Deze Gegevensverwerkingsovereenkomst (de “DPA”) vormt een integraal onderdeel van de Overeenkomst tussen ELXAO SASU (de “Verwerker”) en de klant (de “Verwerkingsverantwoordelijke”) en implementeert artikel 28 van Verordening (EU) 2016/679 (de “GDPR”) en de Franse wet op de gegevensbescherming (Wet nr. 78-17 van 6 januari 1978, zoals gewijzigd). Het is van toepassing wanneer ELXAO namens de Verwerkingsverantwoordelijke persoonsgegevens verwerkt tijdens het verlenen van de Diensten.
Definities
De termen “persoonsgegevens”, “verwerking”, “verwerkingsverantwoordelijke”, “verwerker”, “subverwerker”, “betrokkene”, “gegevens van bijzondere categorie” en “inbreuk in verband met persoonsgegevens” hebben de betekenis die wordt gegeven in artikel 4 van de AVG. De voorwaarden van de Overeenkomst zijn van toepassing op deze DPA, behalve wanneer deze DPA deze uitdrukkelijk vervangt.
Onderwerp, duur en aard van de verwerking
| Item | Beschrijving |
|---|---|
| Onderwerp | Verlening van marketingactiviteiten (websites, SEO, betaalde media, analyses, CRM/e-mail, branding, sociale media, lokalisatie, PM/evenementen) namens de Verwerkingsverantwoordelijke. |
| Duur | Duur van de Opdracht, plus de hieronder vermelde bewaartermijnen. |
| Natuur & doel | Opslag, organisatie, analyse, overdracht, hosting en verwijdering van persoonlijke gegevens zoals vereist om de Diensten te leveren. |
| Categorieën van betrokkenen | Eindgebruikers, prospects, klanten, abonnees, medewerkers, leveranciers en bezoekers van evenementen van Verwerkingsverantwoordelijke. |
| Categorieën persoonlijke gegevens | Identificatiegegevens (naam, titel), contactgegevens (e-mail, telefoon, postadres), professionele gegevens (bedrijf, rol), online identificatiemiddelen (IP, cookies, apparaat-ID's), gedragsgegevens (klikken, sessies, conversies), commerciële gegevens (bestellingen, facturering), gebeurtenisgegevens (registraties, aanwezigheid, badges, opnames). |
| Gegevens uit speciale categorieën | Standaard niet verwerkt. Voor elke uitzondering zijn een schriftelijke instructie en aanvullende waarborgen vereist. |
Rollen & instructies
De Verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking. ELXAO verwerkt persoonsgegevens uitsluitend op basis van de gedocumenteerde instructies van de Verwerkingsverantwoordelijke, die zijn vastgelegd in de Overeenkomst, de orders, de SLA's, het Privacybeleid van de Verwerkingsverantwoordelijke en eventuele specifieke schriftelijke instructies die daarna worden verzonden. ELXAO zal de verwerkingsverantwoordelijke zonder onnodige vertraging op de hoogte stellen als hij een instructie overweegt om de wetgeving inzake gegevensbescherming te overtreden.
Vertrouwelijkheid van het personeel
ELXAO zorgt ervoor dat ieder individu dat bevoegd is om persoonsgegevens te verwerken gebonden is aan een afdwingbare vertrouwelijkheidsverplichting (arbeidsovereenkomst, freelancecontract of geheimhoudingsverklaring) en een opleiding heeft gevolgd in de bescherming van persoonsgegevens die passend is voor zijn rol.
Beveiligingsmaatregelen
ELXAO passende technische en organisatorische maatregelen implementeert (artikel 32 AVG), waaronder:
- TLS 1.2+-versleuteling tijdens de overdracht en AES-256-versleuteling in rust voor productiegegevensopslag.
- Rolgebaseerde toegangscontrole met het principe van minste privileges; verplichte meervoudige authenticatie voor alle beheerders.
- Versterkte, door de EU gehoste infrastructuur met regelmatige scans en patches voor kwetsbaarheden.
- Codebeoordeling, geheimbeheer, veilige SDLC en scheiding van productie-/stagingomgevingen.
- Gecentraliseerde, integriteitsbeschermde logboekregistratie; waarschuwingen bij verdachte authenticatie- en gegevensexportgebeurtenissen.
- Gecodeerde, geografisch gescheiden back-ups met gedocumenteerde hersteltests.
- Procedures voor onboarding/offboarding van personeel, wachtwoordbeheerder, beveiligde laptops met versleuteling op volledige schijf.
- Bedrijfscontinuïteit- en incidentresponsplannen worden minstens jaarlijks beoordeeld.
