Verwerkersovereenkomst Skopos Security Labs BV, Lupasafe SaaS Security Platform

Download deze verwerkersovereenkomst als PDF

Versie 1.3, 25 september 2026

Deze verwerkersovereenkomst ondersteunt in het bijzonder de NIS2-maatregelen voor de toeleveringsketen (Supply Chain 10/20) en ISO 27001.

Bestaande uit: Deel 1. Data Pro Statement Deel 2. Standaardclausules voor verwerking

Deel 1: Data Pro Statement

Dit Data Pro Statement vormt, samen met de Standaardclausules voor verwerking, de verwerkersovereenkomst voor het product of de dienst van de onderneming die dit Data Pro Statement heeft opgesteld.

Algemene informatie

Dit Data Pro Statement is opgesteld door de volgende verwerker:

Skopos Security Labs BV, Grebbeweg 19B, 3902 HG Veenendaal

Voor vragen over dit Data Pro Statement of over gegevensbescherming kunt u contact opnemen via: info@lupasafe.com of via (+31) 085-2005579.

Dit Data Pro Statement geldt vanaf: 1 juni 2021

Wij passen dit Data Pro Statement en de daarin beschreven beveiligingsmaatregelen regelmatig aan, zodat wij altijd voorbereid en actueel blijven op het gebied van gegevensbescherming. Wij houden u via onze gebruikelijke kanalen op de hoogte van nieuwe versies.

Dit Data Pro Statement is van toepassing op de volgende producten en diensten van de verwerker: SKOPOS Lupasafe SaaS Security Platform.

Omschrijving product/dienst

Het Lupasafe-platform is in het bijzonder gericht op de NIS2-maatregelen voor de toeleveringsketen (Supply Chain 10/20) en op ISO 27001. Het platform ondersteunt het cyberbewustzijn van medewerkers, monitort een organisatie op haar cyberbeveiligingsrisico's en rapporteert bevindingen ten behoeve van compliance. Het platform biedt inzicht in risico's en in de voortgang van mitigerende maatregelen. Lupasafe bevat de volgende modules:

• Dark web monitoring: opsporen van gelekte inloggegevens van medewerkers
• Domein- en IP-scanning: kwetsbaarheden, e-mailbeveiliging (DKIM/DMARC/SPF), SSL/TLS en beveiligingsheaders in het externe aanvalsoppervlak
• Phishing-simulaties: realistische aanvallen om de weerbaarheid van medewerkers te testen en te trainen
• E-learning en rolgerichte training: security-awareness, inclusief rolspecifieke modules voor NIS2-functies (DPO, Security Officer, Incident Manager)
• Endpoint-compliance: monitoring van computers en laptops op kwetsbare software (CVE) en policy-naleving
• Microsoft 365 / cloud-audit: controle van MFA, cloud-policies en beveiligingsinstellingen (Secure Score, CIS Level 1)
• Netwerkscanner: inventarisatie van apparaten op het netwerk
• DMARC-rapportage: bescherming van het domein tegen e-mailmisbruik en spoofing
• NIS2-compliance, in het bijzonder de maatregelen voor de toeleveringsketen (Supply Chain 10/20), en ISO 27001: verzamelt beveiligingsbewijs en koppelt dit aan de NIS2- en ISO 27001-eisen; de klant uploadt zelf de eigen documenten (het platform genereert geen documenten)
• Geautomatiseerde rapportage (maandelijkse gebrande PDF-rapporten) en een Reporting API voor integraties (o.a. Autotask)

Een volledig overzicht van de functionaliteiten kan worden opgevraagd in het Lupasafe-productdocument.

