1Definities
Voor de toepassing van deze DPA geldt het volgende:
“Toepasselijke Gegevensbeschermingswetgeving” betekent de privacy- en gegevensbeschermingswetgeving die van toepassing is op de verwerking van Persoonsgegevens op grond van de Overeenkomst.
“Verwerkingsverantwoordelijke” betekent de persoon of organisatie die het doel van en de middelen voor de verwerking van Persoonsgegevens vaststelt, of de equivalente term op grond van toepasselijk recht.
“Verwerker” betekent een persoon of organisatie die Persoonsgegevens verwerkt namens een Verwerkingsverantwoordelijke, of de equivalente term op grond van toepasselijk recht.
“Onderneming” (Business) en “Dienstverlener” (Service Provider) hebben, waar relevant, de betekenis die daaraan wordt toegekend in de toepasselijke privacywetgeving van de Amerikaanse staten.
“Klantgegevens” betekent gegevens die namens de Klant aan de Diensten worden verstrekt, daarin worden opgeslagen, daarlangs worden verzonden of anderszins daardoor worden verwerkt.
“Persoonsgegevens” betekent informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, of andere informatie die op grond van Toepasselijke Gegevensbeschermingswetgeving wordt gedefinieerd als persoonlijke informatie, persoonsgegevens of een equivalente term.
“Verwerking” betekent elke bewerking die met betrekking tot Persoonsgegevens wordt uitgevoerd, waaronder het verzamelen, vastleggen, ordenen, opslaan, raadplegen, wijzigen, opvragen, gebruiken, verzenden, verstrekken, afschermen, wissen of vernietigen van Persoonsgegevens.
“Betrokkene” betekent de natuurlijke persoon op wie de Persoonsgegevens betrekking hebben.
“Subverwerker” betekent een derde die door 255 wordt ingeschakeld om in verband met de Diensten Persoonsgegevens namens de Klant te verwerken.
“Inbreuk in verband met Persoonsgegevens” betekent een inbreuk op de beveiliging die leidt tot de onbedoelde of onrechtmatige vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot Persoonsgegevens die op grond van deze DPA worden verwerkt, zoals gedefinieerd in Toepasselijke Gegevensbeschermingswetgeving.
2Rollen van de partijen
De Klant en 255 erkennen dat hun respectieve privacyrollen afhankelijk zijn van de context waarin Persoonsgegevens worden verwerkt.
Voor Persoonsgegevens die de Klant voor haar eigen bedrijfsdoeleinden aan de Diensten verstrekt of via de Diensten verwerkt, geldt:
- De Klant treedt in het algemeen op als Verwerkingsverantwoordelijke of Onderneming.
- 255 treedt in het algemeen op als Verwerker of Dienstverlener namens de Klant.
De Klant bepaalt de doeleinden waarvoor Persoonsgegevens van de Klant worden verwerkt en is ervoor verantwoordelijk dat haar instructies voldoen aan Toepasselijke Gegevensbeschermingswetgeving.
255 zal dergelijke Persoonsgegevens verwerken op basis van de gedocumenteerde instructies van de Klant, onder meer voor zover nodig om de Diensten te leveren op grond van de Overeenkomst en deze DPA.
255 kan afzonderlijk optreden als zelfstandige Verwerkingsverantwoordelijke voor bepaalde informatie die wordt verwerkt voor haar eigen legitieme bedrijfsdoeleinden, zoals accountbeheer, directe klantrelaties, beveiliging, facturering, fraudepreventie en naleving van wet- en regelgeving. Op dergelijke verwerking zijn het Privacybeleid van 255 en toepasselijk recht van toepassing.
3Instructies van de Klant
De Klant geeft 255 de instructie om Persoonsgegevens te verwerken voor zover redelijkerwijs nodig om:
- De Diensten te leveren
- Het 255 Business Platform te exploiteren
- Accounts van de Klant te onderhouden
- Klantgegevens te hosten en op te slaan
- CRM-functionaliteit te bieden
- Communicatie met klanten te faciliteren
- Functionaliteit voor planning en afspraken te bieden
- Geconfigureerde automatiseringen uit te voeren
- Door de Klant gevraagde integraties te bieden
- Technische ondersteuning en klantenservice te verlenen
- De beveiliging te handhaven
- Fraude en misbruik te voorkomen
- Technische problemen op te lossen
- Verplichtingen op grond van de Overeenkomst na te komen
- Te voldoen aan toepasselijke wettelijke verplichtingen
Aanvullende gedocumenteerde instructies kunnen tussen de Klant en 255 worden overeengekomen.
