Verwerkersovereenkomst

Inhoudsopgave

1. 1. Toepassingsgebied, rollen en definities
2. 2. Details van de Verwerking
3. 3. Instructies van de Klant
4. 4. Vertrouwelijkheid van bevoegde personen
5. 5. Beveiligingsmaatregelen
6. 6. Subverwerkers
7. 7. Locatie van gegevens en internationale doorgiften
8. 8. Bijstand bij verzoeken van Betrokkenen
9. 9. Melding van een Inbreuk in verband met persoonsgegevens
10. 10. Gegevensbeschermingseffectbeoordelingen en raadpleging van toezichthouders
11. 11. Informatie en audits
12. 12. Teruggave en verwijdering van gegevens
13. 13. Verzoeken van overheden
14. 14. Aansprakelijkheid
15. 15. Looptijd en rangorde
16. 16. Contactpunt voor gegevensbescherming en register van verwerkingsactiviteiten
17. Bijlage 1: Details van de Verwerking
18. Bijlage 2: Technische en organisatorische maatregelen
19. Bijlage 3: Subverwerkers

Versie: 1.2 · Gepubliceerd: 16 oktober 2026 · Van kracht: bij aanvaarding voor nieuwe Werkruimten; voor Werkruimten die een eerdere Versie hebben aanvaard, op de datum die STAK noemt in haar kennisgeving op grond van artikel 20 van de Servicevoorwaarden voor Klanten · Maatgevende tekst: Engels (artikel 23.9 van de Servicevoorwaarden voor Klanten)

Uitgegeven door: STAK Global, LLC, een vennootschap met beperkte aansprakelijkheid, opgericht in de staat Delaware, Verenigde Staten van Amerika (dossiernummer 10798493), die eigenaar is van STAK (ستاك) en de Diensten. Contact: [email protected].

1. Toepassingsgebied, rollen en definities

1.1 Deze Verwerkersovereenkomst vormt op grond van artikel 3.1 van de STAK Servicevoorwaarden voor Klanten (de “Voorwaarden”) een integraal onderdeel van de Overeenkomst. Zij regelt de Verwerking van Persoonsgegevens van de Klant door STAK. Termen die in de Voorwaarden zijn gedefinieerd, hebben in deze Verwerkersovereenkomst dezelfde betekenis.

1.2 De Klant is de Verwerkingsverantwoordelijke voor Persoonsgegevens van de Klant, en STAK is een Verwerker die deze namens de Klant en op diens instructies verwerkt.

• Onder Verwerkingsverantwoordelijke en Verwerker worden hun equivalenten onder de Toepasselijke Gegevensbeschermingswetgeving verstaan, zoals de controlerende entiteit en de verwerkende entiteit in het Koninkrijk Saoedi-Arabië.
• Indien de Klant de gegevens als verwerker verwerkt namens een andere verwerkingsverantwoordelijke, verwerkt STAK ze als verwerker die voor de Klant optreedt, en is zij geen Subverwerker in de zin van artikel 1.3. De Klant zorgt ervoor dat zijn instructies in overeenstemming zijn met de instructies van die verwerkingsverantwoordelijke.
• STAK verwerkt Accountgegevens als Verwerkingsverantwoordelijke, zoals beschreven in het Privacybeleid, en deze Verwerkersovereenkomst is daarop niet van toepassing. Noch deze verwijzing noch die in Bijlage 3 schept contractuele verplichtingen op grond van artikel 3.2 van de Voorwaarden.

