Eenvoudig een verwerkersovereenkomst of DPA afsluiten

Het werd je vast al eens gevraagd bij een samenwerking met een nieuwe partner, tool of app: “kunnen we nog even een verwerkersovereenkomst of DPA afsluiten?”.  Beschouw dit als een serieuze vraag en steek vooral je kop niet in het zand.  Teken ook niet achteloos een DPA die je ontvangt van een derde partij, maar lees goed na welke vereisten je worden opgelegd en check of je deze ook echt kan garanderen. Het afsluiten van een verwerkersovereenkomst is een verplichting onder GDPR, dus wel de moeite om even bij stil te staan! 

Wat is een verwerkersovereenkomst of DPA?

GDPR legt strenge vereisten op aan jouw bedrijf op het vlak van veilige en verantwoorde verwerking van persoonsgegevens. Maar de facto verwerk je niet altijd zelf gegevens. Je besteedt ze ook uit aan partners. Dat kunnen fysieke partners zijn, zoals je boekhouder of je bankier, maar dat kunnen net zo goed software tools of apps zijn die je binnen je bedrijf gebruikt. Ook daar is GDPR streng: je hebt een wettelijke verplichting om met zo’n derde een verwerkersovereenkomst of Data Processing Agreement af te sluiten, waarin jouw partner belooft om veilig en verantwoord met jouw persoonsgegevens om te gaan.

Een verwerkersovereenkomst bevat bijvoorbeeld volgende informatie: 

• Voor welke doeleinden de persoonsgegevens precies verwerkt worden
• Hoe de gegevens beveiligd zullen worden
• Duidelijke afspraken over kosten en processen, aansprakelijkheid, audit- en controlerechten, confidentialiteit, te volgen processen bij eventuele datalekken, gebruik van onderaannemers (“sub-processors”)

Een verwerkersovereenkomst is een wettelijke verplichting 

• De verplichting om een DPA af te sluiten wordt door de GDPR in de eerste plaats opgelegd aan de verantwoordelijke voor de verwerking. Maar ook als verwerker (als dienstenleverancier dus), doe je er goed aan om proactief een DPA te kunnen aanbieden aan je klanten. Zo kan jij zorgen voor een verwerkersovereenkomst die optimaal aansluit op jouw noden en die jouw belangen perfect indekt. Bovendien is het aanbieden van een goede contractuele indekking een toonbeeld van professionalisme naar je klanten toe.
• Of je dus data controller of data processor (verwerker of verwerkingsverantwoordelijke) bent, in beide gevallen zorg je best voor een DPA op jouw maat. Vergis je daarbij niet: er zijn héél wat templates en standaard verwerkersovereenkomsten in omloop, maar die houden absoluut geen rekening met jouw individuele noden. Ze zijn vaak niet up to date in het kader van data export buiten de EU, waarvoor je bijvoorbeeld de nieuwe en juiste versie van de Standard Contract Clauses nodig hebt.

Wat koop je nu precies?

• Verwerkersovereenkomst (Data Processing Agreement/DPA)

Deze overeenkomst zorgt voor de wettelijk verplichte contractuele indekking van elke samenwerking tussen een data controller (eigenaar van de data) en data processor. Onze afwerking op maat zorgt ervoor dat jouw belangen perfect verdedigd zijn, ongeacht aan welke kant van de samenwerking je staat en wat jouw rol precies is.

Hoe ga je hiermee van start?

Eenvoudig, vul het bestelformulier in, betaal online en boek meteen het inbegrepen overlegmoment via videocall in. Op basis daarvan bereiden wij een eerste draft voor die we vervolgens met jou bespreken en finaliseren.

FAQ / Veelgestelde vragen bij een verwerkersovereenkomst

• Wanneer heb ik een verwerkersovereenkomst nodig?
  Een verwerkersovereenkomst heb je nodig als er een verwerking van persoonsgegevens gebeurt. Dit is voornamelijk relevant in de context van de Algemene Verordening Gegevensbescherming (AVG) of GDPR in de Europese Unie, maar gelijkaardige vereisten gelden ook onder andere privacywetten wereldwijd.
• Wat is het verschil tussen een verwerkingsverantwoordelijke (controller) en een verwerker (processor)?
  Een verwerkingsverantwoordelijke bepaalt de doeleinden en de middelen waarmee de persoonsgegevens worden verwerkt. Als jouw organisatie beslist ‘waarom’ en ‘hoe’ de persoonsgegevens worden verwerkt, ben je een verwerkingsverantwoordelijke. De verwerker verwerkt persoonsgegevens ten behoeve van en namens de verwerkingsverantwoordelijke. De verwerker is meestal een derde partij buiten jouw onderneming. Een verwerker is vaak een externe onderaannemer die wordt aangesteld om persoonsgegevens te verwerken. 
  
• Ik ben een verwerker en heb een inbreuk gemaakt in verband met persoonsgegevens, wat moet ik doen? 
  Als verwerker ben je verplicht om de inbreuk zo snel mogelijk te melden aan de verwerkingsverantwoordelijke. Meestal is het niet jouw taak of verantwoordelijkheid om de inbreuk te melden bij de Gegevensbeschermingsautoriteit of bij de betrokkenen, tenzij dit uitdrukkelijk vermeld staat in de afgesloten verwerkersovereenkomst.