Verwerkersovereenkomst

Deze Verwerkersovereenkomst is onderdeel van de Overeenkomst tussen EventDock B.V. ("EventDock") en de Klant en is van toepassing zodra EventDock bij het uitvoeren van de Overeenkomst persoonsgegevens verwerkt ten behoeve van de Klant.

Verwerkingsverantwoordelijke: De Klant bepaalt het doel en de middelen van de camerabewaking: waar de camera's staan, wat er in beeld komt, wie de beelden mag bekijken en hoe lang beelden worden bewaard. De Klant is daarmee verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 AVG.

Verwerker: EventDock verwerkt persoonsgegevens uitsluitend in opdracht en volgens instructie van de Klant en is daarmee verwerker in de zin van artikel 4 lid 8 AVG.

Eigen verwerkingen van EventDock: Voor gegevens die EventDock voor eigen doeleinden verwerkt (zoals klantadministratie, facturatie, contact en websitegebruik) is EventDock zelf verwerkingsverantwoordelijke. Daarop is het Privacybeleid van toepassing en niet deze Verwerkersovereenkomst.

Onderwerp: Het leveren, installeren, beheren en (optioneel) monitoren van tijdelijke camera- en beveiligingssystemen, inclusief het opslaan en beschikbaar stellen van camerabeelden.

Aard van de verwerking: Vastleggen, opslaan, doorgeven (streamen), bekijken, exporteren, wissen en beveiligen van beeldmateriaal en bijbehorende metadata.

Soorten persoonsgegevens: - Beeldmateriaal van personen die in het zicht van de camera's komen - Bijbehorende metadata zoals datum, tijd en locatie van opname - Bij ANPR-toepassingen: kentekens en voertuigkenmerken - Toegangs- en logbestanden van gebruikers van het beheerportaal

Categorieën betrokkenen: Bezoekers van de locatie, medewerkers en onderaannemers van de Klant, passanten en, bij ANPR, houders van geregistreerde voertuigen.

Duur: Deze Verwerkersovereenkomst geldt zolang EventDock persoonsgegevens verwerkt voor de Klant en eindigt na afronding van de Huurperiode en verwijdering van de gegevens conform artikel 10.

3.1. EventDock verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Klant en niet voor eigen doeleinden.

3.2. Instructies worden vastgelegd in de Overeenkomst, de opdrachtbevestiging en de instellingen die in het beheerportaal worden gekozen.

3.3. EventDock informeert de Klant onverwijld indien een instructie naar het oordeel van EventDock in strijd is met de AVG of andere toepasselijke wetgeving.

3.4. De Klant staat ervoor in dat er een geldige grondslag is voor de camerabewaking, dat een gerechtvaardigd belang is afgewogen, dat waar nodig een DPIA is uitgevoerd en dat betrokkenen op de locatie duidelijk worden geïnformeerd over de camerabewaking.

3.5. EventDock verwerkt geen bijzondere categorieën persoonsgegevens, tenzij dit onvermijdelijk voortvloeit uit beeldopnamen; de Klant is verantwoordelijk voor het beperken van de camerabeelden tot het noodzakelijke.

4.1. EventDock verplicht zich tot geheimhouding van alle persoonsgegevens die zij ten behoeve van de Klant verwerkt.

4.2. Medewerkers en ingeschakelde derden van EventDock zijn contractueel gebonden aan geheimhouding en krijgen uitsluitend toegang voor zover noodzakelijk voor hun taak (need-to-know).

4.3. De geheimhoudingsplicht blijft ook na beëindiging van de Overeenkomst van kracht.

EventDock treft passende technische en organisatorische maatregelen conform artikel 32 AVG, waaronder:

• Versleutelde verbindingen (TLS) voor het streamen en benaderen van beelden
• Versleutelde opslag van beeldmateriaal
• Accountbeveiliging met unieke inloggegevens en rolgebaseerde rechten
• Logging van toegang tot beelden en systeeminstellingen
• Fysieke beveiliging van apparatuur, sloten en behuizing van masten en cases
• Firmware- en software-updates op de camerasystemen
• Wachtwoordbeleid en autorisatiebeheer bij EventDock
• Periodieke controle van de configuratie voor en na elke huurperiode

De Klant is verantwoordelijk voor het zorgvuldig beheren van de eigen accounts, het beperken van de kring van gebruikers en het tijdig intrekken van toegang van vertrokken medewerkers.

6.1. De Klant geeft EventDock algemene toestemming voor het inschakelen van subverwerkers voor hosting, opslag, betalingsverwerking en communicatie.

6.2. EventDock legt aan subverwerkers ten minste dezelfde verplichtingen op als in deze Verwerkersovereenkomst zijn opgenomen.

6.3. Een actuele lijst van subverwerkers staat onderaan deze pagina. EventDock informeert de Klant vooraf over voorgenomen wijzigingen, zodat de Klant hiertegen bezwaar kan maken.

