Addendum Gegevensverwerking van zcal

Laatst bijgewerkt op 1 januari 2024

Deze vertaling is bedoeld voor uw gemak. Als deze afwijkt van de Engelse versie, geldt de Engelse versie.

Dit Addendum Gegevensverwerking (DPA), waarin de genoemde Standaardcontractbepalingen en het VK-Addendum (met inbegrip van Aanhangsels A en B) zijn opgenomen, is opgenomen in en maakt deel uit van elke bestaande en geldige Master Services Agreement of de Gebruiksvoorwaarden (de Overeenkomst) die eerder of gelijktijdig tot stand is gekomen tussen u, de Klant (met inbegrip van uw dochterondernemingen en gelieerde ondernemingen), en zcal, Inc. (de Verwerker, met inbegrip van haar dochterondernemingen en gelieerde ondernemingen). Dit DPA voert aanvullende voorwaarden in die gelden wanneer de informatie die u op grond van de Overeenkomst aan zcal verstrekt Persoonsgegevens (zoals hieronder gedefinieerd) bevat. De ingangsdatum van het DPA wordt bepaald door de Gebruiksvoorwaarden van zcal.

1.0 Gedefinieerde begrippen

De volgende definities worden in dit DPA gebruikt.

1.1 “Bevoegd Personeel” verwijst naar (a) medewerkers van zcal die toegang tot of kennis van Persoonsgegevens nodig hebben om de betreffende diensten te verrichten; en (b) contractanten, agenten en auditors van zcal die toegang tot of kennis van Persoonsgegevens nodig hebben om zcal in staat te stellen haar verplichtingen op grond van de Overeenkomst en dit DPA na te komen, en die wettelijk gebonden zijn aan schriftelijke geheimhoudingsverplichtingen en andere verplichtingen die Persoonsgegevens overeenkomstig dit DPA afdoende beschermen.

1.2 "CCPA" betekent de California Consumer Privacy Act of 2018, Cal. Civ. Code § [1798.100 - 1798.199.100], zoals gewijzigd, onder meer door de California Privacy Rights Act of 2020 en de daaropvolgende uitvoeringsregels daarvan.

1.3 “Klantgegevens” zijn alle informatie, gegevens en andere inhoud, in welke vorm dan ook, die u of uw vertegenwoordigers als klant of gebruiker via de Diensten indienen, plaatsen of anderszins verzenden, of die worden ingediend door of namens uw potentiële klanten, klanten of andere eindgebruikers van de Diensten die met u en uw gebruikers communiceren.

1.4 “Wetgeving inzake Gegevensbescherming” betekent alle toepasselijke federale, staats- en internationale wetten, evenals bindende regelgeving en formele richtlijnen, met betrekking tot gegevensbescherming, privacy en gegevensbeveiliging, zoals van tijd tot tijd bijgewerkt. Dit omvat, zonder beperking, de EU-Wetgeving inzake Gegevensbescherming, de VK-Wetgeving inzake Gegevensbescherming, de Zwitserse Wetgeving inzake Gegevensbescherming, de CCPA, de Virginia Consumer Data Protection Act (VCDPA), de Colorado Privacy Act (CPA), de Connecticut Data Privacy Act (CTDPA) en de Utah Consumer Privacy Act (UCPA), maar sluit uitdrukkelijk consent decrees (schikkingsbeschikkingen) uit.

1.5 “Betrokkene” betekent de specifieke persoon of consument op wie de Persoonsgegevens betrekking hebben.

1.6 “EU-Wetgeving inzake Gegevensbescherming” betekent de AVG, samen met alle toepasselijke wetten of voorschriften ter uitvoering daarvan, evenals wetgeving van de Europese Unie of van de Lidstaten, zoals periodiek gewijzigd.

1.7 “AVG” betekent de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens).

1.8 “Persoonsgegevens” zijn alle Klantgegevens die betrekking hebben op een specifieke, geïdentificeerde of identificeerbare natuurlijke persoon en die zcal bij het leveren van de Diensten namens de Klant Verwerkt, wanneer deze informatie op grond van enige Wetgeving inzake Gegevensbescherming wettelijk beschermd is als "persoonsgegevens", "persoonlijke informatie" of een vergelijkbaar begrip.

1.9 “Verwerken” of “Verwerking” betekent elke handeling of elk geheel van handelingen met betrekking tot Persoonsgegevens, al dan niet geautomatiseerd, zoals het verzamelen, vastleggen, ordenen, opslaan, wijzigen, opvragen, raadplegen, gebruiken, verzenden, verspreiden of op andere wijze ter beschikking stellen, combineren, afschermen, wissen of vernietigen van de gegevens.

1.10 “Beveiligingsinbreuk” betekent een bevestigde schending van de informatiebeveiligingsmaatregelen van zcal die leidt tot de onopzettelijke of onrechtmatige vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of toegang tot Persoonsgegevens die onder dit DPA vallen.

