Verwerkersovereenkomst

1. Definities

Begrippen met een hoofdletter die niet in deze Verwerkersovereenkomst zijn gedefinieerd, hebben de betekenis die daaraan is gegeven in de Gebruiksvoorwaarden of de AVG. In het bijzonder:

• Persoonsgegevens: alle informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon die door de Verwerker namens de Verwerkingsverantwoordelijke wordt verwerkt op grond van de Gebruiksvoorwaarden.
• Betrokkene: een natuurlijke persoon op wie Persoonsgegevens betrekking hebben, in het bijzonder een Coachee.
• Subverwerker: een derde die door de Verwerker is ingeschakeld en die Persoonsgegevens namens de Verwerker verwerkt.
• Datalek: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging, de ongeoorloofde verstrekking van of de toegang tot Persoonsgegevens.

2. Onderwerp, duur en aard van de verwerking

1. Onderwerp. De Verwerker verwerkt Persoonsgegevens om de Dienst aan de Verwerkingsverantwoordelijke te leveren, zoals uiteengezet in de Gebruiksvoorwaarden.
2. Duur. De verwerking duurt voort zolang de Verwerkingsverantwoordelijke de Dienst gebruikt, vermeerderd met enige hieronder overeengekomen bewaartermijn na beëindiging.
3. Aard en doel. De verwerking bestaat uit de bewerkingen beschreven in Bijlage 1 en wordt uitsluitend uitgevoerd om de Dienst te leveren.
4. Categorieën van Betrokkenen en Persoonsgegevens. Zie Bijlage 1.

3. Rollen en instructies

1. De Verwerkingsverantwoordelijke is de verwerkingsverantwoordelijke van de Persoonsgegevens en de Verwerker is de verwerker, zoals deze begrippen in de AVG zijn gedefinieerd.
2. De Verwerker zal Persoonsgegevens uitsluitend verwerken op gedocumenteerde instructies van de Verwerkingsverantwoordelijke, ook met betrekking tot doorgiften aan derde landen, tenzij hij door het Unierecht of het lidstatelijke recht waaraan de Verwerker is onderworpen, anderszins wordt verplicht. In dat geval zal de Verwerker de Verwerkingsverantwoordelijke voorafgaand aan de verwerking van die wettelijke verplichting in kennis stellen, tenzij die wetgeving dit op zwaarwegende gronden van algemeen belang verbiedt.
3. De instructies van de Verwerkingsverantwoordelijke zijn opgenomen in de Gebruiksvoorwaarden, deze Verwerkersovereenkomst, de Documentatie en de configuratiekeuzes die de Verwerkingsverantwoordelijke binnen de Dienst maakt. De Verwerkingsverantwoordelijke kan aanvullende redelijke schriftelijke instructies geven die in overeenstemming zijn met de Dienst.
4. Indien de Verwerker van mening is dat een instructie inbreuk maakt op de AVG of andere toepasselijke wetgeving inzake gegevensbescherming, zal hij de Verwerkingsverantwoordelijke onverwijld op de hoogte stellen.
5. De Verwerkingsverantwoordelijke is verantwoordelijk voor het waarborgen dat hij beschikt over een geldige rechtsgrond voor de verwerking die hij de Verwerker opdraagt uit te voeren, met inbegrip van, waar van toepassing, het verkrijgen van uitdrukkelijke toestemming op grond van artikel 9, lid 2, onder a, AVG voor bijzondere categorieën van persoonsgegevens.

4. Vertrouwelijkheid

De Verwerker zal ervoor zorgen dat elke persoon die gemachtigd is om Persoonsgegevens te verwerken, gebonden is aan een verplichting tot vertrouwelijkheid, hetzij contractueel hetzij op grond van een wettelijke geheimhoudingsplicht.

5. Beveiliging van de verwerking

1. Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de doeleinden van de verwerking en de risico's voor de rechten en vrijheden van natuurlijke personen, zal de Verwerker passende technische en organisatorische maatregelen treffen om een op het risico afgestemd beveiligingsniveau te waarborgen.
2. De huidige maatregelen worden beschreven in Bijlage 3. De Verwerker kan deze van tijd tot tijd bijwerken, mits het beveiligingsniveau niet wezenlijk wordt verlaagd.

