Pagina 1 van 8
Voorwaarden voor sub-verwerkers van MainPlus Schadeherstel B.V.
1 maart 2021
1. Toepasselijkheid
1. Deze Voorwaarden voor sub-verwerkers (“Voorwaarden”) zijn van toepassing op de Dienstverleningsovereenkomst Schadeherstel die wordt gesloten tussen een herstelpartner
(“Opdrachtnemer”) en MainPlus Schadeherstel B.V. (“MainPlus”) ten behoeve van het afnemen van schadehersteldiensten door MainPlus.
2. Deze Voorwaarden zijn bovendien van toepassing op alle verbintenissen die voortvloeien uit tussen partijen gesloten en te sluiten overeenkomsten of precontractuele rechtsbetrekkingen.
3. Wijzigingen en aanvullingen op en afwijkingen van deze Voorwaarden zijn slechts bindend indien en zover MainPlus dit schriftelijk bevestigt en deze bevestiging is ondertekend door een bevoegde
vertegenwoordiger van MainPlus.
4. Eventuele algemene voorwaarden van Opdrachtnemer zijn uitdrukkelijk uitgesloten van toepasselijkheid op de Overeenkomst.
5. Indien enige bepaling uit deze Voorwaarden om welke reden dan ook niet geldig is, dan blijven deze Voorwaarden voor het overige van kracht en zullen partijen in onderling overleg voorzien in een regeling ter vervanging van de ongeldige bepaling met zoveel mogelijk behoud van de strekking daarvan.
2. Definities & interpretatie
In deze Voorwaarden hebben de volgende definities de navolgende betekenis. De definities zullen zowel in enkel- als in meervoudsvorm gebruikt worden.
AVG is de Verordening (EU) 2016/679 bescherming natuurlijke personen in verband met verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG;
Bijlagen zijn alle Bijlagen behorende bij de Overeenkomst;
Datalek is een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens;
Diensten zijn de diensten die MainPlus afneemt van Opdrachtnemer, zoals nader omschreven in de Overeenkomst;
Klantis de opdrachtgever c.q. klant van MainPlus;
Overeenkomst is de Dienstverleningsovereenkomst Schadeherstel, inclusief de bijbehorende Bijlagen samen;
Partijen zijn MainPlus en Opdrachtnemer;
Persoonsgegevens zijn alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. In dit geval betreft het voornaam, achternaam, adresgegevens, telefoonnummer, e-mailadres van klanten van de Klant en oorzaak en kosten reparatieverzoek van Klanten;
Pagina 2 van 8
Voorwaarden zijn de onderhavige Voorwaarden voor sub-verwerkers van MainPlus Schadeherstel B.V.
3. Opdracht tot sub-verwerking
3.1 In het kader van deze Voorwaarden wordt de Klant als de “verwerkingsverantwoordelijke” in de zin van artikel 4 sub 7 van de AVG, MainPlus als de “verwerker” in de zin van artikel 4 sub 8 van de AVG en Opdrachtnemer als de “sub-verwerker” in de zin van artikel 28 lid 4 van de AVG beschouwd.
3.2 Opdrachtnemer zal de Diensten leveren aan MainPlus zoals overeengekomen in de Overeenkomst. In het kader van deze Diensten verstrekt MainPlus Persoonsgegevens aan Opdrachtnemer die door Opdrachtnemer uitsluitend dienen te worden gebruikt ter uitvoering van artikel 3 tot en met 5 van deze Overeenkomst.
3.3 Opdrachtnemer verwerkt de Persoonsgegevens uitsluitend in opdracht en volgens de instructies van MainPlus. Opdrachtnemer gebruikt de Persoonsgegevens niet voor eigen doeleinden of doeleinden van derden, behoudens afwijkende op Opdrachtnemer rustende wettelijke verplichtingen.
3.4 Opdrachtnemer heeft geen zelfstandige zeggenschap over het gebruik van de Persoonsgegevens, de verstrekking aan derden en de duur van de opslag van Persoonsgegevens, behoudens afwijkende op Opdrachtnemer rustende wettelijke verplichtingen.
3.5 Opdrachtnemer verwerkt, beschermt en beveiligt persoonsgegevens, op een behoorlijke en zorgvuldige wijze en in overeenstemming met de toepasselijke wet- en regelgeving, waaronder de AVG. Het voorgaande geldt onverkort ook voor grensoverschrijdende
verzending en/of distributie en/of verstrekking van persoonsgegevens naar landen buiten de Europese Unie (“EU”) en de Europese Economische Ruimte (“EER”) waarbij heeft te gelden dat deze doorgifte alleen is toegestaan indien dit berust op schriftelijke instructies van de Klant aan MainPlus en/of Opdrachtnemer.
