Verwerkersovereenkomst (DPA)

1. Relaties tussen verwerker en subverwerker

• Aanbieder als verwerker. In situaties waarin de Klant een verwerkingsverantwoordelijke is van de Persoonsgegevens van de Klant, wordt de Aanbieder beschouwd als een verwerker die Persoonsgegevens verwerkt namens de Klant.
  ‍
• Aanbieder als subverwerker. In situaties waarin de Klant een verwerker is van de Persoonsgegevens van de Klant, wordt de Aanbieder beschouwd als een subverwerker van de Persoonsgegevens van de Klant.
  ‍
• Aanbieder als verwerkingsverantwoordelijke. Wanneer de Aanbieder Persoonsgegevens van, of verstrekt door, de Klant verwerkt ten behoeve van de exploitatie en levering van de eigen bedrijfsactiviteiten van de Aanbieder en het Product (inclusief klant- en accountbeheer, ondersteunende diensten, gerelateerde marketingactiviteiten of wanneer betrokkenen hun eigen accounts aanmaken bij de Aanbieder), treedt de Aanbieder op als verwerkingsverantwoordelijke van die Persoonsgegevens en zal deze verwerken in overeenstemming met het Privacybeleid van de Aanbieder, zoals van tijd tot tijd gewijzigd.

2. Verwerking

• Details van de verwerking. Deel A van Bijlage 1 bij deze DPA beschrijft het onderwerp, de aard, het doel en de duur van deze verwerking, evenals de categorieën persoonsgegevens die worden verzameld en de categorieën betrokkenen.
  ‍
• Verwerkingsinstructies. De Klant instrueert de Aanbieder om Persoonsgegevens van de Klant te verwerken: (a) om het Product te leveren en te onderhouden; (b) zoals nader gespecificeerd door het gebruik van het Product door de Klant; (c) zoals gedocumenteerd in de Overeenkomst; en (d) zoals gedocumenteerd in andere schriftelijke instructies van de Klant die door de Aanbieder zijn erkend met betrekking tot de verwerking van Persoonsgegevens van de Klant onder deze DPA. De Aanbieder zal zich aan deze instructies houden, tenzij dit door toepasselijke wetgeving verboden is. De Aanbieder zal de Klant onmiddellijk informeren indien hij niet in staat is de verwerkingsinstructies op te volgen. Indien de Aanbieder van mening is dat een instructie van de Klant waarschijnlijk in strijd is met de toepasselijke wetgeving inzake gegevensbescherming, kan de Aanbieder de levering van het relevante deel van het Product staken totdat de partijen gewijzigde, niet-inbreukmakende instructies zijn overeengekomen. De Klant heeft instructies gegeven en zal alleen instructies geven die voldoen aan de toepasselijke wetgeving.
  ‍
• Verwerking door de Aanbieder. De Aanbieder zal Persoonsgegevens van de Klant uitsluitend verwerken in overeenstemming met deze DPA, inclusief de details in Bijlage 1 bij deze DPA. Indien de Aanbieder het Product bijwerkt om bestaande producten, functies of functionaliteiten bij te werken of nieuwe toe te voegen, kan de Aanbieder de categorieën betrokkenen, categorieën persoonsgegevens, bijzondere persoonsgegevens, beperkingen of waarborgen voor bijzondere persoonsgegevens, frequentie van doorgifte, aard en doel van de verwerking en duur van de verwerking wijzigen voor zover nodig om de updates te weerspiegelen, door de Klant op de hoogte te stellen van de updates en wijzigingen.
  ‍
• Verwerking door de klant. Wanneer de klant optreedt als verwerker en de aanbieder als subverwerker, zal de klant voldoen aan alle toepasselijke wetgeving die van toepassing is op de verwerking van persoonsgegevens van de klant door de klant. De overeenkomst van de klant met zijn verwerkingsverantwoordelijke zal de klant er eveneens toe verplichten om alle toepasselijke wetgeving na te leven die op de klant als verwerker van toepassing is. Daarnaast zal de klant voldoen aan de vereisten voor subverwerkers zoals vastgelegd in de overeenkomst tussen de klant en zijn verwerkingsverantwoordelijke.
  ‍
• Toestemming voor verwerking. De klant heeft voldaan aan, en zal blijven voldoen aan, alle toepasselijke wetgeving inzake gegevensbescherming met betrekking tot het verstrekken van persoonsgegevens van de klant aan de aanbieder en/of het product, waaronder het doen van alle vereiste openbaarmakingen, het verkrijgen van alle toestemmingen, het bieden van adequate keuzemogelijkheden en het implementeren van relevante waarborgen zoals vereist onder de toepasselijke wetgeving inzake gegevensbescherming.
  ‍
• Subverwerkers.‍
  
