.png)
Wat is gegevensverwerking?
Als je bedrijf cloudsoftware gebruikt om met klanten te communiceren, verwerk je persoonsgegevens. Of het nu gaat om een e-mailadres, een chatgeschiedenis of een telefoonnummer: deze informatie valt onder strenge privacywetgeving. Inzicht in je verplichtingen is cruciaal om aan de wet te voldoen en het vertrouwen van je klanten te winnen. Een gegevensverwerkingsovereenkomst (DPA) is een belangrijk juridisch instrument dat vastlegt hoe met deze gegevens wordt omgegaan, zodat zowel je bedrijf als je leveranciers op één lijn zitten wat betreft beveiliging en privacy.
Samenvatting
Een gegevensverwerkingsovereenkomst (DPA) is een wettelijk verplichte overeenkomst tussen een verwerkingsverantwoordelijke (jouw bedrijf) en een gegevensverwerker (een externe dienst zoals Trengo). Hierin staan de specifieke regels, beveiligingsmaatregelen en verplichtingen beschreven voor het verwerken van persoonsgegevens in overeenstemming met regelgeving zoals de AVG. Deze overeenkomst is essentieel voor elk bedrijf dat externe software gebruikt om klantgegevens te beheren, omdat deze ervoor zorgt dat gegevens op een verantwoorde en veilige manier worden behandeld.
TL;DR
- Een DPA is een wettelijk verplichte overeenkomst volgens de AVG wanneer een derde partij persoonsgegevens voor je verwerkt.
- Jouw bedrijf is de „verwerkingsverantwoordelijke“ en de softwareleverancier (zoals Trengo) is de „gegevensverwerker“.
- In de DPA staat precies beschreven wat, hoe, waarom en hoe lang de gegevens worden verwerkt.
- De belangrijkste bepalingen hebben betrekking op beveiligingsmaatregelen, meldingen van datalekken en het inschakelen van onderverwerkers.
- Zonder DPA werken kan leiden tot flinke boetes en reputatieschade.
- Gerenommeerde leveranciers zoals Trengo stellen hun DPA direct beschikbaar om naleving te garanderen.
Voordat we de overeenkomst kunnen begrijpen, moeten we eerst de handeling definiëren. In de context van de wetgeving inzake gegevensbescherming is ‘gegevensverwerking’ een heel brede term. Het verwijst naar elke bewerking of reeks bewerkingen die op persoonsgegevens wordt uitgevoerd, al dan niet met geautomatiseerde middelen. Dit omvat handelingen zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, aanpassen, opvragen, gebruiken, openbaar maken door verzending, verspreiden of op andere wijze beschikbaar stellen, afstemmen, combineren, beperken, wissen of vernietigen van gegevens. Voor een bedrijf dat een modern klantenserviceplatform gebruikt, omvat dit vrijwel elke interactie. Praktische voorbeelden van gegevensverwerking zijn onder meer: de naam en het e-mailadres van een klant opslaan in een gedeelde inbox, de chatgeschiedenis van een websitebezoeker vastleggen of een telefoonnummer uit een WhatsApp-gesprek opslaan. Deze alledaagse activiteiten zijn allemaal vormen van gegevensverwerking.
Wat is een gegevensverwerkingsovereenkomst (DPA)?
Een gegevensverwerkingsovereenkomst (DPA) is een juridisch bindend contract tussen een verwerkingsverantwoordelijke en een gegevensverwerker waarin de verwerking van persoonsgegevens wordt geregeld. Het belangrijkste doel ervan is ervoor te zorgen dat de gegevensverwerker voldoet aan zijn wettelijke verplichtingen op grond van de wetgeving inzake gegevensbescherming en de gegevens uitsluitend verwerkt volgens de instructies van de verwerkingsverantwoordelijke. Deze overeenkomst is niet zomaar een formaliteit; het is een cruciaal onderdeel van de naleving van de privacywetgeving. Bij het gebruik van een dienst als Trengo zijn de rollen duidelijk:
- Verantwoordelijke voor de verwerking: Dit is jouw bedrijf. Jij bepaalt het doel en de wijze waarop persoonsgegevens worden verwerkt. Je besluit bijvoorbeeld om e-mailadressen van klanten te verzamelen om ondersteuning te bieden en updates over bestellingen te sturen.
- Gegevensverwerker: Dit is de externe dienst die je gebruikt, zoals Trengo. Trengo verwerkt de klantgegevens namens jou en volgens jouw instructies om zijn diensten te leveren, zoals het beheren van je omnichannel-inbox of het inzetten van een AI-chatbot.