1.3 De volgende termen hebben de betekenis die naast elke term is vermeld:

• Persoonsgegevens van de Klant: Persoonsgegevens die in Klantgegevens zijn opgenomen, waaronder gegevens over de Eindklanten, werknemers, leveranciers en Gebruikers van de Klant, met uitzondering van Accountgegevens.
• Gevoelige Persoonsgegevens: gezondheids- en klinische gegevens, en alle gegevens die de Toepasselijke Gegevensbeschermingswetgeving als gevoelig aanmerkt.
• Verwerking: elke bewerking die op Persoonsgegevens wordt uitgevoerd, zoals het verzamelen, vastleggen, opslaan, opvragen, gebruiken, verstrekken, doorgeven en verwijderen ervan.
• Subverwerker: elke partij die STAK inschakelt om Persoonsgegevens van de Klant te verwerken met het doel de Diensten te leveren.
• Betrokkene: de natuurlijke persoon op wie Persoonsgegevens betrekking hebben.
• Beveiligingsincident: elke gebeurtenis die de vertrouwelijkheid, integriteit of beschikbaarheid van de Diensten bedreigt of ervan wordt verdacht deze te bedreigen.
• Inbreuk in verband met persoonsgegevens: elke inbreuk op de beveiliging die leidt tot de onopzettelijke of onrechtmatige vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of toegang tot Persoonsgegevens van de Klant.
• Back-up: elke kopie van Klantgegevens die voor herstel is gemaakt, op grond van artikel 12.3 en Bijlage 2.
• Productieomgeving: de systemen en databases waarop de Diensten draaien en die de Klant gebruikt, met uitzondering van Back-ups.
• Toepasselijke Gegevensbeschermingswetgeving: de wetgeving inzake de bescherming van persoonsgegevens die op de Verwerking van toepassing is, elk zoals van toepassing, waaronder de volgende:
  • in de Staat Koeweit: Wet nr. 20 van 2014 inzake elektronische transacties, en het Reglement inzake de bescherming van gegevensprivacy, het Regelgevend Kader voor Cloud Computing en het Beleid voor Gegevensclassificatie van de Communication and Information Technology Regulatory Authority, elk binnen het eigen toepassingsgebied;
  • de Wet bescherming persoonsgegevens van het Koninkrijk Saoedi-Arabië, uitgevaardigd bij Koninklijk Besluit nr. (M/19) van 9/2/1443 AH, zoals gewijzigd, de uitvoeringsverordening daarvan en het Reglement inzake de doorgifte van persoonsgegevens buiten het Koninkrijk;
  • in de Verenigde Arabische Emiraten: Federaal Wetsbesluit nr. (45) van 2021 inzake de bescherming van persoonsgegevens, Federale Wet nr. (2) van 2019 inzake het gebruik van informatie- en communicatietechnologie in de gezondheidszorg, en de wetgeving inzake gegevensbescherming van het Dubai International Financial Centre en de Abu Dhabi Global Market voor degenen die eraan zijn onderworpen;
  • Wet nr. (30) van 2018 tot uitvaardiging van de Wet bescherming persoonsgegevens van het Koninkrijk Bahrein;
  • Wet nr. (13) van 2016 inzake de bescherming van de privacy van persoonsgegevens van de Staat Qatar;
  • de Wet bescherming persoonsgegevens, uitgevaardigd bij Koninklijk Besluit nr. (6/2022) van het Sultanaat Oman;
  • de Algemene Verordening Gegevensbescherming van de Europese Unie (Verordening (EU) 2016/679), voor zover deze op de Klant van toepassing is;
  • de Algemene Verordening Gegevensbescherming van het Verenigd Koninkrijk en de Data Protection Act 2018; de Zwitserse federale wet inzake gegevensbescherming; de California Consumer Privacy Act zoals gewijzigd, en de andere uitgebreide privacywetten van de staten van de Verenigde Staten van Amerika; de Personal Information Protection and Electronic Documents Act van Canada en de wetgeving van de provincies; de Lei Geral de Proteção de Dados van Brazilië (Wet nr. 13.709/2018); de Digital Personal Data Protection Act, 2023 van India; de Turkse Wet nr. 6698 inzake de bescherming van persoonsgegevens; de Egyptische Wet nr. 151 van 2020; de Protection of Personal Information Act, 2013 van Zuid-Afrika; de Personal Data Protection Act 2012 van Singapore; de Privacy Act 1988 van Australië; en elke andere wet inzake de bescherming van persoonsgegevens die op de Verwerking van toepassing is.

2. Details van de Verwerking

Bijlage 1 zet het onderwerp, de duur, de aard en het doel van de Verwerking, de categorieën Betrokkenen en de categorieën Persoonsgegevens uiteen.

3. Instructies van de Klant

3.1 STAK verwerkt Persoonsgegevens van de Klant alleen op gedocumenteerde instructie van de Klant. Die instructies zijn:

• de Overeenkomst;
• de instellingen van de Werkruimte;
• de handelingen die Gebruikers binnen de Diensten verrichten;
• alle andere schriftelijke instructies waarover de Partijen overeenstemming bereiken.

3.2 STAK mag de gegevens anders dan op deze instructies verwerken wanneer Toepasselijk Recht dit vereist. Zij stelt de Klant vooraf in kennis, tenzij de wet kennisgeving verbiedt.

3.3 STAK stelt de Klant in kennis indien zij van mening is dat een instructie in strijd is met de Toepasselijke Gegevensbeschermingswetgeving. Zij kan weigeren die instructie uit te voeren totdat de Klant deze wijzigt om de strijdigheid weg te nemen, of deze schriftelijk bevestigt met een vermelding van de rechtsgrondslag ervan die STAK redelijkerwijs aanvaardt.

