Verwerkersovereenkomst | Western Tactics

Dit Data Processing Agreement (“DPA”) conform artikel 28 van de Algemene Verordening Gegevensbescherming (AVG) is van toepassing op de verwerking van persoonsgegevens door Western Tactics in het kader van de levering van het cybersecurity awareness-platform Orbit (app.westerntactics.com) aan de Klant.

1. Sectie I: Algemene Bepalingen

1.1 Clausule 1: Doel en Reikwijdte

Het doel van dit DPA is om te zorgen voor naleving van Artikel 28 lid 3 en 4 van Verordening (EU) 2016/679 (AVG / GDPR).
De Verwerkingsverantwoordelijke (de Klant) en de Verwerker (Western Tactics) zijn de partijen zoals gespecificeerd in Annex I.
Dit DPA is van toepassing op de verwerking van persoonsgegevens zoals gespecificeerd in Annex II.
Annexen I tot en met IV maken integraal deel uit van dit DPA.

1.2 Clausule 2: Verhouding tot de Hoofdovereenkomst

Deze DPA vormt een integraal onderdeel van de Overeenkomst tussen Western Tactics en de Klant en regelt de verwerking van persoonsgegevens door Western Tactics namens de Klant.

1.3 Clausule 3: Interpretatie

Waar in dit DPA termen worden gebruikt uit Verordening (EU) 2016/679 (AVG), hebben deze dezelfde betekenis als in die Verordening.
Dit DPA moet worden gelezen en geïnterpreteerd in het licht van de bepalingen van de AVG.

1.4 Clausule 4: Rangorde (Hierarchy)

In geval van strijdigheid tussen deze DPA en enige andere overeenkomst tussen Partijen, prevaleert deze DPA uitsluitend voor zover de strijdigheid betrekking heeft op de verwerking en bescherming van persoonsgegevens. De in de Hoofdovereenkomst overeengekomen beperkingen van aansprakelijkheid blijven van toepassing op deze DPA, voor zover toegestaan onder toepasselijk recht.

2. Sectie II: Verplichtingen van de Partijen

2.1 Clausule 5: Instructies en Doelbinding

De Verwerker verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, tenzij een op de Verwerker toepasselijke wettelijke verplichting uit het Unierecht of lidstaatrecht anders vereist. In dat geval stelt de Verwerker de Verwerkingsverantwoordelijke voorafgaand aan de verwerking daarvan in kennis, tenzij de toepasselijke wetgeving dit om gewichtige redenen van algemeen belang verbiedt.
De Hoofdovereenkomst, deze DPA en de bijbehorende Annexen vormen gezamenlijk de initiële gedocumenteerde instructies van de Verwerkingsverantwoordelijke.
De Verwerker verwerkt persoonsgegevens uitsluitend voor de specifieke doeleinden zoals uiteengezet in Annex II.
Indien de Verwerker van oordeel is dat een instructie van de Verwerkingsverantwoordelijke in strijd is met de AVG of andere toepasselijke Unierechtelijke of lidstaatrechtelijke bepalingen inzake gegevensbescherming, stelt de Verwerker de Verwerkingsverantwoordelijke hiervan onverwijld in kennis. De Verwerker kan de uitvoering van de betreffende instructie opschorten voor zover dit noodzakelijk is om een onrechtmatige verwerking te voorkomen.

2.2 Clausule 5A: Rechten en verplichtingen van de Verwerkingsverantwoordelijke

De Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid van de verwerking van persoonsgegevens en voor de rechtmatigheid, juistheid en toereikendheid van de aan de Verwerker verstrekte instructies. De Verwerkingsverantwoordelijke waarborgt dat voor de verwerking een geldige rechtsgrond bestaat en dat betrokkenen, waar vereist, overeenkomstig de AVG zijn geïnformeerd.
De Verwerkingsverantwoordelijke heeft het recht om gedurende de looptijd van de Hoofdovereenkomst gedocumenteerde instructies te geven met betrekking tot de verwerking van persoonsgegevens, voor zover deze binnen de via Orbit geleverde cybersecurityawarenessdiensten, deze DPA en de toepasselijke wetgeving vallen. Indien een instructie aanvullende werkzaamheden, functionaliteiten of kosten voor de Verwerker meebrengt die buiten de overeengekomen Diensten vallen, treden Partijen vooraf in overleg over de uitvoering, planning en eventuele aanvullende vergoeding daarvan.
Western Tactics is niet aansprakelijk voor schade die uitsluitend voortvloeit uit onrechtmatige of onjuiste instructies van de Verwerkingsverantwoordelijke, voor zover Western Tactics daarbij heeft voldaan aan haar eigen wettelijke en contractuele verplichtingen.

