Bijlage gegevensverwerking

Deze Bijlage maakt integraal deel uit van het Contract en wordt aangegaan door en tussen : 

1. (i) De Klant (« Gegevensexporteur ») ; en
2. (ii) IQUALIF (« Gegevensimporteur »),

ieder hierna een « Partij » en gezamenlijk de « Partijen ».

Overwegingen

Aangezien de Gegevensimporteur professionele softwarediensten, IT-diensten en gelijksoortige diensten levert (zoals browsers met geavanceerde zoekfuncties) ;

Aangezien, krachtens het Contract heeft de Gegevensimporteur zich bereid verklaard de in het Contract gespecificeerde diensten aan de Gegevensexporteur te leveren (de « Diensten ») ;

Aangezien, bij het leveren van de Diensten de Gegevensimporteur toegang krijgt tot of profiteert van toegang tot informatie van de Gegevensexporteur of informatie over andere personen die (mogelijk) een relatie hebben met de Gegevensexporteur, en dergelijke informatie persoonsgegevens kan zijn in de zin van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (« AVG ») en andere toepasselijke gegevensbeschermingswetten ;

Aangezien deze Bijlage de algemene voorwaarden bevat die van toepassing zijn op het verzamelen, verwerken en gebruiken van deze persoonsgegevens door de Gegevensimporteur als verwerkte partij in opdracht van de Gegevensexporteur, met als doel ervoor te zorgen dat de partijen voldoen aan de toepasselijke gegevensbeschermingswetgeving.

DERHALVE, en om de Partijen in staat te stellen hun relatie voort te zetten op een wijze die in overeenstemming is met de wet, zijn de Partijen als volgt overeengekomen:

Deel 1

1. Structuur van het document en definities

1.1 Structuur

Deze Bijlage bestaat uit verschillende delen, als volgt :

Deel 1 :	bevat de algemene bepalingen, bijvoorbeeld betreffende de in deze Bijlage gebruikte definities, de naleving van lokale wetten, de duur en beëindiging ;
Deel 2 :	bevat de ongewijzigde hoofdtekst van de Standaardcontractbepalingen ;
Bijlage 1.1 en volgend Deel 2 :	bevat details over de verwerkingsactiviteiten die door de Gegevensimporteur voor de Gegevensexporteur worden uitgevoerd als verwerker in opdracht (inclusief het onderwerp van de verwerking, de aard en het doel van de verwerking, het type persoonsgegevens en de categorieën van betrokkenen) krachtens deze Bijlage ;
Bijlage 2 van Deel 2 :	bevat een beschrijving van de technische en organisatorische beveiligingsmaatregelen van de Gegevensimporteur, die consistent worden toegepast met betrekking tot alle verwerkingsactiviteiten beschreven in Bijlage 1.1 en volgend Deel 2 ;
Deel 3 :	bevat de handtekeningen van de Partijen die verklaren door deze Bijlage gebonden te zijn en identificeert elke Gegevensimporteur.

1.2 Terminologie en definities

Voor de toepassing van deze Bijlage zijn de terminologie en definities uit de AVG van toepassing (ook in de hoofdtekst van de Standaardcontractbepalingen in Deel 2, waar de gedefinieerde termen niet met een hoofdletter worden aangeduid). Daarnaast, 

« État membre"	betekent een land dat behoort tot de Europese Unie of de Europese Economische Ruimte ;
« Catégories spéciales de données (personnelles) »	betreft persoonsgegevens waaruit iemands raciale of etnische afkomst, politieke opvattingen, religieuze of filosofische overtuigingen of vakbondslidmaatschap blijken, en genetische gegevens, biometrische gegevens indien verwerkt met het doel een natuurlijke persoon uniek te identificeren, gezondheidsgegevens of gegevens betreffende iemands seksueel leven of seksuele geaardheid ;
« Clauses types »	betekent de Standaardcontractbepalingen voor de doorgifte van persoonsgegevens door verwerkers gevestigd in derde landen, overeenkomstig Commissiebesluit 2010/87/EU van 5 februari 2010, zoals gewijzigd door Uitvoeringsbesluit (EU) 2016/2297 van de Commissie van 16 december 2016 ;
« Sous-traitant »	betekent elke verwerker, binnen of buiten de EU/EEA, die ermee instemt persoonsgegevens van de Gegevensimporteur of van een andere subverwerker van de Gegevensimporteur te ontvangen uitsluitend met het doel verwerkingsactiviteiten uit te voeren voor rekening van de Gegevensexporteur na de overdracht en in overeenstemming met de instructies van de Gegevensexporteur, de voorwaarden van deze Bijlage en het Contract met de Gegevensimporteur.

2. Verplichtingen van de Gegevensexporteur

2.1 De Gegevensexporteur is verplicht te voldoen aan alle toepasselijke verplichtingen ingevolge de AVG en aan alle andere toepasselijke gegevensbeschermingswetten die van toepassing zijn op de Gegevensexporteur, en deze naleving aan te tonen zoals vereist door Art. 5 (2) van de AVG. De Gegevensexporteur garandeert aan de Gegevensimporteur dat hij vooraf de toestemming van de betrokkenen heeft verkregen overeenkomstig artikel 6 (a) van de AVG en zijn informatieplicht tegenover de betrokkenen heeft nageleefd overeenkomstig de artikelen 13 en 14 van de AVG.

2.2 De Gegevensexporteur is verplicht de relevante registers van verwerkingsactiviteiten aan de Gegevensimporteur te verstrekken overeenkomstig Art. 30 (1) van de AVG met betrekking tot de Diensten krachtens deze Bijlage, voor zover nodig opdat de Gegevensimporteur kan voldoen aan zijn verplichting krachtens Art. 30 (2) van de AVG. 

2.3 De Gegevensexporteur dient, voor zover vereist door de toepasselijke gegevensbeschermingswetgeving, een functionaris gegevensbescherming of een vertegenwoordiger aan te wijzen. De Gegevensexporteur is verplicht de contactgegevens van die functionaris of vertegenwoordiger, indien van toepassing, aan de Gegevensimporteur te verstrekken. 

2.4. De Gegevensexporteur bevestigt vóór het verrichten van de verwerking, door aanvaarding van deze Bijlage, dat de technische en organisatorische beveiligingsmaatregelen van de Gegevensimporteur, zoals gedefinieerd in Bijlage 2 bij Deel 2, geschikt en toereikend zijn om de rechten van de betrokkene te beschermen en bevestigt dat de Gegevensimporteur daartoe voldoende waarborgen biedt.

3. Naleving van lokale wetgeving

Ter voldoening aan de vereisten voor de uitvoering van verwerkers overeenkomstig Art. 28 van de AVG, zijn de volgende wijzigingen van toepassing :

3.1 Instructies

1. (i) De Gegevensexporteur geeft de Gegevensimporteur de instructie persoonsgegevens uitsluitend namens de Gegevensexporteur te verwerken. De instructies van de Gegevensexporteur worden gegeven in deze Bijlage en in het Contract. De Gegevensexporteur is verplicht ervoor te zorgen dat alle aan de Gegevensimporteur gegeven instructies in overeenstemming zijn met de toepasselijke gegevensbeschermingswetten. De Gegevensimporteur is verplicht persoonsgegevens uitsluitend te verwerken in overeenstemming met de door de Gegevensexporteur verstrekte instructies, tenzij de Unie of de wet van een lidstaat anders voorschrijft (in dat laatste geval is Deel 1 Clausule 3.2 (iv) (c) van toepassing).
2. (ii) Alle andere instructies die verder gaan dan de instructies in deze Bijlage of in het Contract moeten binnen het toepassingsgebied van deze Bijlage en het Contract vallen. Indien de uitvoering van dergelijke aanvullende instructies kosten voor de Gegevensimporteur met zich meebrengt, zal deze de Gegevensexporteur over die kosten informeren en een uitleg verstrekken voordat de instructie wordt uitgevoerd. Pas nadat de Gegevensexporteur de acceptatie van die kosten heeft bevestigd, dient de Gegevensimporteur de aanvullende instructie uit te voeren. De Gegevensexporteur dient aanvullende instructies doorgaans schriftelijk te geven, tenzij urgentie of andere specifieke omstandigheden een andere vorm vereisen (bijv. mondeling, elektronisch). Instructies in een andere vorm dan schriftelijk dienen door de Gegevensexporteur onverwijld schriftelijk te worden bevestigd.

