Dit is een signalering van Datavoogd. De beoordeling is aan de Functionaris Gegevensbescherming.

Controleer de invulling

Concept acdc25bb-542b-4e86-9377-194427eb12c7 · Standaard VWO v2.54

Datavoogd: Ingevuld op basis van de beschrijving en intake: leverancier, hoofdovereenkomst HO-2024-017, hosting in Nederland met uitwijk Zwolle, tweedelijns support in Duitsland (binnen de EER, dus geen doorgifte-instrument nodig) en de functionele contactpunten. In tabel 1 zijn gezondheidsgegevens en gegevens van strafrechtelijke aard expliciet benoemd omdat deze in vrije tekstvelden kunnen voorkomen. U moet nog invullen: of het BSN wordt verwerkt, de KvK-/registratienummers en contactgegevens van beide subverwerkers, en of de BIO2 naast ISO/IEC 27001 als normenstelsel wordt afgesproken.

Alles wat tussen punthaken staat, zoals <datum>, moet u zelf invullen. Tabellen: één rij per regel, cellen gescheiden door |.

Partijen en hoofdovereenkomst

Gemeente
Bestuursorgaan (verwerkingsverantwoordelijke)
Vertegenwoordiger gemeente (functie)
Verwerker
Vestigingsplaats verwerker
KvK-nummer verwerker
Vertegenwoordiger verwerker (functie)
Titel hoofdovereenkomst
Datum hoofdovereenkomst
Ingangsdatum VWO
Dienst(en)

Bijlage 1, tabel 1: verwerkingen

Ontvangen en vastleggen van meldingen woonoverlast | Het door inwoners laten indienen en het vastleggen van meldingen van woonoverlast ten behoeve van de behandeling daarvan door de gemeente | Melders (inwoners van Gemeente Voorbeeldstad), personen op wie de melding betrekking heeft en overige in de melding genoemde personen (waaronder mogelijk kwetsbare personen) | Naam, adres, contactgegevens, inhoud en omschrijving van de melding, datum en tijdstip. Bijzondere persoonsgegevens: in de vrije tekst kunnen gezondheidsgegevens (verslaving, psychische problematiek) en gegevens van strafrechtelijke aard voorkomen. BSN: ja, van de melder. | Nederland (EER) | Niet van toepassing | Niet van toepassing
Opslaan en hosten van meldingen | Het opslaan en beschikbaar houden van de meldingen en bijbehorende gegevens in de applicatie, inclusief back-ups en uitwijk | Melders, personen op wie de melding betrekking heeft en overige in de melding genoemde personen | Alle bij verwerking 1 vastgelegde gegevens. Bijzondere persoonsgegevens: mogelijk gezondheidsgegevens en gegevens van strafrechtelijke aard (zie verwerking 1). BSN: ja (zie verwerking 1). | Nederland (EER) | Niet van toepassing | Niet van toepassing
Beschikbaar stellen van meldingen aan wijkteam en woningcorporatie | Het per melding toegankelijk maken van gegevens voor medewerkers van het wijkteam en de woningcorporatie ten behoeve van de behandeling van de melding | Melders en personen op wie de melding betrekking heeft | Melding en bijbehorende persoonsgegevens. Bijzondere persoonsgegevens: mogelijk gezondheidsgegevens en gegevens van strafrechtelijke aard (zie verwerking 1). BSN: nee, het BSN wordt niet gedeeld met wijkteam en woningcorporatie. | Nederland (EER) | Niet van toepassing | Niet van toepassing
Technisch en applicatiebeheer | Beheer, onderhoud, storingsoplossing en support van de app en het zaaksysteem, waarbij toegang tot persoonsgegevens mogelijk is | Melders, personen op wie de melding betrekking heeft en gebruikers van de applicatie (gemeentemedewerkers, wijkteam, woningcorporatie) | Alle in de applicatie vastgelegde persoonsgegevens en logbestanden/gebruikersgegevens. Bijzondere persoonsgegevens: alleen incidenteel zichtbaar bij beheer (zie verwerking 1). BSN: ja, incidenteel zichtbaar bij beheer. | Nederland (EER); tweedelijns support vanuit Duitsland (EER) | Niet van toepassing | Niet van toepassing

Bijlage 1, tabel 2: contactpersonen (ook buiten kantooruren)

Kolommen: rol | functie of mailbox | contactgegevens. De IBD wordt automatisch toegevoegd.