2.3 Clausule 5B: Anonimisering en statistische verwerking

Western Tactics is gerechtigd om in het kader van de dienstverlening persoonsgegevens te anonimiseren en aggregeren overeenkomstig de gedocumenteerde instructies van de Verwerkingsverantwoordelijke, waaronder de instructies die zijn vastgelegd in de Hoofdovereenkomst en deze Verwerkersovereenkomst. Western Tactics past daarbij passende technische en organisatorische maatregelen toe om te waarborgen dat de resulterende gegevens niet redelijkerwijs tot natuurlijke personen herleidbaar zijn. Western Tactics is gerechtigd de aldus daadwerkelijk geanonimiseerde gegevens zelfstandig te gebruiken voor statistische analyses, benchmarking, onderzoek, productontwikkeling en verbetering van haar Diensten, zonder dat daarvoor aanvullende toestemming van de Verwerkingsverantwoordelijke vereist is. Voor zover gegevens nog als persoonsgegevens kwalificeren, worden deze uitsluitend verwerkt overeenkomstig de gedocumenteerde instructies van de Verwerkingsverantwoordelijke en de toepasselijke privacywetgeving.

2.4 Clausule 6: Beveiliging van de Verwerking (TOM’s)

De Verwerker implementeert de technische en organisatorische maatregelen (TOM’s) zoals gespecificeerd in Annex III om persoonsgegevens te beveiligen tegen verlies, vernietiging, ongeautoriseerde wijziging of toegang.
Toegang tot persoonsgegevens wordt uitsluitend verleend aan personeelsleden van de Verwerker voor wie dit strikt noodzakelijk is (“need-to-know” basis), en die gebonden zijn aan een geheimhoudingsplicht.

2.5 Clausule 7: Inschakeling van Sub-verwerkers

De Verwerkingsverantwoordelijke verleent hierbij algemene toestemming aan de Verwerker voor het inschakelen van sub-verwerkers van een overeengekomen lijst (zoals cloud- en databasepartners). De Verwerker informeert de Verwerkingsverantwoordelijke ten minste 14 kalenderdagen vooraf schriftelijk over beoogde toevoegingen of vervangingen.
De Verwerker legt aan iedere sub-verwerker bij overeenkomst in wezen dezelfde verplichtingen inzake gegevensbescherming op als die welke op grond van deze DPA op de Verwerker rusten. De Verwerker blijft tegenover de Verwerkingsverantwoordelijke verantwoordelijk voor de nakoming van de toepasselijke verplichtingen inzake gegevensbescherming door de ingeschakelde sub-verwerkers, overeenkomstig artikel 28 lid 4 AVG. Een actueel overzicht van sub-verwerkers is beschikbaar op de website van Western Tactics.
De Verwerkingsverantwoordelijke kan binnen veertien (14) kalenderdagen na kennisgeving gemotiveerd bezwaar maken tegen een nieuwe of vervangende subverwerker op grond van concrete risico’s voor de bescherming van persoonsgegevens. Partijen treden in dat geval in overleg om een passende oplossing te vinden. Zolang een tijdig ingediend en gemotiveerd bezwaar niet is opgelost, zal Western Tactics de betreffende nieuwe of vervangende subverwerker niet inzetten voor de verwerking van persoonsgegevens van de Verwerkingsverantwoordelijke. Indien geen passende oplossing wordt bereikt en voortzetting van de betreffende dienstverlening zonder deze subverwerker redelijkerwijs niet mogelijk is, kan Western Tactics de betreffende dienstverlening schriftelijk beëindigen, met inachtneming van de Hoofdovereenkomst en toepasselijk recht.

2.6 Clausule 8: Internationale Doorgifte

Persoonsgegevens worden uitsluitend buiten de Europese Economische Ruimte (EER) doorgegeven indien wordt voldaan aan Hoofdstuk V van de AVG, waaronder op basis van een adequaatheidsbesluit, het EU-US Data Privacy Framework voor zover van toepassing, of passende waarborgen zoals de Standard Contractual Clauses van de Europese Commissie.

2.7 Clausule 9: Bijstand aan de Verwerkingsverantwoordelijke

De Verwerker verwijst verzoeken van betrokkenen die betrekking hebben op verwerkingen namens de Verwerkingsverantwoordelijke zonder onredelijke vertraging door naar de Verwerkingsverantwoordelijke en beantwoordt deze niet zelfstandig, tenzij dit wettelijk verplicht is of de Verwerkingsverantwoordelijke daartoe een gedocumenteerde instructie heeft gegeven.
De Verwerker verleent, rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie, redelijke bijstand aan de Verwerkingsverantwoordelijke bij de naleving van diens verplichtingen op grond van de artikelen 32 tot en met 36 AVG, waaronder beveiliging, melding van datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging. De Verwerker verleent tevens, voor zover mogelijk en rekening houdend met de aard van de verwerking, bijstand bij het beantwoorden van verzoeken van betrokkenen. Voor aanvullende werkzaamheden die aantoonbaar buiten de overeengekomen dienstverlening vallen, kunnen Partijen vooraf schriftelijke afspraken maken over een redelijke vergoeding, voor zover dit de wettelijke verplichtingen van de Verwerker niet beperkt.