6. Subverwerkers

1. De Verwerkingsverantwoordelijke verleent de Verwerker hierbij algemene toestemming om Subverwerkers in te schakelen. De huidige lijst van geautoriseerde Subverwerkers is uiteengezet in Bijlage 2.
2. Wanneer de Verwerker een nieuwe Subverwerker inschakelt of een bestaande vervangt, zal hij de Verwerkingsverantwoordelijke ten minste 30 dagen van tevoren op de hoogte stellen, per e-mail of via een in-product-melding. De Verwerkingsverantwoordelijke kan op redelijke gronden in verband met gegevensbescherming bezwaar maken.
3. Indien de Verwerkingsverantwoordelijke binnen 30 dagen na kennisgeving bezwaar maakt, zullen partijen te goeder trouw overleg voeren. Indien partijen geen overeenstemming kunnen bereiken over een oplossing, kan de Verwerkingsverantwoordelijke, als enige rechtsmiddel, het betreffende deel van de Dienst opzeggen door middel van schriftelijke kennisgeving. Beëindiging van het betreffende deel geeft de Verwerkingsverantwoordelijke geen recht op restitutie van reeds betaalde Vergoedingen voor perioden vóór beëindiging.
4. De Verwerker zal aan elke Subverwerker gegevensbeschermingsverplichtingen opleggen die niet minder beschermend zijn dan die welke in deze Verwerkersovereenkomst zijn uiteengezet, in het bijzonder door voldoende garanties te bieden voor passende technische en organisatorische maatregelen.
5. De Verwerker blijft jegens de Verwerkingsverantwoordelijke volledig aansprakelijk voor de nakoming van de verplichtingen van elke Subverwerker uit hoofde van zijn overeenkomst met de Verwerker.

7. Bijstand bij rechten van Betrokkenen

1. Rekening houdend met de aard van de verwerking, zal de Verwerker de Verwerkingsverantwoordelijke door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bijstaan bij het vervullen van diens plicht om verzoeken van Betrokkenen tot uitoefening van hun rechten uit hoofde van hoofdstuk III van de AVG te beantwoorden.
2. Indien de Verwerker een verzoek van een Betrokkene ontvangt, zal hij niet rechtstreeks op het verzoek reageren, behoudens voor zover wettelijk vereist, en zal hij de Betrokkene zonder onnodige vertraging doorverwijzen naar de Verwerkingsverantwoordelijke.

8. Bijstand bij andere verplichtingen van de Verwerkingsverantwoordelijke

Rekening houdend met de aard van de verwerking en de aan de Verwerker beschikbare informatie, zal de Verwerker de Verwerkingsverantwoordelijke bijstaan bij het waarborgen van de naleving van zijn verplichtingen uit hoofde van de artikelen 32 tot en met 36 AVG (beveiliging, melding van datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging).

9. Melding van datalekken

1. De Verwerker zal de Verwerkingsverantwoordelijke zonder onnodige vertraging, en in elk geval binnen 72 uur, op de hoogte stellen nadat hij kennis heeft gekregen van een Datalek dat de Persoonsgegevens van de Verwerkingsverantwoordelijke betreft.
2. De melding zal, waar mogelijk, het volgende bevatten: de aard van het lek, de categorieën en het geschatte aantal Betrokkenen en betrokken records, de waarschijnlijke gevolgen, en de maatregelen die zijn genomen of voorgesteld om het lek aan te pakken en de mogelijke nadelige gevolgen ervan te beperken.
3. Wanneer de Verwerker niet alle informatie tegelijkertijd kan verstrekken, kan hij deze in fasen verstrekken zonder verdere onnodige vertraging.
4. De melding of bijstand van de Verwerker uit hoofde van dit artikel is geen, en zal niet worden uitgelegd als, een erkenning van schuld of aansprakelijkheid.

