Verwerkersovereenkomst (DPA)

Deze Verwerkersovereenkomst (“DPA”) maakt deel uit van de Servicevoorwaarden tussen u (“Klant”, de verwerkingsverantwoordelijke) en Empire Luxury International Corporation (DBA Neuro Empire) (“NeuroCRM”, de verwerker) en regelt de verwerking van persoonsgegevens die in Klantcontent zijn opgenomen. Bij een tegenstrijdigheid in aangelegenheden van gegevensbescherming heeft deze DPA voorrang op de Voorwaarden.

1. Rollen en reikwijdte

Voor Klantcontent is de Klant de verwerkingsverantwoordelijke (of een verwerker die handelt voor zijn eigen klanten) en is NeuroCRM de verwerker (of subverwerker). NeuroCRM verwerkt Klantcontent uitsluitend om de Dienst te leveren en op de gedocumenteerde instructies van de Klant, die de Voorwaarden, deze DPA en het gebruik van de functies van de Dienst omvatten. NeuroCRM treedt alleen op als zelfstandige verwerkingsverantwoordelijke voor de beperkte account-, facturerings- en beveiligingsgegevens die zijn beschreven in de Privacyverklaring.

2. Bijzonderheden van de verwerking

Onderwerp: de levering van de NeuroCRM-Dienst. Duur: de looptijd van het abonnement van de Klant plus een eventuele afbouwperiode. Aard en doel: hosting-, opslag- en verwerkingsverrichtingen die nodig zijn om de Dienst te leveren zoals door de Klant geconfigureerd. Categorieën van betrokkenen: de contacten, leads, klanten, medewerkers en andere personen van de Klant van wie de Klant gegevens invoert. Categorieën van persoonsgegevens: zoals bepaald door de Klant, doorgaans identificatie- en contactgegevens, bedrijfsdossiers en communicatie; de Klant mag geen bijzondere categorieën van gegevens invoeren tenzij schriftelijk overeengekomen.

3. Instructies van de Klant en naleving

NeuroCRM verwerkt Klantcontent uitsluitend op gedocumenteerde instructies, ook met betrekking tot doorgiften, tenzij vereist door toepasselijk recht (in welk geval NeuroCRM de Klant zal informeren, tenzij dit verboden is). NeuroCRM zal de Klant op de hoogte stellen indien naar haar mening een instructie inbreuk maakt op het toepasselijke recht inzake gegevensbescherming. De Klant is verantwoordelijk voor de rechtmatigheid van Klantcontent en voor het beschikken over alle vereiste kennisgevingen en toestemmingen.

4. Vertrouwelijkheid van het personeel

NeuroCRM waarborgt dat het personeel dat is gemachtigd om Klantcontent te verwerken, gebonden is aan vertrouwelijkheidsverplichtingen en de gegevens uitsluitend volgens de instructies verwerkt.

5. Beveiligingsmaatregelen

NeuroCRM treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, waaronder versleuteling tijdens overdracht en van toegangstokens in rust, logische tenant-isolatie, toegangscontroles en logging, veerkracht en back-up, en regelmatige beoordeling. Een samenvatting is op verzoek en in de Privacyverklaring beschikbaar.

6. Subverwerkers

De Klant verleent een algemene machtiging aan NeuroCRM om subverwerkers in te schakelen. Een actuele lijst is te vinden op /legal/subprocessors. NeuroCRM legt aan elke subverwerker verplichtingen inzake gegevensbescherming op die niet minder beschermend zijn dan deze DPA en blijft verantwoordelijk voor hun prestaties. NeuroCRM geeft ten minste 30 dagen van tevoren kennis van elke nieuwe of vervangende subverwerker; de Klant kan op redelijke gronden inzake gegevensbescherming bezwaar maken, en indien partijen het bezwaar niet kunnen oplossen, kan de Klant de betrokken Dienst beëindigen en een terugbetaling van vooruitbetaalde, ongebruikte vergoedingen ontvangen.

7. Verzoeken van betrokkenen en bijstand

Rekening houdend met de aard van de verwerking zal NeuroCRM de Klant, door middel van passende maatregelen en voor zover commercieel redelijk, bijstaan bij het beantwoorden van verzoeken van betrokkenen en bij de nakoming van zijn verplichtingen op het gebied van beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging. Indien NeuroCRM rechtstreeks van een betrokkene een verzoek ontvangt, zal zij dit aan de Klant doorsturen en niet reageren, behalve volgens instructie of zoals wettelijk vereist.

