TUSSEN:

1. <<naam voedselbank>>, statutair gevestigd en kantoorhoudende te <<adres voedselbank>>, ingeschreven bij de Kamer van Koophandel onder nummer <<nummer KvK>>, hierna te noemen ‘Verantwoordelijke’; en
2. <<naam organisatie>>, statutair gevestigd en kantoorhoudende aan <<adres organisatie>>, ingeschreven bij de Kamer van Koophandel onder nummer <<nummer KvK>>, hierna te noemen ‘Verwerker’,

Samen de ‘Partijen’.

Overwegende dat:
a. Verantwoordelijke en verwerker een overeenkomst hebben gesloten over <<“inhoud overeenkomst”>> (de ‘Hoofdovereenkomst’) op grond waarvan Verwerker persoonsgegevens verwerkt waarvoor Verantwoordelijke verwerkingsverantwoordelijke is in de zin van de Algemene verordening gegevensbescherming (AVG);
b. Privacywetgeving, inclusief nationale wetten ter uitvoering van de Privacyrichtlijn en de Algemene Verordening Gegevensbescherming, vereist dat dergelijke verwerkingen worden geregeld door een overeenkomst of rechtshandeling die de Verwerker bindt aan de Verantwoordelijke en waarin het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, de verplichtingen van de Verwerker in verband met beveiligingsincidenten en datalekken, het soort persoonsgegevens en de categorieën van betrokkenen, en de rechten en verplichtingen van de Verantwoordelijke worden omschreven; en
c. Partijen wensen de bovenstaande vereisten in de onderhavige verwerkersovereenkomst (de ‘Verwerkersovereenkomst’) te regelen, welke overeenkomst een integraal onderdeel is van de Hoofdovereenkomst.

Partijen verklaren te zijn overeengekomen als volgt:

1. Definities en Interpretatie
1.1. Persoonsgegevens: alle informatie over een geïdentificeerde, of identificeerbare natuurlijke persoon;
Verwerking: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;
Betrokkene: geïdentificeerde of identificeerbare natuurlijke persoon op wie een persoonsgegeven betrekking heeft;
Inbreuk in verband met persoonsgegevens: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens (datalek);
Verwerkingsverantwoordelijke: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijk recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;
Verwerker: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt;
‘Privacywetgeving’ de Privacy Richtlijn (95/46/EG) en de Richtlijn privacy en elektronische communicatie (2002/58/EG), de nationale wetten ter uitvoering van deze richtlijnen en/of, in voorkomend geval, de verordening (EU) 2016/679 (de “Algemene Verordening Gegevensbescherming”) en elke wetgeving of verordening die het voorgaande van tijd tot tijd wijzigt of aanvult;
1.2. Deze Verwerkersovereenkomst en de Annexen vormen een integraal onderdeel van de Hoofdovereenkomst en een verwijzing naar de Verwerkersovereenkomst is inclusief een verwijzing naar de Annexen.
1.3. In geval van inconsistentie tussen de bepalingen van deze Verwerkersovereenkomst en de Hoofdovereenkomst, gelden de bepalingen van deze Verwerkersovereenkomst.
1.4. In geval van nietigheid c.q. vernietigbaarheid van een of meer bepalingen uit deze Verwerkersovereenkomst blijven de overige bepalingen onverkort van kracht.

2. Totstandkoming, duur en Beëindiging
2.1. Deze Verwerkersovereenkomst treedt in werking op de datum van ondertekening door beide Partijen en blijft van kracht tot afloop of beëindiging van de Hoofdovereenkomst.
2.2. Indien de Hoofdovereenkomst eindigt, eindigt deze Verwerkersovereenkomst automatisch; de Verwerkersovereenkomst kan niet tussentijds of separaat worden opgezegd.
2.3. Alle bepalingen van deze Verwerkersovereenkomst die uitdrukkelijk of impliciet zijn bedoeld om van kracht te blijven na beëindiging of afloop van deze Verwerkersovereenkomst, met inbegrip van de Artikelen 8 (geheimhouding), 6 (melden inbreuk in verband met persoonsgegevens), 10 (vrijwaring), 8.1 (bijhouden van Bescheiden) en 11.1 (retour Persoonsgegevens) blijven volledig van kracht.

