Verwerkersovereenkomst

Deze Verwerkersovereenkomst ("VOK") wordt gesloten tussen Bkody Software ("Zinevu", "Verwerker"), ingeschreven bij de Kamer van Koophandel onder KVK-nummer 71881832, en de klant die de Gebruiksvoorwaarden heeft aanvaard ("Verwerkingsverantwoordelijke"). Deze VOK maakt deel uit van de Gebruiksvoorwaarden en is daarin opgenomen door verwijzing.

Deze VOK is van toepassing wanneer de Verwerkingsverantwoordelijke Zinevu gebruikt om persoonsgegevens te verwerken van de eigen klanten, leads of werknemers van de Verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (EU) 2016/679 ("AVG").

1. Definities

Begrippen die hier niet anders zijn gedefinieerd, hebben de betekenis die aan hen is gegeven in de AVG. In het bijzonder:

• "Persoonsgegevens" betekent alle gegevens als bedoeld in artikel 4, lid 1, AVG die de Verwerkingsverantwoordelijke uploadt naar of opslaat in het Zinevu-platform ("Platform").
• "Verwerking" heeft de betekenis die aan dit begrip is gegeven in artikel 4, lid 2, AVG.
• "Subverwerker" betekent elke derde die door de Verwerker wordt ingeschakeld om Persoonsgegevens namens de Verwerkingsverantwoordelijke te verwerken.
• "Diensten" betekent het cloudgebaseerde SaaS-platform zoals beschreven in de Gebruiksvoorwaarden.

2. Onderwerp en duur

De Verwerker verwerkt Persoonsgegevens namens de Verwerkingsverantwoordelijke uitsluitend om de Diensten te verlenen zoals beschreven in de Gebruiksvoorwaarden. De verwerking begint wanneer de Verwerkingsverantwoordelijke voor het eerst Persoonsgegevens uploadt of opslaat in het Platform en loopt gedurende de abonnementsperiode. Na beëindiging gaat de Verwerker om met Persoonsgegevens conform artikel 9.

3. Aard en doel van de verwerking

De Verwerker verwerkt Persoonsgegevens voor de volgende doeleinden en geen andere:

• Opslaan en weergeven van contactgegevens van klanten in de CRM-module;
• Aanmaken en opslaan van offertes en voorstellen;
• Beheren van projectgegevens en planning;
• Verwerken en opslaan van facturen;
• Bieden van de 3D-productconfigurator en bijbehorende klantgerichte workflows;
• De Verwerkingsverantwoordelijke in staat stellen planning en buitendienstactiviteiten te beheren;
• Bieden van technische ondersteuning en probleemoplossing op verzoek van de Verwerkingsverantwoordelijke.

4. Categorieën van persoonsgegevens

De Persoonsgegevens die worden verwerkt op grond van deze VOK kunnen omvatten:

• Naam, e-mailadres, telefoonnummer en postadres van eindklanten;
• Bedrijfsnaam en btw-nummer;
• Aankoopgeschiedenis, offertes en factuurgegevens;
• Communicatiegegevens tussen de Verwerkingsverantwoordelijke en haar klanten;
• Overige gegevens die de Verwerkingsverantwoordelijke kiest op te slaan in de vrije-tekstvelden van het Platform.

De Verwerkingsverantwoordelijke is verantwoordelijk voor het naleven van de verplichting dat er geen bijzondere categorieën persoonsgegevens (artikel 9 AVG) worden geüpload naar het Platform, tenzij dit schriftelijk afzonderlijk is overeengekomen.

5. Categorieën van betrokkenen

Betrokkenen van wie Persoonsgegevens worden verwerkt, omvatten: eindklanten van de Verwerkingsverantwoordelijke (personen en zakelijke contacten), leads en prospects, en werknemers van de Verwerkingsverantwoordelijke voor zover hun gegevens in het Platform zijn ingevoerd.

6. Verplichtingen van de Verwerker

De Verwerker verbindt zich ertoe:

1. Persoonsgegevens uitsluitend te verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, tenzij de Verwerker op grond van Unie- of lidstaatrecht verplicht is tot verdere verwerking;
2. Ervoor te zorgen dat gemachtigde medewerkers gebonden zijn aan passende geheimhoudingsverplichtingen;
3. Technische en organisatorische maatregelen te treffen die passen bij het risico, zoals beschreven in artikel 7;
4. Te voldoen aan de voorwaarden voor het inschakelen van Subverwerkers zoals vastgelegd in artikel 8;
5. De Verwerkingsverantwoordelijke te helpen bij het beantwoorden van verzoeken van betrokkenen die hun AVG-rechten uitoefenen, voor zover technisch haalbaar;
6. De Verwerkingsverantwoordelijke te helpen bij het nakomen van haar verplichtingen uit hoofde van de artikelen 32–36 AVG (beveiliging, melding datalekken, gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging);
7. De Verwerkingsverantwoordelijke zonder onnodige vertraging (en in elk geval binnen 48 uur) op de hoogte te stellen wanneer een inbreuk in verband met persoonsgegevens wordt ontdekt die betrekking heeft op Persoonsgegevens;
8. De Verwerkingsverantwoordelijke alle informatie ter beschikking te stellen die nodig is om de naleving van artikel 28 AVG aan te tonen en audits mogelijk te maken zoals voorzien in artikel 10;
9. De Verwerkingsverantwoordelijke onmiddellijk te informeren indien naar het oordeel van de Verwerker een instructie in strijd is met de AVG of andere toepasselijke gegevensbeschermingswetgeving.

