Verwerkersovereenkomst

Overwegingen

De Verwerkingsverantwoordelijke heeft de Verwerker opdracht gegeven persoonsgegevens te verwerken bij de uitvoering van de Hoofdovereenkomst. De Verwerker aanvaardt die opdracht en zal de gegevens niet voor eigen doeleinden verwerken. De Verwerkingsverantwoordelijke is verwerkingsverantwoordelijke in de zin van de Algemene verordening gegevensbescherming (AVG). Partijen wensen hun wederzijdse rechten en verplichtingen bij de verwerking van persoonsgegevens vast te leggen.

Definities

AVG: Verordening (EU) 2016/679, zoals uitgewerkt in het toepasselijke nationale recht. Verwerkingsverantwoordelijke: de partij die het doel van en de middelen voor de verwerking vaststelt (art. 4, lid 7, AVG), in deze overeenkomst: de Klant. Verwerker: de partij die persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke (art. 4, lid 8, AVG), in deze overeenkomst: Selva Digital. Subverwerker: een andere verwerker die door de Verwerker wordt ingeschakeld. Betrokkene: de persoon op wie de persoonsgegevens betrekking hebben. Inbreuk in verband met persoonsgegevens: een inbreuk op de beveiliging als bedoeld in art. 4, lid 12, AVG. Hoofdovereenkomst: de overeenkomst of overeenkomsten tussen Partijen waarop deze verwerkersovereenkomst betrekking heeft. Verwerking: elke bewerking van persoonsgegevens als bedoeld in art. 4, lid 2, AVG.

Artikel 1 – Doel en reikwijdte van de verwerking

1.1 De Verwerker verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Verwerkingsverantwoordelijke en uitsluitend in het kader van de uitvoering van de Hoofdovereenkomst.

1.2 De Verwerker verwerkt de persoonsgegevens niet voor enig ander doel. De Verwerkingsverantwoordelijke stelt het doel van en de middelen voor de verwerking vast en informeert de Verwerker over verwerkingsdoeleinden voor zover die niet al in deze overeenkomst zijn beschreven.

1.3 Categorieën betrokkenen: (potentiële) klanten van de Klant, zakelijke partners, werknemers, websitebezoekers, ontvangers van de nieuwsbrief, gebruikers van door de Verwerker geleverde e-mailomgevingen, en andere personen van wie persoonsgegevens via de diensten worden verwerkt.

1.4 Categorieën persoonsgegevens: naam en contactgegevens, e-mailadressen, locatie- en inloggegevens, IP-adressen, klant- en communicatiegegevens, en andere categorieën die voortvloeien uit de diensten onder de Hoofdovereenkomst.

1.5 Persoonsgegevens die namens de Verwerkingsverantwoordelijke worden verwerkt, blijven eigendom van de Verwerkingsverantwoordelijke of van de betreffende betrokkenen.

Artikel 2 – Duur

2.1 Deze overeenkomst treedt in werking bij het sluiten van de Hoofdovereenkomst en geldt voor de duur daarvan. Zij eindigt van rechtswege wanneer de Hoofdovereenkomst eindigt.

2.2 Wijzigingen zijn alleen geldig als Partijen die schriftelijk overeenkomen.

2.3 Bij beëindiging zal de Verwerker, naar keuze van de Verwerkingsverantwoordelijke, alle persoonsgegevens verwijderen of retourneren, tenzij bewaring wettelijk verplicht is. Verplichtingen over geheimhouding, aansprakelijkheid en geschillenbeslechting blijven na beëindiging gelden.

Artikel 3 – Verplichtingen van de Verwerker

3.1 De Verwerker voldoet aan de eisen die de AVG aan verwerkers stelt.

3.2 De Verwerker verrijkt zijn eigen databases niet met persoonsgegevens die van de Verwerkingsverantwoordelijke afkomstig zijn. Tijdelijke bestanden die voor een goede verwerking worden aangemaakt, worden verwijderd zodra ze niet langer nodig zijn.

3.3 De Verwerker volgt redelijke schriftelijke instructies van de Verwerkingsverantwoordelijke over de verwerking op, tenzij die in strijd zijn met de AVG of ander toepasselijk recht, in welk geval de Verwerker de Verwerkingsverantwoordelijke onverwijld informeert.

