Overeenkomst tot uitvoering van het nationaal Bedrijfsfitness Plan
Artikel 1. Toepasselijkheid
Artikel 2. Begripsbepalingen
| Overeenkomst: | overeenkomst tussen werkgever en BFNL |
| Klant: | werkgever |
| Deelnemer: | werknemer van klant die deelneemt aan bedrijfsfitness |
| Abonnement: | bedrijfsfitnessabonnement eventueel inclusief intake |
| Order: | bestelling van een abonnement |
| MijnFitnessplan: | online projectomgeving waarmee klant ten behoeve van een deelnemer een order plaatst bij BFNL |
| Fitnesslocatie: | een bij BFNL middels een samenwerkingsovereenkomst aangesloten fitnesscentrum |
Artikel 3. Offertes en orders
Artikel 4. Prijzen
Artikel 5. Levering
Artikel 6. Abonnementen
Artikel 7. Overmacht
Artikel 8. Facturering en betaling
Artikel 9. Aansprakelijkheid en vrijwaring
Artikel 10. Ontbinding
Artikel 11. Geheimhouding / privacy
Artikel 12. Toepasselijk recht en bevoegde rechter
Gegevensverwerkingsovereenkomst
1. Onderwerp en doel
Deze Verwerkingsovereenkomst regelt de verwerking van persoonsgegevens in verband met de Dienstverleningsovereenkomst op grond waarvan Leverancier Diensten aan Opdrachtgever levert. De overeenkomst beschrijft de verplichtingen van Partijen op het gebied van gegevensbescherming, die gelden naast hun verplichtingen uit hoofde van de Dienstverleningsovereenkomst. De reikwijdte van de verwerking is nader omschreven in Bijlage A (Beschrijving van de verwerking van persoonsgegevens en subverwerkers).
Partijen erkennen dat Leverancier optreedt als verwerkingsverantwoordelijke voor alle persoonsgegevens met betrekking tot: (i) het gebruik van de Diensten door eindgebruikers; (ii) gereguleerde betalingsdiensten (waaronder de distributie en het gebruik van persoonlijke betaalinstrumenten); en (iii) eindgebruikersdiensten (zoals de mobiele applicatie van Leverancier).
De Opdrachtgever is verantwoordelijk voor het waarborgen dat hij, als verwerkingsverantwoordelijke, het recht heeft om persoonsgegevens te verwerken en over te dragen aan Leverancier overeenkomstig deze Verwerkingsovereenkomst en de Dienstverleningsovereenkomst.
2. Naleving en instructies van de opdrachtgever
De Opdrachtgever kan de Leverancier instructies geven over de verwerking in het kader van deze overeenkomst. Instructies die de reikwijdte hiervan overschrijden, worden als volgt behandeld: 1) bespreking van de haalbaarheid; indien geen overeenstemming wordt bereikt, wordt de instructie behandeld als een contractuele wijziging conform de Dienstverleningsovereenkomst; 2) meerkosten: indien de instructie verder gaat dan wettelijke vereisten, heeft Leverancier recht op een redelijke vergoeding. Leverancier dient de Opdrachtgever te informeren indien hij zijn verplichtingen niet kan nakomen of indien een instructie in strijd zou zijn met de toepasselijke wetgeving inzake gegevensbescherming, tenzij dit wettelijk verboden is.
3. Gebruik van derden bij de verwerking van persoonsgegevens
Leverancier mag subverwerkers inschakelen voor de verwerking van persoonsgegevens, mits:
(i) de subverwerking is vastgelegd in een schriftelijke Verwerkingsovereenkomst; en (ii) de met de subverwerker gesloten Verwerkingsovereenkomst in alle wezenlijke opzichten voldoet aan vergelijkbare vereisten ten aanzien van persoonsgegevens als de bepalingen van deze Verwerkingsovereenkomst.