8. Melding van inbreuk in verband met persoonsgegevens

NeuroCRM zal de Klant zonder onnodige vertraging, en in elk geval binnen 24 uur nadat zij kennis heeft gekregen van een bevestigde of redelijkerwijs vermoede inbreuk in verband met persoonsgegevens die Klantcontent treft, op de hoogte stellen, en zal beschikbare informatie verstrekken om de Klant te helpen aan zijn meldingsverplichtingen te voldoen, met updates naarmate het onderzoek vordert. Een dergelijke melding vormt geen erkenning van schuld of aansprakelijkheid. Het bepalen of toezichthouders of betrokkenen moeten worden geïnformeerd, en het doen van dergelijke meldingen, is de verantwoordelijkheid van de Klant als verwerkingsverantwoordelijke; NeuroCRM verleent redelijke medewerking.

9. Internationale doorgiften

Waar de verwerking een doorgifte van persoonsgegevens uit de EER, het VK of Zwitserland naar een land zonder adequaatheidsbesluit omvat, nemen partijen de modelcontractbepalingen van de Europese Commissie (2021/914), Module Twee (verwerkingsverantwoordelijke naar verwerker) op, aangevuld met de informatie in deze DPA, samen met het UK International Data Transfer Addendum en de Zwitserse aanpassingen voor zover van toepassing; als alternatief kan NeuroCRM zich beroepen op het EU-US Data Privacy Framework waar gecertificeerd. NeuroCRM treft aanvullende maatregelen voor zover passend. Bij een tegenstrijdigheid hebben de SCC's voorrang, uitsluitend voor zover noodzakelijk.

10. Russisch datacontour (152-FZ)

Voor persoonsgegevens van personen in de Russische Federatie houdt NeuroCRM een gescheiden Russisch contour in stand met primaire vastlegging en opslag op servers in Rusland, in overeenstemming met Federale Wet nr. 152-FZ, en verwerkt zij dergelijke gegevens op instructie van de Klant op grond van Artikel 6(3) 152-FZ. Dit contour en de bijbehorende inbreukmeldingsstroom (voorlopig binnen 24 uur en resultaten binnen 72 uur aan Roskomnadzor) werken onafhankelijk van de GDPR-keten. Zie het Verwerkingsbeleid voor persoonsgegevens (Rusland).

11. Audit

NeuroCRM stelt de informatie beschikbaar die nodig is om de naleving van deze DPA aan te tonen en maakt audits mogelijk. Om verstoring tot een minimum te beperken, kan NeuroCRM aan auditverzoeken voldoen door actuele certificeringen of rapporten van derden (zoals ISO 27001 of SOC 2 Type II) te verstrekken, waar beschikbaar. Audits ter plaatse of gedetailleerde audits zijn beperkt tot eenmaal per jaar (behalve na een inbreuk), vereisen ten minste 30 dagen van tevoren kennisgeving, een onderling overeengekomen reikwijdte en vertrouwelijkheid, en worden uitgevoerd tijdens kantooruren zonder onredelijke hinder.

12. Teruggave en verwijdering

Bij beëindiging zal NeuroCRM, naar keuze van de Klant die binnen 30 dagen wordt gemaakt, de Klantcontent in een gangbaar formaat teruggeven of verwijderen en, op verzoek, de verwijdering binnen een redelijke termijn certificeren, behalve voor zover bewaring wettelijk vereist is. Routinematige back-ups worden in de standaard rotatiecyclus overschreven.

13. Aansprakelijkheid en voorrang

De aansprakelijkheid van elke partij op grond van deze DPA is onderworpen aan de beperkingen en uitsluitingen in de Servicevoorwaarden, met inbegrip van de verhoogde limiet voor inbreuken op de gegevensbescherming. Deze DPA, met inbegrip van de daarin opgenomen SCC's, heeft voorrang op tegenstrijdige bepalingen van de Voorwaarden in aangelegenheden van gegevensbescherming. De DPA wordt beheerst door het recht en de geschillenbeslechtingsbepalingen van de Voorwaarden die op de Klant van toepassing zijn.