  • De aanbieder zal geen persoonsgegevens van de klant verstrekken, overdragen of overhandigen aan een subverwerker tenzij de klant de subverwerker heeft goedgekeurd. De huidige lijst met goedgekeurde subverwerkers is beschikbaar in Deel C van Bijlage 1. De aanbieder zal de klant ten minste 10 dagen van tevoren schriftelijk informeren over voorgenomen wijzigingen in de goedgekeurde subverwerkers, hetzij door toevoeging of vervanging van een subverwerker, zodat de klant voldoende tijd heeft om bezwaar te maken tegen de wijzigingen voordat de aanbieder de nieuwe subverwerker(s) inzet. De aanbieder zal de klant de informatie verstrekken die nodig is om de klant in staat te stellen zijn recht op bezwaar tegen de wijziging van goedgekeurde subverwerkers uit te oefenen. De klant heeft 10 dagen na kennisgeving van een wijziging in de goedgekeurde subverwerkers de tijd om bezwaar te maken; bij gebreke daarvan wordt de klant geacht de wijzigingen te hebben aanvaard. Elk bezwaar van de klant moet gebaseerd zijn op redelijke gronden met betrekking tot de naleving van de toepasselijke wetgeving inzake gegevensbescherming door de betreffende subverwerker. Indien de klant op dergelijke gronden bezwaar maakt tegen de wijziging, zal de aanbieder zich commercieel redelijke inspanningen getroosten om een wijziging in het product beschikbaar te stellen, of een commercieel redelijke wijziging in de configuratie of het gebruik van het product door de klant aan te bevelen, om verwerking van persoonsgegevens van de klant door de betreffende subverwerker te voorkomen. Indien de aanbieder een dergelijke wijziging niet binnen een redelijke termijn beschikbaar stelt of kan stellen, kan de klant, als enige en exclusieve rechtsmiddel, het betreffende deel van het product dat niet zonder de betreffende subverwerker kan worden geleverd, beëindigen door ten minste 30 dagen schriftelijke opzegging aan de aanbieder. Een dergelijke beëindiging geschiedt naar keuze van de klant en wordt niet beschouwd als een wanprestatie door de aanbieder, en de klant wordt niet ontheven van zijn betalingsverplichtingen onder de overeenkomst.
    
  • Bij het inschakelen van een subverwerker zal de aanbieder een schriftelijke overeenkomst met de subverwerker sluiten die waarborgt dat de subverwerker uitsluitend toegang heeft tot en gebruikmaakt van persoonsgegevens van de klant (i) voor zover vereist om de uitbestede verplichtingen uit te voeren, en (ii) in overeenstemming met de voorwaarden van de overeenkomst.
  • Indien de AVG van toepassing is op de verwerking van persoonsgegevens van de klant, (i) worden de in deze DPA beschreven gegevensbeschermingsverplichtingen (zoals bedoeld in artikel 28, lid 3, van de AVG, indien van toepassing) ook opgelegd aan de subverwerker, en (ii) zal de overeenkomst van de aanbieder met de subverwerker deze verplichtingen opnemen, inclusief details over hoe de aanbieder en zijn subverwerker zullen coördineren om te reageren op vragen of verzoeken over de verwerking van persoonsgegevens van de klant. Daarnaast zal de aanbieder op verzoek van de klant een kopie van zijn overeenkomsten (inclusief eventuele wijzigingen) met zijn subverwerkers delen. Voor zover nodig om bedrijfsgeheimen of andere vertrouwelijke informatie, inclusief persoonsgegevens, te beschermen, kan de aanbieder de tekst van zijn overeenkomst met de subverwerker redigeren voordat een kopie wordt gedeeld.
  • De aanbieder blijft volledig aansprakelijk voor alle verplichtingen die aan zijn subverwerkers zijn uitbesteed, inclusief de handelingen en nalatigheden van zijn subverwerkers bij de verwerking van persoonsgegevens van de klant. De aanbieder zal de klant op de hoogte stellen van elk verzuim van zijn subverwerkers om een materiële verplichting met betrekking tot persoonsgegevens van de klant onder de overeenkomst tussen de aanbieder en de subverwerker na te komen.