Beoogd gebruik

Product/dienst is ontworpen en ingericht om de volgende soorten gegevens te verwerken: gegevens over kwetsbaarheden en risico's in webapplicaties, computernetwerken, cloudomgevingen, servers en eindgebruikersapparaten, alsmede metadata van deze assets. Daarnaast beveiligingsbewustzijnsgegevens (profiel) van medewerkers, phishing- en trainingsresultaten per medewerker, contactgegevens (naam, e-mail), M365-audit- en Secure Score-gegevens, en gelekte/dark-web-gegevens (wachtwoorden gemaskeerd). Voor dit laatste is een juridisch document beschikbaar. Dit product houdt geen rekening met de verwerking van bijzondere persoonsgegevens, van gegevens over strafrechtelijke veroordelingen en strafbare feiten, of van door de overheid uitgegeven persoonsnummers.

Privacy by design/privacy by default

Bij het ontwerp van het product/de dienst passen wij de volgende principes toe. Tijdens het ontwikkelproces maken wij gebruik van threat modeling om verschillende risico's te identificeren en passende maatregelen te bepalen. Wij implementeren en testen deze maatregelen. Daarnaast laten wij tweejaarlijks een onafhankelijke beveiligingstest (pentest, black-box en grey-box) op het platform en het inlogproces uitvoeren, en voeren wij continu geautomatiseerde beveiligingsscans uit. Wij beoordelen ook de diensten en producten die wij gebruiken, onder meer op het punt van beveiliging. Om privacy te waarborgen passen wij dataminimalisatie toe, waaronder het vaststellen van bewaartermijnen en het respecteren van het recht om vergeten te worden. Voor gedetailleerde privacy-informatie verwijzen wij naar ons privacystatement. Dit kunt u hier vinden.

De verwerker maakt gebruik van de Standaardclausules voor verwerking, die als bijlage bij de Overeenkomst zijn opgenomen.

De verwerker verwerkt de persoonsgegevens van zijn klanten in de EU/EER.

Subverwerkers

De verwerker maakt gebruik van de volgende subverwerkers:

Toelichting: Voor offertes en facturatie gebruiken wij Exact; voor de boekhouding e-Boekhouden. Have I Been Pwned is buiten de EU gevestigd (Australie); internationale doorgiften worden gewaarborgd door middel van standaardcontractbepalingen (SCC).

Ondersteuning bij verzoeken van betrokkenen

De verwerker ondersteunt de klant op de volgende wijze bij verzoeken van betrokkenen:

Wij vinden het belangrijk dat u uw privacyrechten kunt uitoefenen. U kunt per e-mail, telefonisch of schriftelijk contact met ons opnemen. U heeft de volgende rechten:

• Het recht op inzage: het recht om in te zien welke persoonsgegevens wij van u verwerken;
• Het recht op rectificatie: indien de persoonsgegevens die wij van u verwerken niet (langer) juist zijn;
• Het recht op verwijdering: indien wij uw persoonsgegevens niet langer nodig hebben voor het doel waarvoor wij deze hebben ontvangen, heeft u het recht ons te vragen deze te verwijderen. Hierop bestaan een aantal uitzonderingen, zoals onze verplichting om bepaalde gegevens onder meer voor de Belastingdienst te bewaren;
• Het recht op beperking: gedurende de periode dat wij bezig zijn te bepalen of uw gegevens moeten worden aangepast, of de gegevensverwerking onrechtmatig is, of gegevens moeten worden verwijderd, dan wel indien u bezwaar heeft gemaakt tegen de verwerking, heeft u het recht om beperking van de verwerking te verzoeken;
• Het recht op gegevensoverdraagbaarheid: wij dragen alle persoonsgegevens die wij van u verwerken op grond van toestemming of overeenkomst over aan u, of aan een organisatie naar uw keuze.

Wij volgen uw instructies zo spoedig mogelijk op, tenzij de wet ons verplicht de persoonsgegevens te bewaren of er (andere) zwaarwegende redenen zijn die zich verzetten tegen aanvulling, verbetering of verwijdering.

In het kader van gegevensoverdraagbaarheid leveren wij de gegevens op verzoek in XML- of JSON-formaat aan. Mocht een ander formaat handiger zijn, dan komen wij daar in overleg zoveel mogelijk aan tegemoet.

