Verwerkersovereenkomst Dutchview

Versie 2.8, geldig vanaf 11.11.2026. Deze tekst is gelijk aan de versie die klanten kunnen ondertekenen; een pdf om te downloaden en te ondertekenen volgt.

De klant die de dienstverlening van Dutchview afneemt (hierna: de verwerkingsverantwoordelijke),

Dutchview information technology B.V., gevestigd aan de Keizerstraat 43, 7411 HE te Deventer, verder te noemen de verwerker, ten deze rechtsgeldig vertegenwoordigd door de heer R.B. Loenen, directeur,

verklaren te zijn overeengekomen een verwerkersovereenkomst als bedoeld in de Algemene Verordening Gegevensbescherming (AVG), tussen de verwerkingsverantwoordelijke en de verwerker. Waar in deze verwerkersovereenkomst termen worden gebruikt die overeenstemmen met definities uit de AVG, wordt aan deze termen de betekenis van de definities uit de AVG toegekend.

Artikel 1. Definities

Waar in deze verwerkersovereenkomst termen worden gebruikt die overeenstemmen met definities uit artikel 4 AVG, wordt aan deze termen de betekenis van de definities uit de AVG toegekend. Dit geldt in ieder geval voor de termen Persoonsgegevens, Verwerken, Verwerkingsverantwoordelijke, Verwerker, Betrokkene en Inbreuk in verband met Persoonsgegevens (hierna: Datalek).

1.1 Bijlagen: aanhangsels bij deze verwerkersovereenkomst, die deel uitmaken van deze verwerkersovereenkomst.

1.2 Toezichthouder: de Autoriteit Persoonsgegevens (AP) is het zelfstandig bestuursorgaan dat in Nederland bij wet als toezichthouder is aangesteld voor het toezicht op het verwerken van persoonsgegevens.

Artikel 2. Ingangsdatum en duur

2.1 Deze verwerkersovereenkomst gaat in op het moment van ondertekening of, als partijen niet apart tekenen, op de ingangsdatum van de overeenkomst die naar deze verwerkersovereenkomst verwijst, en duurt voort zolang de verwerker als verwerker van persoonsgegevens optreedt in het kader van de door de verwerkingsverantwoordelijke ter beschikking gestelde persoonsgegevens.

Artikel 3. Onderwerp van deze verwerkersovereenkomst

3.1 De verwerker verwerkt de door of via de verwerkingsverantwoordelijke ter beschikking gestelde persoonsgegevens uitsluitend in opdracht van de verwerkingsverantwoordelijke en uitsluitend voor zover dat noodzakelijk is voor de uitvoering van de overeenkomst op grond waarvan de diensten van Dutchview information technology B.V. worden geleverd.

3.2 De verwerker zal de persoonsgegevens niet voor enig ander doel verwerken, tenzij dit noodzakelijk is ter voldoening aan een op de verwerker rustende wettelijke verplichting.

3.3 De verwerker verwerkt de persoonsgegevens zorgvuldig en in overeenstemming met de toepasselijke wet- en regelgeving, waaronder de Algemene Verordening Gegevensbescherming (AVG).

3.4 De verwerker is gerechtigd om gegevens die zodanig zijn geanonimiseerd dat deze niet meer tot een natuurlijke persoon herleidbaar zijn, te gebruiken voor statistische analyses, beveiliging, capaciteitsplanning en het verbeteren van de dienstverlening.

Artikel 4. Verplichtingen verwerker

4.1 De verwerker verwerkt gegevens ten behoeve van de verwerkingsverantwoordelijke, in overeenstemming met diens instructies.

4.2 De verwerker heeft geen zeggenschap over de ter beschikking gestelde persoonsgegevens. Zo neemt hij geen beslissingen over ontvangst en gebruik van de gegevens, de verstrekking aan derden en de duur van de opslag van gegevens. De zeggenschap over de persoonsgegevens verstrekt onder deze verwerkersovereenkomst komt nimmer bij de verwerker te berusten.

