Verwerkersovereenkomst

Deze conceptovereenkomst is bedoeld als bijlage bij de zakelijke overeenkomst voor StartKlaar. De klant is verwerkingsverantwoordelijke voor persoonsgegevens die hij voor onboarding invoert. De aanbieder van StartKlaar handelt voor die gegevens als verwerker. De definitieve namen, adressen, vertegenwoordigers en ingangsdatum worden vóór ondertekening ingevuld.

De verwerking bestaat uit het opslaan, ordenen, tonen, bijwerken, beveiligen, exporteren en verwijderen van gegevens voor praktische onboarding. De verwerking duurt zolang de zakelijke overeenkomst loopt, aangevuld met overeengekomen verwijder- en back-uptermijnen.

Betrokkenen kunnen bestaan uit werkgeversgebruikers, nieuwe medewerkers en zakelijke contactpersonen. De beoogde gegevens zijn:

• naam, zakelijk of privé-e-mailadres en eventueel telefoonnummer;
• functie, afdeling, werklocatie, startdatum en begeleiding;
• taken, deadlines, status, zakelijke reacties en activiteitshistorie;
• account-, rol- en beperkte technische beveiligingsgegevens.

De dienst is niet ingericht voor bijzondere persoonsgegevens, BSN, identiteitsbewijzen, salarisgegevens, bankgegevens, medische gegevens of contractkopieën.

StartKlaar verwerkt persoonsgegevens uitsluitend volgens de gedocumenteerde instructies van de klant, voor zover deze rechtmatig zijn. Configuratie, gebruikershandelingen, supportverzoeken en de hoofdovereenkomst kunnen samen zulke instructies vormen. Als een instructie mogelijk in strijd is met privacywetgeving, meldt de verwerker dit waar toegestaan.

De beoogde maatregelen omvatten onder meer:

• organisatie-isolatie en autorisatie op server- en databaseniveau;
• versleutelde verbindingen en veilig beheer van geheimen;
• gehashte, intrekbare en vervallende medewerkerlinks;
• logging zonder onnodige persoonsgegevens, invoervalidatie en begrenzing van het aantal verzoeken;
• toegangsbeheer, herstelprocedures en periodieke technische controles.

Een definitieve beveiligingsbijlage met aantoonbare maatregelen wordt vóór productie toegevoegd.

Personen die onder verantwoordelijkheid van de verwerker toegang hebben tot persoonsgegevens, krijgen die toegang alleen voor hun taak en zijn gebonden aan geheimhouding. Toegang wordt beperkt volgens het beginsel van minimale bevoegdheden.

StartKlaar kan goedgekeurde subverwerkers inzetten voor hosting, database, e-mail en betalingen. De klant ontvangt vóór productie een actuele lijst en een passende wijzigingsprocedure. Doorgifte buiten de Europese Economische Ruimte vindt alleen plaats met een geldige grondslag en passende waarborgen.

StartKlaar verleent, rekening houdend met de aard van de verwerking, redelijke bijstand bij inzage-, correctie-, verwijderings-, beperkings- en overdrachtsverzoeken en bij privacy-effectbeoordelingen. Verzoeken die rechtstreeks binnenkomen en betrekking hebben op klantgegevens worden doorgestuurd naar de klant, tenzij de wet anders vereist.

Een bevestigd incident met klantgegevens wordt zonder onredelijke vertraging aan de klant gemeld. De melding bevat, voor zover beschikbaar, aard, omvang, mogelijke gevolgen en genomen maatregelen. Concrete meldtermijnen, contactkanalen en escalatieafspraken worden in de definitieve overeenkomst vastgelegd.

Na beëindiging worden klantgegevens op verzoek teruggegeven of verwijderd, behalve waar wettelijke bewaring geldt. StartKlaar verstrekt redelijke informatie om naleving aan te tonen en werkt onder passende voorwaarden mee aan controles. Frequentie, kosten, vertrouwelijkheid en auditprocedure worden vóór ondertekening vastgesteld.