Verwerkersovereenkomst

Deze verwerkersovereenkomst (de "Verwerkersovereenkomst") wordt gesloten tussen de klant die de diensten van statycs afneemt op grond van een geldige hoofdovereenkomst (de "verwerkingsverantwoordelijke") en statycs GmbH, FN 613704g, Liechtensteinstraße 59, 1090 Wenen, Oostenrijk (de "verwerker").

Deze Verwerkersovereenkomst regelt de verwerking van persoonsgegevens door statycs ten behoeve van de verwerkingsverantwoordelijke in verband met het statycs SaaS-platform voor financiële planning en analyse. Zij treedt in werking zodra de verwerkingsverantwoordelijke de Algemene Voorwaarden aanvaardt of anderszins een hoofdovereenkomst met statycs sluit, en blijft van kracht zolang statycs persoonsgegevens ten behoeve van de verwerkingsverantwoordelijke verwerkt. Bij strijdigheid tussen deze Verwerkersovereenkomst en andere contractuele bepalingen prevaleert deze Verwerkersovereenkomst voor zover het onderwerpen van gegevensbescherming betreft.

Onderwerp van de verwerking: de verwerking van persoonsgegevens die noodzakelijk is opdat statycs haar platform voor financiële planning en analyse aan de verwerkingsverantwoordelijke kan leveren.

Duur van de verwerking: de duur van de onderliggende hoofdovereenkomst, met inbegrip van de in § 11 hierna beschreven afwikkelings- en verwijderingsperiode.

De verwerking heeft tot doel het leveren van het platform en omvat verzameling, opslag, organisatie, structurering, raadpleging, gebruik en wissing. In deze verwerkersovereenkomst wordt onder "klantinhoud" verstaan: de gegevens die de verwerkingsverantwoordelijke naar het platform uploadt en de rapporten, plannen en overige resultaten die daaruit worden gegenereerd.

De verwerking vindt uitsluitend plaats op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke. Tot die instructies behoort het opstellen van geaggregeerde, geanonimiseerde statistieken en branche-benchmarks; zodra het resultaat is geanonimiseerd, betreft het geen persoonsgegevens meer en valt het buiten deze verwerkersovereenkomst. statycs verwerkt de persoonsgegevens niet voor andere doeleinden dan het leveren van de overeengekomen dienst, tenzij Unierecht of Oostenrijks recht dit voorschrijft. In dat geval informeert statycs de verwerkingsverantwoordelijke vóór de verwerking over het wettelijke voorschrift, tenzij de wet dit verbiedt.

Categorieën betrokkenen: medewerkers, opdrachtnemers, klanten, leveranciers, investeerders en overige natuurlijke personen van de verwerkingsverantwoordelijke waarvan gegevens in het platform worden verwerkt.

Categorieën persoonsgegevens: namen, e-mailadressen, telefoonnummers, functies, bedrijfsrelatie, IP-adressen, browser- en apparaatgegevens, alsmede de door de verwerkingsverantwoordelijke in het platform ingevoerde gegevens. Geüploade financiële gegevens - zoals boekhoudkundige gegevens, rapportages en plannen - kunnen persoonsgegevens bevatten, voor zover de verwerkingsverantwoordelijke deze daarin opneemt.

De verwerkingsverantwoordelijke is de verwerkingsverantwoordelijke in de zin van de AVG en is als enige verantwoordelijk voor het waarborgen van de rechtmatigheid van de verwerking van persoonsgegevens, waaronder het beschikken over een geldige rechtsgrond zowel voor de verwerking zelf als voor de doorgifte van de gegevens aan statycs.

De verwerkingsverantwoordelijke is verantwoordelijk voor de juistheid, de kwaliteit en de rechtmatigheid van de aan statycs verstrekte persoonsgegevens en voor de naleving van alle toepasselijke gegevensbeschermingswetgeving, waaronder de informatieverstrekking aan betrokkenen over de verwerking van hun gegevens.

statycs verbindt zich tot:

• Verwerking uitsluitend op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke, tenzij de wet anders voorschrijft
• Het binden van bevoegd personeel aan een schriftelijke geheimhoudingsplicht
• Het nemen van passende technische en organisatorische maatregelen
• Bijstand bij verzoeken van betrokkenen uit hoofde van de artikelen 15 tot en met 22 AVG
• Bijstand bij de verplichtingen uit hoofde van de artikelen 32 tot en met 34 AVG, gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen van toezichthoudende autoriteiten, rekening houdend met de aard van de verwerking en de aan statycs beschikbare informatie
• Melding van inbreuken in verband met persoonsgegevens zonder onredelijke vertraging
• Naar keuze van de verwerkingsverantwoordelijke verwijdering of teruggave van alle persoonsgegevens bij einde overeenkomst, behoudens wettelijke bewaarplichten
• Onverwijlde kennisgeving aan de verwerkingsverantwoordelijke indien een instructie naar het oordeel van statycs strijdig is met het toepasselijke gegevensbeschermingsrecht

