Verwerkersovereenkomst

Deze Verwerkersovereenkomst maakt integraal onderdeel uit van de overeenkomst tussen de Klant en Drivio.

1. Partijen

Verwerkingsverantwoordelijke: de Klant die gebruikmaakt van Drivio. Verwerker: Axonix, handelend onder de naam Drivio.

2. Onderwerp

Drivio verwerkt in opdracht van de Klant persoonsgegevens voor het beschikbaar stellen van het Drivio-platform. De verwerking duurt zolang de dienstverleningsovereenkomst tussen partijen voortduurt en, voor zover noodzakelijk, gedurende de daaropvolgende verwijder- en back-upperiode.

3. Doeleinden

Drivio verwerkt persoonsgegevens uitsluitend voor:

• hosting;
• opslag;
• planning;
• administratie;
• accountbeheer;
• leerlingenadministratie;
• communicatie;
• rapportage;
• facturatiefunctionaliteiten;
• technische ondersteuning;
• beveiliging;
• back-up en herstel;
• overige door de Klant gebruikte Drivio-functionaliteiten.

Drivio verwerkt deze persoonsgegevens niet voor eigen zelfstandige doeleinden, tenzij daarvoor een afzonderlijke wettelijke grondslag bestaat en Drivio voor die specifieke verwerking zelf verwerkingsverantwoordelijke is.

4. Categorieën betrokkenen

De verwerking kan onder andere betrekking hebben op:

• leerlingen;
• voormalige leerlingen;
• rijinstructeurs;
• medewerkers;
• beheerders;
• contactpersonen;
• vertegenwoordigers van klanten.

5. Categorieën persoonsgegevens

Afhankelijk van het gebruik door de Klant kan Drivio onder andere verwerken:

• naam;
• adres;
• e-mailadres;
• telefoonnummer;
• geboortedatum;
• gebruikersinformatie;
• afspraken;
• opleiding;
• leshistorie;
• instructeursinformatie;
• examengegevens;
• financiële administratieve gegevens;
• facturen;
• betaalstatus;
• notities;
• technische metadata.

De Klant bepaalt welke gegevens hij daadwerkelijk in Drivio invoert.

6. Instructies

1. Drivio verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Klant, tenzij een wettelijke verplichting anders vereist. 2. De overeenkomst, instellingen binnen Drivio en rechtmatige verzoeken van geautoriseerde beheerders gelden als gedocumenteerde instructies. 3. Indien Drivio van oordeel is dat een instructie in strijd is met de AVG of andere toepasselijke privacywetgeving, stelt Drivio de Klant daarvan op de hoogte.

7. Geheimhouding

Personen die onder gezag van Drivio toegang hebben tot persoonsgegevens:

• krijgen uitsluitend toegang voor zover dit noodzakelijk is;
• zijn gehouden aan passende vertrouwelijkheidsverplichtingen;
• krijgen passende instructies over gegevensbescherming en beveiliging.

8. Beveiliging

Drivio treft passende technische en organisatorische beveiligingsmaatregelen, rekening houdend met:

• de stand van de techniek;
• uitvoeringskosten;
• aard en omvang van de verwerking;
• risico's voor betrokkenen.

Maatregelen kunnen onder andere omvatten:

• TLS/HTTPS;
• toegangscontrole;
• autorisatierollen;
• logging;
• patchmanagement;
• beveiligde authenticatie;
• databasebeveiliging;
• back-ups;
• monitoring;
• scheiding tussen klantomgevingen;
• periodieke beoordeling van beveiligingsmaatregelen.

Drivio mag beveiligingsmaatregelen aanpassen wanneer dit nodig is om het beschermingsniveau te verbeteren, zolang het algemene beschermingsniveau daardoor niet wezenlijk wordt verminderd.

9. Datalekken

1. Drivio informeert de Klant zonder onredelijke vertraging zodra Drivio kennis heeft genomen van een datalek met betrekking tot persoonsgegevens die voor de Klant worden verwerkt. 2. Drivio verstrekt voor zover beschikbaar informatie over:

• de aard van het incident;
• betrokken systemen;
• categorieën gegevens;
• mogelijke gevolgen;
• genomen of voorgenomen maatregelen.

