Verwerkersovereenkomst

Evaluate

De Klant van Evaluate

&

Tools for Change B.V.

Versie 2026-10, geldig vanaf 1 oktober 2026

PARTIJEN:

De Klant van Evaluate die akkoord gaat met deze Verwerkersovereenkomst bij het aanmaken van een account of het afsluiten van een licentie, met de gegevens die de Klant daarbij in Evaluate heeft vastgelegd (hierna: “Verwerkingsverantwoordelijke”); en

Tools for Change B.V., gevestigd aan Utrechtseweg 24, 3544 NA Utrecht, Kamer van Koophandel nummer 55362028 en rechtsgeldig vertegenwoordigd door Peter Heijnsdijk (hierna: “Verwerker”);

Hierna gezamenlijk te noemen: “Partijen” en individueel te noemen “Partij”;

NEMEN HET VOLGENDE IN AANMERKING:

• Verwerkingsverantwoordelijke gebruikt Evaluate, een online dienst van Verwerker om evaluaties samen te stellen, via een QR-code of link door Respondenten te laten invullen en de resultaten te rapporteren. Op dat gebruik zijn de voorwaarden van Evaluate van toepassing (hierna: de “Overeenkomst”). Ter uitvoering van de Overeenkomst verwerkt Verwerker ten behoeve van Verwerkingsverantwoordelijke Persoonsgegevens;
• In het kader van het uitvoeren van de Overeenkomst is Tools for Change B.V. aan te merken als Verwerker in de zin van de AVG en is de Klant aan te merken als Verwerkingsverantwoordelijke in de zin van de AVG, voor zover het gaat om de Persoonsgegevens die in Bijlage A zijn beschreven;
• Voor de gegevens van het account van de Klant en zijn gebruikers, de credits, bestellingen en facturen is Tools for Change B.V. zelf verwerkingsverantwoordelijke. Op die gegevens is de privacyverklaring van Evaluate van toepassing, niet deze Verwerkersovereenkomst;
• Partijen wensen zorgvuldig en in overeenstemming met de AVG en andere Toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens om te gaan met de Persoonsgegevens die ter uitvoering van de Overeenkomst verwerkt (zullen) worden;
• Deze Verwerkersovereenkomst komt tot stand doordat Verwerkingsverantwoordelijke akkoord gaat met de voorwaarden van Evaluate. Verwerker legt dat akkoord vast met datum, tijdstip en versie. Op verzoek kunnen Partijen deze Verwerkersovereenkomst ook ondertekenen, bijvoorbeeld bij een organisatielicentie; de inhoud is dan dezelfde.

EN ZIJN ALS VOLGT OVEREENGEKOMEN:

ARTIKEL 1. DEFINITIES

In deze Verwerkersovereenkomst hebben de met hoofdletter geschreven begrippen de in dit artikel opgenomen betekenis. Waar de definitie in dit artikel in het enkelvoud is opgenomen, wordt ook het meervoud daaronder begrepen en vice versa, tenzij uitdrukkelijk anders vermeld of uit de context anders blijkt.

1.1 AVG: de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de Verwerking van Persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming).

1.2 Betrokkene: de geïdentificeerde of identificeerbare natuurlijke persoon op wie de Persoonsgegevens betrekking hebben, zoals bedoeld in artikel 4 onder 1) AVG.

1.3 Bijlage: een bijlage bij deze Verwerkersovereenkomst, die een integraal onderdeel vormt van deze Verwerkersovereenkomst.

1.4 Bijzondere categorieën Persoonsgegevens: Persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid, zoals bedoeld in artikel 9 AVG.

1.5 Derde: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, niet zijnde de Betrokkene, noch de Verwerkingsverantwoordelijke, noch de Verwerker, noch de personen die onder rechtstreeks gezag van de Verwerkingsverantwoordelijke of de Verwerker gemachtigd zijn om Persoonsgegevens te verwerken, zoals bedoeld in artikel 4 onder 10) AVG.

1.6 Dienst: Evaluate, de online dienst die Verwerker op grond van de Overeenkomst aan Verwerkingsverantwoordelijke levert, zoals beschreven in Bijlage A.

1.7 Inbreuk in verband met Persoonsgegevens: een (vermoeden van een) inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte Persoonsgegevens, zoals bedoeld in artikel 4 onder 12) AVG.

1.8 Medewerker: de door Verwerker ingeschakelde werknemers en andere personen waarvan de werkzaamheden onder zijn verantwoordelijkheid vallen en die worden ingeschakeld door Verwerker ter uitvoering van de Overeenkomst.

1.9 Ontvanger: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, al dan niet een Derde, aan wie/waaraan de Persoonsgegevens worden verstrekt, zoals bedoeld in artikel 4 onder 9) AVG.

1.10 Overeenkomst: de voorwaarden van Evaluate en de daarbij behorende afspraken tussen Verwerkingsverantwoordelijke en Verwerker, op grond waarvan Verwerker Persoonsgegevens voor Verwerkingsverantwoordelijke verwerkt.

