Verwerkersovereenkomst

Versie 2026-10-08

Deze verwerkersovereenkomst (de „Overeenkomst”) wordt gesloten tussen de in bijlage I genoemde Klant, als verwerkingsverantwoordelijke, en Sebastian Drożdż, handelend onder de naam Special Services, als verwerker („wij”), die de dienst TransferCRM levert. Zij maakt deel uit van de Servicevoorwaarden van TransferCRM.

1. De bepalingen

1.1 De partijen komen de standaardcontractbepalingen overeen die zijn opgenomen in de bijlage bij Uitvoeringsbesluit (EU) 2021/915 van de Commissie, hieronder ongewijzigd weergegeven (de „Bepalingen”). De bijlagen I tot en met IV hieronder vullen ze aan.

1.2 Waar de Bepalingen een keuze bieden, hebben de partijen gekozen voor: in bepaling 1, onder a), artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 (optie 1); bepaling 5 (docking-bepaling) is van toepassing; in bepaling 7.7, onder a), de algemene schriftelijke toestemming (optie 2), waarbij wijzigingen ten minste 30 dagen van tevoren worden gemeld.

1.3 Indien de Servicevoorwaarden of een andere overeenkomst tussen de partijen strijdig zijn met de Bepalingen, hebben de Bepalingen voorrang (bepaling 4).

2. Wijzigingen van subverwerkers

2.1 Wij stellen de Klant ten minste 30 dagen voordat een voorgenomen toevoeging of vervanging van een subverwerker ingaat daarvan in kennis, per e-mail aan de eigenaar en de beheerders van het account en met een melding in het account. Wij schakelen de nieuwe subverwerker niet vóór die datum in.

2.2 De Klant kan bezwaar maken tegen de wijziging, in het account of per e-mail aan privacy@transfercrm.com. Berust het bezwaar op redelijke gronden die verband houden met gegevensbescherming en kunnen de partijen het niet oplossen voordat de wijziging ingaat, dan kan de Klant de overeenkomst op grond van de Servicevoorwaarden zonder boete opzeggen, met ingang van uiterlijk die datum. Vooruitbetaalde vergoedingen voor de periode na de beëindiging worden naar evenredigheid terugbetaald.

3. Teruggave en wissing van gegevens (bepaling 10, onder d))

3.1 De Klant kan zijn gegevens op elk moment exporteren via de exportfuncties in het account. Op verzoek aan privacy@transfercrm.com leveren wij binnen 30 dagen een volledige export van de gegevens van de Klant.

3.2 Wanneer de Klant zijn account verwijdert, worden zijn persoonsgegevens 30 dagen na het verzoek uit de dienst gewist. Kopieën daarvan blijven in onze back-ups staan totdat die worden overschreven, uiterlijk 12 maanden na de wissing (bijlage III); tot dan blijven de Bepalingen erop van toepassing. Back-ups worden uitsluitend bewaard om de dienst na een storing te herstellen en worden voor geen enkel ander doel gebruikt. Wordt ooit een back-up teruggezet, dan worden de wissingen die sinds het maken ervan zijn gedaan opnieuw uitgevoerd voordat de herstelde dienst wordt gebruikt. Wij bevestigen de wissing per e-mail aan de eigenaar die het verzoek heeft gedaan, met de datum van de wissing en de datum waarop de back-ups verlopen.

4. Toetreding van andere entiteiten (bepaling 5)

Een andere rechtspersoon kan op grond van bepaling 5 tot de Bepalingen toetreden met een gedateerd schriftelijk verzoek aan privacy@transfercrm.com dat door beide partijen schriftelijk wordt aanvaard. De toetredende entiteit verstrekt haar gegevens voor bijlage I. Wij registreren de toetreding en bevestigen haar per e-mail.

5. Looptijd

Deze Overeenkomst geldt zolang het account van de Klant bestaat en daarna tot de persoonsgegevens van de Klant zijn gewist overeenkomstig bepaling 10, onder d), en punt 3.

6. Toepasselijk recht en bevoegde rechter

Op deze Overeenkomst is het recht van de Republiek Polen en de Europese Unie van toepassing. Geschillen worden, zoals in de Servicevoorwaarden, beslecht door de bevoegde rechter in Krakau, Polen. Dit laat de rechten van betrokkenen en de bevoegdheden van toezichthoudende autoriteiten onverlet.

7. Sluiting in elektronische vorm

Deze Overeenkomst wordt in elektronische vorm gesloten (artikel 28, lid 9, van Verordening (EU) 2016/679) wanneer de eigenaar van het account van de Klant haar in het account aanvaardt. Wij bewaren een registratie van de aanvaarde versie en taal, de persoon die haar heeft aanvaard en het tijdstip. Een pdf van de aanvaarde tekst met een bevestiging van de sluiting kan in het account worden gedownload. De aanvaarde taalversie is bindend.

