Definities

In deze Verwerkersbijlage hebben de met een hoofdletter geschreven woorden en uitdrukkingen, zowel in enkelvoud als in meervoud, de betekenis zoals hieronder gespecificeerd:

“Bijlage” betekent de bijlage bij deze Verwerkersbijlage die een integraal onderdeel ervan vormt;

“Overeenkomst” betekent de overeenkomst gesloten tussen de Verantwoordelijke en de Verwerker met betrekking tot de levering van de Dienst (zoals gedefinieerd in de Overeenkomst);

“Persoonsgegevens” betekent alle informatie die betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon zoals bedoeld in Artikel 4(1) AVG;

“Verwerken” betekent evenals vervoegingen van dit werkwoord: het verwerken van Persoonsgegevens zoals bedoeld in Artikel 4(2) AVG;

“Verwerkersbijlage” betekent deze bijlage;

“Subverwerker” betekent de onderaannemer die door de Verwerker wordt ingeschakeld en die Persoonsgegevens verwerkt in de context van deze Verwerkersbijlage namens de Verantwoordelijke, zoals bedoeld in Artikel 28(4) AVG. Alle filialen van Verwerker worden beschouwd als een Subverwerker.

De bepalingen van de Overeenkomst zijn volledig van toepassing op deze Verwerkersbijlage. In geval van bepalingen met betrekking tot de Verwerking van Persoonsgegevens in de Overeenkomst, prevaleren de bepalingen van deze Verwerkersbijlage.

Doel van de verwerking van Persoonsgegevens

De Verantwoordelijke en de Verwerker hebben deze Verwerkingsovereenkomst gesloten voor de verwerking van Persoonsgegevens in de context van de Overeenkomst. Een overzicht van het type Persoonsgegevens, categorieën betrokkenen en de verwerkingsdoeleinden, is opgenomen in Bijlage 1. 

De Verantwoordelijke is verantwoordelijk en aansprakelijk voor de verwerking van Persoonsgegevens met betrekking tot de Overeenkomst en garandeert dat de Verwerking voldoet aan alle toepasselijke wetgeving. Verantwoordelijke zal Verwerker vrijwaren tegen alle claims van derden, met name die van de toezichthoudende autoriteit, die op enigerlei wijze voortvloeien uit het niet naleven van deze garantie. 

De Verwerker verplicht zich om Persoonsgegevens alleen te verwerken voor het doel van de activiteiten die in deze Verwerkersbijlage worden vermeld. De Verwerker garandeert dat de Persoonsgegevens die zij verwerkt in het kader van deze Verwerkersbijlage niet voor eigen of externe doeleinden worden gebruikt zonder de uitdrukkelijke schriftelijke toestemming van de Verantwoordelijke, tenzij een wettelijke bepaling de Verwerker daartoe verplicht. In dat geval zal de Verwerker de Verantwoordelijke onmiddellijk informeren over deze wettelijke verplichting voordat de Verwerking plaatsvindt, tenzij die wet het verstrekken van dergelijke informatie verbiedt op importgronden van algemeen belang.

Technische en organisatorische voorzieningen

De Verwerker zal, rekening houdend met de aard van de Verwerking en voor zover redelijkerwijs mogelijk, de Verantwoordelijke bijstaan bij het voldoen aan de verplichtingen krachtens de AVG om passende technische en organisatorische maatregelen te treffen die een passend beveiligingsniveau garanderen, rekening houdend met de stand van de techniek en de kosten van implementatie, gezien de risico's die de Verwerking van Persoonsgegevens met zich meebrengt en de aard van de te beschermen gegevens. De Verwerker zal in ieder geval maatregelen nemen om Persoonsgegevens te beschermen tegen onbedoelde of onrechtmatige vernietiging, onbedoeld of opzettelijk verlies, vervalsing, ongeoorloofde verspreiding of toegang, of enige andere vorm van onrechtmatige Verwerking. 

De Verwerker zal een document bezorgen waarin de passende technische en organisatorische maatregelen worden beschreven die door de Verwerker moeten worden getroffen. Dit document zal aan deze Verwerkersbijlage worden gehecht als Bijlage 2. De Verantwoordelijke verklaart dat zij deze technische en organisatorische maatregelen heeft beoordeeld als passend in de zin van de wet.