Bewaartermijn

Na beeindiging van de Overeenkomst met een klant verwijdert de verwerker de persoonsgegevens binnen 30 dagen uit de live productieomgeving (portaal binnen circa 1 dag), en uit de versleutelde back-ups conform het Azure-bewaarbeleid voor back-ups (point-in-time recovery van 7 dagen; long-term retention wekelijks 2 weken, maandelijks 2 weken, jaarlijks 2 maanden; maximaal 2 maanden), waarna deze uiterlijk na 2 maanden permanent worden verwijderd (ontoegankelijk gemaakt). Op verzoek verstrekt de verwerker bij beeindiging een schriftelijke verwijderverklaring. Dit tenzij anders is overeengekomen of wettelijk vereist.

Beveiligingsbeleid

De verwerker heeft de volgende beveiligingsmaatregelen genomen om zijn product of dienst te beschermen:

Details over de beveiligingsmaatregelen zijn te vinden in het document "Lupasafe Data Handling and Security". Samengevat: wij classificeren gegevens en treffen daarbij passende maatregelen. Klantgegevens worden geclassificeerd als vertrouwelijk en opgeslagen met het hoogste beschermingsniveau. Gegevens in rust en in transit worden versleuteld, en wij zorgen voor functiescheiding om toegang te beperken tot geautoriseerde personen en accounts. Databasetoegang wordt beschermd met de uitgebreide beveiligingsmaatregelen van Azure, waaronder IP-filtering.

De verwerker richt zijn Information Security Management System (ISMS) in op basis van de volgende kaders:

• ISO/IEC 27001 (certificeringstraject loopt)
• OWASP
• ASVS (Application Security Verification Standard)
• Secure Software Framework (Secure Software Alliance)
• NCSC-webrichtlijnen

Datalekprotocol

In het geval dat er onverhoopt iets misgaat, volgt de verwerker het volgende datalekprotocol om te waarborgen dat de klant over incidenten wordt geinformeerd:

De verwerker informeert de klant onverwijld, uiterlijk binnen 24 uur na ontdekking van een mogelijk datalek, schriftelijk. De verwerker verstrekt daarbij de volgende informatie:

• De aard van het datalek, met inbegrip van de betrokken persoonsgegevens en de categorieen betrokkenen.
• De datum en het tijdstip waarop het datalek is geconstateerd.
• De mogelijke gevolgen van het datalek.
• De maatregelen die zijn getroffen of worden voorgesteld om het datalek aan te pakken en/of eventuele nadelige gevolgen te beperken.
• De contactpersoon bij de verwerker en diens contactgegevens voor verdere communicatie over het datalek.

Onder "datalek" wordt verstaan een inbreuk op de beveiliging van persoonsgegevens die (mogelijk) leidt tot de onbedoelde of onrechtmatige vernietiging, het verlies, de wijziging, de ongeoorloofde verstrekking van of de toegang tot de persoonsgegevens, dan wel enige aanwijzing dat een dergelijke inbreuk kan optreden of heeft opgetreden.

Het is uitsluitend de verantwoordelijkheid van de klant om te bepalen of een bij de verwerker geconstateerd datalek moet worden gemeld aan de toezichthoudende autoriteit en/of aan de betrokken partijen.

De verwerker zal volledig met de klant samenwerken om deze in staat te stellen tijdig een onderzoek naar het (mogelijke) datalek uit te voeren en/of het datalek te melden aan de toezichthoudende autoriteit en, waar van toepassing, aan de betrokkenen.

Deel 2: Standaardclausules voor verwerking

Versie: september 2019

Vormt samen met het Data Pro Statement de verwerkersovereenkomst en is een bijlage bij de Overeenkomst en de daarbij behorende bijlagen, zoals de toepasselijke algemene voorwaarden.

