Verwerkersovereenkomst. Zo gaan we om met de gegevens die jij bij ons host.

01Partijen

1.1. Hostingknaller, gevestigd te Alteveer, Drenthe, Nederland, hierna: "Hostingknaller" of "Verwerker".

1.2. De natuurlijke persoon of rechtspersoon die met Hostingknaller een overeenkomst voor hosting of een daarmee verbonden dienst heeft gesloten, hierna: "Klant" of "Verwerkingsverantwoordelijke".

1.3. Wanneer een andere partij volgens de feitelijke verwerking de doeleinden en middelen van een bepaalde verwerking bepaalt, is de kwalificatie als Verwerkingsverantwoordelijke of Verwerker afhankelijk van de feitelijke situatie. Een contractuele kwalificatie kan de wettelijke rolverdeling niet wijzigen.

02Doel en reikwijdte

2.1. Deze Verwerkersovereenkomst geldt voor persoonsgegevens die Hostingknaller uitsluitend namens de Klant verwerkt bij het leveren van diensten zoals webhosting, WordPress-hosting, WooCommerce-hosting, e-mailhosting, resellerhosting, websiteverhuizing, back-up- en herstelwerkzaamheden, technisch onderhoud, beveiliging en support, voor zover bij die dienst persoonsgegevens namens de Klant worden verwerkt.

2.2. Hostingknaller levert hosting vanaf servers in Nederland. De website van Hostingknaller vermeldt dat klantgegevens binnen de EU blijven en dat met klanten een verwerkersovereenkomst wordt gesloten.

2.3. Deze Verwerkersovereenkomst geldt niet voor verwerkingen waarvoor Hostingknaller zelf het doel en de middelen bepaalt. Voorbeelden kunnen, afhankelijk van de concrete verwerking, de eigen administratie, facturatie, wettelijke verplichtingen, fraudepreventie, beveiliging van de eigen dienstverlening en bepaalde domeinregistratieprocessen zijn. Voor dergelijke verwerkingen handelt Hostingknaller als zelfstandig Verwerkingsverantwoordelijke en niet als Verwerker.

03Onderwerp, duur, aard en doel van de verwerking

04Categorieën persoonsgegevens

Afhankelijk van de door de Klant gebruikte dienst kunnen persoonsgegevens onder meer omvatten:

• naam- en contactgegevens;
• e-mailadressen en e-mailinhoud;
• gebruikersnamen, accountgegevens en identificatiegegevens;
• IP-adressen en technische identificatoren;
• loggegevens, tijdstippen, browser- en apparaatgegevens en andere technische gegevens;
• gegevens die bezoekers of gebruikers via de website of webshop van de Klant invoeren;
• bestel-, klant- en communicatiegegevens die door de Klant in een website, webshop of applicatie worden opgeslagen;
• gegevens in databases, bestanden, back-ups en support- of migratiegegevens;
• eventueel andere persoonsgegevens die de Klant rechtmatig in de gehoste omgeving laat verwerken.

De Klant bepaalt welke persoonsgegevens hij in de hostingomgeving opslaat. Hostingknaller verzamelt of bepaalt deze gegevens niet zelfstandig voor eigen doeleinden binnen de verwerkingsactiviteiten waarop deze Verwerkersovereenkomst ziet.

05Bijzondere persoonsgegevens en strafrechtelijke gegevens

De Klant is verantwoordelijk voor de beoordeling of het verwerken van bijzondere categorieën persoonsgegevens of persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten rechtmatig is en of aanvullende maatregelen noodzakelijk zijn.

Hostingknaller verwerkt dergelijke gegevens uitsluitend voor zover zij zich in de omgeving bevinden die de Klant laat hosten en uitsluitend binnen de grenzen van de opdracht. De aanwezigheid van dergelijke gegevens leidt niet automatisch tot een eigen verwerkingsdoel van Hostingknaller.

