Verwerkersovereenkomst

Artikel 1 – Partijen en samenhang

1. Deze verwerkersovereenkomst wordt gesloten tussen:

• de Webshop die de algemene voorwaarden accepteert, als verwerkingsverantwoordelijke; en
• MarketingCollega B.V., handelend onder de dienstnaam Herroepingsfunctie.nl, als verwerker.

1. Deze verwerkersovereenkomst is onderdeel van de overeenkomst voor Herroepingsfunctie.
2. Bij strijdigheid over de verwerking van persoonsgegevens gaat deze verwerkersovereenkomst vóór op de algemene voorwaarden.
3. Begrippen uit de AVG hebben in deze verwerkersovereenkomst dezelfde betekenis.

Artikel 2 – Onderwerp, duur, aard en doel

1. Verwerker verwerkt persoonsgegevens om Verwerkingsverantwoordelijke de online Herroepingsfunctie te leveren.
2. De verwerking bestaat onder meer uit:

• ontvangen en valideren van een ontbindingsverklaring;
• opslaan en beveiligen;
• maken en tonen van een ontvangstbewijs;
• verzenden van bevestigingsmails;
• tonen, zoeken, filteren, printen en exporteren in het dashboard;
• vastleggen van werkstatus en interne notitie;
• voorkomen van dubbele verwerking en misbruik;
• technisch beheer, herstel en ondersteuning.

1. De verwerking duurt zolang de hoofdovereenkomst loopt en daarna zolang als nodig is voor verwijdering of teruggave volgens artikel 12.

Artikel 3 – Betrokkenen en persoonsgegevens

Categorieën betrokkenen

• consumenten die een Verklaring indienen;
• vertegenwoordigers of contactpersonen die namens een consument handelen;
• medewerkers en bevoegde gebruikers van Verwerkingsverantwoordelijke voor zover hun gegevens in de dienst voorkomen.

Categorieën persoonsgegevens

• naam en e-mailadres;
• bestel- of contractnummer;
• inhoud van de vaste ontbindingsverklaring;
• ontvangstnummer, datum en tijd;
• identificatie- en idempotentiegegevens van de inzending;
• webshop- en ontvangersmomentopnamen;
• e-mailaflevergegevens, statussen, berichtidentificatie en gesaniteerde foutinformatie;
• werkstatus en interne notitie;
• tijdelijke gepseudonimiseerde beveiligings- en rate-limitgegevens;
• overige gegevens die Verwerkingsverantwoordelijke via de toegestane functies invoert.

Bijzondere categorieën persoonsgegevens en strafrechtelijke persoonsgegevens zijn niet bedoeld als onderdeel van de verwerking. Verwerkingsverantwoordelijke instrueert gebruikers om geen onnodige gevoelige gegevens in interne notities op te nemen.

Artikel 4 – Instructies

1. Verwerker verwerkt persoonsgegevens alleen op gedocumenteerde instructie van Verwerkingsverantwoordelijke, tenzij Unierecht of Nederlands recht anders verplicht.
2. De hoofdovereenkomst, deze verwerkersovereenkomst, de instellingen in het Account en toegestane handelingen van bevoegde gebruikers gelden als gedocumenteerde instructies.
3. Verwerker informeert Verwerkingsverantwoordelijke wanneer een instructie naar het oordeel van Verwerker in strijd is met de AVG of andere privacywetgeving. Verwerker mag de uitvoering opschorten totdat de instructie is aangepast of bevestigd.
4. Wanneer Unierecht of Nederlands recht Verwerker verplicht persoonsgegevens zonder instructie te verwerken, informeert Verwerker Verwerkingsverantwoordelijke vóór die verwerking over de wettelijke verplichting, tenzij de wet deze informatie om gewichtige redenen van algemeen belang verbiedt.
5. Verwerker gebruikt de inhoud van Verklaringen niet voor eigen advertenties, verkoop van gegevens of het trainen van eigen AI-modellen.

Artikel 5 – Verplichtingen van Verwerkingsverantwoordelijke

1. Verwerkingsverantwoordelijke:

• heeft een geldige grondslag voor de verwerking;
• informeert betrokkenen volledig en tijdig;
• verstrekt alleen noodzakelijke gegevens;
• behandelt privacyverzoeken en inhoudelijke vragen;
• zorgt dat haar gebruikers bevoegd en zorgvuldig handelen;
• configureert juiste webshop- en contactgegevens;
• gebruikt de dienst niet voor onverenigbare doeleinden.