Artikel 1. Definities

De onderstaande begrippen hebben in deze Standaardclausules voor verwerking, in het Data Pro Statement en in de Overeenkomst de volgende betekenis:

• Autoriteit Persoonsgegevens (AP): toezichthoudende autoriteit, zoals bedoeld in artikel 4, onder 21, AVG.
• AVG: de Algemene verordening gegevensbescherming.
• Verwerker: partij die als ICT-leverancier ten behoeve van zijn Klant Persoonsgegevens verwerkt in het kader van de uitvoering van de Overeenkomst als verwerker.
• Data Pro Statement: verklaring van de Verwerker waarin deze informatie verstrekt over onder meer het beoogde gebruik van zijn product of dienst, de getroffen beveiligingsmaatregelen, subverwerkers, datalekken, certificeringen en de omgang met de rechten van betrokkenen.
• Betrokkene: een geidentificeerde of identificeerbare natuurlijke persoon.
• Klant: partij ten behoeve van wie de Verwerker persoonsgegevens verwerkt. De Klant kan zowel de verwerkingsverantwoordelijke ("controller") als een andere verwerker zijn.
• Overeenkomst: de overeenkomst die tussen de Klant en de Verwerker geldt, op basis waarvan de ICT-leverancier diensten en/of producten aan de Klant levert en waarvan de verwerkersovereenkomst deel uitmaakt.
• Persoonsgegevens: alle informatie over een geidentificeerde of identificeerbare natuurlijke persoon, zoals beschreven in artikel 4, onder 1, AVG, die de Verwerker verwerkt in het kader van de uitvoering van zijn verplichtingen uit de Overeenkomst.
• Verwerkersovereenkomst: deze Standaardclausules voor verwerking, die samen met het Data Pro Statement (of vergelijkbare informatie) van de Verwerker de verwerkersovereenkomst vormen zoals bedoeld in artikel 28, lid 3, AVG.

Artikel 2. Algemeen

1. Deze Standaardclausules voor verwerking zijn van toepassing op alle verwerkingen van Persoonsgegevens die de Verwerker verricht in het kader van de levering van zijn producten en diensten en op alle Overeenkomsten en aanbiedingen. De toepasselijkheid van verwerkersovereenkomsten van de Klant wordt uitdrukkelijk van de hand gewezen.
2. Het Data Pro Statement, en in het bijzonder de daarin opgenomen beveiligingsmaatregelen, kan van tijd tot tijd door de Verwerker worden aangepast aan gewijzigde omstandigheden. De Verwerker informeert de Klant over belangrijke wijzigingen. Indien de Klant zich niet redelijkerwijs kan verenigen met de aanpassingen, is de Klant gerechtigd de verwerkersovereenkomst binnen 30 dagen na kennisgeving van de aanpassingen schriftelijk en gemotiveerd op te zeggen.
3. De Verwerker verwerkt de Persoonsgegevens ten behoeve van en in opdracht van de Klant in overeenstemming met de met de Verwerker overeengekomen schriftelijke instructies van de Klant.
4. De Klant, of diens klant, is de verwerkingsverantwoordelijke in de zin van de AVG, heeft de zeggenschap over de verwerking van de Persoonsgegevens en heeft het doel van en de middelen voor de verwerking van de Persoonsgegevens vastgesteld.
5. De Verwerker is verwerker in de zin van de AVG en heeft daarom geen zeggenschap over het doel van en de middelen voor de verwerking van de Persoonsgegevens en neemt derhalve geen beslissingen over onder meer het gebruik van de Persoonsgegevens.
6. De Verwerker geeft uitvoering aan de AVG zoals vastgelegd in deze Standaardclausules voor verwerking, het Data Pro Statement en de Overeenkomst. Het is aan de Klant om op basis van deze informatie te beoordelen of de Verwerker voldoende garanties biedt met betrekking tot het toepassen van passende technische en organisatorische maatregelen, opdat de verwerking aan de eisen van de AVG voldoet en de bescherming van de rechten van betrokkenen voldoende is gewaarborgd.
7. De Klant staat er jegens de Verwerker voor in dat hij handelt in overeenstemming met de AVG, dat hij zijn systemen en infrastructuur te allen tijde adequaat beveiligt en dat de inhoud, het gebruik en/of de verwerking van de Persoonsgegevens niet onrechtmatig is en geen inbreuk maakt op enig recht van een derde.
8. Een door de AP aan de Klant opgelegde bestuurlijke boete kan niet op de Verwerker worden verhaald.