06Categorieën betrokkenen

• klanten en potentiële klanten van de Klant;
• website- en webshopbezoekers;
• gebruikers van accounts en applicaties;
• medewerkers, contactpersonen en andere zakelijke relaties van de Klant;
• personen die per e-mail of via formulieren met de Klant communiceren;
• personen van wie persoonsgegevens door de Klant rechtmatig in de hostingomgeving worden verwerkt.

07Rechten en verplichtingen van de Klant

7.1. De Klant blijft Verwerkingsverantwoordelijke voor de verwerkingen waarvoor hij de doeleinden en middelen bepaalt. De Klant is verantwoordelijk voor een passende rechtsgrond, transparantie, bewaartermijnen, het informeren van betrokkenen, het rechtmatig verstrekken van instructies en het beantwoorden van verzoeken van betrokkenen.

7.2. De Klant geeft Hostingknaller uitsluitend rechtmatige en gedocumenteerde instructies. De Klant beoordeelt vooraf of de gekozen dienst, configuratie en beveiligingsmaatregelen passend zijn voor het risico van de eigen verwerking.

7.3. De Klant is verantwoordelijk voor de inhoud van websites, databases, bestanden en e-mailberichten die hij via de dienst laat verwerken, behoudens de wettelijke en contractuele verantwoordelijkheden van Hostingknaller.

08Verwerking uitsluitend op instructie

8.1. Hostingknaller verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructies van de Klant, waaronder de instructies die uit de hoofdovereenkomst, dienstkeuze, technische configuratie en deze Verwerkersovereenkomst volgen.

8.2. Indien Hostingknaller naar haar oordeel een instructie in strijd acht met de AVG of andere toepasselijke gegevensbeschermingswetgeving, informeert zij de Klant zo spoedig mogelijk. Hostingknaller is niet gehouden een instructie uit te voeren die zij op grond van toepasselijk recht niet mag uitvoeren.

8.3. Indien Hostingknaller op grond van Unierecht of lidstatelijk recht verplicht is persoonsgegevens te verwerken, informeert zij de Klant daarover voorafgaand aan de verwerking, tenzij het toepasselijke recht die informatie verbiedt wegens een zwaarwegend algemeen belang.

09Geheimhouding

Hostingknaller zorgt ervoor dat personen die onder haar gezag toegang hebben tot persoonsgegevens zich tot geheimhouding hebben verplicht of daartoe op grond van wet of overeenkomst verplicht zijn. Toegang wordt beperkt tot personen voor wie die toegang noodzakelijk is voor het uitvoeren, beveiligen, onderhouden of ondersteunen van de dienst.

10Beveiliging

10.1. Hostingknaller treft passende technische en organisatorische maatregelen overeenkomstig artikel 32 AVG, rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard, omvang, context en doeleinden van de verwerking en de risico's voor de rechten en vrijheden van betrokkenen. Artikel 32 AVG vereist onder meer passende maatregelen rond vertrouwelijkheid, integriteit, beschikbaarheid, herstel en periodieke beoordeling van de beveiliging.

10.2. Voor de hostingdiensten omvatten de maatregelen, voor zover passend bij de dienst, onder meer:

• hosting op infrastructuur in Nederland voor de Hostingknaller-hostingomgeving;
• afgeschermde hostingomgevingen en toegangsbeperkingen;
• SSL/TLS voor ondersteunde webdiensten en automatische certificaatverlenging waar de dienst dit omvat;
• back-up- en herstelvoorzieningen die per product kunnen verschillen;
• technische monitoring voor beschikbaarheid, beveiliging, capaciteitsbeheer en incidentdetectie;
• malware-, spam- en beveiligingsmaatregelen waar passend bij de betreffende dienst;
• beperking van toegang tot systemen en persoonsgegevens tot geautoriseerde personen;
• logging en incidentregistratie voor zover noodzakelijk voor beveiliging en beheer;
• maatregelen voor continuïteit en herstel na technische of fysieke incidenten, passend bij de dienst.

