Tussen de Klant (in diens hoedanigheid van "Verwerkingsverantwoordelijke") en Claritalk (in diens hoedanigheid van "Verwerker") worden in deze Bijlage de wederzijdse rechten en verplichtingen inzake de Verwerking van Persoonsgegevens door Claritalk vastgelegd overeenkomstig de Wetgeving Gegevensbescherming.
Artikel 1 Definities
De in deze Verwerkersovereenkomst gebruikte begrippen of formuleringen hebben de volgende betekenis:
- 1.1 AVG: Verordening (EU) 2016/679 van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG;
- 1.2 Betrokkene: de natuurlijke persoon op wie een Persoonsgegeven betrekking heeft;
- 1.3 Eindklanten: de klanten van de Klant;
- 1.4 Overeenkomst: de Claritalk Overeenkomst, waarbij Verwerkingsverantwoordelijke aan Verwerker opdracht heeft gegeven om Verwerkingen te verrichten;
- 1.5 DPA of Verwerkersovereenkomst: deze Bijlage 2;
- 1.6 Persoonsgegevens: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon dat Verwerker op grond van de Overeenkomst van de Verwerkingsverantwoordelijke ontvangt en dient te Verwerken;
- 1.7 Verwerken/Verwerking: een bewerking of een geheel van bewerkingen met betrekking tot Persoonsgegevens of een geheel van Persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;
- 1.8 Verwerkingsverantwoordelijke: de Klant die met Claritalk een Claritalk Overeenkomst heeft gesloten;
- 1.9 Verwerker: SalesNote BV (Claritalk), geregistreerd bij de KBO onder nummer 0765.323.961, met maatschappelijke zetel te Staatsbaan 305, 9870 Zulte.
Artikel 2 Toepasselijkheid
2.1 Tenzij Partijen anders schriftelijk zijn overeengekomen, zijn de bepalingen van deze Verwerkersovereenkomst van toepassing op elke Verwerking door Verwerker van Persoonsgegevens op grond van de Overeenkomst. Bij eventuele tegenstrijdigheid of inconsistentie tussen deze Verwerkersovereenkomst en de Overeenkomst prevaleren de bepalingen van deze Verwerkersovereenkomst.
Artikel 3 Basisgegevens i.v.m. de Verwerking
3.1 In het kader van de uitvoering van de Overeenkomst heeft Verwerker inzage in en toegang tot bepaalde Persoonsgegevens van specifieke categorieën van Betrokkenen (cfr. artikel 3.3). Deze Verwerkingen hebben louter als doel de uitvoering van de Overeenkomst.
3.2 De Verwerker mag de Persoonsgegevens die door de Verwerkingsverantwoordelijke worden doorgegeven, Verwerken zolang dit nodig is voor de uitvoering van de opdracht als bepaald in de Overeenkomst. Na uitvoering van de opdracht maakt de Verwerker onmiddellijk een einde aan elk ander gebruik van de Persoonsgegevens dan wat noodzakelijk is om de Verwerkingsverantwoordelijke in staat te stellen de gegevens te recupereren die aan de Verwerker werden toevertrouwd én van het gebruik van de gegevens die het resultaat zijn van de verwerking waarmee de Verwerker werd belast.
3.3 De soort Persoonsgegevens die zullen worden verwerkt per categorie van Betrokkene kan als volgt worden omschreven:
De Eindgebruiker
- Naam (initialen, voornaam, achternaam, aanspreking, bedrijfsnaam)
- Facturatieadres
- GSM, e-mail, website
- IBAN, betalingsmethode
- Klantnummer
- Contracten
- Facturen
- Betalingen
De Klant
- Bedrijfsnaam
- Btw-nummer
- Adresgegevens
- Bankrekeningnummer
- Telefoonnummer
- Systeemgebruikersinformatie: naam en voornaam, e-mailadres (tevens login), one-way versleuteld wachtwoord, telefoonnummer
3.4 De rechten en verplichtingen van de Verwerkingsverantwoordelijke worden in deze Verwerkersovereenkomst bepaald.
Artikel 4 Verwerking door Verwerker
4.1 Verwerker Verwerkt de Persoonsgegevens slechts op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke, behoudens afwijkende wettelijke verplichtingen en afwijkende verzoeken van Betrokkenen; in dat geval stelt de Verwerker de Verwerkingsverantwoordelijke voorafgaand aan de Verwerking in kennis van dat wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.
