Bijlage gegevensverwerking

 

Deze Bijlage vormt een integraal onderdeel van het Contract en wordt aangegaan door:

 

1. (i) De Klant ("Data Exporter")
2. (ii) IQUALIF ("Data Importer")

 

Elk zijnde een "Partij" en gezamenlijk "Partijen".

 

Preambule

WAAR de Data Importer professionele softwarediensten, computer- en gerelateerde diensten levert (zoals browsers met geavanceerde zoekfuncties);

WAAR de Data Importer, krachtens het Contract, heeft afgesproken de in het Contract gespecificeerde diensten te leveren aan de Data Exporter (de "Diensten");

WAAR, door het leveren van de Diensten, de Data Importer toegang krijgt tot of profiteert van de informatie van de Data Exporter of andere personen met een (potentiële) relatie met de Data Exporter, en deze informatie kan worden gekwalificeerd als persoonsgegevens binnen de betekenis van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en het vrije verkeer van dergelijke gegevens ("GDPR") en andere toepasselijke gegevensbeschermingswetten.

WAAR deze Bijlage de voorwaarden bevat die van toepassing zijn op de verzameling, verwerking en het gebruik van dergelijke persoonsgegevens door de Data Importer in haar hoedanigheid als de gemachtigde gegevensverwerker van de Data Exporter, om te waarborgen dat de Partijen voldoen aan de toepasselijke gegevensbeschermingswetgeving.

 

DERHALVE, en om de Partijen in staat te stellen hun relatie wettelijk voort te zetten, hebben de Partijen deze Bijlage als volgt afgesloten:

Deel 1

 

1. Structuur van het document en definities

1.1 Structuur

Deze Bijlage bestaat uit verschillende delen als volgt:

 

Deel 1:	bevat algemene bepalingen, bijvoorbeeld over de gebruikte definities in deze Bijlage, naleving van lokale wetten, timing en beëindiging
Deel 2:	bevat de inhoud van het ongewijzigde standaardcontractclausules-document
Bijlage 1.1 van Deel 2:	bevat de details van de verwerkingsactiviteiten die door de Data Importer aan de Data Exporter worden verstrekt als de gemachtigde gegevensverwerker (inclusief de verwerking, aard en doel van de verwerking, het type persoonsgegevens en de categorieën betrokkenen) onder deze Bijlage
Bijlage 2 van Deel 2:	bevat een beschrijving van de technische en organisatorische beveiligingsmaatregelen van de Data Importer, die worden toegepast in verband met alle verwerkingsactiviteiten beschreven in Bijlage 1.1 van Deel 2
Deel 3:	bevat de handtekeningen van de Partijen die gebonden zijn aan deze Bijlage en identificeert elke Data Importer

 

1.2 Terminologie en definities

Voor de doeleinden van deze Bijlage zijn de terminologie en definities zoals gebruikt in de GDPR van toepassing (In de tekst van het standaardcontractclausules-document in Deel 2, waar gedefinieerde termen niet met hoofdletters worden geschreven). 

 

"Lidstaat"	betekent een land dat lid is van de Europese Unie of de Europese Economische Ruimte
"Bijzondere categorieën van (persoonlijke) gegevens"	verwijst naar persoonsgegevens die raciale of etnische afkomst, politieke opvattingen, religieuze of filosofische overtuigingen, of lidmaatschap van een vakbond onthullen, en genetische gegevens, biometrische gegevens, indien verwerkt voor het doel van het uniek identificeren van een persoon, gegevens over gezondheid, gegevens over het seksleven of de seksuele oriëntatie van een persoon
"Standaard Contractuele Clausules"	betekent de Standaard Contractuele Clausules voor het overdragen van persoonsgegevens van verwerkingsverantwoordelijken gevestigd in derde landen, onder Besluit 2010/87/EU van de Commissie van 5 februari 2010, dat is gewijzigd door het Uitvoeringsbesluit (EU) 2016/2297 van de Commissie van 16 december 2016
"Verwerker"	betekent elke verwerker, binnen of buiten de EU/EEA, die akkoord gaat persoonsgegevens te ontvangen van de Data Importer of een andere verwerker van de Data Importer, uitsluitend voor de verwerkingstaken die door de Data Exporter worden uitgevoerd na de overdracht, in overeenstemming met de instructies van de Data Exporter, de voorwaarden van deze Clausules en het Contract met de Data Importer

 

 

2. Verplichtingen van de Data Exporter

2.1 De Data Exporter is verplicht te zorgen voor naleving van alle toepasselijke verplichtingen onder de GDPR en andere relevante gegevensbeschermingswetten die op de Data Exporter van toepassing zijn, en deze naleving te kunnen aantonen zoals vereist door artikel 5(2) van de GDPR. De Data Exporter garandeert dat de Data Importer voorafgaande toestemming van de betrokkenen heeft verkregen conform artikel 6(a) van de GDPR en dat hij heeft voldaan aan zijn verplichting om de betrokkenen te informeren conform artikelen 13 en 14 van de GDPR.

2.2 De Data Exporter moet de Data Importer de betreffende bestanden van de verwerkingsactiviteiten verstrekken conform artikel 30(1) van de GDPR, gerelateerd aan de Diensten onder deze Bijlage, voor zover nodig voor de Data Importer om te voldoen aan de verplichtingen onder artikel 30(2) van de GDPR.

2.3 De Data Exporter moet een functionaris voor gegevensbescherming of vertegenwoordiger aanstellen voor zover vereist door de toepasselijke gegevensbeschermingswetgeving. De Data Exporter is verplicht de contactgegevens van de gegevensbeschermingsfunctionaris of -vertegenwoordiger, indien aanwezig, aan de Data Importer te verstrekken.