1.11 “Diensten” betekent de diensten die zcal op grond van de Overeenkomst aan u levert.

1.12 "Standaardcontractbepalingen" of "SCC's" betekent de standaardbepalingen voor de doorgifte van Persoonsgegevens aan verwerkers in derde landen, die door de Europese Commissie zijn goedgekeurd. De huidige goedgekeurde versie is opgenomen in Uitvoeringsbesluit (EU) 2021/914 van de Commissie van 4 juni 2021 en is beschikbaar op https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?uri=CELEX%3A32021D0914&locale=e.

1.13 “Zwitserse Wetgeving inzake Gegevensbescherming” betekent alle wetten die momenteel in Zwitserland van kracht zijn met betrekking tot gegevensbescherming, de Verwerking van Persoonsgegevens, privacy en/of elektronische communicatie. Dit omvat de federale wet betreffende gegevensbescherming (Federal Act on Data Protection) van 19 juni 1992, de bijbehorende verordeningen en de toekomstige herziene Zwitserse federale wet betreffende gegevensbescherming van 25 september 2020 zodra deze in werking treedt (gezamenlijk “FADP”).

1.14 “VK-Addendum” betekent het International Data Transfer Addendum bij de Standaardcontractbepalingen van de EU-Commissie (de hierboven gedefinieerde “SCC's”), uitgegeven door de Commissioner op grond van S119A(1) Data Protection Act 2018, Versie B1.0, van kracht sinds 21 maart 2022, beschikbaar op https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf.

1.15 “VK-Wetgeving inzake Gegevensbescherming” betekent alle wetten die momenteel in het Verenigd Koninkrijk van kracht zijn met betrekking tot gegevensbescherming, de Verwerking van Persoonsgegevens, privacy en/of elektronische communicatie, met inbegrip van de AVG van het Verenigd Koninkrijk en de Data Protection Act 2018.

1.16 “VK-AVG” betekent de Algemene Verordening Gegevensbescherming van het Verenigd Koninkrijk (United Kingdom General Data Protection Regulation), die deel uitmaakt van het recht van het Verenigd Koninkrijk op grond van section 3 van de European Union (Withdrawal) Act 2018.

1.17 De begrippen “Verwerker” en “Verwerkingsverantwoordelijke” hebben de betekenis die de toepasselijke Wetgeving inzake Gegevensbescherming daaraan toekent. Alle met een hoofdletter geschreven begrippen die niet in dit DPA zijn gedefinieerd, hebben de betekenis die daaraan in de Overeenkomst wordt gegeven en worden hierbij formeel door verwijzing overgenomen.

2.0 Verwerking en doorgifte van Persoonsgegevens

2.1 Verplichtingen van de Klant. De Klant is de Verwerkingsverantwoordelijke voor de Persoonsgegevens en moet (a) het doel en de belangrijkste middelen van de Verwerking van Persoonsgegevens bepalen in overeenstemming met de Overeenkomst; (b) verantwoordelijk zijn voor de juistheid van de Persoonsgegevens; en (c) zijn verplichtingen op grond van de Wetgeving inzake Gegevensbescherming nakomen. Dit omvat, waar nodig, het zorgen voor een rechtsgrond voor het verzamelen van Persoonsgegevens, het verstrekken van de vereiste kennisgevingen aan Betrokkenen en/of het verkrijgen van de toestemming van de Betrokkene voor het Verwerken van de Persoonsgegevens.

2.2 Verplichtingen van zcal. zcal is de Verwerker van de Persoonsgegevens en moet (a) Persoonsgegevens namens de Klant Verwerken volgens de schriftelijke instructies van de Klant die tijdens de looptijd van dit DPA worden gegeven (tenzij schriftelijk van afstand wordt gedaan), en (b) haar verplichtingen op grond van de Wetgeving inzake Gegevensbescherming nakomen. Bijlage 1 van Aanhangsel A beschrijft de beoogde Verwerking van Persoonsgegevens op grond van dit DPA. De partijen komen overeen dat de Overeenkomst, met inbegrip van dit DPA, samen met het gebruik van de Diensten door de Klant overeenkomstig de Overeenkomst, de volledige en definitieve schriftelijke instructies van de Klant aan zcal voor het Verwerken van Persoonsgegevens vormt. Voor verdere instructies buiten dit kader is een voorafgaande, door beide partijen ondertekende schriftelijke overeenkomst tussen de Klant en zcal vereist. Als zcal redelijkerwijs vermoedt dat er een strijdigheid bestaat tussen een Wetgeving inzake Gegevensbescherming en de instructies van de Klant, stelt zcal de Klant daarvan onverwijld op de hoogte, en werken beide partijen te goeder trouw samen om de strijdigheid op te lossen en tegelijkertijd de doelstellingen van de instructie te verwezenlijken.

