VERWERKERSOVEREENKOMST ARFINO
Deze Verwerkersovereenkomst maakt onderdeel uit van de overeenkomst tussen Arfino en Partner betreffende het gebruik van het Arfino-platform. Begrippen die in de Algemene Partner- en Platformvoorwaarden zijn gedefinieerd, hebben in deze Verwerkersovereenkomst dezelfde betekenis.
Artikel 1 – Rollen en toepasselijkheid
1. Deze Verwerkersovereenkomst is van toepassing voor zover Arfino in het kader van de Dienst persoonsgegevens verwerkt ten behoeve van Partner.
2. Indien Partner zelf het doel van en de middelen voor de verwerking bepaalt, treedt Partner op als verwerkingsverantwoordelijke en Arfino als verwerker.
3. Indien Partner persoonsgegevens verwerkt ten behoeve van een Eindklant die als verwerkingsverantwoordelijke optreedt, treedt Partner op als verwerker en Arfino als subverwerker.
4. Partner staat er in het in lid 3 bedoelde geval voor in dat hij bevoegd is Arfino als subverwerker in te schakelen en dat zijn instructies aan Arfino verenigbaar zijn met de afspraken die hij met de Eindklant heeft gemaakt.
5. Voor verwerkingen waarbij Arfino zelf het doel en de middelen bepaalt, waaronder de eigen administratie, facturering en beveiliging van de bedrijfsvoering, treedt Arfino zelfstandig op als verwerkingsverantwoordelijke en is deze Verwerkersovereenkomst niet van toepassing.
Artikel 2 – Verwerking
6. Arfino verwerkt persoonsgegevens uitsluitend voor de uitvoering van de Dienst en overeenkomstig de gedocumenteerde instructies van Partner.
7. Als gedocumenteerde instructies gelden mede de Overeenkomst, de door Partner ingerichte Flows en de instellingen, koppelingen en functionaliteiten die Partner binnen het Platform activeert.
8. De verwerking duurt zolang Arfino de betreffende persoonsgegevens in het kader van de Dienst namens Partner verwerkt.
9. Afhankelijk van de door Partner ingerichte Flow kan de verwerking bestaan uit het ontvangen, vastleggen, routeren, transcriberen, structureren, analyseren, opslaan, raadplegen, doorgeven en verwijderen van gegevens.
10. De verwerking kan betrekking hebben op personen die communiceren met een door Partner ingerichte Flow en op andere personen wier gegevens door Partner of een Eindklant via die Flow worden verwerkt.
11. De persoonsgegevens kunnen, afhankelijk van de Flow, onder meer bestaan uit contactgegevens, communicatiegegevens, audio, transcripties, chatberichten, afspraken, dossier- of klantgegevens en andere door de betrokkene, Partner of Eindklant aangeleverde informatie.
12. Indien een Flow bijzondere categorieën persoonsgegevens of strafrechtelijke persoonsgegevens verwerkt, is Partner verantwoordelijk voor de rechtmatigheid daarvan en voor het bestaan van de daarvoor vereiste grondslag.
Artikel 3 – Verplichtingen van Arfino
14. Arfino:
a. verwerkt persoonsgegevens uitsluitend overeenkomstig de gedocumenteerde instructies van Partner, tenzij toepasselijk recht tot een andere verwerking verplicht;
b. zorgt ervoor dat personen die onder haar gezag persoonsgegevens verwerken tot geheimhouding zijn verplicht;
c. treft passende technische en organisatorische maatregelen ter beveiliging van de persoonsgegevens;
d. verleent, rekening houdend met de aard van de verwerking, redelijke medewerking aan Partner bij verzoeken van betrokkenen;
e. verleent, rekening houdend met de aard van de verwerking en de informatie waarover Arfino beschikt, redelijke medewerking bij de naleving van de artikelen 32 tot en met 36 AVG;
f. stelt Partner zonder onredelijke vertraging op de hoogte indien Arfino kennis krijgt van een inbreuk in verband met persoonsgegevens die zij namens Partner verwerkt;
g. stelt Partner de informatie ter beschikking die redelijkerwijs noodzakelijk is om naleving van artikel 28 AVG aan te tonen; en
h. informeert Partner indien een instructie naar het oordeel van Arfino in strijd is met toepasselijke gegevensbeschermingswetgeving.
15. Arfino mag de uitvoering van een kennelijk onrechtmatige instructie opschorten totdat Partner de instructie heeft aangepast of de rechtmatigheid daarvan voldoende heeft toegelicht.
Artikel 4 – Beveiliging
16. Arfino treft passende technische en organisatorische maatregelen die zijn afgestemd op de aard en risico's van de verwerking.
17. Deze maatregelen omvatten waar relevant onder meer:
a. toegangsbeveiliging en beperking van toegang tot bevoegde personen;
b. passende beveiliging van gegevens tijdens transport en opslag;
c. logische scheiding van gegevens van verschillende Partners;
d. logging en monitoring van relevante technische en beveiligingsgebeurtenissen;
e. procedures voor beveiligingsincidenten en kwetsbaarheden; en
f. passende voorzieningen voor beschikbaarheid, back-up en herstel.
18. Arfino mag de concrete technische uitvoering van deze maatregelen wijzigen zolang daardoor geen wezenlijk lager beveiligingsniveau ontstaat.
