Verwerkersovereenkomst

Deze overeenkomst is onderdeel van de Servicevoorwaarden en concretiseert de verplichtingen van de partijen bij de omgang met persoonsgegevens.

Verwerkingsverantwoordelijke (opdrachtgever): de klant.

Verwerker (opdrachtnemer):

Zakomo FZCO
IFZA, Dubai Silicon Oasis
Dubai, Verenigde Arabische Emiraten

1. Voorwerp en duur

1.1 Voorwerp is de verwerking van persoonsgegevens die de Verwerkingsverantwoordelijke in het kader van het gebruik van het Platform Growmindr inbrengt of via het Platform laat verzamelen.

1.2 De duur komt overeen met de looptijd van de hoofdovereenkomst. De overeenkomst eindigt automatisch met de beëindiging daarvan; de verplichtingen uit hoofdstuk 10 blijven daarnaast voortbestaan.

2. Aard, doel en omvang van de verwerking

2.1 Doeleinden: beheer en verrijking van contactgegevens, creatie en goedkeuring van inhoud, planning en verzending van outreach-berichten inclusief antwoord- en afmeldverwerking, onderzoek en bewaking van links, team- en accountbeheer alsook analyse van de genoemde handelingen voor de Verwerkingsverantwoordelijke.

2.2 Aard van de verwerking: verzamelen, vastleggen, ordenen, opslaan, aanpassen, uitlezen, opvragen, gebruiken, doorgeven, beperken, wissen en vernietigen.

2.3 Categorieën van betrokkenen: ontvangers van outreach-berichten, contactpersonen in doelondernemingen alsook werknemers en gemachtigden van de Verwerkingsverantwoordelijke die het Platform gebruiken.

2.4 Categorieën van persoonsgegevens: contactgegevens (naam, zakelijk e-mailadres, telefoonnummer, functie, werkgever, openbaar toegankelijke profielen), communicatie-inhoud, aflever- en interactiegegevens (aflevering, opens, kliks, antwoorden, afmeldingen), beoordelings- en statusinformatie alsook account- en rolgegevens van de gebruikers.

2.5 Bijzondere categorieën van persoonsgegevens overeenkomstig art. 9 AVG zijn geen voorwerp van de opdracht. De Verwerkingsverantwoordelijke zal dergelijke gegevens niet in het Platform inbrengen.

3. Instructierecht

3.1 De Verwerker verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Verwerkingsverantwoordelijke. Het gebruik van de platformfuncties door de Verwerkingsverantwoordelijke geldt als instructie; daarbovenuit gaande afzonderlijke instructies geschieden in tekstvorm aan [email protected].

3.2 Acht de Verwerker een instructie onrechtmatig, dan deelt hij dit onverwijld mee en mag hij de uitvoering ervan tot aan de opheldering opschorten.

3.3 Een verwerking buiten de instructie geschiedt slechts voor zover de Verwerker daartoe naar Unierecht of het recht van een lidstaat verplicht is; hij informeert de Verwerkingsverantwoordelijke in dat geval vooraf, voor zover het recht dit niet verbiedt.

4. Vertrouwelijkheid

De Verwerker verplicht de met de verwerking belaste personen schriftelijk tot vertrouwelijkheid, voor zover zij niet reeds aan een wettelijke geheimhoudingsplicht onderworpen zijn. De verplichting blijft ook na de beëindiging van de werkzaamheid voortbestaan.

5. Technische en organisatorische maatregelen

De Verwerker treft de in Bijlage 1 beschreven maatregelen overeenkomstig art. 32 AVG. Hij mag ze doorontwikkelen, zolang het beschermingsniveau niet wordt onderschreden.

6. Subverwerkers

6.1 De Verwerkingsverantwoordelijke verleent een algemene toestemming voor de inschakeling van de volgende subverwerkers:

• Cloudflare — uitlevering en beveiliging van de website. Zetel VS;

doorgifte op grondslag van modelcontractbepalingen.

6.2 Paddle treedt voor de betalingsafhandeling op als Merchant of Record en is in zoverre eigen verwerkingsverantwoordelijke, niet subverwerker.

6.3 Database, objectopslag, bereiksmeting en de AI-functies voor tekstcreatie exploiteert de Verwerker op eigen infrastructuur in Dubai, Verenigde Arabische Emiraten. Er vindt in zoverre geen inschakeling van derden plaats; voor de doorgifte naar de Verenigde Arabische Emiraten geldt hoofdstuk 12.

6.4 Diensten die de Verwerkingsverantwoordelijke zelf koppelt door een eigen toegangssleutel op te slaan — in het bijzonder Hunter.io en Apollo.io voor contactverrijking alsook een eigen mailserver voor de verzending —, treden op voor rekening en verantwoordelijkheid van de Verwerkingsverantwoordelijke. De Verwerkingsverantwoordelijke sluit met deze aanbieders de noodzakelijke overeenkomsten zelf.