2.3 Gebruik van gegevens. zcal zal Persoonsgegevens niet gebruiken, behalve wanneer dit is toegestaan door de instructies van de Klant, of voor zover nodig om vorderingen in te stellen of zich daartegen te verweren, te voldoen aan wettelijke vereisten, samen te werken met toezichthoudende instanties, of voor ander vergelijkbaar toegestaan gebruik zoals uitdrukkelijk toegestaan op grond van de Wetgeving inzake Gegevensbescherming.

2.4 Locatie van de Verwerking. Beide partijen erkennen en komen overeen dat de Verwerking van Persoonsgegevens zal plaatsvinden in de Verenigde Staten en mogelijk in andere rechtsgebieden buiten de woonplaats van de Betrokkene. De Klant moet voldoen aan alle vereisten inzake kennisgeving en toestemming voor een dergelijke doorgifte en Verwerking zoals voorgeschreven door de Wetgeving inzake Gegevensbescherming.

2.5 Teruggave of vernietiging van gegevens. zcal zal Persoonsgegevens, volgens de instructies van de Klant, teruggeven of op veilige wijze vernietigen op verzoek van de Klant of bij beëindiging van het account of de accounts van de Klant, tenzij bewaring vereist is om te voldoen aan het toepasselijk recht.

3.0 Wetgeving inzake Gegevensbescherming van de EU, Zwitserland en het Verenigd Koninkrijk

Deze Sectie 3 is van toepassing op de Verwerking van Persoonsgegevens wanneer deze onderworpen is aan de EU-Wetgeving inzake Gegevensbescherming, de Zwitserse Wetgeving inzake Gegevensbescherming of de VK-Wetgeving inzake Gegevensbescherming.

3.1 Doorgiften van Persoonsgegevens. De Klant erkent en gaat ermee akkoord dat zcal gevestigd is in de Verenigde Staten en dat het verstrekken van Persoonsgegevens vanuit de Europese Economische Ruimte (“EU”), Zwitserland of het Verenigd Koninkrijk aan zcal voor Verwerking een doorgifte van Persoonsgegevens aan de Verenigde Staten vormt. Alle doorgiften van Persoonsgegevens van de Klant afkomstig uit de EU (“EU-Persoonsgegevens”), Zwitserland (“Zwitserse Persoonsgegevens”) of het Verenigd Koninkrijk (“VK-Persoonsgegevens”) naar de Verenigde Staten worden beheerst door de Standaardcontractbepalingen en het VK-Addendum, voor zover van toepassing, onder de volgende voorwaarden:

a. Voor doorgiften van EU-Persoonsgegevens of doorgiften met inbegrip van Zwitserse Persoonsgegevens die onderworpen zijn aan zowel de EU-Wetgeving inzake Gegevensbescherming als de Zwitserse Wetgeving inzake Gegevensbescherming (in het laatste geval wordt de AVG-standaard gebruikt voor alle gegevensdoorgiften), is Module 2 van de SCC's (voor doorgiften van Verwerkingsverantwoordelijke aan Verwerker), samen met de Bijlagen in Aanhangsel A bij dit DPA, van toepassing en hierin opgenomen. De partijen komen overeen dat: (a) Clausule 7 niet van toepassing is; (b) Optie 2 van Clausule 9(a) van toepassing is met een kennisgevingstermijn van 30 dagen vooraf; (c) de facultatieve tekst in Clausule 11(a) niet van toepassing is; (d) het toepasselijk recht in Clausule 17 dat van Ierland is; (e) geschillen in Clausule 18 worden beslecht door de rechtbanken van Ierland; en (f) de bijlagen zijn ingevuld in Aanhangsel A bij dit DPA.

b. Voor doorgiften van uitsluitend Zwitserse Persoonsgegevens is Module 2 van de SCC's (voor doorgiften van Verwerkingsverantwoordelijke aan Verwerker), samen met de Bijlagen in Aanhangsel A bij dit DPA, van toepassing en hierin opgenomen. De partijen komen overeen dat: (a) Clausule 7 niet van toepassing is; (b) Optie 2 van Clausule 9(a) van toepassing is met een kennisgevingstermijn van 30 dagen vooraf; (c) de facultatieve tekst in Clausule 11(a) niet van toepassing is; (d) de bevoegde toezichthoudende autoriteit in Bijlage I.C op grond van Clausule 13 de Federale Functionaris voor Gegevensbescherming en Informatie (Federal Data Protection and Information Commissioner) is; (e) het toepasselijk recht in Clausule 17 dat van Zwitserland is; (f) geschillen in Clausule 18 worden beslecht door de rechtbanken van Zwitserland; (g) de bijlagen zijn ingevuld in Aanhangsel A bij dit DPA; en (h) alle verwijzingen naar de AVG moeten worden opgevat als verwijzingen naar de FADP.

