Verwerkersovereenkomst

1 · Partijen, onderwerp en rangorde

De opdrachtgever, zoals geïdentificeerd in de opdrachtbevestiging, handelt als verwerkingsverantwoordelijke. Leadhunter B.V., Goese Dieplaan 97, 4463 LA Goes, KvK 67665284, handelt als verwerker voor zover zij persoonsgegevens namens de opdrachtgever verwerkt.

Dit document regelt die verwerkingen bij onderzoek, persoonlijk zakelijk klantcontact, notities, overdracht, opvolging en eventueel overeengekomen content- of coachingondersteuning. Het loopt zolang Leadhunter gegevens namens de opdrachtgever verwerkt.

Deze overeenkomst gaat bij tegenstrijdigheid over die persoonsgegevens voor op de algemene voorwaarden. Dwingend privacyrecht gaat altijd voor. De feitelijke rol van partijen blijft bepalend. Eigen contract-, factuur- en beveiligingsadministratie van Leadhunter valt onder haar eigen verantwoordelijkheid.

2 · Instructies en doeleinden

De opdrachtgever bepaalt doelen en grondslagen. Gedocumenteerde instructies bestaan uit de opdrachtbevestiging, overeengekomen doelgroep, contactaanpak, toegangsrechten en bevoegde vervolgverzoeken. Leadhunter verwerkt alleen binnen die instructies, behalve wanneer een wettelijke verplichting anders vereist.

Bij een kennelijk onrechtmatige instructie informeert Leadhunter de opdrachtgever en mag zij uitvoering opschorten. Een wettelijk verplichte afwijking wordt vooraf meegedeeld, tenzij de wet dat verbiedt.

Gegevens worden niet verkocht, voor eigen advertenties of voor andere opdrachtgevers gebruikt. Voor eigen verbetering worden uitsluitend daadwerkelijk anonieme gegevens gebruikt. Een nieuw zelfstandig doel wordt niet onder deze instructies geschoven.

3 · Plichten van de opdrachtgever

De opdrachtgever zorgt voor rechtmatige gegevensbronnen, grondslagen, informatie aan betrokkenen en waar vereist aantoonbare toestemming voor het betreffende kanaal en doel. Hij geeft relevante bezwaren en beperkingen tijdig door.

Hij beperkt gegevens tot wat nodig is, bepaalt bevoegde contactpersonen en behandelt rechtenverzoeken. Bijzondere of strafrechtelijke gegevens, consumentencampagnes of hoogrisicoverwerking worden niet aangeleverd zonder voorafgaande afzonderlijke afspraken.

Partijen leggen vast wie toestemming, rechtsvorm, blokkades en informatieplichten controleert. Deze afspraak ontslaat Leadhunter niet van eigen wettelijke verplichtingen.

4 · Mensen, toegang en geheimhouding

Alleen personen die gegevens voor hun taak nodig hebben krijgen toegang, op basis van passende persoonlijke rechten en een wettelijke of contractuele geheimhoudingsplicht. Toegang wordt ingetrokken bij vertrek of gewijzigde taken.

Het internationale team krijgt alleen toegang voor de overeengekomen uitvoering. Een medewerker onder rechtstreeks gezag is niet om die reden een zelfstandige subverwerker; een zelfstandig ingeschakelde dienstverlener kan dat wel zijn.

Opdrachtgeversgegevens worden logisch gescheiden. Ondersteuning en incidentonderzoek geven geen onbeperkte toegang. Waar passend worden relevante beheerhandelingen vastgelegd.

5 · Beveiliging

Leadhunter treft passende technische en organisatorische maatregelen volgens artikel 32 AVG, rekening houdend met de verwerking en risico’s. Bijlage 2 beschrijft de beveiligingsuitgangspunten die vóór ingebruikname feitelijk moeten zijn gecontroleerd.

Maatregelen mogen worden aangepast zolang het beschermingsniveau niet wezenlijk afneemt. De opdrachtgever beschermt eigen apparaten en accounts en verleent alleen noodzakelijke rechten.

