Deze Verwerkersovereenkomst is een sjabloon dat is opgesteld voor 1click2open en dient door een gekwalificeerd juridisch adviseur te worden beoordeeld voordat u erop vertrouwt.
Deze Verwerkersovereenkomst ("DPA") maakt deel uit van de Algemene Voorwaarden tussen u ("Klant", de verwerkingsverantwoordelijke) en 1click2open ("Proofwright", de verwerker), en is van toepassing wanneer Proofwright persoonsgegevens verwerkt namens de Klant — bijvoorbeeld gegevens over de eigen clientsites van de Klant die in de console worden ingebracht. Zij weerspiegelt Article 28 van de Algemene verordening gegevensbescherming van de EU (GDPR).
1. Rollen en reikwijdte
De Klant is de verwerkingsverantwoordelijke (of een verwerker die optreedt voor zijn eigen klanten) en Proofwright is de verwerker. Elke partij zal het toepasselijke recht inzake gegevensbescherming naleven. Het onderwerp, de duur, de aard, het doel, de soorten gegevens en de categorieën van betrokkenen zijn uiteengezet in Annex I.
2. Verplichtingen van de verwerker
Proofwright zal:
- Persoonsgegevens uitsluitend verwerken op basis van de gedocumenteerde instructies van de Klant (met inbegrip van wat is uiteengezet in de Voorwaarden en deze DPA), tenzij dit wettelijk vereist is, in welk geval zij de Klant hierover zal informeren voor zover dit is toegestaan.
- Ervoor zorgen dat personen die bevoegd zijn de gegevens te verwerken gebonden zijn aan geheimhouding.
- De technische en organisatorische maatregelen implementeren die zijn uiteengezet in Annex II (Art. 32).
- De Klant, voor zover redelijkerwijs mogelijk, bijstaan bij het reageren op verzoeken van betrokkenen en bij zijn verplichtingen uit hoofde van Arts. 32–36 (beveiliging, melding van inbreuken, effectbeoordelingen).
- Naar keuze van de Klant persoonsgegevens aan het einde van de diensten wissen of retourneren en bestaande kopieën wissen, tenzij bewaring wettelijk vereist is.
- De informatie beschikbaar stellen die redelijkerwijs noodzakelijk is om naleving aan te tonen en audits mogelijk maken op grond van Sectie 6.
3. Subverwerkers
De Klant verleent algemene toestemming aan Proofwright om de in Annex III vermelde subverwerkers in te schakelen voor het leveren van de Dienst. Proofwright legt aan elke subverwerker verplichtingen inzake gegevensbescherming op die niet minder beschermend zijn dan deze DPA en blijft aansprakelijk voor hun prestaties. Proofwright zal ten minste 30 dagen van tevoren kennisgeven (per e-mail of op deze pagina) voordat een subverwerker wordt toegevoegd of vervangen, gedurende welke periode de Klant bezwaar kan maken op redelijke gronden van gegevensbescherming.
4. Beveiliging
Proofwright handhaaft de technische en organisatorische maatregelen die zijn beschreven in Annex II, waaronder versleuteling tijdens verzending, gehashte inloggegevens, toegangscontrole, tenant-isolatie, rate limiting, manipulatiebestendige bewijslogging en off-site back-ups.
5. Inbreuken in verband met persoonsgegevens
Proofwright zal de Klant zonder onnodige vertraging, en in ieder geval binnen 72 uur na kennisname, in kennis stellen van een inbreuk in verband met persoonsgegevens die van invloed is op de gegevens van de Klant, met de redelijkerwijs beschikbare informatie om de Klant te helpen aan zijn eigen verplichtingen te voldoen.
6. Audits
Proofwright zal de informatie beschikbaar stellen die nodig is om naleving aan te tonen en zal, na redelijke voorafgaande kennisgeving en behoudens geheimhouding, audits (waaronder inspecties) toestaan door de Klant of een door hem gemachtigde auditor, niet meer dan eenmaal per jaar, tenzij vereist door een toezichthoudende autoriteit.
7. Internationale doorgiften
Waar de verwerking het doorgeven van persoonsgegevens buiten de Europese Economische Ruimte met zich meebrengt, baseren de partijen zich op de modelcontractbepalingen (Standard Contractual Clauses) van de Europese Commissie (Decision 2021/914), die door verwijzing zijn opgenomen en zijn aangevuld met de gegevens in de Annexen, en/of andere geldige doorgiftemechanismen.
8. Aansprakelijkheid en looptijd
De aansprakelijkheid van elke partij uit hoofde van deze DPA is onderworpen aan de beperkingen in de Voorwaarden. Deze DPA blijft van kracht zolang Proofwright persoonsgegevens verwerkt voor de Klant.
Annex I — Details van de verwerking
- Onderwerp: het leveren van de Proofwright CRA-gereedheids- en bewijsdienst.
- Duur: de looptijd van het abonnement van de Klant plus de bewaartermijn die is uiteengezet in het Privacybeleid.
- Aard en doel: hosting, inventarisatie, analyse, monitoring en het genereren van bewijs ter ondersteuning van de CRA-due-diligence van de Klant.
- Betrokkenen: het personeel van de Klant en, waar de Klant dergelijke gegevens inbrengt, het personeel van zijn eindklanten (bijv. sitebeheerders, beveiligingscontactpersonen).
- Categorieën gegevens: namen, zakelijke e-mailadressen, accountgegevens, site- en componentidentificaties, IP-adressen, en alle persoonsgegevens die aanwezig zijn in ingediende SBOMs, ondersteuningsberichten of configuratie. De Dienst is niet bedoeld voor bijzondere categorieën van gegevens.
Annex II — Technische en organisatorische maatregelen
- Versleuteling van gegevens tijdens verzending (TLS); inloggegevens gehasht opgeslagen.
- Strikte multi-tenant-isolatie; elke lees- en schrijfbewerking is beperkt tot de eigenaar.
- Op rollen gebaseerde toegangscontrole en beheerderstoegang volgens het principe van minimale rechten.
- Rate limiting en misbruikbescherming op authenticatie- en openbare endpoints.
- Manipulatiebestendige, met hashes verzegelde bewijslogging.
- Continue, off-site, point-in-time back-ups van het bewijsarchief.
- Kwetsbaarheidsmonitoring en een kanaal voor gecoördineerde openbaarmaking voor de Dienst zelf.
Annex III — Subverwerkers
- Cloudflare, Inc. — edge, Pages, D1-database, R2-back-upopslag en Access — Verenigde Staten / wereldwijde edge.
- The Fly.io Company — hosting van de consoletoepassing en het bewijsarchief — Europese Unie.
- Resend — transactionele e-mail — Verenigde Staten.
- PayPal — betalingsverwerking — Europese Unie / Verenigde Staten.
Contact
Vragen over deze DPA: connect@proofwright.eu.