3. Beperkte doorgiften

1. Autorisatie. De klant stemt ermee in dat de aanbieder persoonsgegevens van de klant buiten de EER, het Verenigd Koninkrijk of een ander relevant geografisch gebied mag overdragen voor zover nodig voor het leveren van het product. Indien de aanbieder persoonsgegevens van de klant overdraagt naar een gebied waarvoor de Europese Commissie of een andere relevante toezichthoudende autoriteit geen adequaatheidsbesluit heeft genomen, zal de aanbieder passende waarborgen implementeren voor de overdracht van persoonsgegevens van de klant naar dat gebied, in overeenstemming met de toepasselijke wetgeving inzake gegevensbescherming.
   ‍
2. Doorgiften buiten de EER. De klant en de aanbieder komen overeen dat indien de AVG de overdracht van persoonsgegevens van de klant beschermt, de overdracht plaatsvindt van de klant binnen de EER naar de aanbieder buiten de EER, en de overdracht niet wordt beheerst door een adequaatheidsbesluit van de Europese Commissie, de klant en de aanbieder door het aangaan van deze DPA worden geacht de EER-modelcontracten (SCC's) en de bijbehorende bijlagen te hebben ondertekend, welke door verwijzing zijn opgenomen. Elke dergelijke overdracht geschiedt op basis van de EER-modelcontracten, die als volgt zijn ingevuld:
   
   1. Module Twee (Verwerkingsverantwoordelijke naar Verwerker) van de EER-modelcontracten is van toepassing wanneer de klant een verwerkingsverantwoordelijke is en de aanbieder persoonsgegevens van de klant verwerkt voor de klant als verwerker.
   2. Module 3 (Verwerker naar subverwerker) van de EER-modelcontracten is van toepassing wanneer de Klant een verwerker is en de Aanbieder persoonsgegevens van de Klant verwerkt namens de Klant als subverwerker.
   3. Voor elke module geldt het volgende (indien van toepassing):
      
      1. De optionele toetredingsclausule in Clausule 7 is van toepassing;
      2. In Clausule 9 is Optie 2 (algemene schriftelijke toestemming) van toepassing en de minimale kennisgevingstermijn voor wijzigingen in subverwerkers bedraagt 10 dagen;
      3. In Clausule 11 is de optionele tekst niet van toepassing;
      4. Alle tekst tussen vierkante haken in Clausule 13 wordt verwijderd;
      5. In Clausule 13 is de toezichthoudende autoriteit de Belgische Gegevensbeschermingsautoriteit;
      6. In Clausule 17 (Optie 1) worden de EER-modelcontracten beheerst door het Belgisch recht;
      7. In Clausule 18(b) worden geschillen beslecht door de Belgische rechtbanken; en
      8. Bijlage 1 bij deze verwerkersovereenkomst bevat de informatie die vereist is in Bijlage I, Bijlage II en Bijlage III van de EER-modelcontracten.
         ‍‍
3. Doorgiften buiten het VK. De Klant en de Aanbieder komen overeen dat indien de Britse AVG de doorgifte van persoonsgegevens van de Klant beschermt, de doorgifte plaatsvindt van de Klant vanuit het Verenigd Koninkrijk naar de Aanbieder buiten het Verenigd Koninkrijk, en de doorgifte niet wordt beheerst door een adequaatheidsbesluit van de Britse minister, de Klant en de Aanbieder door het aangaan van deze verwerkersovereenkomst geacht worden het Britse Addendum en de bijbehorende bijlagen, die door verwijzing zijn opgenomen, te hebben ondertekend. Elke dergelijke doorgifte geschiedt krachtens het Britse Addendum, dat als volgt wordt ingevuld:
   