Vertrouwelijkheid

De Verwerker zal de medewerkers die betrokken zijn bij de uitvoering van de Overeenkomst verplichten een verklaring van vertrouwelijkheid te ondertekenen – al dan niet opgenomen in de arbeidsovereenkomst met die medewerkers – waarin in ieder geval wordt gesteld dat deze medewerkers strikte vertrouwelijkheid moeten bewaren ten aanzien van de Persoonsgegevens.

Verwerking van Persoonsgegevens buiten Europa

De Verwerker mag Persoonsgegevens alleen buiten de Europese Economische Ruimte overdragen als dit gebeurt in overeenstemming met de toepasselijke wettelijke verplichtingen, dus indien:

(i) de verdere overdracht geschiedt naar een land dat profiteert van een adequaatheidsbesluit overeenkomstig Artikel 45 AVG dat de verdere overdracht dekt, of:

(ii) de overdracht gebaseerd is op passende waarborgen overeenkomstig artikelen 46 of 47 AVG met betrekking tot de betreffende verwerking, of:

(iii) de verdere overdracht noodzakelijk is voor de instelling, uitoefening of verdediging van juridische claims in de context van specifieke administratieve, regelgevende of gerechtelijke procedures, of:

(iv) de verdere overdracht noodzakelijk is ter bescherming van de vitale belangen van de betrokkene of van een andere natuurlijke persoon.

Subverwerkers

De Verwerker is gerechtigd om de implementatie van de Verwerking op instructie van de Verantwoordelijke geheel of gedeeltelijk uit te besteden aan Subverwerkers, waarvan de partijen zijn beschreven in Bijlage 3. Indien de Verwerker Subverwerkers wil inschakelen, zal de Verwerker de Verantwoordelijke informeren over eventuele voorgenomen wijzigingen met betrekking tot de toevoeging of vervanging van andere verwerkers. De Verantwoordelijke zal binnen 10 werkdagen bezwaar kunnen maken tegen dergelijke wijzigingen. De Verwerker zal binnen 10 werkdagen op het bezwaar reageren.

Verwerker verplicht elke Subverwerker contractueel om te voldoen aan de vertrouwelijkheidsverplichtingen, meldingsverplichtingen en veiligheidsmaatregelen met betrekking tot de Verwerking van Persoonsgegevens, welke verplichtingen en maatregelen minstens voldoen aan de bepalingen van deze Verwerkersbijlage.

Met betrekking tot de deelverwerking door de partijen beschreven in Bijlage 3, stemt de Verantwoordelijke ermee in:

• Dat gegevensoverdracht zal plaatsvinden naar deze subverwerkers, op basis van een van de mechanismen genoemd in artikel 6;

• Dat met betrekking tot de subverwerkers die openbare clouddiensten aanbieden, Verwerker de standaard juridische overeenkomsten (inclusief gegevensverwerkingsovereenkomsten) tekent die door deze subverwerkers worden verstrekt, die van tijd tot tijd kunnen worden gewijzigd (Openbare Provider Overeenkomsten, of PPO's);

• In te stemmen met de inhoud van dergelijke PPO's en met de Gegevensoverdrachtsbeoordeling met betrekking tot deze gegevensoverdracht of het gebruik van deze PPO;

• Gebonden te zijn aan de PPO, die daarom als opgenomen wordt beschouwd in deze VBO;

• Dat de Verwerker de PPO tegen de Verantwoordelijke en/of, indien van toepassing, tegen de leveranciers en/of klanten van de Verantwoordelijke kan inroepen;

Aansprakelijkheid 

Met betrekking tot de aansprakelijkheid en vrijwaringsverplichtingen van de Verwerker onder deze Verwerkersbijlage, is de bepaling in de Overeenkomst betreffende de beperking van aansprakelijkheid van toepassing. 

Onverminderd artikel 7.1 van deze Verwerkersbijlage, is de Verwerker uitsluitend aansprakelijk voor schade geleden door de Verantwoordelijke en/of derde claims als gevolg van enige Verwerking, indien de specifieke verplichtingen van de Verwerker onder de AVG niet worden nageleefd of indien de Verwerker heeft gehandeld in strijd met de legitieme instructies van de Verantwoordelijke.

