Verwerkersovereenkomst

Partijen bij deze verwerkersovereenkomst zijn de klant in de hoedanigheid van verwerkingsverantwoordelijke en statycs GmbH (FN 613704g, Liechtensteinstraße 59, 1090 Wenen, Oostenrijk) in de hoedanigheid van verwerker.

Deze overeenkomst regelt de verwerkingen die statycs voor de verwerkingsverantwoordelijke uitvoert in verband met het statycs SaaS-platform. Zij treedt in werking bij aanvaarding van de Algemene Voorwaarden. Bij strijdigheid over onderwerpen van gegevensbescherming prevaleert deze verwerkersovereenkomst.

Onderwerp: de verwerking van persoonsgegevens die noodzakelijk is opdat statycs het platform aan de verwerkingsverantwoordelijke kan leveren.

Duur: deze verwerkersovereenkomst geldt voor de duur van de hoofdovereenkomst en loopt door tot aan de voltooiing van de in § 11 beschreven afwikkeling.

De verwerking heeft tot doel het leveren van het platform en omvat verzameling, opslag, organisatie, structurering, raadpleging, gebruik en wissing.

statycs verwerkt de persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke, tenzij een bepaling van Unierecht of Oostenrijks recht anderszins voorschrijft; in dat geval informeert statycs de verwerkingsverantwoordelijke vooraf, tenzij de wet dit verbiedt.

Categorieën betrokkenen: medewerkers, opdrachtnemers, klanten, leveranciers, investeerders en overige natuurlijke personen van de verwerkingsverantwoordelijke waarvan gegevens in het platform worden verwerkt.

Categorieën persoonsgegevens: namen, e-mailadressen, telefoonnummers, functies, bedrijfsrelatie, IP-adressen, browser- en apparaatgegevens, alsmede de door de verwerkingsverantwoordelijke in het platform ingevoerde gegevens. Geüploade financiële gegevens kunnen persoonsgegevens bevatten.

De verwerkingsverantwoordelijke is de verwerkingsverantwoordelijke in de zin van de AVG en is als enige verantwoordelijk voor het waarborgen van de rechtmatigheid van de verwerking van persoonsgegevens, waaronder het beschikken over een geldige rechtsgrond zowel voor de verwerking zelf als voor de doorgifte van de gegevens aan statycs.

De verwerkingsverantwoordelijke is verantwoordelijk voor de juistheid, de kwaliteit en de rechtmatigheid van de aan statycs verstrekte persoonsgegevens en voor de naleving van alle toepasselijke gegevensbeschermingswetgeving, waaronder de informatieverstrekking aan betrokkenen over de verwerking van hun gegevens.

statycs verbindt zich tot:

• Verwerking uitsluitend op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke
• Het binden van bevoegd personeel aan een schriftelijke geheimhoudingsplicht
• Het nemen van passende technische en organisatorische maatregelen
• Bijstand bij verzoeken van betrokkenen uit hoofde van de artikelen 15 tot en met 22 AVG
• Bijstand bij de verplichtingen uit hoofde van de artikelen 32 tot en met 34 AVG, gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen
• Melding van inbreuken in verband met persoonsgegevens zonder onredelijke vertraging
• Verwijdering of teruggave van de persoonsgegevens bij einde overeenkomst, behoudens wettelijke bewaarplichten
• Onverwijlde kennisgeving aan de verwerkingsverantwoordelijke indien een instructie naar het oordeel van statycs strijdig is met het toepasselijke gegevensbeschermingsrecht

Audits: statycs voldoet aan de auditverplichtingen uit hoofde van artikel 28 lid 3 onder h AVG door op redelijk schriftelijk verzoek en maximaal eenmaal per twaalf maanden een actueel beveiligingsoverzicht, de lijst van sub-verwerkers en schriftelijke antwoorden op een redelijke vragenlijst van de verwerkingsverantwoordelijke ter beschikking te stellen. Audits ter plaatse zijn maximaal eenmaal per vierentwintig maanden toegestaan, alsook op instructie van een toezichthoudende autoriteit of bij een met redenen omkleed vermoeden van een inbreuk. Audits vinden plaats voor rekening van de verwerkingsverantwoordelijke, met een opzegtermijn van dertig dagen, binnen kantooruren en na voorafgaande schriftelijke overeenstemming over reikwijdte, timing en vertrouwelijkheid.