Indien 255 redelijkerwijs van mening is dat een instructie van de Klant in strijd is met Toepasselijke Gegevensbeschermingswetgeving, kan 255 de Klant daarvan op de hoogte stellen en, waar juridisch passend, de betreffende verwerking opschorten totdat de kwestie is opgelost.
4Verantwoordelijkheden van de Klant
De Klant is ervoor verantwoordelijk dat haar verzameling en verwerking van Persoonsgegevens via de Diensten voldoet aan Toepasselijke Gegevensbeschermingswetgeving.
De Klant verklaart en garandeert, voor zover van toepassing, dat zij:
- Over de juiste bevoegdheid beschikt om Persoonsgegevens aan 255 te verstrekken
- Wettelijk vereiste privacyverklaringen heeft verstrekt
- Wettelijk vereiste toestemming heeft verkregen
- Over een passende rechtsgrondslag voor de verwerking beschikt
- Voldoet aan toepasselijke wetgeving inzake marketing en communicatie
- Toepasselijke afmeldverzoeken honoreert
- Waar vereist een passende administratie van toestemmingen bijhoudt
- Rechtmatige verwerkingsinstructies geeft
- 255 geen instructie geeft om Persoonsgegevens op onrechtmatige wijze te verwerken
De Klant is ervoor verantwoordelijk om te bepalen of de Diensten geschikt zijn voor de specifieke juridische, regelgevende en sectorale vereisten van de Klant.
5Details van de verwerking
De aard en reikwijdte van de verwerking zijn afhankelijk van de Diensten die door de Klant worden geselecteerd en geconfigureerd.
Onderwerp
Verwerking van Persoonsgegevens die nodig is om de door de Klant gevraagde Diensten te leveren.
Duur
Voor de duur van de Overeenkomst en een eventuele aanvullende periode gedurende welke 255 gemachtigd of wettelijk verplicht is Persoonsgegevens te bewaren.
Aard van de verwerking
De verwerking kan het volgende omvatten:
- Verzameling
- Ontvangst
- Vastlegging
- Ordening
- Opslag
- Opvraging
- Raadpleging
- Gebruik
- Verzending
- Communicatie
- Synchronisatie
- Analyse
- Automatisering
- Wijziging
- Export
- Beperking
- Verwijdering
afhankelijk van de gebruikte Diensten.
6Categorieën van Betrokkenen
Afhankelijk van het gebruik van de Diensten door de Klant kunnen Betrokkenen onder meer zijn:
- Klanten van de Klant
- Potentiële klanten
- Leads
- Contactpersonen
- Websitebezoekers
- Deelnemers aan afspraken
- Werknemers
- Contractanten
- Geautoriseerde gebruikers
- Vertegenwoordigers van bedrijven
- Ontvangers van communicatie
- Andere personen van wie de Klant Persoonsgegevens rechtmatig via de Diensten verwerkt
7Categorieën van Persoonsgegevens
Afhankelijk van de gebruikte Diensten en de configuratie van de Klant kunnen Persoonsgegevens onder meer omvatten:
- Namen
- E-mailadressen
- Telefoonnummers
- Bedrijfsgegevens
- Contactgegevens
- CRM-records
- Leadgegevens
- Gegevens over verkoopkansen
- Afspraakgegevens
- Communicatiegeschiedenis
- Sms- en berichtgegevens
- E-mailcommunicatie
- Formulierinzendingen
- Notities
- Tags
- Taken
- Klantinteracties
- Accountidentificatoren
- Apparaat- en technische gegevens
- IP-gerelateerde gegevens
- Transactiegerelateerde gegevens
- Marketingvoorkeuren
- Toestemmingsregistraties
- Andere door de Klant verstrekte Persoonsgegevens
255 verlangt niet dat de Klant categorieën van Persoonsgegevens verstrekt die niet nodig zijn voor de Diensten.
8Gevoelige Persoonsgegevens
De Klant mag geen gevoelige of bijzonder beschermde Persoonsgegevens verstrekken, tenzij:
- de betreffende Diensten zijn ontworpen en goedgekeurd voor de verwerking van dergelijke informatie;
- de Klant daarvoor over een geldige rechtsgrondslag beschikt;
- alle vereiste waarborgen, kennisgevingen, overeenkomsten en toestemmingen aanwezig zijn; en
- dergelijke verwerking voldoet aan de Overeenkomst en Toepasselijke Gegevensbeschermingswetgeving.