4.3 De verwerker zal bij de verwerking van persoonsgegevens in het kader van de in artikel 3 genoemde werkzaamheden, handelen in overeenstemming met de toepasselijke wet- en regelgeving betreffende de verwerking van persoonsgegevens. De verwerker zal alle redelijke instructies van de verwerkingsverantwoordelijke opvolgen, behoudens afwijkende wettelijke verplichtingen.

4.4 De verwerker zal te allen tijde op eerste verzoek van de verwerkingsverantwoordelijke ter beschikking gestelde persoonsgegevens met betrekking tot deze verwerkersovereenkomst ter hand stellen.

4.5 De verwerker stelt de verwerkingsverantwoordelijke te allen tijde in staat om binnen de wettelijke termijnen te voldoen aan de verplichtingen op grond van de AVG, meer in het bijzonder de rechten van betrokkenen, zoals, maar niet beperkt tot een verzoek om inzage, verbetering, aanvulling, verwijdering of afscherming van persoonsgegevens en het opvolgen van een gehonoreerd bezwaar.

4.6 De verwerker stelt de verwerkingsverantwoordelijke onmiddellijk in kennis als een instructie naar zijn oordeel inbreuk maakt op de AVG of op een andere bepaling over gegevensbescherming.

4.7 De verwerker verleent de verwerkingsverantwoordelijke bijstand bij het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de toezichthouder (artikel 35 en 36 AVG), rekening houdend met de aard van de verwerking en de informatie waarover de verwerker beschikt.

Artikel 5. Geheimhoudingsplicht

5.1 Personen in dienst van, dan wel werkzaam ten behoeve van de verwerker, evenals de verwerker zelf, zijn verplicht tot geheimhouding met betrekking tot de persoonsgegevens waarvan zij kennis kunnen nemen, behoudens voor zover een bij, of krachtens de wet gegeven voorschrift tot verstrekking verplicht. De medewerkers van de verwerker tekenen hiertoe een geheimhoudingsverklaring.

5.2 Indien de verwerker op grond van een wettelijke verplichting gegevens dient te verstrekken, zal de verwerker de grondslag van het verzoek en de identiteit van de verzoeker verifiëren en zal de verwerker de verwerkingsverantwoordelijke onmiddellijk, voorafgaand aan de verstrekking, ter zake informeren, tenzij wettelijke bepalingen dit verbieden.

Artikel 6. Meldplicht datalekken en beveiligingsincidenten

6.1 De verwerker zal de verwerkingsverantwoordelijke zo spoedig mogelijk, doch uiterlijk binnen 24 uur na de eerste ontdekking, informeren over alle (vermoedelijke) inbreuken op de beveiliging alsmede andere incidenten die op grond van wetgeving moeten worden gemeld aan de toezichthouder of betrokkene, onverminderd de verplichting de gevolgen van dergelijke inbreuken en incidenten zo snel mogelijk ongedaan te maken dan wel te beperken. Verwerker zal voorts, op het eerste verzoek van de verwerkingsverantwoordelijke, alle inlichtingen verschaffen die de verwerkingsverantwoordelijke noodzakelijk acht om het incident te kunnen beoordelen. Daarbij verschaft verwerker in ieder geval de informatie aan de verwerkingsverantwoordelijke zoals omschreven in bijlage 1.

6.2 De verwerker beschikt over een gedegen plan van aanpak betreffende de omgang met en afhandeling van inbreuken en zal de verwerkingsverantwoordelijke, op diens verzoek, inzage verschaffen in het plan. Verwerker stelt de verwerkingsverantwoordelijke op de hoogte van materiële wijzigingen in het plan van aanpak.

