NewU Verwerkersovereenkomst
Deze Verwerkersovereenkomst regelt de verwerking van persoonsgegevens tussen NewU en de Organisatie voor de verwerkingsactiviteiten waarbij NewU als verwerker optreedt. Zij is standaard en onlosmakelijk onderdeel van de Overeenkomst en wordt gelijktijdig daarmee gesloten.
Deze overeenkomst geldt voor persoonsgegevens die NewU namens de Organisatie verwerkt. Voor verwerkingen waarvoor NewU zelfstandig verwerkingsverantwoordelijke is, geldt deze overeenkomst niet; daarvoor geldt het Privacybeleid.
Voor de leesbaarheid gebruiken we in dit document de term "Organisatie" voor de Licentienemer zoals gedefinieerd in de Algemene Verkoopvoorwaarden.
Artikel 1 - Definities
1.1 De in de Algemene Verkoopvoorwaarden gedefinieerde begrippen hebben in deze Verwerkersovereenkomst dezelfde betekenis. "Organisatie" verwijst naar de Licentienemer zoals daar gedefinieerd. In aanvulling daarop geldt:
1.2 Verwerkersovereenkomst: deze overeenkomst, inclusief de bijlagen.
1.3 AVG: Verordening (EU) 2016/679, de Algemene Verordening Gegevensbescherming.
1.4 Betrokkene: een geïdentificeerde of identificeerbare natuurlijke persoon wiens persoonsgegevens door NewU worden verwerkt namens de Organisatie.
1.5 Datalek: een inbreuk op de beveiliging in de zin van Art. 4 lid 12 AVG.
1.6 Subverwerker: een door NewU ingeschakelde derde die persoonsgegevens verwerkt in het kader van deze Verwerkersovereenkomst.
1.7 Privacybeleid: Het actuele privacybeleid van NewU waarin NewU betrokkenen informeert over de verwerkingen waarvoor NewU zelfstandig verwerkingsverantwoordelijke is, beschikbaar via https://www.newu-app.io/nl/privacy-policy.
Artikel 2 - Onderwerp en toepassingsgebied
2.1 Deze Verwerkersovereenkomst is van toepassing op de verwerkingen waarbij NewU namens en in opdracht van de Organisatie als verwerker optreedt. Deze verwerkingen, met inbegrip van de aard, het doel, de soorten persoonsgegevens en de categorieën Betrokkenen, zijn beschreven in Bijlage 1.
2.2 De verwerkingen waarvoor NewU als verwerker optreedt, zijn opgenomen in Bijlage 1, onderdeel A en vallen onder deze Verwerkersovereenkomst. Verwerkingen waarvoor NewU zelfstandig het doel en de middelen van de verwerking bepaalt, vallen niet onder deze Verwerkersovereenkomst. Voor deze verwerkingen treedt NewU op als zelfstandig verwerkingsverantwoordelijke en informeert zij Betrokkenen hierover via het Privacybeleid.
2.3 Deze Verwerkersovereenkomst geldt voor de duur van de Overeenkomst en eindigt van rechtswege bij beëindiging daarvan.
Artikel 3 - Instructies en rechtmatigheid
3.1 NewU verwerkt persoonsgegevens die onder deze Verwerkersovereenkomst vallen uitsluitend op instructie van de Organisatie. Als instructie gelden in ieder geval: de Overeenkomst, deze Verwerkersovereenkomst, de configuratie die de Organisatie in het Portaal vastlegt, de gegevens die zij in het Portaal uploadt of via een koppeling aan NewU beschikbaar stelt, en overige aanwijzingen die zij op een reproduceerbare wijze aan NewU verstrekt. Instructies kunnen elektronisch worden gegeven, overeenkomstig Art. 28 lid 9 AVG.
3.2 NewU informeert de Organisatie zonder onredelijke vertraging indien een instructie naar het oordeel van NewU inbreuk maakt op de AVG of andere gegevensbeschermingsregels.
