Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij de overeenkomst tussen LYN Hosting (LYN, verwerker) en de klant (verwerkingsverantwoordelijke) en maakt daar deel van uit. De algemene voorwaarden van LYN gelden ook; bij een tegenstrijdigheid over persoonsgegevens gaat deze verwerkersovereenkomst voor.

Met de diensten (hosting van websites, databases, backups, monitoring, DNS en add-ons) verwerkt LYN persoonsgegevens namens de klant, zoals beschreven in artikel 28 van de Algemene Verordening Gegevensbescherming (AVG). De klant bepaalt het doel en de middelen; LYN verwerkt alleen wat nodig is om de diensten te leveren.

• Betrokkenen: bezoekers, klanten, leden, medewerkers en andere personen van wie de klant gegevens op zijn website, in zijn databases of in zijn mailboxen opslaat.
• Gegevens: alles wat de klant daar plaatst, bijvoorbeeld naam, adres, e-mailadres, telefoonnummer, bestellingen, berichten, IP-adressen in logbestanden en accounts op de website.
• Bijzondere gegevens (zoals gezondheid) of gegevens over strafrechtelijke zaken plaatst de klant alleen als hij daar zelf een wettelijke grondslag voor heeft en LYN dat vooraf laat weten.

LYN bekijkt de inhoud niet, tenzij dat nodig is voor support, beveiliging, het oplossen van een storing of omdat de klant erom vraagt.

LYN verwerkt de gegevens alleen volgens de schriftelijke instructies van de klant. De overeenkomst, de instellingen die de klant in het portaal kiest en verzoeken via support gelden als instructies. Vindt LYN een instructie in strijd met de wet, dan meldt LYN dat direct.

Iedereen die namens LYN toegang heeft tot de gegevens is tot geheimhouding verplicht. Gegevens worden alleen aan derden verstrekt als de klant dat vraagt of als een wettelijke plicht dat vereist; in dat laatste geval laat LYN het de klant weten, als dat mag.

LYN neemt passende technische en organisatorische maatregelen, waaronder:

• gescheiden omgevingen per klant: een eigen netwerk, eigen databasegebruikers en een eigen database per website;
• versleutelde verbindingen (https/TLS) en certificaten die automatisch worden verlengd;
• geheimen zoals wachtwoorden en sleutels versleuteld opgeslagen (AES-256-GCM); wachtwoorden van gebruikers alleen als hash;
• verplichte tweestapsverificatie voor eigenaren en beheerders in het portaal en voor medewerkers van LYN;
• een activiteitenlog waarin de klant ziet wat er in zijn omgeving gebeurt, ook wat LYN doet;
• backups buiten de server, met een vaste bewaartermijn, en een veiligheidsbackup vóór elke ingreep zoals terugzetten of bijwerken;
• monitoring van beschikbaarheid, certificaten en bekende kwetsbaarheden, en tijdig bijwerken van de software die LYN beheert.

De klant is zelf verantwoordelijk voor wat hij binnen zijn omgeving doet, zoals sterke wachtwoorden, de plugins die hij installeert en de toegang die hij aan anderen geeft.

Ontdekt LYN een inbreuk in verband met persoonsgegevens (een datalek) die de klant raakt, dan meldt LYN dat zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking per e-mail aan de eigenaren en beheerders van de klant. LYN vertelt wat er is gebeurd, welke gegevens en betrokkenen het raakt, wat de gevolgen kunnen zijn en welke maatregelen LYN neemt.

De klant beslist of hij het lek meldt bij de Autoriteit Persoonsgegevens en aan betrokkenen; LYN helpt daarbij met de informatie die LYN heeft.

De klant geeft LYN toestemming om de onderstaande subverwerkers in te schakelen. LYN legt hun dezelfde plichten op als in deze overeenkomst en blijft tegenover de klant verantwoordelijk voor hun werk.

• Hetzner Online GmbH: Servers waarop de websites en databases draaien, en opslag van backups (Object Storage, los van de servers) (Duitsland en Finland).
• Brevo (Sendinblue SAS): Versturen van e-mail van het platform (facturen, meldingen) (Frankrijk (EU)).
• Cloudflare, Inc.: DNS en proxy, alleen als de klant het domein via LYN laat beheren (Wereldwijd netwerk; EU-VS-gegevensprivacykader).
• Microsoft Ireland Operations Ltd.: Mailboxen en Office, alleen bij een add-on Managed Mail (EU-datagrens; EU-VS-gegevensprivacykader).

Wil LYN een subverwerker toevoegen of vervangen, dan meldt LYN dat minstens 30 dagen vooraf per e-mail. Heeft de klant een gegronde reden om bezwaar te maken, dan zoeken we samen een oplossing; lukt dat niet, dan kan de klant de betrokken dienst opzeggen tegen de datum van de wijziging.

LYN slaat de websites, databases en backups van de klant op in de Europese Economische Ruimte. Kan een subverwerker gegevens buiten de EER verwerken, dan alleen met passende waarborgen, zoals het EU-VS-gegevensprivacykader of de standaardcontractbepalingen van de Europese Commissie.

De klant kan in het portaal zelf gegevens inzien, downloaden en verwijderen. Krijgt LYN rechtstreeks een verzoek van een betrokkene (bijvoorbeeld om inzage of verwijdering), dan stuurt LYN dat door naar de klant en handelt het niet zelf af.

LYN helpt de klant redelijkerwijs bij verzoeken van betrokkenen, een gegevensbeschermingseffectbeoordeling (DPIA) en vragen van de Autoriteit Persoonsgegevens. Werk dat verder gaat dan wat het portaal zelf biedt, kan LYN tegen het gebruikelijke tarief in rekening brengen, behalve als het gevolg is van een tekortkoming van LYN.

LYN geeft de klant op verzoek de informatie die nodig is om aan te tonen dat LYN zich aan deze overeenkomst houdt. Een audit door een onafhankelijke deskundige is mogelijk na een schriftelijk verzoek met een redelijke termijn, hooguit eens per jaar of na een datalek, met geheimhouding en zonder toegang tot gegevens van andere klanten. De kosten zijn voor de klant, tenzij de audit een tekortkoming van LYN aantoont.

Deze verwerkersovereenkomst loopt zolang LYN persoonsgegevens voor de klant verwerkt. Tot het einde van de overeenkomst kan de klant zijn bestanden, databases en backups downloaden in het portaal.

Na het einde verwijdert LYN de websites, databases en mailboxen binnen 30 dagen. Backups verlopen vanzelf volgens de bewaartermijn en zijn uiterlijk 60 dagen na het einde weg. Gegevens die LYN wettelijk moet bewaren, zoals facturen, vallen hier niet onder.

Voor aansprakelijkheid gelden de afspraken uit de algemene voorwaarden. LYN mag deze verwerkersovereenkomst wijzigen op dezelfde manier als de algemene voorwaarden; wijzigingen die de bescherming van de gegevens verminderen, doet LYN niet zonder instemming van de klant. Op deze overeenkomst is Nederlands recht van toepassing.

Vragen over deze verwerkersovereenkomst? Neem contact op via het contactformulier op de website.