4.2 Verwerker Verwerkt Persoonsgegevens ten behoeve van Verwerkingsverantwoordelijke, overeenkomstig diens instructies en onder diens verantwoordelijkheid en op de wijze vastgelegd in de Overeenkomst.
4.3 Verwerker heeft geen zeggenschap over het doel en de middelen voor de Verwerking van Persoonsgegevens. Indien Verwerker in strijd met deze Verwerkersovereenkomst en met de AVG de doeleinden en de middelen voor een verwerking bepaalt, wordt de Verwerker met betrekking tot die Verwerking als verwerkingsverantwoordelijke beschouwd.
4.4 Verwerker dient zorg te dragen voor de naleving van de voorwaarden die op grond van de AVG en andere regelgeving worden gesteld aan het Verwerken van Persoonsgegevens.
4.5 Verwerker verschaft enkel toegang tot de Persoonsgegevens aan haar werknemers die onderworpen zijn aan een vertrouwelijkheidsverplichting en dit slechts voor zover dit nodig is voor het verrichten van de diensten op grond van de Overeenkomst.
4.6 Verwerker zal de Verwerkingsverantwoordelijke in kennis stellen van verzoeken met betrekking tot uitoefening van rechten aangaande de Persoonsgegevens die rechtstreeks van een Betrokkene zijn ontvangen. Verwerker zal bovendien de Verwerkingsverantwoordelijke alle redelijkerwijs benodigde bijstand verlenen, rekening houdend met de aard van de Verwerking en de hem ter beschikking staande informatie, bij het vervullen van diens plicht om verzoeken van betrokkenen betreffende de uitoefening van hun rechten te beantwoorden.
4.7 Verwerkingsverantwoordelijke geeft de schriftelijke algemene toestemming aan de Verwerker om een sub-verwerker in te schakelen bij de uitvoering van deze Verwerkersovereenkomst, onder de voorwaarde dat de bescherming van de Persoonsgegevens gewaarborgd blijft.
De Verwerker licht de Verwerkingsverantwoordelijke in over beoogde veranderingen inzake de toevoeging of vervanging van sub-verwerkers, waarbij de Verwerkingsverantwoordelijke de mogelijkheid krijgt om tegen deze veranderingen schriftelijk bezwaar te maken binnen de 7 kalenderdagen.
Vóór de Verwerker een sub-verwerker in dienst neemt om voor rekening van de Verwerkingsverantwoordelijke specifieke verwerkingsactiviteiten te verrichten, worden door de Verwerker aan deze sub-verwerker, door middel van een overeenkomst, minstens dezelfde verplichtingen inzake gegevensbescherming opgelegd als die welke in deze Verwerkersovereenkomst zijn opgenomen. Dit omvat met name de verplichting om afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen te bieden opdat de Verwerking aan het bepaalde in de AVG voldoet en de bescherming van de rechten van de Betrokkene is gewaarborgd. In de overeenkomst met de sub-verwerker dient de Verwerkingsverantwoordelijke te worden aangewezen als rechtstreeks begunstigde, zodat zij ook rechtstreeks de contractuele rechten ten aanzien van de sub-verwerker kan uitoefenen.
4.8 De Verwerker dient aan Verwerkingsverantwoordelijke alle informatie ter beschikking te stellen die nodig is om de naleving van de in de Verwerkersovereenkomst opgenomen verplichtingen aan te tonen. In dit kader beschikt Verwerkingsverantwoordelijke, of een door de Verwerkingsverantwoordelijke gemachtigde controleur, over het recht om audits en inspecties uit te voeren bij Verwerker. Verwerker dient dergelijke audits en inspecties mogelijk te maken en eraan bij te dragen. De Verwerker stelt de Verwerkingsverantwoordelijke onmiddellijk in kennis indien een instructie naar zijn mening een inbreuk oplevert op de AVG of op andere Unierechtelijke of lidstaatrechtelijke bepalingen inzake gegevensbescherming.
4.9 Verwerker mag de Persoonsgegevens niet buiten de EER Verwerken zonder de voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke, waaraan Verwerkingsverantwoordelijke voorwaarden kan verbinden. In geval een Unierechtelijke of lidstaatrechtelijke bepaling Verwerker verplicht tot Verwerking in een derde land, stelt Verwerker de Verwerkingsverantwoordelijke voorafgaand aan de Verwerking in kennis van dat wettelijk voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.