De DPA versterkt deze relatie en zorgt ervoor dat Trengo de gegevens van je klanten met de hoogste mate van beveiliging en volledig in overeenstemming met de wettelijke vereisten verwerkt.
Verantwoordelijke voor de verwerking versus verwerker: inzicht in je rol
Het is heel belangrijk om het verschil te begrijpen tussen een verwerkingsverantwoordelijke en een gegevensverwerker. Zie het als het bouwen van een huis: de verwerkingsverantwoordelijke is de architect die de bouwtekeningen ontwerpt en bepaalt hoe het huis eruit komt te zien en waarvoor het bedoeld is. De gegevensverwerker is de aannemer die het huis bouwt en zich daarbij strikt aan de plannen van de architect houdt. De architect (verwerkingsverantwoordelijke) is uiteindelijk verantwoordelijk voor het eindproduct, ook al doet de aannemer (verwerker) het fysieke werk. Op dezelfde manier blijft jouw bedrijf, als verwerkingsverantwoordelijke, uiteindelijk verantwoordelijk voor de bescherming van de persoonsgegevens van je klanten. Daarom is het zo belangrijk om een verwerker te kiezen die aan de regels voldoet en betrouwbaar is. Een sterke gegevensverwerkingsovereenkomst (DPA) laat zien dat de partner die je hebt gekozen deze verantwoordelijkheid serieus neemt en de nodige maatregelen heeft getroffen om de gegevens die hij namens jou verwerkt te beveiligen.
Het doel van een DPA: waarom het meer is dan alleen een formaliteit
Een DPA dient meerdere cruciale doelen die verder gaan dan alleen maar aan een wettelijke vereiste voldoen. Het zorgt voor duidelijkheid en transparantie tussen jou en je leverancier. Het legt de gegevensverwerkingsactiviteiten formeel vast, zodat iedereen zijn rol, verantwoordelijkheden en beperkingen begrijpt. Maar nog belangrijker: het is een toezegging op het gebied van beveiliging en naleving. De overeenkomst specificeert de technische en organisatorische beveiligingsmaatregelen die de verwerker moet nemen om de gegevens te beschermen tegen ongeoorloofde toegang, verlies of vernietiging. Het beschrijft procedures voor het omgaan met datalekken, het helpen bij verzoeken van betrokkenen en het waarborgen van vertrouwelijkheid. Voor je klanten is een DPA een teken dat jij en je partners zich inzetten voor de bescherming van hun privacy, wat een hoeksteen is voor het opbouwen en behouden van vertrouwen in een digitale wereld.
Waarom een DPA een wettelijke vereiste is waarover niet onderhandeld kan worden
Voor elk bedrijf dat actief is in of klanten bedient in regio’s met moderne wetgeving op het gebied van gegevensbescherming, is een DPA geen optie. Volgens regelgeving zoals de Algemene Verordening Gegevensbescherming (AVG) is een DPA een wettelijke verplichting zodra een verwerkingsverantwoordelijke een gegevensverwerker inschakelt om persoonsgegevens te verwerken. Dit staat expliciet vermeld in artikel 28 van de AVG, dat een bindende overeenkomst tussen beide partijen voorschrijft. De risico’s van niet-naleving zijn ernstig en kunnen verwoestende gevolgen hebben voor een bedrijf. Toezichthouders kunnen hoge boetes opleggen voor overtredingen, die volgens de AVG kunnen oplopen tot € 20 miljoen of 4% van de wereldwijde jaaromzet van het bedrijf, afhankelijk van welk bedrag het hoogst is. Naast de financiële sancties kan de reputatieschade door een inbreuk op de gegevensbescherming nog veel kostbaarder zijn, omdat dit leidt tot een verlies van klantvertrouwen dat moeilijk terug te winnen is.
Wanneer heb je een gegevensverwerkingsovereenkomst nodig?
Je hebt een gegevensverwerkingsovereenkomst nodig zodra je een externe dienstverlener toegang geeft tot de persoonsgegevens van je klanten, medewerkers of gebruikers. De kern van de zaak is simpel: als je een externe tool gebruikt om persoonsgegevens van klanten op te slaan, te beheren of ermee te werken, heb je een gegevensverwerkingsovereenkomst nodig. Dit geldt voor een breed scala aan gangbare bedrijfssoftware. Hier zijn een paar duidelijke, praktische voorbeelden waarbij een gegevensverwerkingsovereenkomst vereist is:
- Als je een platform voor een gedeelde inbox zoals Trengo gebruikt om e-mails van klanten en supporttickets te beheren.
- Wanneer je de WhatsApp Business API via een provider integreert om chats en vragen van klanten af te handelen.