3.3 De Organisatie staat er als verwerkingsverantwoordelijke voor in dat haar instructies en de door haar aangeleverde persoonsgegevens rechtmatig zijn en dat een geldige grondslag bestaat voor de verwerking.
Artikel 4 - Geheimhouding
4.1 NewU zorgt ervoor dat personen die onder haar verantwoordelijkheid toegang hebben tot persoonsgegevens, gebonden zijn aan geheimhouding, hetzij op grond van een wettelijke plicht, hetzij op grond van een contractuele plicht.
4.2 De geheimhoudingsverplichting ten aanzien van persoonsgegevens is onbeperkt in tijd, overeenkomstig Art. 11.4 van de Algemene Verkoopvoorwaarden.
Artikel 5 - Beveiliging
5.1 NewU neemt passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, overeenkomstig Art. 32 AVG. De voor de verwerkingen waarop deze Verwerkersovereenkomst van toepassing is geldende beveiligingsmaatregelen zijn opgenomen in Bijlage 3. Het Privacybeleid bevat informatie over de beveiligingsmaatregelen die NewU toepast bij de zelfstandige verwerkingen waarvoor zij als verwerkingsverantwoordelijke optreedt.
Artikel 6 - Subverwerkers
6.1 De Organisatie verleent NewU algemene toestemming voor het inschakelen van Subverwerkers. De actuele Subverwerkers zijn vermeld in Bijlage 2.
6.2 NewU informeert de Organisatie ten minste 14 dagen voorafgaand aan de inzet van een nieuwe of vervangende Subverwerker. Binnen deze termijn kan de Organisatie schriftelijk en gemotiveerd bezwaar maken op zwaarwegende, aantoonbare gegevensbeschermingsgronden.
6.3 Bij een gegrond bezwaar zoekt NewU binnen dertig dagen een alternatief of aanvullende waarborgen. Is dat redelijkerwijs niet mogelijk en is de Subverwerker noodzakelijk voor een onderdeel van de Dienst, dan kan de Organisatie de Overeenkomst uitsluitend voor dat onderdeel opzeggen per de datum van inzet. Reeds betaalde vergoedingen worden niet gerestitueerd.
6.4 NewU legt aan Subverwerkers verplichtingen op die ten minste gelijkwaardig zijn aan die uit deze Verwerkersovereenkomst. NewU blijft jegens de Organisatie volledig aansprakelijk voor het handelen van haar Subverwerkers.
Artikel 7 - Rechten van Betrokkenen
7.1 NewU verleent de Organisatie redelijke bijstand bij het beantwoorden van verzoeken van Betrokkenen op grond van Art. 12 tot en met 22 AVG, voor zover die verzoeken betrekking hebben op verwerkingen die onder deze Verwerkersovereenkomst vallen.
7.2 Een verzoek dat een Betrokkene rechtstreeks bij NewU indient, wordt door NewU behandeld indien het een verwerking betreft waarvoor NewU zelfstandig verwerkingsverantwoordelijke is. Betreft het verzoek een verwerking onder deze Verwerkersovereenkomst, dan stuurt NewU het verzoek onverwijld door aan de Organisatie en verleent zij de Organisatie de bijstand als bedoeld in artikel 7.1.
Artikel 8 - Datalekken
8.1 NewU informeert de Organisatie zonder onredelijke vertraging na ontdekking van een Datalek dat verwerkingen onder deze Verwerkersovereenkomst raakt, en uiterlijk binnen 48 uur na ontdekking. Voor zover niet alle informatie bij de eerste melding beschikbaar is, verstrekt NewU de aanvullende informatie zo spoedig mogelijk nadat deze beschikbaar komt.
8.2 De melding bevat ten minste de informatie die de Organisatie nodig heeft om te voldoen aan Art. 33 en 34 AVG, waaronder de aard van het Datalek, de betrokken categorieën en aantallen Betrokkenen, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.