3.4 De Klant is verantwoordelijk voor de rechtmatigheid van zijn instructies en voor het hebben van een rechtsgrondslag om Persoonsgegevens van de Klant te verzamelen en te verwerken. Dit omvat het informeren van Betrokkenen en het verkrijgen van hun toestemming waar nodig, met inbegrip van toestemming voor de doorgifte van hun gegevens op grond van artikel 7.

4. Vertrouwelijkheid van bevoegde personen

STAK beperkt de toegang tot Persoonsgegevens van de Klant tot de werknemers en opdrachtnemers die deze nodig hebben voor hun werk, en verplicht hen tot geheimhouding. De werknemers en opdrachtnemers van STAK hebben alleen in de volgende gevallen toegang tot Klantgegevens, en het begin van elke dergelijke toegang tot de Productieomgeving wordt vastgelegd in een log:

• (a) om de ondersteuning te verlenen waarom de Klant verzoekt;
• (b) om de Diensten te beheren en te onderhouden en ze te herstellen vanuit Back-ups;
• (c) om een Beveiligingsincident of een vermoedelijke schending van het Beleid voor Aanvaardbaar Gebruik te onderzoeken;
• (d) indien de wet dit vereist.

5. Beveiligingsmaatregelen

5.1 STAK past passende technische en organisatorische maatregelen toe om Persoonsgegevens van de Klant te beschermen, rekening houdend met de aard van en de risico’s van de Verwerking. Hiertoe behoren ten minste de maatregelen in Bijlage 2.

5.2 STAK kan deze maatregelen bijwerken, mits het algehele beschermingsniveau niet daalt.

5.3 De Klant is verantwoordelijk voor de beveiligingsmaatregelen die onder zijn eigen controle vallen, zoals het beheren van Gebruikers en rechten, het inschakelen van inloggen in twee stappen, het beveiligen van zijn apparaten en apparatuur en het veilig bewaren van de gegevens die hij exporteert.

6. Subverwerkers

6.1 De Klant machtigt STAK om de in Bijlage 3 vermelde Subverwerkers in te schakelen.

6.2 STAK moet met elke Subverwerker een schriftelijke overeenkomst sluiten. De overeenkomst moet gegevensbeschermingsverplichtingen opleggen die een beschermingsniveau bieden dat past bij de Verwerking en in wezen gelijkwaardig is aan deze Verwerkersovereenkomst. STAK blijft jegens de Klant verantwoordelijk voor de nakoming van de verplichtingen van haar Subverwerkers.

6.3 STAK stelt de Klant binnen de Diensten of per e-mail ten minste 30 dagen van tevoren in kennis van elke nieuwe Subverwerker, voordat deze begint met de Verwerking van Persoonsgegevens van de Klant.

6.4 Tijdens de kennisgevingstermijn kan de Klant om redelijke gegevensbeschermingsredenen schriftelijk bezwaar maken tegen de nieuwe Subverwerker. Indien de Partijen geen oplossing kunnen overeenkomen, kan de Klant het betrokken abonnement, of de Overeenkomst, beëindigen voordat de Verwerking begint en terugbetaling ontvangen van de vooruitbetaalde Vergoedingen voor de resterende periode.

6.5 Gekoppelde Aanbieders die de Klant via zijn eigen accounts koppelt, zijn geen Subverwerkers van STAK. Hiertoe behoren Betaaldienstverleners, Meta met betrekking tot het eigen WhatsApp Business-account van de Klant, en bezorgplatforms. Het verzenden van gegevens aan hen op instructie van de Klant is een doorgifte die op aanwijzing van de Klant en namens de Klant plaatsvindt.

6.6 Gegevens worden alleen naar de aanbieder van de AI-functies gestuurd wanneer een Gebruiker een van die functies aanvraagt, wanneer een Gebruiker een document uploadt dat een van die functies moet uitlezen, zoals een bon, of wanneer een automatisering die een Gebruiker heeft ingesteld een stap uitvoert waarin AI wordt gebruikt, en er worden alleen gegevens verzonden die nodig zijn om dat verzoek of die stap uit te voeren. De aanbieder mag ze niet gebruiken om zijn modellen te trainen. Gevoelige Persoonsgegevens worden alleen naar de aanbieder gestuurd indien het verzoek of de stap zelf ze bevat.