1. 1. Tenzij de Gegevensexporteur zelf de correctie, verwijdering of beperking van persoonsgegevens niet kan uitvoeren, kunnen de instructies ook betrekking hebben op de correctie, verwijdering en/of beperking van persoonsgegevens zoals uiteengezet in Deel 1 Clausule 3.3. 
2. 2. De Gegevensimporteur dient de Gegevensexporteur onmiddellijk te informeren als hij meent dat een instructie in strijd is met de AVG of andere toepasselijke gegevensbeschermingsbepalingen van de Unie of een lidstaat (« Betwiste instructie »). Indien de Gegevensimporteur van oordeel is dat een instructie in strijd is met de AVG of andere toepasselijke gegevensbeschermingsbepalingen van de Unie of een lidstaat, is de Gegevensimporteur niet verplicht de Betwiste instructie op te volgen. Indien de Gegevensexporteur de Betwiste instructie bevestigt na ontvangst van de informatie van de Gegevensimporteur en zijn verantwoordelijkheid voor de Betwiste instructie erkent, zal de Gegevensimporteur deze Betwiste instructie uitvoeren, tenzij deze betrekking heeft op (i) de uitvoering van technische en organisatorische maatregelen, (ii) de rechten van betrokkenen of (iii) het inschakelen van subverwerkers. In de gevallen (i) tot (iii) kan de Gegevensimporteur contact opnemen met een bevoegde toezichthoudende autoriteit om de Betwiste instructie juridisch te laten beoordelen door die autoriteit. Indien de toezichthoudende autoriteit verklaart dat de Betwiste instructie wettig is, moet de Gegevensimporteur de Betwiste instructie toepassen. Deel 1 Clausule 3.1 (ii) blijft van toepassing.

3.2 Verplichtingen van de Gegevensimporteur

1. (i) De Gegevensimporteur is verplicht ervoor te zorgen dat de door hem bevoegde personen die persoonsgegevens namens de Gegevensexporteur verwerken, in het bijzonder de werknemers van de Gegevensimporteur alsook de werknemers van eventuele Subverwerkers, gebonden zijn aan geheimhouding of aan een passende wettelijke geheimhoudingsplicht zijn onderworpen, en dat die personen die toegang hebben tot persoonsgegevens deze verwerken in overeenstemming met de instructies van de Gegevensexporteur.
2. (ii) De Gegevensimporteur is verplicht de technische en organisatorische beveiligingsmaatregelen zoals vastgesteld in Bijlage 2 bij Deel 2 uit te voeren vóórdat hij persoonsgegevens van de Gegevensexporteur verwerkt. De Gegevensimporteur kan de technische en organisatorische maatregelen van tijd tot tijd wijzigen, mits deze geen lagere bescherming bieden dan die vastgesteld in Bijlage 2 bij Deel 2.
3. (iii) De Gegevensimporteur moet op verzoek van de Gegevensexporteur informatie verstrekken om aan te tonen dat hij voldoet aan zijn verplichtingen krachtens deze Bijlage. Partijen komen overeen dat aan deze informatieplicht is voldaan door de Gegevensexporteur een auditrapport te verstrekken (dat de principes van beveiliging, systeembeschikbaarheid en vertrouwelijkheid dekt) (« Auditrapport »). Indien aanvullende audits wettelijk vereist zijn, kan de Gegevensexporteur verzoeken dat inspecties worden uitgevoerd door de Gegevensexporteur of een andere door de Gegevensexporteur gemachtigde auditor, onder voorwaarde dat die auditor een geheimhoudingsovereenkomst met de Gegevensimporteur tot tevredenheid van laatstgenoemde tekent (« Audit »). Deze Audit is onderworpen aan de volgende voorwaarden: (i) voorafgaande schriftelijke formele acceptatie door de Gegevensimporteur; en (ii) de Gegevensexporteur zal alle kosten dragen voortvloeiend uit of in verband met de ter plaatse Audit voor de Gegevensexporteur en de Gegevensimporteur. De Gegevensexporteur is verplicht een auditrapport op te stellen dat de resultaten en bevindingen van de ter plaatse Audit samenvat (« Rapport van ter plaatse Audit »). De Rapporten van ter plaatse Audit, evenals de Auditrapporten, zijn vertrouwelijke informatie van de Gegevensimporteur en mogen niet aan derden worden openbaar gemaakt, tenzij de toepasselijke gegevensbeschermingswet dit vereist of met instemming van de Gegevensimporteur. 
4. (iv) De Gegevensimporteur is verplicht de Gegevensexporteur zonder onnodig uitstel te informeren over:
   1. a. elke wettelijk bindende vordering tot openbaarmaking van persoonsgegevens door een handhavingsautoriteit, tenzij anders verboden, zoals een strafrechtelijk verbod ter bescherming van het vertrouwelijke karakter van een opsporingsonderzoek ;
   2. b. elke klacht en verzoek dat rechtstreeks door een betrokkene is ontvangen (bijv. met betrekking tot toegang, rectificatie, verwijdering, beperking van verwerking, gegevensoverdraagbaarheid, bezwaar tegen verwerking, geautomatiseerde besluitvorming) zonder op die vraag te reageren, tenzij de Gegevensimporteur hiertoe bevoegd is ;
   3. c. indien hij op grond van de wet van de Europese Unie of van de lidstaat waaraan de Gegevensimporteur of de Subverwerker is onderworpen, verplicht is persoonsgegevens te verwerken buiten de instructies van de Gegevensexporteur om, vóórdat hij die verwerking uitvoert, tenzij die wet van de EU of van de lidstaat het verstrekken van dergelijke informatie verbiedt op basis van zwaarwegende redenen van algemeen belang, in welk geval de kennisgeving aan de Gegevensexporteur de wettelijke vereiste krachtens die wet moet vermelden; of
   4. d. indien de Gegevensimporteur op de hoogte is van een inbreuk op persoonsgegevens die uitsluitend aan hemzelf of aan zijn subverwerker kan worden toegeschreven en die persoonsgegevens van de Gegevensexporteur die onder deze overeenkomst vallen zou beïnvloeden, in welk geval de Gegevensimporteur de Gegevensexporteur zal bijstaan in diens verplichting onder de toepasselijke gegevensbeschermingswetgeving om de betrokkenen en, indien van toepassing, de toezichthoudende autoriteiten te informeren door de informatie te verstrekken die hij bezit, overeenkomstig Art. 33 (3) van de AVG. 
   5. (v) Op verzoek van de Gegevensexporteur zal de Gegevensimporteur de Gegevensexporteur bijstaan bij diens verplichting tot het uitvoeren van een gegevensbeschermingseffectbeoordeling die vereist kan zijn onder Art. 35 van de AVG en bij een voorafgaande raadpleging die vereist kan zijn onder Art. 36 van de AVG met betrekking tot de door de Gegevensimporteur aan de Gegevensexporteur geleverde diensten krachtens deze Bijlage, door de benodigde en beschikbare informatie aan de Gegevensexporteur te verstrekken. De Gegevensimporteur is slechts verplicht deze bijstand te verlenen voor zover de Gegevensexporteur onmogelijk aan zijn verplichting kan voldoen op andere wijze. De Gegevensimporteur zal de Gegevensexporteur informeren over de kosten van deze bijstand. Zodra de Gegevensexporteur heeft bevestigd dat hij deze kosten kan dragen, zal de Gegevensimporteur hem die bijstand verlenen.
   6. (vi) Na het einde van de dienstverlening kan de Gegevensexporteur verzoeken om teruggave van de persoonsgegevens die door de Gegevensimporteur zijn verwerkt krachtens deze Bijlage binnen één maand na het einde van de diensten. Tenzij de wetgeving van de lidstaat of van de Europese Unie de Gegevensimporteur verplicht deze persoonsgegevens te bewaren of te bewaren, zal de Gegevensimporteur al deze persoonsgegevens of niet-persoonlijke data na de termijn van één maand verwijderen, ongeacht of deze al dan niet op verzoek aan de Gegevensexporteur zijn teruggegeven.

