Overeenkomst voor orderverwerking

Deze gegevensverwerkingsovereenkomst ("DPA") wordt tussen partijen gesloten met betrekking tot de verwerking van persoonsgegevens in het kader van de hoofdovereenkomst (hierna de "hoofdovereenkomst" genoemd). Voor het leveren van diensten onder het hoofdcontract (“Diensten”) is de verwerking van gegevens vereist. Indien en voor zover dergelijke gegevens uit persoonsgegevens bestaan of deze bevatten, treedt de gegevensverwerker op als gegevensverwerker met betrekking tot dergelijke gegevens, terwijl de verwerkingsverantwoordelijke de verwerkingsverantwoordelijke van dergelijke gegevens blijft in overeenstemming met artikel 28 van de Algemene Verordening Gegevensbescherming (hierna te noemen "AVG").

De Diensten worden door de Gegevensverwerker op zodanige wijze geleverd dat de Verwerkingsverantwoordelijke zijn eigen gegevens verstrekt, de overdracht ervan naar de Gegevensverwerker controleert en, in het geval van Software-as-a-Service (SaaS)-modellen, rechtstreeks de verwerking controleert van dergelijke gegevens die naar de Diensten worden geüpload. De Verwerkingsverantwoordelijke gaat ermee akkoord en begrijpt dat de Gegevensverwerker de gegevens van de Verwerkingsverantwoordelijke of de omgang met dergelijke gegevens door de Verwerkingsverantwoordelijke niet controleert, tenzij de Verwerkingsverantwoordelijke de Gegevensverwerker specifiek om toegang tot dergelijke gegevens verzoekt. Daarom is het uitsluitend de verantwoordelijkheid en verplichting van de Verwerkingsverantwoordelijke om ervoor te zorgen dat de gegevens van de Verwerkingsverantwoordelijke worden verzameld en overgedragen in overeenstemming met de toepasselijke wetgeving inzake gegevensbescherming en, in het bijzonder, dat hiervoor een wettelijke basis bestaat en dat de betrokkenen naar behoren worden geïnformeerd over de verzameling en verwerking van hun persoonsgegevens.

Als Gegevensverwerker zal de Gegevensverwerker de Persoonsgegevens van de Verwerkingsverantwoordelijke uitsluitend verwerken in overeenstemming met de bepalingen van deze Gegevensverwerkingsovereenkomst (DPA) en de gedocumenteerde instructies van de Verwerkingsverantwoordelijke. Indien de gegevensverwerker op grond van het Unierecht of het recht van de lidstaten waar hij onderworpen is aan verdere verwerking van persoonsgegevens verplicht is, zal de gegevensverwerker de verwerkingsverantwoordelijke vóór de verwerking op de hoogte stellen van deze wettelijke vereisten, tenzij de relevante wet een dergelijke kennisgeving verbiedt op grond van een belangrijk openbaar belang; in dit laatste geval informeert de gegevensverwerker de verantwoordelijke over verdere verwerking zodra dit wettelijk toegestaan is. De Gegevensverwerker zal ervoor zorgen en regelmatig verifiëren dat de verwerking van Persoonsgegevens binnen zijn verantwoordelijkheidsgebied, inclusief eventuele door hem ingeschakelde subverwerkers, wordt uitgevoerd in overeenstemming met de bepalingen van deze DPA, de toepasselijke wetgeving inzake gegevensbescherming en in het bijzonder de AVG.

De details van de verwerking worden beschreven in de volgende bepalingen en in het hoofdcontract. Rekening houdend met zijn verplichtingen als verwerkingsverantwoordelijke, zal de verwerkingsverantwoordelijke de verwerker informeren indien het nodig is om de bepalingen uit de hoofdovereenkomst aan te vullen.

Verwerker verwerkt Persoonsgegevens zoals beschreven in de Hoofdovereenkomst.

De verwerker verwerkt persoonsgegevens doorgaans voor de duur van de hoofdovereenkomst en deze contractverwerkingsovereenkomst, tenzij schriftelijk anders overeengekomen.