statycs maakt gebruik van de volgende sub-verwerkers:

• Google Analytics (Google LLC, Verenigde Staten) - webanalyse
• PostHog (PostHog Inc., Verenigde Staten; PostHog Cloud EU gehost in Duitsland) - productanalyse
• Hanko (Hanko GmbH, Duitsland) - authenticatie
• Zero (Zero Inc., Finland) - CRM
• Hetzner (Hetzner Online GmbH, Duitsland) - hosting
• Chatwoot (Chatwoot Inc., Verenigde Staten) - livechat voor websitebezoekers, niet voor app-gebruikers

statycs waarborgt dat alle sub-verwerkers schriftelijk zijn gebonden aan gelijkwaardige verplichtingen inzake gegevensbescherming. Voorgenomen wijzigingen worden ten minste dertig dagen voorafgaand aan inwerkingtreding aan de verwerkingsverantwoordelijke bekendgemaakt. De verwerkingsverantwoordelijke kan binnen veertien dagen na kennisgeving gemotiveerd bezwaar maken. Indien het bezwaar niet in onderling overleg kan worden opgelost, kan de verwerkingsverantwoordelijke de overeenkomst per datum van inwerkingtreding van de wijziging beëindigen; statycs restitueert in dat geval vooruitbetaalde vergoedingen pro rata.

Doorgiften van persoonsgegevens naar landen buiten de Europese Economische Ruimte vinden plaats op basis van de standaardcontractbepalingen van de Europese Commissie in de zin van artikel 46 AVG en, voor zover van toepassing, op basis van een adequaatheidsbesluit.

Een afschrift van de toegepaste waarborgen wordt op verzoek aan de verwerkingsverantwoordelijke beschikbaar gesteld via [email protected].

statycs treft de volgende technische en organisatorische maatregelen:

• Encryptie bij transport (TLS) en in rust
• Rolgebaseerd toegangsbeheer volgens het principe van minimale bevoegdheid
• Multifactorauthenticatie voor interne systemen
• Periodieke beveiligingsreviews die passen bij de aard en schaal van de verwerking, met tests door derden wanneer aangewezen
• Geautomatiseerde back-ups en noodherstelprocedures
• Logging en monitoring van toegang tot persoonsgegevens
• Training van medewerkers op het gebied van beveiliging en gegevensbescherming

Een actuele beschrijving van de toegepaste maatregelen is op verzoek beschikbaar via [email protected].

statycs informeert de verwerkingsverantwoordelijke zonder onnodige vertraging over een inbreuk in verband met persoonsgegevens.

De melding bevat, voor zover redelijkerwijs beschikbaar, de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en registraties, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een contactpunt ([email protected]).

statycs werkt mee bij het onderzoek, de beperking en het herstel van de inbreuk.

Op de aansprakelijkheid voor de gegevensverwerking uit hoofde van deze verwerkersovereenkomst zijn de aansprakelijkheidsbepalingen uit de Algemene Voorwaarden van de onderliggende hoofdovereenkomst van toepassing. Niets in deze verwerkersovereenkomst wijzigt of verruimt de tussen partijen overeengekomen aansprakelijkheidsbepalingen.

Elke partij is aansprakelijk voor schade die wordt veroorzaakt door een verwerking die in strijd is met de AVG, overeenkomstig artikel 82 AVG. statycs is uitsluitend aansprakelijk voor schade die wordt veroorzaakt door een verwerking die niet voldoet aan de specifiek op verwerkers rustende verplichtingen uit de AVG of aan de rechtmatige instructies van de verwerkingsverantwoordelijke.

Deze verwerkersovereenkomst eindigt automatisch bij beëindiging van de hoofdovereenkomst.

Na beëindiging worden de persoonsgegevens gedurende dertig dagen bewaard en aansluitend definitief verwijderd, tenzij de verwerkingsverantwoordelijke binnen deze termijn verzoekt om teruggave in een gangbaar, gestructureerd formaat. statycs kan de gegevens enkel langer bewaren indien Unierecht of Oostenrijks recht dit voorschrijft, in welk geval zij de verwerkingsverantwoordelijke hiervan in kennis stelt.

Op deze verwerkersovereenkomst is uitsluitend Oostenrijks recht van toepassing. Alle geschillen worden bij uitsluiting voorgelegd aan de bevoegde rechter te Wenen.