Verwerkersovereenkomst

VERWERKERSOVEREENKOMST

TEN BEHOEVE VAN DE VERWERKING VAN PERSOONSGEGEVENS DOOR BNBBOEKHOUDER

Wij vinden de bescherming van uw persoonsgegevens belangrijk en verwerken deze daarom volledig in overeenstemming met de Algemene Verordening Gegevensbescherming (hierna: de “AVG”), die sinds 25 mei 2018 in de hele Europese Unie geldt.

Wanneer u als verwerkingsverantwoordelijke ons inschakelt voor de verwerking van persoonsgegevens, bent u wettelijk verplicht om hierover schriftelijke afspraken met ons te maken, over een aantal onderwerpen die de AVG voorschrijft. Voor uw gemak hebben wij deze verwerkersovereenkomst opgesteld, zodat u en wij daarmee gezamenlijk aan de eisen van de AVG voldoen.

Partijen:

De opdrachtgever, zijnde de natuurlijke persoon of rechtspersoon die de dienstverlening van bnbboekhouder afneemt en in dat kader persoonsgegevens door bnbboekhouder laat verwerken (hierna: “Verwerkingsverantwoordelijke”).

En:

Bnbboekhouder, gevestigd aan de Jan Voermanstraat 19, 1318 RR te Almere, Nederland, ingeschreven bij de Kamer van Koophandel onder nummer 87920239 (hierna: “Verwerker”).

Hierna gezamenlijk aangeduid als “Partijen” en ieder afzonderlijk als “Partij”.

Overwegende dat:

• Verwerker een administratie- en boekhoudkantoor is en in dat kader diensten verleent aan Verwerkingsverantwoordelijke op grond van de tussen Partijen gesloten overeenkomst voor boekhoudkundige en fiscale dienstverlening (hierna: “Hoofdovereenkomst”).
• Het verlenen van diensten noodzakelijkerwijs met zich meebrengt dat persoonsgegevens van of via Verwerkingsverantwoordelijke ter beschikking komen van Verwerker en door Verwerker worden verwerkt in de softwareapplicaties welke voor de uitvoering van de diensten worden gebruikt.
• Verwerker de betreffende persoonsgegevens puur voor de uitvoering van de Hoofdovereenkomst in opdracht van de Verwerkingsverantwoordelijke zal verwerken.
• Verwerker bij de uitvoering van de Hoofdovereenkomst gebruik maakt van de boekhoudsoftware van Moneybird en Moneymonk, en gebruik maakt van de fiscale aangifteprogramma’s van Exact en fiscaal-online.
• Verwerker bereid is de verplichtingen op het gebied van beveiliging en de overige eisen uit de Algemene Verordening Gegevensbescherming (AVG) na te komen, voor zover dit binnen haar macht ligt.
• Partijen hun onderlinge rechten en plichten rond deze verwerking schriftelijk willen vastleggen door middel van deze verwerkersovereenkomst, zoals artikel 28 lid 3 AVG vereist.
• Verwerker bij de uitvoering van de Hoofdovereenkomst kwalificeert als verwerker in de zin van artikel 4 lid 8 AVG, en Verwerkingsverantwoordelijke kwalificeert als verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 AVG.
• Waar in deze Verwerkersovereenkomst wordt gesproken over persoonsgegevens, daarmee persoonsgegevens in de zin van artikel 4 lid 1 AVG worden bedoeld.
• Voor zover Verwerker persoonsgegevens verwerkt voor eigen doeleinden (bijvoorbeeld ter voldoening aan op Verwerker rustende wettelijke verplichtingen zoals een bewaartermijn), treedt Verwerker voor die betreffende verwerking op als zelfstandig verwerkingsverantwoordelijke. Deze Verwerkersovereenkomst is uitsluitend van toepassing op verwerkingen die Verwerker namens en in opdracht van Verwerkingsverantwoordelijke verricht.

Komen het volgende overeen:

Artikel 1. Definities

AVG: de Algemene Verordening Gegevensbescherming, inclusief de daarbij behorende Nederlandse uitvoeringswetgeving.

Betrokkene: de geïdentificeerde of identificeerbare natuurlijke persoon op wie een persoonsgegeven betrekking heeft.