19. Partner is zelf verantwoordelijk voor de beveiliging van zijn accounts, Gebruikers, apparaten, API-keys, Flows en door hem gekozen externe koppelingen.
Artikel 5 – Subverwerkers van Arfino
20. Partner verleent Arfino algemene toestemming om voor de uitvoering van de Dienst subverwerkers in te schakelen.
21. Arfino zorgt ervoor dat een subverwerker die namens Arfino persoonsgegevens van Partner verwerkt schriftelijk wordt gebonden aan passende gegevensbeschermingsverplichtingen.
22. Arfino blijft tegenover Partner verantwoordelijk voor de nakoming van de op die subverwerker rustende verplichtingen voor zover artikel 28 AVG dat vereist.
23. Arfino houdt een actuele lijst bij van haar subverwerkers en informeert Partner over wezenlijke toevoegingen of vervangingen, zodat Partner daartegen op redelijke gronden die verband houden met gegevensbescherming bezwaar kan maken.
24. Indien persoonsgegevens door een door Arfino ingeschakelde subverwerker buiten de Europese Economische Ruimte worden verwerkt, draagt Arfino zorg voor een volgens de AVG toegestaan doorgiftemechanisme.
Artikel 6 – Door Partner gekozen externe diensten
25. Een Externe Dienst die door Partner of diens Eindklant zelf wordt gekozen en gecontracteerd, geldt niet als subverwerker van Arfino uitsluitend omdat het Platform een technische koppeling met die dienst mogelijk maakt.
26. Dit geldt in het bijzonder wanneer Partner of Eindklant zelf het account, abonnement of de API-key van de betreffende Externe Dienst gebruikt.
27. Partner is in dat geval zelf verantwoordelijk voor de beoordeling of en onder welke voorwaarden persoonsgegevens aan de betreffende Externe Dienst mogen worden doorgegeven, waaronder eventuele vereisten voor internationale doorgifte van persoonsgegevens.
28. Arfino verwerkt de gegevensoverdracht naar een dergelijke Externe Dienst uitsluitend overeenkomstig de door Partner gekozen configuratie.
Artikel 7 – Datalekken en rechten van betrokkenen
29. Indien Arfino kennis krijgt van een inbreuk in verband met persoonsgegevens die zij namens Partner verwerkt, informeert zij Partner zonder onredelijke vertraging en verstrekt zij de informatie die redelijkerwijs beschikbaar en noodzakelijk is om Partner in staat te stellen aan zijn wettelijke verplichtingen te voldoen.
30. Partner is verantwoordelijk voor de beoordeling of een melding aan een toezichthoudende autoriteit of betrokkene noodzakelijk is.
31. Indien Arfino rechtstreeks een verzoek ontvangt van een betrokkene over persoonsgegevens die zij namens Partner verwerkt, verwijst zij dit verzoek in beginsel naar Partner en behandelt zij het niet zelfstandig, tenzij zij daartoe wettelijk verplicht is.
32. Arfino verleent redelijke medewerking indien Partner voor de afhandeling van een verzoek technische handelingen nodig heeft die Partner niet zelf via het Platform kan uitvoeren.
Artikel 8 – Controle
33. Arfino verstrekt Partner op verzoek informatie die redelijkerwijs noodzakelijk is om aan te tonen dat zij haar verplichtingen als verwerker naleeft.
34. Indien deze informatie daarvoor redelijkerwijs onvoldoende is, staat Arfino een passende controle toe, mits deze controle vooraf wordt aangekondigd, zich beperkt tot hetgeen voor de verwerking relevant is, de bedrijfsvoering niet onnodig schaadt en wordt uitgevoerd door Partner of een onafhankelijke deskundige.
35. De kosten van een door Partner verlangde bijzondere controle komen voor rekening van Partner, tenzij daaruit een wezenlijke tekortkoming van Arfino blijkt.
Artikel 9 – Einde van de verwerking
36. Na beëindiging van de Dienst verwijdert of retourneert Arfino de persoonsgegevens die zij namens Partner verwerkt, naar keuze van Partner, tenzij wettelijke bewaring vereist is.
37. Partner dient een verzoek tot teruggave of export uit te voeren of kenbaar te maken gedurende de daarvoor door Arfino beschikbare periode.
38. Gegevens die na verwijdering tijdelijk in reguliere beveiligde back-ups aanwezig blijven, worden niet voor andere doeleinden verwerkt en verdwijnen overeenkomstig de normale back-upcyclus.
Artikel 10 – Overige bepalingen
39. De aansprakelijkheidsregeling uit de Algemene Partner- en Platformvoorwaarden is mede van toepassing op deze Verwerkersovereenkomst, voor zover toepasselijk recht zich daartegen niet verzet.
40. Bij strijd tussen deze Verwerkersovereenkomst en de Algemene Partner- en Platformvoorwaarden prevaleert deze Verwerkersovereenkomst voor zover het de verwerking van persoonsgegevens betreft.
41. Deze Verwerkersovereenkomst geldt zolang Arfino namens Partner persoonsgegevens verwerkt.
42. Op deze Verwerkersovereenkomst zijn dezelfde rechtskeuze (Nederlands recht) en geschillenregeling van toepassing als op de Overeenkomst.