Als de verwerking van persoonsgegevens aan jou wordt toevertrouwd, dien je als SaaS-provider een verwerkersovereenkomst te sluiten. Als SaaS-provider ben je overigens vaak zowel verwerkingsverantwoordelijke voor sommige gegevens als verwerker voor andere gegevens. Best complex dus!

Laten we een voorbeeld bekijken: stel je voor dat je een SaaS-bedrijf bent dat een geavanceerd klantrelatiebeheersysteem (CRM) aanbiedt. Bedrijven gebruiken jouw CRM om klantgegevens op te slaan, te beheren en te analyseren. Hier komt de tweeledige rol van jouw bedrijf naar voren:

Verwerkingsverantwoordelijke: Als SaaS-provider ben je de verwerkingsverantwoordelijke voor de gegevens die jouw klanten rechtstreeks aan jouw CRM-systeem verstrekken. Dit omvat informatie zoals bedrijfsnamen, contactgegevens en andere gegevens die ze in het systeem invoeren.

Verwerker: Tegelijkertijd fungeer je als verwerker voor de gegevens die jouw klanten aan jouw CRM toevertrouwen. Dit kunnen gevoelige klantinformatie en persoonlijke gegevens zijn die jouw klanten in het systeem opslaan en beheren.

Als je voor het CRM-systeem gebruik maakt van externe partijen, zoals hosting, moet je ook een subverwerkersovereenkomst sluiten met die partijen (subverwerkers genoemd). Bevinden die partijen zich buiten de Europese Economische Ruimte? Dan zul je ook nog moeten kijken naar een adequaatheidsbesluit of modelcontract.