6.3 De verwerker zal het doen van meldingen aan de toezichthouder(s) en betrokkenen overlaten aan de verwerkingsverantwoordelijke. Verwerker verleent verwerkingsverantwoordelijke bijstand op verzoek van de verwerkingsverantwoordelijke en voor zover redelijk.

6.4 De verwerker zal alle noodzakelijke medewerking verlenen aan het zo nodig, op de kortst mogelijke termijn, verschaffen van aanvullende informatie aan de toezichthouder(s) en/of betrokkene(n). Daarbij verschaft verwerker in ieder geval de informatie, zoals beschreven in bijlage 1, aan de verwerkingsverantwoordelijke.

6.5 De verwerker houdt een gedetailleerd logboek bij van alle (vermoedens van) inbreuken op de beveiliging, evenals de maatregelen die in vervolg op dergelijke inbreuken zijn genomen waarin minimaal de informatie zoals bedoeld in bijlage 1 is opgenomen, en geeft daar op eerste verzoek van de verwerkingsverantwoordelijke inzage in.

Artikel 7. Beveiligingsmaatregelen en controle

7.1 De verwerker is gecertificeerd voor ISO/IEC 27001 en ISO 9001 en onderhoudt een informatiebeveiligingsmanagementsysteem dat periodiek wordt geëvalueerd en verbeterd.

7.2 De verwerker treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking.

7.3 Deze maatregelen waarborgen een op het risico afgestemd beveiligingsniveau, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking.

7.4 De verwerkingsverantwoordelijke kan de naleving van deze verwerkersovereenkomst verifiëren. De verwerker zal hiertoe redelijke medewerking verlenen door het beschikbaar stellen van relevante documentatie over de beveiligingsmaatregelen en processen.

7.5 Een eventuele audit door of namens de verwerkingsverantwoordelijke vindt uitsluitend plaats na voorafgaande schriftelijke aankondiging en met inachtneming van redelijke termijnen, vertrouwelijkheid en minimale verstoring van de bedrijfsvoering van de verwerker.

7.6 De kosten van een dergelijke audit komen voor rekening van de verwerkingsverantwoordelijke, tenzij uit de audit blijkt dat de verwerker in materiële mate tekortschiet in de naleving van deze verwerkersovereenkomst.

Artikel 8. Inschakeling derden

8.1 De verwerker kan bij de uitvoering van de dienstverlening gebruikmaken van derden (subverwerkers).

8.2 De verwerker draagt er zorg voor dat met deze subverwerkers schriftelijke afspraken worden gemaakt die minimaal dezelfde verplichtingen inzake gegevensbescherming bevatten als opgenomen in deze verwerkersovereenkomst.

8.3 De verwerker blijft te allen tijde verantwoordelijk voor de nakoming van de verplichtingen van deze subverwerkers.

8.4 De verwerkingsverantwoordelijke kan bezwaar maken tegen het inschakelen van een nieuwe subverwerker indien daarvoor een gerechtvaardigde reden bestaat in verband met de bescherming van persoonsgegevens.

8.5 De verwerker informeert de verwerkingsverantwoordelijke voorafgaand aan het inschakelen van een nieuwe subverwerker.

8.6 De verwerker host en bewaart de persoonsgegevens uitsluitend binnen de Europese Economische Ruimte (EER). Doorgifte naar of toegang vanuit een land buiten de EER vindt uitsluitend plaats door de subverwerkers op de subverwerkerspagina (artikel 8.7), met de daar genoemde passende waarborgen als bedoeld in hoofdstuk V van de AVG, of na voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke.

8.7 De subverwerkers die de verwerker inschakelt, met hun rol, de plaats van verwerking en de waarborgen, staan op de subverwerkerspagina van de verwerker: www.dutchview.com/subprocessors. Met deze verwerkersovereenkomst geeft de verwerkingsverantwoordelijke algemene toestemming voor het inschakelen van die subverwerkers. De verwerker houdt de pagina actueel, vermeldt de datum van de laatste wijziging en informeert de verwerkingsverantwoordelijke vooraf over een nieuwe of gewijzigde subverwerker, waarna artikel 8.4 van toepassing is. Op verzoek verstrekt de verwerker de lijst zoals die gold op de datum van ondertekening.

