Verwerkersovereenkomst Dineflow

1.1 Vimonto verwerkt Persoonsgegevens uitsluitend om Dineflow te leveren, beveiligen, onderhouden en ondersteunen volgens de Overeenkomst en gedocumenteerde instructies van Klant.

1.2 Deze verwerkersovereenkomst begint tegelijk met de Overeenkomst en eindigt nadat alle Persoonsgegevens overeenkomstig artikel 12 zijn verwijderd of teruggegeven.

1.3 Bij strijd over verwerking van Persoonsgegevens gaat deze verwerkersovereenkomst voor op de algemene voorwaarden.

2.1 Klant bepaalt doelen en middelen van de verwerking en staat in voor een geldige grondslag, transparantie, gegevensminimalisatie, bewaartermijnen en behandeling van rechten van betrokkenen.

2.2 Vimonto verwerkt Persoonsgegevens niet voor eigen doeleinden en volgt schriftelijke instructies van Klant, waaronder instellingen en handelingen die bevoegde Gebruikers in Dineflow uitvoeren.

2.3 Meent Vimonto dat een instructie in strijd is met de AVG of andere privacywetgeving, dan informeert Vimonto Klant voordat de instructie wordt uitgevoerd, tenzij de wet dit verbiedt. Vimonto mag uitvoering opschorten totdat Klant de instructie bevestigt of aanpast.

2.4 Een wettelijk verplichte verwerking buiten de instructies wordt vooraf aan Klant gemeld, tenzij de wet die melding verbiedt.

De aard, het doel, de categorieën betrokkenen, soorten Persoonsgegevens en duur staan in Bijlage 1. Klant gebruikt Dineflow niet voor stelselmatige grootschalige verwerking van bijzondere persoonsgegevens zonder voorafgaande schriftelijke beoordeling en aanvullende afspraken.

4.1 Vimonto zorgt dat personen met toegang tot Persoonsgegevens deze alleen verwerken voor hun taak en aan een wettelijke of contractuele geheimhoudingsplicht zijn gebonden.

4.2 Toegang wordt periodiek beoordeeld en ingetrokken zodra deze niet meer nodig is.

5.1 Vimonto treft passende technische en organisatorische maatregelen gelet op stand van techniek, uitvoeringskosten, aard en omvang van de verwerking en risico’s voor betrokkenen. De basismaatregelen staan in Bijlage 2.

5.2 Klant beoordeelt of de maatregelen passen bij zijn gebruik, risico’s en eventuele informatie in vrije tekstvelden. Klant configureert rollen, bewaartermijnen en koppelingen zorgvuldig.

5.3 Vimonto mag maatregelen wijzigen wanneer het beschermingsniveau niet wezenlijk vermindert.

6.1 Klant verleent algemene schriftelijke toestemming voor inzet van subverwerkers. De actuele lijst wordt gepubliceerd in het subverwerkersregister.

6.2 Vimonto meldt een voorgenomen nieuwe of vervangende subverwerker ten minste dertig dagen vooraf via e-mail of het Account, tenzij spoed nodig is voor veiligheid of continuïteit.

6.3 Klant mag binnen veertien dagen gemotiveerd bezwaar maken op redelijke privacygronden. Partijen zoeken een werkbare oplossing. Lukt dat niet, dan mag Klant het aantoonbaar geraakte onderdeel opzeggen tegen de ingangsdatum van de wijziging.

6.4 Vimonto legt subverwerkers materieel dezelfde privacyverplichtingen op en blijft tegenover Klant verantwoordelijk voor hun prestaties voor zover de AVG dat bepaalt.

7.1 Persoonsgegevens worden alleen buiten de Europese Economische Ruimte doorgegeven wanneer een geldig doorgiftemechanisme bestaat, zoals een adequaatheidsbesluit of de toepasselijke modelcontractbepalingen van de Europese Commissie, zo nodig aangevuld met passende maatregelen.

