Loop je verwerkers­overeenkomst na in twintig minuten

Deze acht staan in de wet. Een overeenkomst die er een mist, is onvolledig. Vink aan wat je letterlijk terugvindt in de tekst.

• Verwerking alleen op jouw gedocumenteerde instructieInclusief instructies over doorgifte naar landen buiten de Europese Economische Ruimte.
• Geheimhouding voor iedereen die namens de leverancier toegang heeftNiet alleen eigen personeel, ook ingehuurde krachten.
• Passende technische en organisatorische beveiligingsmaatregelenConcreet benoemd in de overeenkomst zelf.
• Voorwaarden voor subverwerkers, met dezelfde verplichtingen door de ketenMet een lijst, een aankondigingstermijn en een recht om bezwaar te maken.
• Bijstand bij verzoeken van betrokkenenInzage, correctie, verwijdering en overdraagbaarheid.
• Bijstand bij beveiliging, datalekken, DPIA en overleg met de toezichthouderVraag erbij hoeveel uren inbegrepen zijn, anders wordt het een factuur op een slecht moment.
• Aan het einde: wissen of teruggeven, naar jouw keuzeMet een termijn, een gangbaar bestandsformaat en een schriftelijke bevestiging.
• Informatie om naleving aan te tonen, en audits mogelijk makenMet een redelijke frequentie en duidelijkheid over wie de kosten draagt.

Deze zes staan er vaak wel in, maar dan anders dan je zou willen. Vink aan wat goed geregeld is.

• De bijlage met subverwerkers is ingevuldVaak mis: Leeg of "niet van toepassing", terwijl er wel partijen worden ingeschakeld.
• De aansprakelijkheid kent een maximumVaak mis: Onbeperkte aansprakelijkheid, of geen uitsluiting van gevolgschade.
• Boetes van de toezichthouder vallen onder hetzelfde maximumVaak mis: Volledig verhaal, zonder verhouding tot wat de opdracht waard is.
• Er staat in dat je gegevens niet in modellen van de leverancier of van derden belandenVaak mis: Alleen "wij verkopen uw gegevens niet". Dat is iets anders dan niet trainen.
• De leverancier kan de overeenkomst niet eenzijdig verzwarenVaak mis: Een clausule waarmee voorwaarden zonder jouw instemming veranderen.
• Er staat een concrete termijn voor het melden van een datalekVaak mis: "Zo spoedig mogelijk" legt jouw wettelijke termijn van 72 uur bij jou neer.