c. Voor doorgiften van Zwitserse Persoonsgegevens die onderworpen zijn aan Secties 3.1.a. en 3.1.b van dit DPA mag het begrip ‘lidstaat’ niet zo worden uitgelegd dat Betrokkenen in Zwitserland worden belet hun recht uit te oefenen om in Zwitserland een rechtsvordering in te stellen overeenkomstig Clausule 18c.

d. Voor doorgiften van VK-Persoonsgegevens is Module 2 van de SCC's van toepassing zoals beschreven in subsectie 3.1.a. hierboven, en is het VK-Addendum zoals opgenomen in Aanhangsel B bij dit DPA van toepassing en hierin opgenomen.

3.2 Verplichtingen op grond van de AVG en de VK-AVG. zcal zal: (a) de Klant redelijke bijstand verlenen bij het nakomen van zijn verplichtingen met betrekking tot EU-Persoonsgegevens op grond van de artikelen 32 tot en met 36 van de AVG (of het equivalent daarvan op grond van de VK-Wetgeving inzake Gegevensbescherming voor VK-Persoonsgegevens); (b) een register bijhouden van alle soorten Verwerkingsactiviteiten die namens de Klant worden uitgevoerd, zoals vereist door artikel 30, lid 2, van de AVG (of het equivalent daarvan op grond van de VK-Wetgeving inzake Gegevensbescherming voor VK-Persoonsgegevens); en (c) op verzoek samenwerken met een toezichthoudende autoriteit in de EU of het VK met betrekking tot de uitvoering van de Diensten.

4.0 Wetgeving inzake Gegevensbescherming van de Verenigde Staten

Deze Sectie 4 is van toepassing op de Verwerking van Persoonsgegevens wanneer deze onderworpen is aan de Wetgeving inzake Gegevensbescherming in de Verenigde Staten.

4.1 CCPA/CPRA. Deze subsectie 4.1 regelt de Verwerking door zcal van Persoonsgegevens die onderworpen zijn aan de CCPA, waarvoor zcal optreedt als dienstverlener (service provider) van de Klant. De Klant deelt de Persoonsgegevens met zcal, en zcal zal deze Persoonsgegevens uitsluitend Verwerken voor de zakelijke doeleinden die in deze Overeenkomst, met inbegrip van dit DPA, zijn omschreven.

a. zcal zal niet:

i. de Persoonsgegevens verkopen of delen;

ii. de Persoonsgegevens bewaren, gebruiken of bekendmaken (i) voor enig ander doel dan de zakelijke doeleinden die in de Overeenkomst zijn gespecificeerd, met inbegrip van het bewaren, gebruiken of bekendmaken van de Persoonsgegevens voor een commercieel doel anders dan de zakelijke doeleinden die in de Overeenkomst zijn gespecificeerd, of zoals anderszins toegestaan door de CCPA; of (ii) buiten de directe zakelijke relatie tussen de partijen;

iii. de Persoonsgegevens die zcal ontvangt van of namens de Klant combineren met Persoonsgegevens die zcal ontvangt van of namens een andere partij, of die zcal verzamelt uit haar eigen interactie met de consument. zcal mag Persoonsgegevens echter combineren om enig zakelijk doel te verwezenlijken dat is toegestaan door de CCPA, met inbegrip van de bijbehorende regelgeving, of door regelgeving die is vastgesteld door het California Privacy Protection Agency.

b. zcal zal de verplichtingen nakomen die op grond van de CCPA op haar als dienstverlener van toepassing zijn en zal ervoor zorgen dat de Persoonsgegevens hetzelfde niveau van privacybescherming krijgen als door de CCPA wordt vereist.

c. De Klant heeft het recht om redelijke en passende maatregelen te nemen om ervoor te helpen zorgen dat zcal de Persoonsgegevens gebruikt op een manier die in overeenstemming is met de verplichtingen van de Klant op grond van de CCPA. De procedure voor het nemen van dergelijke maatregelen wordt beschreven in Sectie 9 hieronder.

d. zcal stelt de Klant op de hoogte als zij vaststelt dat zij haar verplichtingen als dienstverlener op grond van de CCPA niet langer kan nakomen. Als zcal een dergelijke kennisgeving doet, heeft de Klant het recht om redelijke en passende stappen te nemen om elk ongeoorloofd gebruik van Persoonsgegevens te stoppen en te herstellen.

e. Voor alle subverwerkers die zcal gebruikt om Persoonsgegevens te Verwerken die onderworpen zijn aan de CCPA, moet de overeenkomst van zcal met de subverwerker, naast haar verplichtingen op grond van Sectie 5 hieronder, de subverwerker verplichten te voldoen aan de vereisten die zijn uiteengezet in subsectie 4.1.a hierboven.

f. Voor de toepassing van deze Sectie 4 hebben de begrippen “consument” (consumer), “dienstverlener” (service provider), “verkopen” (sell) en “delen” (share) de betekenis die daaraan op grond van de CCPA wordt gegeven.

