Verwerkersovereenkomst

VERWERKERSOVEREENKOMST Overeenkomstig artikel 28 van de Algemene Verordening Gegevensbescherming (EU) 2016/679 ("AVG") Tussen: - De Coöperatie die het OpenCoop-platform gebruikt (hierna "Verwerkingsverantwoordelijke") - OpenCoop, een softwaredienstenleverancier gevestigd in België (hierna "Verwerker") Hierna gezamenlijk aangeduid als de "Partijen". 1. Onderwerp en duur 1.1 Deze Verwerkersovereenkomst ("VO") regelt de verwerking van persoonsgegevens door de Verwerker namens de Verwerkingsverantwoordelijke in het kader van het gebruik van het OpenCoop-platform ("Platform"). 1.2 Deze VO blijft van kracht gedurende de looptijd van het gebruik van het Platform door de Verwerkingsverantwoordelijke, zoals omschreven in de Algemene Voorwaarden. 1.3 De Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van het leveren van de Platformdiensten en in overeenstemming met de gedocumenteerde instructies van de Verwerkingsverantwoordelijke. 2. Aard en doel van de verwerking 2.1 De Verwerker biedt een SaaS-platform voor coöperatief aandeelhoudersbeheer. De verwerkingsactiviteiten omvatten: - Opslag en beheer van aandeelhoudersregisters - Verwerking van aandelentransacties (aankopen, verkopen, overdrachten) - Berekening en administratie van dividenden - Generatie van juridische documenten (aandeelcertificaten, fiscale attesten, jaaroverzichten) - Communicatie met aandeelhouders namens de Coöperatie - Betalingsmatching via Belgische gestructureerde mededelingen (OGM) 3. Soorten persoonsgegevens 3.1 De volgende categorieën persoonsgegevens worden verwerkt: - Identiteitsgegevens: volledige naam, geboortedatum, rijksregisternummer - Contactgegevens: e-mailadres, telefoonnummer, postadres - Financiële gegevens: IBAN, BIC, transactiegeschiedenis, dividendbetalingen - Bedrijfsgegevens (voor rechtspersonen): bedrijfsnaam, ondernemingsnummer (KBO), BTW-nummer, rechtsvorm - Accountgegevens: inloggegevens (wachtwoord uitsluitend opgeslagen als hash), voorkeurstaal, roltoewijzingen 4. Categorieën van betrokkenen 4.1 De betrokkenen zijn: - Aandeelhouders (natuurlijke personen, rechtspersonen en minderjarigen vertegenwoordigd door wettelijke voogden) van de Coöperatie - Beheerders en medewerkers van de Coöperatie die het Platform gebruiken 5. Verplichtingen van de Verwerker 5.1 Vertrouwelijkheid: De Verwerker waarborgt dat alle personen die gemachtigd zijn om persoonsgegevens te verwerken, zich tot geheimhouding hebben verbonden of onder een passende wettelijke geheimhoudingsplicht vallen. 5.2 Beveiligingsmaatregelen: De Verwerker treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, waaronder: - Versleuteling van gegevens tijdens verzending (TLS) en opslag - Toegangscontroles en rolgebaseerde autorisatie - Regelmatige beveiligingsaudits en kwetsbaarheidsbeoordelingen - Veilige ontwikkelpraktijken - Geautomatiseerde back-ups met versleuteling - Rijksregisternummers worden op applicatieniveau versleuteld vóór opslag 5.3 Sub-verwerkerbeheer: De Verwerker schakelt geen andere verwerker in zonder voorafgaande algemene schriftelijke toestemming van de Verwerkingsverantwoordelijke. De Verwerkingsverantwoordelijke geeft hierbij algemene toestemming voor de sub-verwerkers vermeld in artikel 7 van deze VO. De Verwerker informeert de Verwerkingsverantwoordelijke over voorgenomen wijzigingen met betrekking tot het toevoegen of vervangen van sub-verwerkers, zodat de Verwerkingsverantwoordelijke de mogelijkheid heeft om bezwaar te maken. 5.4 Bijstand: De Verwerker staat de Verwerkingsverantwoordelijke bij om de naleving van de verplichtingen uit hoofde van de artikelen 32 tot en met 36 van de AVG te waarborgen, rekening houdend met de aard van de verwerking en de informatie waarover de Verwerker beschikt. 5.5 Verzoeken van betrokkenen: De Verwerker staat de Verwerkingsverantwoordelijke bij door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, om te voldoen aan de verplichting van de Verwerkingsverantwoordelijke om te reageren op verzoeken tot uitoefening van de rechten van de betrokkene zoals vastgelegd in Hoofdstuk III van de AVG. 6. Verplichtingen van de Verwerkingsverantwoordelijke 6.1 De Verwerkingsverantwoordelijke: - Zorgt ervoor dat er een rechtmatige grondslag is voor de verwerking van persoonsgegevens via het Platform - Verstrekt gedocumenteerde instructies aan de Verwerker met betrekking tot de verwerking van persoonsgegevens - Zorgt ervoor dat betrokkenen worden geïnformeerd over de verwerking van hun persoonsgegevens overeenkomstig de artikelen 13 en 14 van de AVG - Is verantwoordelijk voor de juistheid en rechtmatigheid van de aan de Verwerker verstrekte persoonsgegevens 7. Sub-verwerkers 7.1 De Verwerker maakt momenteel gebruik van de volgende sub-verwerkers: | Sub-verwerker | Doel | Locatie | |---|---|---| | Hetzner Online GmbH | Cloudhosting (dedicated servers) | Falkenstein, Duitsland (EU) | | PostgreSQL (beheerd) | Relationele databaseopslag | Duitsland (EU) | | Redis (beheerd) | Caching en berichtenwachtrij | Duitsland (EU) | 7.2 Alle sub-verwerkers bevinden zich binnen de Europese Unie. Er worden geen persoonsgegevens buiten de EU/EER doorgegeven. 