1.11 Persoonsgegeven: alle informatie over een Betrokkene; als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon, zoals bedoeld in artikel 4 onder 1) AVG.

1.12 PIA: de gegevensbeschermingseffectbeoordeling (privacy impact assessment) die vóór de Verwerking ten aanzien van het effect van de beoogde verwerkingsactiviteiten op de bescherming van Persoonsgegevens wordt uitgevoerd, zoals bedoeld in artikel 35 AVG.

1.13 Respondent: de persoon die op uitnodiging van Verwerkingsverantwoordelijke een evaluatie in Evaluate invult.

1.14 Schriftelijk: op schrift gesteld of langs de elektronische weg, zoals bedoeld in artikel 6:227a van het Burgerlijk Wetboek.

1.15 Sub-verwerker: een andere verwerker, waaronder maar niet beperkt tot groepsmaatschappijen, zustermaatschappijen, dochtermaatschappijen en hulpleveranciers, die Verwerker inschakelt om voor rekening van de Verwerkingsverantwoordelijke specifieke verwerkingsactiviteiten te verrichten.

1.16 Toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens: de toepasselijke wet- en regelgeving en/of (nadere) verdragen, verordeningen, richtlijnen, besluiten, beleidsregels, instructies en/of aanbevelingen van een bevoegde overheidsinstantie betreffende de Verwerking van Persoonsgegevens, tevens omvattende toekomstige wijziging hiervan en/of aanvulling hierop, inclusief lidstaatrechtelijke uitvoeringswetten van de AVG en de Telecommunicatiewet.

1.17 Toezichthoudende autoriteit: één of meer onafhankelijke overheidsinstanties die verantwoordelijk is of zijn voor het toezicht op de toepassing van de AVG, zoals bedoeld in artikel 4 onder 21) en artikel 51 AVG. In Nederland is dit de Autoriteit Persoonsgegevens.

1.18 Verwerkersovereenkomst: de onderhavige overeenkomst inclusief Bijlagen, zoals bedoeld in artikel 28 lid 3 AVG.

1.19 Verwerking: een bewerking of een geheel van bewerkingen met betrekking tot Persoonsgegevens of een geheel van Persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens, zoals bedoeld in artikel 4 onder 2) AVG.

ARTIKEL 2. VOORWERP VAN DE VERWERKERSOVEREENKOMST

2.1 De Verwerkersovereenkomst vormt een aanvulling op de Overeenkomst en vervangt eventuele eerder gemaakte afspraken tussen Partijen ten aanzien van de Verwerking van Persoonsgegevens in Evaluate. Bij tegenstrijdigheid tussen de bepalingen uit de Verwerkersovereenkomst en de Overeenkomst, prevaleren de bepalingen uit de Verwerkersovereenkomst.

2.2 De bepalingen uit de Verwerkersovereenkomst gelden voor alle Verwerkingen die plaatsvinden ter uitvoering van de Overeenkomst en die in Bijlage A zijn beschreven. Verwerker brengt Verwerkingsverantwoordelijke onverwijld op de hoogte indien Verwerker reden heeft om aan te nemen dat Verwerker niet langer aan de Verwerkersovereenkomst kan voldoen.

2.3 Verwerkingsverantwoordelijke geeft Verwerker opdracht en instructies om de Persoonsgegevens te verwerken namens de Verwerkingsverantwoordelijke. De instructies bestaan uit de Overeenkomst, deze Verwerkersovereenkomst en de keuzes die Verwerkingsverantwoordelijke maakt in de instellingen van Evaluate, zoals de vragen in een evaluatie en de keuze of een evaluatie anoniem of herleidbaar is. Verwerkingsverantwoordelijke kan naar redelijkheid Schriftelijk aanvullende instructies geven, voor zover die binnen de functies van de Dienst uitvoerbaar zijn.

2.4 Verwerker verwerkt de Persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke en op basis van de instructies van Verwerkingsverantwoordelijke. Verwerker verwerkt de Persoonsgegevens uitsluitend voor zover de Verwerking noodzakelijk is ter uitvoering van de Overeenkomst, nimmer ten eigen nutte, ten nutte van Derden en/of voor reclamedoeleinden c.q. andere doeleinden, tenzij een op Verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling Verwerker tot Verwerking verplicht. In dat geval stelt Verwerker Verwerkingsverantwoordelijke voorafgaand aan de Verwerking Schriftelijk op de hoogte van deze bepaling, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.

2.5 Verwerker en Verwerkingsverantwoordelijke leven de AVG en andere Toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens na. Verwerker stelt de Verwerkingsverantwoordelijke onmiddellijk in kennis indien naar mening van Verwerker een instructie van Verwerkingsverantwoordelijke inbreuk oplevert op de AVG en/of andere Toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens.