6.5 Beoogt de Verwerker een verdere subverwerker in te zetten of een bestaande te vervangen, dan informeert hij de Verwerkingsverantwoordelijke minstens 30 dagen van tevoren in tekstvorm. De Verwerkingsverantwoordelijke kan binnen 14 dagen om een gewichtige reden inzake gegevensbescherming bezwaar maken. Kan het bezwaar niet worden weggenomen, dan mag elke partij de hoofdovereenkomst opzeggen tegen het geplande wisseltijdstip.

7. Ondersteuningsverplichtingen

7.1 De Verwerker ondersteunt de Verwerkingsverantwoordelijke met passende maatregelen bij de beantwoording van verzoeken van betrokkenen. Het Platform stelt hiervoor export- en wisfuncties alsook een permanente blokkeerlijst voor afgemelde adressen ter beschikking.

7.2 Wendt een betrokkene zich rechtstreeks tot de Verwerker, dan leidt hij het verzoek onverwijld door naar de Verwerkingsverantwoordelijke en beantwoordt hij het niet zelfstandig.

7.3 De Verwerker ondersteunt de Verwerkingsverantwoordelijke bij de naleving van de art. 32 tot en met 36 AVG, in het bijzonder bij een gegevensbeschermingseffectbeoordeling, voor zover de noodzakelijke gegevens alleen hem ter beschikking staan.

8. Melding van inbreuken in verband met persoonsgegevens

De Verwerker meldt de Verwerkingsverantwoordelijke een inbreuk in verband met persoonsgegevens onverwijld, uiterlijk binnen 48 uur na kennisneming, in tekstvorm. De melding bevat, voor zover bekend, de aard van het incident, de betrokken gegevenscategorieën, het geschatte aantal betrokkenen, de waarschijnlijke gevolgen en de getroffen tegenmaatregelen. De Verwerker meldt niet aan de toezichthoudende autoriteit; deze verplichting rust op de Verwerkingsverantwoordelijke.

9. Bewijzen en controles

9.1 De Verwerker toont de naleving van deze overeenkomst op verzoek op geschikte wijze aan, in het bijzonder door inlichtingen en overlegging van de documentatie over de maatregelen volgens Bijlage 1.

9.2 De Verwerkingsverantwoordelijke is gerechtigd zich na voorafgaande aankondiging met een redelijke termijn tijdens de gebruikelijke kantooruren van de naleving te vergewissen. Controles geschieden zonder vermijdbare verstoring van het bedrijfsverloop en ten hoogste eenmaal per kalenderjaar, tenzij een bijzondere aanleiding een aanvullende controle rechtvaardigt. Kosten die verder gaan dan een eenvoudige inlichting, kan de Verwerker redelijk in rekening brengen.

10. Wissing en teruggave

10.1 Na beëindiging van de hoofdovereenkomst stelt de Verwerker de Verwerkingsverantwoordelijke de gegevens 30 dagen lang ter beschikking voor export en wist ze aansluitend.

10.2 Back-upkopieën worden rollerend overschreven en uiterlijk 14 dagen na de wissing in het productiesysteem definitief verwijderd.

10.3 Van de wissing uitgezonderd zijn gegevens waarvoor een wettelijke bewaarplicht bestaat, alsook de blokkeerlijst van afgemelde adressen, waarvan de bewaring noodzakelijk is voor de nakoming van de verplichting uit art. 21 lid 3 AVG; deze gegevens worden in de verwerking dienovereenkomstig beperkt.

11. Aansprakelijkheid en slotbepalingen

11.1 Voor de aansprakelijkheid geldt hoofdstuk 10 van de Servicevoorwaarden dienovereenkomstig; art. 82 AVG blijft onverlet.

11.2 Bij tegenstrijdigheden tussen deze overeenkomst en de hoofdovereenkomst gaat deze overeenkomst in vragen inzake gegevensbescherming voor.

11.3 Het recht van de Bondsrepubliek Duitsland is van toepassing.

12. Doorgifte naar een derde land

12.1 De Verwerker heeft zijn zetel en exploiteert zijn systemen in de Verenigde Arabische Emiraten. Voor dit land bestaat geen adequaatheidsbesluit van de Europese Commissie overeenkomstig art. 45 AVG.

12.2 Voor doorgiften van persoonsgegevens uit de Europese Economische Ruimte aan de Verwerker gelden daarom de modelcontractbepalingen van de Europese Commissie overeenkomstig Uitvoeringsbesluit (EU) 2021/914 van 4 juni 2021, en wel Module 2 (verwerkingsverantwoordelijke aan verwerker). Zij worden hierbij in volle omvang in deze overeenkomst opgenomen en gaan daaraan bij tegenstrijdigheden voor.

12.3 Voor de invulling van de bijlagen van de modelcontractbepalingen geldt:

• Bijlage I.A (Partijen): gegevensexporteur is de

Verwerkingsverantwoordelijke, gegevensimporteur de Verwerker; de gegevens volgen uit de preambule van deze overeenkomst en de account-stamgegevens van de Verwerkingsverantwoordelijke.