4. Beveiligingsmaatregelen
4.1 Opdrachtnemer garandeert dat zij, rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van personen, passende technische en organisatorische maatregelen treft om een op het risico afgestemd beveiligingsniveau te waarborgen.
4.2 De beveiligingsmaatregelen bestaan tenminste uit:
• beleidsdocument voor informatiebeveiliging;
• toewijzen van verantwoordelijkheden voor informatiebeveiliging;
• beveiligingsbewustzijn;
• fysieke beveiliging en beveiliging van apparatuur;
• toegangsbeveiliging;
• logging en controle;
• correcte verwerking in toepassingssystemen;
Pagina 3 van 8
• beheer van technische kwetsbaarheden;
• incidentenbeheer;
• afhandeling van datalekken en beveiligingsincidenten; en
• continuïteitsbeheer;
4.3 Opdrachtnemer stelt MainPlus en de Klant in wiens opdracht de Persoonsgegevens worden verwerkt in staat toe te zien op de naleving van het in dit artikel bepaalde, eventueel door middel van het instellen van een (onafhankelijke externe) audit, en zal daartoe aan MainPlus en de Klant in wiens opdracht de Persoonsgegevens worden verwerkt, of een door hen ingeschakelde derde, zo nodig toegang verlenen tot haar personeel, gebouwen en computerinrichtingen. Opdrachtnemer zal MainPlus en de Klant in wiens opdracht de
Persoonsgegevens worden verwerkt, of de door hen ingeschakelde derde, voorts voorzien van de benodigde informatie en documentatie en hem redelijke medewerking verschaffen. De kosten van het onderzoek komen voor rekening van MainPlus dan wel de Klant in wiens opdracht de Persoonsgegevens worden verwerkt, tenzij uit het onderzoek blijkt dat niet aan dit artikel wordt voldaan, in welk geval de kosten van het onderzoek voor rekening van Opdrachtnemer komen. Opdrachtnemer zal voor de medewerking als omschreven in dit artikel geen kosten in rekening brengen.
4.4 Opdrachtnemer erkent dat beveiligingseisen, onder meer maar niet uitsluitend vanwege een instructie van de Klant of vanwege het oordeel van MainPlus, voortdurend veranderen en dat een effectieve beveiliging frequente evaluatie en regelmatige verbetering van verouderde beveiligingsmaatregelen vereist. Partijen zullen daarom de maatregelen zoals
geïmplementeerd op basis van dit artikel 4 periodiek evalueren. Beveiligingsmaatregelen worden conform de eisen van MainPlus vastgesteld en verscherpt, aangevuld of verbeterd om te blijven voldoen aan de verplichtingen die voortvloeien uit de AVG en aanverwante
wetgeving alsmede uit de onderhavige Voorwaarden en de eisen die de Klant stelt aan de verwerking van Persoonsgegevens. De kosten van de verbeteringen als bedoeld in dit artikel worden niet aan MainPlus doorbelast.
4.5 Opdrachtnemer vrijwaart MainPlus en zal MainPlus volledig schadeloosstellen op een euro voor euro basis voor alle schade voortvloeiende uit of verband houdende met voor iedere aanspraak, schade, ,kosten die het gevolg is van het niet treffen van passende technische en organisatorische maatregelen.
5. Toegang en geheimhouding
5.1 Zonder de voorafgaande schriftelijke toestemming van MainPlus is het Opdrachtnemer niet toegestaan om derden toegang te geven tot de Persoonsgegevens, behoudens voor zover een wettelijk voorschrift Opdrachtnemer hiertoe verplicht.
5.2 Opdrachtnemer zal de Persoonsgegevens waarvan zij kennis neemt geheimhouden, tenzij een wettelijk voorschrift Opdrachtnemer tot mededeling verplicht, in welk geval Opdrachtnemer MainPlus voorafgaand aan de mededeling zal informeren.