Leverancier stelt de Opdrachtgever onverwijld schriftelijk op de hoogte van wijzigingen in de ingeschakelde subverwerkers (zoals het inschakelen van een nieuwe subverwerker ter vervanging van een vorige). De Opdrachtgever heeft het recht om binnen dertig (30) dagen na kennisgeving door Leverancier bezwaar te maken tegen de wijziging van subverwerkers. Opdrachtgever en Leverancier zullen trachten de grondoorzaken van het gerechtvaardigde bezwaar van de Opdrachtgever op te lossen, zodat de wijziging van de subverwerkers doorgang kan vinden. Indien Opdrachtgever en Leverancier geen oplossing bereiken die de wijziging van de subverwerkers conform de kennisgeving van Leverancier mogelijk maakt, heeft de Opdrachtgever het recht de Dienstverleningsovereenkomst te beëindigen op de daarin overeengekomen wijze.
Leverancier is verantwoordelijk voor de verwerking van persoonsgegevens door zijn subverwerkers alsof het zijn eigen verwerking betreft. De subverwerkers van Leverancier zijn opgenomen in Bijlage A van deze Verwerkingsovereenkomst (Beschrijving van de verwerking van persoonsgegevens en lijst van goedgekeurde subverwerkers).
4. Verwerking van de persoonsgegevens buiten de EU/EER
Ten behoeve van de uitvoering van de Diensten en de Dienstverleningsovereenkomst kan Leverancier persoonsgegevens doorgeven aan derde landen buiten de EU/EER. De locaties waarnaar persoonsgegevens kunnen worden doorgegeven, zijn vermeld in deze Verwerkingsovereenkomst (Beschrijving van de verwerking van persoonsgegevens en lijst van goedgekeurde subverwerkers).
Indien doorgifte buiten de EU/EER plaatsvindt, waarborgt Leverancier de naleving van de toepasselijke wetgeving inzake gegevensbescherming. Bij het ontbreken van een adequaatheidsbesluit van de Europese Commissie treft Leverancier de vereiste waarborgen, waaronder waar van toepassing de Standaardcontractbepalingen van de EU.
5. Gegevensbeveiliging
Leverancier handhaaft technische en organisatorische maatregelen (nader omschreven hieronder) ter bescherming van persoonsgegevens tegen onopzettelijke, ongeautoriseerde of onrechtmatige vernietiging, verlies, wijziging, openbaarmaking of toegang. De maatregelen omvatten pseudonimisering en versleuteling, waarborging van vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van systemen, herstelmogelijkheden bij incidenten, en regelmatige effectiviteitstests. Toegang tot persoonsgegevens is voorbehouden aan bevoegd, getraind personeel dat gebonden is aan geheimhoudingsverplichtingen.
6. Datalek
In geval van een datalek stelt Leverancier de Opdrachtgever onverwijld schriftelijk op de hoogte zodra Leverancier kennis krijgt van het datalek.
De melding van het datalek door Leverancier bevat ten minste de volgende informatie: (i) een beschrijving van de aard van het datalek, met inbegrip van, voor zover mogelijk, de categorieën en het geschatte aantal betrokken betrokkenen en de categorieën en het geschatte aantal betrokken persoonsgegevensrecords; (ii) een beschrijving van de waarschijnlijke gevolgen van het datalek; en (iii) een beschrijving van de maatregelen die Leverancier naar aanleiding van het datalek heeft voorgesteld of genomen, waaronder, indien van toepassing, maatregelen om de mogelijke nadelige gevolgen te beperken.
Indien volledige informatie niet beschikbaar is, kan Leverancier de melding in delen doen, mits een eerste melding zo spoedig mogelijk wordt verzonden.
