Verwerkersovereenkomst

ESC Webhosting · Versie 1.0 · Eindhoven, mei 2025 · op grond van artikel 28 AVG

Hoe werkt deze overeenkomst? Deze verwerkersovereenkomst maakt automatisch deel uit van de dienstverlening zodra u als klant persoonsgegevens van derden opslaat op de ESC-infrastructuur. Door gebruik te maken van de diensten van ESC aanvaardt u de inhoud van deze overeenkomst. Een apart ondertekend document is niet vereist.

Inhoudsopgave

Artikel 1 – Partijen en context
Artikel 2 – Definities
Artikel 3 – Onderwerp en duur
Artikel 4 – Verwerking door ESC
Artikel 5 – Verplichtingen van ESC
Artikel 6 – Verplichtingen van de verwerkingsverantwoordelijke
Artikel 7 – Inschakeling van sub-verwerkers
Artikel 8 – Doorgifte buiten de EER
Artikel 9 – Beveiliging
Artikel 10 – Datalekken
Artikel 11 – Rechten van betrokkenen
Artikel 12 – Audit en toezicht
Artikel 13 – Geheimhouding
Artikel 14 – Looptijd en beëindiging
Artikel 15 – Aansprakelijkheid
Artikel 16 – Toepasselijk recht
Bijlage – Overzicht verwerkingen

Artikel 1 – Partijen en context

Verwerker

ESC Webhosting

Leostraat 112, 5615 BP Eindhoven
E-mail: support@esc.nl · Tel: +31 (0)40 – 304 15 81

Verwerkingsverantwoordelijke

De klant

De natuurlijke persoon of rechtspersoon die een overeenkomst heeft gesloten met ESC Webhosting voor het afnemen van hosting-, domein- en/of e-maildiensten, zoals geregistreerd in het klantenportaal.

ESC levert hostingdiensten aan de verwerkingsverantwoordelijke. In het kader van die dienstverlening verwerkt ESC mogelijk persoonsgegevens ten behoeve van de verwerkingsverantwoordelijke. Deze verwerkersovereenkomst legt de rechten en verplichtingen van beide partijen vast conform artikel 28 van de Algemene Verordening Gegevensbescherming (AVG).

Artikel 2 – Definities

In deze verwerkersovereenkomst wordt verstaan onder:

AVG: Verordening (EU) 2016/679 van het Europees Parlement en de Raad (Algemene Verordening Gegevensbescherming);
Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon;
Verwerking: elke bewerking van persoonsgegevens, zoals verzamelen, opslaan, gebruiken, doorzenden of vernietigen;
Verwerkingsverantwoordelijke: de klant, die het doel en de middelen van de verwerking vaststelt;
Verwerker: ESC, die persoonsgegevens verwerkt ten behoeve van de verwerkingsverantwoordelijke;
Betrokkene: de natuurlijke persoon van wie persoonsgegevens worden verwerkt;
Datalek: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging of ongeoorloofde openbaarmaking van persoonsgegevens;
Sub-verwerker: een derde partij die door ESC wordt ingeschakeld voor de verwerking van persoonsgegevens;
Diensten: de hostingdiensten die ESC levert op grond van de hoofdovereenkomst.

Artikel 3 – Onderwerp en duur

ESC verwerkt persoonsgegevens uitsluitend ten behoeve van de uitvoering van de hostingdiensten zoals beschreven in de hoofdovereenkomst en de bijlage bij deze verwerkersovereenkomst.
Deze verwerkersovereenkomst treedt in werking op het moment dat de verwerkingsverantwoordelijke de diensten van ESC afneemt en loopt parallel aan de hoofdovereenkomst.
Bij beëindiging van de hoofdovereenkomst eindigt ook deze verwerkersovereenkomst, onverminderd de verplichtingen die naar hun aard ook na beëindiging voortduren (waaronder geheimhouding en verwijdering van gegevens).