3.3 Rechten van betrokkenen

1. 1. (i) De Gegevensexporteur is primair verantwoordelijk voor de afhandeling van verzoeken van betrokkenen en voor het geven van de reactie daarop. De Gegevensimporteur is niet verplicht rechtstreeks aan betrokkenen te antwoorden. 
   2. (ii) Indien de Gegevensexporteur de hulp van de Gegevensimporteur nodig heeft bij het behandelen van verzoeken van betrokkenen en het geven van antwoorden, zal hij een aanvullende instructie geven, overeenkomstig Clausule 3.1 (ii) van Deel 1. De Gegevensimporteur zal de Gegevensexporteur bijstaan met passende en mogelijke technische en organisatorische maatregelen om te voldoen aan verzoeken tot uitoefening van de rechten van betrokkenen zoals uiteengezet in Hoofdstuk III van de AVG : 
   3. a. Met betrekking tot informatieverzoeken zal de Gegevensimporteur alleen de aan de Gegevensexporteur vereiste informatie verstrekken zoals bedoeld in Art. 13 en 14 van de AVG indien de Gegevensexporteur deze niet zelf kan achterhalen.
   4. b. Met betrekking tot verzoeken om inzage (Art. 15 van de AVG) zal de Gegevensimporteur alleen de aan de betrokkene te verstrekken informatie voor een dergelijk inzageverzoek, voor zover hij daarover beschikt, aan de Gegevensexporteur verstrekken indien laatstgenoemde die gegevens niet zelf kan achterhalen.
   5. c. Met betrekking tot verzoeken tot rectificatie (Art. 16 van de AVG), verzoeken tot verwijdering (Art. 17 van de AVG), verzoeken tot beperking van de verwerking (Art. 18 van de AVG) of verzoeken tot overdraagbaarheid (Art. 20 van de AVG), en alleen indien de Gegevensexporteur deze correctie of, naar gelang het geval, verwijdering, beperking of overdracht van persoonsgegevens aan een derde partij niet zelf kan uitvoeren, zal de Gegevensimporteur de Gegevensexporteur de mogelijkheid bieden om de persoonsgegevens te rectificeren of, naar gelang het geval, de persoonsgegevens te verwijderen, te beperken of de persoonsgegevens aan de derde partij te overdragen, of indien dit niet mogelijk is, de nodige hulp verlenen om de persoonsgegevens te rectificeren of, naar gelang het geval, te verwijderen, te beperken of over te dragen aan de derde partij.
   6. d. Met betrekking tot de kennisgeving inzake rectificatie, verwijdering of beperking van verwerking (Art. 19 van de AVG) zal de Gegevensimporteur de Gegevensexporteur helpen door alle ontvangers van persoonsgegevens die door de Gegevensimporteur als subverwerkers zijn ingeschakeld op de hoogte te brengen indien de Gegevensexporteur daarom verzoekt en indien de Gegevensexporteur dit zelf niet kan doen. 
   7. e. Met betrekking tot het recht van bezwaar uitgeoefend door een betrokkene (Art. 21 en 22 van de AVG) zal de Gegevensexporteur bepalen of het bezwaar gegrond is en hoe daarop te reageren.
   8. (iii) De hulpverplichtingen van de Gegevensimporteur zijn beperkt tot persoonsgegevens die binnen zijn infrastructuren worden verwerkt (bijv. databases, systemen, applicaties in eigendom of geleverd door de Gegevensimporteur).  
   9. (iv) De Gegevensexporteur dient te bepalen of een betrokkene het recht heeft de in Clausule 3.1 van Deel 1 beschreven rechten uit te oefenen en dient de Gegevensimporteur aan te geven in welke mate de in Clausules 3.3 (ii), (iii) van Deel 1 gespecificeerde hulp nodig is.
   10. (v) Indien de Gegevensexporteur, om te voldoen aan de rechten van betrokkenen, aanvullende of gewijzigde technische en organisatorische maatregelen verlangt die verder gaan dan de door de Gegevensimporteur verleende assistentie volgens Clausule 3.3 (ii), (iii) van Deel 1, zal de Gegevensimporteur de Gegevensexporteur informeren over de kosten voor de uitvoering van die aanvullende of gewijzigde technische en organisatorische maatregelen.  Zodra de Gegevensexporteur heeft bevestigd dat hij deze kosten kan dragen, zal de Gegevensimporteur die aanvullende of gewijzigde technische en organisatorische maatregelen implementeren om de Gegevensexporteur te helpen de verzoeken van betrokkenen af te handelen.
   11. (vi) Onverminderd de reikwijdte van Clausule 3.3 (v) van Deel 1, is de Gegevensexporteur verplicht de Gegevensimporteur te vergoeden voor redelijke uitgaven die voortvloeien uit verzoeken van betrokkenen.

3.4 Subverwerking

1. 1. (i) De Gegevensexporteur stemt in met het inschakelen van subverwerkers door de Gegevensimporteur voor de levering van diensten krachtens deze Bijlage. De Gegevensimporteur zal deze subverwerkers zorgvuldig selecteren. De Gegevensexporteur keurt de in Bijlage 1.1 aan het einde van Deel 2 vermelde subverwerkers goed.
   2. (ii) De Gegevensimporteur zal zijn verplichtingen onder deze Bijlage overdragen aan subverwerkers voor zover van toepassing op de uitbestede diensten. 
   3. (iii) De Gegevensimporteur kan naar eigen inzicht andere geschikte en betrouwbare subverwerkers ontslaan, vervangen of aanstellen. Indien de Gegevensexporteur hierom schriftelijk verzoekt, is de Gegevensimporteur verplicht de hieronder beschreven procedure te volgen :

1. 1. a. De Gegevensimporteur zal de Gegevensexporteur vooraf informeren over alle wijzigingen in de lijst van subverwerkers zoals bedoeld in Clausule 3.4 (i) van Deel 1. Indien de Gegevensexporteur geen bezwaar maakt krachtens Clausule 3.4. (b) van Deel 1 binnen dertig dagen na ontvangst van de kennisgeving van de Gegevensimporteur, worden de extra subverwerkers geacht te zijn aanvaard.
   2. b. Indien de Gegevensexporteur een gegronde reden heeft om zich te verzetten tegen een extra subverwerker, zal hij de Gegevensimporteur daar schriftelijk van op de hoogte stellen binnen dertig dagen na ontvangst van de kennisgeving van de Gegevensimporteur en in ieder geval vóór de ingebruikname van de dienstverlening door de Gegevensimporteur. Indien de Gegevensexporteur bezwaar maakt tegen het gebruik van een extra subverwerker, heeft de Gegevensimporteur het recht het bezwaar te verhelpen door een van de volgende opties te kiezen (naar zijn keuze): (A) de Gegevensimporteur zal zijn plannen voor het gebruik van de extra subverwerker met betrekking tot de persoonsgegevens van de Gegevensexporteur intrekken; (B) de Gegevensimporteur zal de door de Gegevensexporteur in zijn bezwaar geëiste correctieve maatregelen nemen (waardoor het bezwaar komt te vervallen) en de extra subverwerker gebruiken met betrekking tot de persoonsgegevens van de Gegevensexporteur; (C) de Gegevensimporteur kan stoppen met het leveren van of de Gegevensexporteur kan ermee instemmen tijdelijk of permanent een specifiek aspect van de dienst niet te gebruiken dat het gebruik van de extra subverwerker met betrekking tot de persoonsgegevens van de Gegevensexporteur zou inhouden.

1. 1. (iv) Indien de subverwerker buiten de EU/EEA is gevestigd in een land dat niet door een besluit van de Europese Commissie wordt erkend als het bieden van een adequaat beschermingsniveau, zal de Gegevensimporteur passende maatregelen treffen om te voldoen aan een adequaat beschermingsniveau overeenkomstig de AVG (dergelijke maatregelen kunnen onder meer – afhankelijk van het geval – het gebruik van gegevensverwerkingsovereenkomsten gebaseerd op de Modelclausules van de EU, overdracht aan zelf-gecertificeerde subverwerkers onder het EU-VS Privacy Shield of een soortgelijk programma omvatten).

3.5 Looptijd

De looptijd van deze Bijlage is identiek aan de looptijd van het betreffende Contract. Tenzij anders bepaald in deze Bijlage, zijn de rechten en verplichtingen met betrekking tot beëindiging identiek aan die in het Contract.

4. Aansprakelijkheidsbeperking

4.1 Elke partij is aansprakelijk voor haar verplichtingen voortvloeiend uit deze Bijlage en uit de toepasselijke gegevensbeschermingswetgeving.