7.3 De Verwerker legt dezelfde gegevensbeschermingsverplichtingen als vastgelegd in deze VO op aan elke sub-verwerker door middel van een overeenkomst, zodat de verwerking van persoonsgegevens voldoet aan de vereisten van de AVG. 8. Gegevensbewaring en verwijdering 8.1 De Verwerker verwerkt persoonsgegevens gedurende de looptijd van de overeenkomst. Bij beëindiging van de Platformdiensten: - Kan de Verwerkingsverantwoordelijke binnen 30 dagen na beëindiging een export van alle gegevens aanvragen - Na de periode van 30 dagen verwijdert de Verwerker alle persoonsgegevens die namens de Verwerkingsverantwoordelijke zijn verwerkt, tenzij het EU- of Belgisch recht verdere bewaring vereist - Transactiegegevens kunnen tot 7 jaar worden bewaard om te voldoen aan de Belgische boekhoudwetgeving 8.2 De Verwerker verstrekt op verzoek van de Verwerkingsverantwoordelijke een schriftelijke bevestiging van de gegevensverwijdering. 9. Melding van datalekken 9.1 De Verwerker stelt de Verwerkingsverantwoordelijke zonder onredelijke vertraging, en in elk geval binnen 72 uur, op de hoogte nadat hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens. 9.2 De melding bevat: - Een beschrijving van de aard van de inbreuk, met inbegrip van de categorieën en het geschatte aantal betrokkenen en gegevensrecords - De naam en contactgegevens van het contactpunt van de Verwerker - Een beschrijving van de waarschijnlijke gevolgen van de inbreuk - Een beschrijving van de maatregelen die zijn genomen of voorgesteld om de inbreuk aan te pakken 9.3 De Verwerker werkt samen met de Verwerkingsverantwoordelijke en neemt redelijke commerciële stappen zoals aangestuurd door de Verwerkingsverantwoordelijke om te helpen bij het onderzoek, de beperking en het herstel van elke inbreuk in verband met persoonsgegevens. 10. Auditrechten 10.1 De Verwerker stelt alle informatie ter beschikking van de Verwerkingsverantwoordelijke die nodig is om de naleving van de verplichtingen uit hoofde van artikel 28 van de AVG aan te tonen. 10.2 De Verwerker staat audits toe en draagt eraan bij, inclusief inspecties, uitgevoerd door de Verwerkingsverantwoordelijke of een andere door de Verwerkingsverantwoordelijke aangewezen auditor. Dergelijke audits worden uitgevoerd met redelijke voorafgaande kennisgeving en tijdens normale kantooruren. 10.3 De Verwerkingsverantwoordelijke draagt de kosten van elke door hem geïnitieerde audit of inspectie, tenzij de audit een wezenlijke schending van deze VO door de Verwerker aan het licht brengt. 11. Internationale doorgifte 11.1 Alle persoonsgegevens die onder deze VO worden verwerkt, worden opgeslagen en verwerkt binnen de Europese Unie, meer bepaald in Duitsland. 11.2 De Verwerker geeft geen persoonsgegevens door naar een land buiten de EU/EER zonder de voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke en zonder te waarborgen dat passende waarborgen aanwezig zijn overeenkomstig Hoofdstuk V van de AVG. 12. Beëindiging en teruggave/verwijdering van gegevens 12.1 Bij beëindiging van de overeenkomst tussen de Partijen zal de Verwerker, naar keuze van de Verwerkingsverantwoordelijke: - Alle persoonsgegevens aan de Verwerkingsverantwoordelijke teruggeven in een gestructureerd, gangbaar en machineleesbaar formaat; of - Alle persoonsgegevens verwijderen en deze verwijdering schriftelijk bevestigen 12.2 Deze verplichting geldt niet voor zover de Verwerker op grond van het EU- of Belgisch recht verplicht is een deel of het geheel van de persoonsgegevens te bewaren. 12.3 De bepalingen van deze VO die naar hun aard na beëindiging van kracht dienen te blijven, blijven ook na beëindiging van de overeenkomst gelden. 13. Toepasselijk recht 13.1 Deze VO wordt beheerst door en uitgelegd in overeenstemming met het Belgisch recht. 13.2 Geschillen die voortvloeien uit of verband houden met deze VO worden voorgelegd aan de exclusieve bevoegdheid van de Belgische rechtbanken. 14. Contact Voor vragen over deze Verwerkersovereenkomst: - E-mail: [email protected] - Toezichthoudende autoriteit: Gegevensbeschermingsautoriteit (GBA), Drukpersstraat 35, 1000 Brussel, [email protected]