Verwerkersovereenkomst | Sales Optimization B.V.

PARTIJEN:

1. Sales Optimization B.V., statutair gevestigd aan Johan Huizingalaan 763 A, 1066VH Amsterdam, ingeschreven bij de Kamer van Koophandel onder nummer 88991229 en rechtsgeldig vertegenwoordigd door de heer D. de Vries, hierna: “Gegevensverwerker”; en

2. De partij die als “KLANT” in de ondertekende Dienstverleningsovereenkomst is aangeduid, hierna: “Gegevensverwerkingsverantwoordelijke” of “KLANT“.

Afzonderlijk hierna: “Partij” en gezamenlijk: “Partijen”.

OVERWEGENDE DAT:

• Een overeenkomst is gesloten tussen de Verwerker en de Verwerkingsverantwoordelijke, op grond waarvan de Verwerker werkzaamheden voor de Verwerkingsverantwoordelijke uitvoert, bestaande uit het leveren van (online) diensten, hierna “Dienstverleningsovereenkomst”;

• De Verwerker namens de Verwerkingsverantwoordelijke Persoonsgegevens Verwerkt, zoals bedoeld in de Algemene verordening gegevensbescherming (“AVG“), bij het nakomen van verplichtingen uit de Dienstverleningsovereenkomst;

• Partijen afspraken willen maken over het Verwerken van Persoonsgegevens in deze verwerkersovereenkomst (“DPA”) in de zin van artikel 28(3) van de Verordening;

• De Verwerker tijdens uitvoering van de Dienstverleningsovereenkomst kan worden aangemerkt als verwerker in de zin van artikel 4(8) van de AVG;

• De Verwerkingsverantwoordelijke wordt aangemerkt als verwerkingsverantwoordelijke in de zin van artikel 4(7) van de AVG.

VERKLAREN HET VOLGENDE TE ZIJN OVEREENGEKOMEN:

Artikel 1 - Definities

1. In deze DPA hebben termen met een hoofdletter de betekenis die artikel 4 van de AVG daaraan geeft. Daarnaast gelden de volgende definities:

2. Algemene voorwaarden: de meest recente versie van de voorwaarden van de Verwerker die op de Dienstverleningsovereenkomst van toepassing zijn.

3. AVG: Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens en het vrije verkeer daarvan, en tot intrekking van Richtlijn 95/46/EG (Algemene verordening gegevensbescherming).

4. AP: Autoriteit Persoonsgegevens (Nederlandse toezichthouder).

5. Medewerker(s): personen die bij of voor de Verwerker werken, als werknemer, zelfstandige of als (tijdelijk) gedetacheerd, uitgeleend of payrollpersoneel. 

6. Schriftelijk: per post of e-mail.

7. Dienstverleningsovereenkomst: de overeenkomst tussen de Verwerker en de Verwerkingsverantwoordelijke op grond waarvan de Verwerker (online) diensten voor de Verwerkingsverantwoordelijke levert.

8.  Dienst(en): de door de Verwerker geleverde diensten zoals afgesproken in de Dienstverleningsovereenkomst.

9. Subverwerkers: door de Verwerker ingeschakelde verwerkers die namens de Verwerker en ten behoeve van de Verwerkingsverantwoordelijke Persoonsgegevens verwerken.

10. UAVG: Wet van 16 mei 2018, houdende regels ter uitvoering van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens en het vrije verkeer daarvan, en tot intrekking van Richtlijn 95/46/EG (Algemene verordening gegevensbescherming) (Publicatieblad van de Europese Unie 2016, L 119) (Uitvoeringswet Algemene verordening gegevensbescherming).

Artikel 2 - Onderwerp van de DPA

1. Deze DPA regelt het Verwerken van Persoonsgegevens door de Verwerker bij uitvoering van de Dienstverleningsovereenkomst.