4.2 Elke aansprakelijkheid die voortvloeit uit of verband houdt met een schending van de verplichtingen uit deze Bijlage of uit de toepasselijke gegevensbeschermingswetgeving wordt behandeld volgens de aansprakelijkheidsbepalingen in het Contract, of die op dit contract van toepassing zijn, en wordt door dat Contract beheerst, tenzij anders bepaald in deze Bijlage. Indien de aansprakelijkheid wordt geregeld door de aansprakelijkheidsbepalingen in het Contract of die op dit contract van toepassing zijn, zal aansprakelijkheid voortvloeiend uit deze Bijlage voor de berekening van aansprakelijkheidsplafonds of voor de toepassing van andere aansprakelijkheidsbeperkingen worden beschouwd als voortkomend uit het Contract.

5. Algemene bepalingen

5.1 Voor zover er tegenstrijdigheden of verschillen bestaan tussen Deel 1 en Deel 2 van deze Bijlage, prevaleren de bepalingen van Deel 2. Meer specifiek blijven die bepalingen van Deel 1 die louter verder gaan dan Deel 2 (namelijk de voorwaarden van de Standaardclausule) zonder deze te tegenspreken, van kracht.

5.2 Bij tegenstrijdigheden tussen de bepalingen van deze Bijlage en die van andere contracten die de partijen binden, prevaleren de bepalingen van deze Bijlage met betrekking tot de verplichtingen van de partijen betreffende gegevensbescherming. In geval van twijfel of de clausules van andere contracten betrekking hebben op de verplichtingen van de partijen met betrekking tot gegevensbescherming, prevaleert deze Bijlage.

5.3 Indien een bepaling van deze Bijlage ongeldig of onafdwingbaar blijkt te zijn, blijft de rest van deze Bijlage volledig van kracht. De ongeldige of onafdwingbare bepaling zal (i) indien nodig worden aangepast om haar geldigheid en afdwingbaarheid te waarborgen, met behoud van de bedoeling van de partijen voor zover mogelijk, of – indien dit niet mogelijk is – (ii) worden geïnterpreteerd alsof het ongeldige of onafdwingbare deel nooit deel heeft uitgemaakt van het contract.  Het voorgaande is eveneens van toepassing indien deze Bijlage een leemte bevat.

5.5 Voor zover nodig hebben de Partijen het recht wijzigingen te verlangen in Deel 1, Clausule 3 (Naleving van lokale wetgeving)  of andere delen van de Bijlage, om te voldoen aan interpretaties, richtsnoeren of bevelen van bevoegde instanties van de Unie of lidstaten, nationale uitvoeringsvoorschriften, of andere juridische ontwikkelingen met betrekking tot de AVG of andere delegatievoorwaarden die van toepassing zijn op alle entiteiten die bij de verwerking betrokken zijn, en specifiek met betrekking tot het gebruik van de Standaardclausules binnen het kader van de AVG. De voorwaarden van de Standaardclausules kunnen niet worden gewijzigd of vervangen, tenzij de Europese Commissie dit uitdrukkelijk goedkeurt (bijv. door nieuwe passende en standaard databeveiligingsclausules).

5.6 Elke verwijzing in deze Bijlage naar «Clauses » moet worden opgevat als verwijzend naar alle bepalingen van deze Bijlage, tenzij anders bepaald. 

5.7 De keuze van het recht in Deel 2, clausule 9, geldt voor het gehele Contract.

6. Persoonsgegevens die tussen partijen voor eigen doeleinden worden overgedragen en verwerkt (overdracht van verwerkingsverantwoordelijke aan verwerkingsverantwoordelijke)

6.1 Partijen zijn zich er goed van bewust dat bepaalde persoonsgegevens van de Gegevensexporteur aan de Gegevensimporteur en omgekeerd zullen worden overgedragen, en dat deze gegevens door elke partij voor eigen doeleinden worden verwerkt. Voor deze persoonsgegevens zijn de overige bepalingen van deze Bijlage niet van toepassing (met uitzondering van deze clausule 6).

6.2 De Gegevensexporteur kan persoonsgegevens overdragen met betrekking tot het personeel van de Gegevensimporteur, aan diezelfde Gegevensimporteur, waaronder informatie over beveiligingsincidenten, of alle andere documenten of bestanden die door de Gegevensexporteur zijn gemaakt of opgesteld in verband met de Diensten geleverd door het personeel van de Gegevensimporteur. De Gegevensimporteur kan deze persoonsgegevens voor eigen doeleinden verwerken, met name in het kader van zijn arbeidsrelaties met het personeel van de Gegevensimporteur, kwaliteitscontrole en opleiding, of commerciële doeleinden.

6.3. De Gegevensimporteur kan persoonsgegevens aan de Gegevensexporteur overdragen, waaronder naam en contactgegevens van het personeel van de Gegevensimporteur. De Gegevensexporteur kan dit soort persoonsgegevens voor eigen doeleinden verwerken.

6.4 Beide partijen voldoen aan alle toepasselijke gegevensbeschermingswetten, waaronder de AVG, bij het verzamelen, verwerken en gebruiken van deze persoonsgegevens die zij van de andere partij ontvangen krachtens deze clausule 1 van Deel 1. Beide partijen zullen met name passende beveiligingsmaatregelen nemen die een beschermingsniveau bieden dat vergelijkbaar is met de in Bijlage 2 van Deel 2 vermelde beveiligingsmaatregelen. Toegang tot deze persoonsgegevens wordt beperkt tot het strikt noodzakelijke.

6.5 Beide partijen zijn verplicht deze persoonsgegevens te verwijderen zodra de doeleinden zijn bereikt, en wel zo spoedig mogelijk.

Deel 2

 BESLUIT VAN DE COMMISSIE 

van 5 februari 2010

inzake de modelcontractbepalingen voor de doorgifte van persoonsgegevens aan verwerkers gevestigd in derde landen krachtens Richtlijn 95/46/EG van het Europees Parlement en de Raad

Eerste clausule 

Definities 

In de zin van de clausules: 

a) «persoonsgegevens», «bijzondere categorieën van gegevens», «verwerken/verwerking», «verantwoordelijke voor de verwerking», «verwerker», «betrokkene» en «toezichthoudende autoriteit» hebben dezelfde betekenis als in Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 inzake de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en het vrije verkeer van die gegevens ( 1 ); 

b) de «gegevensexporteur» is de verwerkingsverantwoordelijke die de persoonsgegevens doorgeeft; 

c) de «gegevensimporteur» is de verwerker die ermee instemt van de gegevensexporteur persoonsgegevens te ontvangen die na de overdracht voor rekening van laatstgenoemde zullen worden verwerkt in overeenstemming met diens instructies en de voorwaarden van deze clausules en die niet onder het mechanisme van een derde land valt dat adequaat bescherming biedt in de zin van artikel 25, lid 1, van Richtlijn 95/46/EG; d) de «subverwerker» is de verwerker ingeschakeld door de gegevensimporteur of door enige andere subverwerker van deze laatste, die ermee instemt van de gegevensimporteur of van enige andere subverwerker van deze laatste persoonsgegevens uitsluitend te ontvangen voor verwerkingsactiviteiten die na de overdracht voor rekening van de gegevensexporteur worden uitgevoerd in overeenstemming met diens instructies, onder de voorwaarden van deze clausules en overeenkomstig de bepalingen van het schriftelijke subverwerkingsovereenkomst; 

e) het «op gegevensbescherming toepasselijke recht» is de wetgeving die de vrijheid en fundamentele rechten van personen beschermt, met name het recht op privacy met betrekking tot de verwerking van persoonsgegevens, en die van toepassing is op een verwerkingsverantwoordelijke in de lidstaat waar de gegevensexporteur is gevestigd; 

f) de «technische en organisatorische beveiligingsmaatregelen» zijn maatregelen bedoeld om persoonsgegevens te beschermen tegen toevallige of onrechtmatige vernietiging, toevallig verlies, wijziging, ongeoorloofde openbaarmaking of toegang, met name wanneer de verwerking transmissie van gegevens via een netwerk vereist, en tegen alle andere onrechtmatige vormen van verwerking. 

Clausule 2 

Details van de overdracht 

De details van de overdracht en, in voorkomend geval, de bijzondere categorieën van persoonsgegevens zijn gespecificeerd in bijlage 1 die integraal deel uitmaakt van deze clausules. 

