Verwerkersovereenkomst (DPA)

Overeenkomst overeenkomstig Art. 28 AVG · DPA-versie: Versie 1

Tussen [Verwerkingsverantwoordelijke]

— hierna de “Verwerkingsverantwoordelijke” —

en Trust Center

— hierna de “Verwerker” —

Machinevertaling – niet juridisch bindend. Maatgevend zijn de EN/FR-versies. In voorbereiding, juridische toetsing in afwachting.

Verwerkersovereenkomst

Deze Verwerkersovereenkomst ("DPA") maakt deel uit van de overeenkomst tussen de Klant ("Verwerkingsverantwoordelijke") en Fotosoft SA, een vennootschap naar Belgisch recht (ondernemingsnr. BE 0721.709.989), die het fotostudio.io-platform exploiteert ("Verwerker"), en regelt de verwerking van persoonsgegevens op grond van Artikel 28 AVG.

1. Rollen en voorwerp

De Klant (een professionele fotograaf of studio) is de Verwerkingsverantwoordelijke van de persoonsgegevens die hij in het platform uploadt of genereert. Fotosoft treedt uitsluitend op als Verwerker en verwerkt die gegevens op de gedocumenteerde instructies van de Verwerkingsverantwoordelijke om de dienst te leveren (CRM, boekingen, galerijen, contracten, facturatie, e-mail).

2. Aard, doel en duur

Fotosoft verbindt zich ertoe de gegevens uitsluitend binnen het kader van deze doeleinden te verwerken ("Fotosoft verwerkt de gegevens uitsluitend om de dienst te exploiteren"). De verwerking duurt voort gedurende de looptijd van het abonnement van de Verwerkingsverantwoordelijke.

3. Categorieën van gegevens en betrokkenen

Betrokkenen: de klanten en contacten van de Verwerkingsverantwoordelijke, en het personeel van de Verwerkingsverantwoordelijke.
Categorieën: identificatie- en contactgegevens, boekings- en contractgegevens, facturatiegegevens en geüpload beeldmateriaal.

4. Verplichtingen van de Verwerker

Fotosoft zal: gegevens uitsluitend op gedocumenteerde instructies verwerken; ervoor zorgen dat personen die gemachtigd zijn om gegevens te verwerken tot vertrouwelijkheid zijn gehouden; de maatregelen in Bijlage 1 (TOMs) implementeren; de Verwerkingsverantwoordelijke bijstaan bij verzoeken van betrokkenen en bij zijn verplichtingen op grond van Artikel 32–36 AVG; en de gegevens aan het einde van de opdracht verwijderen of teruggeven (zie §8).

5. Subverwerkers

5.1 Algemene toestemming. De Verwerkingsverantwoordelijke verleent Fotosoft een algemene schriftelijke toestemming in de zin van art. 28, lid 2, tweede zin, AVG om andere verwerkers in te schakelen („subverwerkers"). De op de datum van sluiting toegestane subverwerkers zijn opgenomen in Bijlage 2.

5.2 Dynamische lijst. De actuele lijst van alle ingeschakelde subverwerkers — met inbegrip van naam, doel, locatie en categorieën van gegevens — wordt door Fotosoft doorlopend en met versiebeheer bijgehouden in het Trust Center, in de rubriek „Subverwerkers". Deze dynamische lijst is bepalend en maakt deel uit van deze AVV; Bijlage 2 geeft de stand ervan op de datum van sluiting weer.

5.3 Voorafgaande kennisgeving. Wanneer Fotosoft voornemens is een subverwerker toe te voegen of te vervangen, stelt Fotosoft de Verwerkingsverantwoordelijke daarvan met een redelijke termijn vooraf, vóór de beoogde ingangsdatum, in kennis. De kennisgeving gebeurt actief per e-mail aan het voor de gesloten AVV geregistreerde adres van de Verwerkingsverantwoordelijke; daarnaast kan de Verwerkingsverantwoordelijke zich in het Trust Center abonneren op wijzigingsmeldingen. Het is aan de Verwerkingsverantwoordelijke om een geldig en actueel contact-e-mailadres bij te houden.