3.4 De Verwerker informeert de Verwerkingsverantwoordelijke op verzoek over de maatregelen die hij op grond van deze overeenkomst heeft genomen.

3.5 Alle verplichtingen van de Verwerker gelden ook voor personen die onder zijn gezag persoonsgegevens verwerken, waaronder werknemers en ingeschakelde derden.

3.6 De Verwerkingsverantwoordelijke heeft te allen tijde toegang tot de namens hem opgeslagen persoonsgegevens.

Artikel 4 – Subverwerkers

4.1 De Verwerkingsverantwoordelijke verleent de Verwerker algemene schriftelijke toestemming om Subverwerkers in te schakelen. De Subverwerkers die bij ondertekening zijn ingeschakeld, staan in bijlage 1.

4.2 De Verwerker informeert de Verwerkingsverantwoordelijke schriftelijk (e-mail volstaat) over elke voorgenomen toevoeging of vervanging van Subverwerkers, ten minste 30 dagen vóór inzet. De Verwerkingsverantwoordelijke kan binnen die termijn bezwaar maken op redelijke, onderbouwde gronden. Bij bezwaar overleggen Partijen over een oplossing; komt die er niet, dan kan de Verwerkingsverantwoordelijke het betreffende deel van de dienst beëindigen.

4.3 De Verwerker legt elke Subverwerker bij schriftelijke overeenkomst verplichtingen inzake gegevensbescherming op die ten minste gelijkwaardig zijn aan die in deze overeenkomst, en blijft jegens de Verwerkingsverantwoordelijke volledig aansprakelijk voor de nakoming door de Subverwerker.

4.4 Wanneer de Verwerker aanbieders van diensten op het gebied van kunstmatige intelligentie als Subverwerker inschakelt, waarborgt de Verwerker dat (i) er een verwerkersovereenkomst met de aanbieder is, (ii) aangeleverde persoonsgegevens door de aanbieder niet worden gebruikt om zijn modellen te trainen en (iii) doorgifte buiten de EER uitsluitend plaatsvindt op grond van artikel 5.

Artikel 5 – Internationale doorgifte

5.1 De verwerking vindt plaats binnen de Europese Economische Ruimte waar dat redelijkerwijs mogelijk is. Doorgifte naar landen buiten de EER vindt alleen plaats als een geldig doorgiftemechanisme uit hoofdstuk V AVG van toepassing is: een adequaatheidsbesluit (waaronder het EU-US Data Privacy Framework waar van toepassing) of modelcontractbepalingen met aanvullende maatregelen waar nodig.

5.2 De verwerkingslanden per Subverwerker staan in bijlage 1. De Verwerker houdt die bijlage actueel en informeert de Verwerkingsverantwoordelijke over wijzigingen volgens artikel 4.2.

Artikel 6 – Beveiliging

6.1 De Verwerker treft passende technische en organisatorische maatregelen als bedoeld in art. 32 AVG, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, de omvang, de context en het doel van de verwerking, alsmede de risico's voor betrokkenen.

6.2 De Verwerkingsverantwoordelijke is ervoor verantwoordelijk dat personen die onder zijn gezag handelen de diensten uitsluitend gebruiken conform deze overeenkomst.

Artikel 7 – Inbreuken in verband met persoonsgegevens

7.1 De Verwerker informeert de Verwerkingsverantwoordelijke zonder onnodige vertraging en waar mogelijk binnen 24 uur na kennisname over een inbreuk in verband met persoonsgegevens, en vermeldt daarbij ten minste: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en registraties, een contactpunt, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.

7.2 De Verwerkingsverantwoordelijke is verantwoordelijk voor een eventuele melding aan de toezichthouder (binnen 72 uur) en aan betrokkenen. De Verwerker verleent redelijke bijstand.

7.3 Beide Partijen houden een register van datalekken bij conform art. 33, lid 5, AVG. De Verwerker treft op eigen kosten passende maatregelen om herhaling van inbreuken binnen zijn domein te voorkomen.

