Verwerkersovereenkomst.

Termen als 'persoonsgegevens', 'verwerking', 'verwerkingsverantwoordelijke', 'verwerker' en 'betrokkene' hebben de betekenis die de Algemene Verordening Gegevensbescherming (AVG) eraan geeft.

REL verwerkt persoonsgegevens uitsluitend voor de uitvoering van de in de SOW beschreven opdracht. De DPA geldt voor de duur van de SOW. Verplichtingen rond verwijdering en geheimhouding lopen door na afloop.

De verwerking bestaat uit het lezen, analyseren en rapporteren over configuratie- en gebruiksgegevens binnen de scope van de opdracht. Voor het assessment is de toegang read-only. Voor remediation is tijdelijke write-access binnen de pakketscope toegestaan.

De verwerking betreft de volgende categorieën gegevens en betrokkenen.

• Identiteitsgegevens uit Entra ID (UPN, displayname, e-mail, rolltoewijzingen).
• Sign-in- en audit-logmetadata.
• Gebruiksgegevens uit Microsoft 365 (licentietoewijzing, gedeelde mailbox-eigenschappen).
• Geen bijzondere persoonsgegevens, geen BSN, geen bankgegevens.
• Betrokkenen: medewerkers, externe gebruikers en gastgebruikers van de opdrachtgever.

REL verbindt zich tot het volgende.

• Verwerken uitsluitend op gedocumenteerde instructie van opdrachtgever.
• Passende technische en organisatorische beveiligingsmaatregelen (encryptie in transit en at rest, MFA, principle of least privilege).
• Geheimhouding door alle personen die toegang hebben tot persoonsgegevens.
• Bijstand bij verzoeken van betrokkenen en bij DPIA's.

REL maakt gebruik van een beperkt aantal sub-verwerkers (waaronder Microsoft Azure voor compute en DocuSign voor handtekeningen). Een actuele lijst is op verzoek beschikbaar. REL informeert opdrachtgever over wijzigingen. Opdrachtgever kan binnen 30 dagen gemotiveerd bezwaar maken.

REL meldt vermoedelijke en bevestigde datalekken aan opdrachtgever binnen 24 uur na ontdekking, inclusief alle informatie die opdrachtgever nodig heeft om eigen meldplichten na te komen.

Opdrachtgever heeft het recht eenmaal per jaar, op redelijke termijn en op eigen kosten, de naleving van deze DPA te (laten) auditen. REL werkt hieraan mee voor zover dat nodig is en zonder de continuïteit van de dienstverlening onevenredig te belasten.

Na afloop van de opdracht worden alle verwerkte persoonsgegevens binnen 30 dagen verwijderd, tenzij wettelijke bewaarplichten anders eisen. REL bevestigt de verwijdering schriftelijk.

Persoonsgegevens worden uitsluitend binnen de Europese Economische Ruimte verwerkt, tenzij dat door de aard van de dienstverlening niet mogelijk is. In dat geval past REL Standard Contractual Clauses toe en beoordeelt het beschermingsniveau per ontvanger.

Aansprakelijkheid uit hoofde van deze DPA maakt deel uit van de aansprakelijkheidsregeling in de algemene voorwaarden en de SOW.

Op deze DPA is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter te Amsterdam.