2.8 Clausule 10: Melding van Datalekken

De Verwerker stelt de Verwerkingsverantwoordelijke zonder onredelijke vertraging op de hoogte nadat de Verwerker kennis heeft genomen van een inbreuk in verband met persoonsgegevens.

De Verwerker verstrekt de informatie die redelijkerwijs beschikbaar is en noodzakelijk is om de Verwerkingsverantwoordelijke in staat te stellen aan haar wettelijke verplichtingen te voldoen. Indien niet alle informatie direct beschikbaar is, kan deze gefaseerd worden verstrekt zodra deze beschikbaar komt.

2.9 Clausule 11: Informatie en audits

De Verwerker stelt de Verwerkingsverantwoordelijke op verzoek de informatie ter beschikking die redelijkerwijs noodzakelijk is om naleving van deze DPA en artikel 28 AVG aan te tonen.

De Verwerker staat audits en inspecties door de Verwerkingsverantwoordelijke of een door haar aangewezen onafhankelijke auditor toe en verleent hieraan redelijke medewerking. Audits vinden, behoudens beveiligingsincidenten, aanwijzingen van een toezichthouder of een gegronde verdenking van niet-naleving, maximaal eenmaal per kalenderjaar plaats, tijdens reguliere kantooruren en na redelijke voorafgaande kennisgeving. Waar redelijkerwijs mogelijk kan Western Tactics aan deze verplichting voldoen door relevante certificeringen, auditrapportages of andere beveiligingsdocumentatie beschikbaar te stellen.

Audits worden uitgevoerd op een wijze die de beveiliging, continuïteit en vertrouwelijkheid van de dienstverlening aan andere klanten niet in gevaar brengt. De Verwerkingsverantwoordelijke waarborgt dat ingeschakelde auditors gebonden zijn aan passende geheimhoudingsverplichtingen.

De Verwerkingsverantwoordelijke draagt de eigen kosten van audits en inspecties. Western Tactics verleent de medewerking die op grond van artikel 28 AVG vereist is. Voor aanvullende ondersteuning die aantoonbaar buiten deze wettelijke verplichtingen valt, kunnen Partijen vooraf een redelijke vergoeding overeenkomen. Audits worden waar mogelijk eerst uitgevoerd op basis van beschikbare documentatie en rapportages.

3. Sectie III: Slotbepalingen

3.1 Clausule 12: Non-compliance en Beëindiging

Indien de Verwerker zijn verplichtingen uit deze DPA schendt, kan de Verwerkingsverantwoordelijke de betreffende verwerking opschorten, voor zover dit noodzakelijk en proportioneel is in verband met de aard en ernst van de tekortkoming. De Verwerkingsverantwoordelijke stelt de Verwerker, voor zover de omstandigheden dit toelaten, vooraf schriftelijk in kennis en biedt een redelijke termijn om de tekortkoming te herstellen. Een opschorting leidt niet automatisch tot opschorting of vermindering van de overeengekomen betalingsverplichtingen. Dit laat de rechten van de Verwerkingsverantwoordelijke op grond van toepasselijk recht onverlet.
Na beëindiging van de Hoofdovereenkomst zal de Verwerker, naar keuze van de Verwerkingsverantwoordelijke, de persoonsgegevens verwijderen of retourneren en bestaande kopieën verwijderen, tenzij toepasselijke wetgeving verdere opslag vereist. Voor zover de Data Act of andere toepasselijke wetgeving voorschrijft dat gegevens gedurende een bepaalde overgangs- of opvragingstermijn beschikbaar moeten blijven, vindt verwijdering plaats na afloop van die termijn. Persoonsgegevens die daarna uitsluitend op grond van een wettelijke bewaarplicht worden bewaard, worden niet voor andere doeleinden verwerkt.
Kopieën van persoonsgegevens in geautomatiseerde back-ups worden niet afzonderlijk bewerkt, maar worden automatisch vernietigd bij het verstrijken van de reguliere back-upretentie van maximaal dertig (30) dagen. Tot dat moment blijven deze back-ups beveiligd conform Annex III en worden zij uitsluitend gebruikt voor herstel na een calamiteit.

4. Annex I: Specificatie van de Partijen

Verwerkingsverantwoordelijke (Controller): De Klant (zoals gedefinieerd in de ondertekende Offerte / Hoofdovereenkomst).
Verwerker (Processor): Western Tactics (gevestigd te Enschede, Nederland).