Clausule 3 

Derde-begunstigde clausule 

1. De betrokkene kan de in deze clausule, alsmede clausule 4, punten b) tot i), clausule 5, punten a) tot e) en g) tot j), clausule 6, leden 1 en 2, clausule 7, clausule 8, lid 2, en clausules 9 tot 12 als derde-begunstigde afdwingen tegen de gegevensexporteur. 

2. De betrokkene kan de in deze clausule alsmede clausule 5, punten a) tot e) en g), clausule 6, clausule 7, clausule 8, lid 2, en clausules 9 tot 12 afdwingen tegen de gegevensimporteur in gevallen waarin de gegevensexporteur materieel is verdwenen of niet meer juridisch bestaat, tenzij al zijn wettelijke verplichtingen zijn overgedragen, krachtens contract of krachtens wet, aan de rechtsopvolger, aan wie derhalve de rechten en verplichtingen van de gegevensexporteur toevallen en tegen wie de betrokkene deze clausules kan afdwingen. 

3. De betrokkene kan de in deze clausule alsmede clausule 5, punten a) tot e) en g), clausule 6, clausule 7, clausule 8, lid 2, en clausules 9 tot 12 afdwingen tegen de subverwerker, maar alleen in gevallen waarin de gegevensexporteur en de gegevensimporteur materieel zijn verdwenen, niet meer bestaan of insolvent zijn geworden, tenzij al hun wettelijke verplichtingen zijn overgedragen, krachtens contract of krachtens wet, aan de rechtsopvolger, aan wie derhalve de rechten en verplichtingen van de gegevensexporteur toevallen en tegen wie de betrokkene deze clausules kan afdwingen. De civiele aansprakelijkheid van de subverwerker dient te worden beperkt tot zijn eigen verwerkingsactiviteiten overeenkomstig deze clausules. 4. Partijen hebben geen bezwaar tegen vertegenwoordiging van de betrokkene door een vereniging of een andere organisatie indien de betrokkene dit wenst en het nationale recht dit toestaat. 

Clausule 4 

Verplichtingen van de gegevensexporteur 

De gegevensexporteur gaat akkoord met en garandeert het volgende: 

a) de verwerking, inclusief de eigenlijke overdracht van persoonsgegevens, is reeds en zal worden uitgevoerd in overeenstemming met de relevante bepalingen van het toepasselijke op gegevensbescherming toepasselijke recht (en, indien van toepassing, is zij gemeld aan de bevoegde autoriteiten van de lidstaat waar de gegevensexporteur is gevestigd) en is niet in strijd met de relevante bepalingen van die lidstaat; 

b) hij heeft de gegevensimporteur aangewezen en zal de gegevensimporteur gedurende de gehele duur van de verwerkende diensten persoonsgegevens laten verwerken voor de exclusieve rekening van de gegevensexporteur en in overeenstemming met het op gegevensbescherming toepasselijke recht en deze clausules; 

c) de gegevensimporteur zal voldoende garanties bieden met betrekking tot de technische en organisatorische beveiligingsmaatregelen zoals gespecificeerd in bijlage 2 van dit contract; 

d) na beoordeling van de eisen van het op gegevensbescherming toepasselijke recht, zijn de beveiligingsmaatregelen geschikt om persoonsgegevens te beschermen tegen toevallige of onrechtmatige vernietiging, toevallig verlies, wijziging, openbaarmaking of ongeoorloofde toegang, met name wanneer de verwerking transmissie van gegevens via een netwerk vereist, en tegen alle andere onrechtmatige vormen van verwerking en zij waarborgen een beveiligingsniveau dat aangepast is aan de risico's verbonden aan de verwerking en de aard van de te beschermen gegevens, rekening houdend met het technologische niveau en de kosten van uitvoering; 

e) hij zal toezien op de naleving van de beveiligingsmaatregelen; 

f) indien de overdracht bijzondere categorieën van gegevens betreft, is de betrokkene vóór de overdracht of zo spoedig mogelijk na de overdracht geïnformeerd of zal worden geïnformeerd dat zijn gegevens aan een derde land kunnen worden overgedragen dat geen adequaat beschermingsniveau biedt in de zin van Richtlijn 95/46/EG; 

g) hij zal elke kennisgeving die hij van de gegevensimporteur of van enige subverwerker ontvangt overeenkomstig clausule 5, punt b), en clausule 8, lid 3), aan de toezichthoudende autoriteit voor gegevensbescherming overmaken indien hij besluit de doorgifte voort te zetten of de schorsing op te heffen; 

h) hij zal aan betrokkenen, indien zij hierom vragen, een kopie van deze clausules ter beschikking stellen, met uitzondering van bijlage 2, en een beknopte beschrijving van de beveiligingsmaatregelen, evenals een kopie van enige subverwerkingsovereenkomst die overeenkomstig deze clausules is afgesloten, tenzij de clausules of het contract commerciële informatie bevatten, in welk geval hij die informatie kan weglaten; 

i) in geval van subverwerking wordt de verwerking uitgevoerd overeenkomstig clausule 11 door een subverwerker die ten minste hetzelfde niveau van bescherming van persoonsgegevens en de rechten van de betrokkene biedt als de gegevensimporteur overeenkomstig deze clausules; en 

j) hij zal toezien op de naleving van clausule 4, punten a) tot i). 

Clausule 5 

Verplichtingen van de gegevensimporteur  

De gegevensimporteur gaat akkoord met en garandeert het volgende: 

a) hij zal de persoonsgegevens uitsluitend voor rekening van de gegevensexporteur verwerken en in overeenstemming met diens instructies en deze clausules; indien hij om welke reden dan ook niet in staat is daaraan te voldoen, verbindt hij zich de gegevensexporteur daarvan onverwijld op de hoogte te stellen, in welk geval laatstgenoemde het recht heeft de doorgifte van gegevens op te schorten en/of het contract te beëindigen; 

b) hij heeft geen reden om te geloven dat de wetgeving op hem van toepassing hem verhindert de instructies van de gegevensexporteur en de verplichtingen die hem overeenkomstig het contract worden opgelegd na te leven, en indien die wetgeving wordt gewijzigd op een wijze die nadelige gevolgen kan hebben voor de waarborgen en verplichtingen van deze clausules, zal hij de wijziging onverwijld aan de gegevensexporteur meedelen nadat hij daarvan kennis heeft genomen, in welk geval laatstgenoemde het recht heeft de doorgifte van gegevens op te schorten en/of het contract te beëindigen; c) hij heeft de technische en organisatorische beveiligingsmaatregelen zoals gespecificeerd in bijlage 2 uitgevoerd vóór de verwerking van de overgedragen persoonsgegevens;

d) hij zal de gegevensexporteur onverwijld informeren over: 

i) elke dwingende vordering tot openbaarmaking van persoonsgegevens door een handhavingsautoriteit, tenzij anders bepaald, zoals een strafrechtelijk verbod ter bescherming van het vertrouwelijke karakter van een politieonderzoek; 

ii) elk toevallig of ongeautoriseerd toegang; en 

iii) elk verzoek dat rechtstreeks van betrokkenen is ontvangen zonder op dat verzoek te reageren, tenzij hij hiertoe is gemachtigd; 

e) hij zal alle informatieverzoeken van de gegevensexporteur met betrekking tot zijn verwerking van de overgedragen persoonsgegevens snel en correct behandelen en zal zich schikken naar het advies van de toezichthoudende autoriteit met betrekking tot de verwerking van de overgedragen gegevens; 

f) op verzoek van de gegevensexporteur zal hij zijn verwerkingsmiddelen onderwerpen aan een controle van de verwerkingsactiviteiten die door deze clausules worden gedekt, die wordt uitgevoerd door de gegevensexporteur of een door hem gekozen orgaan van onafhankelijke leden met de vereiste professionele kwalificaties, onderworpen aan geheimhoudingsplicht en, waar van toepassing, met instemming van de toezichthoudende autoriteit; 

g) hij zal aan de betrokkene, indien deze daarom verzoekt, een kopie van deze clausules of enige bestaande subverwerkingsovereenkomst ter beschikking stellen, tenzij de clausules of het contract commerciële informatie bevatten, in welk geval hij die informatie kan weglaten, met uitzondering van bijlage 2, die zal worden vervangen door een beknopte beschrijving van de beveiligingsmaatregelen, wanneer de betrokkene geen kopie van de gegevensexporteur kan verkrijgen; 

h) in geval van subverwerking zal hij de gegevensexporteur vooraf informeren en diens schriftelijke toestemming verkrijgen; 

i) de verwerkingsdiensten die door de subverwerker worden verleend, zullen voldoen aan clausule 11; 

j) hij zal onverwijld een kopie van elke subverwerkingsovereenkomst die hij krachtens deze clausules sluit, aan de gegevensexporteur toezenden. 