Standaardcontractbepalingen

AFDELING I

Bepaling 1 — Doel en toepassingsgebied

a) Het doel van deze standaardcontractbepalingen (hierna “de bepalingen” genoemd) is te zorgen voor de naleving van artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming).

b) De in bijlage I vermelde verwerkingsverantwoordelijken en verwerkers hebben met deze bepalingen ingestemd teneinde te zorgen voor de naleving van artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 en/of artikel 29, leden 3 en 4, van Verordening (EU) 2018/1725.

c) Deze bepalingen zijn van toepassing op de verwerking van persoonsgegevens als gespecificeerd in bijlage II.

d) De bijlagen I tot en met IV maken integrerend deel uit van de bepalingen.

e) Deze bepalingen laten de verplichtingen die op de verwerkingsverantwoordelijke rusten krachtens Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 onverlet.

f) Deze bepalingen waarborgen op zichzelf niet de naleving van verplichtingen in verband met internationale doorgiften overeenkomstig hoofdstuk V van Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725.

Bepaling 2 — Onveranderlijkheid van de bepalingen

a) De partijen verbinden zich ertoe de bepalingen niet te wijzigen, tenzij om informatie aan de bijlagen toe te voegen of de daarin vervatte informatie bij te werken.

b) Dit belet de partijen niet om de in deze bepalingen neergelegde standaardcontractbepalingen op te nemen in een bredere overeenkomst, of om andere bepalingen of aanvullende waarborgen toe te voegen, mits deze niet direct of indirect in strijd zijn met de bepalingen of afbreuk doen aan de grondrechten of fundamentele vrijheden van betrokkenen.

Bepaling 3 — Interpretatie

a) Wanneer in deze bepalingen de termen worden gebruikt die zijn gedefinieerd in Verordening (EU) 2016/679 respectievelijk Verordening (EU) 2018/1725, hebben die termen dezelfde betekenis als in die verordening.

b) Deze bepalingen moeten worden gelezen en geïnterpreteerd in het licht van de bepalingen van Verordening (EU) 2016/679 respectievelijk Verordening (EU) 2018/1725.

c) Deze bepalingen mogen niet worden geïnterpreteerd op een wijze die indruist tegen de rechten en verplichtingen waarin Verordening (EU) 2016/679/Verordening (EU) 2018/1725 voorziet of op een wijze die afbreuk doet aan de grondrechten of fundamentele vrijheden van de betrokkenen.

Bepaling 4 — Hiërarchie

In geval van tegenstrijdigheid tussen deze standaardcontractbepalingen en de bepalingen van gerelateerde overeenkomsten tussen de partijen die reeds bestaan op het tijdstip waarop met deze standaardcontractbepalingen wordt ingestemd of die na dat tijdstip worden gesloten, prevaleren deze standaardcontractbepalingen.

Bepaling 5 — Facultatief — Docking-bepaling

a) Elke entiteit die geen partij deze bepalingen is, kan, met instemming van alle partijen, te allen tijde tot deze bepalingen toetreden als verwerkingsverantwoordelijke of verwerker door de bijlagen in te vullen en bijlage I te ondertekenen.

b) Wanneer de in punt a) bedoelde bijlagen zijn ingevuld en ondertekend, wordt de toetredende partij als een partij bij deze bepalingen behandeld en heeft zij de rechten en verplichtingen van een verwerkingsverantwoordelijke of verwerker, al naar gelang zij in bijlage I is aangeduid.

c) Voor de toetredende entiteit vloeien uit deze bepalingen geen rechten of verplichtingen voort met betrekking tot de periode voordat zij partij werd.

AFDELING II — VERPLICHTINGEN VAN PARTIJEN

Bepaling 6 — Beschrijving van de verwerking(en)

De bijzonderheden van de verwerkingen, en met name de categorieën persoonsgegevens en de doeleinden van de verwerking waarvoor de persoonsgegevens namens de verwerkingsverantwoordelijke worden verwerkt, zijn gespecificeerd in bijlage II.

Bepaling 7 — Verplichtingen van de partijen

7.1. Instructies

a) De verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, tenzij een op de verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling hem tot verwerking verplicht. In dat geval stelt de verwerker de verwerkingsverantwoordelijke, voorafgaand aan de verwerking, in kennis van dat wettelijk voorschrift, tenzij de wetgeving dit om gewichtige redenen van algemeen belang verbiedt. De verwerkingsverantwoordelijke kan ook tijdens de verwerking van persoonsgegevens steeds verdere instructies geven. Deze instructies worden altijd schriftelijk vastgelegd.

b) De verwerker stelt de verwerkingsverantwoordelijke onmiddellijk in kennis als de instructies van de verwerkingsverantwoordelijke naar het oordeel van de verwerker inbreuk maken op Verordening (EU) 2016/679/Verordening (EU) 2018/1725 of de toepasselijke gegevensbeschermingsbepalingen van de Unie of de lidstaten.