Audits: statycs voldoet aan de auditverplichtingen uit hoofde van artikel 28 lid 3 onder h AVG door op redelijk schriftelijk verzoek en maximaal eenmaal per twaalf maanden een actueel beveiligingsoverzicht, de lijst van sub-verwerkers en schriftelijke antwoorden op een redelijke vragenlijst van de verwerkingsverantwoordelijke ter beschikking te stellen. Daarnaast kan de verwerkingsverantwoordelijke - of een door hem aangewezen onafhankelijke auditor die tot geheimhouding is gehouden - maximaal eenmaal per vierentwintig maanden een audit ter plaatse uitvoeren, alsook te allen tijde op instructie van een toezichthoudende autoriteit of bij een met redenen omkleed vermoeden van een inbreuk. Audits ter plaatse vinden plaats voor rekening van de verwerkingsverantwoordelijke, na schriftelijke aankondiging dertig dagen vooraf, binnen kantooruren en na voorafgaande schriftelijke overeenstemming over reikwijdte, timing en vertrouwelijkheid.

statycs schakelt bij de levering van de dienst de volgende dienstverleners in. Hetzner, Cloudflare en Hanko verwerken persoonsgegevens namens de verwerkingsverantwoordelijke en zijn sub-verwerkers in de zin van artikel 28 AVG. PostHog en Stripe worden hier ter wille van de transparantie vermeld; hun rol is bij hun vermelding aangegeven. De verwerkingsverantwoordelijke verleent statycs hierbij algemene schriftelijke toestemming in de zin van artikel 28 lid 2 AVG en met inachtneming van dit onderdeel om de hieronder vermelde sub-verwerkers in te schakelen en daarin wijzigingen aan te brengen.

• Hetzner (Hetzner Online GmbH, Duitsland) - hosting
• Cloudflare (Cloudflare, Inc., Verenigde Staten) - contentdistributie, TLS-terminatie en botbescherming voor app.statycs.com
• Hanko (Hanko GmbH, Duitsland) - authenticatie
• PostHog (PostHog Inc., Verenigde Staten; PostHog Cloud EU gehost in Duitsland) - productanalyse. statycs bepaalt zelf de doeleinden van haar productanalyse en is daarvoor zelfstandig verwerkingsverantwoordelijke; PostHog treedt voor die verwerking dan ook op als verwerker van statycs zelf en niet als sub-verwerker van de verwerkingsverantwoordelijke
• Stripe (Stripe Payments Europe Ltd., Ierland; Stripe, LLC, Verenigde Staten) - betalingsverwerking en abonnementsfacturatie. Voor het uitvoeren van betalingen en het nakomen van haar eigen toezichtrechtelijke verplichtingen treedt Stripe op als zelfstandig verwerkingsverantwoordelijke; Stripe wordt hier ter wille van de transparantie vermeld en niet als sub-verwerker van de verwerkingsverantwoordelijke

statycs waarborgt dat alle sub-verwerkers schriftelijk zijn gebonden aan gelijkwaardige verplichtingen inzake gegevensbescherming. Voorgenomen wijzigingen worden ten minste dertig dagen voorafgaand aan inwerkingtreding aan de verwerkingsverantwoordelijke bekendgemaakt. De verwerkingsverantwoordelijke kan binnen veertien dagen na kennisgeving gemotiveerd bezwaar maken. Indien het bezwaar niet in onderling overleg kan worden opgelost, kan de verwerkingsverantwoordelijke de overeenkomst per datum van inwerkingtreding van de wijziging beëindigen; statycs restitueert in dat geval vooruitbetaalde vergoedingen pro rata.

Klantinhoud - de financiële gegevens, rapporten en plannen die in het platform worden geüpload - wordt, met inbegrip van de back-ups, uitsluitend opgeslagen op servers binnen de Europese Unie. De hosting vindt plaats bij Hetzner (Duitsland) en de authenticatie bij Hanko (Duitsland). De productanalyse draait op PostHog Cloud EU (Duitsland), dat gebruiksgebeurtenissen ontvangt, maar nooit klantinhoud.

Drie zaken vallen daarbuiten. Betaal- en factuurgegevens worden verwerkt door Stripe, dat infrastructuur in de Verenigde Staten exploiteert. Cloudflare verzorgt de TLS-terminatie voor app.statycs.com, waardoor verkeer tijdens het transport langs locaties buiten de Europese Unie kan lopen, ook al wordt daar geen klantinhoud opgeslagen. Daarnaast staan verschillende dienstverleners, waaronder Cloudflare en PostHog, onder zeggenschap van moedermaatschappijen die in de Verenigde Staten zijn gevestigd, waardoor toegang voor ondersteuning of beheer van buiten de Europese Economische Ruimte mogelijk blijft, ook wanneer de servers in Europa staan. statycs merkt alle drie aan als doorgiften in de zin van hoofdstuk V van de AVG.