7.2 Het subverwerkersregister vermeldt relevante verwerkingslocaties en doorgiftegrondslagen.

8.1 Vimonto meldt een inbreuk in verband met Persoonsgegevens zonder onredelijke vertraging nadat deze is vastgesteld. Vimonto streeft ernaar een eerste melding binnen 24 uur te doen, maar deze termijn is geen erkenning dat de melding al volledig is.

8.2 De melding bevat voor zover beschikbaar: aard en omvang, categorieën gegevens en betrokkenen, waarschijnlijke gevolgen, genomen of voorgestelde maatregelen en een contactpunt. Aanvullende informatie mag gefaseerd volgen.

8.3 Vimonto documenteert relevante feiten en werkt redelijk mee. Klant beslist als verwerkingsverantwoordelijke over melding aan toezichthouder en betrokkenen.

8.4 Klant meldt beveiligingsincidenten aan zijn zijde direct en verstrekt informatie die Vimonto nodig heeft om de dienst te beschermen.

9.1 Wanneer een betrokkene zich rechtstreeks tot Vimonto richt over Persoonsgegevens van Klant, stuurt Vimonto het verzoek door aan Klant en reageert niet inhoudelijk, tenzij wettelijk verplicht.

9.2 Vimonto biedt, rekening houdend met de aard van de verwerking, redelijke technische en organisatorische bijstand bij inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar.

9.3 Werk buiten standaardfunctionaliteit kan tegen het geldende uurtarief worden uitgevoerd wanneer het verzoek voortkomt uit keuzes van Klant of onevenredige inspanning vraagt. Vimonto kondigt zulke kosten vooraf aan.

Vimonto verleent redelijke bijstand bij een gegevensbeschermingseffectbeoordeling, voorafgaande raadpleging of onderzoek door een bevoegde toezichthouder, voor zover dit betrekking heeft op Dineflow en beschikbare informatie. Klant blijft verantwoordelijk voor de inhoud en tijdige uitvoering.

11.1 Vimonto verstrekt op verzoek informatie die redelijkerwijs nodig is om naleving van artikel 28 AVG aan te tonen, bij voorkeur via bestaande documentatie, verklaringen en onafhankelijke rapporten.

11.2 Indien dat onvoldoende is, mag Klant maximaal eenmaal per twaalf maanden een audit laten uitvoeren door een onafhankelijke deskundige die aan geheimhouding is gebonden. De audit vindt tijdens kantooruren plaats, met minimaal dertig dagen aankondiging en zonder onnodige verstoring of toegang tot gegevens van andere klanten.

11.3 Klant draagt de kosten, tenzij de audit een materiële tekortkoming van Vimonto aantoont. In dat geval draagt Vimonto redelijke auditkosten en herstelt de tekortkoming binnen een passende termijn.

12.1 Tijdens de looptijd kan Klant beschikbare exports gebruiken. Na einde van de Overeenkomst geldt de export- en verwijderingsregeling uit de algemene voorwaarden.

12.2 Vimonto verwijdert Persoonsgegevens na afloop, tenzij Unierecht of Nederlands recht bewaring verplicht. In dat geval worden gegevens afgeschermd en uitsluitend voor die wettelijke verplichting verwerkt.

De aansprakelijkheidsbeperkingen uit de algemene voorwaarden gelden ook voor deze verwerkersovereenkomst, voor zover toegestaan onder toepasselijk recht. Deze afspraak verandert niet de rechten van betrokkenen of bevoegdheden van toezichthouders.

Operationele privacyvragen en incidentmeldingen worden gestuurd aan info@dineflow.nl. Alleen instructies van bevoegde contactpersonen of Gebruikers van Klant worden geaccepteerd.

Het register van subverwerkers vormt Bijlage 3. Dit register wordt gevuld met de feitelijke leveranciers voordat Dineflow persoonsgegevens van klanten verwerkt.