Artikel 5 Meldplicht datalekken
5.1 Verwerker zal Verwerkingsverantwoordelijke onverwijld (en in elk geval uiterlijk binnen de 24 uur na de ontdekking ervan) in kennis stellen van een inbreuk op de beveiliging die betrekking heeft op de Verwerking van Persoonsgegevens, en zal voor zover mogelijk informatie verstrekken over: (i) de aard van de inbreuk; (ii) de (mogelijk) getroffen Persoonsgegevens; (iii) de vastgestelde en verwachte gevolgen van de inbreuk voor de Verwerking van de Persoonsgegevens en de daarbij betrokken personen; en (iv) de maatregelen die Verwerker heeft getroffen en zal treffen om de negatieve gevolgen van de inbreuk te beperken.
5.2 Verwerker erkent dat Verwerkingsverantwoordelijke onder omstandigheden wettelijk verplicht is om een inbreuk op de beveiliging die betrekking heeft of kan hebben op de Persoonsgegevens die Verwerker Verwerkt, aan de toezichthoudende autoriteit en eventueel aan de Betrokkenen te melden. Voorafgaande aan een melding, dient Verwerkingsverantwoordelijke Verwerker over de beoogde melding te raadplegen en te informeren.
5.3 Verwerker zal alle maatregelen treffen die nodig zijn om de (mogelijke) schade te beperken en Verwerkingsverantwoordelijke ondersteunen bij de melding aan de toezichthoudende autoriteit en de Betrokkenen. Verwerker zal Verwerkingsverantwoordelijke op de hoogte houden van nieuwe ontwikkelingen met betrekking tot de inbreuk en de maatregelen die Verwerker heeft getroffen om de omvang van de inbreuk te beperken en te beëindigen en een soortgelijk voorval in de toekomst te kunnen voorkomen.
Artikel 6 Beveiligingsmaatregelen
6.1 Verwerker neemt alle overeenkomstig artikel 32 AVG nodige passende technische en organisatorische maatregelen om Persoonsgegevens te beveiligen tegen verlies of enige vorm van onrechtmatige Verwerking.
6.2 De Verwerkingsverantwoordelijke erkent dat de door de Verwerker genomen beveiligingsmaatregelen passend zijn gelet op alle relevante aspecten van de Verwerking, waaronder de stand van de techniek en het kader van de Overeenkomst.
Artikel 7 Verplichtingen Verwerkingsverantwoordelijke
7.1 Verwerkingsverantwoordelijke is ten aanzien van de Verwerking van Persoonsgegevens krachtens deze Verwerkersovereenkomst de "verwerkingsverantwoordelijke", aangezien zij alleen of samen met anderen, het doel van en de middelen voor de Verwerking van persoonsgegevens vaststelt.
7.2 Verwerkingsverantwoordelijke gaat ermee akkoord en staat ervoor in dat de Verwerking van de Persoonsgegevens overeenkomstig de Verwerkersovereenkomst in overeenstemming is met de AVG.
7.3 Rekening houdend met de aard van de Verwerking en de hem ter beschikking gestelde informatie verleent Verwerker alle redelijkerwijs benodigde bijstand aan Verwerkingsverantwoordelijke bij het doen nakomen van de verplichtingen uit hoofde van de artikelen 32 tot en met 36 AVG.
Artikel 8 Beëindiging
8.1 De Verwerkersovereenkomst vangt aan op de dag der ondertekening van de Overeenkomst en eindigt op het tijdstip dat de Overeenkomst eindigt, met dien verstande dat artikel 8.2 van kracht blijft na beëindiging van de Verwerkersovereenkomst totdat de Verwerker de verplichting overeenkomstig artikel 8.2 integraal heeft nageleefd.
8.2 Op eerste verzoek van Verwerkingsverantwoordelijke zal Verwerker in geval van beëindiging van de Verwerkersovereenkomst alle aan haar ter beschikking gestelde Persoonsgegevens aan Verwerkingsverantwoordelijke retourneren en alle digitale kopieën van Persoonsgegevens vernietigen, tenzij de Verwerker Unierechtelijk of lidstaatrechtelijk verplicht is om de Persoonsgegevens op te slaan.
Is Verwerkingsverantwoordelijke van oordeel dat vernietiging niet mag plaatsvinden, dan zal zij Verwerker daarvan schriftelijk op de hoogte stellen. Verwerker garandeert in dat geval de vertrouwelijkheid van de Persoonsgegevens jegens Verwerkingsverantwoordelijke en zal de Persoonsgegevens niet Verwerken behalve ter voldoening aan haar wettelijke verplichting of na schriftelijke opdracht van Verwerkingsverantwoordelijke.