Verwerkersovereenkomst maken, AVG-conform in 5 minuten.
Een verwerkersovereenkomst die voldoet aan artikel 28 AVG. Verplicht wanneer jij persoonsgegevens verwerkt namens een klant, of zelf een verwerker inschakelt.
Verwerkersovereenkomst, art. 28 AVG
Art. 1 Onderwerp & doel
Verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van verantwoordelijke, ten behoeve van: het beheren en versturen van afspraakherinneringen.
Art. 2 Categorieën gegevens
De volgende categorieën persoonsgegevens worden verwerkt: naam, telefoonnummer, e-mailadres en afspraakdatum.
Art. 3 Bewaartermijn
Persoonsgegevens worden bewaard gedurende 1 jaar na afspraak, waarna ze worden gewist of geanonimiseerd.
Art. 4 Beveiligingsmaatregelen
Verwerker treft passende technische en organisatorische maatregelen, waaronder encryptie van gegevens in rust en in transit, toegangscontrole op basis van rolprofielen en periodieke audits.
Art. 5 Sub-verwerkers
Inschakeling van een sub-verwerker geschiedt slechts na voorafgaande schriftelijke toestemming, waarbij verwerker dezelfde verplichtingen oplegt als in deze overeenkomst zijn opgenomen.
Art. 6 Datalekken
Verwerker meldt een (vermoeden van) datalek aan verantwoordelijke binnen 48 uur na ontdekking, vergezeld van alle relevante informatie om aan de meldplicht aan de AP te voldoen.
Art. 8 Beëindiging
Bij einde van de overeenkomst worden alle persoonsgegevens en kopieën gewist of teruggegeven, naar keuze van verantwoordelijke.
Drie situaties waarin de AVG een verwerkersovereenkomst eist.
Onder de AVG (art. 28) is een verwerkersovereenkomst verplicht zodra een externe partij persoonsgegevens verwerkt namens een ander. Zonder zo'n overeenkomst loop je beide risico.
Software waar klantdata in zit
Heb je een SaaS-platform en verwerken jouw klanten daarin persoonsgegevens? Dan ben jij verwerker en moet je een verwerkersovereenkomst kunnen overleggen.
Met toegang tot CRM of klantenlijst
Voer je e-mailcampagnes uit op basis van een klantenbestand van je opdrachtgever? Dan verwerk je hun gegevens, overeenkomst verplicht.
Bouw je iets met klantdata?
Een webshop, CRM-koppeling, een dashboard met klantgegevens, zodra je toegang hebt of bouwt, ben je verwerker. Een verwerkersovereenkomst voorkomt boetes voor beide partijen.
Van leeg sjabloon naar AVG-conform contract.
Beschrijf de verwerking
Wat verwerk je, voor wie, en met welk doel? Concreet, niet 'alle technische data'.
Gegevens: naam, tel, datum
Bewaartermijn: 1 jaar
Stel beveiliging en doorgifte in
Encryptie, sub-verwerkers, internationale doorgifte, vink wat van toepassing is.
✓ Sub-verwerkers (met akkoord)
Doorgifte EU: uit
Verstuur ter ondertekening
Eén klik, beide DPO's tekenen. Bewaar in je verwerkingsregister voor AP-audits.
✓ Getekend · 19 mei
✓ Gearchiveerd in register
Wat moet er minimaal in een verwerkersovereenkomst staan?
Artikel 28 AVG schrijft acht punten verplicht voor. Ontbreekt er één, dan voldoet de overeenkomst niet en kan de AP boetes opleggen.
Onderwerp, duur en aard
Wat wordt verwerkt, voor hoe lang, en met welk doel. Specifiek genoeg om geen ruimte voor interpretatie te laten.
Categorieën van betrokkenen en gegevens
Wie zijn de personen wiens data wordt verwerkt, en welke soort gegevens (gewone, gevoelige, bijzondere).
Schriftelijke instructies
Verwerker handelt uitsluitend op basis van schriftelijke instructies van de verantwoordelijke.
Geheimhoudingsplicht
Iedereen die toegang heeft tot de gegevens is gebonden aan geheimhouding.
Beveiligingsmaatregelen (art. 32)
Encryptie, toegangscontrole, periodieke testen, passend bij het risico.
Sub-verwerkers (art. 28 lid 2)
Schriftelijke toestemming verantwoordelijke; sub-verwerker krijgt dezelfde verplichtingen.
Audit-recht voor verantwoordelijke
De klant mag controleren of verwerker de afspraken nakomt, eventueel via een externe auditor.
Datalekken en hulp bij verzoeken
Snelle melding van datalekken; assistentie bij verzoeken van betrokkenen (inzage, verwijdering, etc.).