2.4 De Data Exporter bevestigt voorafgaand aan de voltooiing van de verwerking, door acceptatie van deze Bijlage, dat de technische en organisatorische beveiligingsmaatregelen van de Data Importer, zoals uiteengezet in Bijlage 2 van Deel 2, passend en voldoende zijn om de rechten van de betrokkene te beschermen en bevestigt dat de Data Importer voldoende waarborgen biedt in dit opzicht.

 

3. Naleving van lokale wetgeving

Om te voldoen aan de vereisten voor de implementatie van de verwerkers krachtens artikel 28 van de GDPR, zijn de volgende amendementen van toepassing:

 

3.1 Instructies

1. (i) De Data Exporter instrueert de Data Importer om persoonsgegevens alleen te verwerken namens de Data Exporter. De instructies van de Data Exporter worden gegeven in deze Bijlage en in het Contract. De Data Exporter is verplicht te zorgen dat alle instructies die aan de Data Importer worden gegeven, voldoen aan de toepasselijke gegevensbeschermingswetten. De Data Importer moet persoonsgegevens alleen verwerken in overeenstemming met de instructies van de Data Exporter, tenzij anders vereist door de Europese Unie of de wet van de Lidstaat (in dat laatste geval geldt clausule 3.2 (iv) (c) van Deel 1).
2. (ii) Alle andere instructies die verder gaan dan de instructies in deze Bijlage of in het Contract, moeten worden opgenomen in de onderhavige Bijlage en het Contract. Als de uitvoering van deze aanvullende instructie kosten met zich meebrengt voor de Data Importer, moet de Data Importer de Data Exporter vooraf informeren over deze kosten en een uitleg geven voordat hij de instructie uitvoert. Pas nadat de Data Exporter de acceptatie van deze kosten voor de uitvoering van de instructie heeft bevestigd, zal de Data Importer deze aanvullende instructie uitvoeren. De Data Exporter moet aanvullende instructies schriftelijk geven, tenzij urgentie of andere specifieke omstandigheden een andere vorm vereisen (bijvoorbeeld mondeling, elektronisch). Instructies in een andere vorm dan schriftelijk moeten schriftelijk worden bevestigd en zonder vertraging door de Data Exporter worden goedgekeurd.
3. 1. Tenzij de Data Exporter de rectificatie, verwijdering of beperking van persoonsgegevens zelf kan uitvoeren, kunnen de instructies ook betrekking hebben op de rectificatie, verwijdering en/of beperking van persoonsgegevens zoals uiteengezet in clausule 3.3 van Deel 1.
4. 2. De Data Importer moet de Data Exporter onmiddellijk informeren als hij van mening is dat een instructie in strijd is met de GDPR of andere toepasselijke gegevensbeschermingsbepalingen van de Europese Unie of een Lidstaat ("Betwiste Instructie"). Als de Data Importer van mening is dat een instructie in strijd is met de GDPR of andere toepasselijke gegevensbeschermingsbepalingen, is hij niet verplicht deze Betwiste Instructie uit te voeren. Als de Data Exporter de Betwiste Instructie bevestigt na ontvangst van informatie van de Data Importer en zijn verantwoordelijkheid erkent voor de Betwiste Instructie, zal de Data Importer deze uitvoeren, tenzij de Betwiste Instructie betrekking heeft op (i) de implementatie van technische en organisatorische maatregelen, (ii) de rechten van de Betrokkenen of (iii) de inzet van verwerkers. In deze gevallen kan de Data Importer contact opnemen met een bevoegde toezichthoudende autoriteit om de betwiste instructie wettelijk te laten beoordelen. Als de toezichthoudende autoriteit de betwiste instructie als legaal verklaart, zal de Data Importer deze uitvoeren. Clausule 3.1 (ii) van Deel 1 blijft van toepassing.

 