7.2. Doelbinding

De verwerker verwerkt de persoonsgegevens uitsluitend voor het specifieke doel of de specifieke doeleinden van de verwerking, zoals beschreven in bijlage II, tenzij hij verdere instructies van de verwerkingsverantwoordelijke krijgt.

7.3. Doel van de verwerking van persoonsgegevens

Verwerking door de verwerker vindt slechts plaats gedurende de in bijlage II vastgestelde tijdspanne.

7.4. Beveiliging van de verwerking

a) De verwerker treft ten minste de in bijlage III gespecificeerde technische en organisatorische maatregelen om de beveiliging van de persoonsgegevens te waarborgen. Dit houdt onder meer in dat de gegevens worden beschermd tegen een inbreuk op de beveiliging die leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot de gegevens, hetzij per ongeluk hetzij onrechtmatig (inbreuk in verband met persoonsgegevens). Bij de beoordeling van het passende beveiligingsniveau houden de partijen naar behoren rekening met de stand van de techniek, de uitvoeringskosten, de aard, de reikwijdte, de context en de doeleinden van de verwerking en de risico’s voor de betrokkenen.

b) De verwerker verleent zijn personeel slechts toegang tot de persoonsgegevens die worden verwerkt voor zover dat strikt noodzakelijk is voor de uitvoering, het beheer en de monitoring van de overeenkomst. De verwerker waarborgt dat de tot het verwerken van de ontvangen persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden.

7.5. Gevoelige gegevens

Indien de verwerking betrekking heeft op persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, of betrekking heeft op genetische gegevens of biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid of gegevens betreffende strafrechtelijke veroordelingen en strafbare feiten (hierna “gevoelige gegevens” genoemd), voorziet de verwerker in specifieke beperkingen en/of aanvullende waarborgen.

7.6. Documentatie en naleving

a) De partijen kunnen aantonen dat aan deze bepalingen is voldaan.

b) De verwerker behandelt verzoeken van de verwerkingsverantwoordelijke inzake de verwerking van gegevens overeenkomstig deze bepalingen onverwijld en adequaat.

c) De verwerker stelt de verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om aan te tonen dat is voldaan aan de in deze bepalingen vastgestelde verplichtingen die rechtstreeks voortvloeien uit Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725. Op verzoek van de verwerkingsverantwoordelijke staat de verwerker ook regelmatig, of indien er aanwijzingen van niet-naleving zijn, audits toe van de onder deze bepalingen vallende verwerkingsactiviteiten en draagt de verwerker aan die audits bij. Bij het nemen van een beslissing over een toetsing of audit kan de verwerkingsverantwoordelijke rekening houden met relevante certificeringen van de verwerker.

d) De verwerkingsverantwoordelijke kan ervoor kiezen de audit zelf uit te voeren of een onafhankelijke auditor daartoe opdracht te geven. De audits kunnen ook inspecties in de bedrijfsruimten of fysieke faciliteiten van de verwerker omvatten en worden, in voorkomend geval, tijdig aangekondigd.

e) De partijen stellen de in deze bepaling bedoelde informatie, met inbegrip van de resultaten van eventuele audits, op verzoek ter beschikking van de bevoegde toezichthoudende autoriteit/autoriteiten.

7.7. Gebruik van subverwerkers

a) De verwerker heeft de algemene toestemming van de verwerkingsverantwoordelijke om subverwerkers in dienst te nemen die op een overeengekomen lijst staan. De verwerker stelt de verwerkingsverantwoordelijke ten minste 30 dagen van tevoren specifiek schriftelijk in kennis van voorgenomen wijzigingen van die lijst door toevoeging of vervanging van subverwerkers, zodat de verwerkingsverantwoordelijke voldoende tijd heeft om vóór de indienstneming van de betrokken subverwerker(s) bezwaar te kunnen maken tegen dergelijke wijzigingen. De verwerker verstrekt de verwerkingsverantwoordelijke de informatie die nodig is om deze laatste in staat te stellen zijn recht van bezwaar uit te oefenen.

b) Wanneer de verwerker een subverwerker in dienst neemt voor de uitvoering van specifieke verwerkingen (namens de verwerkingsverantwoordelijke), doet hij dit door middel van een overeenkomst die de subverwerker in wezen dezelfde verplichtingen inzake gegevensbescherming oplegt als die welke op grond van deze bepalingen aan de verwerker worden opgelegd. De verwerker zorgt ervoor dat de subverwerker voldoet aan de verplichtingen die krachtens deze bepalingen en Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 op de verwerker rusten.