Clausule 6 

Aansprakelijkheid 

1. Partijen komen overeen dat elke betrokkene die schade lijdt als gevolg van een schending van de verplichtingen bedoeld in clausule 3 of clausule 11 door een van de partijen of een subverwerker het recht heeft van de gegevensexporteur vergoeding van die schade te verkrijgen. 

2. Indien een betrokkene wordt belemmerd de vordering bedoeld in lid 1 tegen de gegevensexporteur in te stellen wegens een tekortkoming van de gegevensimporteur of diens subverwerker in een van zijn verplichtingen uit hoofde van clausule 3 of clausule 11, omdat de gegevensexporteur materieel is verdwenen, niet meer bestaat of insolvent is geworden, stemt de gegevensimporteur ermee in dat de betrokkene tegen hem een klacht kan indienen alsof hij de gegevensexporteur was, tenzij al de wettelijke verplichtingen van de gegevensexporteur zijn overgedragen, krachtens contract of krachtens wet, aan de rechtsopvolger, tegen wie de betrokkene dan zijn rechten kan doen gelden. De gegevensimporteur kan zich niet beroepen op een tekortkoming van een subverwerker om aan zijn eigen aansprakelijkheden te ontsnappen. 

3. Indien een betrokkene wordt belemmerd de vordering bedoeld in de leden 1 en 2 tegen de gegevensexporteur of de gegevensimporteur in te stellen wegens een tekortkoming van de subverwerker in een van zijn verplichtingen uit hoofde van clausule 3 of clausule 11, omdat de gegevensexporteur en de gegevensimporteur materieel zijn verdwenen, niet meer bestaan of insolvent zijn geworden, stemt de subverwerker ermee in dat de betrokkene tegen hem een klacht kan indienen met betrekking tot zijn eigen verwerkingsactiviteiten overeenkomstig deze clausules alsof hij de gegevensexporteur of de gegevensimporteur was, tenzij al de wettelijke verplichtingen van de gegevensexporteur of van de gegevensimporteur zijn overgedragen, krachtens contract of krachtens wet, aan de rechtsopvolger, tegen wie de betrokkene dan zijn rechten kan doen gelden. De aansprakelijkheid van de subverwerker dient te worden beperkt tot zijn eigen verwerkingsactiviteiten overeenkomstig deze clausules. 

Clausule 7 

Mediation en jurisdictie 

1. De gegevensimporteur gaat ermee akkoord dat indien de betrokkene krachtens de clausules de derde-begunstigde rechten tegen hem inroept en/of schadevergoeding eist, hij de beslissing van de betrokkene accepteert: 

a) om het geschil voor te leggen aan bemiddeling door een onafhankelijke persoon of, indien van toepassing, aan de toezichthoudende autoriteit; 

b) om het geschil voor te leggen aan de rechtbanken van de lidstaat waar de gegevensexporteur is gevestigd. 

2. Partijen komen overeen dat de keuze van de betrokkene geen afbreuk doet aan het procedurele of materiële recht van laatstgenoemde om schadevergoeding te verkrijgen krachtens andere bepalingen van nationaal of internationaal recht. 

Clausule 8 

Samenwerking met toezichthoudende autoriteiten 

1. De gegevensexporteur stemt ermee in een kopie van dit contract bij de toezichthoudende autoriteit in te dienen indien deze dit verlangt of indien die indiening is vereist op grond van het op gegevensbescherming toepasselijke recht. 

2. Partijen komen overeen dat de toezichthoudende autoriteit het recht heeft controles uit te voeren bij de gegevensimporteur en bij elke subverwerker in dezelfde mate en onder dezelfde voorwaarden als controles uitgevoerd bij de gegevensexporteur overeenkomstig het op gegevensbescherming toepasselijke recht. 

3. De gegevensimporteur informeert de gegevensexporteur onverwijld over het bestaan van enige wetgeving op hem of op enige subverwerker die verhindert dat controles bij hem of bij enige subverwerker worden uitgevoerd overeenkomstig lid 2. In dat geval heeft de gegevensexporteur het recht de maatregelen uit clausule 5, punt b) te nemen. 

Clausule 9 

Toepasselijk recht 

De clausules worden beheerst door het recht van de lidstaat waar de gegevensexporteur is gevestigd., 

Clausule 10 

Wijziging van het contract 

Partijen verbinden zich ertoe de huidige clausules niet te wijzigen. Partijen blijven vrij om andere commerciële clausules op te nemen die zij noodzakelijk achten, mits deze niet in strijd zijn met de huidige clausules. 

Clausule 11 

Subverwerking 

1. De gegevensimporteur zal geen van zijn verwerkingsactiviteiten uitbesteden die namens de gegevensexporteur worden uitgevoerd krachtens deze clausules zonder voorafgaande schriftelijke toestemming van de gegevensexporteur. De gegevensimporteur zal de verplichtingen die op hem rusten krachtens deze clausules, met toestemming van de gegevensexporteur, alleen uitbesteden op basis van een schriftelijk contract met de subverwerker dat deze dezelfde verplichtingen oplegt als die welke op de gegevensimporteur rusten krachtens deze clausules ). In geval van tekortkoming door de subverwerker met betrekking tot de bescherming van persoonsgegevens die hem overeenkomstig dat schriftelijke contract toekomt, blijft de gegevensimporteur volledig aansprakelijk voor de naleving van die verplichtingen tegenover de gegevensexporteur. 

2. Het voorafgaande schriftelijke contract tussen de gegevensimporteur en de subverwerker bevat eveneens een derde-begunstigde clausule zoals uiteengezet in clausule 3 voor gevallen waarin de betrokkene wordt belemmerd de vordering bedoeld in clausule 6, lid 1 tegen de gegevensexporteur of de gegevensimporteur in te stellen omdat deze materieel zijn verdwenen, niet meer bestaan of insolvent zijn geworden, en de wettelijke verplichtingen van de gegevensexporteur of van de gegevensimporteur niet zijn overgedragen, krachtens contract of krachtens wet, aan een andere entiteit die hun rechtsopvolger is geworden. Deze civiele aansprakelijkheid van de subverwerker dient te worden beperkt tot zijn eigen verwerkingsactiviteiten overeenkomstig deze clausules. 

3. De bepalingen betreffende aspecten van subverwerking met betrekking tot gegevensbescherming in het contract bedoeld in lid 1 worden beheerst door het recht van de lidstaat waar de gegevensexporteur is gevestigd. 

4. De gegevensexporteur houdt een lijst bij van subverwerkingsovereenkomsten die zijn gesloten krachtens deze clausules en door de gegevensimporteur zijn meegedeeld overeenkomstig clausule 5, punt j), welke minstens eenmaal per jaar wordt bijgewerkt. Deze lijst wordt ter beschikking gesteld van de toezichthoudende autoriteit voor gegevensbescherming van de gegevensexporteur. 

Clausule 12 

Verplichtingen na beëindiging van de verwerkende diensten 

1. Partijen komen overeen dat na afloop van de verwerkende diensten de gegevensimporteur en de subverwerker alle aan de gegevensexporteur overgedragen persoonsgegevens en kopieën daarvan zullen teruggeven en naar keuze van laatstgenoemde, of alle deze gegevens zullen vernietigen en daarover bewijs aan de gegevensexporteur leveren, tenzij de wetgeving die op de gegevensimporteur van toepassing is hem verhindert de gehele of een deel van de overgedragen persoonsgegevens terug te geven of te vernietigen. In dat geval garandeert de gegevensimporteur dat hij de vertrouwelijkheid van de overgedragen persoonsgegevens zal blijven waarborgen en dat hij deze persoonsgegevens niet actief zal blijven verwerken. 

2. De gegevensimporteur en de subverwerker garanderen dat zij, indien de gegevensexporteur en/of de toezichthoudende autoriteit dit verlangen, hun verwerkingsmiddelen zullen onderwerpen aan een controle van de in lid 1 bedoelde maatregelen. 