3. Indien nog niet alle informatie beschikbaar is, kan deze gefaseerd worden verstrekt. 4. De Klant blijft als verwerkingsverantwoordelijke verantwoordelijk voor de beoordeling of melding aan de Autoriteit Persoonsgegevens en/of betrokkenen vereist is. 5. Drivio ondersteunt de Klant hierbij voor zover redelijkerwijs noodzakelijk.

10. Rechten van betrokkenen

Drivio ondersteunt de Klant, rekening houdend met de aard van de verwerking, bij verzoeken inzake:

• inzage;
• correctie;
• verwijdering;
• beperking;
• gegevensoverdraagbaarheid;
• bezwaar.

Wanneer een betrokkene zich rechtstreeks tot Drivio wendt over gegevens waarvoor de Klant verantwoordelijk is, stuurt Drivio het verzoek waar passend door naar de Klant.

11. Subverwerkers

1. De Klant verleent Drivio algemene toestemming voor het gebruik van subverwerkers die nodig zijn voor de dienstverlening. 2. Drivio houdt een actuele lijst bij van relevante subverwerkers. 3. Nieuwe materiële subverwerkers worden volgens een redelijke kennisgevingsprocedure gemeld. 4. Met subverwerkers worden privacyverplichtingen overeengekomen die passend zijn bij de verwerking. 5. Drivio blijft tegenover de Klant verantwoordelijk voor de nakoming van de aan een subverwerker opgelegde gegevensbeschermingsverplichtingen voor zover de AVG dat voorschrijft.

12. Doorgifte buiten de EER

Wanneer een subverwerker persoonsgegevens buiten de EER verwerkt, zorgt Drivio voor een wettelijk toegestane doorgiftegrondslag, zoals:

• een adequaatheidsbesluit;
• standaardcontractbepalingen van de Europese Commissie;
• een andere rechtsgeldige doorgiftemechanisme.

13. DPIA en voorafgaande raadpleging

Drivio verleent, rekening houdend met de aard van de verwerking en beschikbare informatie, redelijke ondersteuning indien de Klant voor zijn gebruik van Drivio een gegevensbeschermingseffectbeoordeling moet uitvoeren.

14. Audits

1. Drivio stelt informatie beschikbaar die redelijkerwijs nodig is om naleving van de verplichtingen uit deze Verwerkersovereenkomst aan te tonen. 2. Indien aanvullende controle noodzakelijk is, kunnen partijen afspraken maken over een audit. 3. Audits:

• worden vooraf aangekondigd;
• vinden tijdens normale werktijden plaats;
• mogen de dienstverlening niet onnodig verstoren;
• houden rekening met beveiliging en vertrouwelijkheid van andere klanten.

4. Kosten van een door de Klant gewenste aanvullende audit komen in beginsel voor rekening van de Klant, tenzij daaruit een materiële tekortkoming van Drivio blijkt.

15. Verwijdering na beëindiging

Na beëindiging van de dienstverlening zal Drivio, naar gelang de toepasselijke afspraken:

• persoonsgegevens verwijderen;
• persoonsgegevens retourneren/exporteerbaar maken; of
• persoonsgegevens anonimiseren.

Dit geldt niet voor gegevens die Drivio wettelijk moet bewaren. Gegevens die nog tijdelijk in beveiligde back-ups aanwezig zijn worden niet opnieuw voor normale bedrijfsdoeleinden gebruikt en verdwijnen via de reguliere back-upcyclus.

16. Verantwoordelijkheid Klant

De Klant is verantwoordelijk voor:

• de rechtmatigheid van de persoonsgegevens die hij verwerkt;
• een geldige AVG-grondslag;
• informatie aan betrokkenen;
• correcte inrichting van gebruikersrechten;
• instructies aan eigen medewerkers;
• het tijdig verwijderen van accounts van voormalige medewerkers;
• het beoordelen welke persoonsgegevens noodzakelijk zijn.

17. Rangorde

Bij tegenstrijdigheid tussen deze Verwerkersovereenkomst en de algemene voorwaarden prevaleert deze Verwerkersovereenkomst voor zover het onderwerp de verwerking van persoonsgegevens betreft.