De Klant is ervoor verantwoordelijk om te bepalen of sectorspecifieke of verhoogde vereisten van toepassing zijn op haar gegevens.
Het gebruik van de Diensten houdt op zichzelf geen naleving in van HIPAA, GLBA, FERPA of enig ander sectorspecifiek regelgevend kader.
9Vertrouwelijkheid
255 zorgt ervoor dat personeel dat bevoegd is om Persoonsgegevens van de Klant te verwerken, onderworpen is aan passende geheimhoudingsverplichtingen.
De toegang tot Persoonsgegevens wordt beperkt tot personeel en dienstverleners die toegang nodig hebben voor legitieme doeleinden in verband met het leveren, onderhouden, beveiligen of ondersteunen van de Diensten.
10Beveiligingsmaatregelen
255 handhaaft redelijke en passende technische en organisatorische maatregelen die zijn bedoeld om Persoonsgegevens van de Klant te beschermen tegen ongeoorloofde of onrechtmatige toegang, verstrekking, wijziging, vernietiging of verlies.
Afhankelijk van de aard van de betrokken Diensten en systemen kunnen waarborgen maatregelen omvatten met betrekking tot:
- Toegangscontroles
- Authenticatie
- Autorisatie
- Beheer van inloggegevens
- Netwerkbeveiliging
- Applicatiebeveiliging
- Versleuteling waar passend
- Logging en monitoring
- Infrastructuurbeveiliging
- Back-up en herstel
- Beheer van kwetsbaarheden
- Beveiligingsupdates
- Incidentbeheer
- Toegangscontroles voor medewerkers
- Leveranciersbeheer
- Bedrijfscontinuïteit
Beveiligingsmaatregelen kunnen in de loop van de tijd evolueren naarmate technologieën, dreigingen en Diensten veranderen.
255 zal de algehele beveiliging van de Diensten gedurende de toepasselijke abonnementsperiode niet wezenlijk verminderen zonder passende rechtvaardiging.
11Toegang tot Persoonsgegevens
255 beperkt de toegang tot Persoonsgegevens van de Klant tot personen en Subverwerkers die redelijkerwijs toegang nodig hebben om:
- De Diensten te leveren
- De infrastructuur te onderhouden
- Ondersteuning te bieden
- Technische problemen te onderzoeken
- De beveiliging te handhaven
- Misbruik te voorkomen
- Te voldoen aan wettelijke verplichtingen
De toegang is onderworpen aan passende autorisatie- en geheimhoudingsvereisten.
12Subverwerkers
De Klant verleent 255 een algemene machtiging om Subverwerkers in te schakelen voor zover nodig om de Diensten te leveren.
Subverwerkers kunnen diensten leveren zoals:
- Cloudhosting
- Infrastructuur
- Databasediensten
- Communicatie
- Aflevering van e-mail
- Aflevering van sms-berichten
- Betalingsverwerking
- Analyse
- Beveiliging
- Klantenservice
- Authenticatie
- Integraties
- Andere technische diensten
255 verlangt dat Subverwerkers die namens haar Persoonsgegevens van de Klant verwerken, onderworpen zijn aan gegevensbeschermingsverplichtingen die passend zijn voor de aard van hun verwerking.
255 blijft verantwoordelijk voor haar verplichtingen op grond van deze DPA met betrekking tot de verwerking die door haar Subverwerkers wordt uitgevoerd, voor zover vereist door Toepasselijke Gegevensbeschermingswetgeving.
13Lijst van Subverwerkers
255 kan een actuele lijst van toepasselijke Subverwerkers bijhouden op:
www.255adv.com/legal/subprocessors
De lijst dient, waar passend, het volgende te vermelden:
- Naam van de Subverwerker
- Doel
- Soort dienst
- Locatie of verwerkingsregio, waar relevant
255 dient een aanbieder niet als Subverwerker te vermelden, tenzij die aanbieder daadwerkelijk Persoonsgegevens van de Klant namens 255 verwerkt.
14Wijzigingen in Subverwerkers
Waar vereist door Toepasselijke Gegevensbeschermingswetgeving of contractuele toezeggingen, geeft 255 passende kennisgeving van wezenlijke wijzigingen met betrekking tot Subverwerkers.
