Algemene voorwaarden & verwerkersovereenkomst

Algemene voorwaarden That Fits IT

Deze algemene voorwaarden bestaan uit deel A (algemene dienstverleningsvoorwaarden) en deel B (standaard verwerkersovereenkomst conform artikel 28 AVG). Zij zijn van toepassing op alle aanbiedingen, offertes, werkzaamheden en overeenkomsten tussen That Fits IT (De Els 14, 5107 RK Dongen) en haar zakelijke opdrachtgevers (ZZP en MKB), tenzij schriftelijk anders overeengekomen.

Artikel 1. Toepasselijkheid & aanbiedingen

• Deze voorwaarden gelden voor alle diensten en leveringen van That Fits IT op het gebied van cloud, connectiviteit, werkplek en cybersecurity (waaronder Managed Cloud, Managed Connectivity, Network as a Service, Managed Workspace, Managed Cybersecurity, advies en support).
• Alle offertes en prijsopgaven van That Fits IT zijn vrijblijvend en 30 dagen geldig, tenzij anders vermeld.
• Inkoop- of andere voorwaarden van de opdrachtgever worden uitdrukkelijk van de hand gewezen.

Artikel 2. Uitvoering van de dienstverlening (inspanningsverplichting)

• That Fits IT voert alle IT- en cybersecuritydiensten naar beste inzicht en vermogen en volgens de eisen van goed vakmanschap uit op basis van een inspanningsverplichting.
• Hoewel That Fits IT met 24/7 monitoring, patchmanagement, firewalls, EDR en immutable back-ups maximale bescherming nastreeft, kan in de IT- en cybersecuritybranche nooit een absolute garantie worden gegeven dat programmatuur, netwerken of clouddiensten volledig vrij zijn van storingen of dat elke denkbare cyberaanval onder alle omstandigheden kan worden voorkomen.

Artikel 3. Medewerking van opdrachtgever & veilig gebruik

• De opdrachtgever verstrekt tijdig alle informatie, toegangsrechten en medewerking die redelijkerwijs nodig zijn voor een goede uitvoering van het beheer en de beveiliging.
• De opdrachtgever draagt er zorg voor dat medewerkers zorgvuldig omgaan met inloggegevens, Multi-Factor Authenticatie (MFA) gebruiken waar dat door That Fits IT is ingericht, en urgente beveiligingsadviezen opvolgen.
• De opdrachtgever staat ervoor in dat op haar systemen uitsluitend rechtmatig gelicentieerde software wordt gebruikt.

Artikel 4. Cloud-, licentie- en derdenproducten

• Indien That Fits IT ten behoeve van de opdrachtgever programmatuur, clouddiensten (zoals Microsoft 365 of Azure), verbindingen, netwerkapparatuur of beveiligingssoftware van derden levert of beheert, zijn op die onderdelen tevens de licentie- en gebruiksvoorwaarden van de betreffende fabrikant of provider van toepassing.
• That Fits IT is niet aansprakelijk voor storingen, wijzigingen of prijsaanpassingen die rechtstreeks voortvloeien uit het handelen van deze derde leveranciers of telecom-/cloudproviders.

Artikel 5. Back-ups, immutable opslag & dataherstel

• Voor zover overeengekomen verzorgt en bewaakt That Fits IT periodieke (immutable) back-ups van de afgesproken systemen en cloudomgevingen (waaronder Microsoft 365 en/of servers).
• De opdrachtgever blijft verantwoordelijk voor het melden van nieuwe opslaglocaties, applicaties of mappen die binnen de back-upvoorziening moeten worden opgenomen.

Artikel 6. Support & hulp op afstand

• Onze supportdesk is op werkdagen (maandag t/m vrijdag, uitgezonderd nationale feestdagen) bereikbaar van 08:30 tot 17:00 uur via telefoon, WhatsApp en e-mail, terwijl onze geautomatiseerde systeem- en securitymonitoring 24/7 actief is.
• Door gebruik te maken van hulp op afstand geeft de medewerker van de opdrachtgever toestemming aan That Fits IT om tijdelijk mee te kijken en ondersteunende handelingen op het betreffende systeem te verrichten.

Artikel 7. Duur, wijziging en beëindiging van overeenkomsten

• Overeenkomsten voor doorlopend beheer (Managed Services, Network as a Service en werkplekbeheer) en licenties worden aangegaan voor de in de overeenkomst of offerte bepaalde looptijd (standaard twaalf maanden, tenzij anders overeengekomen) en worden daarna telkens stilzwijgend verlengd voor eenzelfde periode.
• Voor externe cloud- en softwarelicenties (zoals Microsoft CSP-jaarabonnementen) geldt de opzegtermijn en looptijd van de betreffende licentieleverancier.