Artikel 3. Beveiliging

1. De Verwerker treft de technische en organisatorische beveiligingsmaatregelen zoals beschreven in zijn Data Pro Statement. Bij het treffen van de technische en organisatorische beveiligingsmaatregelen heeft de Verwerker rekening gehouden met de stand van de techniek, de uitvoeringskosten van de beveiligingsmaatregelen, de aard, omvang en context van de verwerkingen, de doeleinden en het beoogde gebruik van zijn producten en diensten, de verwerkingsrisico's en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van betrokkenen die hij, gelet op het beoogde gebruik van zijn producten en diensten, kon verwachten.
2. Tenzij in het Data Pro Statement uitdrukkelijk anders is vermeld, is het product of de dienst van de Verwerker niet ontworpen voor de verwerking van bijzondere categorieen van Persoonsgegevens of van gegevens betreffende strafrechtelijke veroordelingen of strafbare feiten, dan wel door de overheid uitgegeven persoonsnummers.
3. De Verwerker streeft ernaar dat de door hem te treffen beveiligingsmaatregelen passend zijn voor het beoogde gebruik van het product of de dienst door de Verwerker.
4. Naar het oordeel van de Klant bieden de beschreven beveiligingsmaatregelen, rekening houdend met de in artikel 3.1 bedoelde factoren, een op het risico van de verwerking van de door hem gebruikte of verstrekte Persoonsgegevens afgestemd beveiligingsniveau.
5. De Verwerker kan wijzigingen aanbrengen in de getroffen beveiligingsmaatregelen indien dit naar zijn oordeel noodzakelijk is om een passend beveiligingsniveau te blijven bieden. De Verwerker legt belangrijke wijzigingen vast, bijvoorbeeld in een aangepast Data Pro Statement, en informeert de Klant waar relevant over die wijzigingen.
6. De Klant kan de Verwerker verzoeken nadere beveiligingsmaatregelen te treffen. De Verwerker is niet verplicht om op een dergelijk verzoek wijzigingen in zijn beveiligingsmaatregelen aan te brengen. De Verwerker kan de kosten die verband houden met op verzoek van de Klant doorgevoerde wijzigingen aan de Klant in rekening brengen. De Verwerker is pas verplicht deze beveiligingsmaatregelen daadwerkelijk door te voeren nadat de door de Klant gewenste gewijzigde beveiligingsmaatregelen schriftelijk zijn overeengekomen en door Partijen zijn ondertekend.

Artikel 4. Datalekken

1. De Verwerker garandeert niet dat de beveiligingsmaatregelen onder alle omstandigheden doeltreffend zijn. Indien de Verwerker een inbreuk in verband met Persoonsgegevens (zoals bedoeld in artikel 4, onder 12, AVG) ontdekt, stelt hij de Klant zonder onredelijke vertraging op de hoogte. Het Data Pro Statement (onder datalekprotocol) beschrijft de wijze waarop de Verwerker de Klant informeert over inbreuken in verband met Persoonsgegevens.
2. Het is aan de verwerkingsverantwoordelijke (de Klant, of diens klant) om te beoordelen of de inbreuk in verband met Persoonsgegevens waarover de Verwerker heeft geinformeerd, moet worden gemeld aan de AP of aan de betrokkene. Het melden van inbreuken in verband met Persoonsgegevens die op grond van de artikelen 33 en 34 AVG aan de AP en/of aan betrokkenen moeten worden gemeld, blijft te allen tijde de verantwoordelijkheid van de verwerkingsverantwoordelijke (de Klant of diens klant). De Verwerker is niet verplicht datalekken te melden aan de AP en/of de betrokkene.
3. De Verwerker verstrekt, indien nodig, nadere informatie over de inbreuk in verband met Persoonsgegevens en werkt mee aan het verstrekken van de informatie die de Klant nodig heeft voor een melding als bedoeld in de artikelen 33 en 34 AVG.
4. De Verwerker kan de redelijke kosten die hij in dit verband maakt tegen zijn dan geldende tarieven aan de Klant in rekening brengen.