Indien de Klant een wettelijk erkend recht heeft om bezwaar te maken tegen een nieuwe Subverwerker, kan de Klant een redelijk bezwaar op het gebied van gegevensbescherming indienen door contact op te nemen met:
support@255adv.com
De partijen zullen te goeder trouw samenwerken om gerechtvaardigde zorgen weg te nemen.
15Door de Klant gekozen integraties van derden
De Diensten kunnen de Klant in staat stellen applicaties, platforms of diensten van derden te koppelen.
Wanneer de Klant er zelfstandig voor kiest een integratie van een derde in te schakelen, geeft de Klant 255 de instructie om relevante Persoonsgegevens te verzenden of beschikbaar te stellen voor zover nodig om die integratie te leveren.
Onafhankelijke diensten van derden kunnen informatie verwerken op grond van hun eigen voorwaarden en privacybeleid.
De Klant is verantwoordelijk voor het beoordelen van de diensten van derden die zij kiest te koppelen.
16Verzoeken van Betrokkenen
Rekening houdend met de aard van de verwerking en de functionaliteit die via de Diensten beschikbaar is, verleent 255 de Klant redelijke bijstand bij het beantwoorden van toepasselijke verzoeken van Betrokkenen, waar vereist door Toepasselijke Gegevensbeschermingswetgeving.
Dergelijke verzoeken kunnen betrekking hebben op:
- Inzage
- Rectificatie
- Verwijdering
- Overdraagbaarheid
- Beperking
- Bezwaar
- Rechten om zich af te melden (opt-out)
Wanneer een Betrokkene rechtstreeks contact opneemt met 255 over Persoonsgegevens die namens de Klant worden verwerkt, kan 255 het verzoek doorverwijzen naar de Klant, tenzij toepasselijk recht 255 verplicht rechtstreeks te reageren.
De Klant blijft ervoor verantwoordelijk om de passende reactie te bepalen op verzoeken met betrekking tot Persoonsgegevens die onder de zeggenschap van de Klant vallen.
17Bijstand bij naleving
Rekening houdend met de aard van de verwerking en de informatie die redelijkerwijs voor 255 beschikbaar is, verleent 255 de Klant redelijke bijstand bij toepasselijke verplichtingen op het gebied van gegevensbescherming, waar dit wettelijk vereist is.
Dit kan bijstand omvatten met betrekking tot:
- Beveiliging
- Inbreuken in verband met Persoonsgegevens
- Verzoeken van Betrokkenen
- Gegevensbeschermingseffectbeoordelingen
- Voorafgaande raadplegingen van toezichthouders
Voor bijstand die verder gaat dan de standaardfunctionaliteit van de Dienst kunnen redelijke vergoedingen in rekening worden gebracht, voor zover de Overeenkomst en toepasselijk recht dit toestaan.
18Inbreuk in verband met Persoonsgegevens
255 handhaaft procedures die zijn bedoeld om beveiligingsincidenten te signaleren en daarop te reageren.
Indien 255 kennis krijgt van een Inbreuk in verband met Persoonsgegevens die van invloed is op Persoonsgegevens van de Klant en waarvoor kennisgeving aan de Klant vereist is op grond van Toepasselijke Gegevensbeschermingswetgeving, stelt 255 de Klant daarvan zonder onredelijke vertraging in kennis.
Waar redelijkerwijs beschikbaar, kan de kennisgeving informatie bevatten over:
- De aard van het incident
- Categorieën van getroffen informatie
- Mogelijke gevolgen
- Genomen of voorgestelde maatregelen
- Relevante contactgegevens
255 kan informatie gefaseerd verstrekken naarmate aanvullende details beschikbaar komen.
Een kennisgeving van een beveiligingsincident vormt geen erkenning van schuld of aansprakelijkheid.
De Klant is ervoor verantwoordelijk om te bepalen of kennisgeving aan personen, toezichthouders, klanten of andere partijen wettelijk vereist is, tenzij toepasselijk recht anders bepaalt.
19Teruggave en verwijdering van gegevens
Bij beëindiging of afloop van de betreffende Diensten kan de Klant de toegang tot Persoonsgegevens van de Klant verliezen.
Waar beschikbaar dient de Klant informatie die zij wenst te bewaren te exporteren vóór de beëindiging van het account.