3.2 Verplichtingen van de Data Importer

1. (i) De Data Importer moet zorgen dat personen die door hem gemachtigd zijn persoonsgegevens te verwerken namens de Data Exporter, met name werknemers van de Data Importer en werknemers van eventuele onderaannemers, zich hebben verplicht tot geheimhouding of onderworpen zijn aan een passende wettelijke geheimhoudingsplicht, en dat deze personen die toegang hebben tot persoonsgegevens deze verwerken in overeenstemming met de instructies van de Data Exporter.
2. (ii) De Data Importer moet de technische en organisatorische beveiligingsmaatregelen implementeren zoals uiteengezet in Bijlage 2 van Deel 2 voordat hij de persoonsgegevens verwerkt namens de Data Exporter. De Data Importer mag de technische en organisatorische beveiligingsmaatregelen wijzigen indien deze niet minder bescherming bieden dan die in Bijlage 2 van Deel 2.
3. (iii) De Data Importer moet de Data Exporter op verzoek informatie verstrekken om naleving van de verplichtingen van de Data Importer onder deze Bijlage aan te tonen. De Partijen stemmen ermee in dat deze informatieverplichting wordt voldaan door de Data Exporter een auditrapport te verstrekken (met betrekking tot beveiliging, systeemtoegankelijkheid en vertrouwelijkheid) ("Auditrapport"). Indien aanvullende auditactiviteiten wettelijk vereist zijn, kan de Data Exporter verzoeken dat inspecties worden uitgevoerd door de Data Exporter of een door de Data Exporter aangewezen auditor, onder voorwaarde dat deze auditor een geheimhoudingsverklaring ondertekent naar redelijke tevredenheid van de Data Importer ("Audit"). Deze Audit is onderworpen aan de volgende voorwaarden: (i) voorafgaande formele schriftelijke acceptatie door de Data Importer; en (ii) de kosten voor de On-Site Audit zijn voor rekening van de Data Exporter. De Data Exporter moet een auditrapport opstellen dat de resultaten en observaties van de On-Site Audit samenvat ("On-Site Audit Rapport"). De On-Site Audit Rapporten en de Auditrapporten zijn vertrouwelijke informatie van de Data Importer en mogen niet worden gedeeld met derden, tenzij wettelijk vereist of met toestemming van de Data Importer.
4. (iv) De Data Importer heeft de verplichting de Data Exporter zonder onnodige vertraging te informeren:
   1. a. over elk wettelijk bindend verzoek tot openbaarmaking van persoonsgegevens door een opsporingsautoriteit, tenzij anders verboden, zoals een verbod onder het strafrecht ter bescherming van de vertrouwelijkheid van een politieonderzoek
   2. b. over elke klacht en verzoek dat rechtstreeks van een betrokkene is ontvangen (bijvoorbeeld over toegang, rectificatie, verwijdering, beperking van verwerking, gegevensoverdracht, bezwaar tegen gegevensverwerking, geautomatiseerde besluitvorming) zonder op dat verzoek te reageren, tenzij de Data Importer daartoe gemachtigd is
   3. c. indien de Data Importer of verwerker wettelijk verplicht is, onder het recht van de Europese Unie of van de Lidstaat waaraan de Data Importer of verwerker onderworpen is, de persoonsgegevens te verwerken buiten de instructies van de Data Exporter, voorafgaand aan dergelijke verwerking, tenzij de wetten van de Europese Unie of de Lidstaat dergelijke verwerking op vitale openbare belangen verbieden, in welk geval de kennisgeving aan de Data Exporter de wettelijke vereiste onder dat recht vermeldt; of
   4. d. indien de Data Importer een inbreuk op persoonsgegevens vaststelt, uitsluitend vanwege zichzelf of haar onderaannemer, die de persoonsgegevens van de Data Exporter zou beïnvloeden, in welk geval de Data Importer de Data Exporter zal helpen bij haar verplichting, in overeenstemming met de toepasselijke gegevensbeschermingswet, om de betrokkenen en, indien van toepassing, de toezichthoudende autoriteiten te informeren door de beschikbare informatie te verstrekken, conform artikel 33(3) van de GDPR.
   5. (v) Op verzoek van de Data Exporter moet de Data Importer de Data Exporter bijstaan bij haar verplichting om een gegevensbeschermingseffectbeoordeling uit te voeren die vereist kan zijn onder artikel 35 van de GDPR en een voorafgaande raadpleging die vereist kan zijn onder artikel 36 van de GDPR, betreffende de diensten die de Data Importer aan de Data Exporter levert onder deze Bijlage, door de benodigde informatie te verstrekken. De Data Importer is slechts verplicht deze hulp te bieden indien de Data Exporter haar verplichting niet op andere wijze kan vervullen. De Data Importer zal de kosten van dergelijke hulp aan de Data Exporter meedelen. Zodra de Data Exporter heeft bevestigd dat hij deze kosten kan dragen, zal de Data Importer deze hulp bieden.
   6. (vi) Aan het einde van de dienstverlening kan de Data Exporter de terugkeer van de persoonsgegevens die door de Data Importer onder deze Bijlage zijn verwerkt, binnen een maand na de diensten vragen. Tenzij de wetgeving van de Lidstaat of de Europese Unie vereist dat de Data Importer deze persoonsgegevens bewaart of behoudt, zal de Data Importer alle dergelijke persoonsgegevens verwijderen na de periode van één maand, ongeacht of ze op verzoek van de Data Exporter zijn teruggegeven of niet.

 

3.3 Rechten van betrokkenen

1.  
   1. (i) De Data Exporter beheert en reageert op verzoeken van betrokkenen. De Data Importer is niet verplicht rechtstreeks op verzoeken van betrokkenen te reageren.
   2. (ii) Indien de Data Exporter de hulp van de Data Importer nodig heeft bij het verwerken en reageren op verzoeken van betrokkenen, zal de Data Exporter een verdere instructie geven conform clausule 3.1 (ii) van Deel 1. De Data Importer zal de Data Exporter ondersteunen met de volgende passende en technische organisatorische maatregelen om te reageren op verzoeken om uitoefening van de rechten van betrokkenen zoals uiteengezet in Hoofdstuk III van de GDPR:
   3. a. Voor verzoeken om informatie zal de Data Importer de Data Exporter alleen de informatie verstrekken die vereist is in artikelen 13 en 14 van de GDPR, indien deze niet zelfstandig kan worden gevonden door de Data Exporter.
   4. b. Voor verzoeken om toegang (artikel 15 van de GDPR) zal de Data Importer alleen de informatie verstrekken die aan de betrokkenen moet worden verstrekt voor het genoemde verzoek, indien deze niet zelfstandig kan worden gevonden.
   5. c. Voor verzoeken om rectificatie (artikel 16 van de GDPR), verwijdering (artikel 17 van de GDPR), beperking van verwerking (artikel 18 van de GDPR) of gegevensoverdracht (artikel 20 van de GDPR), en alleen indien de Data Exporter deze niet zelf kan rectificeren, verwijderen, beperken of aan een derde partij kan doorgeven, zal de Data Importer de Data Exporter de mogelijkheid bieden om de persoonsgegevens te rectificeren, te verwijderen, te beperken of door te geven, of indien dit niet mogelijk is, zal hij de hulp bieden om dit te doen.
   6. d. Voor de kennisgeving over rectificatie, verwijdering of beperking van verwerking (artikel 19 van de GDPR), zal de Data Importer de Data Exporter helpen door alle ontvangers te informeren indien de Data Exporter daarom verzoekt en indien de Data Exporter de situatie niet zelf kan herstellen.
   7. e. Voor het uitoefenen van het recht van bezwaar door een betrokkene (artikelen 21 en 22 van de GDPR) zal de Data Exporter bepalen of het bezwaar gegrond is en hoe ermee om te gaan.
   8. (iii) De hulpverplichtingen van de Data Importer zijn beperkt tot persoonsgegevens die binnen haar infrastructuur worden verwerkt (bijvoorbeeld databases, systemen, applicaties die eigendom zijn van of door de Data Importer worden geleverd).
   9. (iv) De Data Exporter bepaalt of een betrokkene de rechten van betrokkenen kan uitoefenen zoals beschreven in clausule 3.1 van Deel 1 en adviseert de Data Importer over de mate waarin de hulp zoals beschreven in clausules 3.3 (ii), (iii) van Deel 1 noodzakelijk is.
   10. (v) Indien de Data Exporter aanvullende of gewijzigde technische en organisatorische maatregelen verlangt om de rechten van betrokkenen te waarborgen die verder gaan dan de hulp die door de Data Importer wordt geboden onder sub-clausule 3.3 (ii), (iii) van Deel 1, zal de Data Importer de Data Exporter informeren over de kosten van het implementeren van dergelijke aanvullende of gewijzigde maatregelen. Zodra de Data Exporter heeft bevestigd dat hij deze kosten kan dragen, zal de Data Importer deze maatregelen implementeren om de Data Exporter te helpen bij het reageren op de verzoeken van betrokkenen.
   11. (vi) Zonder afbreuk te doen aan de reikwijdte van clausule 3.3 (v) van Deel 1, is de Data Exporter verplicht de Data Importer te vergoeden voor redelijke kosten die hij maakt bij het reageren op de verzoeken van betrokkenen.