Bijlage 1.1 van deel 2

Details van de overdracht

Gegevensexporteur

De Gegevensexporteur is de in het Contract gedefinieerde Klant.

Gegevensimporteur

De Gegevensimporteur is IQUALIF en is belast met de gegevensverwerking, en levert diensten aan de Gegevensexporteur.

Betrokkenen

De overgedragen persoonsgegevens betreffen de volgende categorieën betrokkenen :

☒ abonnees met een telefoonnummer opgenomen in de universele gids

☐ Overigen, met name :

Categorieën gegevens

De overgedragen persoonsgegevens betreffen de volgende categorieën gegevens :

Categorieën persoonsgegevens van de betrokkenen van de Gegevensexporteur, in het bijzonder,

☒ Volledige naam

☒ Postadres

☒ Contactgegevens (e-mail, telefoon, IP-adres, enz.)

☒ Gegevens over marketingactiviteiten met betrekking tot de telefoonabonnee

☒ Overigen, met name : type woning, gemiddelde inkomsten en leeftijden per stad geanonimiseerd

Bijzondere categorieën van gegevens (indien van toepassing)

De overgedragen persoonsgegevens betreffen de volgende bijzondere categorieën van gegevens :

☒ De overdracht van bijzondere categorieën van gegevens is niet voorzien

☐ Ras of etnische afkomst

☐ Religieuze of filosofische overtuigingen

☐ Vakbondslidmaatschap

☐ Politieke opvattingen

☐ Genetische gegevens 

☐ Biometrische gegevens

☐ Informatie over seksuele geaardheid of seksueel leven

☐ Gegevens betreffende gezondheid

Verwerkingsactiviteiten

De overgedragen persoonsgegevens zullen worden onderworpen aan de volgende basisverwerkingsactiviteiten :

• • • Doel van de verwerking

De verwerking uitgevoerd voor rekening van de Gegevensexporteur betreft met name de volgende onderwerpen :

☒ Ondersteuning van producten of diensten aangeboden door de Gegevensexporteur

☒ Aanbieding van een product of dienst die de gebelde persoon kan aanvragen

☒ Bestellingen bij gebelde personen en daaropvolgende verwerking van deze bestellingen

☒ Enquêtes, studies en analyses

☒ Telemarketing

☐ Overigen, met name :

• • • Aard en doel van de verwerking

De Gegevensimporteur verwerkt de persoonsgegevens van betrokkenen namens de Gegevensexporteur om de volgende diensten te leveren, en met name :

☒ Verkoop en marketing

☒ Overigen, met name : bijwerken van gemeentelijke en politieke partijdatabases

• • • Levering van diensten en inzet van dienstverleners

IQUALIF combineert, centraliseert en levert voornamelijk diensten aan de Gegevensexporteur. De door de genoemde dienstverlener geleverde diensten kunnen zich (onder andere en afhankelijk van het geval) richten op de volgende ondersteunende diensten: (i) het leveren van applicaties, tools, systemen en een IT-infrastructuur met betrekking tot de gebruikte datacenters, met het oog op het leveren en ondersteunen van de diensten, met name de verwerking van persoonsgegevens van betrokkenen zoals hierboven beschreven, via dergelijke applicaties, tools en systemen; (ii) het verlenen van IT-ondersteuning, onderhoud en andere diensten met betrekking tot deze applicaties, tools, systemen en IT-infrastructuur, met name potentiële toegang tot persoonsgegevens die zijn opgeslagen in deze applicaties, tools en systemen; en (iii) het verlenen van gegevensbeschermingsdiensten, monitoring en incidentresponsdiensten, met name potentiële toegang tot persoonsgegevens bij de levering van dit soort beschermingsdiensten. IQUALIF kan subverwerkers inschakelen zoals hieronder aangegeven om de diensten te leveren, met inbegrip van ondersteunende diensten.

• • • Externe derde partij dienstverleners als entiteiten belast met de verwerking van gegevens

IQUALIF schakelt externe derde partij dienstverleners in die geen dochterondernemingen van IQUALIF zijn, ter ondersteuning van de levering van de diensten aan de Gegevensexporteur. De Gegevensexporteur keurt dit type externe derde partij dienstverleners goed als entiteiten belast met de verwerking van gegevens

Indien een entiteit belast met de verwerking van gegevens zich buiten de EU / EEA bevindt, in een land dat niet wordt geacht een adequaat beschermingsniveau te bieden volgens een besluit van de Europese Commissie, zal de Gegevensimporteur maatregelen nemen om een voldoende niveau van gegevensbescherming te waarborgen overeenkomstig de AVG, alsook sectie 3,4 (iv) van Deel 1.

Bijlage 2, deel 2

Technische en organisatorische beveiligingsmaatregelen

De Gegevensimporteur neemt de volgende technische en organisatorische beveiligingsmaatregelen, die waar nodig door de Gegevensexporteur zijn bevestigd, om een passend beveiligingsniveau van de rechten en vrijheden van personen te waarborgen, rekening houdend met de risico's. Bij de beoordeling van het betrokken beschermingsniveau heeft de Gegevensexporteur met name rekening gehouden met de risico's die samenhangen met de verwerking, zoals toevallige of onrechtmatige vernietiging, wijziging, ongeoorloofde openbaarmaking of toegang tot de overgedragen, opgeslagen of op enige andere wijze verwerkte persoonsgegevens. Ter verduidelijking: deze technische en organisatorische beveiligingsmaatregelen hebben geen betrekking op applicaties, tools, systemen en/of IT-infrastructuur geleverd door de Gegevensexporteur.

1 Algemene technische en organisatorische beveiligingsmaatregelen

1.1 Algemene strategieën voor informatie- en gegevensbescherming

De volgende maatregelen dienen te worden genomen om de algemene strategieën voor gegevens- en informatiebescherming te volgen :

a) maatregelen treffen om de technische en organisatorische beveiligingsmaatregelen te evalueren ;

b) trainingen verzorgen om medewerkers bewust te maken ;

c) beschrijven van de betrokken systemen en toegang verlenen aan medewerkers ;

d) een officieel documentatieproces implementeren telkens wanneer systemen worden geïmplementeerd of gewijzigd ;

e) documentatie van de organisatiestructuur, processen, verantwoordelijkheden en bijbehorende beoordelingen ;

1.2 Organisatie van informatiebeveiliging

De volgende maatregelen dienen te worden genomen om de activiteiten op het gebied van gegevens- en informatiebeveiliging te coördineren :

a) gedefinieerde verantwoordelijkheden voor informatie- en gegevensbescherming (bijv. via een beleid voor gegevensbeschermingsbeheer) ;

b) beschikbaarheid van de benodigde competenties op het gebied van informatie- en gegevensbescherming ;

c) alle medewerkers zijn verplicht de persoonsgegevens vertrouwelijk te behandelen en zijn geïnformeerd over de mogelijke gevolgen van het schenden van die verplichting.

1.3 Toegangscontrole tot verwerkingslocaties

De volgende maatregelen dienen te worden genomen om te voorkomen dat onbevoegden toegang krijgen tot de verwerkingssystemen (met inbegrip van software en hardware) wanneer persoonsgegevens worden verwerkt, opgeslagen of verzonden :

a) beveiligde zones instellen ;

b) toegang tot verwerkingssystemen beschermen en beperken ;

c) toegangsautorisaties voor medewerkers en derden vaststellen, inclusief relevante documentatie ;

d) alle toegang tot datacenters waarin persoonsgegevens worden gehost wordt geregistreerd.

1.4 Toegangscontrole tot verwerkende systemen

De volgende maatregelen dienen te worden genomen om ongeoorloofde toegang tot verwerkende systemen te voorkomen:

a) beleid en procedures voor gebruikersauthenticatie ;

b) wachtwoorden gebruiken op alle computersystemen ;

c) extern netwerktoegang vereist multi-factor authenticatie en wordt verleend aan bevoegd personeel op basis van verantwoordelijkheden en autorisatie ;

d) toegang tot specifieke functies is gebaseerd op professionele functies en/of individueel toegewezen attributen aan een gebruikersaccount ;

e) toegangsrechten met betrekking tot persoonsgegevens worden regelmatig herzien ;

f) registratie van wijzigingen in toegangsrechten bijhouden.