10.3. De concrete omvang van back-ups, retentie, resources en aanvullende beveiligingsfuncties kan per product verschillen en wordt bepaald door de actuele productomschrijving en overeenkomst. De website vermeldt onder meer dagelijkse back-ups, SSL, geïsoleerde hostingcontainers, gereserveerde CPU/geheugen en Nederlandse servers voor de reguliere hostingpakketten.

11Ondersteuning bij rechten van betrokkenen

Hostingknaller verleent, rekening houdend met de aard van de verwerking, redelijke medewerking aan de Klant bij het uitvoeren van verplichtingen inzake verzoeken van betrokkenen, waaronder inzage, rectificatie, verwijdering, beperking, dataportabiliteit en bezwaar, voor zover Hostingknaller daarvoor toegang heeft tot de betreffende persoonsgegevens.

Hostingknaller zal verzoeken van betrokkenen die rechtstreeks bij haar binnenkomen en betrekking hebben op een verwerking waarvoor de Klant Verwerkingsverantwoordelijke is, niet zelfstandig inhoudelijk afhandelen namens de Klant, tenzij partijen dit schriftelijk anders hebben afgesproken of Hostingknaller daartoe wettelijk verplicht is.

12Datalekken en beveiligingsincidenten

12.1. Hostingknaller informeert de Klant zonder onredelijke vertraging nadat zij kennis heeft genomen van een inbreuk in verband met persoonsgegevens die betrekking heeft op persoonsgegevens die zij namens de Klant verwerkt. Artikel 33 lid 2 AVG verplicht een Verwerker om de Verwerkingsverantwoordelijke zonder onredelijke vertraging te informeren.

12.2. De melding bevat, voor zover op dat moment beschikbaar:

• de aard van de inbreuk;
• de categorieën en, waar mogelijk, het aantal betrokkenen en persoonsgegevens;
• de waarschijnlijke gevolgen;
• de genomen of voorgenomen maatregelen om de inbreuk te beëindigen en gevolgen te beperken;
• een contactpunt voor nadere informatie.

12.3. Wanneer niet alle informatie onmiddellijk beschikbaar is, mag Hostingknaller de informatie gefaseerd verstrekken zodra deze beschikbaar komt, zonder onnodige vertraging.

12.4. De Klant blijft als Verwerkingsverantwoordelijke verantwoordelijk voor de wettelijke beoordeling en, waar vereist, de melding aan de Autoriteit Persoonsgegevens en communicatie met betrokkenen. Hostingknaller verleent daarbij redelijke medewerking. De AP bevestigt dat de Verwerker de Klant zo snel mogelijk over een datalek moet informeren.

13Subverwerkers

13.1. De Klant verleent hierbij algemene schriftelijke toestemming aan Hostingknaller om andere verwerkers in te schakelen voor specifieke verwerkingsactiviteiten die noodzakelijk zijn voor de uitvoering, beveiliging, ondersteuning of continuïteit van de overeengekomen diensten.

13.2. Hostingknaller houdt een actuele lijst bij van relevante subverwerkers en stelt de Klant in staat kennis te nemen van voorgenomen toevoegingen of vervangingen. De Klant krijgt een redelijke mogelijkheid om bezwaar te maken tegen een wijziging wanneer de AVG dat vereist.

13.3. Hostingknaller legt iedere subverwerker contractueel ten minste dezelfde gegevensbeschermingsverplichtingen op als in deze Verwerkersovereenkomst, voor zover die verplichtingen relevant zijn voor de uitbestede verwerking.

13.4. Hostingknaller blijft tegenover de Klant verantwoordelijk voor de nakoming van de verplichtingen van een subverwerker voor zover artikel 28 lid 4 AVG dat bepaalt.

14Doorgifte buiten de EER

14.1. Voor de reguliere Hostingknaller-hostingomgeving geldt als uitgangspunt dat persoonsgegevens binnen Nederland en de Europese Economische Ruimte worden verwerkt.