Artikel 8. Tarieven, facturatie & betaling

• Alle genoemde tarieven zijn exclusief btw en andere heffingen van overheidswege.
• Betaling van facturen dient plaats te vinden binnen 14 dagen na factuurdatum, tenzij schriftelijk anders overeengekomen of per automatische incasso voldaan.
• That Fits IT is gerechtigd haar tarieven jaarlijks te indexeren conform het CBS-prijsindexcijfer voor zakelijke dienstverlening, alsmede tussentijdse prijswijzigingen van externe licentie- en cloudleveranciers door te berekenen.

Artikel 9. Geheimhouding & verwerking persoonsgegevens (AVG)

• Beide partijen zijn verplicht tot geheimhouding van alle vertrouwelijke informatie en bedrijfsgegevens die zij in het kader van de overeenkomst van elkaar ontvangen.
• Voor zover That Fits IT bij de uitvoering van de diensten persoonsgegevens verwerkt ten behoeve van de opdrachtgever, treedt That Fits IT op als verwerker en de opdrachtgever als verwerkingsverantwoordelijke in de zin van de AVG. Op deze verwerking is onverkort deel B (standaard verwerkersovereenkomst) van deze voorwaarden van toepassing, tenzij partijen een afzonderlijke schriftelijke verwerkersovereenkomst hebben gesloten.

Artikel 10. Aansprakelijkheid & overmacht

• De totale aansprakelijkheid van That Fits IT wegens een toerekenbare tekortkoming in de nakoming van de overeenkomst of op welke rechtsgrond dan ook, is beperkt tot vergoeding van directe schade tot maximaal het bedrag van de voor die overeenkomst bedongen vergoeding (excl. btw) over de zes (6) maanden voorafgaand aan de schadeveroorzakende gebeurtenis, en in alle gevallen tot maximaal het bedrag dat de aansprakelijkheidsverzekering van That Fits IT in het betreffende geval uitkeert.
• Aansprakelijkheid van That Fits IT voor indirecte schade, gevolgschade, gederfde winst, gemiste besparingen of schade door bedrijfsstagnatie is uitgesloten.

Artikel 11. Toepasselijk recht & geschillen

Op alle aanbiedingen en overeenkomsten tussen That Fits IT en de opdrachtgever is uitsluitend Nederlands recht van toepassing. Geschillen die niet in goed onderling overleg kunnen worden opgelost, worden voorgelegd aan de bevoegde rechter van de Rechtbank Zeeland-West-Brabant.

Standaard verwerkersovereenkomst That Fits IT

Dit deel B maakt integraal onderdeel uit van de algemene voorwaarden van That Fits IT en geldt als bindende verwerkersovereenkomst zoals bedoeld in artikel 28 lid 3 van de Algemene verordening gegevensbescherming (AVG) voor alle opdrachten waarbij That Fits IT (hierna: verwerker) ten behoeve van de zakelijke klant (hierna: verwerkingsverantwoordelijke of opdrachtgever) persoonsgegevens verwerkt.

Artikel V1. Onderwerp, duur en rangorde

• Deze verwerkersovereenkomst is van kracht gedurende de volledige looptijd van de hoofdovereenkomst of opdracht tussen opdrachtgever en That Fits IT en eindigt van rechtswege zodra de dienstverlening én de afgesproken uitfasering of verwijdering van gegevens zijn afgerond.
• Indien partijen een afzonderlijke, individueel ondertekende verwerkersovereenkomst zijn overeengekomen, prevaleert die afzonderlijke overeenkomst boven dit deel B.

Artikel V2. Aard, doel, soort persoonsgegevens en betrokkenen

• Aard en doel van de verwerking: Het leveren van beheerde diensten op het gebied van cloud, connectiviteit en werkplek met cybersecurity als fundament (Managed Cloud, Managed Connectivity, Network as a Service, Managed Workspace en Managed Cybersecurity), 24/7 systeem- en netwerkmonitoring, (immutable) back-up- en hersteldiensten, alsmede support en hulp op afstand.
• Soort persoonsgegevens: Contact- en identificatiegegevens (naam, zakelijk e-mailadres, telefoonnummer, functie), inlog- en accountgegevens, IP-adressen, systeem- en beveiligingslogboeken, en overige persoonsgegevens die door opdrachtgever of haar gebruikers in de beheerde systemen, e-mail, bestanden en back-ups worden opgeslagen.
• Categorieën van betrokkenen: Medewerkers, ingehuurde krachten, klanten, leveranciers en zakelijke relaties van opdrachtgever.