2.6 Verwerkingsverantwoordelijke staat ervoor in dat hij een grondslag heeft voor de Verwerking, dat hij Respondenten informeert over de Verwerking, en dat hij via de vragen in een evaluatie niet om Bijzondere categorieën Persoonsgegevens of strafrechtelijke gegevens vraagt, tenzij hij daarvoor een wettelijke uitzondering heeft.

2.7 Indien Verwerker in strijd met de Verwerkersovereenkomst en/of de AVG en/of andere Toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens het doel en de middelen van de Verwerking van Persoonsgegevens bepaalt, wordt Verwerker voor die Verwerkingen als Verwerkingsverantwoordelijke beschouwd.

ARTIKEL 3. VERWERKING VAN PERSOONSGEGEVENS

3.1 Verwerker informeert Verwerkingsverantwoordelijke in Bijlage A volledig en naar waarheid over de Verwerkingen die Verwerker ter uitvoering van de Overeenkomst uitvoert. Verwerker is uitsluitend tot de in Bijlage A gespecificeerde Verwerkingen gerechtigd.

ARTIKEL 4. VERLENEN VAN BIJSTAND EN MEDEWERKING

4.1 Verwerker verleent Verwerkingsverantwoordelijke alle redelijkerwijs benodigde bijstand en medewerking bij het doen nakomen van de op Partijen rustende verplichtingen op grond van de AVG en andere Toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens. Verwerker verleent Verwerkingsverantwoordelijke in ieder geval bijstand met betrekking tot:

• i. De beveiliging van Persoonsgegevens;
• ii. Het uitvoeren van controles en audits;
• iii. Het uitvoeren van PIA’s;
• iv. Voorafgaande raadpleging van de Toezichthoudende autoriteit;
• v. Het voldoen aan verzoeken van de Toezichthoudende autoriteit of een andere overheidsinstantie;
• vi. Het voldoen aan verzoeken van Betrokkenen;
• vii. Het melden van Inbreuken in verband met Persoonsgegevens.

4.2 Onder het verlenen van bijstand en medewerking met betrekking tot het voldoen aan verzoeken van Betrokkenen, worden in ieder geval de volgende verplichtingen voor Verwerker verstaan:

4.2.1 Verwerker neemt alle redelijke maatregelen om ervoor te zorgen dat Betrokkene zijn rechten kan uitoefenen.

4.2.2 Indien een Betrokkene met betrekking tot de uitvoering van zijn rechten direct contact opneemt met Verwerker, dan gaat Verwerker hier – behoudens uitdrukkelijke andersluidende instructie van Verwerkingsverantwoordelijke – niet (inhoudelijk) op in, maar bericht Verwerker dit onverwijld aan Verwerkingsverantwoordelijke met een verzoek om nadere instructies.

4.2.3 Omdat Respondenten de Dienst rechtstreeks gebruiken, toont Verwerker op de invulpagina van elke evaluatie namens Verwerkingsverantwoordelijke een korte privacymelding met een verwijzing naar meer informatie. Verwerkingsverantwoordelijke blijft verantwoordelijk voor het informeren van Respondenten over zijn eigen doeleinden.

4.3 Onder het verlenen van bijstand en medewerking met betrekking tot het voldoen aan verzoeken van de Toezichthoudende autoriteit of een andere overheidsinstantie, worden in ieder geval de volgende verplichtingen voor Verwerker verstaan:

4.3.1 Indien Verwerker een verzoek of een bevel van een Nederlandse en/of buitenlandse overheidsinstantie ontvangt met betrekking tot Persoonsgegevens, waaronder maar niet beperkt tot een verzoek van de Toezichthoudende autoriteit, informeert Verwerker Verwerkingsverantwoordelijke onverwijld, voor zover dat wettelijk is toegestaan. Bij de behandeling van het verzoek of bevel neemt Verwerker alle instructies van Verwerkingsverantwoordelijke in acht en verleent Verwerker alle redelijkerwijs benodigde medewerking aan Verwerkingsverantwoordelijke.

4.3.2 Indien het Verwerker wettelijk is verboden om te voldoen aan zijn verplichtingen op grond van artikel 4.3.1, behartigt Verwerker de redelijke belangen van Verwerkingsverantwoordelijke. Verwerker werkt alleen mee aan het verzoek of bevel indien Verwerker hiertoe wettelijk verplicht is, maakt waar mogelijk bezwaar, en verstrekt niet meer Persoonsgegevens dan strikt noodzakelijk om aan het verzoek of bevel te voldoen.

4.4 Bijstand die binnen de bestaande functies van de Dienst valt, verleent Verwerker kosteloos. Voor bijstand die daarbuiten valt, kan Verwerker vooraf een redelijke vergoeding afspreken met Verwerkingsverantwoordelijke.

ARTIKEL 5. TOEGANG TOT PERSOONSGEGEVENS

5.1 Verwerker beperkt de toegang tot Persoonsgegevens aan Medewerkers, Sub-verwerkers, Derden en andere Ontvangers van Persoonsgegevens tot een noodzakelijk minimum.