   1. Sectie 3.2 van deze verwerkersovereenkomst bevat de informatie die vereist is in Tabel 2 van het Britse Addendum.
   2. Tabel 4 van het Britse Addendum wordt als volgt gewijzigd: de Importeur en/of de Exporteur kan het Britse Addendum beëindigen zoals uiteengezet in Sectie 19 van het Britse Addendum; voor zover de ICO een herzien goedgekeurd addendum uitvaardigt onder Sectie 18 van het Britse Addendum, zullen de partijen te goeder trouw samenwerken om deze verwerkersovereenkomst dienovereenkomstig te herzien.
   3. Bijlage 1 bij deze verwerkersovereenkomst bevat de informatie die vereist is door Bijlage 1A, Bijlage 1B, Bijlage II en Bijlage III van het Britse Addendum.
   4. Ten overvloede: de optionele toetredingsclausule in Clausule 7 van de goedgekeurde EU-modelcontracten, zoals opgenomen in het Britse Addendum, is van toepassing.‍
      ‍
4. Overige internationale doorgiften. Voor doorgiften van persoonsgegevens waarbij het Zwitserse recht (en niet het recht van een EER-lidstaat of het Verenigd Koninkrijk) van toepassing is op het internationale karakter van de doorgifte, worden verwijzingen naar de AVG in Clausule 4 van de EER-modelcontracten, voor zover wettelijk vereist, gewijzigd in verwijzingen naar de Zwitserse federale wetgeving inzake gegevensbescherming of de opvolger daarvan, en omvat het begrip toezichthoudende autoriteit de Zwitserse federale functionaris voor gegevensbescherming en informatie.

4. Respons op beveiligingsincidenten

• Zodra de Aanbieder kennisneemt van een beveiligingsincident, zal de Aanbieder: (a) de Klant zonder onredelijke vertraging op de hoogte stellen nadat hij kennis heeft genomen van het beveiligingsincident; (b) tijdig informatie verstrekken over het beveiligingsincident zodra deze bekend wordt of redelijkerwijs door de Klant wordt verzocht; en (c) onverwijld redelijke maatregelen nemen om het beveiligingsincident in te dammen en te onderzoeken. De kennisgeving van of reactie op een beveiligingsincident door de Aanbieder zoals vereist door deze verwerkersovereenkomst, zal niet worden uitgelegd als een erkenning door de Aanbieder van enige schuld of aansprakelijkheid voor het beveiligingsincident.

5. Audit & rapportages

• Auditrechten. De Aanbieder zal de Klant alle informatie verstrekken die redelijkerwijs nodig is om de naleving van deze verwerkersovereenkomst aan te tonen en de Aanbieder zal audits, inclusief inspecties door de Klant, toestaan en hieraan meewerken om de naleving van deze verwerkersovereenkomst door de Aanbieder te beoordelen. Elke audit zal worden uitgevoerd met een redelijke voorafgaande kennisgeving, tijdens normale kantooruren en op een wijze die leidt tot minimale verstoring van de bedrijfsactiviteiten van de Aanbieder, behalve wanneer de audit betrekking heeft op of volgt op een beveiligingsincident. De Aanbieder kan echter de toegang tot gegevens of informatie beperken indien de toegang van de Klant tot de informatie een negatieve invloed zou hebben op de intellectuele eigendomsrechten, vertrouwelijkheidsverplichtingen of andere verplichtingen van de Aanbieder onder de toepasselijke wetgeving. De Klant erkent en gaat ermee akkoord dat hij zijn auditrechten onder deze verwerkersovereenkomst en eventuele auditrechten verleend door de toepasselijke wetgeving inzake gegevensbescherming alleen zal uitoefenen door de Aanbieder te instrueren om te voldoen aan de onderstaande rapportage- en due diligence-vereisten. 
  ‍
• Beveiligingsrapportages. De Klant erkent dat de Aanbieder zijn beveiligingsnormen regelmatig toetst aan de normen zoals gedefinieerd in zijn beveiligingsbeleid in Deel B van Bijlage 1. Op schriftelijk verzoek zal de Aanbieder de Klant, op vertrouwelijke basis, een samenvattend exemplaar van zijn op dat moment geldende rapportage verstrekken, zodat de Klant de naleving door de Aanbieder van de normen gedefinieerd in het beveiligingsbeleid kan verifiëren.
  ‍
• Due diligence op het gebied van beveiliging. Naast zijn verplichtingen onder deze Sectie 5, zal de Aanbieder reageren op redelijke informatieverzoeken van de Klant om de naleving van deze verwerkersovereenkomst door de Aanbieder te bevestigen, inclusief antwoorden op vragenlijsten over informatiebeveiliging, due diligence en audits, of door aanvullende informatie te verstrekken over zijn informatiebeveiligingsprogramma. Al dergelijke verzoeken moeten schriftelijk worden ingediend bij de Aanbieder door een e-mail te sturen naar dpo@wiggli.io en mogen slechts eenmaal per jaar worden gedaan.