3. Verplichtingen verwerker
3.1. De voorwaarden van deze Verwerkersovereenkomst zijn van toepassing op de Persoonsgegevens die de Verwerker, of de toegestane onderaannemers/subverwerkers, verwerken tijdens het verlenen van diensten in het kader van de Hoofdovereenkomst, zoals weergegeven in Annex 1.
3.2. De Verwerker verwerkt uitsluitend die Persoonsgegevens zoals verder gespecificeerd in Annex 1 en voert deze verwerkingshandelingen enkel uit op basis van de schriftelijke instructies die voortvloeien uit de Hoofdovereenkomst, deze Verwerkersovereenkomst en/of overige schriftelijke instructies van de Verantwoordelijke waarin de aard en doeleinden van de verwerking zijn beschreven, onder voorbehoud van Artikel 3.4 van deze Verwerkersovereenkomst. Verwerker zal in dit kader alle redelijke instructies van de Verantwoordelijke in verband met de verwerking opvolgen.
3.3. De Verwerker verwerkt geen Persoonsgegevens voor zijn eigen doeleinden of die van anderen, tenzij een op de Verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling hem tot verwerking verplicht; in dat geval stelt de Verwerker de Verantwoordelijke, voorafgaand aan de verwerking, in kennis van dat wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.
3.4. De Verwerker verwerkt de Persoonsgegevens in overeenstemming met de Privacywetgeving die van toepassing is op de verwerking van Persoonsgegevens onder deze Verwerkersovereenkomst, waarbij ook rekening wordt gehouden met afzonderlijke verplichtingen die de Verantwoordelijke krachtens Privacywetgeving kan hebben. De Verwerker stelt de Verantwoordelijke onmiddellijk in kennis wanneer een instructie van de Verantwoordelijke betreffende de verwerking van Persoonsgegevens naar haar mening inbreuk maakt op Privacywetgeving of andere toepasselijke wetgeving.
3.5. De Verwerker zorgt ervoor dat alle Persoonsgegevens die door de Verwerker zijn gecreëerd namens de Verantwoordelijke nauwkeurig en juist zijn en zo nodig bijgewerkt worden en zorgt ervoor dat de Persoonsgegevens die onjuist of onvolledig zijn worden gewist of gerectificeerd overeenkomstig de instructies van de Verantwoordelijke.
3.6. In aanvulling op het voorgaande lid 5 van dit Artikel leggen Partijen vast dat Verwerker de Persoonsgegevens aantoonbaar, op behoorlijke en zorgvuldige wijze persoonsgegevens zal verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de Privacywetgeving en/of andere toepasselijke wetgeving. Verwerker zal in dat kader ten minste een register van verwerkingen aanleggen als bedoeld in Artikel 30 AVG en op eerste verzoek van Verantwoordelijke zal Verwerker een kopie van dat register verstrekken.
3.7. De Verwerker zal de Verantwoordelijke alle informatie ter beschikking stellen die nodig is om de nakoming van de verplichtingen die voortvloeien uit deze Verwerkersovereenkomst aan te kunnen tonen.
3.8. De Verwerker zal geen Persoonsgegevens verwerken in- of doorgeven aan een land, gebied of organisatie buiten de Europese Economische Ruimte (“EER”) zonder voorafgaande schriftelijke toestemming van de Verantwoordelijke (en de Verwerker zorgt ervoor dat elke onderaannemer aan hetzelfde voldoet).
4. Subverwerker
4.1. Het is de Verwerker niet toegestaan om bij de verwerking van persoonsgegevens een onderaannemer (“Subverwerker”) in te schakelen zonder uitdrukkelijke voorafgaande schriftelijke toestemming van de Verantwoordelijke. Een subverwerker kan daarnaast alleen worden ingeschakeld middels een schriftelijke overeenkomst met de subverwerker, welke overeenkomst dezelfde of zelfs strengere verplichtingen oplegt als aan de Verwerker onder deze Verwerkersovereenkomst dan wel uit de Privacywetgeving of andere toepasselijke wetgeving voortvloeit. Met name zal de Verwerker erop toezien dat een eventuele subverwerker afdoende garanties biedt met betrekking tot het toepassen van passende technische en organisatorische maatregelen opdat de verwerking aan de vereisten van de AVG voldoet. Het is de (wettelijke) taak van de Verwerker om toe te zien op naleving daarvan door de Subverwerker.
4.2. De Verwerker blijft volledig aansprakelijk voor de nakoming van zijn verplichtingen uit hoofde van deze Verwerkersovereenkomst, met inbegrip van de door de subverwerker verwerkte persoonsgegevens, indien de Verwerker gebruik maakt van subverwerkers.
4.3. De toestemming van Verantwoordelijke voor het uitbesteden van werkzaamheden aan een Subverwerker, zoals bedoeld in lid 1 van dit Artikel, laat onverlet dat Persoonsgegevens niet mogen worden verwerkt door die Subverwerker, in een land buiten de Europese Economische Ruimte (“EER”), zonder daarvoor uitdrukkelijke voorafgaande schriftelijke toestemming van de Verantwoordelijke, zoals mede bedoeld in artikel 3.8.