Artikel 5. Geheimhouding

1. De Verwerker garandeert dat de personen die onder zijn verantwoordelijkheid Persoonsgegevens verwerken een geheimhoudingsplicht hebben.
2. De Verwerker is gerechtigd de Persoonsgegevens aan derden te verstrekken, indien en voor zover verstrekking noodzakelijk is op grond van een rechterlijke uitspraak, een wettelijk voorschrift of op basis van een bevoegd gegeven bevel van een overheidsinstantie.
3. Alle door de Verwerker aan de Klant verstrekte toegangs- en/of identificatiecodes, certificaten en informatie over toegangs- en/of wachtwoordbeleid, alsmede alle door de Verwerker aan de Klant verstrekte informatie die invulling geeft aan de in het Data Pro Statement opgenomen technische en organisatorische beveiligingsmaatregelen, zijn vertrouwelijk en worden door de Klant als zodanig behandeld en uitsluitend aan geautoriseerde medewerkers van de Klant bekendgemaakt. De Klant ziet erop toe dat zijn medewerkers de verplichtingen uit dit artikel naleven.

Artikel 6. Duur en beeindiging

1. Deze verwerkersovereenkomst maakt deel uit van de Overeenkomst en elke daaruit voortvloeiende nieuwe of nadere overeenkomst, treedt in werking op het moment van het sluiten van de Overeenkomst en wordt aangegaan voor onbepaalde tijd.
2. Deze verwerkersovereenkomst eindigt van rechtswege bij beeindiging van de Overeenkomst of van enige nieuwe of nadere overeenkomst tussen partijen.
3. In geval van beeindiging van de verwerkersovereenkomst zal de Verwerker alle Persoonsgegevens die hij in bezit heeft en van de Klant heeft ontvangen, binnen de in het Data Pro Statement genoemde termijn zodanig verwijderen dat deze niet langer kunnen worden gebruikt en niet langer toegankelijk zijn (render inaccessible), dan wel, indien overeengekomen, aan de Klant retourneren in een machineleesbaar formaat.
4. De Verwerker kan de kosten die hij maakt in het kader van het bepaalde in artikel 6.3 aan de Klant in rekening brengen. Nadere afspraken hierover kunnen worden vastgelegd in het Data Pro Statement.
5. Het bepaalde in artikel 6.3 is niet van toepassing indien een wettelijk voorschrift de volledige of gedeeltelijke verwijdering of retournering van de Persoonsgegevens door de Verwerker verhindert. In een dergelijk geval zal de Verwerker de Persoonsgegevens uitsluitend blijven verwerken voor zover dat noodzakelijk is op grond van zijn wettelijke verplichtingen. Het bepaalde in artikel 6.3 is evenmin van toepassing indien de Verwerker met betrekking tot de Persoonsgegevens de verwerkingsverantwoordelijke in de zin van de AVG is.

Artikel 7. Rechten van betrokkenen, gegevensbeschermingseffectbeoordeling (DPIA) en auditrechten