6. Coördinatie & samenwerking

• Afhandeling van vragen. Indien de Aanbieder een vraag of verzoek ontvangt van een derde over de verwerking van persoonsgegevens van de Klant, zal de Aanbieder de Klant op de hoogte stellen van het verzoek en zal de Aanbieder niet op het verzoek reageren zonder voorafgaande toestemming van de Klant. Voorbeelden van dergelijke vragen en verzoeken zijn onder meer een bevel van een rechterlijke, administratieve of toezichthoudende instantie met betrekking tot persoonsgegevens van de Klant, waarbij het informeren van de Klant niet verboden is door de toepasselijke wetgeving, of een verzoek van een betrokkene. Indien toegestaan door de toepasselijke wetgeving, zal de Aanbieder de redelijke instructies van de Klant met betrekking tot deze verzoeken opvolgen, inclusief het verstrekken van statusupdates en andere informatie die redelijkerwijs door de Klant wordt verzocht. Indien een betrokkene een geldig verzoek indient onder de toepasselijke wetgeving inzake gegevensbescherming om persoonsgegevens van de Klant te verwijderen of zich af te melden voor het verstrekken van persoonsgegevens van de Klant door de Klant aan de Aanbieder, zal de Aanbieder de Klant assisteren bij het voldoen aan het verzoek in overeenstemming met de toepasselijke wetgeving inzake gegevensbescherming. De Aanbieder zal samenwerken met en redelijke assistentie verlenen aan de Klant, op kosten van de Klant, bij elke juridische reactie of andere procedurele actie die door de Klant wordt ondernomen als reactie op een verzoek van een derde over de verwerking van persoonsgegevens van de Klant door de Aanbieder onder deze verwerkersovereenkomst.
  ‍
• DPIA's en DTIA's. Indien vereist door de toepasselijke wetgeving inzake gegevensbescherming, zal de Aanbieder, op kosten van de Klant, de Klant redelijkerwijs assisteren bij het uitvoeren van verplichte gegevensbeschermingseffectbeoordelingen of effectbeoordelingen voor gegevensoverdracht en consultaties met relevante gegevensbeschermingsautoriteiten, rekening houdend met de aard van de verwerking en de persoonsgegevens van de Klant.

‍

7. Verwijdering van Persoonsgegevens van de Klant

• Verwijdering door de Klant. De Aanbieder stelt de Klant in staat om Persoonsgegevens van de Klant te verwijderen op een wijze die consistent is met de functionaliteit van het Product. De Aanbieder zal dit verzoek zo spoedig als redelijkerwijs mogelijk uitvoeren, tenzij verdere opslag van Persoonsgegevens van de Klant vereist is op grond van Toepasselijke Wetgeving.
  ‍
• Verwijdering bij afloop van de DPA.

1. Na afloop van de DPA zal de Aanbieder de Persoonsgegevens van de Klant retourneren of verwijderen volgens de instructies van de Klant, tenzij verdere opslag van de Persoonsgegevens van de Klant vereist of toegestaan is door Toepasselijke Wetgeving. Indien retournering of vernietiging onuitvoerbaar is of verboden wordt door Toepasselijke Wetgeving, zal de Aanbieder redelijke inspanningen leveren om verdere Verwerking van de Persoonsgegevens van de Klant te voorkomen en zal de Aanbieder de Persoonsgegevens van de Klant die in zijn bezit, onder zijn hoede of onder zijn controle blijven, blijven beschermen. Toepasselijke Wetgeving kan de Aanbieder bijvoorbeeld verplichten om Persoonsgegevens van de Klant te blijven hosten of Verwerken.
2. De verplichting om Persoonsgegevens van de Klant te retourneren of te verwijderen is niet van toepassing voor zover: (a) de Aanbieder een Verwerkingsverantwoordelijke is van Persoonsgegevens, in welk geval die Persoonsgegevens worden bewaard in overeenstemming met het Privacybeleid van de Aanbieder; of (b) Persoonsgegevens van de Klant zijn geanonimiseerd of geaggregeerd zodat geen Betrokkene of Klant persoonlijk en individueel kan worden geïdentificeerd ("Geaggregeerde Gegevens"). Geaggregeerde Gegevens zijn geen Persoonsgegevens voor de doeleinden van de Toepasselijke Wetgeving inzake gegevensbescherming, en de Klant erkent dat de Aanbieder Geaggregeerde Gegevens naar eigen inzicht mag Verwerken, inclusief voor zijn eigen bedrijfsactiviteiten en productverbetering. Indien de Klant zijn optie tot retournering of verwijdering niet uitoefent binnen 30 dagen na afloop of beëindiging van de DPA, heeft de Aanbieder geen verdere verplichting om de Persoonsgegevens van de Klant te bewaren en mag de Aanbieder overgaan tot verwijdering daarvan.
3. Indien de Klant en de Aanbieder de EER-modelcontracten (SCC's) of het Britse Addendum zijn aangegaan als onderdeel van deze DPA, zal de Aanbieder de Klant alleen een certificaat van verwijdering van Persoonsgegevens verstrekken zoals beschreven in Clausule 8.1(d) en Clausule 8.5 van de EER-modelcontracten indien de Klant daarom verzoekt.

