a.

1. Onderwerp, duur en doel

• Doel: het leveren van het NIS2-portaal aan uw organisatie. Daaronder vallen:
  • vastleggen van maatregelen, risico's (ook als bowtie), assets, leveranciers, incidenten, documenten, taken en audits;
  • de awarenesstoets per medewerker: wie de toets heeft gedaan, de score, de datum en tot wanneer die geldig is (12 maanden), en de voortgang en certificaten van de cursus;
  • het register van oefeningen en tests (wie deed mee, uitkomst, verbeterpunten);
  • het verwerkingsregister (AVG art. 30) en het datalekregister van uw organisatie;
  • bij een klant via een partner: de onboarding met taken en de RACI-verdeling (wie doet wat) tussen u en de partner;
  • e-mails over de inhoud van uw dossier: meldklok bij incidenten en datalekken, weekoverzicht, uitnodiging voor de leveranciersvragenlijst.
  Welkomstmail, proefherinneringen, inlogcodes en inlogmeldingen gaan over het account en vallen onder de verantwoordelijkheid van 020 ICT (zie hierboven).
• Soort gegevens: namen, functies en rollen van medewerkers en bestuurders zoals u ze in het dossier gebruikt (bijvoorbeeld als eigenaar van een risico of taak); toetsscores, toetsdata en certificaten; deelname aan oefeningen; contactgegevens van leveranciers en contactpersonen die u zelf invoert; gegevens in het verwerkingsregister en datalekregister; persoonsgegevens in incidenten of documenten die u zelf vastlegt.
• Betrokkenen: uw medewerkers en bestuurders, contactpersonen bij uw leveranciers en klanten, en andere personen over wie u iets vastlegt.
• Bijzondere persoonsgegevens: het portaal is daar niet voor bedoeld. Leg ze niet vast.
• Duur: zolang u het portaal gebruikt, plus de termijnen in artikel 8.

2. Alleen op uw instructie

020 ICT verwerkt de gegevens alleen voor het doel hierboven en volgens uw instructies, waaronder wat u in het portaal instelt. Is 020 ICT wettelijk verplicht gegevens te verstrekken, dan laten wij u dat vooraf weten, tenzij de wet dat verbiedt. Vindt 020 ICT dat een instructie in strijd is met de AVG, dan meldt zij dat direct.

3. Geheimhouding

Iedereen bij 020 ICT die toegang heeft tot uw gegevens, is tot geheimhouding verplicht. Consultants van 020 ICT hebben toegang voor beheer, ondersteuning en advies, loggen in met tweestapsverificatie, en hun wijzigingen staan in het logboek.

4. Beveiliging

020 ICT neemt passende technische en organisatorische maatregelen (AVG art. 32). Op dit moment:

• versleutelde verbindingen (HTTPS) en gescheiden organisaties in één omgeving;
• inloggen met tweestapsverificatie [OPEN: verplicht aan op productie, zie besluiten];
• back-ups [OPEN: frequentie, versleuteling, bewaartermijn en locatie vastleggen zodra de back-up werkt en een hersteltest is gedaan];
• logboek van wijzigingen per organisatie;
• beheertoegang tot de server alleen met persoonlijke sleutels.

020 ICT mag deze maatregelen aanpassen, zolang het beschermingsniveau niet lager wordt.

5. Subverwerkers

U geeft algemene toestemming voor deze subverwerkers:

• Hetzner Online GmbH, Duitsland: hosting van de server (EU);
• Microsoft Ireland Operations Ltd., Ierland: verzenden van systeem-e-mails vanaf noreply@020ict.nl. Microsoft kan daarbij subverwerkers buiten de EU inzetten op basis van het EU-VS Data Privacy Framework of standaardcontractbepalingen.

Een nieuwe of andere subverwerker melden wij minimaal 30 dagen vooraf per e-mail. U kunt binnen die termijn bezwaar maken; lossen wij dat niet op, dan kunt u kosteloos opzeggen. 020 ICT legt subverwerkers dezelfde verplichtingen op als in deze overeenkomst.

5a. Klanten via een partner

• Een partner van 020 ICT die het portaal aan zijn klanten levert, is voor die klanten een zelfstandige verwerker. De partner sluit zelf een verwerkersovereenkomst met zijn klant.
• 020 ICT is voor die klanten subverwerker van de partner. Tussen de partner en 020 ICT gelden dan de artikelen 2 tot en met 8 van deze overeenkomst, met de partner in de plaats van "uw organisatie". De partner geeft de instructies van zijn klant aan ons door en zorgt dat zijn klant toestemming geeft voor de subverwerkers in artikel 5.
• De partner ziet en beheert de dossiers van zijn eigen klanten. Hij is zelf verantwoordelijk voor wat hij met die gegevens doet buiten het portaal.
• Verzoeken van betrokkenen en datalekken melden wij aan de partner; de partner informeert zijn klant.
• Accountgegevens van gebruikers vallen ook bij een klant via een partner onder de verantwoordelijkheid van 020 ICT (zie de inleiding).

6. Hulp bij uw verplichtingen

• Rechten van betrokkenen: verzoeken die bij ons binnenkomen sturen wij binnen 5 werkdagen naar u door. Met de exportfunctie en het beheer van gebruikers kunt u zelf inzage, correctie en verwijdering regelen; waar nodig helpen wij.
• Datalek: wij melden een inbreuk in verband met persoonsgegevens binnen 24 uur na ontdekking, met wat wij weten over aard, gevolgen en genomen maatregelen, en vullen dat aan zodra er meer bekend is. U beslist over melding aan de Autoriteit Persoonsgegevens en betrokkenen.
• Beveiliging, DPIA en voorafgaande raadpleging: wij geven de informatie die u daarvoor redelijkerwijs nodig heeft.

7. Controle en audit

Wij geven u op verzoek de informatie die nodig is om naleving aan te tonen. U mag een audit laten doen door een onafhankelijke deskundige die tot geheimhouding is verplicht, maximaal één keer per jaar en na 4 weken aankondiging, of eerder bij een concreet vermoeden van een overtreding. U draagt de kosten van de audit, tenzij blijkt dat 020 ICT deze overeenkomst niet nakomt.

8. Einde: teruggeven en verwijderen

Na het einde van het abonnement kunt u 30 dagen een export maken. Dat geldt ook als de partner het abonnement voor u stopt. Na een proef zonder vervolg blijven de gegevens 60 dagen alleen-lezen beschikbaar. Daarna verwijdert het portaal de organisatie automatisch met alle gegevens; in back-ups zijn ze uiterlijk 35 dagen later verdwenen [OPEN: back-uptermijn bevestigen na hersteltest]. Factuur- en betaalgegevens bewaren wij 7 jaar, omdat de belastingwet dat verplicht (art. 52 lid 4 AWR); die horen bij de administratie van 020 ICT en niet bij uw dossier.

9. Overig

Voor aansprakelijkheid geldt artikel 6 van de voorwaarden. Bij strijd tussen de voorwaarden en deze overeenkomst gaat deze overeenkomst voor wat betreft persoonsgegevens. Op deze overeenkomst is Nederlands recht van toepassing.