Verwerkersovereenkomst

1Partijen en rollen

Deze verwerkersovereenkomst is onderdeel van de overeenkomst tussen EasyFleet B.V., Zichtenburglaan 31, 2544 EA Den Haag ("EasyFleet", de verwerker) en de klant die het EasyFleet-platform gebruikt ("Klant", de verwerkingsverantwoordelijke). Begrippen die hier niet zijn omschreven, hebben de betekenis uit onze algemene voorwaarden.

Voor de persoonsgegevens in het platform bepaalt de Klant waarom en hoe ze worden verwerkt, en is hij de verwerkingsverantwoordelijke. EasyFleet verwerkt ze alleen namens de Klant. Als deze verwerkersovereenkomst en de algemene voorwaarden elkaar tegenspreken op het gebied van gegevensbescherming, gaat deze verwerkersovereenkomst voor.

2Onderwerp, doel en duur

EasyFleet verwerkt persoonsgegevens alleen om het EasyFleet-platform voor de Klant te leveren, te ondersteunen, te beveiligen en te onderhouden. De soorten persoonsgegevens en de betrokkenen staan in bijlage 1. Deze verwerkersovereenkomst loopt zolang EasyFleet persoonsgegevens voor de Klant verwerkt.

3Instructies

EasyFleet verwerkt persoonsgegevens alleen op basis van schriftelijke instructies van de Klant. De overeenkomst, deze verwerkersovereenkomst en de instellingen en het gebruik van het platform door de Klant gelden als instructies van de Klant. EasyFleet laat het de Klant weten als een instructie naar haar mening in strijd is met de AVG, en kan die instructie dan opschorten. EasyFleet mag alleen zonder instructies gegevens verwerken als het Europese of Nederlandse recht dat vereist, en laat dat de Klant dan weten, tenzij de wet dat verbiedt.

4Verantwoordelijkheden van de Klant

De Klant is verantwoordelijk voor de rechtmatigheid van de verwerking, waaronder:

• een wettelijke grondslag hebben voor elke verwerking en de betrokkenen informeren, zoals chauffeurs en medewerkers;
• eventueel vereiste instemming verkrijgen, bijvoorbeeld van de ondernemingsraad, en waar nodig een gegevensbeschermingseffectbeoordeling (DPIA) uitvoeren, vooral voordat locatietracking of camera’s in de cabine worden gebruikt;
• bewaartermijnen en toegangsrechten in het platform instellen die passen bij zijn doelen;
• geen bijzondere categorieën van persoonsgegevens of burgerservicenummers (BSN) invoeren, tenzij schriftelijk afgesproken.

5Geheimhouding

EasyFleet zorgt ervoor dat iedereen die toegang heeft tot de persoonsgegevens aan geheimhouding is gebonden en alleen de toegang heeft die nodig is voor zijn werk.

6Beveiliging

EasyFleet neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beschermen, zoals artikel 32 van de AVG vereist. De belangrijkste maatregelen staan in bijlage 2. EasyFleet kan deze maatregelen aanpassen, zolang het beschermingsniveau niet omlaag gaat.

7Subverwerkers

De Klant geeft EasyFleet algemene toestemming om subverwerkers in te schakelen, zoals hostingaanbieders. De actuele lijst is op aanvraag beschikbaar via info@easyfleet.org. EasyFleet informeert de Klant vooraf over nieuwe subverwerkers. De Klant kan binnen 14 dagen op redelijke gronden bezwaar maken; komen partijen er niet uit, dan kan de Klant als enige remedie de overeenkomst beëindigen.

EasyFleet legt elke subverwerker contractueel dezelfde verplichtingen op het gebied van gegevensbescherming op, en blijft tegenover de Klant verantwoordelijk voor de nakoming daarvan, zoals de AVG vereist.

8Locatie en doorgifte

Persoonsgegevens worden verwerkt en opgeslagen binnen de Europese Unie. Doorgifte buiten de Europese Economische Ruimte vindt alleen plaats met passende waarborgen op grond van hoofdstuk V van de AVG, zoals een adequaatheidsbesluit of de standaardcontractbepalingen.

9Bijstand

Rekening houdend met de aard van de verwerking en de informatie waarover zij beschikt, helpt EasyFleet de Klant bij:

• het beantwoorden van verzoeken van mensen die hun rechten onder de AVG uitoefenen; de meeste verzoeken kunnen met de eigen functies van het platform worden afgehandeld;
• het uitvoeren van gegevensbeschermingseffectbeoordelingen en, waar nodig, voorafgaande raadplegingen van de toezichthouder.

EasyFleet kan redelijke kosten in rekening brengen voor bijstand die verder gaat dan normale ondersteuning.

10Datalekken

EasyFleet meldt een inbreuk in verband met persoonsgegevens die de gegevens van de Klant raakt zonder onredelijke vertraging aan de Klant, en waar mogelijk binnen 48 uur nadat zij ervan op de hoogte is geraakt. EasyFleet geeft de informatie die zij heeft en ondersteunt de Klant bij het nemen van maatregelen. De Klant beslist of hij de toezichthouder en de betrokkenen informeert.

11Informatie en audits

EasyFleet stelt de informatie beschikbaar die nodig is om aan te tonen dat zij deze verwerkersovereenkomst nakomt. Is die informatie niet voldoende, dan mag de Klant een audit laten uitvoeren door een onafhankelijke auditor die aan geheimhouding is gebonden, hooguit één keer per jaar, met ten minste 30 dagen vooraankondiging, op kosten van de Klant en zonder de bedrijfsvoering van EasyFleet te verstoren.

12Einde van de verwerking

Eindigt de overeenkomst, dan krijgt de Klant op verzoek een volledige export van zijn gegevens. EasyFleet verwijdert de persoonsgegevens daarna binnen 90 dagen, ook uit back-ups binnen hun normale cyclus, tenzij het Europese of Nederlandse recht EasyFleet verplicht ze te bewaren. Gegevens die de Klant zelf moet bewaren, zoals zijn rittenregistratie, bewaart hij vanuit de export.

13Aansprakelijkheid

De beperkingen van aansprakelijkheid in onze algemene voorwaarden gelden ook voor deze verwerkersovereenkomst, voor zover de wet dat toestaat.

14Toepasselijk recht

Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden uitsluitend voorgelegd aan de bevoegde rechter in Den Haag.

Bijlage 1 · Gegevens over de verwerking

Bijlage 2 · Beveiligingsmaatregelen

• Hosting en opslag binnen de Europese Unie
• Toegang op basis van rollen, zodat elke Gebruiker en medewerker alleen ziet wat nodig is
• Versleutelde verbindingen tussen de apps, het beheerpaneel en onze servers
• Regelmatige back-ups en procedures om gegevens terug te zetten
• Logging van toegang tot het platform
• Geheimhoudingsplicht voor alle medewerkers
• Procedures om datalekken te ontdekken, te melden en af te handelen