Datalek: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging, of de ongeoorloofde verstrekking van of toegang tot persoonsgegevens, zoals bedoeld in artikel 4 lid 12 AVG.

Hoofdovereenkomst: de tussen Partijen gesloten overeenkomst voor boekhoudkundige en fiscale dienstverlening, in het kader waarvan Verwerker persoonsgegevens verwerkt namens Verwerkingsverantwoordelijke.

Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon in de zin van artikel 4 lid 1 AVG, die Verwerker in het kader van de Hoofdovereenkomst verwerkt.

Subverwerker: een derde partij die Verwerker inschakelt om, in opdracht van Verwerker, persoonsgegevens te verwerken ten behoeve van de uitvoering van de Hoofdovereenkomst.

Offerte: de digitale offerte van Verwerker aan Verwerkingsverantwoordelijke die voorafgaand aan de totstandkoming van de Hoofdovereenkomst aan Verwerkingsverantwoordelijke is verstrekt en waarbij deze Verwerkersovereenkomst als bijlage is gevoegd. De Offerte en deze Verwerkersovereenkomst maken integraal onderdeel uit van de Hoofdovereenkomst.

Verwerkersovereenkomst: deze overeenkomst, inclusief de bijlagen.

Artikel 2. Betrokkenen en doeleinden van de verwerking

1. In het kader van de uitvoering van de Hoofdovereenkomst verwerkt Verwerker persoonsgegevens van de volgende categorieën betrokkenen.

• Opdrachtgevers van Verwerkingsverantwoordelijke, zoals zzp’ers, freelancers en bedrijven (waaronder mede begrepen leveranciers van goederen of diensten aan Verwerkingsverantwoordelijke).
• Werknemers van Verwerkingsverantwoordelijke voor zover noodzakelijk in het kader van de uitvoering van de Hoofdovereenkomst.
• Klanten, debiteuren en crediteuren van Verwerkingsverantwoordelijke.
• Gasten van de accommodatie(s) van Verwerkingsverantwoordelijke, voor zover hun gegevens nodig zijn voor de boekhoudkundige of fiscale verwerking, zoals toeristenbelasting.
• Contactpersonen van zakelijke relaties van Verwerkingsverantwoordelijke.
• Partner en/of overige gezins- en/of familieleden van de Verwerkingsverantwoordelijke, indien en voor zover relevant voor de uitvoering van de Hoofdovereenkomst (bijvoorbeeld in geval van fiscaal partnerschap, familiehypotheken e.d.).
• Overige betrokkenen waarvan het verwerken van persoonsgegevens noodzakelijk is ter uitvoering van de Hoofdovereenkomst.

2. Bijlage 1 bevat een gedetailleerd overzicht van de categorieën persoonsgegevens die Verwerker per categorie betrokkene verwerkt.

3. Verwerker verwerkt de persoonsgegevens uitsluitend voor de volgende doeleinden.

• Het voeren van de financiële administratie en boekhouding.
• Het verwerken van belastingaangiftes en fiscale verplichtingen, waaronder inkomstenbelasting met fiscaal partner en toeristenbelasting.
• Het verzorgen van de salarisadministratie, voor zover van toepassing.
• Het bijhouden van de debiteuren- en crediteurenadministratie.
• Het uitvoeren van overige administratieve en financiële diensten conform de Hoofdovereenkomst.
• Het voldoen aan wettelijke verplichtingen, zoals fiscale en arbeidsrechtelijke regelgeving.

4. Verwerker verwerkt geen persoonsgegevens van andere betrokkenen of voor andere doeleinden dan hierboven genoemd, tenzij Partijen dit schriftelijk overeenkomen.

Artikel 3. Doel, instructies en zeggenschap

1. Verwerkingsverantwoordelijke behoudt volledige zeggenschap over de persoonsgegevens en bepaalt het doel en de middelen van de verwerking. Verwerker heeft hier geen zeggenschap over.

2. Verwerker verwerkt de persoonsgegevens uitsluitend volgens de schriftelijke instructies van Verwerkingsverantwoordelijke, zoals vastgelegd in deze overeenkomst en de Hoofdovereenkomst, en met inachtneming van eventuele bewaartermijnen die Verwerkingsverantwoordelijke heeft vastgesteld, tenzij een wettelijke bewaarplicht anders bepaalt.