5.2 Verwerker verschaft uitsluitend toegang aan die Medewerkers voor wie ter uitvoering van de Overeenkomst deze toegang tot Persoonsgegevens noodzakelijk is. De categorieën Medewerkers zijn in Bijlage A gespecificeerd.

5.3 Verwerkingsverantwoordelijke verleent Verwerker algemene Schriftelijke toestemming voor het inschakelen van Sub-verwerkers. De Sub-verwerkers die Verwerker bij het sluiten van deze Verwerkersovereenkomst inschakelt, zijn in Bijlage A gespecificeerd.

5.4 Verwerker licht Verwerkingsverantwoordelijke ten minste dertig (30) dagen voorafgaand aan de toevoeging of vervanging van een Sub-verwerker Schriftelijk in, per e-mail aan het contactadres uit Bijlage A. Verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken. Partijen treden dan in overleg. Komen Partijen niet tot een oplossing, dan kan Verwerkingsverantwoordelijke de Overeenkomst kosteloos beëindigen per de datum waarop de nieuwe Sub-verwerker wordt ingeschakeld.

5.5 De toestemming van Verwerkingsverantwoordelijke voor het inschakelen van Sub-verwerkers laat de verplichtingen voor Verwerker voortvloeiende uit de Verwerkersovereenkomst, waaronder maar niet beperkt tot artikel 9, onverlet.

5.6 Verwerker houdt een actueel overzicht van de ingeschakelde Sub-verwerkers bij en verstrekt dat op eerste verzoek van Verwerkingsverantwoordelijke.

5.7 Verwerker legt aan de door Verwerker ingeschakelde (rechts)personen, waaronder maar niet beperkt tot Medewerkers en/of Sub-verwerkers, door middel van een Schriftelijke overeenkomst verplichtingen op die ten minste een gelijkwaardig niveau van bescherming bieden als deze Verwerkersovereenkomst.

5.8 Verwerker brengt Verwerkingsverantwoordelijke onverwijld op de hoogte indien Verwerker en/of door Verwerker ingeschakelde (rechts)personen, waaronder maar niet beperkt tot Medewerkers en/of Sub-verwerkers, in strijd handelen met de Verwerkersovereenkomst en/of de met Verwerker gesloten Schriftelijke overeenkomst zoals bedoeld in artikel 5.7.

5.9 Verwerker verstrekt op verzoek van Verwerkingsverantwoordelijke een afschrift van, of een verwijzing naar, de Schriftelijke overeenkomst tussen Verwerker en een Sub-verwerker. Waar een Sub-verwerker alleen met openbare standaardvoorwaarden werkt, volstaat een verwijzing naar die voorwaarden.

5.10 Verwerker blijft ten aanzien van de Verwerkingsverantwoordelijke verantwoordelijk voor het nakomen van de verplichtingen door de door Verwerker ingeschakelde (rechts)personen, waaronder maar niet beperkt tot Medewerkers en/of Sub-verwerkers, voortvloeiende uit de AVG en/of andere Toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens en de verplichtingen voortvloeiende uit de Overeenkomst en de Verwerkersovereenkomst, met inachtneming van artikel 12.

ARTIKEL 6. BEVEILIGING

6.1 Verwerker treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, opdat de Verwerking aan de vereisten van de AVG en andere Toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens voldoet en de bescherming van de rechten van Betrokkenen is gewaarborgd. Verwerker treft hiertoe ten minste de technische en organisatorische maatregelen die zijn opgenomen in Bijlage B.

6.2 Bij de beoordeling van het passende beveiligingsniveau houdt Verwerker rekening met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen.

6.3 Verwerker legt zijn beveiligingsbeleid Schriftelijk vast. Op verzoek van Verwerkingsverantwoordelijke verschaft Verwerker inzage in het beveiligingsbeleid van Verwerker.

6.4 Verwerker mag de maatregelen uit Bijlage B aanpassen aan de stand van de techniek, mits het beveiligingsniveau daardoor niet lager wordt.

ARTIKEL 7. AUDIT

7.1 Verwerker verwerkt in Evaluate uitsluitend Persoonsgegevens met een laag risico, zoals vastgelegd in Bijlage A. Verwerker is daarom niet gehouden tot het periodiek laten uitvoeren van een externe audit. Verwerkingsverantwoordelijke stelt vast of er sprake is van een laag risico; is dat naar zijn oordeel niet zo, dan treden Partijen in overleg.

7.2 Verwerker verstrekt Verwerkingsverantwoordelijke op verzoek de informatie die nodig is om aan te tonen dat Verwerker aan deze Verwerkersovereenkomst voldoet, zoals een beschrijving van de getroffen maatregelen.

7.3 Verwerkingsverantwoordelijke heeft het recht om, als de informatie uit artikel 7.2 redelijkerwijs niet volstaat, ten hoogste eenmaal per jaar een audit te laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht. Verwerkingsverantwoordelijke kondigt de audit ten minste dertig (30) dagen vooraf aan. De audit verstoort de bedrijfsvoering van Verwerker zo min mogelijk.