Artikel 9. Wijziging en beëindigen verwerkersovereenkomst

9.1 Wijziging van deze verwerkersovereenkomst kan slechts schriftelijk plaatsvinden middels een door beide partijen geaccordeerd voorstel.

9.2 Zodra de samenwerking is beëindigd, zal de verwerker naar keuze van de verwerkingsverantwoordelijke (i) alle of een door verwerkingsverantwoordelijke bepaald gedeelte van haar in het kader van deze verwerkersovereenkomst ter beschikking gestelde persoonsgegevens aan de verwerkingsverantwoordelijke ter beschikking stellen, of (ii) de persoonsgegevens die hij van de verwerkingsverantwoordelijke heeft ontvangen op alle locaties vernietigen, in welke vorm dan ook, en dit aantonen, tenzij partijen iets anders overeenkomen. De verwerkingsverantwoordelijke kan zo nodig nadere eisen stellen aan de wijze van beschikbaarstelling, waaronder eisen aan het bestandsformaat, dan wel vernietiging. Deze werkzaamheden moeten binnen 30 dagen na afloop van deze verwerkersovereenkomst uitgevoerd worden en hiervan wordt een verslag gemaakt.

9.3 De verwerker stelt de in het vorige lid bedoelde persoonsgegevens op verzoek van de verwerkingsverantwoordelijke ter beschikking in een gestructureerd, gangbaar en machineleesbaar formaat (Excel en PDF), binnen 30 dagen na afloop van deze verwerkersovereenkomst en zonder verlies van gegevens. Daarna verwijdert de verwerker de persoonsgegevens uit de productieomgeving. Back-ups verlopen volgens het vaste back-upschema van de verwerker (maximaal 180 dagen) en worden in die periode niet teruggezet, behalve op verzoek van de verwerkingsverantwoordelijke.

9.4 Verwerkingsverantwoordelijke en verwerker treden met elkaar in overleg over wijzigingen in deze verwerkersovereenkomst als een wijziging in regelgeving of een wijziging in de uitleg van regelgeving daartoe aanleiding geven.

9.5 Indien een partij tekortschiet in de nakoming van een overeengekomen verplichting, kan de andere partij haar in gebreke stellen waarbij de nalatige partij alsnog een redelijke termijn voor de nakoming wordt gegund. Blijft nakoming ook dan uit, dan is de nalatige partij in verzuim. Ingebrekestelling is niet nodig wanneer voor de nakoming een fatale termijn geldt, nakoming blijvend onmogelijk is of indien uit een mededeling dan wel de houding van de andere partij moet worden afgeleid dat deze in de nakoming van haar verplichting zal tekortschieten.

9.6 De verwerkingsverantwoordelijke is gerechtigd, onverminderd hetgeen daartoe bepaald is in de verwerkersovereenkomst en de daarmee samenhangende hoofdovereenkomst, en onverminderd hetgeen overigens in de wet is bepaald, de uitvoering van deze verwerkersovereenkomst door middel van een aangetekend schrijven op te schorten, dan wel zonder rechterlijke tussenkomst met onmiddellijke ingang geheel of gedeeltelijk te ontbinden, nadat verwerkingsverantwoordelijke constateert dat:

verwerker (voorlopige) surseance van betaling aanvraagt; of
verwerker zijn faillissement aanvraagt of in staat van faillissement wordt verklaard; of
de onderneming van verwerker wordt ontbonden; of
verwerker zijn onderneming staakt; of
sprake is van een ingrijpende wijziging in de zeggenschap over de activiteiten van de onderneming van verwerker die maakt dat het in alle redelijkheid niet van de verwerkingsverantwoordelijke kan worden verwacht dat zij de verwerkersovereenkomst in stand houdt; of
op een aanmerkelijk deel van het vermogen van verwerker beslag wordt gelegd (anders dan door de verwerkingsverantwoordelijke); of
verwerker aantoonbaar tekortschiet in de nakoming van de verplichtingen die voortvloeien uit deze verwerkersovereenkomst en die ernstige toerekenbare tekortkoming niet binnen 30 dagen is hersteld na een daartoe strekkende schriftelijke ingebrekestelling dan wel een van de overige situaties bedoeld in artikel 9.5 zich voordoet.

9.7 Verwerker informeert ogenblikkelijk de verwerkingsverantwoordelijke indien een faillissement dreigt dan wel surseance van betaling, zodat de verwerkingsverantwoordelijke tijdig kan beslissen de persoonsgegevens terug te vorderen alvorens faillissement wordt uitgesproken.

9.8 Verwerkingsverantwoordelijke is gerechtigd deze verwerkersovereenkomst en de hoofdovereenkomst per direct te ontbinden indien verwerker te kennen geeft niet (langer) te kunnen voldoen aan de betrouwbaarheidseisen die op grond van ontwikkelingen in de wet en/of de rechtspraak aan de verwerking van de persoonsgegevens worden gesteld.

9.9 Indien de verwerkersovereenkomst voortijdig wordt beëindigd is artikel 9.2 en 9.3 van overeenkomstige toepassing.

9.10 Beëindiging of afloop van deze verwerkersovereenkomst ontslaat verwerker niet van zijn verplichtingen die bedoeld zijn om na de beëindiging of afloop van de verwerkersovereenkomst van kracht te blijven, inclusief de verplichtingen die voortvloeien uit de artikelen 5, 7, 9, 10 en 11.

Artikel 10. Aansprakelijkheid

10.1 Indien de verwerker tekortschiet in de nakoming van de verplichting uit deze verwerkersovereenkomst kan verwerkingsverantwoordelijke hem in gebreke stellen. Verwerker is echter onmiddellijk in gebreke als de nakoming van desbetreffende verplichting anders dan door overmacht binnen de overeengekomen termijn, reeds blijvend onmogelijk is. Ingebrekestelling geschiedt schriftelijk, waarbij aan de verwerker een redelijke termijn wordt gegund om alsnog zijn verplichtingen na te komen. Indien nakoming binnen deze termijn uitblijft, is verwerker in verzuim.

10.2 De verwerker is aansprakelijk voor schade die het gevolg is van een toerekenbare tekortkoming in de nakoming van deze verwerkersovereenkomst of van een aan hem toe te rekenen overtreding van de AVG, overeenkomstig de verdeling van artikel 82 AVG. Deze aansprakelijkheid is per gebeurtenis en per kalenderjaar beperkt tot het bedrag dat de verwerkingsverantwoordelijke in de twaalf maanden voorafgaand aan de gebeurtenis voor de dienstverlening heeft betaald. Deze beperking geldt niet bij opzet of bewuste roekeloosheid van de verwerker.

10.3 Verwerkingsverantwoordelijke vrijwaart verwerker voor schade of nadeel voor zover de gronden daarvoor uitsluitend aan de verwerkingsverantwoordelijke kunnen worden toegerekend.

Artikel 11. Toepasselijk recht

11.1 Op deze verwerkersovereenkomst en op alle geschillen die daaruit mogen voortvloeien of daarmee mogen samenhangen, is het Nederlands recht van toepassing.

Ondertekening: deze verwerkersovereenkomst wordt ondertekend door de verwerkingsverantwoordelijke en de verwerker, of is van toepassing als onderdeel van de overeenkomst waarin de verwerkingsverantwoordelijke ernaar verwijst.