3. Wanneer een wettelijke verplichting Verwerker dwingt tot een verwerking die afwijkt van de instructies van Verwerkingsverantwoordelijke, informeert Verwerker Verwerkingsverantwoordelijke hierover voorafgaand aan de verwerking, tenzij de betreffende wetgeving dit verbiedt.

4. De persoonsgegevens die Verwerker verwerkt, blijven eigendom van Verwerkingsverantwoordelijke en/of de betreffende betrokkenen zelf.

5. Indien Verwerker van mening is dat een instructie van Verwerkingsverantwoordelijke in strijd is met de AVG of andere toepasselijke gegevensbeschermingswetgeving, stelt Verwerker Verwerkingsverantwoordelijke hiervan onverwijld in kennis. Verwerker is gerechtigd de uitvoering van de betreffende instructie op te schorten totdat Verwerkingsverantwoordelijke de instructie heeft bevestigd, gewijzigd of ingetrokken.

Artikel 4. Verdeling van verantwoordelijkheid

1. Beide Partijen leven de toepasselijke privacywet- en regelgeving na.

2. Verwerker is uitsluitend verantwoordelijk voor de verwerking van persoonsgegevens onder deze overeenkomst, voor zover die verwerking plaatsvindt volgens de instructies van Verwerkingsverantwoordelijke en onder diens eindverantwoordelijkheid. Voor alle overige verwerkingen, waaronder de verzameling van persoonsgegevens door Verwerkingsverantwoordelijke zelf en verwerkingen voor niet-gemelde doeleinden of door derden, is uitsluitend Verwerkingsverantwoordelijke verantwoordelijk.

3. Verwerkingsverantwoordelijke staat ervoor in dat de inhoud, het gebruik en de opdracht tot verwerking van persoonsgegevens rechtmatig zijn en geen inbreuk maken op rechten van derden.

Artikel 5. Verplichtingen van Verwerker

1. Verwerker leeft de voorwaarden na die de AVG stelt aan het verwerken van persoonsgegevens door een verwerker.

2. Verwerker informeert Verwerkingsverantwoordelijke op diens eerste verzoek en binnen een redelijke termijn over de maatregelen die zij heeft genomen ter uitvoering van haar verplichtingen onder deze overeenkomst.

3. De verplichtingen van Verwerker onder deze overeenkomst gelden ook voor eenieder die onder haar gezag persoonsgegevens verwerkt, waaronder haar medewerkers. Verwerker zorgt ervoor dat deze personen contractueel of wettelijk gebonden zijn aan geheimhouding en de persoonsgegevens uitsluitend rechtmatig en in overeenstemming met deze overeenkomst verwerken.

Artikel 6. Inschakelen van subverwerkers

1. Verwerker mag subverwerkers inschakelen voor bepaalde verwerkingsactiviteiten. De subverwerkers die Verwerker op het moment van ondertekening van de Offerte (en daarmee deze overeenkomst) al inschakelt, zijn opgenomen in Bijlage 2 en worden met de ondertekening door Verwerkingsverantwoordelijke goedgekeurd.

2. Verwerker informeert Verwerkingsverantwoordelijke vooraf over wijzigingen in de lijst van subverwerkers. Verwerkingsverantwoordelijke heeft het recht om binnen 14 dagen na deze melding schriftelijk bezwaar te maken tegen de inschakeling van een nieuwe subverwerker. Wanneer Verwerkingsverantwoordelijke bezwaar maakt en Partijen geen oplossing bereiken, kan Verwerkingsverantwoordelijke de overeenkomst opzeggen voor zover de wijziging rechtstreeks van invloed is op de dienstverlening.

3. Verwerker legt subverwerkers dezelfde verplichtingen op als die welke voor Verwerker uit deze overeenkomst voortvloeien, en blijft zelf te allen tijde verantwoordelijk jegens Verwerkingsverantwoordelijke voor de correcte nakoming daarvan.