7.4 De kosten van een audit op verzoek van Verwerkingsverantwoordelijke komen voor rekening van Verwerkingsverantwoordelijke, tenzij uit de bevindingen van de audit blijkt dat Verwerker de Verwerkersovereenkomst en/of de AVG niet is nagekomen.

7.5 Indien tijdens een audit wordt vastgesteld dat Verwerker niet aan de Verwerkersovereenkomst en/of de AVG en/of andere Toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens voldoet, neemt Verwerker onverwijld alle redelijkerwijs noodzakelijke maatregelen om te zorgen dat Verwerker hieraan alsnog voldoet. De bijbehorende kosten komen voor rekening van Verwerker.

ARTIKEL 8. INBREUK IN VERBAND MET PERSOONSGEGEVENS

8.1 Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging en uiterlijk binnen 24 uur na kennisneming, over een Inbreuk in verband met Persoonsgegevens of een redelijk vermoeden daarvan. Verwerker informeert Verwerkingsverantwoordelijke via het contactadres uit Bijlage A en ten minste ten aanzien van hetgeen is opgenomen in Bijlage C. Verwerker verstrekt de informatie zo volledig en juist als op dat moment mogelijk is.

8.2 Indien en voor zover het voor Verwerker niet mogelijk is om alle informatie uit Bijlage C gelijktijdig te verstrekken, kan de informatie zonder onredelijke vertraging in stappen worden verstrekt aan Verwerkingsverantwoordelijke.

8.3 Verwerker heeft adequaat beleid en adequate procedures ingericht om Inbreuken in verband met Persoonsgegevens in een zo vroeg mogelijk stadium te detecteren, hierop adequaat en onmiddellijk te reageren, (verdere) onbevoegde kennisneming, wijziging en verstrekking dan wel anderszins onrechtmatige Verwerking te voorkomen of te beperken en herhaling hiervan te voorkomen. Op verzoek van Verwerkingsverantwoordelijke verschaft Verwerker informatie over dit beleid en deze procedures.

8.4 Het melden van een Inbreuk in verband met Persoonsgegevens aan de Toezichthoudende autoriteit en aan Betrokkenen is de verantwoordelijkheid van Verwerkingsverantwoordelijke. Verwerker meldt niet zelf, tenzij Verwerkingsverantwoordelijke daarom vraagt of de wet Verwerker daartoe verplicht.

8.5 Verwerker houdt Schriftelijk een register bij van alle Inbreuken in verband met Persoonsgegevens die betrekking hebben op de (uitvoering van de) Overeenkomst, met inbegrip van de feiten omtrent de Inbreuk, de gevolgen daarvan en de getroffen corrigerende maatregelen. Op verzoek van Verwerkingsverantwoordelijke verschaft Verwerker het deel van dit register dat op Verwerkingsverantwoordelijke betrekking heeft.

ARTIKEL 9. DOORGIFTE VAN PERSOONSGEGEVENS

9.1 Persoonsgegevens mogen enkel worden doorgegeven aan derde landen of internationale organisaties indien sprake is van een passend beschermingsniveau en de doorgifte in Bijlage A is opgenomen. Door akkoord te gaan met deze Verwerkersovereenkomst verleent Verwerkingsverantwoordelijke specifieke Schriftelijke toestemming voor de doorgiften die in Bijlage A zijn gespecificeerd. Voor andere doorgiften geldt artikel 5.4.

9.2 Verwerkingsverantwoordelijke verleent slechts toestemming voor een doorgifte van Persoonsgegevens aan derde landen of internationale organisaties indien, ofwel:

• i. Een adequaatheidsbesluit overeenkomstig artikel 45 lid 3 AVG is genomen ten aanzien van het betreffende derde land of de betreffende internationale organisatie; ofwel
• ii. Passende waarborgen overeenkomstig artikel 46 AVG, zoals de standaardcontractbepalingen van de Europese Commissie, met inbegrip van bindende voorschriften zoals bedoeld in artikel 47 AVG, zijn getroffen ten aanzien van het betreffende derde land of de betreffende internationale organisatie; ofwel
• iii. Aan één van de specifieke voorwaarden uit artikel 49 lid 1 AVG is voldaan.

9.3 Verwerkingsverantwoordelijke kan een AI-functie van de Dienst waarvoor een doorgifte plaatsvindt, ook zelf niet gebruiken. Gebruikt hij die functie niet, dan vindt voor zijn gegevens geen doorgifte plaats.

ARTIKEL 10. RECHTEN VAN BETROKKENEN

10.1 Verwerkingsverantwoordelijke heeft via de Dienst zelf toegang tot de Persoonsgegevens en voldoet zelf aan verzoeken van Betrokkenen, bijvoorbeeld door antwoorden in te zien, te exporteren of te verwijderen. Verwerker geeft door Verwerker ontvangen verzoeken onverwijld door aan Verwerkingsverantwoordelijke.