2. De Verwerkingsverantwoordelijke bepaalt het doel en de middelen waarmee de Verwerker de Persoonsgegevens Verwerkt.

3. De Verwerker verwerkt Persoonsgegevens namens de Verwerkingsverantwoordelijke volgens diens schriftelijke instructies en uitsluitend om de Diensten te leveren zoals beschreven in de Dienstverleningsovereenkomst.

4. De aard en het doel van de Verwerking, het type Persoonsgegevens en de categorieën Betrokkenen staan beschreven in Bijlagen 1 tot en met 3, afhankelijk van welke Dienst(en) de Verwerkingsverantwoordelijke afneemt, zoals beschreven in de Dienstverleningsovereenkomst of aanvullend Schriftelijk overeengekomen.

5. Partijen houden zich bij het Verwerken van Persoonsgegevens aan de AVG, de UAVG en andere toepasselijke wet- en regelgeving.

Artikel 3 - Verantwoordelijkheden van de Verwerker

1. De Verwerker Verwerkt Persoonsgegevens namens de Verwerkingsverantwoordelijke volgens diens Schriftelijke instructies en uitsluitend om de Diensten te leveren zoals beschreven in de Dienstverleningsovereenkomst. Als toepasselijk Unierecht of lidstatelijk recht Verwerking voor andere doeleinden vereist, informeert de Verwerker de Verwerkingsverantwoordelijke vóór die Verwerking, tenzij die wetgeving zo'n melding verbiedt.

2. De Verwerker informeert de Verwerkingsverantwoordelijke onmiddellijk als diens instructies naar het oordeel van de Verwerker de AVG, UAVG en/of andere toepasselijke wet- en regelgeving schenden. 

3. De Verwerker zorgt dat personen die Persoonsgegevens mogen verwerken zich tot geheimhouding hebben verbonden of een passende wettelijke geheimhoudingsplicht hebben. De Verwerker geeft Medewerkers en/of Subverwerkers alleen toegang tot Persoonsgegevens voor zover dat nodig is voor uitvoering van de Dienstverleningsovereenkomst.

4. De Verwerker kan Persoonsgegevens uit bronnen van derden aan de Verwerkingsverantwoordelijke verstrekken. Dit wordt vooraf afgestemd. De Verwerkingsverantwoordelijke stemt volledig in met deze gegevensverzameling en de verdere Verwerking daarvan.

5. De Verwerker voert passende technische en organisatorische maatregelen in voor een beveiligingsniveau dat past bij het risico, overeenkomstig artikel 32 van de AVG. Een beschrijving daarvan staat in Bijlage 4.

Artikel 4 - Verantwoordelijkheden van de Verwerkingsverantwoordelijke

1. De Verwerker heeft de Persoonsgegevens namens de Verwerkingsverantwoordelijke verzameld volgens diens Schriftelijke instructies binnen de Dienstverleningsovereenkomst. De Verwerkingsverantwoordelijke garandeert dat de gegeven Schriftelijke instructies in overeenstemming zijn met de AVG.

Artikel 5 - Auditrechten

1. Op verzoek verstrekt de Verwerker de informatie die redelijkerwijs nodig is om naleving van de verplichtingen in deze DPA aan te tonen. 

2. De Verwerker staat een audit, inclusief inspecties, toe en draagt daaraan bij wanneer de Verwerkingsverantwoordelijke die verzoekt en een onafhankelijke deskundige auditor met geheimhoudingsplicht deze uitvoert.

3. De Verwerkingsverantwoordelijke mag maximaal eenmaal per jaar een audit uitvoeren. Een extra audit mag alleen voor zover een inbreuk in verband met Persoonsgegevens onder deze DPA heeft plaatsgevonden die de meldplicht van artikel 33 van de AVG activeert. Die extra audit blijft beperkt tot de aard en omvang van de betreffende inbreuk. 