Artikel V3. Verwerking uitsluitend op instructie & locatie (EER)

• That Fits IT verwerkt de persoonsgegevens uitsluitend in opdracht en op basis van de schriftelijke instructies van opdrachtgever (waaronder begrepen de gesloten dienstenovereenkomst en supportverzoeken), tenzij een wettelijke verplichting tot verwerking verplicht.
• That Fits IT heeft geen zeggenschap over het doel en de middelen voor de verwerking van deze persoonsgegevens en gebruikt de gegevens nooit voor eigen commerciële doeleinden.
• Verwerking en opslag vinden plaats binnen de Europese Economische Ruimte (EER). Doorgifte naar een land buiten de EER vindt uitsluitend plaats met voorafgaande instemming of op basis van door de Europese Commissie goedgekeurde passende waarborgen.

Artikel V4. Geheimhouding & VOG van medewerkers

• That Fits IT waarborgt dat alle personen die onder haar gezag handelen en toegang hebben tot persoonsgegevens van opdrachtgever, gebonden zijn aan een strikte contractuele geheimhoudingsplicht.
• Alle medewerkers van That Fits IT zijn in het bezit van een geldige Verklaring Omtrent het Gedrag (VOG).

Artikel V5. Technische en organisatorische beveiliging (artikel 32 AVG)

• That Fits IT treft passende technische en organisatorische cybersecuritymaatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen.
• Tot deze maatregelen behoren onder meer (afhankelijk van de afgenomen diensten): strikte toegangsscheiding volgens het least privilege-principe, verplichte Multi-Factor Authenticatie (MFA) voor beheertoegang, versleutelde verbindingen (TLS/HTTPS/VPN), proactief patchmanagement, 24/7 endpoint- en netwerkmonitoring (EDR/MDR) en versleutelde, immutable back-ups.

Artikel V6. Meldplicht datalekken

• Indien zich bij That Fits IT of een door haar ingeschakelde subverwerker een inbreuk in verband met persoonsgegevens (een datalek zoals bedoeld in artikel 4 sub 12 AVG) voordoet die betrekking heeft op gegevens van opdrachtgever, informeert That Fits IT de opdrachtgever hierover onverwijld en uiterlijk binnen 48 uur na ontdekking.
• That Fits IT verstrekt daarbij alle beschikbare informatie over de aard van de inbreuk, de getroffen systemen, de waarschijnlijke gevolgen en de genomen maatregelen, zodat opdrachtgever kan beoordelen of melding bij de Autoriteit Persoonsgegevens (binnen 72 uur) noodzakelijk is.
• Het doen van een eventuele melding bij de Autoriteit Persoonsgegevens blijft de wettelijke verantwoordelijkheid van opdrachtgever als verwerkingsverantwoordelijke.

Artikel V7. Inschakeling van subverwerkers

• Opdrachtgever verleent hierbij algemene schriftelijke toestemming aan That Fits IT om voor de uitvoering van de diensten gebruik te maken van gespecialiseerde subverwerkers (zoals Microsoft voor Microsoft 365/Azure en gecertificeerde EU-datacenter-, cloud-, back-up-, RMM- en cybersecurityleveranciers).
• That Fits IT legt aan deze subverwerkers bij overeenkomst minimaal gelijkwaardige verplichtingen inzake gegevensbescherming en beveiliging op als opgenomen in deze verwerkersovereenkomst. Op verzoek verstrekt That Fits IT een overzicht van de ingeschakelde subverwerkers.

Artikel V8. Bijstand, controle & beëindiging (teruggave en wissing)

• That Fits IT verleent opdrachtgever voor zover redelijkerwijs mogelijk bijstand bij het beantwoorden van verzoeken van betrokkenen (zoals inzage, correctie of verwijdering) en bij het uitvoeren van een DPIA.
• Op verzoek van opdrachtgever stelt That Fits IT de informatie ter beschikking die nodig is om de nakoming van artikel 28 AVG aan te tonen en werkt zij (maximaal eenmaal per jaar en na tijdige aankondiging, op kosten van opdrachtgever) mee aan een redelijke controle of audit.
• Na beëindiging van de hoofdovereenkomst stelt That Fits IT – naar keuze van opdrachtgever – de persoonsgegevens ter beschikking of draagt deze over, en verwijdert of vernietigt zij alle bestaande kopieën en back-ups uiterlijk binnen 90 dagen na het einde van de dienstverlening definitief, tenzij opslag wettelijk verplicht is.