Wat een verwerkersovereenkomst is
Laat een organisatie (de verwerkingsverantwoordelijke) persoonsgegevens verwerken door een dienstverlener (de verwerker) – hosting, e-mail, een samenwerkingstool – dan eist artikel 28 AVG een overeenkomst of ander rechtsinstrument dat de dienstverlener bindt. Dat is de verwerkersovereenkomst, in het Engels data processing agreement (DPA).
De verantwoordelijkheid blijft bij de verwerkingsverantwoordelijke. De overeenkomst zorgt ervoor dat de verwerker alleen op gedocumenteerde instructie handelt en voldoende garanties biedt voor de bescherming van de gegevens.
Wat erin moet staan
Artikel 28, lid 3, AVG noemt de minimale inhoud. Onder meer:
- Onderwerp, duur, aard en doel van de verwerking, soort gegevens en categorieën betrokkenen.
- Verwerking alleen op gedocumenteerde instructie van de verwerkingsverantwoordelijke.
- Geheimhouding van de personen die de gegevens verwerken.
- Technische en organisatorische beveiligingsmaatregelen (artikel 32).
- Regels voor het inschakelen van subverwerkers – alleen met voorafgaande toestemming.
- Hulp bij verzoeken van betrokkenen, beveiligingsincidenten en effectbeoordelingen.
- Verwijdering of teruggave van de gegevens aan het einde van de dienst.
- Informatie en audits om naleving aan te tonen.
Verwerkersovereenkomst met Coviqo
Organisaties die Coviqo voor hun teams gebruiken, zijn verwerkingsverantwoordelijke voor hun inhoud; Coviqo verwerkt die namens hen. In de abonnementen Business en Enterprise kunnen beheerders de verwerkersovereenkomst direct in de organisatie-instellingen lezen, downloaden en sluiten. De subverwerkers staan op Waarom een Europees samenwerkingsplatform.
Deze pagina is algemene informatie en geen juridisch advies.
Veelgestelde vragen
Heb ik voor elke tool een verwerkersovereenkomst nodig?
Telkens wanneer een aanbieder als verwerker namens jou persoonsgegevens verwerkt. Dat geldt voor de meeste cloudtools waarmee je organisatie persoonsgegevens verwerkt.
Is een verwerkersovereenkomst hetzelfde als de privacyverklaring?
Nee. De privacyverklaring informeert de mensen van wie gegevens worden verwerkt. De verwerkersovereenkomst is een contract tussen verwerkingsverantwoordelijke en verwerker.