8.3 NewU verleent redelijke bijstand bij melding aan de Autoriteit Persoonsgegevens en, waar nodig, aan Betrokkenen.
8.4 De melding aan de Autoriteit Persoonsgegevens en aan Betrokkenen is de verantwoordelijkheid van de Organisatie voor verwerkingen onder deze Verwerkersovereenkomst.
Artikel 9 - Bijstand DPIA en voorafgaande raadpleging
9.1 NewU verleent de Organisatie redelijke bijstand bij het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) en bij voorafgaande raadpleging van de Autoriteit Persoonsgegevens, voor zover die betrekking hebben op verwerkingen onder deze Verwerkersovereenkomst.
9.2 NewU mag voor werkzaamheden die aanzienlijk verder gaan dan de standaarddienstverlening een redelijke vergoeding in rekening brengen. Zij informeert de Organisatie hierover vooraf.
Artikel 10 - Audit en informatierecht
10.1 NewU stelt aan de Organisatie de informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit Art. 28 AVG en deze Verwerkersovereenkomst worden nagekomen.
10.2 NewU is gecertificeerd volgens ISO/IEC 27001:2022 en laat jaarlijks een penetratietest uitvoeren door een onafhankelijk bureau. Op verzoek stelt NewU een samenvatting van de meest recente auditresultaten beschikbaar.
10.3 Indien de rapportages onder art. 10.2 onvoldoende zekerheid bieden over de naleving van deze Verwerkersovereenkomst, kan de Organisatie een audit of inspectie laten uitvoeren door haarzelf of door een onafhankelijke auditor die zij heeft gemandateerd, met inachtneming van de volgende voorwaarden:
- de audit wordt uitgevoerd door een onafhankelijke auditor met passende deskundigheid en onderworpen aan passende geheimhoudingsverplichtingen;
- de Organisatie kondigt de audit vooraf schriftelijk aan en stemt de reikwijdte, werkwijze en het tijdstip daarvan in redelijkheid met NewU af; NewU kan redelijke voorwaarden stellen indien dit noodzakelijk is voor de beveiliging, vertrouwelijkheid of bedrijfscontinuïteit;
- de reikwijdte is beperkt tot de naleving van deze Verwerkersovereenkomst voor de Organisatie zelf; toegang tot gegevens of systemen die andere klanten van NewU raken is uitgesloten, tenzij dit strikt noodzakelijk is en passende waarborgen zijn getroffen;
- de Organisatie draagt haar eigen auditkosten. Redelijke en vooraf overeengekomen kosten van NewU voor noodzakelijke medewerking aan de audit kunnen afzonderlijk in rekening worden gebracht, mits deze kosten niet disproportioneel of ontmoedigend zijn.
Artikel 11 - Doorgifte buiten de EER
11.1 NewU verwerkt en bewaart persoonsgegevens binnen de Europese Economische Ruimte, zoals nader beschreven in het Privacybeleid.
11.2 Doorgifte buiten de EER vindt uitsluitend plaats indien passende waarborgen als bedoeld in Hoofdstuk V AVG zijn getroffen, zoals modelcontractbepalingen van de Europese Commissie.
Artikel 12 - Aansprakelijkheid
12.1 Op de aansprakelijkheid van Partijen onder deze Verwerkersovereenkomst zijn de aansprakelijkheidsbepalingen van de Algemene Verkoopvoorwaarden van toepassing. De actuele versie van de Algemene Verkoopvoorwaarden is raadpleegbaar via www.newu-app.io/nl/general-conditions-of-sale."
Artikel 13 - Duur en beëindiging
13.1 Deze Verwerkersovereenkomst treedt gelijktijdig met de Overeenkomst in werking en eindigt van rechtswege bij beëindiging van de Overeenkomst.
13.2 Na beëindiging van de Overeenkomst kiest de Organisatie ervoor dat NewU de persoonsgegevens retourneert of verwijdert. Kiest de Organisatie ervoor om data te verwijderen, dan verwijdert NewU de persoonsgegevens binnen twintig dagen na beëindiging, tenzij een wettelijke bewaarplicht zich daartegen verzet.