Verwerker verwerkt Persoonsgegevens uitsluitend op zijn eigen terrein of op het terrein van zijn geautoriseerde subverwerkers. Alle verwerkingen worden doorgaans uitgevoerd in de lidstaten van de Europese Unie of in een andere staat die partij is bij de Overeenkomst betreffende de Europese Economische Ruimte.

Elke verwerking van persoonsgegevens buiten de EU/EER is alleen toegestaan ​​met voorafgaande toestemming tussen de partijen en alleen als aan de vereisten van artikel 44 en volgende wordt voldaan. Er wordt voldaan aan de AVG.

Partijen komen overeen dat deze DPA de algemene instructies van Verwerkingsverantwoordelijke bevat met betrekking tot de verwerking van Persoonsgegevens namens Verwerker.

Eventuele specifieke instructies van Verwerkingsverantwoordelijke die afwijken van de bepalingen van deze Verwerkersovereenkomst of nieuwe, aanvullende verplichtingen aan Verwerker opleggen, vereisen voor hun werking de toestemming van Verwerker. Voor dergelijke specifieke instructies zullen de partijen, indien van toepassing, de wijzigingsprocedure toepassen die is overeengekomen in het hoofdcontract.

Het is de verantwoordelijkheid van de Verwerkingsverantwoordelijke om ervoor te zorgen dat de instructies die hij geeft met betrekking tot de verwerking van persoonsgegevens namens de Verwerkingsverantwoordelijke voldoen aan de toepasselijke wetgeving inzake gegevensbescherming en dat de Verwerker persoonsgegevens kan verwerken in overeenstemming met die instructies zonder de toepasselijke wetgeving inzake gegevensbescherming, in het bijzonder de AVG, te schenden. Indien Verwerker van mening is dat een instructie van Verwerkingsverantwoordelijke in strijd is met de toepasselijke wetgeving inzake gegevensbescherming, zal Verwerker Verwerkingsverantwoordelijke daarvan op de hoogte stellen. In dergelijke gevallen heeft de verwerker het recht om de uitvoering van de opdracht te weigeren totdat de verwerkingsverantwoordelijke deze bevestigt.

Specifieke instructies van de verantwoordelijke persoon moeten schriftelijk of tenminste in tekstvorm worden gegeven door personen die daartoe namens de verantwoordelijke persoon bevoegd zijn. Mondeling gegeven instructies moeten, om effectief te zijn, onmiddellijk en in ieder geval in tekstvorm worden bevestigd door een van de bevoegde personen.

Werknemers van de gegevensverwerker: (i) voor zover zij bevoegd zijn om persoonsgegevens te verwerken, verplicht zijn tot geheimhouding of onderworpen zijn aan een passende wettelijke geheimhoudingsplicht; (ii) persoonlijke gegevens alleen verwerken in overeenstemming met de instructies van de gegevensverwerker, tenzij er een verplichting bestaat om anderszins te verwerken op grond van de toepasselijke wetgeving inzake gegevensbescherming; en (iii) regelmatig op de hoogte zullen worden gehouden van de verplichtingen onder deze DPA en de toepasselijke wetgeving inzake gegevensbescherming, in het bijzonder de AVG.

De gegevensverwerker mag geen kopieën of duplicaten maken van de persoonsgegevens die namens de verwerkingsverantwoordelijke worden verwerkt zonder voorafgaande toestemming van de verwerkingsverantwoordelijke. Dit is uitgezonderd kopieën die nodig zijn om een ​​goede gegevensverwerking en goede dienstverlening (waaronder gegevensback-up) te garanderen, evenals kopieën die nodig zijn om aan wettelijke bewaarplichten te voldoen.

De verwerker stelt een deskundige en betrouwbare functionaris gegevensbescherming aan indien en zolang de wettelijke vereisten voor de aanstelling van een functionaris gegevensbescherming bestaan. De verwerker verstrekt aan de verwerkingsverantwoordelijke de contactgegevens van een dergelijke aangestelde functionaris voor gegevensbescherming.