7. Locatie van gegevens en internationale doorgiften

7.1 De Diensten worden gehost, en Persoonsgegevens van de Klant worden primair opgeslagen, in de Productieomgeving van Amazon Web Services in de regio Frankfurt, in de Bondsrepubliek Duitsland. Back-ups worden in dezelfde regio bewaard, en daarvan worden kopieën gemaakt in een afzonderlijke regio van Amazon Web Services in de Republiek Ierland.

7.2 De Klant erkent het volgende en geeft uitdrukkelijk toestemming voor de doorgiften die daaruit voortvloeien:

• (a) de hosting vindt plaats in de Europese Unie, wat buiten het land kan zijn waarin de Klant is gevestigd of zaken doet;
• (b) Cloudflare verwerkt netwerkverkeer te allen tijde via zijn wereldwijde netwerk;
• (c) de overige in Bijlage 3 vermelde Subverwerkers verwerken gegevens in andere landen, waaronder de Verenigde Staten van Amerika, alleen wanneer de betreffende dienst wordt gebruikt;
• (d) De werknemers van STAK kunnen vanuit de Staat Koeweit toegang krijgen tot de gegevens, uitsluitend in de gevallen die in artikel 4 zijn vermeld.

7.3 Voor doorgiften van Persoonsgegevens van de Klant buiten het land waar ze zijn verzameld, past STAK de volgende waarborgen toe:

• (a) de contracten waarnaar in artikel 6.2 wordt verwezen, met inbegrip van de modelcontractbepalingen die STAK heeft afgesloten met Subverwerkers buiten de Europese Unie;
• (b) versleuteling tijdens verzending en bij opslag;
• (c) de doorgiftemechanismen die door de Toepasselijke Gegevensbeschermingswetgeving worden erkend, indien deze die vereist, met inbegrip van die in artikel 7.6.

7.4 De Klant moet elke toestemming of machtiging verkrijgen die het recht van zijn land vereist voor de doorgifte van Persoonsgegevens van de Klant buiten dat land, hetzij van een toezichthouder, hetzij van Betrokkenen. STAK verstrekt op verzoek de daarvoor benodigde informatie.

7.5 STAK kan de primaire hosting of de Back-ups naar een andere regio verplaatsen nadat zij de Klant ten minste 30 dagen van tevoren in kennis heeft gesteld, en de Klant kan bezwaar maken op grond van artikel 6.4, waarbij een beëindiging op grond van dat artikel ingaat vóór de datum van de verplaatsing. Het tijdelijk draaien van de Diensten vanuit de Back-ups in de Republiek Ierland na het verlies van de primaire hostingregio is geen verplaatsing in de zin van dit artikel, en STAK stelt de Klant hiervan onverwijld in kennis.

