Sub-verwerkersovereenkomst — voorbeeld & model

Partijen

DataHost B.V., gevestigd te Utrecht (“Verwerker”), en CloudInfra B.V., gevestigd te Amsterdam (“Sub-verwerker”), komen deze sub-verwerkersovereenkomst overeen. Verwerker heeft met een verwerkingsverantwoordelijke een verwerkersovereenkomst gesloten van 1 september 2026 (de “Hoofdovereenkomst”) en schakelt Sub-verwerker in bij de uitvoering daarvan.

Gegevens van partijen

Verwerker (hoofdverwerker, bedrijfsnaam): DataHost B.V., Utrecht. Sub-verwerker (bedrijfsnaam): CloudInfra B.V., Amsterdam.

Artikel 1 · Doel, rangorde en instructies

Sub-verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de dienst: Hosting en back-up van applicatiedata in een datacenter. De verwerking betreft de volgende categorieën persoonsgegevens: NAW-gegevens, e-mailadressen, gebruikersaccounts en loggegevens. Sub-verwerker verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verwerker, die de instructies van de verwerkingsverantwoordelijke doorgeeft. De verplichtingen van Sub-verwerker gaan niet verder dan die welke op Verwerker rusten op grond van de Hoofdovereenkomst; bij strijd tussen deze overeenkomst en de Hoofdovereenkomst prevaleert de bescherming van de betrokkenen.

Artikel 2 · Beveiligingsmaatregelen

Sub-verwerker treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, waaronder waar passend pseudonimisering, versleuteling, en maatregelen voor vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de systemen. Sub-verwerker evalueert deze maatregelen periodiek en past ze aan waar nodig. Op verzoek toont Sub-verwerker aan dat de maatregelen worden nageleefd.

Artikel 3 · Vertrouwelijkheid

Sub-verwerker houdt de persoonsgegevens en alle in het kader van deze overeenkomst verkregen informatie geheim. Sub-verwerker zorgt ervoor dat personen die tot verwerking gemachtigd zijn, zich tot geheimhouding hebben verbonden of door een passende wettelijke geheimhoudingsplicht zijn gebonden. Deze verplichting blijft na afloop van deze overeenkomst van kracht. De geheimhoudingsplicht geldt niet voor informatie die al openbaar is of buiten toedoen van de ontvangende partij openbaar wordt, die de ontvangende partij al rechtmatig kende voordat zij haar ontving, die zij zelfstandig en zonder gebruik van de vertrouwelijke informatie heeft ontwikkeld, of waarvan openbaarmaking wordt verlangd door de wet, een rechterlijke uitspraak of een bevoegde toezichthouder — in dat laatste geval stelt zij de andere partij vooraf op de hoogte voor zover dat is toegestaan. De geheimhoudingsplicht blijft na het einde van deze overeenkomst nog vijf jaar van kracht; voor bedrijfsgeheimen geldt zij zolang de informatie dat karakter behoudt.