6.4. Blijft een bezwaar in stand en kan geen redelijk alternatief worden gevonden, dan mag de Klant het betreffende onderdeel van de Overeenkomst opzeggen zonder boete.

7.1. Camerabeelden worden opgeslagen en verwerkt binnen de Europese Economische Ruimte.

7.2. Voor ondersteunende diensten kan beperkte doorgifte buiten de EER voorkomen (bijvoorbeeld betalings- of e-maildienstverlening). In dat geval baseert EventDock de doorgifte op een adequaatheidsbesluit of op de standaardcontractbepalingen van de Europese Commissie, met aanvullende maatregelen waar nodig.

7.3. EventDock geeft geen persoonsgegevens door aan autoriteiten buiten de EER, tenzij zij daartoe wettelijk verplicht is; in dat geval informeert EventDock de Klant zodra dat is toegestaan.

8.1. Verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking of bezwaar) worden door de Klant als verwerkingsverantwoordelijke behandeld.

8.2. Ontvangt EventDock een verzoek dat de gegevens van de Klant betreft, dan verwijst EventDock de betrokkene naar de Klant en informeert de Klant hierover binnen 3 werkdagen.

8.3. EventDock verleent redelijke medewerking aan het uitvoeren van een verzoek, bijvoorbeeld door het opzoeken, exporteren of wissen van beeldfragmenten. Voor omvangrijke handmatige werkzaamheden kan EventDock kosten in rekening brengen tegen het geldende uurtarief, na voorafgaande opgave.

9.1. EventDock informeert de Klant zonder onredelijke vertraging en in ieder geval binnen 24 uur na ontdekking van een inbreuk in verband met persoonsgegevens.

9.2. De melding bevat, voor zover bekend: de aard van de inbreuk, de betrokken categorieën gegevens en betrokkenen, de vermoedelijke gevolgen en de getroffen of voorgestelde maatregelen.

9.3. EventDock verricht zelf geen melding bij de Autoriteit Persoonsgegevens of aan betrokkenen namens de Klant, tenzij dit schriftelijk anders is afgesproken. De Klant beoordeelt of melding vereist is.

9.4. EventDock ondersteunt de Klant bij onderzoek, beperking van de gevolgen en documentatie van het incident.

10.1. Camerabeelden worden bewaard conform de door de Klant ingestelde bewaartermijn. Standaard is dit 7 dagen; de wettelijke richtlijn voor camerabeelden is maximaal 4 weken, tenzij beelden nodig zijn voor de afhandeling van een incident.

10.2. Na afloop van de Huurperiode worden alle camerabeelden en bijbehorende metadata uiterlijk binnen 30 dagen definitief verwijderd, tenzij de Klant schriftelijk om eerdere verwijdering of om export verzoekt.

10.3. Op verzoek van de Klant stelt EventDock voorafgaand aan verwijdering een export beschikbaar in een gangbaar formaat.

10.4. Apparatuur wordt na retournering gewist voordat deze opnieuw wordt uitgegeven.

10.5. Gegevens die EventDock wettelijk moet bewaren (zoals facturatiegegevens) blijven buiten deze verwijderplicht.

11.1. EventDock stelt op verzoek informatie beschikbaar waarmee de Klant kan aantonen dat aan artikel 28 AVG wordt voldaan, zoals een overzicht van de getroffen beveiligingsmaatregelen en de subverwerkerslijst.

11.2. De Klant mag maximaal eenmaal per jaar een audit laten uitvoeren door een onafhankelijke deskundige, na aankondiging van ten minste 30 dagen en tijdens kantooruren.

11.3. De kosten van de audit komen voor rekening van de Klant, tenzij uit de audit blijkt dat EventDock tekortschiet in de naleving van deze Verwerkersovereenkomst.

11.4. Bij een vastgestelde tekortkoming herstelt EventDock deze binnen een redelijke termijn.

12.1. Op deze Verwerkersovereenkomst zijn de aansprakelijkheidsbeperkingen uit de Algemene Voorwaarden van EventDock van toepassing, voor zover de AVG dat toestaat.

12.2. Bij tegenstrijdigheid tussen deze Verwerkersovereenkomst en de Algemene Voorwaarden prevaleert deze Verwerkersovereenkomst voor zover het de verwerking van persoonsgegevens betreft.

12.3. Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement waar EventDock is gevestigd.

12.4. Wenst u een ondertekende versie van deze Verwerkersovereenkomst? Vraag deze aan via privacy@eventdock.nl; wij sturen dan een exemplaar op naam van uw organisatie.

Vragen over deze Verwerkersovereenkomst? Neem contact met ons op:

EventDock B.V. Dortherweg 29 7214 PS Epse KvK-nummer: 42095557 E-mail: privacy@eventdock.nl Telefoon: +31 85 505 5059 Website: www.eventdock.nl