4.2 Virginia, Colorado, Connecticut en Utah. Voor de duidelijkheid en voor de toepassing van de VCDPA, CPA, CTDPA en UCPA zijn de relevante gegevens over de Verwerking die zijn uiteengezet in Sectie B in Aanhangsel A van toepassing.

5.0 Subverwerkers

5.1 Lijst van subverwerkers. De Klant machtigt zcal tot het gebruik van de subverwerkers die zijn vermeld in het hierbij gevoegde Aanhangsel A. zcal kan haar lijst van subverwerkers periodiek bijwerken en zal alle updates hier beschikbaar stellen: https://zcal.co/data-processors.

6.0 Verklaring en garantie van de Klant

De Klant verklaart en garandeert, namens zichzelf en zijn werknemers, dat de Persoonsgegevens die op grond van de Overeenkomst en dit DPA aan zcal voor Verwerking worden verstrekt, door de Klant en zijn werknemers zijn verzameld, rechtmatig zijn verkregen en worden gebruikt in overeenstemming met alle Wetgeving inzake Gegevensbescherming, met inbegrip van, zonder beperking, de bepalingen van de Wetgeving inzake Gegevensbescherming over bekendmaking, geïnformeerde uitdrukkelijke toestemming en gerichte advertenties, met inbegrip van Hoofdstuk II van de AVG. Bovendien gaat de Klant ermee akkoord zcal te verdedigen, schadeloos te stellen en te vrijwaren tegen elk verlies, alle kosten (met inbegrip van redelijke gemaakte advocaatkosten en gerechtskosten), alle schade of alle aansprakelijkheid als gevolg van een vordering die voortvloeit uit een schending van deze Sectie 6.

7.0 Gegevensbescherming

7.1 Gegevensbeveiliging. zcal zal commercieel redelijke inspanningen leveren om de beveiliging, vertrouwelijkheid en integriteit van de aan haar doorgegeven Persoonsgegevens te beschermen door gebruik te maken van redelijke administratieve, fysieke en technische waarborgen. Zonder afbreuk te doen aan het voorgaande zal zcal: (a) redelijke administratieve, fysieke en technische waarborgen implementeren (met inbegrip van commercieel redelijke waarborgen tegen wormen, trojaanse paarden en andere uitschakelende of schadelijke code) om de Persoonsgegevens te beschermen in overeenstemming met de Wetgeving inzake Gegevensbescherming, zoals passend is voor de aard van de Persoonsgegevens; (b) commercieel redelijke inspanningen leveren om de Persoonsgegevens redelijk veilig en versleuteld te houden, en beveiligingsprocedures en -systemen volgens de branchestandaard gebruiken die van toepassing zijn op het gebruik van Persoonsgegevens, om ongeoorloofde toegang tot, ongeoorloofd kopiëren, wijzigen, opslaan, reproduceren, weergeven of verspreiden van Persoonsgegevens te voorkomen en daartegen onverwijld passende corrigerende maatregelen te nemen; en (c) ophouden met het bewaren van documenten die Persoonsgegevens bevatten, of de methoden verwijderen waarmee Persoonsgegevens aan specifieke personen kunnen worden gekoppeld, redelijk snel nadat redelijkerwijs mag worden aangenomen dat (i) de gespecificeerde doeleinden niet langer vereisen dat zcal Persoonsgegevens bewaart, en (ii) bewaring niet langer noodzakelijk is om juridische of zakelijke redenen.

7.2 Bevoegd Personeel. zcal moet ervoor zorgen dat Bevoegd Personeel heeft ingestemd met geheimhouding of onderworpen is aan een passende wettelijke geheimhoudingsplicht met verplichtingen die ten minste even strikt zijn als die in dit DPA.

7.3 Beveiligingsinbreuken. Na bevestiging van een Beveiligingsinbreuk: (a) zal zcal onverwijld: (i) de Klant informeren over de Beveiligingsinbreuk; (ii) de Beveiligingsinbreuk onderzoeken; (iii) de Klant de noodzakelijke gegevens over de Beveiligingsinbreuk verstrekken zoals vereist door het toepasselijk recht; en (iv) redelijke maatregelen nemen om te voorkomen dat de Beveiligingsinbreuk zich herhaalt; en (b) gaat zcal ermee akkoord samen te werken met de Klant bij diens afhandeling van de situatie door: (i) redelijke bijstand te verlenen bij het onderzoek van de Klant; en (ii) relevante registraties en andere materialen met betrekking tot de gevolgen van de Beveiligingsinbreuk voor de Klant beschikbaar te stellen, voor zover vereist om te voldoen aan de Wetgeving inzake Gegevensbescherming.

