Verwerkersovereenkomst SaaS
Heb je als SaaS-provider hulp nodig bij het opstellen of nakijken van een verwerkersovereenkomst? Vraag direct een vrijblijvende offerte aan.
- LEGAL ADVICE THAT MAKES SENSE • +31 (0) 20 261 5141 • CONTACT@SENSJURISTEN.NL
Verwerkersovereenkomst voor SaaS
Met de Algemene Verordening Gegevensbescherming (AVG) die de bescherming van persoonlijke gegevens in Europa reguleert, is het cruciaal voor jou als SaaS-providers om te begrijpen of je een verwerkersovereenkomst nodig hebt.
Heb ik als SaaS-provider een verwerkersovereenkomst nodig?
Als de verwerking van persoonsgegevens aan jou wordt toevertrouwd, dien je als SaaS-provider een verwerkersovereenkomst te sluiten. Als SaaS-provider ben je overigens vaak zowel verwerkingsverantwoordelijke voor sommige gegevens als verwerker voor andere gegevens. Best complex dus!
Laten we een voorbeeld bekijken: stel je voor dat je een SaaS-bedrijf bent dat een geavanceerd klantrelatiebeheersysteem (CRM) aanbiedt. Bedrijven gebruiken jouw CRM om klantgegevens op te slaan, te beheren en te analyseren. Hier komt de tweeledige rol van jouw bedrijf naar voren:
Verwerkingsverantwoordelijke: Als SaaS-provider ben je de verwerkingsverantwoordelijke voor de gegevens die jouw klanten rechtstreeks aan jouw CRM-systeem verstrekken. Dit omvat informatie zoals bedrijfsnamen, contactgegevens en andere gegevens die ze in het systeem invoeren.
Verwerker: Tegelijkertijd fungeer je als verwerker voor de gegevens die jouw klanten aan jouw CRM toevertrouwen. Dit kunnen gevoelige klantinformatie en persoonlijke gegevens zijn die jouw klanten in het systeem opslaan en beheren.
Als je voor het CRM-systeem gebruik maakt van externe partijen, zoals hosting, moet je ook een subverwerkersovereenkomst sluiten met die partijen (subverwerkers genoemd).
SaaS: verwerker of verwerkingsverantwoordelijke?
Zoals we hierboven in het voorbeeld al even beschreven, ben je als SaaS-provider waarschijnlijk zowel verwerkingsverantwoordelijke als verwerker voor verschillende gegevens. Dit kan inderdaad complex lijken, maar het is essentieel om de juiste rol te begrijpen en te vervullen om te voldoen aan de AVG-richtlijnen.
Je bent een verwerkingsverantwoordelijke wanneer je beslist over de doelen en de middelen van de verwerking (bijvoorbeeld als het gaat om jouw eigen website, nieuwsbrieven, betalingsgegevens, enzovoort) en verwerker wanneer je de persoonsgegevens verwerkt in opdracht van jouw klanten (bijvoorbeeld bij het CRM-systeem). Als verwerker moet je je houden aan de instructies van jouw klanten.
SaaS en privacy (AVG)
De AVG, die sinds mei 2018 van kracht is, heeft de manier waarop organisaties persoonlijke gegevens verwerken en beschermen in Europa ingrijpend veranderd. Deze verordening is niet alleen van toepassing op organisaties binnen de EU, maar ook op diegenen die persoonlijke gegevens van EU-burgers verwerken, ongeacht waar ze zich bevinden. Hierdoor worden ook veel SaaS-providers beïnvloed die niet in de EU gevestigd zijn.
Onder de AVG hebben individuen meer controle over hun privacy. Ze hebben het recht om te weten welke gegevens worden verzameld, waarom ze worden verzameld en hoe ze worden gebruikt. Organisaties, waaronder SaaS-providers, moeten daarom transparant zijn in hun gegevensverwerkingsactiviteiten en ervoor zorgen dat ze voldoen aan strikte normen voor gegevensbescherming.
Subverwerkers buiten de EU inschakelen
Werk je als SaaS-provider met partijen buiten de Europese Economische Ruimte (EER), bijvoorbeeld cloudproviders als AWS, Google Cloud of HubSpot? Dan is het belangrijk dat je in de verwerkersovereenkomst vastlegt hoe je omgaat met doorgifte van persoonsgegevens naar derde landen.
Zulke doorgiftes zijn onder de AVG namelijk alleen toegestaan als je passende waarborgen hebt getroffen. Denk hierbij aan het gebruik van de meest recente standaardcontractbepalingen (SCC’s) van de Europese Commissie, of een geldig adequaatheidsbesluit voor het betreffende land.
Zonder deze juridische basis is doorgifte van persoonsgegevens in principe niet toegestaan en dat kan risico’s opleveren voor zowel jou als je klanten. Een goede verwerkersovereenkomst benoemt dit expliciet en maakt helder welke subverwerkers je inschakelt, waar zij gevestigd zijn en welke maatregelen zijn genomen.
Verwerkersovereenkomst voor software-as-a-service opstellen
Goed, de kans is dus groot dat je als SaaS-provider als verwerker wordt beschouwd onder de AVG en een verwerkersovereenkomst moet sluiten met jouw klanten. In zo’n verwerkersovereenkomst moet in ieder geval iets worden opgenomen over de categorieën van persoonsgegevens die worden verwerkt, welke beveiligingsmaatregelen je hebt getroffen en of je gebruik maakt van sub-verwerkers.
Juridisch advies voor SaaS providers over privacy-compliance
Ben je bezig met het stukje ‘privacy-compliance’ van jouw SaaS-tool? Dan is het slim om een gespecialiseerde privacyjurist mee te laten kijken. AI-tools kunnen tegenwoordig al best veel (en ja, wij maken zelf ook gebruik van betrouwbare legal AI om efficiënter te werken), maar er blijven toch nog heel veel fouten worden gemaakt.
Een klassiek voorbeeld:
Veel SaaS-providers vullen bij de categorieën persoonsgegevens in de verwerkersovereenkomst de gegevens van hun klanten in. Denk aan bedrijfsnamen, e-mailadressen of gebruikersaccounts. Maar dat is nou precies niet de bedoeling.
Het gaat hier immers om de gegevens die jij verwerkt ten behoeve van jouw klant. Dus: de persoonsgegevens die jouw klant in jouw systeem zet. Denk aan data over hún klanten, patiënten, medewerkers of eindgebruikers. Het lijkt misschien een detail, maar het is een fout waardoor je verwerkersovereenkomst, juridisch gezien, direct de prullenbak in kan.
Verwerkersovereenkomst voor SaaS laten opstellen door ICT-juristen
Onze juristen zijn gespecialiseerd in het ICT-recht/ Internetrecht en helpen regelmatig SaaS-providers bij het opstellen van hun verwerkersovereenkomst(en).
Hulp nodig bij het opstellen van een verwerkersovereenkomst voor jouw SaaS-dienst? Neem gerust contact met ons op.
mr. Hester Spaans
Co-founder & Senior Legal Counsel
Neem contact met ons op
SenS juristen
We zijn gevestigd op de Vijzelstraat 68 (1017 HL) in het mooie Amsterdam en sinds 2018 ingeschreven in het register van de Kamer van Koophandel onder nummer: 99167883.
Ons BTW-nummer: NL858752530B01.
020 261 5141
contact@sensjuristen.nl
SaaS & softwarecontracten
Juridisch advies
SenS juristen
Vijzelstraat 68
1017 HL, Amsterdam
KvK: 99167883
BTW-nummer: NL858752530B01
Privacy- en cookieverklaring