Bijlage 1: Inlichtingen om incidenten te beoordelen

De verwerker zal alle inlichtingen verschaffen die de verwerkingsverantwoordelijke noodzakelijk acht om het incident te kunnen beoordelen. Daarbij verschaft verwerker in ieder geval de volgende informatie aan de verwerkingsverantwoordelijke:

wat de (vermeende) oorzaak is van de inbreuk;
wat het (vooralsnog bekende en/of te verwachten) gevolg is;
wat de (voorgestelde) oplossing is;
contactgegevens voor de opvolging van de melding;
aantal personen waarvan gegevens betrokken zijn bij de inbreuk (indien geen exact aantal bekend is: het minimale en maximale aantal personen waarvan gegevens betrokken zijn bij de inbreuk);
een omschrijving van de groep personen van wie gegevens betrokken zijn bij de inbreuk;
het soort of de soorten persoonsgegevens die betrokken zijn bij de inbreuk;
de datum waarop de inbreuk heeft plaatsgevonden (indien geen exacte datum bekend is: de periode waarbinnen de inbreuk heeft plaatsgevonden);
de datum en het tijdstip waarop de inbreuk bekend is geworden bij verwerker of bij een door hem ingeschakelde derde of onderaannemer;
of de gegevens versleuteld, gehasht of op een andere manier onbegrijpelijk of ontoegankelijk zijn gemaakt voor onbevoegden;
wat de reeds ondernomen maatregelen zijn om de inbreuk te beëindigen en om de gevolgen van de inbreuk te beperken.

Bijlage 2: Subverwerkers

De actuele subverwerkers staan op de subverwerkerspagina van de verwerker (artikel 8.7).

Bijlage 3: Aard en doel van de verwerking

Hieronder staat per product welke gegevens worden verwerkt. Voor u geldt het product dat u afneemt.

Ed Controls (SaaS)

Aard en doel: management en communicatie in (bouw)projecten. De verwerking is noodzakelijk om de verwerkingsverantwoordelijke en haar gebruikers het systeem te laten gebruiken, waaronder het toebedelen van taken, het delen van projectinformatie en het zoeken van gebruikers op basis van e-mailadres.

Categorieën persoonsgegevens: identificatie-, contact- en autorisatiegegevens van gebruikers (waaronder naam, e-mailadres, organisatie en projectrol), de vastlegging van wie wat wanneer heeft aangemaakt, gewijzigd of afgehandeld, de positie van een bevinding op de tekening (geen locatie van personen of apparaten) en door gebruikers ingevoerde inhoud zoals foto's, vrije tekst en handtekeningen.

Categorieën betrokkenen: medewerkers van de verwerkingsverantwoordelijke en overige gebruikers aan wie via het systeem informatie wordt verstrekt of taken worden toebedeeld, zoals projectdeelnemers en onderaannemers.

Bewaartermijn: de verwerkingsverantwoordelijke bepaalt de bewaartermijn; als uitgangspunt geldt tot tien jaar na oplevering van het project, waarna de gegevens worden gewist of overgedragen aan de verwerkingsverantwoordelijke (artikel 9).

Locatie van de verwerking: binnen de EER (zie artikel 8.6).

Flexwhere (SaaS)

Aard en doel: ondersteuning van flexibel werken, waaronder het reserveren van werkplekken, vergaderruimtes en parkeerplaatsen en het vinden van collega’s op naam of functie.

Categorieën persoonsgegevens: identificatie- en autorisatiegegevens van medewerkers, locatiegegevens binnen het systeem en reserveringsgegevens.

Categorieën betrokkenen: medewerkers van de verwerkingsverantwoordelijke.

Bewaartermijn: gedurende de looptijd van de overeenkomst; na afloop worden de gegevens op verzoek binnen 30 dagen teruggegeven en daarna uit de productieomgeving gewist, back-ups verlopen binnen maximaal 180 dagen (artikel 9).

Locatie van de verwerking: binnen de EER (zie artikel 8.6).