- Als je een livechat-tool op je website gebruikt om in realtime met bezoekers te communiceren.
- Als je gebruikmaakt van cloudgebaseerde CRM-, helpdesk-, marketingautomatiserings- of communicatiesoftware waarin klantgegevens worden opgeslagen.
- Als je analysetools gebruikt die gebruikersgegevens verwerken of cloudhostingproviders die je databases opslaan.
Wat moet er in een gegevensverwerkingsovereenkomst staan? Een checklist met belangrijke bepalingen
Een uitgebreide DPA is gedetailleerd en specifiek. Er zijn weliswaar sjablonen beschikbaar, maar het is cruciaal dat je overeenkomst alle wettelijk vereiste bepalingen bevat. Hieronder vind je een checklist met de essentiële onderdelen die elke DPA moet bevatten, zoals voorgeschreven door regelgeving zoals de AVG.
Onderwerp, duur, aard en doel van de verwerking
Deze clausule vormt de basis van de overeenkomst. Hierin moet duidelijk worden beschreven „wat, hoe lang, hoe en waarom” de gegevens worden verwerkt. Er wordt in aangegeven welke gegevens worden verwerkt, hoe lang de overeenkomst loopt, welke soorten verwerkingsactiviteiten de verwerker gaat uitvoeren (bijv. opslag, opvragen) en wat het algemene doel is (bijv. het verlenen van klantenservice).
Soorten persoonsgegevens en categorieën betrokkenen
In de DPA moet precies worden aangegeven welke soorten persoonsgegevens er worden verwerkt. Denk bijvoorbeeld aan contactgegevens (namen, e-mailadressen, telefoonnummers), communicatiegegevens (chatlogs, e-mailinhoud) of technische gegevens (IP-adressen). Ook moeten de categorieën personen worden genoemd van wie de gegevens worden verwerkt, zoals klanten, websitebezoekers of medewerkers.
Verplichtingen van de verwerker
Dit is een cruciaal onderdeel waarin de taken van de verwerker worden beschreven. Een belangrijke verplichting is dat de verwerker uitsluitend mag handelen volgens de gedocumenteerde instructies van de verwerkingsverantwoordelijke. Hij mag de gegevens niet voor eigen doeleinden gebruiken. Deze bepaling zorgt ervoor dat jij, de verwerkingsverantwoordelijke, de controle over je gegevens behoudt.
Vertrouwelijkheid en beveiligingsmaatregelen
De verwerker moet zich ertoe verbinden de vertrouwelijkheid van de persoonsgegevens te waarborgen. In de gegevensverwerkingsovereenkomst moeten de specifieke technische en organisatorische beveiligingsmaatregelen worden beschreven die de verwerker heeft getroffen om de gegevens te beschermen. Dit omvat beveiligingsmaatregelen zoals versleuteling van gegevens tijdens verzending en in opslag, toegangscontroles, regelmatige beveiligingstests en training van het personeel. Hier laat een betrouwbare partner als Trengo zien dat hij zich inzet voor strenge beveiligingsnormen.
Gebruik van subverwerkers
Deze clausule bepaalt of de verwerker andere bedrijven (subverwerkers) mag inschakelen om te helpen bij de verwerking van de gegevens. Als dat het geval is, moet de verwerker eerst schriftelijke toestemming van de verwerkingsverantwoordelijke krijgen. Bovendien moet de hoofdverwerker een gegevensverwerkingsovereenkomst (DPA) hebben met zijn subverwerkers, waarin dezelfde verplichtingen op het gebied van gegevensbescherming worden opgelegd, zodat de beveiligingsketen intact blijft.
Rechten van de betrokkene
Mensen hebben rechten met betrekking tot hun gegevens, zoals het recht op inzage, correctie of verwijdering. In de gegevensverwerkingsovereenkomst moet worden vastgelegd hoe de verwerker de verwerkingsverantwoordelijke zal helpen om deze verzoeken van betrokkenen snel en effectief af te handelen.
Meldingen van datalekken
Bij een datalek is tijd van essentieel belang. De gegevensbeschermingsautoriteit moet de verwerker verplichten om de verwerkingsverantwoordelijke „zonder onnodige vertraging“ op de hoogte te stellen zodra hij zich bewust wordt van een datalek. Zo kan de verwerkingsverantwoordelijke aan zijn eigen wettelijke verplichtingen voldoen om het datalek te melden aan de toezichthouders en, indien nodig, aan de betrokken personen.