6 · Subverwerkers en internationale doorgifte

De opdrachtgever geeft algemene schriftelijke toestemming voor de vóór aanvang schriftelijk bekendgemaakte subverwerkers. Leadhunter legt hun gelijkwaardige relevante verplichtingen op en blijft verantwoordelijk voor zover de AVG dat bepaalt.

Voorgenomen toevoegingen en vervangingen worden via een aangewezen elektronisch kanaal bekendgemaakt, met gelegenheid om binnen een redelijke aangegeven termijn op concrete privacy- of beveiligingsgronden bezwaar te maken. Deze informatie kan afzonderlijk bij de opdracht worden verstrekt.

Verwerking buiten de EER is alleen toegestaan met een toepasselijk doorgiftemechanisme en zo nodig aanvullende maatregelen. Een algemene akkoordverklaring vervangt die waarborgen niet. De opdrachtgever ontvangt informatie over de relevante verwerkingslocaties en doorgiftewaarborgen. Binnen de overeengekomen verwerking is geen aanvullende toestemming per technische gegevensoverdracht nodig, behoudens wettelijke vereisten.

Nieuwe AI-, content-, communicatie- of analysekoppelingen die klantgegevens ontvangen, worden niet als reeds actief voorgesteld. De feitelijke leverancier, gegevensstroom, instructie en voorwaarden worden eerst vastgesteld.

7 · Rechten, bezwaar en contactbeperkingen

Rechtstreeks ontvangen verzoeken over klantgegevens worden zonder onnodige vertraging naar de opdrachtgever geleid. Leadhunter ondersteunt diens afhandeling en reageert niet zelfstandig inhoudelijk, behalve op instructie of wanneer wettelijk vereist.

Een bezwaar tegen direct marketing of ingetrokken toestemming wordt in de uitvoering verwerkt. Een minimaal blokkaderegister kan noodzakelijk zijn om nieuwe benadering te voorkomen; de gegevens worden niet voor andere doelen gebruikt.

Redelijke gebruikelijke ondersteuning is onderdeel van de samenwerking. Buitengewone handmatige hulp kan tegen vooraf overeengekomen redelijke vergoeding worden uitgevoerd, behalve voor zover nodig door een tekortkoming van Leadhunter.

8 · Datalekken en ondersteuning

Leadhunter meldt een inbreuk in verband met namens de opdrachtgever verwerkte persoonsgegevens zonder onredelijke vertraging nadat zij daarvan kennis heeft genomen. De melding bevat zodra beschikbaar aard, betrokken gegevens, waarschijnlijke gevolgen, maatregelen en contactpunt; aanvulling mag gefaseerd.

Leadhunter onderzoekt en beperkt het incident en ondersteunt de opdrachtgever bij wettelijke meldingen. De opdrachtgever bepaalt zijn meldingen aan betrokkenen en toezichthouder. Een melding is geen erkenning van aansprakelijkheid.

Leadhunter verstrekt redelijkerwijs beschikbare informatie en ondersteuning voor gegevensbeschermingseffectbeoordelingen, voorafgaande raadpleging en wettelijke controleverzoeken voor zover relevant voor haar verwerking.

9 · Controle en audit

Leadhunter stelt informatie beschikbaar om naleving aan te tonen en werkt mee aan audits en inspecties die artikel 28 AVG vereist. Waar mogelijk worden bestaande relevante rapportages gebruikt.

Een audit beschermt gegevens van andere klanten en bedrijfsgeheimen, vindt met redelijke aankondiging tijdens kantooruren plaats en verstoort de uitvoering zo min mogelijk. Deze praktische voorwaarden mogen wettelijke rechten niet feitelijk onmogelijk maken.

Aanvullende redelijke auditkosten worden vooraf afgestemd. Voor zover de audit een materiële tekortkoming van Leadhunter vaststelt, komen rechtstreeks daarmee samenhangende redelijke kosten voor haar rekening.

