Verwerkersovereenkomst — SchoolFlow

Sjabloon. Dit is een professioneel opgestelde basisovereenkomst op basis van de gangbare AVG-verwerkersovereenkomst-structuur (art. 28 AVG). Laat dit door een jurist laten toetsen voordat je hem daadwerkelijk met een school ondertekent — met name de aansprakelijkheidsbepaling (artikel 9) verdient per klant een blik op maat.

Tussen:

[Schoolnaam], statutair gevestigd te [plaats], hierna: "Verwerkingsverantwoordelijke"

en

Elhoucine Automation, gevestigd te Almere, KVK 70739862, hierna: "Verwerker"

samen ook: "Partijen".

1. Onderwerp en duur

1.1 Deze verwerkersovereenkomst is een bijlage bij de overeenkomst tussen Partijen voor het gebruik van SchoolFlow (hierna: de "Dienst") en regelt de verwerking van persoonsgegevens die Verwerker namens Verwerkingsverantwoordelijke uitvoert.

1.2 Deze overeenkomst geldt voor de duur van de onderliggende overeenkomst en eindigt van rechtswege bij beëindiging daarvan, onverminderd de verplichtingen die naar hun aard voortduren (waaronder geheimhouding en de verwijder-/retourneerplicht van artikel 8).

2. Onderwerp, aard en doel van de verwerking

2.1 Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van: het registreren van personeelsverzuim, het bepalen van roosterimpact, het adviseren en vastleggen van vervangingskeuzes, het informeren van roostermakers en teamleiders, en het genereren van managementstatistiek — allemaal ten behoeve van Verwerkingsverantwoordelijke.

2.2 Categorieën betrokkenen: medewerkers (docenten, onderwijsondersteunend personeel) en, indirect en uitsluitend operationeel (nooit inhoudelijk over verzuimreden), leerlingen voor zover roosterwijzigingen aan hen worden getoond.

2.3 Categorieën persoonsgegevens: naam, contactgegevens (werk-e-mailadres, telefoonnummer), functie/team, afwezigheidsstatus en -periode, meldkanaal, roosterimpact, vervangingsacties, en operationele overdrachtsnotities.

2.4 Uitdrukkelijk uitgesloten van verwerking: diagnose, ziektereden, klachten, medische behandeling of medicatie, medische documenten, of enige andere bijzondere categorie van persoonsgegevens in de zin van art. 9 AVG. Verwerkingsverantwoordelijke draagt er zorg voor dat dergelijke gegevens nooit in vrije tekstvelden van de Dienst worden ingevoerd; Verwerker biedt hiervoor geen invoermogelijkheid in het reguliere gebruikersportaal.

3. Instructies

3.1 Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke (waaronder elektronische) instructies van Verwerkingsverantwoordelijke, zoals vastgelegd in de onderliggende overeenkomst, tenzij een wettelijke verplichting Verwerker tot verwerking verplicht.

3.2 Verwerker informeert Verwerkingsverantwoordelijke onverwijld indien een instructie naar zijn oordeel in strijd is met de AVG of andere toepasselijke privacywetgeving.

4. Geheimhouding

4.1 Verwerker verplicht eenieder die onder zijn gezag toegang heeft tot de persoonsgegevens tot geheimhouding, tenzij die persoon al aan een wettelijke geheimhoudingsplicht is gebonden.

5. Beveiliging

5.1 Verwerker treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. Zie de Beveiligingsbijlage (beveiligingsbijlage.md) voor de concrete maatregelen.

5.2 Verwerkingsverantwoordelijke beoordeelt of de in de Beveiligingsbijlage beschreven maatregelen een passend niveau bieden voor de aard van de verwerkte gegevens, en meldt Verwerker schriftelijk indien aanvullende maatregelen nodig worden geacht.

6. Inschakelen van subverwerkers

6.1 Verwerkingsverantwoordelijke geeft Verwerker algemene toestemming om subverwerkers in te schakelen, mits vermeld op de Subverwerkerslijst (subverwerkerslijst.md).

6.2 Verwerker informeert Verwerkingsverantwoordelijke ten minste [30] dagen voordat een nieuwe subverwerker wordt ingeschakeld of vervangen, zodat Verwerkingsverantwoordelijke daartegen bezwaar kan maken op redelijke, aan de AVG gerelateerde gronden.

6.3 Verwerker legt aan iedere subverwerker dezelfde verplichtingen op als in deze overeenkomst zijn opgenomen, en blijft jegens Verwerkingsverantwoordelijke volledig aansprakelijk voor het handelen en nalaten van de subverwerker.

7. Meldplicht datalekken

7.1 Verwerker meldt een (vermoedelijk) datalek betreffende de door hem verwerkte persoonsgegevens zonder onredelijke vertraging, en in ieder geval binnen 48 uur nadat hij hiervan kennis heeft genomen, aan Verwerkingsverantwoordelijke — zodat Verwerkingsverantwoordelijke zelf tijdig (binnen 72 uur na het eigen kennisnemen) aan de wettelijke meldplicht bij de Autoriteit Persoonsgegevens kan voldoen.

7.2 De melding bevat ten minste: de aard van het datalek, de (vermoedelijke) categorieën en het aantal betrokkenen en gegevens, de genomen en voorgestelde maatregelen, en contactgegevens voor nadere vragen. Zie ook de Incidentprocedure (incidentprocedure.md).

8. Bijstand, verwijdering en teruggave

8.1 Verwerker verleent Verwerkingsverantwoordelijke redelijke bijstand bij verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar), bij het uitvoeren van een DPIA, en bij overleg met de toezichthouder.

8.2 Bij beëindiging van de overeenkomst verwijdert of retourneert Verwerker — naar keuze van Verwerkingsverantwoordelijke — alle persoonsgegevens binnen [30] dagen, tenzij wettelijke bewaarplicht anders vereist. Zie ook het Dataretentiebeleid (dataretentiebeleid.md).

9. Aansprakelijkheid

9.1 Aansprakelijkheid tussen Partijen voor schade voortvloeiend uit deze verwerkersovereenkomst wordt geregeld conform de aansprakelijkheidsbepaling in de onderliggende hoofdovereenkomst.

Sjabloon-opmerking: neem hier de daadwerkelijke aansprakelijkheidsclausule uit de algemene voorwaarden/het pilotcontract op, of formuleer een specifieke bepaling in overleg met een jurist.

10. Audit

10.1 Verwerker verstrekt Verwerkingsverantwoordelijke op verzoek de informatie die redelijkerwijs nodig is om aan te tonen dat aan de verplichtingen van deze overeenkomst wordt voldaan, en staat audits door of namens Verwerkingsverantwoordelijke toe, met een redelijke aankondigingstermijn en niet vaker dan eenmaal per jaar (behoudens een concreet vermoeden van een datalek).

Ondertekening