6. Beveiligingsincidenten
6.1 Opdrachtnemer neemt alle passende technische en organisatorische maatregelen om Persoonsgegevens te beveiligen tegen een Datalek. Indien Opdrachtnemer een Datalek
Pagina 4 van 8
signaleert, zal zij MainPlus over dit Datalek onmiddellijk, uiterlijk binnen 24 uur na ontdekking, in kennis stellen en alle redelijkerwijs benodigde maatregelen treffen om (verdere) schending van de van toepassing zijnde wetgeving betreffende de verwerking van Persoonsgegevens te voorkomen en/of te beperken.
6.2 De kennisgeving zoals opgenomen in artikel 6.1 bevat in ieder geval de volgende informatie:
(i) een beschrijving van het Datalek, waaronder aard, tijdstip, soort
persoonsgegevens, categorieën van betrokkenen, de maatregelen die zijn getroffen voordat het Datalek plaatsvond en het aantal betrokkenen ; (ii) de door Opdrachtnemer geconstateerde en waarschijnlijke gevolgen van het
Datalek;
(iii) de door Opdrachtnemer genomen of te treffen maatregelen om het Datalek te (doen) beëindigen dan wel de negatieve gevolgen van het Datalek te beperken; en (iv) de verwachte oplossingstijd.
6.3 Voorts zal Opdrachtnemer in geval van een Datalek:
(i) assisteren bij de identificatie van de betrokkenen die (mogelijk) getroffen zijn en welke persoonsgegevens van deze betrokken gecompromitteerd (kunnen) zijn;
(ii) faciliteiten aanbieden om eventuele verzoeken en/of klachten van betrokkenen in goede banen te leiden;
(iii) adequate assistentie verlenen aan betrokken die (mogelijk) getroffen zijn, zoals redelijkerwijs verzocht wordt door MainPlus of vereist is op grond van toepasselijke wetgeving, in het bijzonder artikel 33 en 34 van de AVG; en
(iv) alle instructies van MainPlus dienaangaande opvolgen.
6.4 Opdrachtnemer zal, op verzoek van MainPlus, de benodigde ondersteuning bieden bij het melden van het Datalek bij de Autoriteit Persoonsgegevens of enig ander toezichthoudend orgaan en/of aan de betrokkenen bij een Datalek. Opdrachtnemer is slechts na uitdrukkelijke schriftelijke toestemming van de Klant bevoegd om een melding in te dienen bij de Autoriteit Persoonsgegevens of enig ander toezichthoudend orgaan.
6.5 De eventuele kosten die voortvloeien uit de artikelen 6.1, 6.2 en 6.3 worden exclusief gedragen door Opdrachtnemer.
6.6 Opdrachtnemer zal MainPlus onmiddellijk schriftelijk informeren indien er sprake is van een verzoek en/of onderzoek van de Autoriteit Persoonsgegevens of enig ander enig
toezichthoudend orgaan met betrekking tot de verwerking van persoonsgegevens door MainPlus.
7. Personeel van Opdrachtnemer
7.1 De verplichtingen van Opdrachtnemer die uit deze Voorwaarden voortvloeien, gelden ook voor degenen die Persoonsgegevens verwerken onder het gezag van
Opdrachtnemer. Personeel van Opdrachtnemer heeft uitsluitend toegang tot
Persoonsgegevens voor zover dat noodzakelijk is voor de uitvoering op grond van deze Voorwaarden. Opdrachtnemer verplicht zich ertoe haar personeel een
geheimhoudingsverklaring te laten ondertekenen ten behoeve van de naleving van deze Voorwaarden.
Pagina 5 van 8 8. Sub-sub-verwerker
8.1 Opdrachtnemer besteedt haar verplichtingen die voortvloeien uit onderhavige
Voorwaarden niet uit aan groepsmaatschappijen en onderaannemers, die kwalificeren als verwerkers in de zin van de AVG (“Sub-Sub-Verwerkers”), tenzij MainPlus daarvoor haar voorafgaande schriftelijk toestemming heeft gegeven. Opdrachtnemer zal MainPlus onverwijld informeren over iedere Sub-Sub-Verwerker die zij van plan is in te schakelen.
8.2 Aan de toestemming van MainPlus als genoemd in artikel 8.1 zullen in ieder geval de volgende voorwaarden worden verbonden:
a. de Sub-Sub-Verwerker is rechtstreeks betrokken bij levering van de diensten onder deze Voorwaarden; en
b. Opdrachtnemer heeft een schriftelijke overeenkomst met de Sub-Sub-Verwerker gesloten waarin dezelfde verplichtingen inzake gegevensbescherming worden opgelegd als die welke in deze Voorwaarden zijn opgenomen, met name de verplichting afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen te bieden zodat de verwerking van Persoonsgegevens aan de AVG voldoet.