4. Bij een auditverzoek mag de Verwerker eerst resultaten van eerder uitgevoerde audits verstrekken. Wil de Verwerkingsverantwoordelijke daarna nog een onafhankelijke deskundige auditor inzetten, dan moet zij aangeven waarom de verstrekte resultaten onvoldoende zijn. In dat geval staat de Verwerker een audit toe op een door Partijen afgesproken tijdstip, maar niet vaker dan eenmaal per jaar.

5. De kosten van een door de Verwerkingsverantwoordelijke geïnitieerde audit komen voor haar rekening. 

6. Partijen bespreken de auditresultaten en mogelijke vervolgstappen in onderling overleg.

Artikel 6 - Subverwerking

1. Door ondertekening van deze DPA geeft de Gegevensverwerkingsverantwoordelijke de Verwerker specifieke Schriftelijke toestemming  voor het inschakelen van de Subverwerkers genoemd in Bijlagen 1 tot en met 3 ter ondersteuning van de Dienst(en) zoals beschreven in de Dienstverleningsovereenkomst.

2. De Verwerkingsverantwoordelijke geeft de Verwerker algemene Schriftelijke toestemming om Subverwerkers toe te voegen of te vervangen. De Verwerker informeert haar over alle huidige en voorgenomen Subverwerkers via de actuele lijst op haar website: https://leadhq.io/data-processing-agreement-sales-optimization/. De Verwerkingsverantwoordelijke kan op redelijke gronden Schriftelijk bezwaar maken tegen wijzigingen in de Subverwerkerslijst. Bij bezwaar overleggen Partijen om tot een redelijke oplossing te komen.

3. Wanneer de Verwerker een Subverwerker inschakelt voor specifieke Verwerkingsactiviteiten, zorgt zij dat een schriftelijke overeenkomst die Subverwerker bindt aan overeenkomstige gegevensbeschermingsverplichtingen als die voor de Verwerker uit deze DPA voortvloeien.

Artikel 7 - Internationale doorgiften

1. De Verwerker kan bij het leveren van de afgenomen Dienst(en) Persoonsgegevens doorgeven aan een derde land of internationale organisatie buiten de Europese Economische Ruimte (EER). 

2. De Verwerker geeft Persoonsgegevens alleen door buiten de EER als zij de noodzakelijke maatregelen heeft genomen om de doorgifte aan de AVG te laten voldoen, bijvoorbeeld standaardcontractbepalingen.

3. Zonder voorafgaande Schriftelijke toestemming van de Verwerkingsverantwoordelijke geeft de Verwerker geen andere Persoonsgegevens buiten de EER door dan de gegevens die momenteel in Bijlagen 1 tot en met 3 staan, tenzij de wet dit verplicht. Voor zover wettelijk toegestaan informeert de Verwerker de Verwerkingsverantwoordelijke over verplichtingen tot internationale doorgifte. 

Artikel 8 - Melding van inbreuken in verband met Persoonsgegevens

1. Zodra de Verwerker een inbreuk in verband met Persoonsgegevens ontdekt, meldt zij deze onverwijld, zonder onredelijke vertraging en waar mogelijk uiterlijk 48 uur na ontdekking aan de Verwerkingsverantwoordelijke.

2. De melding beschrijft ten minste de aard van de inbreuk, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.

3. De verplichting om de inbreuk aan de AP en/of Betrokkene(n) te melden ligt bij de Verwerkingsverantwoordelijke.

4. Na oplossing van de inbreuk evalueren Partijen deze en bepalen zij in gezamenlijk overleg en redelijkheid of aanvullende maatregelen nodig zijn om toekomstige inbreuken te voorkomen.

Artikel 9 - Rechten van Betrokkenen

1. Als een Betrokkene bij de Verwerker een verzoek indient over rechten uit hoofdstuk III van de AVG, zoals inzage, rectificatie of wissen, stuurt de Verwerker dat verzoek onverwijld en uiterlijk binnen één (1) week na ontvangst door aan de Verwerkingsverantwoordelijke. De Verwerker verleent alle redelijkerwijs noodzakelijke ondersteuning voor het beantwoorden van het verzoek.