1. Verwerkingsverantwoordelijke blijft verantwoordelijk voor de rechtmatigheid van haar instructies en de verwerking.

Artikel 6 – Geheimhouding

1. Personen die onder het gezag van Verwerker toegang hebben tot persoonsgegevens zijn aan vertrouwelijkheid gebonden of hebben een passende wettelijke geheimhoudingsplicht.
2. Toegang wordt beperkt tot personen die deze voor hun werkzaamheden nodig hebben.
3. De geheimhouding blijft na beëindiging van de overeenkomst gelden.

Artikel 7 – Beveiliging

1. Verwerker treft passende technische en organisatorische maatregelen, rekening houdend met de stand van de techniek, uitvoeringskosten, aard en omvang van de verwerking en de risico’s voor betrokkenen.
2. De actuele hoofdcategorieën van maatregelen staan in Bijlage B.
3. Verwerker mag maatregelen aanpassen wanneer het beschermingsniveau daardoor niet wezenlijk afneemt.
4. Verwerkingsverantwoordelijke is zelf verantwoordelijk voor beveiliging van haar e-mailaccount, apparaten, interne processen, geëxporteerde bestanden en verdere verwerking buiten Herroepingsfunctie.

Artikel 8 – Subverwerkers

1. Verwerkingsverantwoordelijke geeft Verwerker algemene toestemming om de subverwerkers uit Bijlage A en toekomstige noodzakelijke subverwerkers in te schakelen.
2. Verwerker legt aan iedere subverwerker bij overeenkomst dezelfde toepasselijke gegevensbeschermingsverplichtingen op als in deze verwerkersovereenkomst, in het bijzonder de verplichting voldoende garanties te bieden voor passende technische en organisatorische maatregelen.
3. Verwerker publiceert een actuele subverwerkerslijst en informeert Verwerkingsverantwoordelijke vooraf over iedere beoogde toevoeging of vervanging.
4. Verwerkingsverantwoordelijke kan binnen twintig werkdagen gemotiveerd bezwaar maken wanneer de wijziging aantoonbaar tot een relevant privacyrisico leidt.
5. Partijen zoeken bij een bezwaar eerst naar een redelijke oplossing. Wanneer geen oplossing mogelijk is, kan Verwerkingsverantwoordelijke het getroffen onderdeel of de hoofdovereenkomst beëindigen.
6. Verwerker blijft tegenover Verwerkingsverantwoordelijke verantwoordelijk voor de nakoming van de aan een subverwerker opgelegde verplichtingen, voor zover de AVG dat bepaalt.

Artikel 9 – Doorgifte buiten de EER

1. Verwerker verwerkt persoonsgegevens buiten de EER alleen op gedocumenteerde instructie of via een toegestane subverwerker en met een rechtsgeldig doorgiftemechanisme.
2. Mogelijke waarborgen zijn een adequaatheidsbesluit, het EU-U.S. Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie, waar nodig aangevuld met aanvullende maatregelen.
3. Verwerkingsverantwoordelijke geeft Verwerker opdracht de voor de dienst noodzakelijke doorgiften via de in Bijlage A genoemde leveranciers uit te voeren.

Artikel 10 – Rechten van betrokkenen

1. Verwerkingsverantwoordelijke behandelt verzoeken van betrokkenen.
2. Wanneer een betrokkene een verzoek rechtstreeks aan Verwerker richt dat betrekking heeft op een Verklaring, stuurt Verwerker het verzoek waar mogelijk door aan Verwerkingsverantwoordelijke.
3. Verwerker helpt, rekening houdend met de aard van de verwerking en beschikbare informatie, redelijkerwijs bij inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar.
4. Wanneer een verzoek uitzonderlijk veel of afwijkend maatwerk vraagt, kunnen partijen vooraf redelijke kosten afspreken.

Artikel 11 – Datalekken, DPIA en toezichthouder

1. Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging nadat Verwerker kennis heeft genomen van een inbreuk in verband met persoonsgegevens die onder deze verwerkersovereenkomst vallen.
2. Waar redelijkerwijs mogelijk verstrekt Verwerker:

• een omschrijving van de aard en omvang;
• de categorieën en, bij benadering, het aantal betrokkenen en persoonsgegevensrecords;
• de vermoedelijke gevolgen;
• getroffen of voorgestelde maatregelen;
• beschikbare contactinformatie van het contactpunt voor opvolging.

1. Een eerste melding kan onvolledig zijn en later worden aangevuld.
2. Verwerkingsverantwoordelijke beslist over melding aan de Autoriteit Persoonsgegevens en betrokkenen.
3. Verwerker verleent redelijke hulp bij een gegevensbeschermingseffectbeoordeling, voorafgaande raadpleging of onderzoek van een toezichthouder, voor zover dit verband houdt met de verwerking onder deze overeenkomst.
4. Verwerker helpt Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking en de aan Verwerker beschikbare informatie, bij de naleving van de verplichtingen uit artikelen 32 tot en met 36 AVG.