8.3 Indien de MainPlus Opdrachtnemer toestemming geeft voor het uitbesteden van haar verplichtingen die voortvloeien uit onderhavige Voorwaarden aan Sub-Sub-Verwerker, dan garandeert Opdrachtnemer dat deze Sub-Sub-Verwerker handelt in
overeenstemming met alle bepalingen uit de Voorwaarden en is Opdrachtnemer volledig aansprakelijk wanneer de Sub-Sub-verwerker zijn verplichtingen inzake gegevensbescherming niet nakomt.
8.4 Opdrachtnemer blijft in de verhouding tussen Partijen verantwoordelijk en
aansprakelijk voor de nakoming van de krachtens deze Voorwaarden op haar rustende verplichtingen.
9. Doorgifte Persoonsgegevens
9.1 Opdrachtnemer garandeert dat iedere verwerking van Persoonsgegevens welke door of namens Opdrachtnemer wordt verricht in verband met deze Voorwaarden zal plaatsvinden binnen de EU en de EER. Zonder de voorafgaande schriftelijke toestemming van MainPlus mag Opdrachtnemer derhalve geen Persoonsgegevens doorgeven naar of opslaan in een land buiten de EU of de EER of Persoonsgegevens toegankelijk maken vanuit een niet-EU of niet-EER land.
9.2 Opdrachtnemer verschaft op eerste verzoek van MainPlus inzicht in de locatie(s) van waaruit de gegevensverwerking plaatsvindt.
10. Inzageverzoeken overheden
10.1 Indien Opdrachtnemer een verzoek of een bevel ontvangt van een toezichthouder of een overheidsinstantie (waaronder maar niet beperkt tot opsporings-, strafvorderings-, of veiligheidsinstanties) om inzage in of verstrekking van Persoonsgegevens van
Pagina 6 van 8
MainPlus (“Bevel”), dan zal Opdrachtnemer MainPlus hierover onverwijld informeren.
10.2 Bij de behandeling van het Bevel zal Opdrachtnemer alle instructies van MainPlus in acht nemen (waaronder de instructie om de behandeling van het Bevel geheel of gedeeltelijk aan MainPlus over te laten) en alle redelijkerwijs benodigde medewerking verlenen.
10.3 Indien het Opdrachtnemer op grond van het Bevel is verboden om te voldoen aan zijn verplichtingen op grond van artikel 10.1 en 10.2, zal Opdrachtnemer de redelijke belangen van MainPlus behartigen. Opdrachtnemer zal daartoe in ieder geval:
a. juridisch laten toetsen in hoeverre:
i. Opdrachtnemer wettelijk verplicht is om aan het Bevel te voldoen; en ii. het Opdrachtnemer daadwerkelijk is verboden om aan zijn verplichtingen op
grond van artikel 10.1 en 10.2 te voldoen;
b. alleen aan het Bevel meewerken indien zij hiertoe wettelijk verplicht is en waar mogelijk (in rechte) bezwaar maken tegen het Bevel of het verbod om MainPlus hierover te informeren of zijn instructies op te volgen;
c. niet meer of andere (persoons)gegevens verstrekken dan strikt noodzakelijk om aan het verzoek te voldoen;
d. indien sprake is van doorgifte naar een land buiten de EER: de mogelijkheden onderzoeken om te voldoen aan Hoofdstuk V van de AVG;
e. MainPlus onverwijld informeren zodra dit is toegestaan.
11. Ondersteuning MainPlus
11.1 Zonder afbreuk te doen aan enige bepaling uit deze Voorwaarden, zal Opdrachtnemer aan MainPlus onder andere ondersteuning bieden bij de volgende werkzaamheden:
i) het melden van een Datalek bij de Autoriteit Persoonsgegevens of enig ander toezichthoudend orgaan en/of aan betrokkenen in de zin van artikel 6 van deze Voorwaarden; en
ii) het uitvoeren van een gegevensbeschermingseffectbeoordeling c.q. (deep) privacy impact assessment; en
iii) het consulteren van de Autoriteit Persoonsgegevens of enig ander toezichthoudend orgaan.
12. Rechten betrokkene
12.1 Opdrachtnemer verleent, zonder daarvoor kosten aan MainPlus of de Klant in rekening te brengen, MainPlus haar volledige medewerking om betrokkenen hun rechten als bedoeld in hoofdstuk III van de AVG te laten uitoefenen, waaronder:
(i) inzage in hun Persoonsgegevens te laten krijgen; en/of
(ii) Persoonsgegevens te laten verwijderen of te corrigeren; en/of (iii) Persoonsgegevens te laten wissen; en/of
(iv) Een kopie te verkrijgen van de Persoonsgegevens om door te geven aan door MainPlus en/of de Klant derden (het zgn. recht op dataportabiliteit); en/of (v) aan te laten tonen dat Persoonsgegevens verwijderd of gecorrigeerd zijn
indien zij incorrect zijn of, indien MainPlus of de Klant het standpunt van
Pagina 7 van 8
betrokkene bestrijdt, vast te leggen dat betrokkene haar Persoonsgegevens als incorrect beschouwt.
12.2 Indien een betrokkene met betrekking tot de uitvoering van haar rechten onder artikel 12.1 rechtstreeks contact opneemt met Opdrachtnemer, dan dient Opdrachtnemer contact op te nemen met MainPlus met een verzoek om nadere instructies.
13. Aansprakelijkheid
13.1 Indien Opdrachtnemer enige verplichting uit deze Voorwaarden niet nakomt, is zij aan MainPlus een onmiddellijk opeisbare en niet voor matiging vatbare boete verschuldigd van EUR 10.000,- voor elke tekortkoming, vermeerderd met EUR 1.000,- voor elke dag dat de tekortkoming voortduurt, onverminderd het recht van MainPlus om daarnaast volledige schadevergoeding en/of nakoming te vorderen van Opdrachtnemer.
13.2 Opdrachtnemer vrijwaart MainPlus tegen alle vorderingen, aansprakelijkheden en schade, inclusief opgelegde maatregelen of boetes en de redelijke kosten voor het inschakelen van juridisch adviseur, die voortvloeien uit: (i) een tekortkoming van Opdrachtnemer in de nakoming van haar verplichtingen uit hoofde van deze Voorwaarden; en (ii) de niet nakoming van enige andere verplichting die op
Opdrachtnemer rust krachtens de toepasselijke wet- en regelgeving met betrekking tot de verwerking van de Persoonsgegevens.
14. Duur en beëindiging
14.1 Deze Voorwaarden treden in werking na ondertekening door beide Partijen van de Overeenkomst. De toepasselijkheid van deze Voorwaarden eindigt automatisch bij het einde c.q. beëindigen van de Overeenkomst, dan wel indien de Klant de
verwerkersovereenkomst met MainPlus beëindigd op grond waarvan verdere verwerking van de Persoonsgegevens niet meer is toegestaan.
14.2 Op verzoek van MainPlus of bij het beëindigen van de Overeenkomst om welke reden dan ook, zal Opdrachtnemer ervoor zorgdragen dat naar keuze van MainPlus:
(i) de Persoonsgegevens tegen redelijke kosten aan MainPlus ter beschikking worden gesteld op de wijze en in het format dat MainPlus wenst;
(ii) alle hem ter beschikking gestelde Persoonsgegevens alsmede de verwerkte Persoonsgegevens te vernietigen en de vernietiging schriftelijk te bevestigen aan MainPlus.
14.3 Opdrachtnemer is bevoegd om, na beëindiging, ontbinding of opzegging van de Overeenkomst, (delen van) Persoonsgegevens te behouden indien specifieke bepalingen uit de toepasselijke wet- en regelgeving dit bepalen.
15. Toepasselijk recht en bevoegde rechter
15.1 Deze Voorwaarden worden beheerst door Nederlands recht.
15.2 In het geval van een verschil van mening tussen Partijen over de uitleg en/of toepassing van deze Voorwaarden, zal eerst in gezamenlijk overleg geprobeerd worden een oplossing te
Pagina 8 van 8
bereiken met inachtneming van de redelijkheid en billijkheid. Mocht dit niet leiden tot een oplossing, dan zal het management of directie van ieder van Partijen samen in overleg treden om een oplossing te bereiken.
15.3 Alle geschillen die voortvloeien uit of verband houden met deze Voorwaarden worden bij uitsluiting voorgelegd aan de bevoegde rechter te Den Haag.
16. Inwerkingtreding
Deze Voorwaarden worden van kracht met ingang van 1 maart 2021. Zij zijn op 1 maart 2021 gedeponeerd bij de Kamer van Koophandel te Den Haag onder nummer 65557921.