7. Auditrecht
De Opdrachtgever kan de verwerkingsactiviteiten van Leverancier laten controleren door een erkende, onafhankelijke derde partij (die geen concurrent is van Leverancier) die gebonden is aan geheimhoudingsverplichtingen. Reikwijdte, methode en tijdstip dienen vooraf te worden overeengekomen; audits vangen niet eerder aan dan 30 dagen na kennisgeving en mogen de dienstverlening van Leverancier aan andere klanten niet verstoren. De kosten van de audit zijn voor rekening van de Opdrachtgever, tenzij wezenlijke tekortkomingen worden vastgesteld. Leverancier werkt mee aan verzoeken van de Opdrachtgever in het kader van audits door een bevoegde toezichthoudende autoriteit.
8. Toegang tot persoonsgegevens en rechten van betrokkenen
Op schriftelijk verzoek verleent Leverancier naar redelijkheid medewerking aan de Opdrachtgever bij het nakomen van verzoeken van betrokkenen, waaronder inzage, correctie, blokkering en verwijdering van persoonsgegevens, alsmede het verstrekken van informatie over verwerkingsactiviteiten. Leverancier verleent verder medewerking bij overige verplichtingen uit hoofde van de wetgeving inzake gegevensbescherming (zoals gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen), zoals nader overeen te komen. Leverancier heeft recht op een redelijke vergoeding voor dergelijke medewerking.
Beschrijving van de verwerking van persoonsgegevens
| Aard en doel van de verwerking van persoonsgegevens | Dienstverlening, waaronder platformtoegang, beheer van medewerkeraccounts en verkrijging van voordelen (inclusief gegevensdoorsturen naar externe aanbieders van voordelen) · Communicatie met medewerkers over platformfunctionaliteiten en updates · Gebruiksanalyse en platformverbetering · Verwerking van aankoopgegevens van voordelen ten behoeve van facturering en verrekening |
| Categorieën persoonsgegevens | Voornaam · Achternaam · Geboortedatum · Datum indiensttreding · Einddatum contract · Zakelijk e-mailadres · Medewerkers-ID · Privé-e-mailadres (op verzoek van de verwerkingsverantwoordelijke) · Voordeeltransacties · IP-adres · Geschatte locatie (op basis van IP-adres) · Geslacht, volledig adres en telefoonnummer (indien BFNL Sports-abonnementen worden verstrekt) |
| Betrokkenen | De medewerkers van de Verwerkingsverantwoordelijke, die de ontvangers en begunstigden zijn van de arbeidsvoorwaarden die via de Dienst van Leverancier worden aangeboden |
| Toepasselijke beveiligingsmaatregelen | Persoonsgegevens worden via een beveiligd kanaal via een synchronisatie-interface verbonden met de Onlinedienst aan Leverancier doorgegeven, of op een andere wijze als overeengekomen met de Verwerkingsverantwoordelijke (bijvoorbeeld via de beveiligde e-mail van de Verwerkingsverantwoordelijke, op risico van de Verwerkingsverantwoordelijke), voor de initiële inrichting van de Dienst voor de medewerkers van de Verwerkingsverantwoordelijke. Leverancier verzorgt de doorlopende verwerking en levering van retourgegevens aan de Verwerkingsverantwoordelijke via zijn Onlinedienst aan de naar behoren bevoegde vertegenwoordiger(s) van de Verwerkingsverantwoordelijke. Toegang tot de Onlinedienst aan de zijde van de Verwerkingsverantwoordelijke is beveiligd via geautoriseerde gebruikerslogins en wachtwoorden. Nadere informatie over de systeembeveiligingsmaatregelen van de Onlinedienst van Leverancier wordt op verzoek van de Verwerkingsverantwoordelijke aan hem verstrekt. |
| Duur van de verwerking | De persoonsgegevens worden verwerkt gedurende de looptijd van de Dienstverleningsovereenkomst en gedurende enige aanvullende periode daarna, voor zover vereist voor de uitvoering van de verplichtingen van de verwerker conform de Dienstverleningsovereenkomst en de toepasselijke wetgeving inzake gegevensbescherming en/of verzoeken van bevoegde autoriteiten. |