Bijlage 1, tabel 3: subverwerkers

Bijlage 2: beveiliging

Normenstelsel
Gecertificeerd	ja nee onbekend
Datum laatste certificering
Certificaat geldig tot
Reikwijdte certificaat (diensten, locaties)
Toereikendheid (één per regel)	Geldig ISO/IEC 27001-certificaat en verklaring van toepasselijkheid Jaarlijks ISAE 3402 type II-rapport
Goedgekeurde gedragscode

Addendum

Aanvullingen horen volgens de IBD niet in de Standaard zelf maar in een addendum. Datavoogd stelt clausules voor die bekende gaten dichten; schrap of wijzig ze. De termijnen in A.3 en A.4 (30 dagen back-ups, twaalf maanden logging, vier uur en één werkdag reactie) zijn voorstellen, geen norm: pas ze aan op uw eigen afspraken. Per clausule: eerste regel is de kop, daarna de tekst; clausules gescheiden door een lege regel.

A.1 Verwerking buiten de EER (aanvulling op artikel 4.3)
In afwijking van artikel 4.3 vindt verwerking van Persoonsgegevens buiten de Europese Economische Ruimte, daaronder begrepen toegang op afstand voor beheer of ondersteuning, uitsluitend plaats na voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke en op basis van een in Bijlage 1 benoemd doorgifte-instrument met de daarbij horende aanvullende maatregelen.

A.2 Instructie in strijd met de AVG (aanvulling op artikel 3.1)
Als een schriftelijke instructie van Verwerkingsverantwoordelijke naar het oordeel van Verwerker in strijd is met de AVG of de UAVG, informeert Verwerker Verwerkingsverantwoordelijke daarover zonder onredelijke vertraging en schort Verwerker de uitvoering van die instructie op totdat Verwerkingsverantwoordelijke schriftelijk heeft gereageerd.

A.3 Bewaartermijnen en verwijdering (aanvulling op artikel 3.2 en 7.1)
Verwerker bewaart Persoonsgegevens niet langer dan de bewaartermijnen die Verwerkingsverantwoordelijke op grond van de Archiefwet en de geldende selectielijst heeft vastgesteld en schriftelijk aan Verwerker heeft meegedeeld. Gegevens die uit de productieomgeving zijn verwijderd, worden uiterlijk binnen 30 dagen ook uit back-ups overschreven of vernietigd. Logbestanden die Persoonsgegevens bevatten worden niet langer dan twaalf maanden bewaard, tenzij een wettelijke plicht of een lopend onderzoek naar een Inbreuk langer bewaren vereist. Na afloop van een bewaartermijn verwijdert Verwerker de Persoonsgegevens en bevestigt dit op verzoek schriftelijk aan Verwerkingsverantwoordelijke.

A.4 Bereikbaarheid en reactietermijn van de contactpunten (aanvulling op Bijlage 1, tabel 2)
De contactpunten in tabel 2 van Bijlage 1 zijn op werkdagen tussen 08.00 en 17.00 uur bereikbaar via de vermelde mailbox en het vermelde telefoonnummer, en daarbuiten via het vermelde telefoonnummer. Een bericht over een (vermoedelijke) Inbreuk wordt binnen vier uur bevestigd, een ander bericht binnen één werkdag. Blijft een reactie uit, dan wendt de melder zich tot de in deze Verwerkersovereenkomst genoemde vertegenwoordiger van de andere Partij. Wijzigingen in de contactpunten worden binnen vijf werkdagen schriftelijk doorgegeven.

A.5 Geldigheid en reikwijdte van de certificering (aanvulling op artikel 4.1 en Bijlage 2)
De in Bijlage 2 genoemde certificering geldt voor de daar vermelde reikwijdte (diensten en locaties) en tot de daar vermelde datum. Verwerker verstrekt op verzoek het certificaat en de verklaring van toepasselijkheid en informeert Verwerkingsverantwoordelijke binnen tien werkdagen als de certificering verloopt, wordt ingetrokken, wordt geschorst of in reikwijdte wordt beperkt. Voor subverwerkers uit tabel 3 van Bijlage 1 die Persoonsgegevens hosten of daartoe toegang hebben, toont Verwerker op verzoek aan dat een gelijkwaardig beveiligingsniveau geldt.

Terug