Verwerkersovereenkomst

Deze pagina beschrijft onze standaardverwerkersovereenkomst, zodat u deze kunt doornemen voordat u erom vraagt. Zij is zelf geen overeenkomst en schept geen verplichtingen. De ondertekende verwerkersovereenkomst, met haar bijlagen, is bepalend, en waar deze pagina daarvan afwijkt, heeft de ondertekende verwerkersovereenkomst voorrang.

Wanneer wij een systeem bouwen, hosten, onderhouden of ondersteunen dat persoonsgegevens bevat die toebehoren aan u of uw gebruikers. U bent de verwerkingsverantwoordelijke (of business); DCI Brands LLC is de verwerker (of service provider). De verwerkersovereenkomst maakt deel uit van de opdrachtovereenkomst. Wanneer beschermde gezondheidsinformatie betrokken is, wordt daarnaast een Business Associate Agreement ondertekend en hebben de bepalingen daarvan voor die gegevens voorrang.

Alles wat artikel 28, lid 3, van de AVG vereist, en de equivalenten op grond van de Britse AVG (UK GDPR) en de Zwitserse federale wet betreffende gegevensbescherming (FADP):

1. De beschrijving van de verwerking: onderwerp, duur, aard en doel, soorten persoonsgegevens en categorieën van betrokkenen, in een bijlage die specifiek is voor uw opdracht.
2. Verwerking uitsluitend op uw gedocumenteerde instructies, ook wat doorgiften betreft, en onze toezegging u te informeren als wij van mening zijn dat een instructie inbreuk maakt op het gegevensbeschermingsrecht.
3. Vertrouwelijkheid: iedereen die wij machtigen uw gegevens te verwerken, is gebonden aan een schriftelijke geheimhoudingsverplichting.
4. Beveiliging: de technische en organisatorische maatregelen in de bijlage, die voldoen aan artikel 32. Wij mogen deze bijwerken, mits de bescherming niet wezenlijk wordt verminderd.
5. Subverwerkers: uw algemene schriftelijke toestemming, onze schriftelijke doorlegging van gelijkwaardige verplichtingen en onze verantwoordelijkheid voor hun nakoming.
6. Bijstand bij de rechten van betrokkenen: inzage, rectificatie, wissing, overdraagbaarheid, beperking en bezwaar, rekening houdend met de aard van de verwerking.
7. Bijstand bij de artikelen 32 tot en met 36: beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging, rekening houdend met de informatie waarover wij beschikken.
8. Verwijdering of teruggave aan het einde van de opdracht, naar uw keuze.
9. Informatie en audits, zoals beschreven in artikel 8.
10. Doorgiftevoorwaarden: de standaardcontractbepalingen, het UK Addendum en de Zwitserse aanpassingen, met ingevulde bijlagen.
11. Voorwaarden van Amerikaanse staten: wij treden op als service provider of processor, wij verkopen of delen uw gegevens niet, wij bewaren, gebruiken of verstrekken ze niet buiten de directe zakelijke relatie of voor enig ander doel dan het uitvoeren van de opdracht, en wij combineren ze niet met gegevens uit andere bronnen.
12. Uw garanties: dat u een rechtsgrond hebt, dat u de kennisgevingen hebt gedaan en de toestemmingen hebt verkregen waarop uw gebruikers recht hebben, en dat uw instructies rechtmatig zijn.

Wij verwerken ze uitsluitend op uw gedocumenteerde instructies en uitsluitend om de opdracht te leveren: het systeem bouwen, testen, implementeren, hosten, bewaken, er back-ups van maken en het ondersteunen. Wij gebruiken ze niet voor onze eigen doeleinden en wij verkopen ze niet.

Wij gebruiken uw persoonsgegevens niet om enig model te trainen, te finetunen of te verbeteren, en onze subverwerkers zijn contractueel zo ingericht dat zij dat ook niet doen. Wij mogen geaggregeerde statistieken over de werking van het systeem genereren, uitsluitend wanneer deze niet aan u, uw gebruikers of enige natuurlijke persoon kunnen worden gekoppeld.