Voordat de gegevensverwerker met de verwerking begint, implementeert hij het volgende www.fitness-nation.com/support/tom.html technische en organisatorische maatregelen vermeld en handhaaft deze gedurende de gehele looptijd van deze orderverwerkingsovereenkomst. Deze technische en organisatorische maatregelen zijn bedoeld om een ​​beveiligingsniveau te garanderen dat is afgestemd op het risico op het gebied van vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de systemen. Er moet rekening worden gehouden met de stand van de techniek, de uitvoeringskosten, de aard, de omvang, de context en de doeleinden van de verwerking, evenals de variërende waarschijnlijkheid en ernst van het risico voor de rechten en vrijheden van natuurlijke personen in de zin van artikel 32 lid 1 AVG.

Omdat technische en organisatorische maatregelen afhankelijk zijn van de technische vooruitgang en technologische ontwikkelingen, is het Data Processor toegestaan alternatieve en passende maatregelen te treffen, op voorwaarde dat dit niet resulteert in een beveiligingsnorm die niet lager is dan hieronder uiteengezet. www.fitness-nation.com/support/tom.html gespecificeerd.

De gegevensverwerker mag alleen subverwerkers inschakelen om namens de verwerkingsverantwoordelijke persoonsgegevens te verwerken met voorafgaande toestemming van de verwerkingsverantwoordelijke. De verantwoordelijke geeft hierbij toestemming voor het gebruik van het volgende www.fitness-nation.com/support/subunternehmen.html genoemde subverwerkers.

De Gegevensverwerker legt aan elke Subverwerker gegevensbeschermings-, vertrouwelijkheids- en gegevensbeveiligingsverplichtingen op die minstens even streng zijn als de verplichtingen van de Gegevensverwerker jegens de Verwerkingsverantwoordelijke zoals uiteengezet in deze Verwerkersovereenkomst. Indien een subverwerker deze verplichtingen die hem worden opgelegd niet nakomt, zal de gegevensverwerker voor deze inbreuken aansprakelijk zijn alsof deze zijn eigen schuld zijn.

Verwerker zal Verwerkingsverantwoordelijke schriftelijk op de hoogte stellen van elke nieuwe opdracht van een subverwerker. Indien de Verwerkingsverantwoordelijke binnen dertig (30) dagen na ontvangst van een dergelijke kennisgeving bezwaar maakt tegen de opdracht, onder opgave van een plausibele reden, zullen partijen naar een minnelijke schikking streven. In een dergelijk geval heeft de Verwerkingsverantwoordelijke, indien er niet binnen twee (2) maanden een minnelijke oplossing kan worden gevonden, het recht om de hoofdovereenkomst te beëindigen met betrekking tot die diensten waarvoor de inschakeling van de voorgestelde subverwerker noodzakelijk is.

De partijen komen overeen dat aanbieders van louter ondersteunende diensten geen gegevensverwerkers zijn in de zin van de wetgeving inzake gegevensbescherming; Dit omvat met name vervoersdiensten geleverd door post- of koeriersdiensten, evenals geldtransportdiensten, telecommunicatiediensten, veiligheidsdiensten en schoonmaakdiensten. Niettegenstaande het voorgaande zal de Gegevensverwerker met dergelijke onderaannemers vertrouwelijkheidsovereenkomsten aangaan die in de branche gebruikelijk zijn.

De bepalingen van dit artikel 7 zijn ook van toepassing als een subverwerker werkzaam is in een derde land buiten de EU of EER. Onder voorbehoud van de toestemming van de Verwerkingsverantwoordelijke voor het gebruik van de subverwerker, machtigt de Verwerkingsverantwoordelijke de Verwerker hierbij om namens de Verwerkingsverantwoordelijke een contract aan te gaan met een subverwerker die de gegevens van de Verwerkingsverantwoordelijke buiten de EU of EER verwerkt, waarin de EU-modelcontractbepalingen voor de overdracht van persoonsgegevens naar verwerkers in derde landen vanaf 5. Februari 2010 of, indien van toepassing, standaardbepalingen inzake gegevensbescherming die later door de Europese Commissie of de relevante toezichthoudende autoriteit zijn aangenomen.