Voor die doorgiften baseert statycs zich op de standaardcontractbepalingen van de Europese Commissie, waar nodig aangevuld met extra technische en organisatorische maatregelen, en, voor zover de ontvanger gecertificeerd is, op het adequaatheidsbesluit van de Europese Commissie van 10 juli 2023 inzake het EU-US Data Privacy Framework. statycs beoordeelt het rechtskader van de ontvangende landen periodiek opnieuw en gaat daarbij tevens na of de adequaatheidsbesluiten waarop statycs zich baseert nog van kracht zijn. Een afschrift van de toegepaste waarborgen is op verzoek beschikbaar via [email protected].

statycs treft passende technische en organisatorische maatregelen ter bescherming van persoonsgegevens, waaronder:

• Encryptie bij transport (TLS) en in rust
• Rolgebaseerd toegangsbeheer volgens het principe van minimale bevoegdheid
• Multifactorauthenticatie voor interne systemen
• Periodieke beveiligingsreviews die passen bij de aard en schaal van de verwerking, met tests door derden wanneer aangewezen
• Geautomatiseerde back-ups en noodherstelprocedures
• Logging en monitoring van toegang tot persoonsgegevens
• Training van medewerkers op het gebied van beveiliging en gegevensbescherming

Een actuele beschrijving van de toegepaste maatregelen is op verzoek beschikbaar via [email protected].

statycs informeert de verwerkingsverantwoordelijke zonder onnodige vertraging zodra zij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens. Artikel 33 lid 2 AVG stelt geen risicodrempel aan de melding van de verwerker aan de verwerkingsverantwoordelijke, en statycs hanteert die evenmin.

De melding bevat, voor zover bekend, de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen om de inbreuk aan te pakken en de gevolgen daarvan te beperken, en een contactpunt ([email protected]) waar de verwerkingsverantwoordelijke nadere informatie kan verkrijgen.

statycs werkt samen met de verwerkingsverantwoordelijke en onderneemt redelijke stappen om te ondersteunen bij het onderzoek, de beperking en het herstel van de inbreuk.

Op de aansprakelijkheid voor de gegevensverwerking uit hoofde van deze verwerkersovereenkomst zijn de aansprakelijkheidsbepalingen uit de Algemene Voorwaarden van de onderliggende hoofdovereenkomst van toepassing. Niets in deze verwerkersovereenkomst wijzigt of verruimt de tussen partijen overeengekomen aansprakelijkheidsbepalingen.

Elke partij is aansprakelijk voor schade die wordt veroorzaakt door een verwerking die in strijd is met de AVG, overeenkomstig artikel 82 AVG. statycs is uitsluitend aansprakelijk voor schade die wordt veroorzaakt door een verwerking die niet voldoet aan de specifiek op verwerkers rustende verplichtingen uit de AVG of aan de rechtmatige instructies van de verwerkingsverantwoordelijke.

Deze verwerkersovereenkomst eindigt automatisch bij beëindiging van de hoofdovereenkomst tussen de verwerkingsverantwoordelijke en statycs, met dien verstande dat zij van kracht blijft ten aanzien van de persoonsgegevens die statycs nog namens de verwerkingsverantwoordelijke onder zich houdt, totdat die gegevens overeenkomstig dit onderdeel zijn teruggegeven of verwijderd.

Na beëindiging worden de namens de verwerkingsverantwoordelijke verwerkte persoonsgegevens gedurende dertig dagen bewaard. Binnen die termijn kan de verwerkingsverantwoordelijke kiezen of statycs de gegevens teruggeeft in een gestructureerd, gangbaar en machineleesbaar formaat, dan wel verwijdert. Blijft een keuze uit, dan verwijdert statycs de gegevens: na afloop van de dertig dagen uit de productiesystemen en binnen de daaropvolgende back-upcyclus uit de versleutelde back-ups. statycs kan de persoonsgegevens enkel langer bewaren indien Unierecht of Oostenrijks recht dit voorschrijft, in welk geval zij de verwerkingsverantwoordelijke hiervan in kennis stelt.

Op deze verwerkersovereenkomst is uitsluitend Oostenrijks recht van toepassing. Alle geschillen worden bij uitsluiting voorgelegd aan de bevoegde rechter te Wenen.

Deze verwerkersovereenkomst wordt in meerdere talen gepubliceerd. De Engelse versie is de bindende versie en beheerst de overeenkomst tussen partijen. Alle overige taalversies worden uitsluitend ter informatie verstrekt; bij afwijkingen prevaleert de Engelse versie.