Wij maken uitsluitend gebruik van subverwerkers wanneer de opdracht dat vereist, onder schriftelijke voorwaarden die ten minste dezelfde bescherming bieden als de verwerkersovereenkomst, en wij blijven verantwoordelijk voor wat zij doen. Categorieën: cloudinfrastructuur in de regio die in uw offerte wordt genoemd, bezorging van transactionele e-mail, en aanbieders van spraak-, taal- en modeldiensten wanneer een functie er een vereist en de offerte deze noemt. De ondertekende verwerkersovereenkomst vermeldt de specifieke aanbieders voor uw opdracht.

Wij geven 30 dagen van tevoren kennis voordat wij er een toevoegen. U kunt binnen die termijn op redelijke gronden van gegevensbescherming bezwaar maken; wij werken dan te goeder trouw met u samen, en als wij het niet kunnen oplossen, kan elk van de partijen de betrokken dienst beëindigen met een terugbetaling naar rato van vooruitbetaalde, niet-gebruikte vergoedingen. Dat is het enige rechtsmiddel. Bij on-premises leveringen en leveringen zonder netwerkverbinding (air-gapped) vervalt de infrastructuursubverwerker volledig.

Geleverde systemen worden opgeleverd met de maatregelen die in de beveiligingsbijlage zijn vastgelegd: ten minste versleuteling tijdens de verzending en in rust, op rollen gebaseerd toegangsbeheer, gestructureerde auditregistratie en veilige verwijdering van tijdelijke bestanden. De toegang van medewerkers is beperkt tot met name genoemde personen die deze nodig hebben en wordt vastgelegd. Opdrachten in gereguleerde sectoren voegen de maatregelen toe die in uw bijlage worden genoemd.

Wij stellen u zonder onredelijke vertraging in kennis nadat wij kennis hebben gekregen van een inbreuk in verband met persoonsgegevens die uw gegevens treft, en in elk geval binnen 72 uur nadat wij er kennis van hebben gekregen. De kennisgeving vermeldt wat wij weten, wat wij hebben gedaan en wat wij aanbevelen; een eerste kennisgeving kan voorlopig zijn en wij vullen deze aan naarmate wij meer te weten komen. Wij melden geen mislukte toegangspogingen, scans of pings, en een kennisgeving is geen erkenning van schuld of aansprakelijkheid.

Wij helpen u verzoeken om inzage, rectificatie, wissing en overdraagbaarheid te beantwoorden binnen de termijn die de wet u geeft.

Audits beginnen met documenten. Op verzoek, eenmaal per periode van 12 maanden, verstrekken wij onze beveiligingsdocumentatie, onze bijlage met maatregelen en een ingevulde beveiligingsvragenlijst. Wanneer dat werkelijk onvoldoende is, of na een bevestigde inbreuk die uw gegevens treft, of wanneer een toezichthoudende autoriteit dat vereist, kunt u ons auditen met een schriftelijke kennisgeving van 30 dagen, eenmaal per periode van 12 maanden, tijdens kantooruren, op uw kosten, onder geheimhouding, zonder onze bedrijfsvoering of de gegevens van andere klanten te verstoren, en met inschakeling van een auditor die geen concurrent van ons is.

Productiegegevens in rust blijven in de regio die in uw offerte wordt genoemd. Beheerderstoegang vanaf andere locaties, en elke onvermijdelijke doorgifte vanuit de EER, het Verenigd Koninkrijk of Zwitserland, valt onder de standaardcontractbepalingen en de toepasselijke addenda.

Wij geven uw persoonsgegevens, naar uw keuze, terug of verwijderen ze, en wij certificeren de verwijdering. Kopieën in versleutelde back-ups worden in de gewone back-upcyclus verwijderd en blijven tot dan beschermd. Wij bewaren uitsluitend wat wij op grond van de wet moeten bewaren.

Schrijf naar constantine@vavusai.com met het kenmerk van uw offerte. Wij sturen de verwerkersovereenkomst ter ondertekening mee met de opdrachtovereenkomst. Wij beoordelen uw eigen verwerkersovereenkomst en ondertekenen deze wanneer de bepalingen ervan in wezenlijke mate overeenstemmen met de onze; anders heeft de onze voorrang.