c) Op verzoek van de verwerkingsverantwoordelijke verstrekt de verwerker de verwerkingsverantwoordelijke een kopie van een dergelijke subverwerkingsovereenkomst en van alle latere wijzigingen daarvan. Voor zover nodig ter bescherming van bedrijfsgeheimen of andere vertrouwelijke informatie, met inbegrip van persoonsgegevens, kan de verwerker de tekst van de overeenkomst bewerken alvorens de kopie te delen.

d) De verwerker blijft ten opzichte van de verwerkingsverantwoordelijke volledig verantwoordelijk voor de uitvoering van de verplichtingen van de subverwerker overeenkomstig zijn overeenkomst met de verwerker. De verwerker stelt de verwerkingsverantwoordelijke in kennis van elk verzuim van de subverwerker om zijn contractuele verplichtingen na te komen.

e) De verwerker komt met de subverwerker een derdenbeding overeen waarbij — ingeval de verwerker feitelijk is verdwenen, rechtens is opgehouden te bestaan of insolvent is geworden — de verwerkingsverantwoordelijke het recht heeft de overeenkomst met de subverwerker te beëindigen en de subverwerker te gelasten de persoonsgegevens te wissen of terug te geven.

7.8. Internationale doorgiften

a) Doorgifte van gegevens aan een derde land of een internationale organisatie door de verwerker geschiedt uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijke of om te voldoen aan een specifieke eis uit hoofde van het Unierecht of het lidstatelijke recht waaraan de verwerker is onderworpen, en vindt plaats in overeenstemming met hoofdstuk V van Verordening (EU) 2016/679 of Verordening (EU) 2018/1725.

b) De verwerkingsverantwoordelijke stemt ermee in dat wanneer de verwerker overeenkomstig bepaling 7.7 een subverwerker in dienst neemt voor het uitvoeren van specifieke verwerkingen (namens de verwerkingsverantwoordelijke) en die verwerkingen een doorgifte van persoonsgegevens in de zin van hoofdstuk V van Verordening (EU) 2016/679 inhouden, de verwerker en de subverwerker de naleving van hoofdstuk V van Verordening (EU) 2016/679 kunnen waarborgen door gebruik te maken van standaardcontractbepalingen die door de Commissie zijn vastgesteld overeenkomstig artikel 46, lid 2, van Verordening (EU) 2016/679, mits aan de voorwaarden voor het gebruik van die standaardcontractbepalingen is voldaan.

Bepaling 8 — Bijstand aan de verwerkingsverantwoordelijke

a) De verwerker stelt de verwerkingsverantwoordelijke onverwijld in kennis van elk verzoek dat hij van de betrokkene heeft ontvangen. De verwerker antwoordt niet zelf op het verzoek, tenzij de verwerkingsverantwoordelijke daartoe toestemming heeft gegeven.

b) De verwerker staat de verwerkingsverantwoordelijke bij bij het vervullen van zijn verplichtingen om te reageren op verzoeken van betrokkenen tot uitoefening van hun rechten, en houdt daarbij rekening met de aard van de verwerking. Bij het nakomen van zijn verplichtingen uit hoofde van de punten a) en b) volgt de verwerker de instructies van de verwerkingsverantwoordelijke.

c) De verwerker heeft niet alleen de verplichting de verwerkingsverantwoordelijke bij te staan overeenkomstig bepaling 8, punt b), maar staat de verwerkingsverantwoordelijke ook bij bij het waarborgen van de naleving van de volgende verplichtingen, waarbij rekening wordt gehouden met de aard van de gegevensverwerking en de informatie waarover de verwerker beschikt:

1) de verplichting om een beoordeling uit te voeren van het effect van de beoogde verwerkingen op de bescherming van persoonsgegevens (een “gegevensbeschermingseffectbeoordeling”) wanneer een bepaalde soort verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen;
2) de verplichting om de bevoegde toezichthoudende autoriteit/autoriteiten voorafgaand aan de verwerking te raadplegen wanneer uit een gegevensbeschermingseffectbeoordeling blijkt dat de verwerking een hoog risico zou opleveren indien de verwerkingsverantwoordelijke geen maatregelen neemt om dat risico te beperken;
3) de verplichting om ervoor te zorgen dat persoonsgegevens accuraat en actueel zijn, door de verwerkingsverantwoordelijke onverwijld in te lichten wanneer de verwerker ervan kennis heeft gekregen dat de gegevens die hij verwerkt onjuist of achterhaald zijn;
4) de verplichtingen in artikel 32 van Verordening (EU) 2016/679.

d) De partijen stellen in bijlage III de passende technische en organisatorische maatregelen vast op grond waarvan de verwerker de verwerkingsverantwoordelijke bij de toepassing van deze bepaling moet bijstaan, alsmede de omvang en de omvang van de vereiste bijstand.