‍

8. Beperking van Aansprakelijkheid

• Aansprakelijkheidslimieten en Afstand van Schadevergoeding. Voor zover maximaal toegestaan onder de Toepasselijke Wetgeving inzake gegevensbescherming, is de totale cumulatieve aansprakelijkheid van elke partij jegens de andere partij die voortvloeit uit of verband houdt met deze DPA onderworpen aan de afstandsverklaringen, uitsluitingen en beperkingen van aansprakelijkheid zoals vermeld in de Overeenkomst.
  ‍
• Claims van Gerelateerde Partijen. Alle claims tegen de Aanbieder of zijn Gelieerde Ondernemingen die voortvloeien uit of verband houden met deze DPA mogen uitsluitend worden ingediend door de entiteit van de Klant die partij is bij de Overeenkomst.
  ‍
• Aansprakelijkheid van Afzonderlijke Verwerkingsverantwoordelijken. Wanneer de partijen optreden als afzonderlijke Verwerkingsverantwoordelijken (of worden beschouwd als Gezamenlijke Verwerkingsverantwoordelijken) van Persoonsgegevens of Persoonsgegevens van de Klant, is elke partij uitsluitend aansprakelijk voor haar eigen inbreuk op de Toepasselijke Wetgeving inzake gegevensbescherming of op deze DPA en is zij niet hoofdelijk aansprakelijk voor de inbreuk van de andere partij. Elke partij zal de andere partij vrijwaren en schadeloos stellen voor verliezen die door die andere partij zijn geleden als gevolg van een inbreuk door de eerste partij op de Toepasselijke Wetgeving inzake gegevensbescherming die voortvloeit uit of verband houdt met de Verwerking van Persoonsgegevens of Persoonsgegevens van de Klant door de eerste partij.
  ‍
• UitzonderingenDeze DPA beperkt op geen enkele wijze de aansprakelijkheid jegens een individu met betrekking tot de gegevensbeschermingsrechten van dat individu onder de toepasselijke wetgeving inzake gegevensbescherming. Daarnaast beperkt deze DPA de aansprakelijkheid tussen de partijen voor schendingen van de EER-modelcontracten (SCC's) of het Britse addendum niet.

9. Conflicten tussen documenten

• Deze DPA maakt deel uit van en vormt een aanvulling op de Overeenkomst. Indien er sprake is van tegenstrijdigheden tussen deze DPA, de Overeenkomst of onderdelen daarvan, prevaleert het eerder genoemde onderdeel boven het later genoemde onderdeel voor wat betreft die tegenstrijdigheid: (1) de EER-modelcontracten of het Britse addendum, (2) deze DPA, en vervolgens (3) de Overeenkomst.

10. Looptijd van de overeenkomst

• Deze DPA treedt in werking op de ingangsdatum van de Overeenkomst tussen de Klant en de Aanbieder en blijft van kracht totdat de Overeenkomst afloopt of wordt beëindigd. De Aanbieder en de Klant blijven echter elk onderworpen aan de verplichtingen in deze DPA en de toepasselijke wetgeving inzake gegevensbescherming totdat de Klant stopt met het overdragen van Persoonsgegevens van de Klant aan de Aanbieder en de Aanbieder stopt met het verwerken van Persoonsgegevens van de Klant.