Bij beëindiging en met inachtneming van toepasselijk recht zal 255 Persoonsgegevens van de Klant verwijderen of teruggeven in overeenstemming met:
- De Overeenkomst
- De functionaliteit van de Dienst
- Toepasselijke bewaartermijnen
- Wettelijke verplichtingen
- Beveiligingsvereisten
- Back-upprocedures
255 kan Persoonsgegevens bewaren wanneer toepasselijk recht dit vereist of toestaat.
Gegevens in back-ups kunnen blijven bestaan totdat ze worden verwijderd of overschreven volgens de toepasselijke processen voor het bewaren van back-ups.
20Overdraagbaarheid en export van gegevens
Waar de Diensten dit ondersteunen, kan de Klant bepaalde Klantgegevens exporteren met behulp van de beschikbare functionaliteit.
De Klant is ervoor verantwoordelijk de benodigde exports uit te voeren voordat zij haar account beëindigt.
255 garandeert niet dat elke categorie informatie in elk formaat kan worden geëxporteerd, tenzij toepasselijk recht of een overeenkomst dit uitdrukkelijk vereist.
21Internationale doorgifte van gegevens
De Klant erkent dat 255 en haar geautoriseerde Subverwerkers Persoonsgegevens kunnen verwerken in de Verenigde Staten en andere rechtsgebieden.
Wanneer voor een internationale doorgifte een wettelijk erkend doorgiftemechanisme vereist is, gebruiken de partijen een passend mechanisme zoals vereist door Toepasselijke Gegevensbeschermingswetgeving.
22Doorgiften vanuit de Europese Economische Ruimte
Wanneer Persoonsgegevens van de Klant die onder de GDPR (AVG) vallen, worden doorgegeven vanuit de Europese Economische Ruimte naar een land waarvoor geen toepasselijk adequaatheidsbesluit geldt, gebruiken de partijen waar vereist een passend doorgiftemechanisme.
Dit kan de toepasselijke Standaardcontractbepalingen van de Europese Commissie (“SCC’s”) omvatten.
Wanneer SCC’s wettelijk vereist zijn, worden deze, naargelang van toepassing, in deze DPA opgenomen of afzonderlijk ondertekend.
De partijen werken redelijkerwijs samen met betrekking tot aanvullende maatregelen die door toepasselijk recht worden vereist.
23Doorgiften vanuit het Verenigd Koninkrijk
Wanneer Persoonsgegevens die onder de gegevensbeschermingswetgeving van het Verenigd Koninkrijk vallen internationaal worden doorgegeven en een passend doorgiftemechanisme vereist is, gebruiken de partijen een toepasselijk wettelijk erkend mechanisme.
Dit kan, waar van toepassing, het UK International Data Transfer Addendum of een ander goedgekeurd doorgiftemechanisme omvatten.
24Privacywetgeving van Amerikaanse staten
Wanneer 255 Persoonsgegevens namens de Klant verwerkt en de toepasselijke privacywetgeving van een Amerikaanse staat de Klant aanmerkt als Onderneming of Verwerkingsverantwoordelijke en 255 als Dienstverlener, Contractant of Verwerker, zal 255 dergelijke Persoonsgegevens verwerken in overeenstemming met de toepasselijke contractuele vereisten.
Waar van toepassing zal 255 niet:
- Persoonsgegevens van de Klant verkopen tegen een geldelijke vergoeding
- Persoonsgegevens van de Klant bewaren, gebruiken of verstrekken buiten de doeleinden die zijn toegestaan door de Overeenkomst en toepasselijk recht
- Persoonsgegevens van de Klant combineren met andere informatie wanneer dit door toepasselijk recht is verboden
255 verwerkt Persoonsgegevens van de Klant voor de beperkte en gespecificeerde doeleinden die zijn beschreven in de Overeenkomst, deze DPA en de gedocumenteerde instructies van de Klant.
25Privacyvereisten van Californië
Wanneer de California Consumer Privacy Act, zoals gewijzigd door de California Privacy Rights Act (“CCPA/CPRA”), van toepassing is op de verwerking op grond van deze DPA, is het de bedoeling van de partijen dat 255 optreedt als Dienstverlener of Contractant, naargelang van toepassing, voor Persoonlijke Informatie van de Klant die namens de Klant wordt verwerkt.
255 verwerkt dergelijke Persoonlijke Informatie uitsluitend voor de beperkte en gespecificeerde bedrijfsdoeleinden die zijn toegestaan door de Overeenkomst, deze DPA en toepasselijk recht.