Bepaling 9 — Kennisgeving van een inbreuk in verband met persoonsgegevens

In het geval van een inbreuk in verband met persoonsgegevens werkt de verwerker samen met de verwerkingsverantwoordelijke en staat hij hem bij opdat de verwerkingsverantwoordelijke kan voldoen aan zijn verplichtingen uit hoofde van de artikelen 33 en 34 van Verordening (EU) 2016/679 of de artikelen 34 en 35 van Verordening (EU) 2018/1725, indien van toepassing, waarbij rekening wordt gehouden met de aard van de verwerking en de informatie waarover de verwerker beschikt.

9.1. Inbreuk in verband met gegevens die door de verwerkingsverantwoordelijke worden verwerkt

In geval van een inbreuk in verband met persoonsgegevens die door de verwerkingsverantwoordelijke worden verwerkt, staat de verwerker de verwerkingsverantwoordelijke bij:

a) bij het zonder onnodige vertraging melden van de inbreuk in verband met persoonsgegevens aan de bevoegde toezichthoudende autoriteit/autoriteiten nadat de verwerkingsverantwoordelijke er kennis van heeft gekregen, indien relevant /(tenzij het onwaarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen);

b) bij het verkrijgen van onderstaande informatie die overeenkomstig artikel 33, lid 3, van Verordening (EU) 2016/679 in de kennisgeving van de verwerkingsverantwoordelijke moet worden vermeld en ten minste omvat:

1) de aard van de inbreuk in verband met persoonsgegevens, waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie;
2) de waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens;
3) de maatregelen die de verwerkingsverantwoordelijke heeft voorgesteld of genomen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.

Indien en voor zover al deze informatie niet op hetzelfde moment kan worden verstrekt, bevat de oorspronkelijke kennisgeving de dan beschikbare informatie en wordt verdere informatie vervolgens onverwijld verstrekt zodra deze beschikbaar is;

c) bij het naleven, overeenkomstig artikel 34 van Verordening (EU) 2016/679, van de verplichting om de betrokkene de inbreuk in verband met persoonsgegevens onverwijld mee te delen, wanneer de inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen.

9.2. Inbreuk in verband met gegevens die door de verwerker worden verwerkt

In geval van een inbreuk in verband met persoonsgegevens die door de verwerker worden verwerkt, stelt de verwerker, nadat hij kennis heeft gekregen van de inbreuk, de verwerkingsverantwoordelijke daarvan onverwijld in kennis. Deze kennisgeving bevat ten minste:

a) een beschrijving van de aard van de inbreuk (waar mogelijk onder vermelding van de categorieën betrokkenen en gegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en gegevensregisters in kwestie);

b) de gegevens van een contactpunt waar meer informatie over de inbreuk in verband met persoonsgegevens kan worden verkregen;

c) de waarschijnlijke gevolgen van de inbreuk en de maatregelen die zijn genomen of worden voorgesteld om deze aan te pakken, onder meer om de mogelijke negatieve gevolgen ervan te beperken.

De partijen vermelden in bijlage III alle andere elementen die door de verwerker moeten worden verstrekt wanneer hij de verwerkingsverantwoordelijke bijstaat bij de naleving van de verplichtingen van de verwerkingsverantwoordelijke uit hoofde van de de artikelen 33 en 34 van Verordening (EU) 2016/679.

AFDELING III — SLOTBEPALINGEN

Bepaling 10 — Niet-naleving van de bepalingen en beëindiging

a) Onverminderd eventuele bepalingen van Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 kan de verwerkingsverantwoordelijke, ingeval de verwerker zijn verplichtingen uit hoofde van deze bepalingen niet nakomt, de verwerker opdracht geven de verwerking van persoonsgegevens op te schorten totdat deze aan deze bepalingen voldoet of de overeenkomst wordt beëindigd. Wanneer de verwerker om welke reden dan ook niet aan deze bepalingen kan voldoen, stelt hij de verwerkingsverantwoordelijke daarvan onverwijld in kennis.

b) De verwerkingsverantwoordelijke heeft het recht de overeenkomst te beëindigen voor zover deze de verwerking van persoonsgegevens overeenkomstig deze bepalingen betreft, indien:

1) de verwerkingsverantwoordelijke de verwerking van persoonsgegevens door de verwerker overeenkomstig punt a) heeft opgeschort en de naleving van deze bepalingen niet binnen een redelijke termijn en in elk geval binnen één maand na de opschorting wordt hervat;
2) de verwerker deze bepalingen of zijn verplichtingen uit hoofde van Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 wezenlijk of voortdurend schendt;
3) de verwerker niet voldoet aan een bindend besluit van een bevoegde rechter of de bevoegde toezichthoudende autoriteit/autoriteiten met betrekking tot zijn verplichtingen uit hoofde van deze bepalingen of Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725.