10. Audits

1. De Verwerker stelt aan de Verwerkingsverantwoordelijke alle informatie ter beschikking die redelijkerwijs noodzakelijk is om aan te tonen dat aan deze Verwerkersovereenkomst en artikel 28 AVG wordt voldaan.
2. De primaire vorm van auditmedewerking van de Verwerker bestaat uit het verstrekken van: (a) actuele beveiligingscertificeringen en auditrapporten van onafhankelijke derden (waar beschikbaar); (b) antwoorden op beveiligingsvragenlijsten; en (c) de beschrijving van maatregelen in Bijlage 3.
3. Indien de in artikel 10.2 bedoelde materialen onvoldoende zijn om de naleving aan te tonen, kan de Verwerkingsverantwoordelijke, op eigen kosten en met ten minste 30 dagen schriftelijke voorafgaande kennisgeving, de verwerkingsactiviteiten van de Verwerker auditen via een onafhankelijke auditor die voor beide partijen redelijkerwijs aanvaardbaar is. Audits zullen: (a) beperkt blijven tot informatie die rechtstreeks relevant is voor de naleving van deze Verwerkersovereenkomst door de Verwerker; (b) plaatsvinden tijdens normale kantooruren; (c) niet vaker dan eenmaal per periode van 12 maanden plaatsvinden, behalve indien vereist door een toezichthoudende autoriteit of na een wezenlijk Datalek; en (d) onderworpen zijn aan vertrouwelijkheidsverplichtingen.
4. De auditor mag geen toegang krijgen tot gegevens van andere klanten, broncode of bedrijfsgeheimen, tenzij strikt noodzakelijk en met passende waarborgen.

11. Internationale doorgiften

1. Waar Persoonsgegevens worden verwerkt. De Verwerker verwerkt Persoonsgegevens primair binnen de Europese Economische Ruimte. Subverwerkers gevestigd buiten de EER zijn vermeld in Bijlage 2. De Verwerker zal Persoonsgegevens niet buiten de EER doorgeven, tenzij een passend doorgiftemechanisme uit hoofde van hoofdstuk V AVG van kracht is.
2. Verdere doorgiften door de Verwerker. Wanneer de Verwerker of een Subverwerker Persoonsgegevens verwerkt in een land buiten de EER waarvoor geen adequaatheidsbesluit van de Europese Commissie is genomen, baseert de Verwerker zich op de EU-modelcontractbepalingen (Uitvoeringsbesluit (EU) 2021/914 van de Commissie), Module 3 (verwerker-naar-verwerker), met inbegrip van eventuele aanvullende maatregelen die vereist zijn naar aanleiding van het Schrems II-arrest. De Verwerkingsverantwoordelijke verleent de Verwerker een aansluitingsrecht (docking right) om, voor zover noodzakelijk, Subverwerkers namens de Verwerkingsverantwoordelijke als partijen aan die bepalingen toe te voegen. Wanneer de Verwerker Persoonsgegevens ter beschikking stelt aan een buiten de EER gevestigde Verwerkingsverantwoordelijke, komen partijen overeen dat de doorgifte (indien in die richting een beperkte doorgifte plaatsvindt) wordt beheerst door de jurisdictiespecifieke bepalingen van paragrafen 11.3–11.6, in plaats van Module 4 van de EU-modelcontractbepalingen.
3. Verwerkingsverantwoordelijken in het Verenigd Koninkrijk. Wanneer de Verwerkingsverantwoordelijke in het Verenigd Koninkrijk is gevestigd of de Persoonsgegevens anderszins onderworpen zijn aan het UK GDPR: (a) worden verwijzingen naar de AVG in deze Verwerkersovereenkomst geacht mede te verwijzen naar het UK GDPR voor zover van toepassing; (b) wordt het UK Addendum bij de EU-modelcontractbepalingen (uitgegeven door het Information Commissioner's Office krachtens Section 119A van de UK Data Protection Act 2018) door verwijzing opgenomen en is het van toepassing op elke verdere doorgifte vanuit het Verenigd Koninkrijk die naar Brits recht een beperkte doorgifte zou vormen; (c) is de UK ICO de bevoegde toezichthoudende autoriteit voor aangelegenheden die door het UK GDPR worden beheerst.
4. Zwitserse Verwerkingsverantwoordelijken. Wanneer de Verwerkingsverantwoordelijke in Zwitserland is gevestigd of de Persoonsgegevens anderszins onderworpen zijn aan de Zwitserse Federale Wet inzake gegevensbescherming (FADP), worden de wijzigingen van de Zwitserse FDPIC op de EU-modelcontractbepalingen door verwijzing opgenomen en worden verwijzingen naar de AVG in deze Verwerkersovereenkomst geacht mede te verwijzen naar de FADP. De Zwitserse FDPIC is de bevoegde toezichthoudende autoriteit.
5. Verwerkingsverantwoordelijken in de Verenigde Staten. Wanneer de Verwerkingsverantwoordelijke in de Verenigde Staten is gevestigd of Persoonsgegevens verwerkt die onderworpen zijn aan privacywetten van Amerikaanse staten (waaronder CCPA / CPRA, VCDPA, CPA, CTDPA, UCPA en opvolgende of gelijkwaardige wetten), treedt de Verwerker op als "service provider" of "processor" onder die wetten: de Verwerker zal (a) Persoonsgegevens niet verkopen of delen ("sell or share"); (b) Persoonsgegevens niet bewaren, gebruiken of openbaar maken buiten de directe zakelijke relatie; (c) Persoonsgegevens niet combineren met persoonlijke informatie afkomstig uit andere bronnen, behalve voor zover toegestaan onder toepasselijk recht. De Verwerker zal op redelijk verzoek meewerken aan de nalevingsverplichtingen van de Verwerkingsverantwoordelijke onder die wetten.
6. Overige Verwerkingsverantwoordelijken buiten de EER. Wanneer de Verwerkingsverantwoordelijke is gevestigd in een land dat hierboven niet wordt behandeld, zullen partijen te goeder trouw samenwerken om een jurisdictiespecifiek contractueel mechanisme in te voeren dat redelijkerwijs wordt vereist door het op de Verwerkingsverantwoordelijke toepasselijke recht inzake gegevensbescherming.
7. Transfer Impact Assessments. De Verwerker houdt Transfer Impact Assessments bij voor wezenlijke doorgiften aan buiten de EER gevestigde Subverwerkers en verstrekt op redelijk verzoek een samenvatting, met inachtneming van vertrouwelijkheid.