5. Annex II: Beschrijving van de Verwerking

Onderwerp: Levering van het cybersecurity awareness-platform Orbit (app.westerntactics.com).
Duur van de verwerking: Gedurende de looptijd van de Hoofdovereenkomst en, voor zover noodzakelijk, gedurende de daarin en in deze DPA vastgelegde periode voor retournering en verwijdering van persoonsgegevens.
Aard van de verwerking: Het verzamelen, vastleggen, structureren, opslaan, raadplegen, gebruiken, analyseren, rapporteren, verzenden en verwijderen van persoonsgegevens voor de uitvoering van de via Orbit geleverde cybersecurity awareness-diensten.
Doel van de verwerking: Het aanbieden en faciliteren van cybersecurity-awareness-trainingen, interactieve e-learningmodules en gesimuleerde aanvalsscenario’s binnen het Platform Orbit, alsmede het registreren van trainingsvoortgang, leerresultaten en het beschikbaar stellen van rapportages aan de Verwerkingsverantwoordelijke. Hieronder valt tevens het anonimiseren en aggregeren van persoonsgegevens ten behoeve van statistische analyses, benchmarking en verbetering van de dienstverlening, voor zover dit plaatsvindt overeenkomstig de gedocumenteerde instructies van de Verwerkingsverantwoordelijke en de toepasselijke privacywetgeving.
Categorieën van betrokkenen: Medewerkers, contractanten, beheerders en andere door de Klant geautoriseerde contactpersonen van de Verwerkingsverantwoordelijke.

5.6 Typen persoonsgegevens

Accountgegevens (voor- en achternaam, zakelijk e-mailadres).
Taal- en gebruikersvoorkeuren.
SSO-/SCIM- en Identity Provider-identificatoren.
Trainingsstatus en trainingsresultaten.
Interacties en resultaten van cybersecurity-awareness-trainingen en gesimuleerde aanvalsscenario’s binnen het Platform.
Relevante browser-, apparaat-, sessie- en beveiligingsmetadata.

6. Annex III: Technische en Organisatorische Maatregelen (TOM’s)

De Verwerker hanteert ten minste de volgende beveiligingsmaatregelen:

1. Versleuteling: Persoonsgegevens worden tijdens transport beschermd door middel van TLS 1.2 of hoger, waarbij TLS 1.3 wordt toegepast waar dit door de betreffende systemen en verbindingen wordt ondersteund. Persoonsgegevens worden binnen de primaire gegevensopslag versleuteld opgeslagen met industriestandaard encryptie, waaronder AES-256 of een technisch gelijkwaardig beveiligingsniveau, voor zover ondersteund door de betreffende infrastructuur.
2. Toegangsbeveiliging: Toegang tot productieomgevingen en persoonsgegevens is beperkt op basis van het least-privilege- en need-to-know-principe. Western Tactics past Role-Based Access Control (RBAC) toe en vereist multi-factor authentication (MFA) voor administratieve toegang tot relevante productiesystemen.
3. Tenantisolatie: Klantgegevens worden logisch van elkaar gescheiden door middel van tenantgebonden autorisatie- en databasecontroles.
4. Back-up en herstel: Western Tactics past geautomatiseerde back-up- en herstelmaatregelen toe op relevante productiegegevens. Back-ups worden passend beschermd tegen ongeautoriseerde toegang en worden na maximaal dertig (30) dagen automatisch vernietigd.
5. Monitoring en logging: Relevante productie- en beveiligingssystemen worden gemonitord en beveiligingsrelevante gebeurtenissen worden gelogd voor detectie, onderzoek en incidentrespons.
6. Kwetsbaarheden en updates: Western Tactics past beveiligingsupdates en patches toe op basis van risico en urgentie en treft maatregelen voor het identificeren en behandelen van kwetsbaarheden.
7. Evaluatie en herstel: Western Tactics beoordeelt periodiek de effectiviteit van relevante beveiligingsmaatregelen en beschikt over passende procedures voor herstel van de beschikbaarheid van persoonsgegevens na een technisch of fysiek incident, afgestemd op de aard en risico’s van de verwerking.

7. Annex IV: Sub-verwerkers

De Verwerkingsverantwoordelijke verleent Western Tactics algemene toestemming voor het inschakelen van de sub-verwerkers die zijn opgenomen in het actuele subverwerkersoverzicht van Western Tactics.

Het actuele overzicht van de door Western Tactics ingeschakelde subverwerkers is beschikbaar via het Trust Center van Western Tactics.

Wijzigingen in het gebruik van sub-verwerkers vinden plaats overeenkomstig Clausule 7 van deze DPA.