Op schriftelijk verzoek van de Verwerkingsverantwoordelijke zal Verwerker de Verwerkingsverantwoordelijke passende bijstand verlenen in geval van een onderzoek of verzoek van een toezichthoudende autoriteit voor gegevensbescherming, voor zover een dergelijk onderzoek of verzoek betrekking heeft op de Diensten. Verwerker zal Verwerkingsverantwoordelijke redelijke bijstand verlenen bij het nakomen van alle verplichtingen in verband met een dergelijk onderzoek of verzoek. Indien een toezichthoudende autoriteit voor gegevensbescherming rechtstreeks een onderzoek bij de Verwerker start of een overeenkomstig verzoek rechtstreeks aan de Verwerker richt, zal de Verwerker, voor zover toegestaan, de Verwerkingsverantwoordelijke onmiddellijk op de hoogte stellen en meewerken aan een dergelijk onderzoek of verzoek.

Verwerker zal Verwerkingsverantwoordelijke zonder onredelijke vertraging informeren indien hij een inbreuk in verband met persoonsgegevens constateert in verband met de verwerking van Persoonsgegevens op grond van deze Verwerkersovereenkomst. Indien de Verwerkingsverantwoordelijke als gevolg van een dergelijke kennisgeving onderworpen is aan rapportageverplichtingen aan toezichthoudende autoriteiten voor gegevensbescherming en/of betrokkenen (in het bijzonder op grond van de artikelen 33 en 34 van de AVG), zal de Verwerker de Verwerkingsverantwoordelijke passende en noodzakelijke hulp bieden bij het nakomen van deze rapportageverplichtingen. Voor zover Verwerker niet verantwoordelijk is voor een meldbaar datalek, is Verwerker gerechtigd de ondersteunende diensten in rekening te brengen conform de in de hoofdovereenkomst overeengekomen vergoedingstarieven.

De Verwerker zal de Verwerkingsverantwoordelijke bijstaan, rekening houdend met de aard van de verwerking en de informatie waarover de Verwerker beschikt, bij elke gegevensbeschermingseffectbeoordeling die de Verwerkingsverantwoordelijke mogelijk moet uitvoeren met betrekking tot de verwerking van persoonsgegevens, inclusief, indien van toepassing, overleg met de relevante toezichthoudende autoriteit voor gegevensbescherming (artikelen 35 en 36 AVG). De verwerker heeft het recht om de ondersteunende diensten in rekening te brengen in overeenstemming met de vergoedingstarieven die zijn overeengekomen in het hoofdcontract.

Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging als een betrokkene rechtstreeks contact opneemt met Verwerker om een klacht in te dienen, een verzoek in te dienen of zijn rechten uit te oefenen. Verwerker reageert niet zelf op het verzoek tenzij Verwerkingsverantwoordelijke Verwerker hiertoe uitdrukkelijk opdracht heeft gegeven. De Verwerker zal de Verwerkingsverantwoordelijke passende hulp bieden bij het reageren op dergelijke klachten, vragen en verzoeken van betrokkenen. De verwerker is gerechtigd de verleende ondersteuning in rekening te brengen conform de in de hoofdovereenkomst overeengekomen vergoedingstarieven.

Op redelijke instructies van de Verwerkingsverantwoordelijke, gedurende de looptijd van deze Gegevensverwerkingsovereenkomst (DPA) of na de beëindiging ervan of bij beëindiging van de verwerking van Persoonsgegevens onder de relevante Specifieke Overeenkomst, zal de Verwerker de namens de Verwerkingsverantwoordelijke verwerkte gegevens vernietigen, verwijderen of retourneren. Indien toepasselijke wetgeving verbiedt dat Verwerker de namens Verwerkingsverantwoordelijke verwerkte Persoonsgegevens vernietigt, verwijdert of retourneert, zal Verwerker niettemin stoppen met het actief verwerken van dergelijke gegevens, maar deze alleen blijven opslaan om te voldoen aan wettelijke vereisten, in het bijzonder wettelijke bewaarplichten, en deze vernietigen, verwijderen of terugbezorgen aan Verwerkingsverantwoordelijke zodra de wettelijke belemmering niet langer bestaat, in overeenstemming met de oorspronkelijke instructies van Verwerkingsverantwoordelijke.