Artikel 7. Doorgifte van persoonsgegevens

1. Verwerker verwerkt persoonsgegevens in beginsel binnen de Europese Economische Ruimte (EER).

2. Doorgifte naar een land buiten de EER is alleen toegestaan wanneer aan een van de volgende voorwaarden is voldaan.

• De Europese Commissie heeft het betreffende land erkend als een land met een passend beschermingsniveau (adequaatheidsbesluit).
• Verwerker en de betreffende subverwerker maken gebruik van de standaardcontractbepalingen die de Europese Commissie heeft vastgesteld, zo nodig aangevuld met extra maatregelen.
• Er worden andere passende waarborgen toegepast, zoals bindende bedrijfsvoorschriften of vergelijkbare contractuele afspraken die aan de AVG voldoen.

3. Verwerker meldt Verwerkingsverantwoordelijke in welk land of welke landen persoonsgegevens worden verwerkt, ook wanneer persoonsgegevens door een datalek of anderszins per abuis buiten de EER terecht zijn gekomen.

4. Verwerker houdt een actueel overzicht bij van subverwerkers die buiten de EER verwerken, opgenomen in Bijlage 2, en stelt dit desgevraagd beschikbaar aan Verwerkingsverantwoordelijke.

Artikel 8. Beveiliging

1. Verwerker neemt passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies en tegen elke vorm van onzorgvuldige, ondeskundige of onrechtmatige verwerking, rekening houdend met de stand van de techniek en de gevoeligheid van de gegevens. Een overzicht van deze maatregelen is opgenomen in de tabellen hieronder.

2. Door de Offerte te ondertekenen verklaart Verwerkingsverantwoordelijke kennis te hebben genomen van de door Verwerker getroffen technische en organisatorische maatregelen en deze passend te vinden.

3. Verwerker zorgt ervoor dat personen die onder haar gezag handelen contractueel of wettelijk gebonden zijn aan geheimhouding en persoonsgegevens uitsluitend verwerken in overeenstemming met deze overeenkomst en de toepasselijke wet- en regelgeving.

Technische beveiligingsmaatregelen

Organisatorische maatregelen

Artikel 9. Verwerkingsregister

Voor zover artikel 30 AVG dit vereist, houdt Verwerker een register bij van de categorieën verwerkingsactiviteiten die zij namens Verwerkingsverantwoordelijke uitvoert. Het register bevat de gegevens die op grond van artikel 30 lid 2 AVG vereist zijn, waaronder de naam en contactgegevens van Verwerker en de betreffende Verwerkingsverantwoordelijke, de categorieën van verwerkingen, eventuele doorgiften naar derde landen of internationale organisaties en een algemene beschrijving van de getroffen technische en organisatorische beveiligingsmaatregelen.

Artikel 10. Meldplicht datalekken

1. Wanneer zich een datalek voordoet, informeert Verwerker Verwerkingsverantwoordelijke hierover onverwijld, en uiterlijk binnen 48 uur na ontdekking, met de op dat moment beschikbare informatie. Aan deze melding zijn voor Verwerkingsverantwoordelijke geen kosten verbonden.

2. Een melding omvat in ieder geval het feit dat er een datalek is geweest, en voor zover op dat moment bekend de volgende informatie.

• de vermoedelijke oorzaak van het datalek.
• de bekende of te verwachten gevolgen.
• de voorgestelde oplossing of getroffen maatregelen.
• contactgegevens voor de verdere opvolging van de melding.
• wie er al is geïnformeerd, zoals de betrokkene zelf of de toezichthouder.

3. Verwerker spant zich naar beste kunnen in om de verstrekte informatie zo volledig, correct en accuraat mogelijk te maken, en vult deze aan zodra meer bekend wordt.

4. Verwerkingsverantwoordelijke beoordeelt of en op welke wijze zij de Autoriteit Persoonsgegevens en/of betrokkenen over het datalek informeert, en is hiervoor verantwoordelijk. Voor zover wet- of regelgeving dit vereist, werkt Verwerker mee aan het informeren van de relevante autoriteiten en eventuele betrokkenen.

Artikel 11. Afhandeling van verzoeken van betrokkenen en ondersteuning bij DPIA’s

1. Verwerker verleent, rekening houdend met de aard van de verwerking en de aan Verwerker beschikbare informatie, redelijke bijstand aan Verwerkingsverantwoordelijke bij het voldoen aan diens verplichtingen uit de artikelen 32 tot en met 36 AVG.