Artikel 12 – Teruggave en verwijdering

1. Tijdens de overeenkomst kan Verwerkingsverantwoordelijke de beschikbare gegevens exporteren via de aangeboden functies.
2. Zonder afwijkende gedocumenteerde instructie verwijdert Verwerker iedere Verklaring, het ontvangstbewijs, de interne notitie en de bijbehorende aflevergegevens uiterlijk 24 maanden na indiening.
3. Na beëindiging kiest Verwerkingsverantwoordelijke voor teruggave/export en/of verwijdering van de persoonsgegevens. De tijdens de overeenkomst beschikbare CSV-export geldt als de standaardvorm van teruggave.
4. Een verwijderinstructie kan worden gegeven via info@herroepingsfunctie.nl of via een ander aantoonbaar tussen partijen overeengekomen kanaal. Verwerker mag controleren of de instructie afkomstig is van een bevoegde vertegenwoordiger van Verwerkingsverantwoordelijke en behandelt de instructie handmatig.
5. Zonder een tijdige afwijkende keuze verwijdert Verwerker alle persoonsgegevens in actieve systemen en alle regulier toegankelijke kopieën uiterlijk binnen 30 dagen na beëindiging.
6. Deze verplichting geldt niet voor gegevens die Verwerker wettelijk moet bewaren. Die gegevens worden afgeschermd en alleen voor die wettelijke verplichting gebruikt.
7. Resterende kopieën in beveiligde back-ups blijven geïsoleerd van regulier gebruik, worden bij een herstelactie opnieuw verwijderd en verdwijnen volgens de technisch geldende overschrijfcyclus.
8. Geanonimiseerde gegevens die niet meer tot een persoon herleidbaar zijn, vallen niet onder de verwijderplicht.

Artikel 13 – Informatie en controle

1. Verwerker stelt informatie beschikbaar die redelijkerwijs nodig is om naleving van artikel 28 AVG aan te tonen, zoals beveiligingsinformatie, deze overeenkomst en relevante verklaringen of rapporten van leveranciers.
2. Verwerkingsverantwoordelijke kan maximaal eenmaal per jaar een aanvullende schriftelijke controle vragen, tenzij een incident of concrete aanwijzing van niet-naleving een extra controle rechtvaardigt. Deze frequentiebeperking geldt niet wanneer een wettelijke verplichting, opdracht van een toezichthouder, inbreuk in verband met persoonsgegevens of concrete ernstige aanwijzing van niet-naleving een aanvullende controle noodzakelijk maakt.
3. Een fysieke of technische audit:

• wordt minimaal dertig dagen vooraf aangekondigd;
• vindt tijdens normale kantooruren plaats;
• verstoort de dienstverlening zo min mogelijk;
• respecteert vertrouwelijkheid, beveiliging en rechten van andere klanten. De aankondigingstermijn geldt niet voor zover een wettelijke verplichting, opdracht van een toezichthouder, inbreuk in verband met persoonsgegevens of concrete ernstige aanwijzing van niet-naleving een kortere termijn noodzakelijk maakt.

1. Redelijke kosten van een audit zijn voor Verwerkingsverantwoordelijke, tenzij de audit een wezenlijke toerekenbare tekortkoming van Verwerker aantoont.
2. Een audit geeft geen recht op toegang tot gegevens van andere klanten, geheime sleutels, broncode of informatie die de beveiliging zou verzwakken.

Artikel 14 – Aansprakelijkheid en looptijd

1. De aansprakelijkheidsafspraken uit de algemene voorwaarden zijn ook op deze verwerkersovereenkomst van toepassing, voor zover wettelijk toegestaan.
2. Deze afspraken regelen uitsluitend de onderlinge contractuele verhouding tussen Verwerker en Verwerkingsverantwoordelijke. Zij beperken niet de rechten die een betrokkene rechtstreeks aan de AVG ontleent en binden geen toezichthouder.
3. Voor zover een van de partijen op grond van de AVG volledige schade aan een betrokkene heeft vergoed, kan zij uitsluitend regres nemen op de andere partij voor het deel dat volgens de AVG en de aantoonbare verantwoordelijkheid voor rekening van die andere partij behoort te komen. In de onderlinge verhouding blijven de contractuele uitsluitingen en beperkingen gelden voor zover het recht dat toestaat.
4. Deze verwerkersovereenkomst loopt zolang Verwerker namens Verwerkingsverantwoordelijke persoonsgegevens verwerkt.
5. Verplichtingen die naar hun aard doorlopen, waaronder geheimhouding, verwijdering en medewerking bij lopende incidenten, blijven na beëindiging gelden.