5. Beveiliging
5.1. De Verwerker biedt afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen, opdat de verwerking aan de vereisten van de AVG voldoet en de bescherming van de rechten van betrokkenen is gewaarborgd. De verwerker ontwikkelt, implementeert en onderhoudt in dit kader een uitgebreid schriftelijk informatiebeveiligingsbeleid dat vereist dat de Verwerker passende technische en organisatorische maatregelen neemt om Persoonsgegevens, in het licht van de huidige stand van de techniek, te beschermen tegen inbreuken op beveiliging, vertrouwelijkheid of integriteit en andere ongeautoriseerde of onwettige vormen van verwerking. Zulke maatregelen zullen een passend beveiligingsniveau garanderen, rekening houdend met de risico’s die bij de verwerking betrokken zijn, met name door ongevallen of onwettige vernietiging, verlies, wijziging, onbevoegde openbaarmaking of toegang tot persoonsgegevens die worden overgedragen, opgeslagen of anderszins verwerkt, gebaseerd op de aard van de persoonsgegevens, geldende industriestandaarden en verplichte veiligheidseisen die van toepassing zijn op de verwerker.
5.2. Naast de algemene verplichting uit hoofde van Artikel 5.1, omvatten dergelijke technische en organisatorische beveiligingsmaatregelen ten minste de beveiligingsmaatregelen in Annex 2 van deze Verwerkersovereenkomst.
5.3. De partijen erkennen dat de in dit Artikel 5 bedoelde technische en organisatorische maatregelen in de loop van de tijd kunnen veranderen en dat effectieve beveiligingsmaatregelen regelmatige evaluatie en verbetering van de maatregelen vereisen. De Verwerker zal deze maatregelen derhalve regelmatig evalueren, aanscherpen en/of verbeteren om te (blijven) voldoen aan de eisen en verplichtingen zoals genoemd in dit Artikel 5.