Verwijdering of teruggave van gegevens
De overeenkomst moet een duidelijk beëindigingsplan bevatten. Deze clausule legt vast wat er aan het einde van het contract met de persoonsgegevens gebeurt. De verwerker moet verplicht worden om alle persoonsgegevens te verwijderen of terug te geven aan de verwerkingsverantwoordelijke, en ook bestaande kopieën te verwijderen, tenzij er een wettelijke verplichting is om ze te bewaren.
Hoe je een DPA met je dienstverleners afsluit
Het afsluiten van een gegevensverwerkingsovereenkomst (DPA) zou bij elk gerenommeerd SaaS-bedrijf een eenvoudig proces moeten zijn. Deze aanbieders zijn op de hoogte van hun wettelijke verplichtingen en zorgen er doorgaans voor dat het proces voor hun klanten soepel verloopt. De DPA wordt vaak gepresenteerd als een bijlage of aanvullende overeenkomst bij de algemene gebruiksvoorwaarden. In veel gevallen wordt deze automatisch opgenomen in de voorwaarden waarmee je akkoord gaat bij het aanmelden. Bij andere diensten moet je de DPA misschien opvragen, waarna je deze kunt doornemen en elektronisch ondertekenen. Het is cruciaal om je overeenkomsten met al je softwareleveranciers door te nemen om er zeker van te zijn dat er een DPA is. Gerenommeerde platforms zoals Trengo maken dit makkelijk, met een duidelijke en uitgebreide DPA die voor alle klanten direct beschikbaar is, zodat je vanaf dag één volledig aan de regels voldoet.
Een gegevensverwerkingsovereenkomst is een verplicht juridisch contract dat je bedrijf beschermt, de gegevens van je klanten beveiligt en als hoeksteen van moderne gegevensbescherming fungeert. Het zet een wettelijke verplichting om in een kans om te laten zien dat je beveiliging serieus neemt en om blijvend vertrouwen op te bouwen. Ervoor zorgen dat al je softwareleveranciers aan de regels voldoen, is niet alleen een goede gewoonte; het is essentieel voor duurzame groei. Naleving garanderen hoeft niet ingewikkeld te zijn. Met het beveiligde platform en de uitgebreide DPA van Trengo kun je je communicatie met klanten met een gerust hart stroomlijnen. Ontdek hoe Trengo je gegevens veilig houdt.
Veelgestelde vragen
De AVG is de wet, terwijl een DPA een contract is dat door die wet wordt vereist. De Algemene Verordening Gegevensbescherming (AVG) is een uitgebreide verordening op het gebied van gegevensbescherming die de regels vastlegt voor de omgang met persoonsgegevens. Een gegevensverwerkingsovereenkomst (DPA) is het specifieke, juridisch bindende document dat twee partijen (een verwerkingsverantwoordelijke en een verwerker) ondertekenen om aan te geven hoe ze tijdens hun samenwerking aan die regels zullen voldoen.
Een NDA (geheimhoudingsovereenkomst) beschermt vertrouwelijke informatie, terwijl een DPA de rechtmatige verwerking van persoonsgegevens regelt. Een NDA is erop gericht om het delen van bedrijfsgeheimen te voorkomen (geheimhouding). Een DPA is specifiek ontworpen om te voldoen aan de eisen van de wetgeving inzake gegevensbescherming (naleving en bescherming). Hoewel een DPA ook geheimhoudingsbepalingen bevat, is het belangrijkste doel ervan om gegevensverwerkingsactiviteiten te regelen, wat een veel bredere reikwijdte heeft dan alleen het voorkomen van openbaarmaking.
Ja, in de praktijk worden de termen door elkaar gebruikt. Een „addendum” is een document dat wordt toegevoegd aan een bestaand hoofdcontract, zoals de gebruiksvoorwaarden. Of het nu een „gegevensverwerkingsovereenkomst” of een „addendum bij de gegevensverwerkingsovereenkomst” heet, het heeft dezelfde juridische functie: het vastleggen van de voorwaarden voor de verwerking van persoonsgegevens tussen een verwerkingsverantwoordelijke en een verwerker.
Het verwerken van gegevens zonder de vereiste gegevensverwerkingsovereenkomst (DPA) is een directe schending van regelgeving zoals de AVG. Dit kan leiden tot ernstige gevolgen, waaronder hoge boetes, juridische stappen van betrokkenen en opschorting van de gegevensverwerking. Het brengt ook een enorme aansprakelijkheid met zich mee voor je bedrijf, omdat er geen wettelijk kader is dat bepaalt hoe je leverancier omgaat met de gevoelige gegevens van je klanten, en het ondermijnt het vertrouwen van je klanten ernstig.