Artikel 4 – Verwerking door ESC

ESC verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, tenzij een wettelijke verplichting ESC verplicht anders te handelen. In dat geval informeert ESC de verwerkingsverantwoordelijke voorafgaand aan de verwerking, tenzij de wet dit verbiedt.
ESC verwerkt geen persoonsgegevens voor eigen doeleinden, tenzij daarvoor een zelfstandige grondslag bestaat als verwerkingsverantwoordelijke (zoals vastgelegd in het privacybeleid van ESC).
De categorieën persoonsgegevens en betrokkenen die in het kader van de dienstverlening worden verwerkt, zijn opgenomen in de bijlage bij deze overeenkomst.
De verwerkingsverantwoordelijke garandeert dat hij over een geldige grondslag beschikt voor de verwerking van de persoonsgegevens die hij opslaat op de ESC-infrastructuur.

Artikel 5 – Verplichtingen van ESC

ESC verwerkt persoonsgegevens uitsluitend in overeenstemming met deze verwerkersovereenkomst en de toepasselijke privacywetgeving.
ESC draagt er zorg voor dat personen die bevoegd zijn persoonsgegevens te verwerken, gebonden zijn aan geheimhouding of een passende wettelijke geheimhoudingsplicht hebben.
ESC stelt de verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking, door middel van passende technische en organisatorische maatregelen zo goed mogelijk in staat te voldoen aan diens verplichtingen om verzoeken van betrokkenen te beantwoorden.
ESC assisteert de verwerkingsverantwoordelijke bij het nakomen van de in de artikelen 32 tot en met 36 AVG bedoelde verplichtingen (beveiliging, datalekken, DPIA), rekening houdend met de aard van de verwerking en de beschikbare informatie.
ESC stelt op verzoek alle informatie beschikbaar die nodig is om de nakoming van de in artikel 28 AVG neergelegde verplichtingen aan te tonen.

Artikel 6 – Verplichtingen van de verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke garandeert dat de verwerking van persoonsgegevens via de ESC-diensten in overeenstemming is met de AVG en overige toepasselijke wet- en regelgeving.
De verwerkingsverantwoordelijke is zelf verantwoordelijk voor de rechtmatigheid van de verwerkingen, de kwaliteit van de verstrekte gegevens en het verstrekken van de vereiste informatie aan betrokkenen.
De verwerkingsverantwoordelijke informeert ESC onverwijld over wijzigingen die relevant zijn voor de naleving van deze verwerkersovereenkomst.
De verwerkingsverantwoordelijke vrijwaart ESC voor aanspraken van betrokkenen of toezichthouders die voortvloeien uit het niet naleven door de verwerkingsverantwoordelijke van zijn AVG-verplichtingen.

Artikel 7 – Inschakeling van sub-verwerkers

ESC schakelt voor de uitvoering van de diensten de volgende sub-verwerkers in, waarvoor de verwerkingsverantwoordelijke door aanvaarding van deze overeenkomst toestemming verleent:

Sub-verwerker	Vestigingsland	Doel van de verwerking
Leaseweb Netherlands B.V.	Nederland	Colocatie van servers en fysieke infrastructuur
deSEC e.V.	Duitsland	DNS-beheer (verwerkt uitsluitend domeinnamen en DNS-records, geen persoonsgegevens van betrokkenen)

ESC sluit met elke sub-verwerker een verwerkersovereenkomst die ten minste dezelfde verplichtingen oplegt als de onderhavige overeenkomst.
ESC informeert de verwerkingsverantwoordelijke over beoogde wijzigingen in de sub-verwerkers (toevoeging of vervanging) met een kennistermijn van 30 dagen. De verwerkingsverantwoordelijke kan hiertegen bezwaar maken. Als partijen er niet uitkomen, kan de verwerkingsverantwoordelijke de hoofdovereenkomst beëindigen.
ESC blijft jegens de verwerkingsverantwoordelijke aansprakelijk voor de nakoming van de verplichtingen van sub-verwerkers.

