Verwerkersovereenkomst
Concept Deze tekst is nog niet juridisch getoetst en kan nog veranderen.
Versie [DATUM]. Deze overeenkomst geldt tussen de Organisatie (verwerkingsverantwoordelijke) en [BEDRIJFSNAAM B.V.] (Klopt, verwerker), en voldoet aan artikel 28 AVG. Begrippen uit de algemene voorwaarden hebben hier dezelfde betekenis.
1. Onderwerp
1.1 Klopt verwerkt persoonsgegevens van Cliënten uitsluitend in opdracht van de Organisatie, om hun identiteit op afstand te verifiëren. Bijlage 1 beschrijft de verwerkingen.
1.2 Klopt verwerkt de gegevens alleen op schriftelijke instructie van de Organisatie. De overeenkomst en het aanmaken van een Verificatieverzoek gelden als instructie. Klopt meldt het als zij een instructie in strijd met de wet acht.
2. Verantwoordelijkheden van de Organisatie
2.1 De Organisatie zorgt dat zij een grondslag heeft voor de verwerking, en voor de biometrische vergelijking een uitzonderingsgrond onder artikel 9 AVG.
2.2 De Organisatie informeert haar Cliënten en biedt hen een andere manier om zich te identificeren.
2.3 De Organisatie vraagt het BSN alleen op als zij daarvoor een wettelijke grondslag heeft en Klopt die heeft vastgesteld.
3. Geheimhouding
Klopt zorgt dat iedereen die de gegevens verwerkt tot geheimhouding is verplicht. Medewerkers van Klopt hebben geen toegang tot het Bewijs van verificaties.
4. Beveiliging
Klopt neemt passende technische en organisatorische maatregelen, zoals beschreven in Bijlage 3, en houdt die bij volgens de stand van de techniek.
5. Subverwerkers
5.1 De Organisatie geeft algemene toestemming voor de subverwerkers in Bijlage 2.
5.2 Klopt meldt een nieuwe of vervangende subverwerker ten minste [TERMIJN] van tevoren. De Organisatie kan op redelijke gronden bezwaar maken en, als partijen er niet uitkomen, de overeenkomst opzeggen.
5.3 Klopt legt subverwerkers dezelfde verplichtingen op als in deze overeenkomst en blijft aansprakelijk voor hun nakoming.
6. Doorgifte
Klopt geeft geen persoonsgegevens door naar landen buiten de EER zonder passende waarborgen in de zin van hoofdstuk V AVG. [TE BEVESTIGEN PER SUBVERWERKER]
7. Bijstand
7.1 Klopt helpt de Organisatie bij verzoeken van betrokkenen. Een verzoek dat Klopt rechtstreeks ontvangt, stuurt zij binnen [TERMIJN] werkdagen door.
7.2 Klopt verleent redelijke bijstand bij een DPIA en bij voorafgaande raadpleging van de Autoriteit Persoonsgegevens.
8. Datalekken
8.1 Klopt meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen [24/48] uur nadat zij die heeft ontdekt.
8.2 De melding bevat ten minste de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.
8.3 De Organisatie beslist over melding aan de Autoriteit Persoonsgegevens en aan betrokkenen.
9. Bewaren en verwijderen
9.1 Klopt verwijdert het Bewijs en de verwachte identiteit van een Verificatieverzoek 30 dagen nadat het is afgerond. Het verwijderen gebeurt automatisch, elk uur.
9.2 Klopt bewaart daarna alleen gegevens zonder persoonsgegevens: de status, de uitkomst, de referentie en tijdstippen van het verzoek, en het logboek van opvragingen van Bewijs.
9.3 Bij het einde van de overeenkomst verwijdert Klopt het resterende Bewijs binnen 30 dagen, tenzij de Organisatie vraagt het eerder te verwijderen.
10. Audit
Klopt stelt de informatie beschikbaar die nodig is om naleving aan te tonen. De Organisatie mag eenmaal per jaar, of na een incident, een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht, op eigen kosten en met een aankondiging van [TERMIJN]. [EVENTUEEL: een geldig ISO 27001-certificaat of auditrapport kan een audit vervangen.]
11. Aansprakelijkheid en duur
11.1 Voor aansprakelijkheid geldt artikel 12 van de algemene voorwaarden, behalve voor boetes of schade die het gevolg zijn van een overtreding van de AVG door Klopt.
11.2 Deze overeenkomst loopt zolang Klopt persoonsgegevens voor de Organisatie verwerkt.
Bijlage 1: De verwerking
| Onderdeel | Beschrijving |
|---|---|
| Doel | Identiteit van Cliënten op afstand vaststellen en verifiëren, ten behoeve van het cliëntenonderzoek van de Organisatie |
| Betrokkenen | Cliënten en potentiële cliënten van de Organisatie |
| Persoonsgegevens | Verwachte naam en geboortedatum; foto's van het identiteitsbewijs en een selfie; gegevens op het document (naam, geboortedatum, nationaliteit, geboorteplaats, documentsoort, -nummer, land, datum van afgifte en geldigheid); uitkomsten en scores van de controles; technische context (kanaal, overstap van computer naar telefoon); tijdstippen |
| Bijzondere gegevens | Biometrische gegevens voor de vergelijking van selfie en documentfoto (art. 9 AVG) |
| BSN | Wordt verwijderd en onleesbaar gemaakt, tenzij de Organisatie daarvoor door Klopt is goedgekeurd en het verzoek erom vraagt |
| Bewaartermijn | 30 dagen na het afronden van het Verificatieverzoek |
Bijlage 2: Subverwerkers
| Subverwerker | Wat | Locatie |
|---|---|---|
| Mitek Systems | Controle van echtheid van het document, gezichtsvergelijking, levendheid en detectie van injectie-aanvallen | [TE BEVESTIGEN, EU-omgeving] |
| [HOSTINGPARTIJ] | Hosting van de dienst en de database | [LOCATIE] |
Bijlage 3: Beveiligingsmaatregelen
- Bewijs wordt versleuteld opgeslagen; de sleutel staat niet bij de gegevens.
- Medewerkers van Klopt kunnen het Bewijs van echte verificaties niet inzien; zij zien alleen gegevens zonder persoonsgegevens.
- Medewerkers loggen in met wachtwoord en een tweede factor (TOTP).
- Toegangsgegevens van partners en de links naar cliënten worden alleen als hash opgeslagen; een link werkt voor één verzoek.
- Iedere opvraging van Bewijs wordt gelogd, met tijdstip en partij.
- Meldingen (webhooks) aan partners zijn ondertekend en bevatten geen persoonsgegevens.
- Alle verbindingen zijn versleuteld (TLS); de pagina's hebben een strikte Content Security Policy.
- Het BSN wordt verwijderd uit tekst en beeld; de QR-code op de achterkant van Nederlandse documenten wordt niet uitgelezen.
- Persoonsgegevens worden na 30 dagen automatisch verwijderd.
- [AANVULLEN: back-ups, monitoring, kwetsbaarhedenbeheer, pentests, certificeringen]