Verwerkersovereenkomst AVG taxiID B.V.

Download de Verwerkersovereenkomst (PDF)

Deze Verwerkersovereenkomst is van toepassing op alle vormen van verwerking van persoonsgegevens die taxiID B.V., ingeschreven bij de Kamer van Koophandel onder nummer 52397297, (hierna genoemd als “Verwerker”), uitvoert ten behoeve van een wederpartij aan wie zij diensten levert, de opdrachtgever (hierna genoemd als “Verwerkingsverantwoordelijke”). Deze verwerkersovereenkomst maakt integraal onderdeel uit van de afspraken tussen Partijen zoals overeengekomen in de Overeenkomst (hierna genoemd als “Overeenkomst”) tussen beide partijen.

1. Doeleinden van verwerking

1.1. Verwerker verbindt zich onder de voorwaarden van deze Verwerkersovereenkomst in opdracht van Verwerkingsverantwoordelijke persoonsgegevens te verwerken. Verwerking zal uitsluitend plaatsvinden in het kader zoals in de Overeenkomst zijn overeengekomen, plus die doeleinden die daarmee redelijkerwijs samenhangen of die met nadere instemming worden bepaald.

1.2. De persoonsgegevens die door Verwerker in het kader van de werkzaamheden als bedoeld in het vorige lid worden verwerkt en de categorieën van de betrokkenen van wie deze afkomstig zijn, zijn opgenomen in Bijlage 1.

1.3. Verwerker zal de persoonsgegevens niet voor enig ander doel verwerken dan zoals door Verwerkingsverantwoordelijke is vastgesteld. Verwerkingsverantwoordelijke zal Verwerker op de hoogte stellen van de verwerkingsdoeleinden voor zover deze niet reeds in deze Verwerkersovereenkomst zijn genoemd.

1.4. De in opdracht van Verwerkingsverantwoordelijke te verwerken persoonsgegevens blijven eigendom van Verwerkingsverantwoordelijke en/of de betreffende betrokkenen.

2. Verplichtingen Verwerker

2.1. Ten aanzien van de in artikel 1 genoemde verwerkingen zal Verwerker zorg dragen voor de naleving van de toepasselijke wet- en regelgeving, waaronder in ieder geval begrepen de wet- en regelgeving op het gebied van de bescherming van persoonsgegevens, zoals de Algemene Verordening Gegevensbescherming.

2.2. Verwerker zal Verwerkingsverantwoordelijke, op diens eerste verzoek daartoe, informeren over de door haar genomen maatregelen aangaande haar verplichtingen onder deze Verwerkersovereenkomst.

2.3. De verplichtingen van de Verwerker die uit deze Verwerkersovereenkomst voortvloeien, gelden ook voor degenen die persoonsgegevens verwerken onder het gezag van Verwerker, waaronder begrepen maar niet beperkt tot werknemers, in de ruimste zin van het woord.

2.4. De Verwerker zal de Verwerkingsverantwoordelijke onmiddellijk in kennis stellen indien naar zijn mening een instructie van de Verwerkingsverantwoordelijke in strijd is met de in AVG wetgeving.

2.5. Verwerker zal, voor zover dat binnen haar macht ligt, redelijkerwijs bijstand verlenen aan Verwerkingsverantwoordelijke ten behoeve van het uitvoeren van gegevensbeschermingseffectbeoordelingen (PIA’s). De tijd die hieraan wordt besteed, wordt door Verwerker bij Verwerkingsverantwoordelijke in rekening gebracht.

3. Doorgifte van persoonsgegevens

3.1. Verwerker mag de persoonsgegevens verwerken in landen binnen de Europese Unie. Doorgifte naar landen buiten de Europese Unie is niet toegestaan, tenzij Verwerkingsverantwoordelijke daar toestemming voor geeft.

3.2. Verwerker zal Verwerkingsverantwoordelijke melden om welk land of welke landen het gaat.

4. Verdeling van verantwoordelijkheid

4.1. De toegestane verwerkingen zullen door medewerkers van Verwerker worden uitgevoerd binnen een geautomatiseerde omgeving.