6. Inbreuk in verband met persoonsgegevens
6.1. De Verwerker zorgt voor adequate beveiligingsmaatregelen en neemt de technische en organisatorische beveiligingsmaatregelen die nodig zijn in verband met de toepasselijke wettelijke verplichtingen die van toepassing zijn op de Verwerker en de Verantwoordelijke inzake de Beveiliging van persoonsgegevens.
6.2. De verwerker zorgt voor een procedure om een inbreuk in verband met persoonsgegevens te kunnen opsporen en onmiddellijk in te perken, het risico voor personen te beoordelen en te bepalen of de bevoegde toezichthoudende autoriteit en/of betrokkenen in kennis gesteld moeten worden van de inbreuk.
6.3. In geval van een inbreuk in verband met persoonsgegevens zal de Verwerker de vertegenwoordiger van Verantwoordelijke onverwijld op de hoogte stellen via een kennisgeving, maar uiterlijk 12 uur nadat de Verwerker of een subverwerker zich bewust is van een dergelijke inbreuk en op een zodanige wijze dat de Verantwoordelijke kan voldoen aan de van toepassing zijnde wetgeving, met name relevante kennisgevingsvereisten in verband met inbreuken in verband met Persoonsgegevens. Een kennisgeving van een dergelijke inbreuk mag in beginsel mondeling geschieden, maar dient altijd gevolgd te worden door een schriftelijke bevestiging aan de vertegenwoordiger van Verantwoordelijke.
6.4. Niet tegenstaande de verplichtingen van de Verwerker onder Artikel 6.2, bevat de kennisgeving van de Verwerker tenminste de punten in Annex 3, waarbij de Verwerker zich rekenschap geeft van het belang van een onverwijlde melding, alsook de mogelijkheid om eerdere kennisgevingen op te volgen en aan te vullen.
6.5. Zodra de Verwerker op de hoogte is van een Beveiligingsincident en/of een inbreuk in verband met persoonsgegevens, moet de Verwerker alle noodzakelijke en passende maatregelen nemen om de gevolgen van het Beveiligingsincident te onderzoeken, te reduceren en te herstellen. De Verwerker dient, rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie, de Verantwoordelijke bijstand te verlenen bij het doen nakomen van de verplichtingen uit de Privacywetgeving en eventuele wettelijke en/of contractuele verplichtingen (zoals verplichtingen om derden in kennis te stellen, inclusief toezichthouders en betrokkenen) in verband met een inbreuk in verband met persoonsgegevens.
6.6. Verwerker dient zich te onthouden van het op enigerlei wijze verstrekken van of delen van informatie over inbreuken in verband met persoonsgegevens aan derde partijen en/of betrokkenen, behoudens voor zover Verwerker daartoe wettelijk verplicht is of Partijen anderszins zijn overeengekomen.
7. Audit en Controle
7.1. De Verwerker houdt gedetailleerde, nauwkeurige en actuele informatie bij met betrekking tot de verwerking van de Persoonsgegevens door hem in het kader van deze Verwerkersovereenkomst, waaronder met betrekking tot de verplichtingen en maatregelen op grond van de Artikelen 3.1, 4, 5, 6 en 9 (“Bescheiden”). Op verzoek van de Verantwoordelijke verstrekt de Verwerker deze Bescheiden aan de vertegenwoordiger van Verantwoordelijke, zijnde op dit moment Hans de Graaff (applicatiebeheer@voedselbankennederland.nl).
7.2. Verantwoordelijke heeft het recht toe te laten zien op de naleving van de onder Artikel 5 genoemde maatregelen, indien er concrete vermoedens en aanwijzingen bestaan inzake mogelijke privacy-incidenten. Dit recht zal namens de verantwoordelijke worden uitgeoefend door de vertegenwoordiger van Verantwoordelijke, zijnde op dit moment Hans de Graaff.
7.3. Verwerker zal eventuele door vertegenwoordiger van Verantwoordelijke naar aanleiding van de onder 8.2. bedoelde controle in redelijkheid gegeven instructies tot aanpassing van het beveiligingsbeleid binnen een redelijke termijn opvolgen.
7.4. Elke partij draagt haar eigen kosten voor de in dit Artikel 7 beschreven controles, tenzij blijkt dat de Verwerker een wezenlijke inbreuk heeft gepleegd op de bepalingen van deze Verwerkersovereenkomst, in welk geval de Verwerker alle kosten zal dragen, onverminderd andere rechten en rechtsmiddelen waarover de Verantwoordelijke beschikt.