1.4 Toegangscontrole tot specifieke toepassingsgebieden van verwerkende systemen

De volgende maatregelen dienen te worden genomen zodat geautoriseerde gebruikers van het verwerkende systeem alleen toegang hebben tot de gegevens die relevant zijn voor hun verantwoordelijkheden en toegangsautorisaties, en zodat persoonsgegevens niet kunnen worden gelezen, gekopieerd, gewijzigd of verwijderd zonder autorisatie:

a) beleid, instructies en training van medewerkers omtrent hun verplichtingen inzake vertrouwelijkheid, toegangsrechten tot persoonsgegevens en reikwijdte van de verwerking van persoonsgegevens;

b) disciplinaire maatregelen tegen personen die zonder autorisatie toegang hebben tot persoonsgegevens ;

c) toegang tot persoonsgegevens wordt alleen verleend aan geautoriseerde personen op basis van need-to-know ;

d) een lijst van systeembeheerders bijhouden en maatregelen nemen om systeembeheerders te monitoren ;

e) geen persoonsgegevens kopiëren of reproduceren op alle opslagsystemen, om te voorkomen dat onbevoegden gegevens van de oorspronkelijke bron verwijderen ;

f) gecontroleerde en gedocumenteerde verwijdering of vernietiging van gegevens ;

g) alle persoonsgegevens die om wettelijke of regelgevende redenen bewaard moeten worden (bijv. bewaarplicht), veilig opslaan en alleen zo lang als wettelijk vereist.

1.6 Transmissiebeheer

De volgende maatregelen dienen te worden genomen om te voorkomen dat persoonsgegevens door onbevoegden worden gelezen, gekopieerd, gewijzigd of verwijderd tijdens verzending of transport van opslagmedia (afhankelijk van de verwerkte persoonsgegevens):

a) gebruik van firewalls ;

b) het vermijden van opslag van persoonsgegevens op mobiele opslagapparaten voor transportdoeleinden, of het versleutelen van die apparaten c) ze pas op laptops en andere mobiele apparaten gebruiken nadat de versleuteling is ingeschakeld ;

d) registratie van transmissies van persoonsgegevens.

1.7 Invoerverificatie

De volgende maatregelen dienen te worden genomen om te waarborgen dat kan worden gecontroleerd en vastgesteld of persoonsgegevens in verwerkende systemen zijn ingevoerd of verwijderd, en door wie:

a) een beleid voor autorisatie van lezen, wijzigen en verwijderen van opgeslagen gegevens ;

b) beschermingsmaatregelen met betrekking tot het lezen, wijzigen en verwijderen van opgeslagen gegevens.

1.8 Verwerkingscontrole

In het geval van uitbesteding van de verwerking van persoonsgegevens moeten de volgende maatregelen worden genomen om te waarborgen dat deze gegevens in overeenstemming met de instructies van de verwerkingsverantwoordelijke worden verwerkt:

a) zorgvuldig geselecteerde entiteiten of subentiteiten belast met de gegevensverwerking (dienstverleners die persoonsgegevens voor rekening van de verwerkingsverantwoordelijke verwerken);

b) instructies aan medewerkers, entiteiten of subentiteiten belast met de verwerking over de reikwijdte van enige verwerking van persoonsgegevens ;

c) het overeengekomen auditrecht met entiteiten of subentiteiten belast met de verwerking

d) overeenkomsten gesloten met entiteiten of subentiteiten belast met de verwerking.

1,9 Scheiding van verwerking voor andere doeleinden

De volgende maatregelen dienen te worden genomen om te waarborgen dat gegevens die voor andere doeleinden zijn verzameld, apart kunnen worden verwerkt:

a) toegang tot persoonsgegevens scheiden overeenkomstig de toepasselijke gebruikersrechten ;

b) interfaces, batchverwerking en rapportages zijn bestemd voor andere doelen en functies, zodat gegevens die voor andere doeleinden zijn verzameld apart kunnen worden verwerkt.

1.10 Pseudonimisering

De volgende maatregelen dienen te worden genomen met betrekking tot de pseudonimisering van persoonsgegevens :

a) Indien de Gegevensexporteur een specifieke verwerking beveelt of indien de gegevensimporteur dit passend acht, en in overeenstemming met de geldende gegevensbeschermingswetten betreffende bepaalde verwerkingsactiviteiten, zal de verwerking zodanig plaatsvinden dat de gegevens niet langer kunnen worden toegeschreven aan een specifieke persoon zonder het gebruik van aanvullende informatie. Die aanvullende informatie wordt afzonderlijk bewaard ;

b) gebruik van pseudonimisatietechnieken, met name randomisatie bij toewijzingslijsten; aanmaak van hashwaarden.

1,11 Encryptie

De volgende maatregelen dienen te worden genomen om persoonsgegevens te versleutelen in toepassingen en transmissies die encryptie ondersteunen : a) gebruik van encryptietechnieken ;

b) implementatie van key management om de toegestane encryptietechnieken te ondersteunen ;

c) ondersteuning van cryptografisch gebruik door procedures en protocollen voor het genereren, wijzigen, intrekken, vernietigen, distribueren, certificeren, opslaan, invoeren, gebruiken en archiveren van cryptografische sleutels als bescherming tegen ongeoorloofde wijziging en openbaarmaking.

1.12 Integriteit van verwerkende systemen en diensten

De volgende maatregelen dienen te worden genomen om de integriteit van verwerkende systemen en diensten te waarborgen :

a) bescherming van verwerkende systemen tegen manipulatie of vernietiging door geschikte middelen (bijv. antivirussoftware, data loss prevention-software en anti-malware, softwarepatches, firewalls en beheerde desktopbescherming) ;

b) verbieden van installatie van services of software die schadelijk zijn voor verwerkende systemen, diensten of de manipulatie van persoonsgegevens ;

c) gebruik van een in het netwerk geïntegreerd systeem voor detectie en preventie van intrusies.

1,14 Beschikbaarheid van verwerkende systemen en diensten en herstel van toegang en gebruik van persoonsgegevens in geval van een hardware- of technische storing

De volgende maatregelen dienen te worden genomen om de beschikbaarheid van verwerkende systemen te waarborgen en snel de beschikbaarheid van persoonsgegevens en de toegang daartoe te herstellen in geval van een hardware- of technische storing (met name door ervoor te zorgen dat persoonsgegevens worden beschermd tegen elke toevallige vernietiging of verlies):

a) voorzien in controlemaatregelen om back-ups te bewaren en verloren of verwijderde gegevens te herstellen ;

b) infrastructuurredundantie en functionele tests ;

c) fysieke bescherming van IT-bronnen ;

d) gebruik van tools om de status en beschikbaarheid van het interne netwerk te monitoren ;

e) incidentrapportage en responsbeleid die de incidentafhandelingsprocedure regelen, en herhaling van de naleving van deze beleidslijnen binnen reguliere training ;

f) back-ups (soms off-site) om het systeem te herstellen en het weer in staat te stellen zijn functies te vervullen ;

g) continuïteits- / disaster recovery-plannen.

1.12 Weerbaarheid van verwerkende systemen en diensten

De volgende maatregelen dienen te worden genomen om de weerbaarheid van verwerkende systemen en diensten te waarborgen :

a) systemen zijn consistent geconfigureerd met goedgekeurde beveiligingsinstellingen ;

b) netwerkredundantie ;

c) isolatiebescherming voor kritieke systemen.

1,16 Procedure voor regelmatige toetsing, evaluatie en beoordeling van de doeltreffendheid van technische en organisatorische maatregelen ter beveiliging van de gegevensverwerking

Procedure voor regelmatige toetsing, evaluatie en beoordeling van de doeltreffendheid van technische en organisatorische maatregelen ter bescherming van de gegevensverwerking

a) maatregelen nemen om risico's en mitigatiestrategieën te evalueren ;

b) service-analysevergaderingen van de IT-afdeling houden om actuele problemen te behandelen ;

c) continuïteits- / disaster recovery-plannen regelmatig actualiseren.

Deel 3

Handtekeningen van de partijen en lijst van Gegevensimporteurs

Op het moment dat u het online bestelformulier invult en bevestigt door het vakje voor aanvaarding van de gebruiksvoorwaarden aan te vinken, wordt het contract dat de relatie tussen de Klant en IQUALIF regelt, gevormd. 

De betaling aan IQUALIF is voldoende om te beschouwen dat het contract tot stand is gekomen.