8.0 Bijstand

8.1 Bijstand door de Verwerker. Op schriftelijk verzoek van de Klant verleent zcal de Klant redelijke bijstand voor zover nodig om de Klant te helpen zijn verplichtingen op grond van de Wetgeving inzake Gegevensbescherming na te komen, onder meer door de Klant informatie te verstrekken over de technische en organisatorische beveiligingsmaatregelen van zcal, en voor zover vereist om gegevensbeschermingseffectbeoordelingen uit te voeren.

8.2 Verzoeken van Betrokkenen. zcal verleent de Klant redelijke bijstand bij het nakomen van de verplichtingen van de Klant jegens Betrokkenen die rechten uitoefenen die hun door de Wetgeving inzake Gegevensbescherming zijn toegekend met betrekking tot Persoonsgegevens, indien de Klant zonder de hulp van zcal niet op een dergelijk verzoek kan reageren. Als een Betrokkene bij zcal een verzoek indient om een recht uit te oefenen met betrekking tot zijn of haar Persoonsgegevens waarvoor de Klant de Verwerkingsverantwoordelijke is, stelt zcal de Klant onverwijld op de hoogte van het verzoek en adviseert zcal de Betrokkene om zijn of haar verzoek rechtstreeks bij de Klant in te dienen. De Klant is verantwoordelijk voor het beantwoorden van het verzoek.

9.0 Audits

Binnen dertig (30) dagen na het schriftelijke verzoek van de Klant, beperkt tot eenmaal per jaar en onder voorbehoud van de geheimhoudingsverplichtingen in de Overeenkomst, stelt zcal aan de Klant (of aan een in onderling overleg overeengekomen externe auditor) de informatie beschikbaar die redelijkerwijs nodig is om aan te tonen dat zcal voldoet aan de verplichtingen die in dit DPA zijn uiteengezet.

10.0 Diversen

10.1 Strijdigheid. In geval van strijdigheid of inconsistentie tussen dit DPA en de Wetgeving inzake Gegevensbescherming prevaleert de Wetgeving inzake Gegevensbescherming. Indien er strijdigheid of inconsistentie bestaat tussen de voorwaarden van dit DPA en de voorwaarden van de Overeenkomst, prevaleren de voorwaarden van dit DPA, maar alleen voor zover het onderwerp de Verwerking van Persoonsgegevens betreft.

10.2 Wijzigingen. Dit DPA kan niet worden gewijzigd, behalve zoals bepaald in het gedeelte “Wijzigingen” (“Changes”) van de Gebruiksvoorwaarden van zcal of in de wijzigingsvoorwaarden die in de Overeenkomst zijn uiteengezet. Als een gegevensbeschermingsautoriteit vaststelt dat de Overeenkomst of dit DPA ontoereikend is om te voldoen aan de Wetgeving inzake Gegevensbescherming of aan wijzigingen daarvan, komen de Klant en zcal overeen te goeder trouw samen te werken om de Overeenkomst of dit DPA te wijzigen, of om aanvullende, voor beide partijen aanvaardbare overeenkomsten inzake gegevensverwerking aan te gaan, in een poging te voldoen aan alle Wetgeving inzake Gegevensbescherming.

10.3 Aansprakelijkheid. De aansprakelijkheid van elke Partij die voortvloeit uit of verband houdt met dit DPA, hetzij uit overeenkomst, onrechtmatige daad of op grond van een andere rechtsgrond, is onderworpen aan de aansprakelijkheidsbeperkingen die in de Overeenkomst zijn gespecificeerd. Om twijfel te voorkomen omvat elke verwijzing in dit document naar het “DPA” dit DPA en de aanhangsels en appendices daarvan.

10.4 Volledige overeenkomst. Dit DPA laat de rechten en verplichtingen van de partijen op grond van de Overeenkomst, die volledig van kracht blijven, onverlet. Dit DPA vormt, samen met de Overeenkomst, de definitieve, volledige en exclusieve overeenstemming tussen de Partijen met betrekking tot het onderwerp hiervan, en vervangt en omvat alle eerdere besprekingen en overeenkomsten tussen de partijen met betrekking tot dat onderwerp.

Aanhangsel A: Standaardcontractbepalingen

Deze Bijlage maakt deel uit van de Standaardcontractbepalingen.

Bijlage I

A. Lijst van partijen

Gegevensexporteur

De gegevensexporteur is de Klant.

Adres: Het adres van de Klant zoals vermeld in de Overeenkomst.

Naam, functie en contactgegevens van de contactpersoon (functionaris voor gegevensbescherming en/of EU-vertegenwoordiger): De contactgegevens van de Klant zoals verstrekt in de Overeenkomst/het bestelformulier.