11. Definities

• “Toepasselijke wetgeving” betekent de wetten, regels, voorschriften, rechterlijke uitspraken en andere bindende vereisten van een relevante overheidsinstantie die van toepassing zijn op of gelden voor een partij.
• “Toepasselijke wetgeving inzake gegevensbescherming” betekent de Toepasselijke wetgeving die bepaalt hoe het Product de persoonsgegevens, persoonsgegevens, persoonlijk identificeerbare informatie of andere soortgelijke termen van een individu mag verwerken of gebruiken.
• “Verwerkingsverantwoordelijke” heeft de betekenis(sen) zoals gegeven in de Toepasselijke wetgeving inzake gegevensbescherming voor het bedrijf dat het doel en de omvang van de verwerking van Persoonsgegevens bepaalt.
• “Persoonsgegevens van de Klant” betekent Persoonsgegevens die Klant uploadt of verstrekt aan Aanbieder als onderdeel van het Product en die onderworpen zijn aan deze DPA.
• “DPA” betekent deze Standaardvoorwaarden voor DPA, eventuele bijlagen of schema's bij deze DPA, en het beleid en de documenten waarnaar in deze DPA wordt verwezen of die eraan zijn gehecht.
• “EER-modelcontractbepalingen” betekent de modelcontractbepalingen zoals gehecht aan het Uitvoeringsbesluit 2021/914 van de Europese Commissie van 4 juni 2021 betreffende modelcontractbepalingen voor de doorgifte van persoonsgegevens naar derde landen uit hoofde van Verordening (EU) 2016/679 van het Europees Parlement en de Raad.
• “Europese Economische Ruimte” of “EER” betekent de lidstaten van de Europese Unie, Noorwegen, IJsland en Liechtenstein.
• “AVG” betekent Verordening (EU) 2016/679, zoals geïmplementeerd door de lokale wetgeving in de betreffende EER-lidstaat.
• “Persoonsgegevens” hebben de betekenis(sen) die in de toepasselijke gegevensbeschermingswetgeving wordt/worden gegeven aan persoonsgegevens, persoonlijke informatie of andere soortgelijke termen.
• “Verwerking” of “Verwerken” hebben de betekenis(sen) die in de toepasselijke gegevensbeschermingswetgeving wordt/worden gegeven aan elk gebruik van, of het uitvoeren van een computerbewerking op, persoonsgegevens, met inbegrip van automatische methoden.
• “Verwerker” heeft de betekenis die in de toepasselijke gegevensbeschermingswetgeving wordt gegeven aan het bedrijf dat persoonsgegevens verwerkt ten behoeve van de verwerkingsverantwoordelijke.
• “Beperkte doorgifte” betekent (a) indien de AVG van toepassing is, een doorgifte van persoonsgegevens vanuit de EER naar een land buiten de EER waarvoor geen adequaatheidsbesluit van de Europese Commissie geldt; en (b) indien de Britse AVG van toepassing is, een doorgifte van persoonsgegevens vanuit het Verenigd Koninkrijk naar enig ander land waarvoor geen adequaatheidsregels gelden die zijn aangenomen uit hoofde van Section 17A van de United Kingdom Data Protection Act 2018.
• “Beveiligingsincident” betekent een inbreuk in verband met persoonsgegevens zoals gedefinieerd in artikel 4 van de AVG.
• “Product” heeft de betekenis zoals uiteengezet in de Overeenkomst.
• “Bijzondere categorieën van persoonsgegevens” hebben de betekenis zoals gegeven in artikel 9 van de AVG.
• “Subverwerker” heeft de betekenis(sen) zoals gegeven in de toepasselijke wetgeving inzake gegevensbescherming voor een bedrijf dat, met goedkeuring en acceptatie van de Verwerkingsverantwoordelijke, de Verwerker bijstaat bij het verwerken van persoonsgegevens namens de Verwerkingsverantwoordelijke.
• “UK AVG” betekent Verordening (EU) 2016/679 zoals geïmplementeerd door sectie 3 van de European Union (Withdrawal) Act 2018 van het Verenigd Koninkrijk.
• “UK Addendum” betekent het internationale addendum voor gegevensoverdracht bij de EER-modelcontracten (SCC's), uitgegeven door de Information Commissioner voor partijen die beperkte doorgiften verrichten onder S119A(1) van de Data Protection Act 2018.