2. Wanneer een betrokkene een verzoek over zijn persoonsgegevens rechtstreeks aan Verwerker richt, stuurt Verwerker dit verzoek door naar Verwerkingsverantwoordelijke, die het verzoek zelf afhandelt. Verwerker mag de betrokkene hierover informeren.

3. Verwerker verleent Verwerkingsverantwoordelijke de noodzakelijke medewerking bij de afhandeling van verzoeken van betrokkenen en bij een eventuele gegevensbeschermingseffectbeoordeling (DPIA) of voorafgaande raadpleging van de toezichthoudende autoriteit, waaronder ondersteuning bij het doorvoeren van naar aanleiding daarvan benodigde maatregelen.

4. Voor zover deze medewerking de reguliere dienstverlening onder de Hoofdovereenkomst te boven gaat, mag Verwerker hiervoor een redelijke vergoeding in rekening brengen, tegen het uurtarief voor aanvullende werkzaamheden zoals opgenomen in de Hoofdovereenkomst.

Artikel 12. Inzage en controle

1. Verwerkingsverantwoordelijke mag de naleving van deze overeenkomst laten controleren, met een maximum van eenmaal per jaar, tenzij er een concrete aanleiding is voor een tussentijdse controle. Verwerkingsverantwoordelijke kan deze controle zelf uitvoeren of laten uitvoeren door een onafhankelijke, daartoe gecertificeerde auditor.

2. Verwerkingsverantwoordelijke kondigt een controle ten minste 10 dagen van tevoren schriftelijk aan, met een omschrijving van de reikwijdte en de wijze waarop de controle zal plaatsvinden. Verwerkingsverantwoordelijke houdt daarbij rekening met de bedrijfsvoering van Verwerker en de vertrouwelijkheid van eventueel betrokken derden.

3. De kosten van een controle komen voor rekening van Verwerkingsverantwoordelijke, tenzij daaruit blijkt dat Verwerker wezenlijk tekortschiet in de nakoming van haar verplichtingen onder deze overeenkomst of de AVG. Wanneer uit een controle een tekortkoming blijkt, herstelt Verwerker deze op zo kort mogelijke termijn.

Artikel 13. Geheimhouding en vertrouwelijkheid

1. Verwerker behandelt alle persoonsgegevens die zij van Verwerkingsverantwoordelijke ontvangt of zelf verwerkt strikt vertrouwelijk, en verstrekt deze niet aan derden of gebruikt deze niet voor andere doeleinden dan in deze overeenkomst is bepaald, tenzij de gegevens zodanig zijn geanonimiseerd dat zij niet meer tot een betrokkene herleidbaar zijn.

2. Deze geheimhoudingsplicht geldt niet in de volgende gevallen.

• Verwerkingsverantwoordelijke heeft uitdrukkelijk toestemming gegeven om de informatie aan derden te verstrekken.
• het verstrekken van de informatie aan derden is redelijkerwijs noodzakelijk voor de uitvoering van de Hoofdovereenkomst of deze overeenkomst.
• er bestaat een wettelijke verplichting of rechterlijk bevel om de informatie aan een derde te verstrekken.

3. Wanneer een derde Verwerker verzoekt om kennisneming of afgifte van persoonsgegevens op een wijze die niet onder lid 2 valt, informeert Verwerker Verwerkingsverantwoordelijke hierover onverwijld, en uiterlijk binnen 24 uur nadat Verwerker hiervan kennis heeft genomen.

Artikel 14. Aansprakelijkheid

1. Verwerker is uitsluitend aansprakelijk voor directe schade van Verwerkingsverantwoordelijke die het gevolg is van een aan Verwerker toerekenbare tekortkoming in de nakoming van haar verplichtingen uit deze overeenkomst of de toepasselijke bepalingen van de AVG, waaronder schade door een datalek dat aan Verwerker kan worden toegerekend.