 

3.4 Sub-verwerking

1.  
   1. (i) De Data Exporter machtigt de Data Importer om sub-verwerkers in te schakelen voor de levering van diensten onder deze Bijlage. De Data Importer moet dergelijke Data verwerkers zorgvuldig selecteren. De Data Exporter keurt de in Bijlage 1.1 van Deel 2 genoemde verwerkers goed.
   2. (ii) De Data Importer zal haar verplichtingen onder deze Bijlage overdragen aan de verwerker(s) voor zover van toepassing op de uitbestede diensten.
   3. (iii) De Data Importer kan een andere geschikte en betrouwbare verwerker(s) ontslaan, vervangen of aanstellen. Indien de Data Exporter schriftelijk daarom verzoekt, moet de Data Importer de onderstaande procedure volgen:
2.  
   1. a. De Data Importer informeert de Data Exporter voorafgaand aan wijzigingen in de lijst van verwerkers zoals vermeld in clausule 3.4 (i) van Deel 1. Als de Data Exporter binnen dertig dagen na ontvangst van de kennisgeving geen bezwaar maakt, worden de extra verwerkers geacht te zijn geaccepteerd.
   2. b. Als de Data Exporter een legitieme reden heeft om bezwaar te maken tegen een extra verwerker, zal hij dit vooraf schriftelijk melden aan de Data Importer binnen dertig dagen na ontvangst van de kennisgeving en vóórdat de dienst van de Data Importer in gebruik wordt genomen. Indien de Data Exporter bezwaar maakt, kan de Data Importer het bezwaar opheffen door een van de volgende opties (naar eigen keuze): (A) de Data Importer annuleert haar plannen om een extra verwerker te gebruiken voor de persoonsgegevens van de Data Exporter; (B) de Data Importer neemt de door de Data Exporter gevraagde corrigerende maatregelen (het bezwaar wordt geannuleerd) en gebruikt de extra verwerker voor de persoonsgegevens van de Data Exporter; (C) de Data Importer stopt met het leveren van of de Data Exporter stemt ermee in om (tijdelijk of permanent) een bepaald aspect van de dienst niet te gebruiken dat het gebruik van de verdere verwerker van de Data Exporter zou inhouden.
3.  
   1. (iv) Als de verwerker buiten de EU/EEA gevestigd is in een land dat niet als voldoende beschermd wordt erkend volgens een besluit van de Europese Commissie, zal de Data Importer maatregelen nemen om te voldoen aan een adequaat niveau van gegevensbescherming conform de GDPR (deze maatregelen kunnen onder andere bestaan uit - maar niet beperkt tot - het gebruik van gegevensverwerkingsovereenkomsten op basis van de clausules van het EU-model, overdracht aan zelf-gecertificeerde verwerkers binnen het kader van het EU-US Privacy Shield of een vergelijkbaar programma).

 

3.5 Verloop

De vervaldatum van deze Bijlage is gelijk aan de vervaldatum van het overeenkomstige Contract. Behoudens anders in deze Bijlage bepaald, blijven de rechten en verplichtingen met betrekking tot beëindiging hetzelfde als die in het Contract.

 

4. Beperking van aansprakelijkheid

4.1 Elke partij handelt volgens haar verplichtingen onder deze Bijlage en de toepasselijke gegevensbeschermingswetgeving.

4.2 Elke aansprakelijkheid met betrekking tot een schending van de verplichtingen onder deze Bijlage of de toepasselijke gegevensbeschermingswetgeving is onderworpen aan en wordt beheerst door de aansprakelijkheidsbepalingen zoals uiteengezet in, of van toepassing op, het Contract, tenzij anders in deze Bijlage bepaald. Indien de aansprakelijkheid wordt beheerst door de aansprakelijkheidsbepalingen van het Contract, worden alle aansprakelijkheden die onder deze Bijlage ontstaan, geacht te zijn ontstaan onder het Contract.

