Artikel 9.1 De begrippen ‘verwerkingsverantwoordelijke’, ‘verwerker’, ‘persoonsgegevens’, ‘betrokkene’, ‘verwerking’, ‘inbreuk in verband met persoonsgegevens’ en andere begrippen die in dit artikel betrekking hebben op de verwerking van persoonsgegevens, hebben de betekenis zoals vastgelegd in de AVG.

Artikel 9.2 Dit artikel 9.2 is uitsluitend van toepassing indien en voor zover Solvetur persoonsgegevens verwerkt als verwerker of als subverwerker van Klant. Indien dit het geval is, komen Solvetur en Klant het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het type persoonsgegevens en de categorieën persoonsgegevens, betrokkenen en ontvangers overeen in het kader van de Opdrachtomschrijving. Indien nodig wordt deze informatie door beide partijen van tijd tot tijd in onderling overleg bijgewerkt. Indien en voor zover Solvetur optreedt als verwerker, zijn de volgende artikelen voor gegevensverwerking van toepassing:

9.2.1 Solvetur verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van Klant, tenzij verwerking vereist is op grond van wet- en regelgeving waaraan Solvetur is onderworpen. In dat geval zal Solvetur Klant vóór de verwerking informeren over die wettelijke verplichting, tenzij de toepasselijke wet- en/of regelgeving dergelijke informatie om gewichtige redenen van algemeen belang verbiedt.

9.2.2 Solvetur stelt Klant op de hoogte naar indien het oordeel van Solvetur een instructie van Klant in strijd is met de Wet bescherming persoonsgegevens.

9.2.3 Solvetur ziet erop toe dat de personen die bevoegd zijn de persoonsgegevens te verwerken, zich hebben verplicht tot vertrouwelijkheid.

9.2.4 Rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard, omvang, context en doeleinden van de verwerking, alsmede de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen, zal Solvetur voor haar verwerkingsactiviteiten passende technische en organisatorische maatregelen treffen om een ​​op het risico afgestemd beveiligingsniveau te waarborgen. Solvetur zal op verzoek van Klant informatie verstrekken over haar technische en organisatorische maatregelen. Het voorgaande laat de verantwoordelijkheid van Klant om passende technische en organisatorische maatregelen te nemen, in het bijzonder met betrekking tot informatieverwerkingssystemen van Klant of van een partij waarvoor Klant verantwoordelijk is, onverlet.

9.2.5 Indien persoonsgegevens worden verwerkt door een subverwerker in opdracht van Solvetur, dient Solvetur voorafgaande toestemming van Klant te verkrijgen, welke toestemming niet onredelijk zal worden onthouden of vertraagd. Solvetur draagt ​​er zorg voor dat deze verwerking wordt geregeld door een contract met verplichtingen die voldoen aan de vereisten zoals vastgelegd in de Wet bescherming persoonsgegevens. Klant machtigt Solvetur hierbij om haar gelieerde ondernemingen aan te stellen als subverwerkers. Klant machtigt Solvetur hierbij tevens om persoonsgegevens ter beschikking te stellen aan subverwerkers wier diensten worden ingeschakeld ter uitvoering van de Overeenkomst.

9.2.6 Solvetur zal Klant, voor zover mogelijk en toepasbaar, bijstaan ​​met passende technische en organisatorische maatregelen ter nakoming van haar verplichting om te reageren op verzoeken tot uitoefening van de wettelijke rechten van de betrokkene. Solvetur zal Klant onverwijld op de hoogte stellen indien Solvetur een verzoek van een betrokkene ontvangt op grond van de Wet bescherming persoonsgegevens met betrekking tot persoonsgegevens die worden verwerkt in het kader van de uitvoering van de Overeenkomst, en zal niet op een dergelijk verzoek reageren, behalve op basis van de gedocumenteerde instructies van Klant of indien dit vereist is door de toepasselijke wet- en/of regelgeving. In dat geval zal Solvetur Klant, voor zover toegestaan, op de hoogte stellen van die wettelijke verplichting alvorens aan het verzoek te voldoen.

9.2.7 Solvetur zal, indien Klant daarom verzoekt, voorafgaand aan de verwerking haar redelijke medewerking verlenen die nodig is voor het nakomen van enige verplichting van Klant krachtens de Wetgeving inzake gegevensbescherming om een ​​gegevensbeschermingseffectbeoordeling uit te voeren en, in dat verband, voor het raadplegen van de toezichthoudende autoriteit voor gegevensbescherming, voor zover Klant zelf geen toegang heeft tot de relevante informatie en deze informatie wel bij Solvetur beschikbaar is.

9.2.8 Solvetur zal, naar keuze en op kosten van Klant, alle persoonsgegevens na afloop van de levering van Diensten met betrekking tot de verwerking van persoonsgegevens verwijderen of aan Klant retourneren, en bestaande kopieën verwijderen, tenzij de toepasselijke wet- en/of regelgeving opslag van de persoonsgegevens vereist. Indien Klant bij beëindiging van de Overeenkomst niet schriftelijk heeft aangegeven de persoonsgegevens te willen retourneren, is Solvetur gerechtigd de persoonsgegevens te (laten) verwijderen.

9.2.9 Solvetur zal alle benodigde informatie beschikbaar stellen die Klant op redelijke gronden verzoekt en die noodzakelijk is om aan te tonen dat Solvetur voldoet aan de verplichtingen zoals vastgelegd in de Wetgeving inzake Gegevensbescherming, voor zover deze betrekking hebben op de verwerkingsactiviteiten van Solvetur voor Klant. Indien de betreffende informatie vertrouwelijk is, kan Solvetur verlangen dat de informatie uitsluitend op de locatie van Solvetur wordt ingezien. Solvetur is gerechtigd om aan een dergelijk verzoek redelijke nadere voorwaarden te stellen om de vertrouwelijkheid en integriteit van dergelijke informatie te waarborgen.

9.2.10 Solvetur stelt Klant binnen 48 uur op de hoogte nadat Solvetur kennis heeft genomen van een datalek bij Solvetur of haar subverwerkers. Solvetur zal een dergelijk datalek onderzoeken en Klant zo spoedig mogelijk een rapport verstrekken met de resultaten van het onderzoek. Indien een datalek geheel of gedeeltelijk is veroorzaakt door toedoen van Klant, betaalt Klant de kosten voor het werk dat Solvetur verricht in het kader van het onderzoek, uitgevoerd door of in opdracht van Solvetur. Deze kosten worden door Klant vergoed conform de geldende (uur)tarieven.

9.2.11 Solvetur mag persoonsgegevens uitsluitend doorgeven aan een derde land of een internationale organisatie indien aan de voorwaarden voor een dergelijke internationale gegevensoverdracht, zoals uiteengezet in de Wet bescherming persoonsgegevens, is voldaan, bijvoorbeeld indien er een adequaatheidsbevinding is gedaan met betrekking tot een relevant derde land.

9.2.12 Cliënt kan maximaal eenmaal per jaar en op kosten van Cliënt een audit laten uitvoeren door een onafhankelijke, gecertificeerde externe deskundige die aantoonbare ervaring heeft met de gegevensverwerking die onder de Overeenkomst wordt uitgevoerd. Solvetur is gerechtigd een deskundige te weigeren indien deze deskundige, naar het redelijke oordeel van Solvetur, de concurrentiepositie van Solvetur schaadt of kan schaden. De audit beperkt zich tot het verifiëren van de naleving van de afspraken over de verwerking van persoonsgegevens zoals vastgelegd in de Overeenkomst. De deskundige is verplicht zijn bevindingen vertrouwelijk te behandelen en rapporteert aan Cliënt uitsluitend kwesties die ertoe leiden dat Solvetur haar verplichtingen onder de Overeenkomst niet nakomt. De deskundige verstrekt Solvetur een kopie van dit rapport. Solvetur kan een deskundige, een audit of een opdracht van de deskundige weigeren indien dit naar het oordeel van Solvetur in strijd is met de Wet bescherming persoonsgegevens of andere wet- en regelgeving of indien dit een onaanvaardbare inbreuk vormt op de door Solvetur getroffen beveiligingsmaatregelen. Solvetur kan verlangen dat vooraf een auditplan wordt overeengekomen, met inbegrip van de reikwijdte, elementen, timing en duur van de audit. Solvetur is gerechtigd de redelijke gemaakte kosten aan Cliënt in rekening te brengen.