Persoonsgegevenonschending 

Indien de Verwerker zich bewust wordt van een incident dat een (significante) impact kan hebben op de bescherming van Persoonsgegevens, i) zal het de Verantwoordelijke zonder onnodige vertraging op de hoogte stellen en ii) zal het alle redelijke maatregelen nemen om (verdere) schending van de AVG te voorkomen of te beperken.  

De Verwerker zal, voor zover redelijk, alle redelijke medewerking verlenen die door de Verantwoordelijke wordt gevraagd om te voldoen aan diens wettelijke verplichtingen met betrekking tot het geïdentificeerde incident.

De Verwerker zal, voor zover redelijk, de Verantwoordelijke bijstaan met de meldingsplicht van de Verantwoordelijke met betrekking tot de Persoonsgegevens aan de Gegevensbeschermingsautoriteit en/of de betrokkene, zoals bedoeld in Artikel 33(3) en 34(1) AVG. De Verwerker is nooit gehouden om een inbreuk op persoonsgegevens te melden aan de Gegevensbeschermingsautoriteit en/of de betrokkene.

De Verwerker is niet verantwoordelijk en/of aansprakelijk voor de (tijdige en juiste) meldingsplicht aan de relevante toezichthouder en/of betrokkenen, zoals bedoeld in Artikel 33 en 34 AVG. 

Samenwerking

De Verwerker zal, voor zover redelijkerwijs mogelijk, alle redelijke medewerking verlenen aan de Verantwoordelijke bij het vervullen van zijn verplichting krachtens de AVG om verzoeken van betrokkenen om hun rechten uit te oefenen te beantwoorden, in het bijzonder het recht van toegang (Artikel 15 AVG), rectificatie (Artikel 16 AVG), verwijdering (Artikel 17 AVG), beperking (Artikel 18 AVG), gegevensoverdraagbaarheid (Artikel 20 AVG) en het recht om bezwaar te maken (Artikel 21 en 22 AVG). De Verwerker zal een klacht of verzoek van een betrokkene met betrekking tot de Verwerking van Persoonsgegevens zo snel mogelijk aan de Verantwoordelijke doorgeven, aangezien de Verantwoordelijke verantwoordelijk is voor de behandeling van het verzoek. De Verwerker is gerechtigd om kosten in rekening te brengen voor de medewerking met de Verantwoordelijke. 

De Verwerker zal, voor zover redelijkerwijs mogelijk, alle redelijke medewerking verlenen aan de Verantwoordelijke bij het voldoen aan zijn verplichting krachtens de AVG om een gegevensbeschermingseffectbeoordeling uit te voeren (Artikel 35 en 36 AVG).

De Verwerker zal de Verantwoordelijke voorzien van alle informatie die redelijkerwijs nodig is om aan te tonen dat de Verwerker aan zijn verplichtingen onder de AVG voldoet. Verder zal de Verwerker – op verzoek van de Verantwoordelijke – audits mogelijk maken en eraan bijdragen, inclusief inspecties door de Verantwoordelijke of een auditor die door de Verantwoordelijke is gemachtigd, mits partijen vooraf schriftelijk overeenstemming bereiken over de scope van een dergelijke audit. Indien de Verwerker van mening is dat een instructie met betrekking tot de bepalingen in deze paragraaf in strijd is met de AVG of andere toepasselijke wetgeving inzake gegevensbescherming, zal de Verwerker de Verantwoordelijke onmiddellijk informeren. De Verwerker is gerechtigd om mogelijke kosten in rekening te brengen bij de Verantwoordelijke.

Beëindiging en diverse bepalingen

Met betrekking tot de beëindiging onder deze Verwerkersbijlage zijn de specifieke bepalingen van de Overeenkomst van toepassing. Onverminderd de specifieke bepalingen van de Overeenkomst, zal de Verwerker, op eerste verzoek van de Verantwoordelijke, alle Persoonsgegevens verwijderen of retourneren, en alle bestaande kopieën verwijderen, tenzij de Verwerker wettelijk verplicht is om (een deel van) de Persoonsgegevens te bewaren. 