c) De verwerker heeft het recht de overeenkomst op te zeggen voor zover het daarbij gaat om de verwerking van persoonsgegevens krachtens deze bepalingen, indien de verwerkingsverantwoordelijke, nadat de verwerker hem er overeenkomstig bepaling 7.1, punt b), van in kennis heeft gesteld dat zijn instructies inbreuk maken op de toepasselijke wettelijke vereisten, aandringt op naleving van de instructies.

d) Na de beëindiging van de overeenkomst wist de verwerker, naar keuze van de verwerkingsverantwoordelijke, alle persoonsgegevens die namens de verwerkingsverantwoordelijke zijn verwerkt en bevestigt hij tegenover de verwerkingsverantwoordelijke dat hij dit heeft gedaan, of zendt hij alle persoonsgegevens terug aan de verwerkingsverantwoordelijke en verwijdert hij bestaande kopieën, tenzij het Unierecht of het lidstatelijke recht de opslag van de persoonsgegevens voorschrijft. Totdat de gegevens zijn gewist of teruggeven, blijft de verwerker ervoor zorgen dat deze bepalingen worden nageleefd.

Bijlage I — Lijst van partijen

Verwerkingsverantwoordelijke

Naam: ______________
Adres: ______________
btw-nummer: ______________

Contactpersoon: ______________, eigenaar van het account, ______________
E-mailadres voor facturen: ______________
Rol: verwerkingsverantwoordelijke
Handtekening en datum van toetreding: door elektronische aanvaarding in het account; persoon en datum staan in de bevestiging van de sluiting.

Verwerker

Naam: Sebastian Drożdż, handelend onder de naam Special Services
Adres: Skrzynka 7a, 32-410 Dobczyce, PL
NIP (Pools fiscaal nummer): 6793148834
Contact: privacy@transfercrm.com (er is geen functionaris voor gegevensbescherming aangewezen)
Rol: verwerker
Handtekening en datum van toetreding: door de elektronische aanvaarding door de Klant in het account, op dezelfde datum.

Bijlage II — Beschrijving van de verwerking

Categorieën van betrokkenen van wie persoonsgegevens worden verwerkt

Passagiers van de Klant en de personen die ritten voor hen boeken.
Contactpersonen van de klanten van de Klant (bedrijven, bureaus, hotels).
Chauffeurs en medewerkers van de Klant die de dienst gebruiken.
Contactpersonen van de partners van de Klant (andere vervoersbedrijven).

Categorieën van persoonsgegevens die worden verwerkt

Identificatie- en contactgegevens: naam, telefoonnummer, e-mailadres, bedrijf.
Boekings- en reisgegevens: ophaal- en afzetadressen en -tijden, vluchtnummers, aantal passagiers en bagagestukken, opmerkingen.
De locatie van een chauffeur tijdens de dienst, zoals verzonden door de chauffeursapp.
Betaalstatus en bedragen van ritten en facturen. Geen kaartnummers: kaarten blijven bij de betaaldienstverlener van de Klant.
Berichten die via de dienst worden verzonden: e-mail, sms, WhatsApp en chat.
Handtekeningen die op offertes zijn geplaatst.
Gegevens van gebruikersaccounts: naam, e-mailadres, rol, aanmeldingsgegevens.

Verwerkte gevoelige gegevens

De dienst is niet bedoeld voor bijzondere categorieën van gegevens of voor gegevens over strafrechtelijke veroordelingen en strafbare feiten. Hij kan toegankelijkheidsbehoeften bevatten die een passagier voor een rit opgeeft (bijvoorbeeld een rolstoel) en documenten over zijn chauffeurs die de Klant uploadt, waaronder mogelijk een medische of psychologische verklaring of een verklaring omtrent het gedrag. De Klant beslist of hij ze vastlegt. Naast de maatregelen van bijlage III gelden daarvoor de volgende beperkingen (bepaling 7.5):

Geüploade documenten worden buiten het openbare deel van de server opgeslagen en hebben geen openbare link. Een bestand dat bij de chauffeur is opgeslagen, kan alleen worden geopend door een aangemelde gebruiker van het account van de Klant met de rol eigenaar, beheerder of planner; alleen een eigenaar of beheerder kan het verwijderen. Gebruikers met de rol boekhouder of bekijker kunnen zien dat een document van een chauffeur bestaat en wanneer het verloopt, maar niet het bestand.
Chauffeurs, partners, passagiers, de portalen voor klanten en agenten en API-sleutels hebben geen toegang tot deze documenten.
Een bestand dat aan een rit is gekoppeld, kan worden geopend door elke gebruiker die die rit kan openen. Documenten van deze aard moeten daarom bij de chauffeur worden opgeslagen, niet bij een rit.
Toegankelijkheidsbehoeften worden alleen getoond bij de rit waarop ze betrekking hebben: aan de gebruikers van het account van de Klant en aan de chauffeur of partner aan wie de Klant die rit toewijst. Een chauffeur ziet alleen de ritten die aan hem of haar zijn toegewezen.
Met het verwijderen van een document wordt het bestand verwijderd; alle documenten worden met het account gewist (punt 3).