Artikel 8 – Geheimhouding

De Verwerker, zijn werknemers en ingeschakelde derden houden alle persoonsgegevens en vertrouwelijke informatie die zij op grond van deze overeenkomst verkrijgen geheim, behalve met voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke of wanneer openbaarmaking wettelijk verplicht is. Deze verplichting blijft na beëindiging gelden.

Artikel 9 – Rechten van betrokkenen

9.1 De Verwerker stuurt verzoeken van betrokkenen onverwijld en in elk geval binnen 7 werkdagen door naar de Verwerkingsverantwoordelijke en verleent redelijke medewerking bij de afhandeling. Redelijke kosten komen voor rekening van de Verwerkingsverantwoordelijke.

9.2 Dit geldt voor alle rechten van betrokkenen uit hoofdstuk III AVG, waaronder inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar.

Artikel 10 – Audit

10.1 De Verwerkingsverantwoordelijke mag de naleving van deze overeenkomst laten toetsen door een onafhankelijke deskundige, ten hoogste eenmaal per jaar en ten minste zes weken vooraf aangekondigd, wanneer bestaande rapportages van de Verwerker onvoldoende duidelijkheid geven.

10.2 De Verwerker verleent medewerking en verstrekt relevante informatie binnen 14 kalenderdagen na het verzoek. De bevindingen worden door Partijen besproken. De kosten van de audit komen voor rekening van de Verwerkingsverantwoordelijke; de kosten van herstelmaatregelen worden verdeeld naar verantwoordelijkheid.

Artikel 11 – Aansprakelijkheid en vrijwaring

11.1 De Verwerkingsverantwoordelijke blijft eindverantwoordelijk voor de rechtmatigheid van de verwerking en staat ervoor in dat zijn instructies de AVG of rechten van derden niet schenden.

11.2 De Verwerker is uitsluitend aansprakelijk voor schade door verwerking waarbij hij specifiek tot verwerkers gerichte verplichtingen uit de AVG niet is nagekomen, of buiten of in strijd met de rechtmatige instructies van de Verwerkingsverantwoordelijke heeft gehandeld. De aansprakelijkheid is beperkt tot de factuurwaarde (exclusief btw) over de afgelopen 12 maanden onder de Hoofdovereenkomst. De Verwerker is niet aansprakelijk voor indirecte schade, waaronder gevolgschade, gederfde winst, gemiste besparingen, verminderde goodwill en bedrijfsstagnatie.

11.3 Elke Partij vrijwaart de andere tegen boetes en vorderingen voor zover de onderliggende schending aan die Partij is toe te rekenen.

Artikel 12 – Toepasselijk recht en geschillen

12.1 Deze overeenkomst wordt beheerst door Spaans recht. Geschillen worden voorgelegd aan de bevoegde rechter van het arrondissement waar de Verwerker statutair is gevestigd.

Bijlage 1 – Subverwerkers

Huidige Subverwerkers van Selva Digital.

Subverwerker

Doel

Locatie

Doorgiftemechanisme

NextGenWebs SL

Website- en e-mailhosting

EU (Nederland)

n.v.t. (EER)

Brevo (Sendinblue GmbH)

E-mailmarketing, CRM

EU (Duitsland/Frankrijk)

n.v.t. (EER)

Google Ireland Ltd

Statistieken, Workspace, Ads, Gemini (binnen Workspace)

EU / VS

DPF / SCC's

Anthropic PBC

Door AI ondersteunde content- en gegevensverwerking

VS

DPF / SCC's, geen modeltraining op klantgegevens

OpenAI Ireland Ltd

Door AI ondersteunde content- en gegevensverwerking (ChatGPT Business-werkruimte)

VS (standaard)

Verwerkersovereenkomst + SCC's, geen modeltraining op zakelijke gegevens

Let op: lokaal geïnstalleerde of zelf gehoste software (bijvoorbeeld Apple Mail als mailprogramma, zelf gehoste WordPress en de Elementor-pagebuilderplugin) verwerkt geen persoonsgegevens namens Selva Digital en is daarom geen Subverwerker; de betreffende hostingpartij wel. Consumentenversies van AI-hulpmiddelen zonder verwerkersovereenkomst worden niet voor persoonsgegevens gebruikt en zijn geen Subverwerker.