10.2 Alleen voor zover het in het voorgaande lid bedoelde niet mogelijk is, verleent Verwerker zijn volledige en tijdige medewerking aan Verwerkingsverantwoordelijke om:

• i. na goedkeuring van en in opdracht van Verwerkingsverantwoordelijke Betrokkenen toegang te laten krijgen tot de hun betreffende Persoonsgegevens;
• ii. Persoonsgegevens te verwijderen of te corrigeren;
• iii. aan te tonen dat Persoonsgegevens verwijderd of gecorrigeerd zijn indien zij incorrect zijn (of, ingeval Verwerkingsverantwoordelijke het er niet mee eens is dat de Persoonsgegevens incorrect zijn, het feit vast te leggen dat de Betrokkene zijn Persoonsgegevens als incorrect beschouwt);
• iv. de betreffende Persoonsgegevens aan Verwerkingsverantwoordelijke dan wel aan een door Verwerkingsverantwoordelijke aangewezen derde te verstrekken in een gestructureerde, gangbare en machineleesbare vorm;
• v. Verwerkingsverantwoordelijke anderszins in de gelegenheid te stellen om aan zijn verplichtingen onder de AVG of aan andere toepasselijke wetgeving op het gebied van verwerking van de Persoonsgegevens te voldoen.

10.3 Bij anoniem ingevulde evaluaties kan een antwoord niet aan een Betrokkene worden gekoppeld. Verwerker hoeft in dat geval geen gegevens toe te voegen om een Betrokkene te kunnen herkennen.

10.4 Voor de kosten van medewerking geldt artikel 4.4.

ARTIKEL 11. VERTROUWELIJKHEID VAN PERSOONSGEGEVENS

11.1 Alle Persoonsgegevens worden als vertrouwelijke gegevens gekwalificeerd en dienen als zodanig te worden behandeld.

11.2 Partijen houden alle Persoonsgegevens geheim en maken deze op geen enkele wijze verder intern of extern bekend, behalve voor zover:

• i. Bekendmaking en/of verstrekking van de Persoonsgegevens in het kader van de uitvoering van de Overeenkomst of Verwerkersovereenkomst noodzakelijk is;
• ii. Enig dwingendrechtelijk wettelijk voorschrift of rechterlijke uitspraak Partijen tot bekendmaking en/of verstrekking van die Persoonsgegevens verplicht, waarbij Partijen eerst de andere Partij hiervan op de hoogte stellen, voor zover dat is toegestaan;
• iii. Bekendmaking en/of verstrekking van die Persoonsgegevens geschiedt met voorafgaande Schriftelijke toestemming van de andere Partij.

11.3 Overtreding van artikel 11.1 en/of artikel 11.2 door Verwerker wordt beschouwd als een Inbreuk in verband met Persoonsgegevens.

ARTIKEL 12. AANSPRAKELIJKHEID EN VRIJWARING

12.1 Iedere Partij is aansprakelijk voor schade die voortvloeit uit haar eigen tekortkoming in de nakoming van de Verwerkersovereenkomst en/of de AVG, zoals geregeld in artikel 82 AVG.

12.2 De totale aansprakelijkheid van Verwerker op grond van of in verband met de Verwerkersovereenkomst, inclusief vrijwaringen, is per kalenderjaar beperkt tot het bedrag dat Verwerkingsverantwoordelijke in de twaalf (12) maanden voorafgaand aan de schadeveroorzakende gebeurtenis aan Verwerker heeft betaald voor de Dienst, en in ieder geval tot het bedrag dat de aansprakelijkheidsverzekering van Verwerker in het betreffende geval uitkeert, met een maximum van € 100.000. Dezelfde grens geldt in de aanvullende voorwaarden Evaluate; beide grenzen samen worden niet overschreden.

12.3 De beperking uit artikel 12.2 geldt niet in geval van opzet of bewuste roekeloosheid van de bedrijfsleiding van Verwerker.

12.4 Verwerker vrijwaart Verwerkingsverantwoordelijke, met inachtneming van artikel 12.2, voor boetes en aanspraken van Derden, daaronder begrepen Betrokkenen en de Toezichthoudende autoriteit, voor zover die rechtstreeks het gevolg zijn van een aan Verwerker toerekenbare schending van de Verwerkersovereenkomst en/of de AVG.

12.5 Verwerkingsverantwoordelijke vrijwaart Verwerker voor aanspraken van Derden, daaronder begrepen Betrokkenen en de Toezichthoudende autoriteit, die het gevolg zijn van instructies van Verwerkingsverantwoordelijke of van de inhoud die Verwerkingsverantwoordelijke in de Dienst plaatst of laat verzamelen, waaronder de vragen in een evaluatie, voor zover die aanspraken het gevolg zijn van schuld of nalatigheid van Verwerkingsverantwoordelijke, zoals ook bepaald in artikel 18.2 van de algemene voorwaarden.