1. De Verwerker zal, waar mogelijk, meewerken aan redelijke verzoeken van de Klant die verband houden met de rechten van betrokkenen die door betrokkenen jegens de Klant worden ingeroepen. Indien de Verwerker rechtstreeks door een betrokkene wordt benaderd, verwijst hij deze waar mogelijk door naar de Klant.
2. Indien de Klant daartoe verplicht is, zal de Verwerker na een redelijk verzoek meewerken aan een gegevensbeschermingseffectbeoordeling (DPIA) of een daaropvolgende voorafgaande raadpleging als bedoeld in de artikelen 35 en 36 AVG.
3. De Verwerker zal meewerken aan verzoeken van de Klant om persoonsgegevens te verwijderen, voor zover de Klant dit niet zelf kan doen.
4. Indien gewenst kan de Verwerker de naleving van zijn verplichtingen uit de verwerkersovereenkomst aantonen door middel van een geldig Data Pro Certificaat of een ten minste gelijkwaardig certificaat of auditrapport (Third Party Memorandum) van een onafhankelijke deskundige, indien hij over een dergelijk certificaat of auditrapport beschikt.
5. Daarnaast stelt de Verwerker op verzoek van de Klant alle overige informatie beschikbaar die redelijkerwijs noodzakelijk is om de naleving van de in deze verwerkersovereenkomst gemaakte afspraken aan te tonen. Indien de Klant desondanks reden heeft om aan te nemen dat de verwerking van Persoonsgegevens niet in overeenstemming met de verwerkersovereenkomst plaatsvindt, kan hij, ten hoogste eenmaal per jaar, door een onafhankelijke, gecertificeerde, externe deskundige die aantoonbaar ervaring heeft met het type verwerking dat op grond van de Overeenkomst wordt uitgevoerd, hierop een audit laten uitvoeren op kosten van de Klant. De audit blijft beperkt tot het controleren van de naleving van de afspraken met betrekking tot de verwerking van de Persoonsgegevens zoals vastgelegd in deze verwerkersovereenkomst. De deskundige heeft een geheimhoudingsplicht met betrekking tot hetgeen hij aantreft en rapporteert aan de Klant uitsluitend datgene wat een tekortkoming vormt in de nakoming van de verplichtingen van de Verwerker uit deze verwerkersovereenkomst. De deskundige verstrekt een kopie van zijn rapport aan de Verwerker. De Verwerker kan een audit of een instructie van de deskundige weigeren indien deze naar zijn oordeel in strijd is met de AVG of andere wetgeving of een ontoelaatbare inbreuk vormt op de door hem getroffen beveiligingsmaatregelen.
6. Partijen overleggen zo spoedig mogelijk over de resultaten in het rapport. Partijen volgen de in het rapport vastgelegde voorgestelde verbetermaatregelen op, voor zover dit redelijkerwijs van hen kan worden verwacht. De Verwerker voert de voorgestelde verbetermaatregelen uit voor zover hij dit passend acht, rekening houdend met de verwerkingsrisico's die verbonden zijn aan zijn product of dienst, de stand van de techniek, de uitvoeringskosten, de markt waarin hij opereert en het beoogde gebruik van het product of de dienst.
7. De Verwerker heeft het recht de kosten die hij maakt in het kader van het bepaalde in dit artikel aan de Klant in rekening te brengen.

Artikel 8. Subverwerkers

1. De Verwerker heeft in het Data Pro Statement aangegeven of en, zo ja, welke derden (subverwerkers) de Verwerker inschakelt bij de verwerking van de Persoonsgegevens.
2. De Klant geeft de Verwerker toestemming om andere subverwerkers in te schakelen voor de uitvoering van zijn verplichtingen uit de Overeenkomst.
3. De Verwerker informeert de Klant over een wijziging in de door de Verwerker ingeschakelde derden, bijvoorbeeld door middel van een aangepast Data Pro Statement. De Klant heeft het recht bezwaar te maken tegen de voornoemde wijziging door de Verwerker. De Verwerker zorgt ervoor dat de door hem ingeschakelde derden zich verbinden aan hetzelfde beveiligingsniveau met betrekking tot de bescherming van de Persoonsgegevens als het beveiligingsniveau waaraan de Verwerker jegens de Klant is gebonden op grond van het Data Pro Statement.

Artikel 9. Overig

1. Deze Standaardclausules voor verwerking vormen samen met het Data Pro Statement een integraal onderdeel van de Overeenkomst. Alle rechten en verplichtingen uit de Overeenkomst, waaronder de toepasselijke algemene voorwaarden en/of aansprakelijkheidsbeperkingen, zijn derhalve ook van toepassing op de verwerkersovereenkomst.

Ondertekening

Aldus overeengekomen en in tweevoud ondertekend:

Verwerker Skopos Security Labs BV

Naam: Functie: Datum: Handtekening:

Klant

Naam: Functie: Datum: Handtekening: