Verwerkersovereenkomst

Deze overeenkomst is bijlage 1 bij de app-voorwaarden van JewelExperts (de “voorwaarden”) tussen Webcollation BV (“wij”, “ons”) en de klant die de voorwaarden heeft aanvaard (“u”).

1. Toepassingsgebied en rollen

1.1 Deze overeenkomst is van toepassing telkens wanneer wij namens u persoonsgegevens verwerken bij het leveren van onze apps, zoals gedefinieerd in de voorwaarden. Zij is van toepassing op elke app, plug-in en widget die u gebruikt, rechtstreeks of via een platform, en op ons klantenportaal.

1.2 Voor die persoonsgegevens bent u de verwerkingsverantwoordelijke en zijn wij uw verwerker. Als u voor iemand anders als verwerker optreedt, bevestigt u dat uw instructies aan ons met toestemming van die verwerkingsverantwoordelijke worden gegeven.

1.3 Wanneer wij persoonsgegevens voor onze eigen doeleinden verwerken, bijvoorbeeld de gegevens van uw account en de gebruikers ervan, zijn wij de verwerkingsverantwoordelijke en is ons privacybeleid van toepassing in plaats van deze overeenkomst.

1.4 Onze widgets kunnen ook technische metingen sturen die shoppers niet identificeren. Wij gebruiken ze om onze apps te laten werken, te beveiligen en te verbeteren en om u over het gebruik te rapporteren. Het zijn geen persoonsgegevens, en deze overeenkomst is er niet op van toepassing.

1.5 Bijlage A beschrijft de verwerking. Begrippen die in de AVG zijn gedefinieerd, hebben hier dezelfde betekenis. Onder “gegevensbeschermingsrecht” wordt verstaan: de AVG en de wetgeving van de EU en haar lidstaten die op de verwerking van toepassing is.

2. Instructies

2.1 Wij verwerken de persoonsgegevens uitsluitend op basis van uw schriftelijke instructies, onder meer met betrekking tot doorgiften aan een derde land, tenzij wij op grond van Unierecht of lidstatelijk recht dat op ons van toepassing is, tot iets anders verplicht zijn. In dat geval stellen wij u, voorafgaand aan de verwerking, in kennis van dat wettelijke voorschrift, tenzij dat recht dit om gewichtige redenen van algemeen belang verbiedt.

2.2 Uw instructies zijn de voorwaarden, deze overeenkomst, de instellingen die u kiest en de manier waarop u onze apps gebruikt, en elke andere schriftelijke instructie die wij met u overeenkomen.

2.3 Wij stellen u onmiddellijk in kennis als een instructie naar onze mening inbreuk oplevert op de AVG of op andere Unierechtelijke of lidstatelijke bepalingen inzake gegevensbescherming.

3. Vertrouwelijkheid

Wij waarborgen dat iedereen die wij machtigen om de persoonsgegevens te verwerken, zich ertoe heeft verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid is gebonden.

4. Beveiliging

4.1 Wij nemen alle maatregelen die artikel 32 AVG vereist. Bijlage B somt ze in algemene bewoordingen op.

4.2 Wij mogen deze maatregelen wijzigen, mits het algemene beveiligingsniveau niet wordt verlaagd.

5. Subverwerkers

5.1 U geeft ons een algemene schriftelijke toestemming om andere verwerkers (“subverwerkers”) in te schakelen, rechtstreeks of via een van onze subverwerkers. De actuele lijst wordt gepubliceerd op onze pagina met subverwerkers.

5.2 Wij informeren u over elke voorgenomen toevoeging of vervanging van een subverwerker ten minste 30 dagen vóór de wijziging, per e-mail aan het contact-e-mailadres dat wij van u hebben of, als wij er geen hebben, met een melding in de app, en wij werken de pagina met subverwerkers tegelijkertijd bij. Zo krijgt u de gelegenheid bezwaar te maken. Een wijziging die een van onze subverwerkers ons met een kortere termijn meldt, geven wij aan u door zodra wij die ontvangen.

5.3 U kunt binnen die termijn schriftelijk bezwaar maken op redelijke gronden die verband houden met gegevensbescherming. Wij bespreken het bezwaar dan te goeder trouw met u. Als wij het niet kunnen oplossen, kunt u de betreffende dienst beëindigen voordat de wijziging ingaat.

5.4 Wij zorgen ervoor dat elke subverwerker bij overeenkomst, met ons of met de subverwerker die hem inschakelt, gebonden is aan dezelfde verplichtingen inzake gegevensbescherming als die welke in deze overeenkomst zijn opgenomen, met name de verplichting afdoende garanties te bieden met betrekking tot het toepassen van passende technische en organisatorische maatregelen.

5.5 Wanneer een subverwerker zijn verplichtingen inzake gegevensbescherming niet nakomt, blijven wij ten aanzien van u volledig aansprakelijk voor het nakomen van de verplichtingen van die subverwerker.

6. Hulp bij verzoeken van betrokkenen

6.1 Rekening houdend met de aard van de verwerking helpen wij u door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, om te reageren op verzoeken van personen die hun rechten op grond van hoofdstuk III AVG uitoefenen.