Artikel 8 – Doorgifte buiten de EER

ESC verwerkt persoonsgegevens uitsluitend binnen de Europese Economische Ruimte (EER). Leaseweb opereert vanuit Nederland; deSEC vanuit Duitsland.
ESC verstrekt persoonsgegevens niet aan partijen buiten de EER zonder voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke, tenzij ESC daartoe wettelijk verplicht is.

Artikel 9 – Beveiliging

ESC treft passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, verlies, wijziging, ongeoorloofde verstrekking of toegang. De maatregelen omvatten onder meer:
- versleutelde verbindingen (TLS) voor alle datatransport;
- SFTP voor bestandstoegang (geen onversleuteld FTP);
- toegangsbeveiliging op basis van het need-to-know-principe;
- dagelijkse back-ups opgeslagen in een gescheiden omgeving in Nederland;
- regelmatige beveiligingsaudits en tijdig patchbeheer.
De beveiligingsmaatregelen zijn in overeenstemming met artikel 32 AVG, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang en risico's van de verwerking.
Op verzoek verstrekt ESC een overzicht van de getroffen beveiligingsmaatregelen.

Artikel 10 – Datalekken

ESC meldt een datalek dat persoonsgegevens van de verwerkingsverantwoordelijke betreft, zonder onnodige vertraging en uiterlijk binnen 36 uur na ontdekking, schriftelijk aan de verwerkingsverantwoordelijke.
De melding bevat ten minste:
- de aard van het datalek;
- de (vermoedelijke) categorieën en aantallen betrokkenen;
- de (vermoedelijke) categorieën en aantallen persoonsgegevensrecords;
- de naam en contactgegevens van de functionaris gegevensbescherming of een ander contactpunt;
- de waarschijnlijke gevolgen van het datalek;
- de maatregelen die zijn of worden getroffen.
De verwerkingsverantwoordelijke is verantwoordelijk voor de beoordeling of melding aan de Autoriteit Persoonsgegevens en/of betrokkenen vereist is.
ESC verleent alle medewerking die de verwerkingsverantwoordelijke nodig heeft om aan zijn meldplicht te voldoen.

Artikel 11 – Rechten van betrokkenen

Wanneer een betrokkene een verzoek tot uitoefening van zijn rechten (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar) richt aan ESC terwijl ESC in die context als verwerker optreedt, stuurt ESC het verzoek onverwijld door naar de verwerkingsverantwoordelijke.
ESC verleent de verwerkingsverantwoordelijke technische medewerking bij het uitvoeren van verzoeken van betrokkenen, voor zover dat redelijkerwijs van ESC gevergd kan worden.
De kosten van uitgebreide technische assistentie bij de uitoefening van rechten van betrokkenen kunnen in rekening worden gebracht bij de verwerkingsverantwoordelijke, na voorafgaande opgave van de te verwachten kosten.

Artikel 12 – Audit en toezicht

ESC stelt de verwerkingsverantwoordelijke in staat audits uit te voeren om de naleving van deze verwerkersovereenkomst te controleren, dan wel draagt bij aan dergelijke audits.
Audits worden minimaal 30 dagen van tevoren schriftelijk aangekondigd, worden uitgevoerd op een voor ESC passend moment en vinden niet vaker dan eenmaal per kalenderjaar plaats, tenzij sprake is van een gegrond vermoeden van schending.
De kosten van een audit zijn voor rekening van de verwerkingsverantwoordelijke. Als een audit aantoonbare nalatigheden aan de zijde van ESC blootlegt, draagt ESC de kosten.
Als alternatief voor een audit kan ESC een actuele derde-partij auditrapportage (ISO 27001 of vergelijkbaar) overleggen.