255 zal Persoonlijke Informatie van de Klant niet verkopen of delen (“sell” of “share”) zoals die termen zijn gedefinieerd in toepasselijk Californisch recht, behalve voor zover toegestaan door de wet en de gedocumenteerde instructies van de Klant.
255 stelt de Klant op de hoogte indien zij vaststelt dat zij niet langer kan voldoen aan de toepasselijke verplichtingen op grond van deze sectie, waar de wet dit vereist.
De Klant kan redelijke en passende maatregelen nemen die door toepasselijk recht zijn toegestaan om te helpen waarborgen dat 255 Persoonlijke Informatie van de Klant verwerkt in overeenstemming met de verplichtingen van de Klant.
26Audits en nalevingsinformatie
Op redelijk verzoek en waar vereist door Toepasselijke Gegevensbeschermingswetgeving stelt 255 de informatie beschikbaar die redelijkerwijs nodig is om aan te tonen dat zij voldoet aan haar verplichtingen als Verwerker of Dienstverlener.
Waar wettelijk vereist kan 255 redelijke audits toestaan, met inachtneming van passende:
- Vertrouwelijkheidswaarborgen
- Beveiligingsvereisten
- Beperkingen van de reikwijdte
- Voorafgaande kennisgeving
- Planningsvereisten
- Bescherming van andere klanten
- Bescherming van bedrijfseigen informatie
De partijen dienen eerst gebruik te maken van beschikbare documentatie, certificeringen, rapporten of vragenlijsten wanneer deze redelijkerwijs aan het toepasselijke vereiste voldoen.
27Verzoeken van overheden en juridische verzoeken
255 kan Persoonsgegevens verstrekken wanneer dit vereist is op grond van toepasselijk recht, een rechterlijk bevel, een dagvaarding (subpoena) of een ander juridisch bindend verzoek van een overheidsinstantie.
Waar wettelijk toegestaan en passend, kan 255 de Klant op de hoogte stellen voordat zij Persoonsgegevens van de Klant verstrekt naar aanleiding van een dergelijk verzoek.
255 kan, waar passend, verzoeken aanvechten waarvan zij redelijkerwijs van mening is dat ze onrechtmatig of buitensporig zijn.
28Geen verkoop van Persoonsgegevens van de Klant
255 verkrijgt geen eigendom van Persoonsgegevens van de Klant louter door deze via de Diensten te verwerken.
255 zal Persoonsgegevens van de Klant niet verkopen tegen een geldelijke vergoeding zolang zij optreedt als Verwerker of Dienstverlener van de Klant.
Op zelfstandige verwerking die door 255 als Verwerkingsverantwoordelijke wordt uitgevoerd, zijn ons Privacybeleid en Toepasselijke Gegevensbeschermingswetgeving van toepassing.
29Eigendom van gegevens
In de verhouding tussen de Klant en 255 behoudt de Klant alle rechten die zij heeft op Klantgegevens.
Deze DPA draagt de eigendom van Klantgegevens niet over aan 255.
De Klant verleent 255 uitsluitend de rechten die redelijkerwijs nodig zijn om Klantgegevens te verwerken teneinde de Diensten te leveren, te beveiligen, te onderhouden en te ondersteunen en om te voldoen aan toepasselijke wettelijke verplichtingen.
30Vertrouwelijke bedrijfsinformatie
Klantgegevens kunnen naast Persoonsgegevens ook vertrouwelijke bedrijfsinformatie bevatten.
255 behandelt dergelijke informatie in overeenstemming met de toepasselijke geheimhoudingsverplichtingen in de Overeenkomst.
31Aansprakelijkheid
De aansprakelijkheid van elke partij die voortvloeit uit of verband houdt met deze DPA is onderworpen aan de toepasselijke beperkingen en uitsluitingen van aansprakelijkheid in de Overeenkomst, behalve voor zover dergelijke beperkingen door Toepasselijke Gegevensbeschermingswetgeving zijn verboden.
32Looptijd en beëindiging
Deze DPA treedt in werking wanneer zij van toepassing is op verwerking op grond van een Overeenkomst tussen de Klant en 255.
Zij blijft van kracht zolang 255 Persoonsgegevens van de Klant verwerkt die onder de DPA vallen.
Bepalingen die naar hun aard bestemd zijn om na beëindiging voort te duren, blijven van kracht zolang nodig is om aan toepasselijke wettelijke of contractuele verplichtingen te voldoen.