2. De Verwerkingsverantwoordelijke behandelt verzoeken van Betrokkenen, communiceert daarover tijdig, beslist of zij eraan voldoet en geeft zo nodig een uitvoeringsinstructie aan de Verwerker. Afhankelijk van de instructie kan de Verwerker redelijke kosten rekenen.

Artikel 10 - Ondersteuning en kosten

1. De Verwerker verleent alle redelijkerwijs noodzakelijke ondersteuning bij de verplichtingen uit artikelen 32 tot en met 36 van de AVG. De Verwerker kan daarvoor redelijke kosten rekenen.

Artikel 11 - Duur en beëindiging

1. Deze DPA treedt in werking wanneer beide Partijen haar (digitaal) hebben goedgekeurd en eindigt wanneer de Dienstverleningsovereenkomst eindigt of de Verwerker geen Persoonsgegevens meer verwerkt. Tijdens de looptijd kan deze DPA niet los van de Dienstverleningsovereenkomst worden beëindigd.

2. De Verwerker bewaart Persoonsgegevens niet langer dan de afgesproken termijnen in Bijlagen 1 tot en met 3 of tot het einde van de DPA.

3. Als de Verwerker om welke reden ook niet aan de DPA kan voldoen, informeert zij de Verwerkingsverantwoordelijke onverwijld. Partijen overleggen vervolgens over een redelijke oplossing.

4. Bij beëindiging van de Dienstverleningsovereenkomst verwijdert of retourneert de Verwerker naar keuze van de Verwerkingsverantwoordelijke alle Persoonsgegevens en verwijdert bestaande kopieën, tenzij toepasselijk recht opslag vereist. Bij een wettelijke bewaarplicht informeert de Verwerker de Verwerkingsverantwoordelijke voor zover de wet dat toestaat.

Artikel 12 - Aansprakelijkheid

1. De aansprakelijkheid van iedere Partij onder deze DPA valt onder de beperkingen en uitsluitingen van artikel 12 van de Algemene voorwaarden.

Artikel 13 - Slotbepalingen 

1. De Verwerker kan deze DPA alleen wijzigen met een voorafgaande Schriftelijke kennisgeving van 30 dagen. Als de Verwerkingsverantwoordelijke niet instemt met een wezenlijke wijziging, overleggen Partijen over een redelijke oplossing. Wordt die niet bereikt, dan mag de Verwerkingsverantwoordelijke de Dienstverleningsovereenkomst en deze DPA beëindigen op de in de Dienstverleningsovereenkomst afgesproken wijze.

2. Als een bepaling in deze DPA ongeldig blijkt, beïnvloedt dat de geldigheid van de overige bepalingen niet. De Verwerkingsverantwoordelijke overlegt dan met de Verwerker om gezamenlijk een nieuwe bepaling te formuleren.

3. In alle gevallen waarin deze DPA niet voorziet, beslissen Partijen in onderling overleg.

4. Op deze DPA is Nederlands recht van toepassing.

5. Geschillen uit of in verband met deze DPA worden uitsluitend voorgelegd aan de rechter die ook bevoegd is voor zaken over de Dienstverleningsovereenkomst.

6. Deze DPA omvat de volgende Bijlagen, die een integraal onderdeel ervan vormen:

   1. Bijlage 1: Prospecting as a Service

      1. Beschrijving van Verwerkingsactiviteiten;

      2. Subverwerkers.

   2. Bijlage 2: Outbound Infrastructure as a Service

      1. Beschrijving van Verwerkingsactiviteiten;

      2. Subverwerkers.

   3. Bijlage 3: SDR as a Service

      1. Beschrijving van Verwerkingsactiviteiten;

      2. Subverwerkers.

   4. Bijlage 4: Beveiligingsmaatregelen

7. Deze DPA vormt een integraal onderdeel van de Dienstverleningsovereenkomst en/of andere overeenkomsten tussen Partijen over de Diensten. Voor zover bepalingen van de DPA strijdig zijn met de Dienstverleningsovereenkomst, gaan de bepalingen van de Dienstverleningsovereenkomst voor.