Activiteiten die relevant zijn voor de krachtens deze Clausules doorgegeven gegevens: Activiteiten die nodig zijn om de in de Overeenkomst beschreven Diensten te leveren.

Handtekening en datum: De Klant wordt geacht deze Bijlage I te hebben ondertekend door de Gebruiksvoorwaarden van zcal te aanvaarden.

Gegevensimporteur

De gegevensimporteur is zcal.

Adres: 9800 Centre Pkwy, Houston, TX 77036

Naam, functie en contactgegevens van de contactpersoon (functionaris voor gegevensbescherming en/of EU-vertegenwoordiger): Saurabh Chandarana, [email protected]

Activiteiten die relevant zijn voor de krachtens deze Clausules doorgegeven gegevens: Activiteiten die nodig zijn om de in de Overeenkomst beschreven Diensten te leveren.

Handtekening en datum: zcal wordt geacht deze Bijlage I te hebben ondertekend door de Gebruiksvoorwaarden van zcal te aanvaarden.

B. Beschrijving van de doorgifte

Categorieën betrokkenen van wie persoonsgegevens worden doorgegeven

De gegevensexporteur kan Persoonsgegevens aan zcal verstrekken. De omvang van deze gegevens wordt uitsluitend door de gegevensexporteur bepaald en gecontroleerd en kan onder meer, maar niet uitsluitend, Persoonsgegevens omvatten die betrekking hebben op de volgende groepen betrokkenen: (i) de eindgebruikers van de gegevensexporteur, met inbegrip van werknemers, contractanten, vertegenwoordigers, zakenpartners, samenwerkingspartners en klanten; en (ii) personen met wie de gegevensexporteur afspraken plant via de Diensten van de gegevensimporteur, waaronder hun vertegenwoordigers, zakenpartners, samenwerkingspartners, klanten en potentiële klanten.

Categorieën doorgegeven persoonsgegevens

De gegevensexporteur kan Persoonsgegevens aan zcal verstrekken. De omvang van deze gegevens wordt uitsluitend door de gegevensexporteur bepaald en gecontroleerd en kan onder meer, maar niet uitsluitend, de volgende categorieën Persoonsgegevens omvatten: (a) voor- en achternaam; (b) titel; (c) functie; (d) werkgever; (e) contactgegevens (bedrijf, e-mail, telefoon, fysiek bedrijfsadres); (f) verbindingsgegevens; (g) locatiegegevens; en (h) andere elektronische gegevens die door de Klant worden gebruikt in het kader van de Diensten.

Doorgegeven gevoelige gegevens (indien van toepassing)

Geen

De frequentie van de doorgifte

Doorlopend

Aard van de verwerking

De verwerkingen kunnen bestaan uit het verzamelen, opslaan, opvragen, raadplegen, gebruiken, wissen of vernietigen, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen van de gegevens van de gegevensexporteur, voor zover nodig om de Diensten te leveren in overeenstemming met de instructies van de gegevensexporteur, met inbegrip van daarmee verband houdende interne doeleinden (zoals kwaliteitscontrole, probleemoplossing, productontwikkeling enz.).

Doel/doeleinden van de gegevensdoorgifte en verdere verwerking

Het doel van de Verwerking van Persoonsgegevens door zcal is de uitvoering van de contractuele diensten op grond van de Overeenkomst met de gegevensexporteur.

De periode gedurende welke de persoonsgegevens worden bewaard, of, als dat niet mogelijk is, de criteria om die periode te bepalen.

Persoonsgegevens worden bewaard zolang als redelijkerwijs nodig is om de doeleinden te verwezenlijken waarvoor zij zijn verzameld, om onze contractuele en wettelijke verplichtingen na te komen, en gedurende alle toepasselijke verjaringstermijnen met het oog op het instellen van en het verweer tegen rechtsvorderingen.

Vermeld bij doorgiften aan (sub)verwerkers ook het onderwerp, de aard en de duur van de verwerking:

Het onderwerp en de aard van de Verwerking door subverwerkers worden beschreven in Bijlage III bij dit DPA. De Verwerking door subverwerkers duurt zolang de gegevensimporteur de Diensten op grond van de Overeenkomst aan de gegevensexporteur levert.

C. Bevoegde toezichthoudende autoriteit

Wanneer de EU-AVG van toepassing is, is de bevoegde toezichthoudende autoriteit de Ierse Data Protection Commissioner. Wanneer de VK-AVG van toepassing is, is de bevoegde toezichthoudende autoriteit het Information Commissioner’s Office van het VK.