 

5. Algemene bepalingen

5.1 Indien er inconsistenties of discrepanties zijn tussen Deel 1 en Deel 2 van deze Bijlage, heeft Deel 2 voorrang. Zelfs in dat geval blijft Deel 1, dat verder gaat dan Deel 2 (d.w.z. de voorwaarden van de Standaardclausules), geldig, mits niet in strijd met Deel 2.

5.2 Indien er een discrepantie ontstaat tussen de bepalingen van deze Bijlage en die van andere contracten die de partijen binden, heeft deze Bijlage voorrang met betrekking tot de gegevensbeschermingsverplichtingen van de partijen. Bij twijfel of bepalingen in andere contracten betrekking hebben op de gegevensbeschermingsverplichtingen, heeft deze Bijlage voorrang.

5.3 Indien een bepaling van deze Bijlage ongeldig of niet-afdwingbaar is, blijven de overige bepalingen volledig van kracht. De ongeldige of niet-afdwingbare bepaling wordt zodanig gewijzigd dat deze geldig en afdwingbaar is, terwijl zoveel mogelijk de intentie van de partijen wordt behouden, of - indien dat niet mogelijk is - wordt geïnterpreteerd alsof het ongeldige of niet-afdwingbare deel nooit deel uitmaakte van het contract. Dit geldt ook indien er een omissie in deze Bijlage is.

5.5 Voor zover nodig kunnen de Partijen wijzigingen verzoeken in Deel 1, clausule 3 (Naleving van lokale wetgeving) of andere delen van de Bijlage om te voldoen aan interpretaties, richtlijnen of bevelen van bevoegde autoriteiten van de Unie of de Lidstaten, nationale handhavingsbepalingen, of andere juridische ontwikkelingen met betrekking tot de GDPR of andere voorwaarden voor delegatie aan entiteiten betrokken bij gegevensverwerking, en specifiek met betrekking tot het gebruik van de Standaardcontractclausules in de GDPR. De voorwaarden van de Standaardcontractclausules mogen niet worden gewijzigd of vervangen tenzij de Europese Commissie dit uitdrukkelijk goedkeurt (bijvoorbeeld door nieuwe adequate clausules en gegevensbeschermingsnormen).

5.6 Elke verwijzing in deze Bijlage naar de "Clausules" wordt geïnterpreteerd als verwijzend naar alle bepalingen van deze Bijlage, tenzij anders vermeld.

5.7 De keuze van het recht in Deel 2, clausule 9, is van toepassing op het gehele Contract.

 

6. Persoonsgegevens die door de partijen voor persoonlijke doeleinden worden verzonden en verwerkt (overdracht van de verwerkingsverantwoordelijke naar de verwerkingsverantwoordelijke)

6.1 De Partijen weten volledig dat bepaalde persoonsgegevens zullen worden overgedragen van de Data Exporter naar de Data Importer en vice versa, en dat dergelijke gegevens door elke Partij voor haar eigen doeleinden worden verwerkt. Met betrekking tot dergelijke persoonsgegevens beïnvloedt dit de andere bepalingen van deze Bijlage (behalve voor deze clausule 6).

6.2 De Data Exporter mag persoonsgegevens met betrekking tot het personeel van de Data Importer overdragen aan de Data Importer, inclusief informatie over beveiligingsincidenten, of andere documenten of bestanden die door de Data Exporter in verband met de Diensten van het personeel van de Data Importer zijn gemaakt of opgesteld. De Data Importer mag dergelijke persoonsgegevens voor haar eigen doeleinden verwerken, met name in haar professionele relaties met het personeel van de Data Importer, voor kwaliteitscontrole en training, of voor zakelijke doeleinden.

6.3 De Data Importer mag persoonsgegevens overdragen aan de Data Exporter, inclusief de naam en contactgegevens van het personeel van de Data Importer. De Data Exporter mag dergelijke persoonsgegevens voor haar eigen doeleinden verwerken.

6.4 Beide Partijen zullen voldoen aan alle toepasselijke gegevensbeschermingswetten, inclusief de GDPR, bij het verzamelen, verwerken en gebruiken van dergelijke persoonsgegevens die van de andere Partij onder clausule 1 van Deel 1 zijn ontvangen. In het bijzonder zullen beide Partijen adequate beveiligingsmaatregelen nemen, die een vergelijkbaar beschermingsniveau bieden als de beveiligingsmaatregelen in Bijlage 2 van Deel 2. Elke toegang tot dergelijke persoonsgegevens wordt beperkt tot de noodzaak om deze te kennen.

6.5 Beide Partijen moeten dergelijke persoonsgegevens zo snel mogelijk verwijderen nadat de doelstellingen zijn bereikt.

Deel 2

 

BESLUIT VAN DE COMMISSIE

op 5 februari 2010

over standaardcontractclausules voor de overdracht van persoonsgegevens aan verwerkers gevestigd in derde landen onder Richtlijn 95/46/EG van het Europees Parlement en de Raad

 

 

 