Bijlage 1 - Prospecting as a Service

Op basis van de doelgroepbeschrijving van de Klant zoekt de Verwerker naar bedrijven en contactpersonen die aan die beschrijving voldoen. De Verwerker haalt deze informatie uit verschillende databases.  

Beschrijving van Verwerkingsactiviteiten

De Verwerkingsverantwoordelijke Verwerkt de volgende Persoonsgegevens namens en ten behoeve van de Verwerkingsverantwoordelijke:

Subverwerkers

Bij ondertekening van deze DPA heeft de Verwerker de volgende Subverwerkers ingeschakeld, waarvoor de Verwerkingsverantwoordelijke specifieke Schriftelijke toestemming geeft overeenkomstig artikel 6 van deze DPA.

Een actuele Subverwerkerslijst wordt bijgehouden op https://leadhq.io/data-processing-agreement-sales-optimization/.

Bijlage 2 - Outbound Infrastructure as a Service

De verwerker richt de infrastructuur voor benaderingsactiviteiten van de klant in en onderhoudt deze.

Beschrijving van Verwerkingsactiviteiten

De Verwerker verwerkt de volgende Persoonsgegevens namens en ten behoeve van de Verwerkingsverantwoordelijke. Deze Persoonsgegevens zijn waar mogelijk afgeleid van de Persoonsgegevens verzameld voor de Diensten in Bijlage 1:

Subverwerkers

Bij ondertekening van deze DPA heeft de Verwerker de volgende Subverwerkers ingeschakeld, waarvoor de Verwerkingsverantwoordelijke specifieke Schriftelijke toestemming geeft overeenkomstig artikel 6 van deze DPA. Een actuele Subverwerkerslijst wordt bijgehouden op https://leadhq.io/data-processing-agreement-sales-optimization/.

Bijlage 3 - SDR as a Service 

De Verwerker stelt een Medewerker beschikbaar die verkooptaken voor de Klant uitvoert om te zorgen dat de Klant uiteindelijk een potentiële Klant ontmoet. De Medewerker werkt daarbij rechtstreeks in systemen die door de Verwerkingsverantwoordelijke worden geleverd en beheerd.

Beschrijving van Verwerkingsactiviteiten

De Verwerker verwerkt de volgende Persoonsgegevens namens en ten behoeve van de Verwerkingsverantwoordelijke. Deze Persoonsgegevens zijn waar mogelijk afgeleid van de Persoonsgegevens verzameld voor de Diensten in Bijlage 1:

Subverwerkers

Bij ondertekening van deze DPA heeft de Verwerker de volgende Subverwerkers ingeschakeld, waarvoor de Verwerkingsverantwoordelijke specifieke Schriftelijke toestemming geeft overeenkomstig artikel 6 van deze DPA. Een actuele Subverwerkerslijst wordt bijgehouden op https://leadhq.io/data-processing-agreement-sales-optimization/.

Bijlage 4 - Beveiligingsmaatregelen

• We gebruiken de nieuwste antivirussoftware op onze computers.

• Al onze accounts zijn beveiligd met 2FA (2-factor-authenticatie).

• De deuren van ons kantoor zijn altijd op slot wanneer we niet aanwezig zijn.

• Alle systeemwachtwoorden worden regelmatig opnieuw ingesteld.

• Periodiek wordt een volledige beveiligingsaudit uitgevoerd.

• We nemen maatregelen zodat medewerkers alleen toegang tot gevoelige gegevens hebben wanneer dat nodig is en trekken de toegang na voltooiing in.