8. Geheimhouding
8.1. De verwerker zal informatie over de ontvangen persoonsgegevens in het kader van de hoofdovereenkomst geheim houden, tenzij dit op basis van een wettelijke verplichting niet kan.
8.2. De Verwerker zorgt ervoor dat het personeel dat bevoegd is om de Persoonsgegevens te verwerken zich tot vertrouwelijkheid verbindt gedurende en na hun dienstverband (bijvoorbeeld door middel van een geheimhoudingsovereenkomst), voor zover het niet reeds tot een wettelijke verplichting tot geheimhouding is gehouden.
8.3. De verwerker zorgt ervoor dat eventueel met schriftelijke goedkeuring ingeschakelde subverwerkers zich aan deze geheimhouding houden (bijvoorbeeld door een geheimhoudingsplicht in de overeenkomst met de subverwerker op te nemen).

9. Samenwerking en betrokkenen
9.1. De Verwerker zal de vertegenwoordiger van Verantwoordelijke binnen 24 uur in kennis stellen, tenzij uitdrukkelijk door toepasselijke wetgeving verboden, in geval van i) een klacht in verband met de verwerking van Persoonsgegevens onder de Verwerkersovereenkomst, ii) een verzoek, vraag of bevel tot de productie, verwerking of toegang tot persoonsgegevens, of iii) verzoeken van betrokkenen, waaronder verzoeken tot inzage, rectificatie, verwijdering, beperking van verwerking van persoonsgegevens, data-overdraagbaarheid en soortgelijke verzoeken van betrokkenen. De Verwerker reageert niet op dergelijke verzoeken, tenzij met voorafgaande toestemming van de vertegenwoordiger van Verantwoordelijke; De Verwerker werkt op dit punt samen met de vertegenwoordiger van Verantwoordelijke en ondersteunt de vertegenwoordiger van Verantwoordelijke bij het afhandelen en beantwoorden van dergelijke klachten, verzoeken en bevelen. Dit houdt voor Verwerker in dat op het eerste daartoe strekkende verzoek van de vertegenwoordiger van Verantwoordelijke alle relevante informatie aan haar wordt verstrekt betreffende de aspecten van de door de Verwerker verrichte verwerking van Persoonsgegevens, zodat de vertegenwoordiger van Verantwoordelijke, mede aan de hand van die informatie, aan kan tonen dat Privacywetgeving of andere toepasselijke wetgeving wordt dan wel is nageleefd en/of Verantwoordelijke kan voldoen aan haar verplichtingen onder de toepasselijke wetgeving.
9.2. Voor zover mogelijk en rekening houdend met de aard van de verwerking, zal de Verwerker passende technische en organisatorische maatregelen implementeren voor de vervulling van zijn verplichtingen genoemd in dit Artikel 9.
9.3. Voor zover mogelijk en rekening houdend met de aard van de verwerking en de informatie die de Verwerking ter beschikking staat, zal de Verwerker de Verantwoordelijke bijstand verlenen bij het doen nakomen

10. Vrijwaring en Boete
10.1. De Verwerker zal de Verantwoordelijke vrijwaren ten aanzien van alle schade die door de Verantwoordelijke of door haar groepsmaatschappijen wordt geleden of voortvloeit uit schending van deze Verwerkersovereenkomst door de Verwerker.
10.2.Partijen dragen zorg voor afdoende dekking van de aansprakelijkheid.