7. Beveiligingsmaatregelen

De Verwerker heeft de volgende technische en organisatorische maatregelen getroffen ter bescherming van Persoonsgegevens:

• Versleuteling van gegevens in transit met TLS 1.2 of hoger;
• Versleuteling van gegevens in rust op alle opslagsystemen;
• Op rollen gebaseerde toegangscontroles die de toegang tot Persoonsgegevens beperken tot gemachtigde medewerkers;
• Regelmatige geautomatiseerde back-ups met herstel naar een bepaald tijdstip;
• Infrastructuur gehost op Vercel en Railway, die SOC 2 Type II-certificering en ISO 27001-conforme controles handhaven;
• Scannen op kwetsbaarheden en monitoring van afhankelijkheden;
• Interne toegangslogboeken en anomaliedetectie.

8. Subverwerkers

8.1 Autorisatie

De Verwerkingsverantwoordelijke verleent de Verwerker algemene toestemming voor het inschakelen van Subverwerkers, onder voorbehoud van de voorwaarden in dit artikel.

8.2 Huidige Subverwerkers

De Verwerker maakt momenteel gebruik van de volgende Subverwerkers voor de verwerking van Persoonsgegevens:

8.3 Wijzigingen in Subverwerkers

De Verwerker stelt de Verwerkingsverantwoordelijke op de hoogte van eventuele voorgenomen wijzigingen in Subverwerkers door deze VOK bij te werken en minimaal 14 dagen van tevoren schriftelijk kennisgeving te geven per e-mail. Als de Verwerkingsverantwoordelijke op gegevensbeschermingsgronden redelijkerwijs bezwaar maakt tegen een nieuwe Subverwerker, werken partijen te goeder trouw samen om het bezwaar op te lossen; als geen oplossing wordt bereikt, kan de Verwerkingsverantwoordelijke het abonnement zonder boete opzeggen.

8.4 Verplichtingen jegens Subverwerkers

De Verwerker legt elke Subverwerker (via overeenkomst of gelijkwaardige bindende akte) gegevensbeschermingsverplichtingen op die gelijkwaardig zijn aan die in deze VOK en blijft jegens de Verwerkingsverantwoordelijke aansprakelijk voor de prestaties van de Subverwerker.

9. Internationale doorgifte van gegevens

Wanneer Subverwerkers buiten de Europese Economische Ruimte zijn gevestigd, zorgt de Verwerker ervoor dat doorgiften voldoen aan Hoofdstuk V AVG door gebruik te maken van:

• Een adequaatheidsbesluit van de Europese Commissie; of
• Standaardcontractbepalingen (SCP's) zoals goedgekeurd door de Europese Commissie; of
• Het EU-VS-dataprivacyraamwerk voor zover de Subverwerker daarvoor gecertificeerd is.

10. Audits

De Verwerkingsverantwoordelijke kan, op eigen kosten en met een voorafgaande schriftelijke kennisgeving van minimaal 30 dagen, de naleving van deze VOK door de Verwerker controleren, tot één keer per kalenderjaar. De Verwerkingsverantwoordelijke kan een externe auditor aanstellen die gebonden is aan vertrouwelijkheidsverplichtingen. De Verwerker kan aan auditverzoeken voldoen door een actueel SOC 2 Type II-rapport of gelijkwaardig auditrapport van een derde te verstrekken in plaats van directe toegang te verlenen.

11. Teruggave en verwijdering van gegevens

Binnen 30 dagen na beëindiging van het abonnement zal de Verwerker, naar keuze van de Verwerkingsverantwoordelijke:

• Alle in het Platform opgeslagen Persoonsgegevens beschikbaar stellen voor export in een standaard machineleesbaar formaat; of
• Alle Persoonsgegevens veilig verwijderen of anonimiseren.

De Verwerker bewaart Persoonsgegevens na 30 dagen uitsluitend voor zover wettelijk vereist, en slechts gedurende de minimaal vereiste periode.

12. Aansprakelijkheid

De aansprakelijkheid van elke partij onder deze VOK is onderworpen aan de beperkingen en uitsluitingen zoals vastgelegd in de Gebruiksvoorwaarden. Niets in deze VOK beperkt de aansprakelijkheid van een van beide partijen jegens betrokkenen of toezichthoudende autoriteiten op grond van de AVG.

13. Prioriteit

In geval van tegenstrijdigheid tussen deze VOK en de Gebruiksvoorwaarden prevaleert deze VOK voor zover de tegenstrijdigheid betrekking heeft op de verwerking van Persoonsgegevens.

14. Toepasselijk recht

Deze VOK wordt beheerst door Nederlands recht. Partijen onderwerpen zich aan de exclusieve bevoegdheid van de bevoegde rechter in Amsterdam, Nederland.

15. Contact

Bkody Software (handelend onder Zinevu)
KVK: 71881832
E-mail: support@zinevu.com