14.2. Indien een verwerking een doorgifte naar een land buiten de EER inhoudt, zal Hostingknaller die doorgifte uitsluitend uitvoeren wanneer daarvoor een geldige grondslag en een toepasselijk doorgiftemechanisme uit hoofdstuk V AVG bestaat, zoals een adequaatheidsbesluit of passende waarborgen.

14.3. Waar voor een nieuwe of gewijzigde subverwerker een doorgifte buiten de EER relevant is, informeert Hostingknaller de Klant overeenkomstig artikel 13 en geeft zij de informatie die redelijkerwijs nodig is om de rechtmatigheid van de doorgifte te beoordelen.

15Medewerking bij DPIA en voorafgaande raadpleging

Hostingknaller verleent, rekening houdend met de aard van de verwerking en de beschikbare informatie, redelijke medewerking aan een door de Klant uit te voeren gegevensbeschermingseffectbeoordeling (DPIA) en aan eventuele voorafgaande raadpleging van de toezichthoudende autoriteit, voor zover de verwerking door Hostingknaller onderdeel is van de betreffende beoordeling.

16Audits en informatie

16.1. Hostingknaller stelt aan de Klant de informatie ter beschikking die redelijkerwijs nodig is om naleving van artikel 28 AVG aan te tonen en werkt mee aan audits, waaronder inspecties, die door de Klant of een door de Klant gemachtigde auditor worden uitgevoerd.

16.2. Audits worden vooraf schriftelijk aangekondigd, vinden tijdens normale kantooruren plaats en worden zo uitgevoerd dat de bedrijfsvoering, beveiliging en vertrouwelijkheid van Hostingknaller en andere klanten niet onnodig worden verstoord.

16.3. De Klant draagt zijn eigen auditkosten en vergoedt redelijke, vooraf overeengekomen externe kosten die Hostingknaller specifiek voor een audit moet maken, tenzij dwingend recht anders bepaalt.

16.4. Voor zover actuele onafhankelijke rapportages, certificeringen, beveiligingsdocumentatie of andere auditinformatie beschikbaar zijn en voldoende inzicht geven in de relevante verplichtingen, zal Hostingknaller deze informatie bij voorkeur verstrekken voordat een fysieke audit wordt gepland.

16.5. Audits mogen geen toegang geven tot persoonsgegevens van andere klanten, vertrouwelijke bedrijfsinformatie die niet relevant is voor de audit of beveiligingsinformatie waarvan openbaarmaking een onaanvaardbaar risico zou opleveren.

17Verwijdering of teruggave na einde dienstverlening

17.1. Na beëindiging van de verwerkingsdiensten verwijdert Hostingknaller de namens de Klant verwerkte persoonsgegevens of stelt zij deze, naar keuze van de Klant en voor zover technisch en redelijkerwijs mogelijk, aan de Klant ter beschikking voor overdracht.

17.2. De Klant moet zijn keuze tijdig kenbaar maken. Indien de Klant geen keuze maakt, kan Hostingknaller de persoonsgegevens na het verstrijken van de voor de betreffende dienst geldende bewaartermijn verwijderen.

17.3. Hostingknaller mag persoonsgegevens bewaren voor zover zij daartoe op grond van Unierecht of lidstatelijk recht verplicht is. In dat geval worden de gegevens uitsluitend verwerkt voor het betreffende wettelijke doel en niet voor andere doeleinden.

17.4. Back-ups kunnen gedurende een beperkte technische retentieperiode blijven bestaan nadat de actieve omgeving is verwijderd. Tijdens die periode blijven zij beschermd en worden zij niet voor reguliere dienstverlening gebruikt; na afloop worden zij volgens de technische back-upcyclus verwijderd of overschreven.

18Verantwoordelijkheden rond back-ups

Hostingknaller voert back-ups uit voor zover de betreffende dienst daarin voorziet. De Klant blijft verantwoordelijk voor het bepalen of de back-upfrequentie, retentie en herstelmogelijkheden van het gekozen product voldoende zijn voor zijn eigen risicoprofiel. De actuele productpagina bepaalt de concrete back-upfrequentie.