12.6 Verwerker draagt zorg voor afdoende dekking van de aansprakelijkheid door middel van een aansprakelijkheidsverzekering. Op verzoek van Verwerkingsverantwoordelijke geeft Verwerker inzage in de verzekerde bedragen.

ARTIKEL 13. WIJZIGING

13.1 Verwerker informeert Verwerkingsverantwoordelijke ten minste dertig (30) dagen vooraf Schriftelijk over voorgenomen wijzigingen in de Dienst die betrekking hebben op de Verwerking van Persoonsgegevens. Hieronder wordt in ieder geval verstaan:

• i. Wijzigingen die invloed (kunnen) hebben op de te verwerken (categorieën) Persoonsgegevens;
• ii. Wijziging van de middelen waarmee de Persoonsgegevens worden verwerkt;
• iii. Het inschakelen van andere Sub-verwerkers (zie artikel 5.4);
• iv. Wijziging in de doorgifte van Persoonsgegevens aan derde landen en/of internationale organisaties.

13.2 Verwerker kan deze Verwerkersovereenkomst wijzigen. Een nieuwe versie wordt ten minste dertig (30) dagen voor de ingangsdatum per e-mail aangekondigd. Is Verwerkingsverantwoordelijke het niet eens met een wijziging die zijn positie wezenlijk verslechtert, dan kan hij de Overeenkomst vóór de ingangsdatum kosteloos beëindigen.

13.3 Wijzigingen die nodig zijn om aan de wet te voldoen of die de bescherming van Persoonsgegevens verbeteren, kunnen met een kortere termijn ingaan.

13.4 Wijzigingen die betrekking hebben op de Verwerking van Persoonsgegevens mogen nooit tot gevolg hebben dat Verwerkingsverantwoordelijke niet kan voldoen aan de AVG en/of andere Toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens.

13.5 In geval van nietigheid of vernietigbaarheid van één of meer bepalingen van de Verwerkersovereenkomst, blijven de overige bepalingen onverkort van kracht.

ARTIKEL 14. DUUR EN BEËINDIGING

14.1 De duur van de Verwerkersovereenkomst is gelijk aan de duur van de Overeenkomst. De Verwerkersovereenkomst is niet los van de Overeenkomst te beëindigen. Bij beëindiging van de Overeenkomst eindigt de Verwerkersovereenkomst van rechtswege en vice versa.

14.2 Verwerkingsverantwoordelijke is gerechtigd de Overeenkomst op te zeggen, indien Verwerker niet voldoet of niet langer kan voldoen aan de Verwerkersovereenkomst en/of de AVG en/of andere Toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens, zonder dat Verwerker aanspraak maakt op enige schadevergoeding. Bij de opzegging neemt Verwerkingsverantwoordelijke een redelijke opzegtermijn in acht, tenzij de omstandigheden onmiddellijke opzegging rechtvaardigen.

14.3 Tot de beëindiging kan Verwerkingsverantwoordelijke de resultaten zelf exporteren. Binnen drie (3) maanden nadat de Overeenkomst eindigt, verwijdert Verwerker alle Persoonsgegevens die onder deze Verwerkersovereenkomst vallen, of draagt Verwerker deze op verzoek eerder over aan Verwerkingsverantwoordelijke. Kopieën in back-ups worden binnen dertig (30) dagen daarna overschreven. Dit geldt niet voor zover opslag van de Persoonsgegevens Unierechtelijk of lidstaatrechtelijk is verplicht.

14.4 Verwerker bevestigt op verzoek van Verwerkingsverantwoordelijke Schriftelijk dat Verwerker aan alle verplichtingen uit artikel 14.3 heeft voldaan.

14.5 Verwijdering en een export in de standaardformaten van de Dienst (PDF en Excel) zijn kosteloos. Voor een overdracht in een ander formaat kan Verwerker vooraf een redelijke vergoeding afspreken.

14.6 Verplichtingen uit de Verwerkersovereenkomst die naar hun aard bestemd zijn om na beëindiging van de Verwerkersovereenkomst voort te duren, blijven na beëindiging van de Verwerkersovereenkomst voortduren.

ARTIKEL 15. TOEPASSELIJK RECHT EN GESCHILLENBESLECHTING

15.1 De Verwerkersovereenkomst en de uitvoering daarvan worden beheerst door Nederlands recht.

15.2 Alle geschillen die tussen Partijen ontstaan in verband met de Verwerkersovereenkomst, worden voorgelegd aan de bevoegde rechter te Utrecht, zoals ook bepaald in artikel 19.3 van de algemene voorwaarden van Tools for Change B.V. Partijen proberen een geschil eerst in overleg op te lossen.