10 · Bewaring, teruggave en verwijdering

Partijen leggen in de opdracht vast welke gegevens voor welk doel worden bewaard. De opdrachtgever kan relevante klantgegevens via beschikbare functies of een afgestemde export ontvangen.

Na einde van de verwerkingsdiensten kiest de opdrachtgever voor teruggave of verwijdering, tenzij de wet bewaring verplicht. Zonder andere instructie worden afronding, export en verwijdering uiterlijk binnen dertig dagen na einde afgestemd en uitgevoerd waar technisch redelijk mogelijk.

Technische back-upkopieën blijven alleen afgeschermd aanwezig tot reguliere overschrijving volgens de vóór aanvang vastgestelde retentie. Bij herstel wordt de verwijderinstructie opnieuw toegepast. Eigen wettelijke administratie valt buiten de opdracht en wordt niet ongemerkt als actief klantbestand bewaard.

Een actieve bezwaarregistratie kan met minimale gegevens blijven bestaan voor zover noodzakelijk om benadering te voorkomen. De gekozen rol, grondslag en retentie worden vastgelegd.

11 · Aansprakelijkheid, duur en wijzigingen

De aansprakelijkheidsregeling uit de algemene voorwaarden geldt voor zover wettelijk toegestaan. Zij beperkt geen dwingendrechtelijke rechten van betrokkenen of bevoegdheden van toezichthouders.

Iedere partij blijft verantwoordelijk voor haar eigen verplichtingen. De overeenkomst eindigt nadat de verwerking en vereiste verwijdering of teruggave zijn afgerond. Nederlands recht en de bevoegde rechter uit de hoofdovereenkomst gelden met behoud van AVG-bevoegdheden.

Bijlage 1 · Beschrijving van de verwerking

Onderwerp en doel: uitvoering van de afgesproken commerciële ondersteuning namens de opdrachtgever, inclusief doelgroepvoorbereiding, klantcontact, overdracht, planning en opvolging.

Aard: verzamelen binnen de instructie, raadplegen, ordenen, vastleggen, actualiseren, communiceren, terugkoppelen, exporteren en verwijderen. Frequentie: tijdens de overeengekomen werkzaamheden.

Betrokkenen: zakelijke contactpersonen bij prospects, huidige en eerdere klanten, medewerkers van de opdrachtgever en overige personen die noodzakelijk in de communicatie voorkomen.

Gegevens: naam, functie, werkgever, zakelijke contactgegevens, relevante openbare zakelijke informatie, gesprekshistorie, notities, interesses voor de opdracht, afspraken, vervolgverzoeken en voorkeuren of bezwaren rond contact.

Niet standaard inbegrepen: bijzondere of strafrechtelijke gegevens, volledige gespreksopnamen, geautomatiseerde individuele beslissingen met aanzienlijke gevolgen en verwerking buiten het afgesproken doel. Opname of transcriptie vergt voorafgaande afzonderlijke vastlegging van doel, informatie, grondslag, ontvangers en bewaring.

Duur en locaties: volgens de opdracht en de vóór aanvang verstrekte informatie over subverwerkers. De feitelijke hosting, telecom, e-mail, zelfstandig ingeschakelde medewerkers en back-upretentie moeten vóór gebruik zijn bevestigd.

Bijlage 2 · Beveiligingsuitgangspunten

Persoonlijke accounts, passende authenticatie, toegangsbeheer op taak en tijdige intrekking

Logische afscherming tussen opdrachtgevers, controle op toegang tot exports en veilige overdracht

Versleuteld transport en passende bescherming van opgeslagen gegevens en geheimen

Beperkte logging zonder wachtwoorden of overbodige gespreksinhoud, met afgestemde retentie

Passende back-ups, herstelprocedure, onderhoud, incidentrespons en beveiligingsbeoordeling

Geheimhouding, werkinstructies en contractuele beoordeling van zelfstandige subverwerkers

Dit zijn voorgestelde contractuele uitgangspunten, geen certificeringsclaim. Vóór vaststelling worden ze getoetst aan de daadwerkelijke Leadhunter-systemen.