Van elke vernietiging of verwijdering van persoonsgegevens maakt de verwerker een bewijs, dat op verzoek aan de verwerkingsverantwoordelijke ter beschikking wordt gesteld.

Verwerkingsverantwoordelijke heeft het recht om tijdens normale kantooruren (maandag tot en met vrijdag van 9.00 tot 17.00 uur) op eigen kosten, zonder verstoring van de bedrijfsvoering en met strikte inachtneming van de vertrouwelijkheid van de bedrijfsgeheimen en bedrijfsgeheimen van Verwerker, de gebouwen van Verwerker te betreden waar de gegevens van Verwerkingsverantwoordelijke worden verwerkt, teneinde de naleving van deze orderverwerkingsovereenkomst te verifiëren. De verwerkingsverantwoordelijke zal een dergelijke inspectie ter plaatse doorgaans voldoende (tenminste twee weken van tevoren) melden.

In de regel heeft de verantwoordelijke recht op één inspectie ter plaatse per kalenderjaar, zoals vermeld in het vorige lid. Dit laat het recht van de verwerkingsverantwoordelijke onverlet om bij bijzondere incidenten verdere inspecties ter plaatse uit te voeren.

Indien Verwerkingsverantwoordelijke een derde opdracht geeft om de toetsing uit te voeren, dient Verwerkingsverantwoordelijke de derde schriftelijk te binden in dezelfde mate als Verwerkingsverantwoordelijke op grond van deze Verwerkersovereenkomst jegens Verwerker verplicht is. Daarnaast moet de verantwoordelijke de derde partij verplichten tot geheimhouding en geheimhouding, tenzij op de derde partij een professionele geheimhoudingsplicht rust. Op verzoek van de verwerker dient de verwerkingsverantwoordelijke de geheimhoudingsafspraken met de derde onverwijld aan de verwerker te verstrekken. De verantwoordelijke mag de test niet laten uitvoeren door een concurrent van de verwerker.

In plaats van een inspectie ter plaatse kan het bewijs van de naleving van deze DPA ook worden geleverd door het naleven van goedgekeurde gedragscodes overeenkomstig artikel 40 van de AVG, certificering onder een goedgekeurd certificeringsmechanisme overeenkomstig artikel 42 van de AVG, of door het verstrekken van een passend, actueel certificaat, rapporten of uittreksels uit rapporten van onafhankelijke instanties (bijv. auditor, interne audit, functionaris voor gegevensbescherming, IT-beveiligingsafdeling, auditors voor gegevensbescherming of kwaliteitsauditors) of een geschikte certificering via IT-beveiligings- of gegevensbeschermingsaudit - bijv. B. in overeenstemming met ISO 27001 - ("Testrapport"), op voorwaarde dat het Testrapport de Verwerkingsverantwoordelijke in staat stelt redelijkerwijs tevreden te zijn met de naleving van deze DPA.

Indien en voor zover een inspectie ter plaatse niet het gevolg is van een fout van de verwerker, is de verwerker gerechtigd de tijdens de inspecties ter plaatse gemaakte kosten in rekening te brengen volgens de in de hoofdovereenkomst overeengekomen vergoedingstarieven.

Op deze Algemene Voorwaarden is hetzelfde recht van toepassing als op het Hoofdcontract en de rechtbanken die door de partijen in het Hoofdcontract zijn overeengekomen, hebben exclusieve jurisdictie over elk geschil dat voortvloeit uit of verband houdt met deze Algemene Voorwaarden.

Wijzigingen of aanvullingen op dit algemeen bestuursreglement zijn slechts van kracht indien schriftelijk vastgelegd.

Indien enige bepaling van deze Algemene Voorwaarden door een bevoegde rechtbank ongeldig of niet-afdwingbaar wordt verklaard, blijven de overige bepalingen volledig van kracht.

Deze gegevensverwerkingsovereenkomst (DPA) treedt in werking bij het afsluiten van het hoofdcontract en maakt er integraal deel van uit. Het blijft van kracht ongeacht het einde van de looptijd van het hoofdcontract tot en eindigt automatisch zodra alle persoonsgegevens zijn verwijderd door de gegevensverwerker en/of alle aangestelde subverwerkers.