Clausule 1

Definities

In de zin van de clausules:

a) 'persoonsgegevens', 'bijzondere categorieën gegevens', 'verwerking', 'verwerkingsverantwoordelijke', 'verwerker', 'betrokkene' en 'toezichthoudende autoriteit' hebben dezelfde betekenis als in Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en het vrije verkeer van dergelijke gegevens (1);

b) de 'Data Exporter' is de verwerkingsverantwoordelijke die de persoonsgegevens overdraagt;

c) de 'Data Importer' is de verwerker die akkoord gaat persoonsgegevens te ontvangen van de Data Exporter, bedoeld om te worden verwerkt namens de Data Exporter na de overdracht, in overeenstemming met haar instructies en onder de voorwaarden van deze clausules, en die niet onder het mechanisme van een derde land dat een adequaat beschermingsniveau biedt volgens artikel 25(1) van Richtlijn 95/46/EG valt; (d) 'Verwerker' betekent de verwerker die door de Data Importer of door een andere verwerker van de Data Importer wordt ingeschakeld en die akkoord gaat persoonsgegevens te ontvangen van de Data Importer of een andere verwerker van de Data Importer, uitsluitend voor verwerkingsactiviteiten die worden uitgevoerd namens de Data Exporter na de overdracht, in overeenstemming met de instructies van de Data Exporter, onder de voorwaarden van deze Clausules en onder de voorwaarden van de schriftelijke onderaannemingsovereenkomst;

e) "toepasselijke gegevensbeschermingswet" betekent de wetgeving die de fundamentele rechten en vrijheden van natuurlijke personen beschermt, inclusief het recht op privacy met betrekking tot de verwerking van persoonsgegevens, en die van toepassing is op een verwerkingsverantwoordelijke in de Lidstaat waar de Data Exporter is gevestigd;

f) “technische en organisatorische maatregelen met betrekking tot beveiliging” betekent maatregelen bedoeld om persoonsgegevens te beschermen tegen onopzettelijke of onwettige vernietiging of onopzettelijk verlies, wijziging, ongeoorloofde openbaarmaking of toegang, in het bijzonder waar de verwerking het overdragen van gegevens via netwerken omvat, en tegen alle andere onwettige vormen van verwerking.

Clausule 2

Details van de overdracht

De details van de overdracht, inclusief, indien van toepassing, bijzondere categorieën van persoonsgegevens, worden gespecificeerd in Bijlage 1, die een integraal onderdeel vormt van deze clausules.

Clausule 3

Derde-begunstigde clausule

1. De betrokkene kan deze Clausule, Clausule 4(b) tot (i), Clausule 5(a) tot (e) en (g) tot (j), Clausule 6 (1) en (2), Clausule 7, Clausule 8(2) en Clausules 9 tot 12 afdwingen tegen de Data Exporter als derde-begunstigde.

2. De betrokkene kan deze Clausule, Clausule 5(a) tot (e) en (g), Clausule 6, Clausule 7, Clausule 8(2) en Clausules 9 tot 12 afdwingen tegen de Data Importer wanneer de Data Exporter fysiek is verdwenen of niet meer bestaat volgens de wet, tenzij al haar wettelijke verplichtingen via contract of wettelijke werking zijn overgedragen aan de opvolgende entiteit, waarop de rechten en verplichtingen van de Data Exporter dan overgaan, en waartegen de betrokkene zijn rechten kan afdwingen. De betrokkene kan deze Clausules ook afdwingen tegen de verwerker, maar alleen in gevallen waarin de Data Exporter en de Data Importer fysiek zijn verdwenen, niet meer bestaan of insolvent zijn, tenzij alle wettelijke verplichtingen van de Data Exporter via contract of wettelijke werking zijn overgedragen aan de wettelijke opvolger, tegen wie de rechten en verplichtingen van de Data Exporter dan zijn gevestigd, en waartegen de betrokkene zijn rechten kan afdwingen. De aansprakelijkheid van de verwerker is beperkt tot haar eigen verwerkingactiviteiten onder deze clausules.

4. De partijen hebben geen bezwaar dat de betrokkene wordt vertegenwoordigd door een vereniging of andere instantie indien hij dat wenst en indien de nationale wet dit toestaat.

Clausule 4

Verplichtingen van de Data Exporter

De Data Exporter aanvaardt en garandeert het volgende:

a) de verwerking, inclusief de daadwerkelijke overdracht van persoonsgegevens, is uitgevoerd en zal blijven worden uitgevoerd in overeenstemming met de relevante bepalingen van de toepasselijke gegevensbeschermingswet (en, indien van toepassing, is gemeld aan de bevoegde autoriteiten van de Lidstaat waar de Data Exporter is gevestigd) en schendt niet de relevante bepalingen van die Staat;

b) zij hebben de Data Importer geïnstrueerd, en zullen dit blijven doen gedurende de verwerkingstijd, om de overdracht van persoonsgegevens uitsluitend te laten plaatsvinden namens de Data Exporter en in overeenstemming met de toepasselijke gegevensbeschermingswet en deze clausules;

c) de Data Importer zal voldoende waarborgen bieden met betrekking tot de technische en organisatorische beveiligingsmaatregelen zoals gespecificeerd in Bijlage 2 van dit contract;

d) na evaluatie van de vereisten van de toepasselijke gegevensbeschermingswet, zijn de beveiligingsmaatregelen adequaat om persoonsgegevens te beschermen tegen onopzettelijke of onwettige vernietiging of verlies, wijziging, ongeoorloofde openbaarmaking of toegang, in het bijzonder waar de verwerking het overdragen van gegevens via een netwerk omvat, en tegen alle andere onwettige vormen van verwerking, en zorgen voor een beveiligingsniveau dat passend is bij de risico's van de verwerking en de aard van de te beschermen gegevens, rekening houdend met het technologische niveau en de kosten van implementatie;

e) zij zullen zorgen voor naleving van de beveiligingsmaatregelen;

f) indien de overdracht betrekking heeft op bijzondere categorieën gegevens, is de betrokkene geïnformeerd of zal hij worden geïnformeerd vóór de overdracht dat zijn of haar gegevens kunnen worden overgedragen aan een derde land dat geen adequaat beschermingsniveau biedt volgens Richtlijn 95/46/EG;

g) zij zullen elke kennisgeving ontvangen van de Data Importer of een verwerker onder Clausules 5(b) en 8(3) doorsturen naar de toezichthoudende gegevensbeschermingsautoriteit indien zij besluiten de overdracht voort te zetten of de opschorting op te heffen;