11. Overig
11.1. Na beëindiging of aflopen van deze Verwerkersovereenkomst, of op schriftelijk verzoek van de Verantwoordelijke, zal de Verwerker, op eventuele aanwijzing van de Verantwoordelijke binnen 30 dagen alle Persoonsgegevens retourneren aan Verantwoordelijke, en bestaande kopieën van alle bestaande exemplaren verwijderen.
11.2. Deze Verwerkersovereenkomst wordt beheerst door en geïnterpreteerd in overeenstemming met Nederlands recht. Elk geschil dat voortkomt uit deze Verwerkersovereenkomst of daarmee verband houdt (van contractuele of niet-contractuele aard) wordt uitsluitend voorgelegd aan de daartoe in de Hoofdovereenkomst aangewezen rechtbank of arbiter(s) of andere daartoe overeengekomen vorm van geschillenbeslechting, waarbij wordt opgemerkt dat Partijen te allen tijde nastreven een eventueel geschil eerst in onderling overleg op passende wijze op te lossen.
11.3. Wijzigingen van deze Verwerkersovereenkomst zijn slechts van kracht indien zij schriftelijk zijn vastgelegd en ondertekend door Partijen (of hun gemachtigde vertegenwoordigers).

Aldus opgemaakt en overeengekomen,

<<Verantwoordelijke Voedselbank>>	<<Verwerker>>
Naam:	Naam:
Titel/functie:	Titel/functie:
Datum:	Datum:
Plaats:	Plaats:

ANNEX 1

Verwerker verwerkt de Persoonsgegevens: nader beschreven in de Hoofdovereenkomst / hieronder nader uiteengezet].

ANNEX 2

1. Wettelijke voorschriften

De Verwerker zal eventuele specifieke veiligheidsbepalingen identificeren en zorgdragen voor de naleving van dergelijke veiligheidsbepalingen met betrekking tot de verwerking van Persoonsgegevens.

2. Praktische beveiligingsmaatregelen

In overeenstemming met haar verplichtingen uit hoofde van Artikel 5.2 van de Verwerkersovereenkomst zal de Verwerker naar behoren rekening houden met de volgende soorten beveiligingsmaatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen:

• de pseudonimisering en versleuteling van Persoonsgegevens;

• Fysieke beveiliging;

• Toegangscontrole;

• Beveiliging en Privacy Enhancing Technologies;

• Bewustmaking, opleiding en veiligheidscontroles met betrekking tot personeel;

• Incident/Response management/bedrijfscontinuïteit; en

• Audit controls/Due Diligence.

3. Beleid en instructies omtrent de beveiligingsmaatregelen

De Verantwoordelijke kan de Verwerker nadere instructies en policies verstrekken met betrekking tot dergelijke technische en organisatorische beveiligingsmaatregelen.

De Verwerker is gecertificeerd volgens de normen ISO 27001 (informatiebeveiliging). Derhalve heeft zij laten auditen en bevestigen dat haar privacybeleid, processen en maatregelen voldoen aan de huidige hoge standaard.

ANNEX 3

Meld inbreuken in verband met de beveiliging, als bedoeld in Artikel 6.4 van de Verwerkersovereenkomst, onverwijld bij de vertegenwoordiger van Verantwoordelijke.

Primair contactpersoon Verantwoordelijke

Naam	Hans de Graaff
Functie	Coördinator voedselbank.nu
E-mail	applicatiebeheer@voedselbankennederland.nl
Telefoon	06 19054489

Primair contactpersoon Verwerker

Naam	<<naam verwerker>>
Functie
E-mail
Telefoon

Geef in ieder geval de volgende informatie door bij het melden van een Beveiligingsincident:

– Samenvatting van de inbreuk in verband met persoonsgegevens (incl. datum en tijdstip, geschat aantal bestanden, geschat aantal betrokkenen, de (mogelijk) getroffen persoonsgegevens, de aard van de inbreuk, de geconstateerde en/of vermoedelijke gevolgen voor betrokkene(en) van het incident);

– Getroffen technische en organisatorische maatregelen om de inbreuk in verband met persoonsgegevens aan te pakken, maatregelen om de mogelijke negatieve gevolgen ervan te beperken en verdere inbreuken te voorkomen; en

– Verdere (relevante) informatie die Verantwoordelijke nodig kan hebben om te voldoen aan de wettelijke verplichtingen ten aanzien van een inbreuk in verband met persoonsgegevens, waaronder in ieder geval het (kunnen) doen van een eventuele melding bij de Autoriteit Persoonsgegevens en/of het informeren van betrokkene(n).