Subverwerking
De Verwerkingsverantwoordelijke verleent ELXAO een algemene toestemming om subverwerkers in te schakelen voor de uitvoering van specifieke verwerkingsactiviteiten (hosting, e-mailbezorging, analyses, advertentieplatforms, klantondersteuningstools, platforms voor evenementenbeheer). ELXAO houdt een actuele lijst van subverwerkers bij, op verzoek beschikbaar op [email protected], en zal ten minste dertig (30) dagen van tevoren op de hoogte stellen van elke beoogde toevoeging of vervanging, gedurende welke de Verwerkingsverantwoordelijke bezwaar kan maken op redelijke gronden van gegevensbescherming. ELXAO legt aan elke subverwerker gegevensbeschermingsverplichtingen op die niet minder beschermend zijn dan die uiteengezet in deze DPA.
Internationale overschrijvingen
Persoonsgegevens worden voornamelijk verwerkt binnen de Europese Economische Ruimte (EER). Wanneer de verwerking een overdracht buiten de EER naar een land zonder adequaatheidsbesluit impliceert, vertrouwt ELXAO op passende waarborgen op grond van artikel 46 AVG, voornamelijk de standaardcontractbepalingen (SCC's) van de Europese Commissie van 4 juni 2021, aangevuld met eventuele aanvullende maatregelen die vereist zijn door de overdrachtseffectbeoordeling.
Assistentie aan de controleur
ELXAO helpt de Verwerkingsverantwoordelijke, door middel van passende technische en organisatorische maatregelen, bij het nakomen van zijn verplichtingen om te reageren op verzoeken van betrokkenen (artikelen 12 tot en met 22 AVG) en bij het waarborgen van de naleving van de artikelen 32 tot en met 36 AVG (beveiliging, melding van inbreuk, DPIA, voorafgaande raadpleging). Bij de Diensten is standaard assistentie inbegrepen; substantiële werkzaamheden van meer dan één (1) Werkdag per aanvraag kunnen na schriftelijke kennisgeving worden gefactureerd tegen de op dat moment geldende professionele tarieven van ELXAO.
Inbreuk op persoonlijke gegevens
ELXAO stelt de Verwerkingsverantwoordelijke zonder onnodige vertraging en in ieder geval binnen tweeënzeventig (72) uur nadat hij zich bewust is geworden van een inbreuk in verband met persoonsgegevens die van invloed is op de gegevens van de Verwerkingsverantwoordelijke, op de hoogte. De kennisgeving omvat de aard van de inbreuk, de categorieën en geschatte volumes die getroffen zijn, de waarschijnlijke gevolgen en de maatregelen die zijn genomen of voorgesteld om deze aan te pakken.
Audits
ELXAO stelt op redelijk verzoek en niet vaker dan één keer per jaar (behalve na een inbreuk) aan de Verwerkingsverantwoordelijke de informatie ter beschikking die nodig is om de naleving van deze DPA aan te tonen, inclusief rapporten van het type ISO 27001 / SOC 2 van subverwerkers, indien beschikbaar. Audits ter plaatse kunnen worden uitgevoerd door de Verwerkingsverantwoordelijke of een wederzijds goedgekeurde externe auditor die gebonden is aan vertrouwelijkheid, op kosten van de Verwerkingsverantwoordelijke, met een redelijke voorafgaande kennisgeving en tijdens kantooruren, op een manier die de activiteiten van ELXAO niet op onredelijke wijze verstoort.
Teruggave of verwijdering van gegevens
Bij beëindiging van de Overeenkomst zal ELXAO, naar keuze van de Verwerkingsverantwoordelijke, binnen dertig (30) dagen alle persoonsgegevens retourneren in een gestructureerd, algemeen gebruikt en machinaal leesbaar formaat, of deze verwijderen uit alle productie- en operationele systemen. Back-upkopieën worden verwijderd tijdens de standaard rotatiecyclus (tot negentig (90) dagen) en mogen na deze periode alleen worden bewaard indien vereist door de toepasselijke wetgeving, in welk geval ze onderworpen blijven aan de veiligheids- en vertrouwelijkheidsverplichtingen van deze DPA.
Aansprakelijkheid
De aansprakelijkheidsbepalingen van de MSA zijn van toepassing op claims die voortvloeien uit deze DPA. Elke partij blijft aansprakelijk jegens betrokkenen en toezichthoudende autoriteiten in overeenstemming met artikel 82 AVG.
Contact
Voor vragen, verzoeken of kennisgevingen over gegevensbescherming onder deze DPA kunt u contact opnemen met ELXAO op [email protected].