6.2 Als wij een dergelijk verzoek rechtstreeks ontvangen, sturen wij het zonder onnodige vertraging aan u door. Wij beantwoorden het niet zelf, tenzij u ons daartoe instrueert.

6.3 Wanneer u, of uw app, ons vraagt de gegevens van een persoon te wissen, verwijderen wij ze, of bewaren wij alleen cijfers die niemand identificeren, zoals totalen voor uw rapporten. Wij bewaren alleen:

• de identificatiecode van de persoon in een gecodeerde vorm die niet kan worden teruggedraaid, met de datum, zolang als nodig is zodat de wissing effectief blijft: een ongewijzigde herhaling van een eerdere gebeurtenis, of een gebeurtenis gedateerd vóór de wissing, brengt de gewiste gegevens niet terug. Gegevens die u daarna opnieuw invoert, bijvoorbeeld door ze in uw CRM te importeren, worden als nieuw behandeld. Deze gecodeerde identificatiecode wordt samen met de rest van de gegevens na afloop van de diensten verwijderd (8.1); als u de app daarna opnieuw installeert, worden gegevens die aan ons worden verzonden als nieuw behandeld, ongeacht hun datum;
• een registratie van het verzoek en de afhandeling ervan, met de identificatiecode van de persoon alleen in gecodeerde vorm en onder een willekeurige naam, zolang als nodig is om aan te tonen dat het is uitgevoerd;
• een notitie van elke gebeurtenis over de persoon die na de wissing binnenkomt, met de identificatiecodes van de gebeurtenis maar zonder iets van de inhoud ervan, zolang als nodig is zodat een herhaling ervan wordt herkend en niet wordt toegepast.

6.4 Wij kunnen ook anonieme informatie over gewiste gegevens bewaren, voor uw rapporten en onze statistieken: aantallen per winkel en periode, en samenvattingen van groepen van ten minste vijf gewiste personen van één winkel, die alleen de soorten van hun belangrijkste gebeurtenissen in ruime categorieën tonen, zonder naam, identificatiecode, contactgegevens of inhoud. Ze kunnen niet worden gekoppeld aan een persoon of aan de hierboven genoemde gegevens.

7. Hulp bij beveiliging, inbreuken en effectbeoordelingen

7.1 Rekening houdend met de aard van de verwerking en de informatie waarover wij beschikken, helpen wij u bij het nakomen van uw verplichtingen op grond van de artikelen 32 tot en met 36 AVG: beveiliging, het melden van inbreuken in verband met persoonsgegevens, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging.

7.2 Nadat wij kennis hebben genomen van een inbreuk in verband met persoonsgegevens die betrekking heeft op de persoonsgegevens, melden wij die zonder onnodige vertraging aan u. Wij verstrekken u de informatie die in artikel 33, lid 3, AVG wordt beschreven, voor zover wij erover beschikken, en de rest zodra die beschikbaar wordt.

8. Verwijdering of teruggave aan het einde

8.1 Na afloop van de diensten verwijderen wij alle persoonsgegevens of geven wij ze, als u daarvoor kiest, aan u terug, en verwijderen wij bestaande kopieën, tenzij bewaring ervan Unierechtelijk of lidstaatrechtelijk verplicht is, met uitzondering van de registraties van verzoeken onder artikel 6.3. Op verzoek bevestigen wij u schriftelijk dat de persoonsgegevens zijn verwijderd.

8.2 Wanneer een app een export biedt, kunt u de gegevens zelf downloaden voordat u uw account sluit. Als u geen keuze maakt, verwijderen wij de gegevens.

8.3 Verwijderde gegevens kunnen gedurende een beperkte periode in back-ups blijven staan, totdat die back-ups in hun normale cyclus worden verwijderd.

8.4 Supportcorrespondentie met u maakt deel uit van onze eigen administratie. Persoonsgegevens van uw shoppers of klanten daarin worden slechts bewaard zolang onze regel voor supportmail dat toestaat, en uitsluitend gebruikt om het verzoek af te handelen.

9. Informatie en audits

9.1 Wij stellen u alle informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen.

9.2 Wij maken audits, waaronder inspecties, door u of door een door u gemachtigde controleur mogelijk en dragen eraan bij. U kondigt de audit tijdig vooraf aan; er vindt binnen elke periode van 12 maanden niet meer dan één audit plaats, tenzij een inbreuk in verband met persoonsgegevens, aanwijzingen van niet-naleving of een toezichthoudende autoriteit een nieuwe audit vereisen; de controleur is tot vertrouwelijkheid gehouden; en u draagt uw eigen kosten. Wij kunnen eerst documenten aanbieden waaruit de naleving blijkt; u beslist of die volstaan of dat de audit doorgaat.

10. Doorgiften buiten de EER

10.1 Wij geven persoonsgegevens uitsluitend in overeenstemming met hoofdstuk V AVG door aan een land buiten de Europese Economische Ruimte, bijvoorbeeld op basis van een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie.

10.2 U geeft toestemming voor de doorgiften aan de subverwerkers op de lijst, op basis van de waarborgen die de lijst vermeldt.

