Contractregister voor verwerkersovereenkomsten laten maken
Appfront bouwt contractregisters voor organisaties die veel leveranciers persoonsgegevens laten verwerken: per verwerker de verwerkersovereenkomst, welke gegevens en verwerkingen eronder vallen, de subverwerkers en de locatie van de verwerking, de beveiligingsmaatregelen, de looptijd en de momenten om te herzien of te toetsen, en de koppeling met het verwerkingsregister. Zodat de privacyfunctionaris weet welke leverancier wat met welke gegevens doet, en een nieuwe subverwerker of een verlopen overeenkomst niet ongemerkt blijft.
Wat is een contractregister voor verwerkersovereenkomsten?
Een organisatie die een leverancier persoonsgegevens laat verwerken, sluit volgens de AVG een verwerkersovereenkomst. Een gemeente, school of zorginstelling heeft er al snel tientallen of honderden: voor de salarisadministratie, de cloudopslag, het leerlingvolgsysteem, de nieuwsbrief. Elke overeenkomst zegt welke gegevens worden verwerkt, voor welk doel, met welke beveiliging en met welke subverwerkers. Een contractregister houdt dat bij per verwerker.
In veel organisaties staan verwerkersovereenkomsten als pdf in een map, soms in een algemeen contractsysteem zonder de inhoud die voor privacy telt. Welke leverancier welke gegevens verwerkt, en waar, is niet in één oogopslag te zien. Een verwerker meldt een nieuwe subverwerker per mail, en niemand legt het vast. Bij een datalek bij een leverancier moet eerst worden uitgezocht welke gegevens daar liggen.
Wij bouwen maatwerk omdat het register moet aansluiten op uw organisatie: hoeveel verwerkers u heeft, welke modelovereenkomsten u gebruikt, hoe uw verwerkingsregister is opgebouwd, wie overeenkomsten beoordeelt en ondertekent, en welke rapportage de privacyfunctionaris en het management willen. Een algemeen contractsysteem kent looptijden en bedragen; welke persoonsgegevens en subverwerkers erachter zitten, kent het vaak niet.
Per verwerker de inhoud
Welke verwerkingen, welke categorieën persoonsgegevens, welk doel en welke beveiliging onder elke overeenkomst vallen.
Subverwerkers en locaties
De subverwerkers per verwerker en waar de gegevens worden verwerkt, met wijzigingen die worden vastgelegd en beoordeeld.
Gekoppeld aan het register
Elke overeenkomst gekoppeld aan de verwerkingen in het verwerkingsregister, zodat zichtbaar is welke verwerking bij welke leverancier ligt.
Hoe wij uw contractregister voor verwerkersovereenkomsten bouwen
We beginnen bij uw verwerkers: hoeveel, waar staan de overeenkomsten nu, en hoe lang duurde het bij het laatste incident om te weten welke gegevens erbij betrokken waren.
Uw verwerkers, overeenkomsten, modelovereenkomsten, het verwerkingsregister, en wie beoordeelt en ondertekent.
Per verwerker de overeenkomst met verwerkingen, gegevens, beveiliging, subverwerkers en looptijd.
Meldingen van wijzigingen door verwerkers, beoordeling, herzienings- en toetsmomenten.
Koppeling met het verwerkingsregister en inkoop, rapportage, en daarna beheer.
Wat een contractregister voor verwerkersovereenkomsten concreet doet
De onderdelen hieronder komen bij vrijwel elk register van verwerkersovereenkomsten terug. Welke u nodig hebt, hangt af van het aantal verwerkers.
Verwerkers
Leveranciers die persoonsgegevens verwerken, met contactpersonen en contracten.
Overeenkomsten
Versie, looptijd, ondertekening en de modelovereenkomst waarop hij is gebaseerd.
Gegevens en verwerkingen
Welke categorieën persoonsgegevens en welke verwerkingen onder de overeenkomst vallen.
Subverwerkers
Subverwerkers en locaties van verwerking, met wijzigingen en beoordeling.
Maatregelen
Beveiligingsmaatregelen, certificeringen en afspraken over audits.
Herziening
Meldingen bij verlopende overeenkomsten en toetsmomenten.
Voor wie wij een contractregister voor verwerkersovereenkomsten bouwen
Het register is bedoeld voor organisaties met veel verwerkers.