BIJLAGE 1 – DETAILS VAN VERWERKING EN INFORMATIE OVER OVERDRACHT

Deze Bijlage 1 is opgenomen in en vormt een integraal onderdeel van deze DPA. Deze bevat de informatie die vereist is door Bijlage I (Deel A, B en C) en Bijlage II en Bijlage III van de EER-modelcontracten, en door Bijlage 1A, Bijlage 1B, Bijlage II en Bijlage III van het UK Addendum. Hoofdlettergebruik van termen in deze Bijlage 1 hebben de betekenis die daaraan is gegeven in deze DPA of de Overeenkomst.

Deel A – Lijst van partijen en beschrijving van de verwerking (EER-modelcontracten Bijlage I.A en I.B; UK Addendum Bijlage 1A en 1B)

A.1 Lijst van partijen.

Gegevensexporteur: Klant, zoals geïdentificeerd in de Overeenkomst. Adres, naam van contactpersoon, functie en contactgegevens: zoals uiteengezet in de Overeenkomst. Activiteiten relevant voor de overgedragen gegevens: ontvangst van het Product onder de Overeenkomst. Rol: Verwerkingsverantwoordelijke (of Verwerker, indien de Klant Klantpersoonsgegevens verwerkt namens zijn eigen Verwerkingsverantwoordelijke).

Gegevensimporteur: Aanbieder, zoals geïdentificeerd in de Overeenkomst. Adres, naam van contactpersoon, functie en contactgegevens: zoals uiteengezet in de Overeenkomst. Activiteiten relevant voor de overgedragen gegevens: levering van het Product onder de Overeenkomst. Rol: Verwerker (of Subverwerker, indien de Klant een Verwerker is).

A.2 Beschrijving van de overdracht.

Categorieën van betrokkenen: Betrokkenen van de Klant, waaronder werknemers, contractanten, freelancers, sollicitanten en kandidaten van de Klant. Het Product is niet bedoeld voor kwetsbare volwassenen of kinderen.

Categorieën persoonsgegevens: voornaam, achternaam, foto, adres, e-mailadres, telefoonnummer, geslacht, nationaliteit, geboortedatum en -plaats, en functietitel, samen met alle andere persoonsgegevens die de Klant ervoor kiest om aan het Product te verstrekken.

Bijzondere categorieën van persoonsgegevens: geen, tenzij schriftelijk anders overeengekomen door de partijen. Wanneer er bijzondere categorieën van persoonsgegevens worden verwerkt, zijn de toegepaste beperkingen of waarborgen die welke zijn uiteengezet in Deel B.

Frequentie van de doorgifte: op continue basis voor de duur van het Product.

Aard en doel van de verwerking: om de Aanbieder in staat te stellen het Product te leveren, te onderhouden en te ondersteunen, en om zijn verplichtingen onder de Overeenkomst na te komen.

Onderwerp van de verwerking: de levering van het Product onder de Overeenkomst.

Duur van de verwerking: voor de looptijd van de Overeenkomst en zolang de Aanbieder persoonsgegevens van de Klant bewaart, met inachtneming van de verplichtingen tot verwijdering en retournering in deze DPA.

Doorgiften aan subverwerkers: het onderwerp, de aard en de duur van de verwerking door subverwerkers zijn zoals beschreven in Deel C.

A.3 Bevoegde toezichthoudende autoriteit (EER-modelcontractbepalingen Bijlage I.C). 

De bevoegde toezichthoudende autoriteit is de Belgische Gegevensbeschermingsautoriteit (Autorité de protection des données / Gegevensbeschermingsautoriteit).

Deel B – Beveiligingsbeleid

De technische en organisatorische maatregelen van de Aanbieder (EER-modelcontractbepalingen Bijlage II; VK-addendum Bijlage II) worden gehandhaafd zoals uiteengezet in het Beveiligingsbeleid. 

Voor doorgiften aan subverwerkers worden de hierboven beschreven maatregelen aan elke subverwerker opgelegd in overeenstemming met Sectie 2.6 van deze DPA.

Deel C – Lijst van subverwerkers (EER-modelcontractbepalingen Bijlage III; VK-addendum Bijlage III)

De goedgekeurde subverwerkers, hun locatie en hun verwerkingsactiviteiten worden beschreven op: Subverwerkers.