Bijlage II: Technische en organisatorische maatregelen, met inbegrip van technische en organisatorische maatregelen om de beveiliging van de gegevens te waarborgen

De Verwerker zal redelijke administratieve, fysieke en technische waarborgen in stand houden om de beveiliging, vertrouwelijkheid en integriteit te beschermen van Persoonsgegevens die aan de Verwerker zijn doorgegeven, zoals beschreven in dit DPA en via de volgende link: https://zcal.co/security.

Bijlage III: Subverwerkers van de Verwerker

Door dit DPA aan te gaan, heeft de Klant het gebruik toegestaan van de vermelde subverwerkers die hier te vinden zijn: https://zcal.co/data-processors.

Aanhangsel B: VK-Addendum

Standaardbepalingen inzake gegevensbescherming, uit te vaardigen door de Commissioner op grond van S119A(1) Data Protection Act 2018

International Data Transfer Addendum bij de Standaardcontractbepalingen van de EU-Commissie

VERSIE B1.0, van kracht sinds 21 maart 2022

Dit Addendum is uitgegeven door de Information Commissioner voor Partijen die Beperkte Doorgiften verrichten. De Information Commissioner is van oordeel dat het Passende Waarborgen biedt voor Beperkte Doorgiften wanneer het wordt aangegaan als juridisch bindende overeenkomst.

Deel 1: Tabellen

Tabel 1: Partijen

Exporteur (die de Beperkte Doorgifte verzendt)

Volledige juridische naam: Zoals vermeld in Bijlage I van Aanhangsel A
Handelsnaam (indien afwijkend): n.v.t.
Hoofdadres (indien een statutair adres van een onderneming): Zoals vermeld in Bijlage I van Aanhangsel A
Officieel registratienummer (indien van toepassing) (ondernemingsnummer of vergelijkbare identificatie): n.v.t.
Volledige naam (optioneel): Zoals vermeld in Bijlage I van Aanhangsel A
Functie: Zoals vermeld in Bijlage I van Aanhangsel A
Contactgegevens, met inbegrip van e-mail: Zoals vermeld in Bijlage I van Aanhangsel A
Handtekening: De Exporteur wordt geacht dit Addendum te hebben ondertekend door de Gebruiksvoorwaarden van zcal te aanvaarden.

Importeur (die de Beperkte Doorgifte ontvangt)

Volledige juridische naam: zcal
Handelsnaam (indien afwijkend): n.v.t.
Hoofdadres (indien een statutair adres van een onderneming): Zoals vermeld in Bijlage I van Aanhangsel A
Officieel registratienummer (indien van toepassing) (ondernemingsnummer of vergelijkbare identificatie): n.v.t.
Volledige naam (optioneel): Zoals vermeld in Bijlage I van Aanhangsel A
Functie: Zoals vermeld in Bijlage I van Aanhangsel A
Contactgegevens, met inbegrip van e-mail: Zoals vermeld in Bijlage I van Aanhangsel A
Handtekening: De Importeur wordt geacht dit Addendum te hebben ondertekend door de Gebruiksvoorwaarden van zcal te aanvaarden.

Tabel 2: Geselecteerde SCC's, modules en geselecteerde clausules

Addendum EU-SCC's

De versie van de Goedgekeurde EU-SCC's waaraan dit Addendum is gehecht, zoals hieronder beschreven, met inbegrip van de Appendixinformatie:

Datum: Zoals vermeld in het DPA
Referentie: n.v.t.
Andere identificatie (indien van toepassing): n.v.t.

Tabel 3: Appendixinformatie

“Appendixinformatie” betekent de informatie die vereist is voor de geselecteerde modules zoals uiteengezet in de Appendix van de Goedgekeurde EU-SCC's (met uitzondering van de Partijen), en die voor dit Addendum is uiteengezet in:

Bijlage 1A: Lijst van partijen: Zoals vermeld in Bijlage I van Aanhangsel A

Bijlage 1B: Beschrijving van de doorgifte: Zoals vermeld in Bijlage I van Aanhangsel A

Bijlage II: Technische en organisatorische maatregelen, met inbegrip van technische en organisatorische maatregelen om de beveiliging van de gegevens te waarborgen: Zoals vermeld in Bijlage II van Aanhangsel A

Bijlage III: Lijst van subverwerkers (alleen Modules 2 en 3): Zoals vermeld in Bijlage III van Aanhangsel A

Tabel 4: Beëindiging van dit Addendum wanneer het Goedgekeurde Addendum wijzigt

Welke Partijen dit Addendum mogen beëindigen zoals uiteengezet in Sectie 19:

Importeur
Exporteur

Deel 2: Verplichte clausules

Verplichte clausules

Deel 2: Verplichte clausules van het Goedgekeurde Addendum, zijnde het model-Addendum B.1.0 dat is uitgegeven door het ICO en aan het Parlement is voorgelegd overeenkomstig s119A van de Data Protection Act 2018 op 2 februari 2022, zoals bijgewerkt op grond van Sectie 18 van die Verplichte clausules.