12. Teruggave of verwijdering van Persoonsgegevens

1. Bij beëindiging van de Dienst of naar keuze van de Verwerkingsverantwoordelijke zal de Verwerker binnen 30 dagen alle Persoonsgegevens verwijderen of aan de Verwerkingsverantwoordelijke retourneren en bestaande kopieën verwijderen, behoudens voor zover het Unierecht of het lidstatelijke recht opslag vereist.
2. De Verwerker zal binnen de Dienst een selfservice-exportmechanisme bieden waarmee de Verwerkingsverantwoordelijke Persoonsgegevens kan ophalen vóór verwijdering.
3. De standaard back-upbewaartermijn van de Verwerker is een rollend venster van 30 dagen. Persoonsgegevens in back-ups worden in de gewone gang van zaken overschreven en blijven onderworpen aan deze Verwerkersovereenkomst totdat zij worden overschreven.
4. Op schriftelijk verzoek van de Verwerkingsverantwoordelijke, nadat de in artikel 12.1 bedoelde handelingen zijn afgerond, zal de Verwerker schriftelijk bevestigen dat de Persoonsgegevens overeenkomstig dit artikel 12 zijn verwijderd of geretourneerd.

13. Aansprakelijkheid

De aansprakelijkheid van partijen op grond van deze Verwerkersovereenkomst is onderworpen aan de aansprakelijkheidsbeperkingen die in de Gebruiksvoorwaarden zijn opgenomen. Niets in de Gebruiksvoorwaarden beperkt de aansprakelijkheid van een partij op grond van artikel 82 AVG jegens een Betrokkene.

14. Looptijd en beëindiging

Deze Verwerkersovereenkomst treedt in werking op de ingangsdatum van de Gebruiksvoorwaarden en blijft van kracht zolang de Verwerker Persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke. Bepalingen die naar hun aard de beëindiging dienen te overleven (waaronder 4, 7, 10, 11, 12 en 13) zullen de beëindiging overleven.

15. Overig

1. Indien een bepaling van deze Verwerkersovereenkomst ongeldig of niet-afdwingbaar wordt geacht, blijven de overige bepalingen volledig van kracht.
2. Op deze Verwerkersovereenkomst is Nederlands recht van toepassing en geschillen zijn onderworpen aan de exclusieve bevoegdheid van de bevoegde rechter te Amsterdam, in lijn met de Gebruiksvoorwaarden.
3. In geval van discrepantie tussen taalversies van deze Verwerkersovereenkomst, prevaleert de Engelse versie.

Bijlage 1 - Details van de verwerking

Bijlage 2 - Subverwerkers

De volgende Subverwerkers zijn door de Verwerkingsverantwoordelijke geautoriseerd vanaf de ingangsdatum van deze Verwerkersovereenkomst. De lijst weerspiegelt de entiteiten die de Verwerker gebruikt om de Dienst te leveren. Een bijgewerkte lijst wordt ook gepubliceerd in het Privacybeleid op faronto.com/privacy.

Bijlage 3 - Technische en organisatorische beveiligingsmaatregelen