• Bijlage I.B (Beschrijving van de doorgifte): hoofdstuk 2 van deze

overeenkomst.

• Bijlage I.C (Bevoegde toezichthoudende autoriteit): de toezichthoudende

autoriteit van de lidstaat waar de Verwerkingsverantwoordelijke is gevestigd; is hij niet in de Unie gevestigd, de autoriteit van de lidstaat waar de betrokkenen zich bevinden.

• Bijlage II (Technische en organisatorische maatregelen): Bijlage 1 van

deze overeenkomst.

• Bijlage III (Lijst van subverwerkers): hoofdstuk 6 van deze

overeenkomst.

12.4 Bij de keuzemogelijkheden van de bepalingen geldt: Clausule 7 (koppelingsbeding) is van toepassing. Voor Clausule 9 geldt Optie 2 (algemene schriftelijke toestemming) met de in hoofdstuk 6.5 overeengekomen termijn. Het facultatieve beding Clausule 11 onder a (onafhankelijke geschillenbeslechtingsinstantie) is niet van toepassing. Voor Clausule 17 geldt het recht van Ierland, voor Clausule 18 onder b zijn de rechtbanken van Ierland bevoegd. Hoofdstuk 11.3 van deze overeenkomst en de rechtskeuze van de Servicevoorwaarden blijven daardoor onverlet en gelden voor alle overige vragen.

12.5 De Verwerker bevestigt dat hem geen rechtsvoorschriften bekend zijn die hem beletten de modelcontractbepalingen na te komen. Ontvangt hij een overheidsbevel tot afgifte van doorgegeven gegevens, dan informeert hij de Verwerkingsverantwoordelijke daarover, voor zover dit rechtens is toegestaan, en betwist hij het bevel, voor zover er voldoende kans op succes bestaat. Aanvullend gelden de maatregelen van Bijlage 1.

12.6 Op verzoek stelt de Verwerker de Verwerkingsverantwoordelijke een ondertekend exemplaar van de modelcontractbepalingen ter beschikking.

13. Toepasselijk recht van de Verenigde Arabische Emiraten

Onafhankelijk van de AVG is de Verwerker onderworpen aan de federale wet nr. 45 van 2021 van de Verenigde Arabische Emiraten inzake de bescherming van persoonsgegevens (PDPL). Voor zover verplichtingen daaruit samenvallen met die van deze overeenkomst, vervult de Verwerker telkens de verdergaande verplichting.

Bijlage 1 — Technische en organisatorische maatregelen overeenkomstig art. 32 AVG

Vertrouwelijkheid — toegangscontrole (fysiek). De systemen worden in een datacenter in Dubai, Verenigde Arabische Emiraten, geëxploiteerd. De fysieke toegang is beperkt tot bevoegde personen en wordt geprotocolleerd.

Vertrouwelijkheid — toegangscontrole (logisch). Aanmelding via individuele accounts met volgens de stand van de techniek gehashte wachtwoorden. Sessies verlopen na 15 minuten inactiviteit. Sessiecookies zijn httpOnly, SameSite=Strict en worden uitsluitend via HTTPS overgedragen. De administratieve toegang tot de productiesystemen geschiedt uitsluitend via SSH met sleutelauthenticatie.

Vertrouwelijkheid — toegangscontrole (rechten). Rolgebaseerde bevoegdheden (eigenaar, beheerder, redacteur, controleur, waarnemer). De scheiding van de tenants wordt aanvullend op databaseniveau afgedwongen door Row-Level Security, die in het geval van een fout de toegang weigert in plaats van deze toe te staan. Machinale toegangen tussen diensten geschieden alleen via kortlevende, ondertekende dienst-tokens.

Vertrouwelijkheid — scheidingscontrole. Elke klant werkt in een eigen tenant; elke dienst gebruikt een eigen database zonder toegang van derden. Gegevensrecords zonder geldige tenantverwijzing zijn niet opvraagbaar.

Integriteit — doorgiftecontrole. Transportversleuteling met TLS voor alle verbindingen van en naar het Platform. Interne diensten zijn uitsluitend via de lokale interface bereikbaar en niet openbaar geëxposeerd.

Integriteit — invoercontrole. Beveiligingsrelevante handelingen worden met tijdstip en handelend account in een activiteitenlogboek vastgelegd.

Beschikbaarheid en veerkracht. Dagelijkse automatische back-up van de database met een bewaartijd van 14 dagen. Bewaking van de diensten met automatische herstart in geval van storing. Bescherming tegen overbelasting door ratebeperking.

Procedure voor toetsing en beoordeling. Afhankelijkheden worden regelmatig op bekende kwetsbaarheden gecontroleerd en bijgewerkt. Toegangsgegevens liggen buiten het versiebeheer. Wijzigingen aan de productieomgeving geschieden via een navolgbaar uitleveringsproces.

Opdrachtcontrole. Subverwerkers worden alleen volgens hoofdstuk 6 van deze overeenkomst ingezet en contractueel tot een overeenkomstig beschermingsniveau verplicht.