13.3 De verwijdering van gegevens overeenkomstig Artikel 13.2 is van toepassing op de persoonsgegevens van uitgenodigde medewerkers die geen persoonlijk account hebben geactiveerd. Vanaf het moment dat een medewerker de Eindgebruikersvoorwaarden accepteert en zijn persoonlijke account activeert, verwerkt NewU de accountgegevens als zelfstandig verwerkingsverantwoordelijke voor de in het Privacybeleid beschreven eigen doeleinden. Deze verwerkingen vallen buiten Artikel 13.2 en het persoonlijke account wordt beheerd overeenkomstig het Privacybeleid, waaronder de daarin opgenomen bewaartermijnen en verwijderingsrechten.
Artikel 14 - Wijzigingen
14.1 Elke versie van deze Verwerkersovereenkomst draagt een versienummer en een effectieve datum.
14.2 NewU informeert de Organisatie tijdig over inhoudelijke wijzigingen. Bij een wezenlijke wijziging die de rechten of plichten van de Organisatie aantast, is instemming van de Organisatie vereist.
14.3 De actuele versie en een archief van eerdere versies zijn beschikbaar via de website van NewU.
14.4 Deze Verwerkersovereenkomst is oorspronkelijk opgesteld in het Nederlands. NewU kan vertalingen in andere talen beschikbaar stellen. Bij verschil tussen de Nederlandse tekst en een vertaling is de Nederlandse tekst leidend.
Artikel 15 - Rangorde en toepasselijk recht
15.1 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden beslecht door de bevoegde rechter van Rechtbank Amsterdam.
15.2 Bij strijdigheid over de verwerking of bescherming van persoonsgegevens prevaleert deze Verwerkersovereenkomst boven de Overeenkomst en de Algemene Verkoopvoorwaarden, overeenkomstig de rangorde die is opgenomen in de Algemene Verkoopvoorwaarden.
15.3 Bepalingen die naar hun aard geacht worden na beëindiging voort te duren, blijven van kracht, waaronder in ieder geval de artikelen inzake geheimhouding, aansprakelijkheid, en toepasselijk recht.
Bijlage 1 - Rollen- en verwerkingstabel
De rolverdeling wordt per afzonderlijke verwerkingsactiviteit bepaald. Onderstaande tabel is bindend.
A. Verwerkingen waarvoor NewU verwerker is en de Organisatie verwerkingsverantwoordelijke (vallen onder deze Verwerkersovereenkomst)
| Onderdeel | Beschrijving |
|---|---|
| Product of dienst | Beheer van het medewerkersbestand en het aanmaken en beheren van gebruikers |
| Onderwerp en aard | Ontvangen, vastleggen, structureren, opslaan, actualiseren, gebruiken, doorgeven aan toegestane Subverwerkers en verwijderen van het door de Organisatie aangeleverde medewerkersbestand. |
| Doeleinden | Het namens de Organisatie aanmaken en beheren van gebruikers, het versturen van uitnodigingen en herinneringen namens de Organisatie, het voorbereiden van toegang tot de Dienst, het koppelen van gebruikers aan groepen op basis van de door de Organisatie vastgelegde gebruikersattributen zodat groepsresultaten per groep kunnen worden weergegeven, het toekennen en beheren van beheerrechten, en het versturen van functionele servicemededelingen. |
| Categorieën Betrokkenen | Werknemers, zzp’ers en andere personen die de Organisatie aanwijst om NewU te gebruiken. |