Aard van de verwerking

Hosting en opslag; ordening en weergave in het account; verzending (e-mails, sms, pushmeldingen, links voor passagiers en partners); toewijzing van ritten aan chauffeurs en partners; berekening van prijzen en documenten; wissing.

Doeleinden waarvoor de persoonsgegevens namens de verwerkingsverantwoordelijke worden verwerkt

Het leveren van de dienst TransferCRM aan de Klant op grond van de Servicevoorwaarden: boekingen, planning, wagenpark, klanten, facturering en communicatie met passagiers, chauffeurs en partners.

Duur van de verwerking

Zolang het account van de Klant bestaat, en tot de wissing van zijn persoonsgegevens: uit de dienst 30 dagen na een verzoek tot verwijdering van het account, en uit de back-ups wanneer die worden overschreven, uiterlijk 12 maanden na die wissing (punt 3.2). Binnen die periode worden locatiegegevens van chauffeurs 60 dagen en communicatielogboeken 365 dagen bewaard; bijlage III vermeldt de overige bewaartermijnen. Alle andere gegevens worden bewaard totdat de Klant ze verwijdert of het account wordt gewist; gegevens die de Klant verwijdert, blijven in de back-ups staan totdat die worden overschreven, uiterlijk 12 maanden later.

Verwerking door subverwerkers

Onderwerp en aard van de verwerking zijn per subverwerker vermeld in bijlage IV. De duur is dezelfde als hierboven.

Bijlage III — Technische en organisatorische maatregelen, met inbegrip van technische en organisatorische maatregelen om de beveiliging van de gegevens te waarborgen

Hosting en locatie

De dienst en de database draaien op servers die Hostinger host in Frankfurt am Main, Duitsland (EU).
Onze eigen mailserver (Exim) en onze eigen realtimeserver (soketi) draaien op dezelfde server, zodat de e-mails die wij verzenden en de live-updates niet via een externe aanbieder lopen. Uitgezonderd zijn de diensten die de Klant zelf koppelt (bijlage IV).

Versleuteling

Alle verbindingen met de dienst zijn tijdens de overdracht versleuteld (TLS).
Bedrijfsinstellingen en opgeslagen inloggegevens (bijvoorbeeld de sleutels van gekoppelde diensten) zijn in rust versleuteld.
Wachtwoorden van gebruikers worden alleen als hash opgeslagen.

Scheiding van klanten

Elk record draagt de identificatie van het bedrijf waartoe het behoort; deze scheiding op rijniveau wordt in de code afgedwongen.

Toegangsbeheer

Zes rollen: eigenaar, beheerder, planner, boekhouder, chauffeur, bekijker.
Tweestapsverificatie is beschikbaar voor elke gebruiker. Een bedrijf kan haar van zijn kantoormedewerkers verlangen (eigenaars, beheerders, planners, boekhouders, bekijkers); chauffeurs vallen niet onder die regel.
Aanmeldingen kunnen worden ingetrokken. Het wijzigen van een tweede factor beëindigt oudere aanmeldingen.

Beschikbaarheid en herstel

Een kopie van de database om de 15 minuten, die tot 48 uur op de server wordt bewaard.
Elke nacht een kopie van de database, de opgeslagen bestanden en de mailboxen, die 14 dagen op de server wordt bewaard; één kopie per week wordt 8 weken bewaard en één per maand 12 maanden.
De kopieën op de server kunnen alleen worden gelezen door het beheerdersaccount van de exploitant.
Elk uur worden de kopieën via een versleutelde verbinding overgebracht naar een versleutelde schijf die de exploitant in Polen bewaart, waar geen enkele langer dan 12 maanden wordt bewaard.
Elke week wordt de nieuwste nachtelijke kopie in een aparte database teruggezet, vergeleken met die van de draaiende dienst en verwijderd.
Wordt een back-up teruggezet, dan worden de wissingen van accounts die sinds het maken ervan zijn gedaan opnieuw uitgevoerd voordat de herstelde dienst wordt gebruikt.

Logging

Toegangslogboeken worden 14 dagen bewaard.

Minimale gegevensverwerking en beperkte bewaring

Kaartnummers bereiken ons nooit: kaarten blijven bij de betaaldienstverlener van de Klant.
Geen back-up wordt langer dan 12 maanden bewaard.
Locatiegegevens van chauffeurs worden na 60 dagen verwijderd, communicatielogboeken na 365 dagen.
Mislukte achtergrondtaken worden na 30 dagen verwijderd, tijdelijke exportbestanden na 24 uur.
Een verwijderd account wordt 30 dagen na het verzoek gewist, en de wissing wordt bevestigd (punt 3).