33Rangorde
Indien er met betrekking tot gegevensbescherming een strijdigheid bestaat tussen:
- toepasselijk dwingend recht;
- wettelijk vereiste doorgiftemechanismen;
- deze DPA; en
- de Overeenkomst,
prevaleert het vereiste met de hogere rangorde voor zover die strijdigheid reikt.
34Wijzigingen in deze DPA
255 kan deze DPA bijwerken om wijzigingen weer te geven in:
- Toepasselijk recht
- Regelgevende vereisten
- Diensten
- Beveiligingspraktijken
- Verwerkingsactiviteiten
- Regelingen met Subverwerkers
Wezenlijke wijzigingen die van invloed zijn op de gegevensbeschermingsrechten van de Klant worden gecommuniceerd waar vereist door toepasselijk recht of contractuele toezeggingen.
De datum van ‘Laatst bijgewerkt’ geeft de meest recente herziening weer.
35Contact
Vragen over deze DPA, privacy, beveiliging of zaken met betrekking tot gegevensverwerking kunt u richten aan:
255 Advertising Agency & Marketing LLC
Statutair adres
400 E Royal Lane, Suite 104
Irving, TX 75039
Verenigde Staten
E-mail voor privacy en ondersteuning
Website
Supportcentrum
Bijlage 1 — Details van de verwerking
Voor de DPA raad ik aan om aan het einde een formele bijlage (Schedule) op te nemen:
Onderdeel
Details
Verwerkingsverantwoordelijke / Onderneming
De betreffende Klant van 255
Verwerker / Dienstverlener
255 Advertising Agency & Marketing LLC
Onderwerp
Verwerking die nodig is om de overeengekomen Diensten van 255 te leveren
Duur
Duur van de toepasselijke Overeenkomst plus toegestane/vereiste bewaring
Doel
Het leveren, beveiligen, onderhouden, ondersteunen en verbeteren van de overeengekomen Diensten
Betrokkenen
Klanten, leads, contactpersonen, werknemers, gebruikers, websitebezoekers, deelnemers aan afspraken en andere personen van wie de Klant gegevens verstrekt
Persoonsgegevens
Contactgegevens, CRM-gegevens, communicatie, afspraken, formulieren, accountidentificatoren, toestemmingsinformatie, technische gegevens en andere door de Klant verstrekte informatie
Gevoelige gegevens
Uitsluitend waar uitdrukkelijk ondersteund, goedgekeurd en wettelijk toegestaan
Verwerkingsactiviteiten
Verzameling, opslag, ordening, opvraging, verzending, communicatie, automatisering, wijziging, export en verwijdering
Frequentie
Doorlopend of zoals geïnitieerd/geconfigureerd door de Klant
Bewaring
Voor de looptijd van de Dienst en de toepasselijke bewaartermijn
Bijlage 2 — Technische en organisatorische maatregelen
We vermelden geen beveiligingscertificeringen die niet bestaan. We schrijven alleen op wat 255 daadwerkelijk kan aantonen.
De categorieën die moeten worden gedocumenteerd:
Toegangscontrole
Op rollen gebaseerde toegang, accountauthenticatie, controles op beheerderstoegang en beperking van toegang op basis van operationele noodzaak, waar geïmplementeerd.
Gegevensbescherming
Passende bescherming van gegevens tijdens verzending en in opslag, op basis van de gebruikte architectuur en diensten.
Infrastructuurbeveiliging
Beveiligingsmaatregelen voor hosting, netwerk, infrastructuur en omgeving die rechtstreeks door 255 en de betreffende infrastructuuraanbieders worden geboden.
Applicatiebeveiliging
Praktijken voor veilige ontwikkeling, beheer van afhankelijkheden, herstel van kwetsbaarheden en toegang tot productieomgevingen, waar geïmplementeerd.
Logging en monitoring
Passende operationele en beveiligingslogging en -monitoring.
Back-up en herstel
Back-up- en herstelprocedures die passend zijn voor de Diensten.
Incidentrespons
Processen voor het onderzoeken, indammen, verhelpen en communiceren van toepasselijke beveiligingsincidenten.
Leveranciersbeheer
Redelijke beoordeling en contractuele waarborgen voor Subverwerkers die Persoonsgegevens van de Klant verwerken.
Personeelsbeveiliging
Geheimhoudings- en toegangsbeperkingen voor personeel met toegang tot Persoonsgegevens van de Klant.