10.3 Wanneer u bent gevestigd in een land buiten de EER waarvoor geen adequaatheidsbesluit van de Europese Commissie geldt, worden onze doorgiften van persoonsgegevens aan u beheerst door de standaardcontractbepalingen die de Europese Commissie heeft vastgesteld in Uitvoeringsbesluit (EU) 2021/914, module vier (doorgifte tussen verwerker en verwerkingsverantwoordelijke) (de “bepalingen”). De bepalingen worden door verwijzing in deze overeenkomst opgenomen en als volgt aangevuld: (a) wij zijn de gegevensexporteur en u bent de gegevensimporteur; (b) clausule 7 en de optie in clausule 11, onder a), zijn niet van toepassing; (c) op grond van clausule 17 worden de bepalingen beheerst door het Belgische recht, en op grond van clausule 18 worden geschillen beslecht door de rechter in België; (d) in bijlage I.A is de gegevensexporteur Webcollation BV, zoals vermeld in de voorwaarden, optredend als verwerker, en bent u de gegevensimporteur, zoals geïdentificeerd in uw account, optredend als verwerkingsverantwoordelijke; de contactgegevens van elke partij zijn die in de voorwaarden en in uw account; de activiteiten die relevant zijn voor de doorgiften zijn de diensten van onze apps op grond van de voorwaarden; (e) in bijlage I.B worden de doorgiften beschreven door bijlage A van deze overeenkomst; zij zijn doorlopend en vinden plaats telkens wanneer wij persoonsgegevens aan u ter beschikking stellen, bijvoorbeeld in onze apps, in hun exports en via hun integraties; (f) door de voorwaarden te aanvaarden, stemt u in met de bepalingen zoals hier aangevuld en ondertekent u bijlage I; wij stemmen ermee in door deze overeenkomst deel te laten uitmaken van de voorwaarden. Als de bepalingen strijdig zijn met deze overeenkomst of de voorwaarden, hebben de bepalingen voorrang.

11. Uw verplichtingen

11.1 U bent verantwoordelijk voor de rechtmatigheid van de verwerking, met inbegrip van de rechtsgrond ervan, en voor het informeren van de betrokken personen, bijvoorbeeld in uw privacy- en cookieverklaring.

11.2 U verkrijgt elke toestemming die de wet vereist en koppelt, wanneer onze documentatie u daarom vraagt, uw cookiebanner aan onze widgets zoals daarin wordt uitgelegd.

11.3 Uw instructies voldoen aan het gegevensbeschermingsrecht.

11.4 U gebruikt onze apps niet om bijzondere categorieën van persoonsgegevens (artikel 9 AVG) of gegevens over strafrechtelijke veroordelingen (artikel 10 AVG) te verwerken.

12. Duur, voorrang, aansprakelijkheid, recht en taal

12.1 Deze overeenkomst is van toepassing zolang wij namens u persoonsgegevens verwerken.

12.2 Als deze overeenkomst in strijd is met de voorwaarden, heeft deze overeenkomst voorrang op het gebied van gegevensbescherming. Als de standaardcontractbepalingen van toepassing zijn, hebben zij voorrang op deze overeenkomst.

12.3 De aansprakelijkheidsbeperkingen in de voorwaarden zijn van toepassing op deze overeenkomst, behalve waar het gegevensbeschermingsrecht ze niet toestaat.

12.4 Deze overeenkomst wordt beheerst door Belgisch recht. De rechtbanken in het gerechtelijk arrondissement Antwerpen, België, zijn exclusief bevoegd voor geschillen daarover, tenzij dwingend recht anders bepaalt.

12.5 Deze overeenkomst is opgesteld in het Engels. Als een vertaling afwijkt van de Engelse tekst, heeft de Engelse tekst voorrang.

Bijlage A. Beschrijving van de verwerking

Bijlage B. Beveiligingsmaatregelen (artikel 32 AVG)

In algemene bewoordingen omschreven, omdat artikel 32 maatregelen vereist die passend zijn voor het risico.

• Netwerkbeveiliging: elke app is bereikbaar via een netwerkbeveiligingsdienst die beschermt tegen aanvallen; de hosting van de apps voegt een webapplicatiefirewall toe die schadelijke verzoeken filtert.
• Betalingen: wij ontvangen nooit volledige kaartnummers; de wederverkoper of het platform handelt de betaling af.
• Minimale gegevensverwerking: onze apps verwerken alleen de persoonsgegevens die een functie nodig heeft, en onze logboeken laten querystrings weg die inloggegevens kunnen bevatten.
• Back-ups: van onze databases worden back-ups gemaakt.
• Monitoring: alarmmeldingen bereiken onze medewerkers.
• Subverwerkers: schriftelijke overeenkomsten op grond van artikel 5.
• Verwijdering: wij geven gevolg aan de wissingsverzoeken van de platforms.

Bijlage C. Subverwerkers

De lijst die is gepubliceerd op onze pagina met subverwerkers, zoals bijgewerkt op grond van artikel 5, met inbegrip van de subverwerkers die via een andere subverwerker zijn ingeschakeld.