TOTSTANDKOMING

Deze Verwerkersovereenkomst is aanvaard door Verwerkingsverantwoordelijke op het moment van akkoord met de voorwaarden van Evaluate, zoals vastgelegd in Evaluate. Bij een ondertekende versie:

BIJLAGE A

Specificatie van de Verwerking van Persoonsgegevens

A1. De Dienst

Evaluate is een online dienst waarmee Verwerkingsverantwoordelijke vragenlijsten samenstelt voor het evalueren van trainingen, cursussen, presentaties en andere content. Respondenten vullen de evaluatie in via een QR-code of link, meestal op een telefoon. Verwerkingsverantwoordelijke ziet de resultaten in een dashboard en kan ze exporteren als PDF of Excel.

A2. Categorieën Betrokkenen

A3. (Categorieën) Persoonsgegevens

Verwerkingsverantwoordelijke vraagt via Evaluate niet om Bijzondere categorieën Persoonsgegevens, strafrechtelijke gegevens of het burgerservicenummer (zie artikel 2.6).

A4. Doeleinden van de Verwerking

• Evaluaties beschikbaar stellen aan Respondenten en antwoorden verzamelen;
• Antwoorden opslaan, rapporteren in het dashboard en exporteren als PDF of Excel;
• Op verzoek van een gebruiker van Verwerkingsverantwoordelijke vragen voorstellen of een document omzetten in vragen met AI;
• Beveiligen van de Dienst, voorkomen van misbruik en oplossen van storingen.

A5. Bewaartermijn van de Persoonsgegevens

Persoonsgegevens worden bewaard zolang Verwerkingsverantwoordelijke ze in Evaluate bewaart; hij kan evaluaties en antwoorden zelf verwijderen; verwijderen is direct definitief. Na beëindiging van de Overeenkomst geldt artikel 14.3: verwijdering binnen drie maanden, back-ups worden binnen 30 dagen daarna overschreven. Documenten die worden geüpload voor de AI-functie worden direct na verwerking verwijderd.

A6. Sub-verwerkers

A7. Doorgifte aan derde landen

A8. Frequentie verrichten van audit

Verwerker is niet gehouden tot het verrichten van een periodieke externe audit, omdat uitsluitend Persoonsgegevens met een laag risico worden verwerkt (zie artikel 7.1).

A9. Categorieën Medewerkers

A10. Contactgegevens

BIJLAGE B

Technische en organisatorische maatregelen voor Evaluate

Tools for Change B.V. gebruikt de richtlijnen van ISO 27001 als leidraad voor informatiebeveiliging, zonder daarvoor gecertificeerd te zijn. Verantwoordelijk voor de informatiebeveiliging is Peter Heijnsdijk, directeur Tools for Change B.V. Voor Evaluate gelden ten minste de volgende maatregelen.

Organisatorisch

Technisch

BIJLAGE C

Informatie die moet worden verstrekt bij een Inbreuk in verband met Persoonsgegevens

Contactgegevens melder

Naam, functie, e-mailadres, telefoonnummer.

Gegevens over de Inbreuk in verband met Persoonsgegevens (hierna: “Inbreuk”)

• Een samenvatting van het incident waarbij de Inbreuk zich heeft voorgedaan.
• Het aantal personen van wie Persoonsgegevens zijn betrokken bij de Inbreuk: minimaal en maximaal.
• De groep mensen van wie Persoonsgegevens zijn betrokken (Categorieën Betrokkenen).
• Wanneer de Inbreuk plaatsvond: op (datum), tussen (begindatum) en (einddatum), of nog niet bekend.
• De aard van de Inbreuk: lezen (vertrouwelijkheid), kopiëren, veranderen (integriteit), verwijderen of vernietigen (beschikbaarheid), diefstal, of nog niet bekend.
• Het type Persoonsgegevens: naam-, adres- en woonplaatsgegevens; telefoonnummers; e-mailadressen of andere adressen voor elektronische communicatie; toegangs- of identificatiegegevens; financiële gegevens; burgerservicenummer; kopieën van legitimatiebewijzen; geslacht, geboortedatum en/of leeftijd; Bijzondere categorieën Persoonsgegevens; overige gegevens, namelijk (vul aan).
• De mogelijke gevolgen voor de persoonlijke levenssfeer van de Betrokkenen: stigmatisering of uitsluiting, schade aan de gezondheid, blootstelling aan (identiteits)fraude, blootstelling aan spam of phishing, of anders, namelijk (vul aan).

Vervolgacties naar aanleiding van de Inbreuk

• De technische en organisatorische maatregelen die zijn getroffen om de Inbreuk aan te pakken en verdere Inbreuken te voorkomen.

Technische beschermingsmaatregelen

• Of de Persoonsgegevens versleuteld, gehasht of op een andere manier onbegrijpelijk of ontoegankelijk zijn gemaakt voor onbevoegden: ja, nee, of deels, namelijk (vul aan).
• Zo ja of deels: op welke manier, inclusief de wijze van versleutelen.

Internationale aspecten

• Of de Inbreuk betrekking heeft op personen in andere landen van de Europese Unie: ja, nee, of nog niet bekend.