5.4 Recht van bezwaar. De Verwerkingsverantwoordelijke kan tegen een voorgenomen wijziging op een gerechtvaardigde, met gegevensbescherming samenhangende grond bezwaar maken tot de aangekondigde ingangsdatum. Wordt tot dan geen bezwaar gemaakt, dan geldt de wijziging als goedgekeurd en wordt zij op de aangekondigde datum van kracht.

5.5 Gevolgen van bezwaar. In geval van bezwaar zoeken de partijen te goeder trouw naar een minnelijke oplossing. Kan deze niet binnen een redelijke termijn worden gevonden, dan kan de Verwerkingsverantwoordelijke, voor het betrokken deel van de Dienst waarvoor de subverwerker nodig is, buitengewoon opzeggen. Het verwijderen van een subverwerker zonder vervanging vormt geen aan goedkeuring onderworpen wijziging en vereist geen voorafgaande toestemming.

5.6 Doorgifte van verplichtingen. Fotosoft legt elke subverwerker bij overeenkomst in wezen dezelfde gegevensbeschermingsverplichtingen op als die welke in deze AVV zijn overeengekomen, en blijft jegens de Verwerkingsverantwoordelijke aansprakelijk voor de naleving door de subverwerker.

6. Technische en organisatorische maatregelen (TOMs)

6.1 Maatregelen. Fotosoft implementeert en handhaaft de technische en organisatorische maatregelen op grond van Artikel 32 AVG die een op het risico afgestemd beveiligingsniveau waarborgen. De op de datum van sluiting geldende maatregelen zijn opgenomen in Bijlage 1.

6.2 Dynamisch document. De actuele versie van de TOMs — met inbegrip van hun reikwijdte en inhoud — wordt door Fotosoft doorlopend en met versiebeheer bijgehouden in het Trust Center. Deze versie is bepalend en maakt deel uit van deze AVV; Bijlage 1 geeft de stand ervan op de datum van sluiting weer.

6.3 Actualiseringen. Fotosoft kan de TOMs aanpassen aan technische en organisatorische ontwikkelingen, mits het overeengekomen beschermingsniveau niet wezenlijk wordt verlaagd. Anders dan voor subverwerkers (§5) geldt in dit opzicht geen recht van toestemming of bezwaar.

6.4 Informatie. Wijzigingen van de TOMs worden traceerbaar gemaakt door versiebeheer in het Trust Center, waar de Verwerkingsverantwoordelijke zich kan abonneren op wijzigingsmeldingen. Een actieve individuele kennisgeving per e-mail is hiervoor niet vereist.

7. Internationale doorgiften

Fotosoft geeft geen persoonsgegevens door buiten de Europese Economische Ruimte, behalve wanneer dit gedekt is door een adequaatheidsbesluit of passende waarborgen zoals de EU-modelcontractbepalingen. Alle gegevens worden uitsluitend in Europa gehost.

Review note (EN): some sub-processors (Heroku/Salesforce, AWS, Stripe, PayPal, SMTP2GO) have US parent companies. Confirm transfer mechanisms with counsel even though storage is in the EU.

8. Verwijdering

Bij beëindiging worden alle persoonsgegevens binnen 30 dagen permanent van de servers verwijderd; back-ups worden verwijderd nadat hun bewaartermijn is verstreken.

9. Beveiligingsincidenten

Fotosoft stelt de Verwerkingsverantwoordelijke zonder onnodige vertraging in kennis, en binnen 72 uur wanneer de inbreuk persoonsgegevens treft.

10. Audits

Fotosoft stelt de informatie ter beschikking die nodig is om de naleving van Artikel 28 AVG aan te tonen.

11. Toepasselijk recht

Deze DPA wordt beheerst door het Belgische recht; de bevoegde rechtbanken zijn die van Luik.

Bijlage 1 — Technische en organisatorische maatregelen

Geeft de stand van het TOMs-document op de datum van sluiting weer. De actuele versie wordt in het Trust Center bijgehouden en met versiebeheer beheerd (§6.2).

Bijlage 2 — Toegestane subverwerkers

Zie de afzonderlijke lijst met subverwerkers, die bepalend is en de actuele stand weergeeft (§5.2). Bijlage 2 geeft de stand ervan op de datum van sluiting weer.