2. De aansprakelijkheid van Verwerker is beperkt tot het bedrag dat in het betreffende geval door haar aansprakelijkheidsverzekeraar wordt uitgekeerd, vermeerderd met het eigen risico onder die verzekering. Wanneer geen uitkering plaatsvindt, is de aansprakelijkheid beperkt tot het bedrag dat Verwerkingsverantwoordelijke in de drie maanden voorafgaand aan het schadeveroorzakende feit uit hoofde van de Hoofdovereenkomst aan Verwerker heeft betaald.

3. Verwerker is niet aansprakelijk voor boetes die aan Verwerkingsverantwoordelijke worden opgelegd door een toezichthoudende autoriteit, tenzij deze rechtstreeks het gevolg zijn van een toerekenbare tekortkoming van Verwerker. Verwerker is evenmin aansprakelijk voor indirecte schade, waaronder gevolgschade, gederfde winst en schade door bedrijfsstagnatie.

4. Verwerkingsverantwoordelijke is aansprakelijk jegens Verwerker voor schade die het gevolg is van een aan Verwerkingsverantwoordelijke toerekenbare tekortkoming in de nakoming van haar verplichtingen uit deze overeenkomst, en verklaart zich hiervoor en voor haar eventuele aansprakelijkheid jegens derden, waaronder betrokkenen, adequaat te verzekeren.

5. Verwerkingsverantwoordelijke vrijwaart Verwerker voor aanspraken van derden die verband houden met of voortvloeien uit de uitvoering van de Hoofdovereenkomst of deze overeenkomst, tenzij deze aanspraken het rechtstreekse gevolg zijn van een toerekenbare tekortkoming van Verwerker.

Artikel 15. Duur, verlenging en beëindiging

1. Deze overeenkomst komt tot stand door ondertekening van de Offerte van Verwerker door Partijen, op de datum van de laatste ondertekening. Bij ondertekening van de Offerte komt de Hoofdovereenkomst namelijk automatisch en per direct tot stand.

2. Deze overeenkomst geldt voor de duur van de Hoofdovereenkomst. Wanneer de Hoofdovereenkomst wordt verlengd, wordt deze overeenkomst automatisch voor dezelfde duur verlengd. Beëindiging van de Hoofdovereenkomst, om welke reden dan ook, beëindigt deze overeenkomst op hetzelfde moment.

3. Bepalingen die naar hun aard bestemd zijn om ook na beëindiging van deze overeenkomst voort te duren, waaronder in ieder geval de bepalingen over geheimhouding en aansprakelijkheid, blijven na beëindiging van kracht.

Artikel 16. Teruggave en vernietiging van persoonsgegevens

1. Na beëindiging van de dienstverlening zal Verwerker, naar keuze van Verwerkingsverantwoordelijke, de persoonsgegevens terugbezorgen aan Verwerkingsverantwoordelijke of deze veilig verwijderen, en bestaande kopieën verwijderen, tenzij Unierecht of Nederlands recht Verwerker verplicht de persoonsgegevens langer te bewaren.

2. Op eerste schriftelijk verzoek van Verwerkingsverantwoordelijke, en in ieder geval binnen 10 werkdagen na het einde van deze overeenkomst of de Hoofdovereenkomst en indien Verwerkingsverantwoordelijke kiest voor teruggave van de persoonsgegevens, stelt Verwerker alle persoonsgegevens die zij in het kader van deze overeenkomst heeft verwerkt beschikbaar aan Verwerkingsverantwoordelijke, in een gangbaar en door Verwerkingsverantwoordelijke te accepteren formaat. Zodra Verwerkingsverantwoordelijke schriftelijk heeft bevestigd dat zij alle persoonsgegevens in het afgesproken formaat heeft ontvangen, verwijdert Verwerker deze persoonsgegevens volledig binnen 14 dagen, tenzij lid 4 van dit artikel van toepassing is.

3. Indien Verwerkingsverantwoordelijke kiest voor verwijdering van de persoonsgegevens, verwijdert Verwerker deze binnen 14 dagen na het einde van deze overeenkomst of de Hoofdovereenkomst, tenzij lid 4 van dit artikel van toepassing is.