19Support, migratie en toegang tot gegevens

Wanneer Hostingknaller in het kader van support, websiteverhuizing, herstel of onderhoud toegang nodig heeft tot een omgeving waarin persoonsgegevens aanwezig zijn, wordt die toegang beperkt tot wat voor de betreffende opdracht noodzakelijk is.

Hostingknaller gebruikt gegevens die zij in het kader van support of migratie inziet niet voor eigen marketing- of andere doeleinden die buiten de opdracht vallen.

20Monitoring, logging en beveiligingscontrole

Hostingknaller mag technische gegevens en logs verwerken voor zover noodzakelijk voor beveiliging, foutanalyse, capaciteitsbeheer, beschikbaarheid, fraudepreventie, misbruikbestrijding en het leveren van de dienst. Waar logs persoonsgegevens bevatten en de verwerking namens de Klant plaatsvindt, vallen zij onder deze Verwerkersovereenkomst.

Monitoring geeft Hostingknaller geen onbeperkt recht om de inhoud van klantdata in te zien. Inhoudelijke toegang wordt beperkt tot wat noodzakelijk is voor een overeengekomen taak, beveiligingsincident, wettelijke verplichting of andere rechtmatige grondslag.

21Contact bij privacy- en beveiligingsincidenten

De Klant gebruikt voor privacy- en beveiligingsmeldingen het door Hostingknaller aangewezen actuele support- of contactkanaal. De Klant dient ervoor te zorgen dat Hostingknaller over een actueel contactpunt van de Klant beschikt voor urgente beveiligings- en datalekmeldingen.

Hostingknaller gebruikt voor algemene correspondentie het op haar website vermelde contactadres, waaronder info@hostingknaller.com, tenzij de overeenkomst of een specifiek supportkanaal anders bepaalt.

22Aansprakelijkheid en samenhang met hoofdovereenkomst

Deze Verwerkersovereenkomst wijzigt de aansprakelijkheidsverdeling uit de hoofdovereenkomst niet, tenzij partijen dit uitdrukkelijk en rechtsgeldig schriftelijk overeenkomen. Geen bepaling beperkt aansprakelijkheid of rechten voor zover een dergelijke beperking op grond van dwingend recht niet is toegestaan.

Een verwijzing naar een aansprakelijkheidsbeperking in de hoofdovereenkomst wordt niet uitgelegd als een vrijwaring voor boetes of aansprakelijkheid die de wet niet contractueel kan uitsluiten.

23Rangorde

Bij strijd tussen deze Verwerkersovereenkomst en de hoofdovereenkomst prevaleren voor zover het de verwerking van persoonsgegevens namens de Klant betreft de bepalingen van deze Verwerkersovereenkomst, tenzij partijen uitdrukkelijk en rechtsgeldig anders zijn overeengekomen. Dwingend toepasselijk recht en de AVG prevaleren altijd.

24Wijzigingen

Hostingknaller kan deze Verwerkersovereenkomst wijzigen wanneer dit noodzakelijk is om te blijven voldoen aan gewijzigde wet- en regelgeving, technische ontwikkelingen of wijzigingen in de dienstverlening. Wijzigingen die wezenlijke gevolgen hebben voor de rechten of verplichtingen van de Klant worden overeenkomstig de toepasselijke overeenkomst en wetgeving bekendgemaakt.

25Toepasselijk recht en bevoegde rechter

Op deze Verwerkersovereenkomst is Nederlands recht van toepassing, voor zover de wet niet dwingend anders bepaalt. Geschillen worden voorgelegd aan de bevoegde rechter volgens de wettelijke bevoegdheidsregels.

26Slotbepalingen

26.1. Indien een bepaling van deze Verwerkersovereenkomst nietig, vernietigbaar of onafdwingbaar blijkt, blijven de overige bepalingen in stand. Partijen zullen de betreffende bepaling, voor zover juridisch mogelijk, vervangen door een geldige bepaling die de oorspronkelijke bedoeling zo dicht mogelijk benadert.