h) zij zullen, indien daarom gevraagd, aan betrokkenen een kopie van deze Clausules, exclusief Bijlage 2, en een samenvatting van de beveiligingsmaatregelen verstrekken, evenals een kopie van eventuele verdere onderaannemingsovereenkomsten die onder deze Clausules zijn gesloten, tenzij de Clausules of de overeenkomst commerciële informatie bevatten, in welk geval zij die informatie kunnen verwijderen;

i) in geval van onderaanneming van de gegevensverwerking, wordt de verwerking uitgevoerd in overeenstemming met Clausule 11 door een verwerker die ten minste hetzelfde niveau van gegevensbescherming en rechten van betrokkenen biedt als de Data Importer onder deze Clausules; en

j) zij zullen zorgen voor naleving van Clausule 4(a) tot (i).

Clausule 5

Verplichtingen van de Data Importer

De Data Importer aanvaardt en garandeert het volgende:

a) zij zullen de persoonsgegevens alleen verwerken namens de Data Exporter en onder diens instructies en deze clausules; indien zij om welke reden dan ook niet kunnen voldoen, zullen zij de Data Exporter zo snel mogelijk informeren, waarna de Data Exporter de gegevensoverdracht kan opschorten en/of het contract kan beëindigen;

b) zij hebben geen reden te geloven dat de toepasselijke wetgeving hen verhindert de instructies van de Data Exporter uit te voeren en de verplichtingen uit hoofde van het contract na te komen, en indien die wetgeving wijzigt op een wijze die een materieel nadelig effect kan hebben op de garanties en verplichtingen onder de Clausules, zullen zij de Data Exporter hiervan zonder vertraging op de hoogte brengen, waarna de Data Exporter de gegevensoverdracht kan opschorten en/of het contract kan beëindigen; (c) zij hebben de technische en organisatorische beveiligingsmaatregelen geïmplementeerd zoals gespecificeerd in Bijlage 2 van dit contract voordat zij de overdracht van persoonsgegevens uitvoeren;

d) zij zullen de Data Exporter zonder onnodige vertraging informeren:

i) over elk wettelijk bindend verzoek tot openbaarmaking van persoonsgegevens door een opsporingsautoriteit, tenzij anders vermeld, zoals een strafrechtelijk verbod om de vertrouwelijkheid van een politieonderzoek te beschermen;

ii) over elke incidentele of ongeautoriseerde toegang; en

iii) over elk verzoek dat rechtstreeks van de betrokkenen is ontvangen zonder erop te reageren, tenzij zij daartoe gemachtigd zijn;

e) zij zullen alle vragen van de Data Exporter over haar verwerking van de overgedragen persoonsgegevens snel en correct behandelen en handelen volgens de mening van de toezichthoudende autoriteit over de verwerking van de overgedragen gegevens;

f) op verzoek van de Data Exporter zullen zij hun gegevensverwerkingsfaciliteiten onderwerpen aan een audit van de verwerkingsactiviteiten die onder deze clausules vallen, uitgevoerd door de Data Exporter of een door de Data Exporter aangewezen onafhankelijke toezichthouder met de vereiste professionele kwalificaties, onder voorwaarde van geheimhouding en met toestemming van de Data Exporter, waar passend met de goedkeuring van de toezichthoudende autoriteit;

g) zij zullen aan de betrokkene, indien hij daarom vraagt, een kopie van deze Clausules of een bestaande onderaannemingsovereenkomst verstrekken, tenzij de Clausules of de overeenkomst commerciële informatie bevatten, in welk geval zij die informatie kunnen verwijderen, behalve Bijlage 2, dat wordt vervangen door een samenvatting van de beveiligingsmaatregelen, omdat de betrokkene anders geen kopie kan verkrijgen van de Data Exporter;

h) in het geval van vertrouwelijke onderaanneming van de gegevensverwerking, zal hij de Data Exporter vooraf informeren en schriftelijke toestemming verkrijgen;

i) de verwerkingsdiensten die door de verwerker worden geleverd, moeten voldoen aan Clausule 11;

j) zij zullen zo snel mogelijk een kopie van elke onderaannemingsovereenkomst voor gegevensverwerking die zij onder deze Clausules sluiten, aan de Data Exporter sturen.

Clausule 6

Aansprakelijkheid

1. De partijen stemmen ermee in dat elke betrokkene die schade heeft geleden door een schending van de verplichtingen genoemd in Clausule 3 of Clausule 11 door een partij of door een verwerker, vergoeding kan eisen van de Data Exporter voor de geleden schade.

2. Indien een betrokkene wordt verhinderd een vordering tot schadevergoeding in te stellen zoals bedoeld in lid 1 tegen de Data Exporter wegens het niet-naleven door de Data Importer of haar verwerker van enige verplichting uit hoofde van Clausule 3 of Clausule 11 omdat de Data Exporter fysiek is verdwenen, niet meer bestaat volgens de wet of insolvent is, stemt de Data Importer ermee in dat de betrokkene een klacht kan indienen tegen haar alsof zij de Data Exporter was, tenzij alle wettelijke verplichtingen van de Data Exporter via contract of wettelijke werking zijn overgedragen aan haar opvolger, tegen wie de betrokkene zijn rechten kan uitoefenen. De aansprakelijkheid van de verwerker is beperkt tot haar eigen verwerkingactiviteiten onder deze clausules.