4. Verwerker mag afwijken van het bepaalde in de leden 1, 2 en 3 van dit artikel voor zover op Verwerker zelf een wettelijke bewaarplicht rust, zoals de fiscale bewaarplicht, of voor zover het bewaren van de gegevens noodzakelijk is om de nakoming van haar verplichtingen onder deze overeenkomst te kunnen aantonen.

Artikel 17. Onverbindendheid van bepalingen

Wanneer een bepaling van deze overeenkomst nietig, vernietigbaar of anderszins onverbindend blijkt te zijn, blijven de overige bepalingen onverminderd van kracht. Partijen treden in dat geval in overleg om de betreffende bepaling te vervangen door een bepaling die wel verbindend is en die zo veel mogelijk aansluit bij de strekking van de oorspronkelijke bepaling.

Artikel 18. Wijziging en volledige overeenkomst

1. Deze overeenkomst, inclusief de bijlagen, bevat de volledige afspraken tussen Partijen over de verwerking van persoonsgegevens in het kader van de Hoofdovereenkomst, en vervangt eerdere schriftelijke of mondelinge afspraken hierover.

2. Wijzigingen van deze overeenkomst zijn alleen geldig wanneer Partijen deze schriftelijk zijn overeengekomen.

Artikel 19. Toepasselijk recht en geschillenbeslechting

1. Op deze overeenkomst en de uitvoering daarvan is Nederlands recht van toepassing.

2. Geschillen die tussen Partijen ontstaan in verband met deze overeenkomst worden voorgelegd aan de bevoegde rechter in het arrondissement waar Verwerker is gevestigd.

Artikel 20. Akkoord

1. Bij acceptatie en ondertekening van de Offerte verklaart Verwerkingsverantwoordelijke de Offerte, Bijlage 1 (Dienstverlening & opdrachtvoorwaarden), Bijlage 2 (Algemene Voorwaarden) en Bijlage 3 (Verwerkersovereenkomst) te hebben ontvangen, kennis te hebben genomen van de inhoud en akkoord te gaan met de inhoud en toepasselijkheid van de bijlagen.

BIJLAGE 1 – SPECIFICATIE PERSOONSGEGEVENS

Deze bijlage specificeert, per categorie, welke persoonsgegevens Verwerker in het kader van de uitvoering van de Hoofdovereenkomst namens Verwerkingsverantwoordelijke verwerkt. De categorieën betrokkenen en de doeleinden van de verwerking zijn opgenomen in Artikel 2 van deze overeenkomst.

Bijzondere persoonsgegevens worden niet structureel verwerkt, behoudens voor zover dergelijke gegevens noodzakelijk zijn voor een door Verwerkingsverantwoordelijke opgedragen fiscale verwerking, bijvoorbeeld informatie die verband houdt met fiscaal aftrekbare zorgkosten.

Verwerker verwerkt geen persoonsgegevens buiten deze specificatie, tenzij Partijen dit schriftelijk overeenkomen.

De verwerking bestaat uit het ontvangen, vastleggen, ordenen, opslaan, raadplegen, controleren, gebruiken en waar nodig verstrekken of verwijderen van persoonsgegevens ten behoeve van de administratieve, boekhoudkundige en fiscale dienstverlening uit de Hoofdovereenkomst.

BIJLAGE 2 – OVERZICHT VAN SUBVERWERKERS

Deze bijlage bevat de actuele lijst van subverwerkers die Verwerker inschakelt voor de uitvoering van de diensten onder de Hoofdovereenkomst. De hieronder genoemde subverwerkers zijn, zoals bepaald in Artikel 6, met de ondertekening van de Offerte (en daarmee deze overeenkomst) al door Verwerkingsverantwoordelijke goedgekeurd. Wanneer Verwerker een nieuwe subverwerker inschakelt of een wijziging doorvoert in de bestaande subverwerkers, informeert Verwerker Verwerkingsverantwoordelijke hierover vooraf, met de bezwaarmogelijkheid zoals opgenomen in Artikel 6 lid 2.

Subverwerkers die persoonsgegevens buiten de EER verwerken, vallen onder de AVG-regels voor internationale gegevensdoorgifte. Verwerker zorgt ervoor dat hierbij passende waarborgen worden toegepast, zoals standaardcontractbepalingen of andere mechanismen die in overeenstemming zijn met de AVG.