26.2. Deze Verwerkersovereenkomst kan elektronisch worden aanvaard. Een elektronische aanvaarding, bestelling of andere wijze van instemming waarmee de Klant de hoofdovereenkomst rechtsgeldig aangaat, kan tevens gelden als instemming met deze Verwerkersovereenkomst, voor zover de Klant vooraf of bij het sluiten van de overeenkomst op voldoende wijze van de inhoud kennis heeft kunnen nemen.

B1Bijlage 1: Verwerkingsdetails

Deze bijlage concretiseert de verwerking per dienst. Niet iedere categorie is op iedere klant van toepassing.

B2Bijlage 2: Technische en organisatorische maatregelen

• Fysieke hostinginfrastructuur binnen Nederland voor de reguliere Hostingknaller-hostingomgeving.
• Toegangsbeheer op basis van autorisatie en noodzakelijkheid.
• Beveiligde beheerverbindingen en passende authenticatiemaatregelen.
• SSL/TLS voor ondersteunde webdiensten en automatische certificaatverlenging waar onderdeel van de dienst.
• Netwerk- en systeembeveiliging, waaronder monitoring en maatregelen tegen misbruik.
• Back-up- en herstelmechanismen overeenkomstig de betreffende dienst.
• Logging van relevante systeem- en beveiligingsgebeurtenissen voor zover noodzakelijk.
• Procedures voor incidentdetectie, incidentrespons en herstel.
• Maatregelen om beschikbaarheid, integriteit en vertrouwelijkheid te ondersteunen.
• Beperkte en gecontroleerde toegang van medewerkers en andere geautoriseerde personen.
• Geheimhoudingsverplichtingen voor personen met toegang tot persoonsgegevens.
• Periodieke beoordeling en waar nodig verbetering van technische en organisatorische maatregelen.

De maatregelen worden door Hostingknaller aangepast wanneer de stand van de techniek, risico's, dienstverlening of beveiligingsdreiging daartoe aanleiding geeft. Hostingknaller garandeert niet dat een beveiligingsincident nooit kan plaatsvinden; de verplichting is het treffen van passende maatregelen op basis van risico en stand van de techniek.

B3Bijlage 3: Subverwerkers

Hostingknaller mag subverwerkers inzetten overeenkomstig artikel 13 van deze Verwerkersovereenkomst. De actuele lijst met subverwerkers wordt door Hostingknaller beheerd en beschikbaar gesteld via het daarvoor aangewezen kanaal.

Voor publicatie van deze overeenkomst moet Hostingknaller de actuele subverwerkerslijst feitelijk invullen met ten minste: naam van de subverwerker, land van verwerking, aard van de dienstverlening en – waar relevant – doorgiftemechanisme. Er worden in deze Verwerkersovereenkomst bewust geen niet-geverifieerde leveranciersnamen opgenomen.

B4Bijlage 4: Procedure datalekken

1. Hostingknaller registreert en beoordeelt een vermoedelijke inbreuk in verband met persoonsgegevens die zij namens de Klant verwerkt.
2. Hostingknaller neemt redelijke maatregelen om de inbreuk te stoppen en gevolgen te beperken.
3. Hostingknaller informeert de Klant zonder onredelijke vertraging na bewustwording.
4. Hostingknaller verstrekt de beschikbare informatie en vult die aan zodra meer informatie beschikbaar is.
5. De Klant beoordeelt als Verwerkingsverantwoordelijke of melding aan de Autoriteit Persoonsgegevens en/of betrokkenen vereist is.
6. Partijen werken redelijkerwijs samen bij onderzoek, beperking, herstel en eventuele communicatie.

B5Bijlage 5: Ondertekening

Deze Verwerkersovereenkomst maakt onderdeel uit van de overeenkomst tussen de Klant en Hostingknaller wanneer zij rechtsgeldig is aanvaard. Ondertekening is niet noodzakelijk wanneer de overeenkomst en deze Verwerkersovereenkomst rechtsgeldig elektronisch zijn aanvaard, voor zover toepasselijk recht dat toestaat.