De Verantwoordelijke zal de Verwerker adequaat informeren over de (wettelijke) bewaartermijnen die van toepassing zijn op de Verwerking van Persoonsgegevens door de Verwerker. 

De verplichtingen vastgelegd in deze Verwerkersbijlage, die naar hun aard zijn ontworpen om na beëindiging voort te duren, blijven ook na de beëindiging van deze Verwerkersbijlage van kracht.

De keuze van recht en bevoegde rechtbank voldoen aan de toepasselijke bepalingen van de Overeenkomst. 

BIJLAGE 1 OVERZICHT PERSOONSGEGEVENS

TYPE PERSOONSGEGEVENS:

Betalingsinformatie ShopperEmailadres Contactinformatie Vertrouwelijk – AVG

Emailings CustomEmailadres Contactinformatie Vertrouwelijk – AVG

Emailings EmailTypeCode Contactinformatie Vertrouwelijk – AVG

AirplayAccounts EmailAdres Contactinformatie Vertrouwelijk – AVG

Adressen Stad Contactinformatie Vertrouwelijk – AVG

Adressen Straat Contactinformatie Vertrouwelijk – AVG

Adressen Postcode Contactinformatie Vertrouwelijk – AVG

Bedrijven EmailAdres Contactinformatie Vertrouwelijk – AVG

Persoonsarchieven Adressen Contactinformatie Vertrouwelijk – AVG

Persoonsarchieven Geboortedatum Geboortedatum Vertrouwelijk – AVG

Persoonsarchieven EmailAdres Contactinformatie Vertrouwelijk – AVG

Persoonsarchieven Emails Contactinformatie Vertrouwelijk – AVG

Persoonsarchieven ExtraEmailadressenJson Contactinformatie Vertrouwelijk – AVG

Persoonsarchieven Voornaam Naam Vertrouwelijk – AVG

Persoonsarchieven IpAdres Netwerken Vertrouwelijk – AVG

Persoonsarchieven Achternaam Naam Vertrouwelijk – AVG

Persoonsarchieven Telefoonnummers Contactinformatie Vertrouwelijk – AVG

Personen Geboortedatum Geboortedatum Vertrouwelijk – AVG

Personen EmailAdres Contactinformatie Vertrouwelijk – AVG

Personen ExtraEmailadressenJson Contactinformatie Vertrouwelijk – AVG

Personen Voornaam Naam Vertrouwelijk – AVG

Personen IpAdres Netwerken Vertrouwelijk – AVG

Personen Achternaam Naam Vertrouwelijk – AVG

Personen Loyaliteits-ID Contactinformatie Vertrouwelijk – AVG

Personen GenderCode Naam Vertrouwelijk – AVG

CATEGORIEËN VAN BETROKKENEN:

• Gebruikers van de verantwoordelijke, of klanten of partners in de keten van de verantwoordelijke

DOELEN VAN VERWERKING: 

• Gebruik van abonnementsdiensten 

BIJLAGE 2 SPECIFICATIE VAN DE VEILIGHEIDSMAATREGELEN  

1. het beheer van bevoegdheden en autorisaties van medewerkers om ongeoorloofde toegang tot informatie te voorkomen;

2. maatregelen in geval de vertrouwelijkheid van de Persoonsgegevens is geschonden;

3. maatregelen in geval van calamiteiten;

4. maatregelen ter preventie van virussen, bedreigingen en technische kwetsbaarheden;

5. het nemen van de noodzakelijke maatregelen ter voorkoming van beveiligingslekken zoals bedoeld in de toepasselijke privacyregelgeving;

6. het gebruik van servers die slechts toegankelijk zijn via beveiligde verbindingen;

7. het vermogen om de beschikbaarheid van en toegang tot de Persoonsgegevens tijdig te herstellen in geval van een fysiek of technisch incident; en

8. een procedure om de effectiviteit van de technische en organisatorische maatregelen regelmatig te testen, beoordelen en evalueren om de veiligheid te waarborgen.

BIJLAGE 3 OVERZICHT VAN SUBVERWERKERS 

Google Ireland Ltd

Hetzner Online GmbH