3. Indien een betrokkene wordt verhinderd de vordering bedoeld in de leden 1 en 2 tegen de Data Exporter of de Data Importer wegens schending door de verwerker van haar verplichtingen onder Clausule 3 of Clausule 11 omdat de Data Exporter en de Data Importer fysiek zijn verdwenen, niet meer bestaan of insolvent zijn, stemt de verwerker ermee in dat de betrokkene een klacht kan indienen over haar eigen verwerkingactiviteiten volgens deze clausules alsof zij de Data Exporter of de Data Importer was, tenzij alle wettelijke verplichtingen van de Data Exporter of de Data Importer via contract of wettelijke werking zijn overgedragen aan de wettelijke opvolger, tegen wie de betrokkene zijn rechten kan uitoefenen. De aansprakelijkheid van de verwerker is beperkt tot haar eigen verwerkingactiviteiten volgens deze clausules.

 

 

Clausule 7

Mediation en jurisdictie

1. De Data Importer stemt ermee in dat indien de betrokkene onder de clausules het recht van derden-begunstigde uitoefent en/of vergoeding eist voor de geleden schade, hij de beslissing van de betrokkene accepteert:

a) het geschil voorlegt aan bemiddeling door een onafhankelijke persoon of, indien passend, de toezichthoudende autoriteit;

b) het geschil voorlegt aan de rechtbanken van de Lidstaat waar de Data Exporter is gevestigd.

2. De partijen stemmen ermee in dat de keuze van de betrokkene geen invloed heeft op het procedurele of substantieve recht van de betrokkene om herstel te zoeken volgens andere bepalingen van nationale of internationale wetgeving.

Clausule 8

Samenwerking met toezichthoudende autoriteiten

1. De Data Exporter stemt ermee in een kopie van dit contract te deponeren bij de toezichthoudende autoriteit indien deze dat verlangt of indien dergelijke deponering is voorzien in de toepasselijke gegevensbeschermingswet.

2. De partijen stemmen ermee in dat de toezichthoudende autoriteit controles kan uitvoeren bij de Data Importer en elke verwerker onder dezelfde voorwaarden als controles bij de Data Exporter, conform de toepasselijke gegevensbeschermingswet.

3. De Data Importer zal de Data Exporter zo spoedig mogelijk informeren over de aanwezigheid van wetgeving betreffende de Data Importer of een verwerker die het verificatieproces volgens lid 2 verhindert. In dat geval kan de Data Exporter de in clausule 5(b) genoemde maatregelen nemen.

Clausule 9

Toepasselijk recht

De clausules worden toegepast en beheerst door het recht van de Lidstaat waar de Data Exporter is gevestigd.

Clausule 10

Aanpassing van het contract

De partijen verbinden zich ertoe deze clausules niet te wijzigen. Ze blijven vrij andere commerciële clausules op te nemen die zij noodzakelijk achten, mits deze niet in strijd zijn met deze clausules.

Clausule 11

Vervolgonderaanneming

1. De Data Importer mag geen van haar verwerkingsactiviteiten die zij namens de Data Exporter onder deze clausules uitvoert, uitbesteden zonder voorafgaande schriftelijke toestemming van de Data Exporter. De Data Importer mag haar verplichtingen onder deze clausules alleen uitbesteden met toestemming van de Data Exporter, via een schriftelijke overeenkomst met de verwerker die dezelfde verplichtingen oplegt als deze clausules. Indien de verwerker niet aan haar verplichtingen kan voldoen, blijft de Data Importer volledig verantwoordelijk tegenover de Data Exporter voor de naleving ervan.

2. De voorafgaande schriftelijke overeenkomst tussen de Data Importer en de verwerker moet ook een derde-begunstigde clausule bevatten zoals uiteengezet in Clausule 3 voor gevallen waarin de betrokkene niet in staat is een schadeclaim in te dienen tegen de Data Exporter of de Data Importer omdat deze fysiek is verdwenen, niet meer bestaat of insolvent is, tenzij alle wettelijke verplichtingen van de Data Exporter via contract of wettelijke werking zijn overgedragen aan haar opvolger, tegen wie de rechten en verplichtingen van de Data Exporter dan zijn gevestigd. De aansprakelijkheid van de verwerker moet beperkt blijven tot haar eigen verwerkingactiviteiten volgens deze clausules.

3. De bepalingen met betrekking tot gegevensbescherming bij onderaanneming van de gegevensverwerking zoals bedoeld in lid 1 worden beheerst door het recht van de Lidstaat waar de Data Exporter is gevestigd.

4. De Data Exporter houdt een lijst bij van de onderaannemingsovereenkomsten voor gegevensverwerking die onder deze clausules zijn gesloten en door de Data Importer zijn gemeld volgens clausule 5(j), die minstens jaarlijks wordt bijgewerkt. Deze lijst wordt ter inzage gelegd bij de gegevensbeschermingsautoriteit van de Data Exporter.

Clausule 12

Verplichting na beëindiging van gegevensverwerking

1. De Partijen stemmen ermee in dat na voltooiing van de gegevensverwerking de Data Importer en de verwerker alle overgedragen persoonsgegevens en kopieën daarvan teruggeeft aan de Data Exporter, of alle dergelijke gegevens verwijdert en het bewijs van verwijdering aan de Data Exporter verstrekt, tenzij wetgeving de Data Importer belemmert om alle of een deel van de overgedragen persoonsgegevens terug te geven of te verwijderen. In dat geval garandeert de Data Importer dat zij de vertrouwelijkheid van de overgedragen persoonsgegevens waarborgt en dat zij de gegevens niet langer actief verwerkt.

2. De Data Importer en de verwerker zorgen ervoor dat, indien daarom gevraagd door de Data Exporter en/of de toezichthoudende autoriteit, zij hun middelen voor gegevensverwerking onderwerpen aan verificatie van de maatregelen zoals bedoeld in lid 1.