Voorwaarden NIS2-portaal

Versie 0.2 (concept) · 020 ICT B.V., Takeling 25, 3891 EE Zeewolde, KvK 95592342

1. De dienst

Het NIS2-portaal is een online omgeving waarin uw organisatie haar maatregelen, risico's, assets, leveranciers, incidenten, documenten en taken rond de Cyberbeveiligingswet (NIS2) vastlegt. Het portaal is een hulpmiddel: u blijft zelf verantwoordelijk voor de naleving van de wet, voor de juistheid van wat u vastlegt en voor tijdige meldingen aan de toezichthouder. Het portaal verstuurt zelf geen meldingen aan toezichthouders of CSIRT's.

2. Proefperiode

• De proef duurt 30 dagen (bij het cursuspakket: 2 maanden) en is kosteloos, met alle functies.
• Na de proef blijven uw gegevens 60 dagen alleen-lezen beschikbaar. Kiest u in die periode geen pakket, dan verwijdert het portaal de organisatie daarna automatisch met alle gegevens, definitief.
• Tijdens de proef sturen wij u 7 dagen en 1 dag voor het einde een herinnering. U kunt zich daarvoor afmelden via de link in de e-mail.
• Een proef gaat nooit automatisch over in een betaald abonnement.

3. Abonnement

• Pakketten en prijzen staan op nis2portaal.nl/portaal-en-prijzen; prijzen zijn per organisatie per maand, exclusief btw.
• Facturatie per maand of per jaar vooraf. Het abonnement is maandelijks opzegbaar tegen het einde van de lopende periode.
• Na beëindiging kunt u 30 dagen een export maken (maatregelen als CSV, documenten en rapporten als PDF). Daarna verwijdert het portaal de organisatie automatisch met alle gegevens; back-ups uiterlijk 35 dagen later [OPEN: back-uptermijn bevestigen na hersteltest]. Dit geldt ook voor klanten via een partner (artikel 5a).
• Facturen en betaalgegevens bewaren wij 7 jaar, omdat de belastingwet dat verplicht (art. 52 lid 4 AWR). Die blijven na het verwijderen van de organisatie bewaard, los van uw dossier.

4. Uw gegevens en vertrouwelijkheid

Wat u in het portaal zet (zoals kwetsbaarheden, risico's en incidenten) is gevoelig. Wij behandelen het als vertrouwelijk:

• Opslag op een server van 020 ICT bij Hetzner Online GmbH in Duitsland (EU). Systeem-e-mails gaan via Microsoft Ireland Operations Ltd.; Microsoft kan daarbij subverwerkers buiten de EU inzetten op basis van het EU-VS Data Privacy Framework of standaardcontractbepalingen.
• Iedere klantorganisatie is logisch gescheiden; medewerkers van andere klanten kunnen uw gegevens niet zien.
• Consultants van 020 ICT hebben toegang tot alle organisaties in het portaal, voor beheer, ondersteuning en advies. Zij zijn tot geheimhouding verplicht, loggen in met tweestapsverificatie en elke wijziging die zij doen staat in het logboek.
• Verbindingen zijn versleuteld (HTTPS); inloggen met tweestapsverificatie; back-ups: [OPEN: back-upbeleid na hersteltest].
• Wij gebruiken uw gegevens niet voor andere doeleinden en verstrekken ze niet aan derden, tenzij de wet ons daartoe verplicht.

5. Verwerking van persoonsgegevens

Er zijn twee soorten persoonsgegevens in het portaal:

• Accountgegevens (naam, e-mailadres, wachtwoord, inlogtijden, inlogmeldingen met IP-adres en apparaat, en het logboek van het eigen account). Daarvoor is 020 ICT zelf verwerkingsverantwoordelijke; zie de privacyverklaring. Daaronder vallen ook de welkomstmail, de proefherinneringen, inlogcodes en inlogmeldingen.
• De inhoud die uw organisatie vastlegt (zoals risico's, incidenten, documenten, leveranciers, awarenessresultaten van medewerkers, oefeningen, verwerkingsregister en datalekregister). Daarvoor bent u verwerkingsverantwoordelijke en is 020 ICT verwerker.

Voor de inhoud geldt de verwerkersovereenkomst die bij het abonnement hoort, met in elk geval:

• verwerking alleen op uw instructie en voor het leveren van het portaal;
• subverwerkers: Hetzner Online GmbH (hosting, Duitsland) en Microsoft Ireland Operations Ltd. (verzenden van systeem-e-mails vanaf noreply@020ict.nl);
• melding van een datalek aan u binnen 24 uur na ontdekking;
• medewerking aan uw verzoeken van betrokkenen en aan audits;
• verwijdering van de gegevens na afloop, zoals in artikel 3.

5a. Klanten en partners

• Een partner van 020 ICT (bijvoorbeeld een IT-leverancier) kan het portaal aan zijn eigen klanten leveren. De partner factureert zijn klant zelf; 020 ICT factureert de partner.
• De partner is voor zijn klanten een zelfstandige verwerker en sluit zelf een verwerkersovereenkomst met zijn klant. 020 ICT is daarbij subverwerker van de partner; tussen partner en 020 ICT geldt de verwerkersovereenkomst van 020 ICT (artikel 5a daarvan).
• De partner ziet en beheert de dossiers van zijn eigen klanten in het portaal. Stopt de partner het abonnement van een klant, dan gaat het dossier op alleen-lezen en geldt de exporttermijn van artikel 3.
• Voor accountgegevens van gebruikers blijft 020 ICT ook bij klanten via een partner verwerkingsverantwoordelijke (artikel 5).

6. Beschikbaarheid en aansprakelijkheid

Wij streven naar een beschikbaarheid van 99,5% per maand, exclusief aangekondigd onderhoud. De aansprakelijkheid van 020 ICT is beperkt tot het bedrag dat u in de twaalf maanden voorafgaand aan de schade voor het portaal heeft betaald, behalve bij opzet of bewuste roekeloosheid. Tijdens de proef is het portaal kosteloos en zonder garantie.

7. Overig

Op deze voorwaarden is Nederlands recht van toepassing. Wijzigingen kondigen wij minimaal 30 dagen vooraf per e-mail aan. Vragen: david@020ict.nl.