| Persoonsgegevens | De Organisatie bepaalt zelf welke gegevens zij vastlegt, binnen de volgende categorieën: a. Basisgegevens: naam, zakelijk e-mailadres en taalvoorkeur. b. Gebruikersattributen: kenmerken die de Organisatie zelf kiest en aan gebruikers toekent voor groepsindeling en filtering, zoals afdeling, functie, vestiging, leidinggevende, gender of geboortedatum. Deze categorie is niet limitatief. c. Beheerrechten: de beheerrol die de Organisatie aan een gebruiker toekent en de functies en groepen waarop die rol betrekking heeft. NewU bepaalt welke rollen en rechten beschikbaar zijn; de Organisatie bepaalt aan wie zij worden toegekend. De Organisatie legt geen bijzondere categorieën van persoonsgegevens als bedoeld in Art. 9 AVG, strafrechtelijke gegevens of het burgerservicenummer vast als attribuut. |
| Rechten en verplichtingen Organisatie | De Organisatie bepaalt en documenteert de instructies, waarborgt doelbinding, grondslag, transparantie, juistheid en minimale gegevensverwerking, en kan informatie, bijstand, bezwaar tegen Subverwerkers, retournering, verwijdering en audits verlangen overeenkomstig deze Verwerkersovereenkomst. De Organisatie bepaalt welke gebruikersattributen zij vastlegt en staat in voor de noodzakelijkheid en rechtmatigheid daarvan. |
**
B. Overige verwerkingen**
De rol van NewU wordt per afzonderlijke verwerkingsactiviteit bepaald. Voor verwerkingen waarvoor NewU zelf het doel en de middelen bepaalt, treedt NewU op als zelfstandig verwerkingsverantwoordelijke. Dit omvat in ieder geval het persoonlijke account na registratie, vragenlijsten, individuele onderzoeksresultaten en persoonlijke terugkoppeling, vitaliteitsfuncties, ondersteuning, beveiliging en technische werking. Deze verwerkingen vallen niet onder deze Verwerkersovereenkomst en worden nader beschreven in het Privacybeleid.
Wanneer de Organisatie een bedrijfsarts of arbodienst inschakelt voor arbeidsgezondheidskundige zorg aan haar medewerkers, sluit NewU met die partij een afzonderlijke Toegangsovereenkomst Artsenportaal waarin geheimhouding, beveiliging en de voorwaarden voor toegang tot individuele onderzoeksresultaten zijn vastgelegd. De Organisatie is geen partij bij die overeenkomst. NewU verstrekt individuele resultaten aan de bedrijfsarts of arbodienst uitsluitend op basis van de expliciete toestemming van de betreffende medewerker onder Art. 9 lid 2 sub a AVG.
Bijlage 2 - Subverwerkers
Onderstaande Subverwerkers zijn ingeschakeld door NewU voor de verwerkingen onder deze Verwerkersovereenkomst.
| Subverwerker | Vestiging | Doel |
|---|---|---|
| Google Cloud Platform / Firebase | EER (Frankfurt) | Dataopslag, hosting en infrastructuur voor de app, het Portaal en de onderzoeksmodule |
| Brevo | EER (Frankrijk) | Verzenden van functionele en transactionele e-mails, waaronder uitnodigingen, herinneringen en servicemededelingen |
NewU maakt daarnaast gebruik van subverwerkers voor verwerkingen waarvoor zij zelfstandig verwerkingsverantwoordelijke is. Deze zijn opgenomen in het Privacybeleid.
Bijlage 3 - Beveiligingsmaatregelen
NewU hanteert de volgende uitgangspunten. Voor een uitgebreide beschrijving verwijst NewU naar het Privacybeleid en, op verzoek, naar het informatiebeveiligingsbeleid.
- NewU is gecertificeerd volgens ISO/IEC 27001:2022 en hanteert een volledig ingericht informatiebeveiligingsmanagementsysteem (ISMS). Het ISMS van NewU wordt op verzoek beschikbaar gesteld.
- Persoonsgegevens zijn versleuteld, zowel tijdens opslag als tijdens overdracht.
- Toegang tot persoonsgegevens wordt uitsluitend verleend op basis van rol en noodzaak, volgens een by-default-no-access beleid.
- NewU laat jaarlijks een penetratietest uitvoeren door een onafhankelijk, ethisch en gespecialiseerd bedrijf .