Artikel 13 – Geheimhouding

Beide partijen behandelen alle persoonsgegevens en informatie die in het kader van deze overeenkomst worden verwerkt als strikt vertrouwelijk.
ESC draagt er zorg voor dat medewerkers die toegang hebben tot persoonsgegevens gebonden zijn aan geheimhouding, hetzij contractueel, hetzij op grond van een wettelijke verplichting.
De geheimhoudingsverplichting blijft van kracht na beëindiging van deze overeenkomst.

Artikel 14 – Looptijd en beëindiging

Deze verwerkersovereenkomst eindigt van rechtswege bij beëindiging van de hoofdovereenkomst.
Na beëindiging verwijdert of retourneert ESC alle persoonsgegevens die in het kader van de dienstverlening zijn verwerkt, naar keuze van de verwerkingsverantwoordelijke, tenzij de wet bewaring vereist.
De klant kan via het klantenportaal zijn data exporteren gedurende minimaal 14 dagen na de einddatum van de dienst. Na afloop van die termijn worden de gegevens veilig en onherstelbaar verwijderd.
Op verzoek verstrekt ESC een schriftelijke bevestiging van de verwijdering.

Artikel 15 – Aansprakelijkheid

Iedere partij is aansprakelijk voor schade die voortvloeit uit haar niet-nakoming van de AVG-verplichtingen die specifiek op haar rusten als verwerkingsverantwoordelijke respectievelijk verwerker.
De aansprakelijkheid van ESC in het kader van deze verwerkersovereenkomst is beperkt conform artikel 12 van de algemene voorwaarden van ESC.
ESC is niet aansprakelijk voor schade die voortvloeit uit verwerkingen door de verwerkingsverantwoordelijke zelf, of uit instructies van de verwerkingsverantwoordelijke die in strijd zijn met de AVG.

Artikel 16 – Toepasselijk recht

Op deze verwerkersovereenkomst is Nederlands recht van toepassing.
Geschillen worden beslecht conform het bepaalde in de algemene voorwaarden van ESC.
In geval van strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden prevaleert deze verwerkersovereenkomst voor zover het de verwerking van persoonsgegevens betreft.

Bijlage – Overzicht verwerkingen

Deze bijlage beschrijft de verwerkingen die ESC als verwerker uitvoert ten behoeve van de verwerkingsverantwoordelijke (klant).

Aspect	Omschrijving
Onderwerp	Opslag en beschikbaarstelling van bestanden, databases en e-mailberichten op de hostinginfrastructuur van ESC
Aard van de verwerking	Opslaan, back-uppen, beschikbaar stellen via SFTP/webinterface, verwijderen bij opzegging
Doel	Het leveren van hosting- en e-maildiensten conform de hoofdovereenkomst
Categorieën persoonsgegevens	Alle persoonsgegevens die de verwerkingsverantwoordelijke opslaat op de ESC-infrastructuur; de aard en inhoud zijn uitsluitend bekend bij de verwerkingsverantwoordelijke
Categorieën betrokkenen	Alle personen van wie de verwerkingsverantwoordelijke persoonsgegevens opslaat; te denken valt aan klanten, medewerkers, bezoekers of abonnees van de verwerkingsverantwoordelijke
Locatie van de verwerking	Nederland (Leaseweb datacenter, Amsterdam)
Bewaartermijn	Zolang de dienst actief is; na opzegging minimaal 14 dagen beschikbaar voor export, daarna onherstelbaar verwijderd
Betrokken sub-verwerkers	Leaseweb Netherlands B.V. (infrastructuur); deSEC e.V. (DNS, geen persoonsgegevens betrokkenen)

              Opmerking: ESC heeft geen zicht op de inhoud van de bestanden, databases en e-mails die de verwerkingsverantwoordelijke opslaat. De verwerkingsverantwoordelijke bepaalt zelf welke persoonsgegevens worden verwerkt en is daarvoor als verwerkingsverantwoordelijke zelf verantwoordelijk. ESC heeft als verwerker uitsluitend technische toegang voor zover noodzakelijk voor de dienstverlening (onderhoud, storingsherstel, back-up).
            