Overdraagbaarheid

De Klant kan zijn gegevens op elk moment in het account exporteren. Een volledige export wordt op verzoek binnen 30 dagen geleverd (punt 3).

Bijstand aan de verwerkingsverantwoordelijke

Verzoeken van betrokkenen: het account biedt de middelen om ze te beantwoorden, namelijk export, correctie en verwijdering van passagiers, klanten en chauffeurs. Een verzoek dat ons bereikt, wordt binnen 5 werkdagen aan de Klant doorgestuurd; wij beantwoorden het niet zelf, tenzij de Klant ons daartoe opdracht geeft.
Gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging: op verzoek verstrekken wij binnen 30 dagen de informatie waarover wij beschikken.
Inbreuken in verband met persoonsgegevens: wij stellen de Klant onverwijld en uiterlijk 48 uur nadat wij van de inbreuk kennis hebben gekregen in kennis, per e-mail aan de eigenaar van het account en met een melding in het account, met de informatie die bepaling 9.2 vereist.
Er is geen functionaris voor gegevensbescherming aangewezen, omdat dat niet verplicht is. Contact: privacy@transfercrm.com.

Bijlage IV — Lijst van subverwerkers

De Klant verleent algemene schriftelijke toestemming voor de hieronder vermelde subverwerkers (bepaling 7.7, onder a), optie 2). Wijzigingen worden gemeld zoals beschreven in punt 2. De geldende lijst wordt ook gepubliceerd op transfercrm.com/legal.

Door ons ingeschakelde subverwerkers

Naam	Verwerking	Locatie	Doorgiftewaarborg
Hostinger International Ltd. (61 Lordou Vironos str., 6023 Larnaca, Cyprus, gdpr@hostinger.com)	Hosting van de servers waarop de dienst en de database draaien.	Frankfurt am Main, DE (EU)	Verwerking binnen de EU/EER
Google LLC — Firebase Cloud Messaging (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, https://firebase.google.com/support/privacy/dpo)	Pushmeldingen naar de chauffeursapp: tijd, plaats en nummer van een rit, en een melding van een nieuw bericht.	VS en andere Google-locaties	EU-VS-privacykader (Data Privacy Framework) en modelcontractbepalingen

Ontvangers die als zelfstandige verwerkingsverantwoordelijken optreden

Zij bepalen zelf, op grond van hun eigen voorwaarden, hoe zij de ontvangen gegevens verwerken; zij zijn geen subverwerkers van ons.

Naam	Verwerking	Locatie	Doorgiftewaarborg
Google Ireland Limited — Google Maps Platform (Gordon House, Barrow Street, Dublin 4, Ireland, legal-notices@google.com)	Adressen en coördinaten van ritten, voor kaarten, adreszoeken (Places), geocodering en routes. Google verwerkt ze als zelfstandige verwerkingsverantwoordelijke op grond van eigen voorwaarden.	IE (EU)	Ontvanger in de EU/EER (geen doorgifte door ons)
European Commission — VIES (Rue de la Loi 200, 1049 Brussels, Belgium)	Controle van btw-nummers in de nationale btw-registers. Bij een eenmanszaak kan het btw-nummer een persoonsgegeven zijn. VIES wordt door de Commissie beheerd voor de belastingdiensten van de lidstaten, die de verwerkingsverantwoordelijken ervan zijn.	BE (EU)	Ontvanger in de EU/EER (geen doorgifte door ons)

Diensten die geen persoonsgegevens ontvangen

FlightAware LLC (11 Greenway Plaza, Suite 2900, Houston, TX 77046, USA): Vluchtstatus voor ritten met een vluchtnummer. Ontvangt alleen het vluchtnummer (bijvoorbeeld LH1234), zonder naam, datum of andere gegevens van de rit.

Diensten die u zelf koppelt

Verwerkt op uw instructie, op grond van uw eigen overeenkomst met de aanbieder: wij geven de gegevens door, en de aanbieder is geen subverwerker van ons.

Uw eigen mailserver (SMTP) of Google-account (Gmail) voor het verzenden van e-mail
Stripe- en PayPal-accounts voor betalingen van uw klanten
Sms-aanbieders (bijvoorbeeld Twilio, SMSAPI)
WhatsApp Business (Meta)
Boekhouding, facturering en e-facturering (bijvoorbeeld Fakturownia, wFirma, QuickBooks, Xero, InvoiceXpress, KSeF, Peppol, SdI)
Agenda's van Google Calendar en Microsoft Outlook
Uw telefooncentrale, voor meldingen van oproepen
Uw eigen account voor vluchtgegevens (FlightAware, AeroDataBox)
Uw eigen AI-sleutel (Anthropic)
Webhooks en API-koppelingen die u instelt