Gemeenten
Veel leveranciers voor burgerzaken en sociaal domein. De koppeling met het verwerkingsregister is de kern.
Zorginstellingen
Gezondheidsgegevens bij veel leveranciers. Subverwerkers en maatregelen tellen het meest.
Scholen en hogescholen
Leermiddelen en systemen met leerlinggegevens. De overeenkomsten per leverancier zijn wat nodig is.
Financiële dienstverleners
Uitbesteding met strenge eisen. De toetsing en de herziening zijn de kern.
Test je idee eerst — werkend prototype in 1 dag
Met OneDayBuild maken we je idee in één dag tastbaar voor €1.150, zodat je weet of verdere ontwikkeling de investering waard is. Besluit je door te gaan met de volledige bouw? Dan verrekenen we de kosten volledig.
Bekijk OneDayBuild →Technologie en koppelingen
Deze pagina gaat over verwerkersovereenkomsten. Voor het schonen van personeelsgegevens is er onze pagina over AVG-software, voor contracten in het algemeen onze pagina over contractbeheersoftware, en voor risico en compliance onze pagina over een GRC-platform. Onze werkwijze leest u op software laten maken.
Waarom Appfront voor uw contractregister voor verwerkersovereenkomsten?
Bij een datalek bij een leverancier telt elk uur. Daar bouwen we op: weten welke gegevens waar liggen, wijzigingen die niet ongemerkt blijven, en overeenkomsten die worden herzien.
Snel antwoord bij een incident
Welke gegevens een verwerker heeft en onder welke afspraken, is direct te zien.
Subverwerkers onder controle
Een nieuwe subverwerker wordt vastgelegd en beoordeeld, niet vergeten in een mail.
Register en contract samen
Het verwerkingsregister verwijst naar de juiste overeenkomst, en andersom.
Security en privacy bij een contractregister voor verwerkersovereenkomsten
Het register bevat contracten en informatie over waar persoonsgegevens liggen en hoe ze worden beveiligd. Toegang is per rol ingericht: de privacyfunctionaris en juristen beheren, inkoop en contracteigenaren zien hun eigen leveranciers.
Het register draait in een Europees datacenter of in uw eigen omgeving, met versleutelde opslag, dagelijkse back-ups en inloggen met een tweede factor.
Veelgestelde vragen over een contractregister voor verwerkersovereenkomsten
Vragen die privacyfunctionarissen en juristen stellen voordat ze hiermee beginnen.
Het houdt per verwerker de verwerkersovereenkomst bij, met de verwerkingen, categorieën persoonsgegevens, beveiliging, subverwerkers en looptijd, legt wijzigingen door verwerkers vast, meldt herzieningsmomenten, en koppelt de overeenkomsten aan het verwerkingsregister.
Volgens de AVG als een organisatie een andere partij persoonsgegevens laat verwerken in haar opdracht. Wanneer iemand verwerker is en wat de overeenkomst moet regelen, beoordeelt u met uw privacyfunctionaris of jurist.
Contractbeheer houdt contracten in het algemeen bij: looptijd, bedragen, opzegging. Dit register legt de inhoud vast die voor privacy telt: welke gegevens, welke verwerkingen, welke subverwerkers en welke maatregelen.
Ja. Elke verwerking in het verwerkingsregister kan verwijzen naar de verwerker en de overeenkomst, zodat beide overzichten kloppen.
Een melding van een verwerker wordt vastgelegd bij de overeenkomst, met een beoordeling en een besluit, zodat zichtbaar is wanneer en door wie het is goedgekeurd.
Ja. Per overeenkomst wordt vastgelegd op welk model hij is gebaseerd en waar hij afwijkt, zodat afwijkingen opvallen.
Vraag dat eerst na. Er zijn pakketten voor privacybeheer met een module voor verwerkers, en die zijn goed als uw werkwijze erop past. Maatwerk heeft zin als het register moet aansluiten op uw eigen contract- en inkoopsystemen, of als u een eigen indeling van verwerkingen en gegevens heeft.
Weten welke leverancier welke gegevens verwerkt, en onder welke afspraken?
Vertel ons hoeveel verwerkers u heeft, waar de overeenkomsten nu staan en hoe uw verwerkingsregister is opgebouwd. We laten zien hoe het register, de subverwerkers en de koppeling eruitzien.