Verwerkersovereenkomst wanneer een adviseur toegang krijgt tot uw BC

Wanneer een adviseur inlogt in uw Business Central, kan die klant-, leveranciers- en medewerkersgegevens zien. Dan is de partner normaal gesproken verwerker en bent u verwerkingsverantwoordelijke. Daarvoor is een schriftelijke overeenkomst nodig. Dit artikel beschrijft wat zo'n overeenkomst normaal dekt en wat u moet vragen. Het is geen juridisch advies. Laat uw eigen adviseur of functionaris voor gegevensbescherming bevestigen wat bij u geldt.

Waarom de overeenkomst bestaat

De AVG eist dat een bedrijf dat een ander persoonsgegevens namens zich laat verwerken, daarover een overeenkomst met die partij heeft. Dat geldt ook als een adviseur de gegevens alleen tijdens foutopsporing kan zien. De overeenkomst beschrijft wat de verwerker mag en waarvoor die moet zorgen.

Vraag of de partner een standaardovereenkomst heeft en of u zelf een sjabloon heeft. Veel bedrijven hebben er een eigen.

Het is ook een goed idee uit te zoeken wie bij de partner toegang kan krijgen en hoeveel mensen. Hoe minder personen, hoe makkelijker het te controleren is. Vraag of de partner alleen toegang geeft aan wie die nodig heeft.

Wat een overeenkomst normaal bevat

Een verwerkersovereenkomst beschrijft doorgaans het volgende. Controleer of elk punt duidelijk is en past bij de toegang die de adviseur daadwerkelijk krijgt.

Doel en duur van de verwerking
Welke soorten persoonsgegevens en welke groepen personen het betreft
Dat de verwerker alleen handelt op uw instructie
Geheimhoudingsplicht voor de medewerkers die toegang krijgen
Beveiligingsmaatregelen, zowel technische als organisatorische
Hulp bij het beantwoorden van inzageverzoeken en het afhandelen van inbreuken
Hoe en wanneer gegevens worden verwijderd of teruggegeven bij beëindiging
Uw recht om te controleren, bijvoorbeeld via audit of documentatie

Subverwerkers

Gebruikt de partner andere leveranciers die ook toegang krijgen tot gegevens, dan heten die subverwerkers. Dat kan een supportsysteem zijn, een it-beheerleverancier of een AI-hulpmiddel. De overeenkomst moet een lijst ervan bevatten en een manier waarop u bericht krijgt als de lijst verandert.

Vraag of u bezwaar kunt maken tegen een nieuwe subverwerker en wat er gebeurt als u dat doet. Zie ook het artikel over AI-hulpmiddelen in support.

Vraag om een lijst met namen en om welke gegevens elk van hen kan inzien. Controleer of de partner met hen overeenkomsten heeft gesloten die dezelfde eisen stellen als u aan de partner stelt.

Doorgifte buiten de EU

Worden gegevens verwerkt door een partij buiten de EU en de EER, dan stellen de regels bijzondere eisen aan de grondslag voor de doorgifte. Vraag of medewerkers of onderaannemers van de partner buiten de EU zitten en of zij uw gegevens kunnen zien. Vraag om in de overeenkomst op te nemen welke doorgiftegrondslag wordt gebruikt. Laat uw adviseur dat beoordelen.

Vraag ook waar uw gegevens fysiek staan wanneer een adviseur ermee werkt. Microsoft geeft aan in welke regio een omgeving ligt, en dat ziet u in het admin center. Maar de eigen computer van een adviseur, een supportsysteem of een AI-hulpmiddel kan elders staan. Dat is wat de overeenkomst moet beschrijven.

Denk ook aan de toegangsverhoudingen in Business Central

Microsoft Learn schrijft dat een gedelegeerde beheerder in uw omgeving verschijnt als gebruiker met een pseudoniem en de naam van het bedrijf, en dat acties kunnen worden gevolgd in het change log. Dat maakt het makkelijker te documenteren wie toegang heeft gehad. Vraag de partner wie er achter elk pseudoniem zit.

Beperk de toegang tot het noodzakelijke. Microsoft beschrijft dat u per omgeving partnertoegang kunt in- en uitschakelen en kunt beperken tot bepaalde partners. Zie het artikel over support op afstand en toegang.

Volgende stap

Vraag om de overeenkomst van de partner, lees die met uw checklist en laat uw eigen adviseur haar bevestigen. Wilt u informatie over support bij Addverk, schrijf ons dan.