4.2. Verwerker is louter verantwoordelijk voor de verwerking van de persoonsgegevens onder deze Verwerkersovereenkomst, overeenkomstig de instructies van Verwerkingsverantwoordelijke en onder de uitdrukkelijke (eind-)verantwoordelijkheid van Verwerkingsverantwoordelijke. Voor de overige verwerkingen van persoonsgegevens, waaronder in ieder geval begrepen, maar niet beperkt tot, de verzameling van de persoonsgegevens door de Verwerkingsverantwoordelijke, verwerkingen voor doeleinden die niet door Verwerkingsverantwoordelijke aan Verwerker zijn gemeld, verwerkingen door derden en/of voor andere doeleinden, is Verwerker uitdrukkelijk niet verantwoordelijk.

4.3. Verwerkingsverantwoordelijke garandeert dat de inhoud, het gebruik en de opdracht tot de verwerkingen van de persoonsgegevens zoals bedoeld in deze verwerkersovereenkomst niet onrechtmatig zijn en geen inbreuk maken op enig recht van derden.

5. Inschakelen van derden of onderaannemers

5.1. Verwerker mag in het kader van deze verwerkersovereenkomst gebruik maken van derden en zal op verzoek een lijst van derden (subverwerkers) aanleveren aan Verwerkingsverantwoordelijke.

5.2. Verwerker zorgt er in ieder geval voor dat deze derden schriftelijk ten minste dezelfde plichten op zich nemen als tussen Verwerkingsverantwoordelijke en Verwerker zijn overeengekomen.

5.3. Verwerker staat in voor een correcte naleving van de plichten uit deze Verwerkersovereenkomst door deze derden en is bij fouten van deze derden zelf aansprakelijk voor alle schade alsof zij zelf de fout(en) heeft begaan.

6. Beveiliging

6.1. Verwerker zal zich inspannen voldoende technische en organisatorische beveiligingsmaatregelen te nemen met betrekking tot de te verrichten verwerkingen van persoonsgegevens, tegen verlies of tegen enige vorm van onrechtmatige verwerking (zoals onbevoegde kennisname, aantasting, wijziging of verstrekking van de persoonsgegevens).

6.2. Verwerker heeft in ieder geval de beveiligingsmaatregelen genomen zoals genoemd in het Beveiligingsprotocol welke als bijlage is aangehecht aan deze Verwerkersovereenkomst. Verwerker mag het Beveiligingsprotocol op ieder moment eenzijdig aanpassen. Zij zal Verwerkingsverantwoordelijke op de hoogte stellen van aanpassingen.

6.3. Verwerker staat er niet voor in dat de beveiliging onder alle omstandigheden doeltreffend is. Indien een uitdrukkelijk omschreven beveiliging in de Verwerkersovereenkomst ontbreekt, zal Verwerker zich inspannen de beveiliging te laten voldoen aan een niveau dat, gelet op de stand van de techniek, de gevoeligheid van de persoonsgegevens en de aan het treffen van de beveiliging verbonden kosten, niet onredelijk is.

6.4. Verwerkingsverantwoordelijke stelt enkel persoonsgegevens aan Verwerker ter beschikking voor verwerking, indien zij zich ervan heeft verzekerd dat de vereiste beveiligingsmaatregelen zijn getroffen. Verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van de door Partijen afgesproken beveiligingsmaatregelen.

7. Meldplicht

7.1. Verwerkingsverantwoordelijke is te allen tijde verantwoordelijk voor het melden van een beveiligingslek en/of datalek (waaronder wordt verstaan: een inbreuk op de beveiliging van persoonsgegevens die leidt tot een kans op nadelige gevolgen, dan wel nadelige gevolgen heeft, voor de bescherming van persoonsgegevens) aan de toezichthouder en/of betrokkenen. Om Verwerkingsverantwoordelijke in staat te stellen aan deze wettelijke plicht te voldoen, stelt Verwerker de Verwerkingsverantwoordelijke binnen 48 uur nadat het lek bij hem bekend is geworden op de hoogte van het beveiligingslek en/of het datalek.

7.2. Een melding moet altijd worden gedaan, maar alleen als de gebeurtenis zich daadwerkelijk voorgedaan heeft.

7.3. De meldplicht behelst in ieder geval het melden van het feit dat er een lek is geweest. Daarnaast behelst de meldplicht:

• de aard van de inbreuk in verband met persoonsgegevens, waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie;
• de naam en de contactgegevens van de functionaris voor gegevensbescherming of een ander contactpunt waar meer informatie kan worden verkregen;
• de waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens;
• de maatregelen die de Verwerker heeft voorgesteld of genomen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.

8. Afhandeling verzoeken van betrokkenen

8.1. In het geval dat een betrokkene een verzoek tot uitoefening van zijn/haar wettelijke rechten richt aan Verwerker, zal Verwerker het verzoek doorsturen aan Verwerkingsverantwoordelijke, en zal Verwerkingsverantwoordelijke het verzoek verder afhandelen. Verwerker mag de betrokkene daarvan op de hoogte stellen.

9. Geheimhouding en vertrouwelijkheid

9.1. In het kader van geheimhouding en vertrouwelijkheid wordt verwezen naar de Algemene Voorwaarden van taxiID.

10. Audit

10.1. Verwerker geeft hierbij Verwerkingsverantwoordelijke het recht om een audit uit te laten voeren door een onafhankelijke derde die aan geheimhouding is gebonden ter controle van naleving van de bepalingen in deze Verwerkersovereenkomst of Verwerker verstrekt aan Verwerkingsverantwoordelijke een third party-mededeling, waarmee kan worden aangenomen dat Verwerker overeenkomstig de bepalingen in deze Verwerkersovereenkomst handelt. Voornoemde naar oordeel van Verwerker.

10.2. Deze audit mag eens per jaar plaatsvinden alsook bij een concreet vermoeden van misbruik van persoonsgegevens.

10.3. Verwerker zal aan de audit meewerken en alle voor de audit redelijkerwijs relevante informatie, inclusief ondersteunende gegevens zoals systeemlogs, en medewerkers zo tijdig mogelijk ter beschikking stellen.

10.4. De bevindingen naar aanleiding van de uitgevoerde audit zullen door Verwerker worden beoordeeld en kunnen, naar eigen goeddunken van Verwerker en op de wijze zoals Verwerker zelf bepaalt, worden doorgevoerd door Verwerker.

10.5. De kosten van de audit worden door Verwerkingsverantwoordelijke gedragen.

11. Aansprakelijkheid

11.1. In het kader van aansprakelijkheid wordt verwezen naar de Algemene Voorwaarden van taxiID, met onderstaande aanvullende paragrafen:

11.2. De aansprakelijkheid van Verwerker voor indirecte schade is uitgesloten. Onder indirecte schade wordt verstaan alle schade die geen directe schade is en daarmee in ieder geval, maar niet beperkt tot, gevolgschade, gederfde winst, gemiste besparingen, verminderde goodwill, schade door bedrijfsstagnatie, schade door het niet bepalen van marketingdoeleinden, schade verband houdende met het gebruik van door Verwerkingsverantwoordelijke voorgeschreven gegevens of databestanden, of verlies, verminking of vernietiging van gegevens of databestanden.

11.3. De in dit artikel bedoelde uitsluitingen en beperkingen komen te vervallen indien en voor zover de schade het gevolg is van opzet of bewuste roekeloosheid van de bedrijfsleiding van Verwerker.

12. Duur en beëindiging

12.1. Deze Verwerkersovereenkomst komt tot stand bij een succesvolle registratie op www.taxiid.nl en in gebruikname van de software van taxiID.

12.2. Voor reeds bestaande gebruikers (tot 18 mei 2018) wordt deze overeenkomst van kracht als onderdeel van de bestaande overeenkomst met kennisgeving op 18 mei 2018 en de gelegenheid tot bezwaar tot 25 mei 2018.

12.3. Deze Verwerkersovereenkomst is aangegaan voor de duur zoals bepaald in de Overeenkomst tussen Partijen en bij gebreke daarvan in ieder geval voor de duur van de samenwerking.

12.4. Zodra de Verwerkersovereenkomst, om welke reden en op welke wijze dan ook, is beëindigd en op verzoek, zal Verwerker – naar keuze van Verwerkingsverantwoordelijke – alle persoonsgegevens die bij haar aanwezig zijn in originele of kopieerform retourneren aan Verwerkingsverantwoordelijke, en/of deze persoonsgegevens en eventuele kopieën daarvan verwijderen en/of vernietigen. Voornoemde met uitzondering van de persoonsgegevens waarvan Verwerker deze moet bewaren teneinde de wettelijke (bewaar)verplichtingen na te komen.

12.5. Verwerker is gerechtigd deze Verwerkersovereenkomst van tijd tot tijd te herzien. Zij zal minimaal drie maanden van tevoren mededeling doen van de wijzigingen aan Verwerkingsverantwoordelijke. Verwerkingsverantwoordelijke mag opzeggen tegen het einde van deze drie maanden indien zij niet akkoord kan gaan met de wijzigingen. Anders worden de wijzigingen geacht te zijn goedgekeurd door Verwerkingsverantwoordelijke.

13. Toepasselijk recht en geschillenbeslechting

13.1. De Verwerkersovereenkomst en de uitvoering daarvan worden beheerst door Nederlands recht.

13.2. Alle geschillen, welke tussen Partijen mochten ontstaan in verband met de Verwerkersovereenkomst, zullen worden voorgelegd aan de bevoegde rechter voor het arrondissement waarin Verwerker gevestigd is.

Bijlage 1: Specificatie persoonsgegevens en betrokkenen

taxiID verwerkt gegevens in een aantal verschillende contexten. Hieronder per gegevens set beschreven. taxiID slaat deze gegevens op, in haar online netwerk, beveiligd en geleverd door Denit. taxiID heeft met Denit een verwerkersovereenkomst.

taxiID stelt alle gegevens van haar klanten (de taxibedrijven) beschikbaar aan deze klanten. Het is aan de klanten hiermee verantwoordelijk om te gaan.

Taxibedrijven kunnen zich registreren bij taxiID, zij kunnen hun profiel aanvullen met gegevens over hun bedrijf. Voor de wet AVG maken we het onderscheid tussen de persoonsgegevens van het contactpersoon en de bedrijfs gegevens.

Persoonsgegevens contactpersoon:

Bedrijfsgegevens:

Deze bedrijfsgegevens worden niet gedeeld met derde partijen. Taxibedrijven hebben via ons systeem echter wel de mogelijkheid hun gegevens te delen met andere taxibedrijven. Zij zijn zelf vrij te kiezen hiervan gebruik te maken.

Betaalgegevens taxibedrijf

Indien een taxibedrijf ervoor kiest een contract aan te gaan met taxiID betalen taxibedrijven via automatische incasso. Om dit te bewerkstelligen slaan wij de volgende gegevens op.

Chauffeurs gegevens voor taxibedrijven

Taxibedrijven hebben de mogelijkheid hun chauffeurs toe te voegen aan hun personeelsbestand. De taxibedrijven zijn hier zelf verantwoordelijk voor, taxiID B.V. verwerkt deze gegevens alleen. De afspraken hierover worden vastgelegd in de verwerkersovereenkomst tussen het taxibedrijf en taxiID B.V.

taxiID beschouwt is dus geen eigenaar van deze gegevens en zal deze gegevens ook niet gebruiken, delen of verkopen.

BSN Nummer

Wij kunnen ook het BSN nummer opslaan van een chauffeur. Dit beschouwen wij als een bijzondere persoonsgegevens. Het BSN nummer wordt gebruikt voor het inloggen in taxi BCT’s. Om data uit te wisselen met deze BCT’s hebben wij het BSN nummer nodig. Het BSN nummer wordt ook gebruikt als chauffeurspas nummer.

Track and trace

Naast de persoonsgegevens slaan wij tot 1 jaar de track en trace gegevens op van taxichauffeurs. Door deze gegevens kan er controle en validate omtrent incidenten in de taxiwereld worden gecontroleerd door de lokale overheden. Wij slaan de GPS gegevens alleen op als een chauffeur aangeeft online te zijn in zijn BCT of in zijn Chauffeurs App. Wij slaan geen locatiegegevens op indien een chauffeur aangeeft offline te zijn, of is uitgelogd.

Betaalgegevens taxibedrijf leden

Indien een taxibedrijf automatische incasso of betalingen wil doen vanuit de taxiID administratie kunnen zij ervoor kiezen de volgende gegevens toe te voegen aan een taxibedrijfs-profiel. Er kunnen alleen betalingen plaatsvinden tussen taxibedrijven, deze gegevens zijn alleen toegankelijk vanuit de centrale beheerder van de leden.

Passagiers gegevens

Passagiers kunnen op een aantal manieren ritten boeken bij onze klanten. De gegevens van de passagiers zijn eigendom van onze klanten en dus niet van taxiID B.V. taxiID beschouwt is dus geen eigenaar van deze gegevens en zal deze gegevens ook niet gebruiken, delen of verkopen.

Wij delen de passagier gegevens op in 2 onderdelen.

1. De rit boeking gegevens
2. De YourTaxiApp passagier accounts

De rit boeking gegevens

De gegevens van de passagier worden apart opgegeven bij een rit. Deze gegevens worden alleen gebruikt bij het verwerken van de betreffende rit. Dit kan zijn bij het boeken, tijdens de rit of achteraf bij facturatie. Het is mogelijk dat bij het boeken van een rit het taxibedrijf vraagt of deze gegevens ook gebruikt mogen worden voor andere doeleindes. Correct gebruik is echter de verantwoording van taxibedrijven, als taxiID bieden wij alleen de mogelijkheden aan om akkoord te gaan met de gegevens die een taxibedrijf vraagt van zijn passagiers.

Het is mogelijk dat de onderstaande gegevens per taxibedrijf uitgebreid worden, afspraken hierover liggen vast in de verwerkersovereenkomst en geheel ter verantwoording van het taxibedrijf.

Passenger app accounts

De passagiers apps welke wij leveren worden white-label geleverd aan taxibedrijven. De gegevens van deze apps worden opgeslagen in het taxiID netwerk bij Denit.

In tegenstelling tot de “rit boekingsgegevens” worden er bij gebruik van de app passagier accounts gemaakt. Deze accounts worden keer op keer gebruikt voor het boeken van taxiritten. Bij het maken van dit account vragen wij de passagier een privacy-voorwaarden te accepteren. In dit statement staat dat een passagier zijn account kan opzeggen door contact op te nemen met het betreffende taxibedrijf.

Bijzondere betaalgegevens

Het is mogelijk om een betaalmethode te koppelen aan je passagiers account. Hierbij melden we dat wij deze gegevens niet verwerken via en opslaan op servers van het taxiID Netwerk. Als beveiligingsmaatregel zorgen wij ervoor dat creditcard, bank of andere betaalgegevens nooit naar taxiID verstuurd worden. Hier maken wij altijd gebruik van een derde gecertificeerde betaal provider (PSP) die de betalingen verzorgd met de banken.

Wij slaan de volgende gegevens op om betalingen te kunnen verwerken via de betaalprovider(psp).

Bijlage 2: Beveiligingsprotocol

Firewall
Alle servers staan achter de een door denit beheer firewal. Deze zorgt voor bescherming van de servers van buitenaf.

VPN
Om vanaf buitenaf op ons interne netwerk te komen moet er altijd geconnect worden met een beveiligde VPN verbinding. Er kan hier alleen toegang tot verkregen worden op persoonlijke basis vanuit taxiID.

Antivirus
Op al onze machines, maken we gebruik van de nieuwste versie van antivirus software.

Backups
Van alle servers in het datacenter worden backups gemaakt. De backups worden op bestandsniveau gedaan maar ook over de gehele server. Deze backups worden in een ander datacenter opgeslagen.

Updates
De servers worden actief bijgewerkt met de laatste updates en patches zodat deze voorzien zijn van de laatste veiligheidsmaatregelen.

SSL
Onze website is te bereiken via HTTPS. Gegevens worden door middel van SSL-encryptie over het netwerk verstuurd.

Wachtwoorden
Alle gebruikte wachtwoorden worden door onze wachtwoordmanager gegenereerd en opgeslagen. Dit zijn zeer sterke wachtwoorden, welke niet te onthouden zijn.

Datacenter
Onze servers staan in een sterk beveiligd datacenter in Nederland. Dit datacenter wordt permanent bewaakt en is voorzien van een uitstekende klimaatbeheersing en brandbeveiliging.

Netwerkinfrastructuur
De netwerkinfrastructuur is optimaal beveiligd en op maat geconfigureerd ten behoeve van taxiID. Al het in- en uitgaande dataverkeer wordt actief gemonitord door Denit.

Encryptie
Alle wachtwoorden worden gecodeerd opgeslagen en zijn daardoor niet meer leesbaar. Dit geldt ook voor overige gevoelige settings.

Monitoring
taxiID houdt toezicht op alle servers en applicaties door middel van actieve monitoring, zodat het snel inzichtelijk is als er onregelmatigheden plaatsvinden. In dat geval is taxiID ook in staat om snel actie te ondernemen.

Foutafhandelingen
Indien een applicatie een foutmelding geeft, wordt deze zo weergegeven dat er geen technische of gevoelige informatie wordt prijsgegeven.

Geheimhoudingsverklaring medewerkers
Al onze medewerkers hebben een geheimhoudingsverklaring ondertekend zodat vertrouwelijke informatie ook vertrouwelijk blijft.

Rechten en rollen
Alle systemen in ons netwerk zijn alleen te bereiken via een login. Elke medewerker heeft zijn eigen rechten en rollen zodat niet iedereen toegang heeft tot alle systemen.

taxiID B.V.
Overleek 4
1671 GD Medemblik
The Netherlands
Kvk nr. 52397297