7.6 Doorgiftemechanismen die de wet vereist: onverminderd artikel 7.4:

• (a) Wanneer de Algemene Verordening Gegevensbescherming van de Europese Unie op de Klant van toepassing is, zijn de modelcontractbepalingen die zijn vastgesteld bij Uitvoeringsbesluit (EU) 2021/914 van de Europese Commissie (de “EU-modelcontractbepalingen”) door verwijzing in deze Verwerkersovereenkomst opgenomen: Module Twee (van verwerkingsverantwoordelijke naar verwerker) wanneer de Klant een verwerkingsverantwoordelijke is, en Module Drie (van verwerker naar verwerker) wanneer de Klant de gegevens voor een andere verwerkingsverantwoordelijke verwerkt. De Klant is de gegevensexporteur en STAK de gegevensimporteur. Clausule 7 (koppelingsclausule) is van toepassing. Op grond van Clausule 9(a) is Optie 2 (algemene schriftelijke machtiging) van toepassing, met de kennisgevingstermijn in artikel 6.3. De facultatieve tekst in Clausule 11(a) is niet van toepassing. Op grond van de Clausules 17 en 18 zijn het recht en de rechtbanken van de Republiek Ierland van toepassing. De bevoegde toezichthoudende autoriteit wordt bepaald overeenkomstig Clausule 13. De bijlagen daarbij worden ingevuld aan de hand van de Bijlagen 1, 2 en 3. Zij prevaleren boven de Overeenkomst indien beide met elkaar in strijd zijn.
• (b) Wanneer de Wet inzake de bescherming van persoonsgegevens van het Koninkrijk Saoedi-Arabië op de Klant van toepassing is, zijn de modelcontractbepalingen voor de doorgifte van persoonsgegevens, uitgegeven door de Saudi Data and Artificial Intelligence Authority, tweede model (van verwerkingsverantwoordelijke naar verwerker), door verwijzing in deze Verwerkersovereenkomst opgenomen. De Klant is de gegevensexporteur en STAK de gegevensimporteur, en de bijlagen daarbij worden ingevuld aan de hand van de Bijlagen 1, 2 en 3. STAK verstrekt de Klant de informatie die deze nodig heeft voor de risicobeoordeling van de doorgifte die de Klant moet uitvoeren op grond van het Reglement inzake de doorgifte van persoonsgegevens buiten het Koninkrijk. Zij prevaleren boven de Overeenkomst indien beide met elkaar in strijd zijn.
• (c) Wanneer het Federale Wetsbesluit nr. (45) van 2021 van de Verenigde Arabische Emiraten op de Klant van toepassing is, past STAK op de doorgegeven gegevens de bepalingen, maatregelen en controles van die wet toe, voor zover zij op een verwerker van toepassing zijn.
• (d) Wanneer de Algemene Verordening Gegevensbescherming van het Verenigd Koninkrijk op de Klant van toepassing is, is het International Data Transfer Addendum bij de EU-modelcontractbepalingen, uitgegeven door de Information Commissioner van het Verenigd Koninkrijk (versie B1.0, van kracht sinds 21 maart 2022, zoals later gewijzigd), door verwijzing opgenomen. Tabellen 1 tot en met 3 worden ingevuld met de gegevens van de Partijen in de Overeenkomst en de Bijlagen 1 tot en met 3. Voor Tabel 4 kan elke Partij het Addendum beëindigen zoals Sectie 19 daarvan toestaat.
• (e) Wanneer de Zwitserse federale wet inzake gegevensbescherming op de Klant van toepassing is, zijn de EU-modelcontractbepalingen van toepassing met de volgende wijzigingen: de Zwitserse Federale Commissaris voor Gegevensbescherming en Informatie is de bevoegde toezichthoudende autoriteit voor doorgiften die onder die wet vallen; verwijzingen naar de AVG omvatten die wet; en “lidstaat” wordt zo gelezen dat betrokkenen in Zwitserland vorderingen in Zwitserland kunnen instellen.
• (f) Wanneer een andere Toepasselijke Gegevensbeschermingswetgeving een bepaald doorgifteinstrument vereist, zoals de modelcontractbepalingen van de nationale gegevensbeschermingsautoriteit van Brazilië of de modelovereenkomst op grond van de Turkse Wet nr. 6698, ondertekent of neemt STAK dat instrument op verzoek van de Klant op, waarbij de gegevens ervan worden aangevuld vanuit de Bijlagen 1 tot en met 3.
• (g) Wanneer de California Consumer Privacy Act of een vergelijkbare privacywet van een Amerikaanse staat van toepassing is, treedt STAK op als dienstverlener, contractant of verwerker van de Klant. STAK verkoopt of deelt Persoonsgegevens van de Klant niet. STAK bewaart, gebruikt of verstrekt deze niet voor enig ander doel dan het verlenen van de Diensten op grond van de Overeenkomst, of buiten de directe zakelijke relatie met de Klant. STAK combineert deze niet met persoonsgegevens uit andere bronnen, behalve voor zover die wetten dit toestaan. STAK voldoet aan die wetten en biedt hetzelfde niveau van privacybescherming als die wetten vereisen. STAK laat de Klant weten als het niet langer aan deze verplichtingen kan voldoen. De Klant kan redelijke maatregelen nemen om ongeoorloofd gebruik te stoppen en te herstellen. STAK bevestigt dat het deze beperkingen begrijpt.

7.7 Gegevens die in een bepaald land moeten blijven: de Klant mag in de Diensten geen gegevens bewaren die Toepasselijk Recht verplicht binnen een bepaald land op te slaan of te verwerken, tenzij de Diensten op grond van artikel 9.5 van de Voorwaarden aangeven dat hosting in dat land beschikbaar is voor de betreffende App. Dit volgt uit artikel 13.4 van de Voorwaarden en artikel 5.4 van het Beleid voor Aanvaardbaar Gebruik.

8. Bijstand bij verzoeken van Betrokkenen

8.1 De Diensten bieden de Klant tools om de Persoonsgegevens van zijn Eindklanten te bekijken, te exporteren en te corrigeren, een tool om ze te wissen door hun identiteit te vervangen door een alias met behoud van de registraties die de wet verplicht te bewaren, en tools om de gegevens van zijn werknemers te bekijken en te corrigeren. De Klant gebruikt deze tools om verzoeken van Betrokkenen te beantwoorden, en STAK biedt op grond van artikel 8.3 bijstand bij alles wat zij niet dekken, waaronder het exporteren en verwijderen van werknemersgegevens.

8.2 Indien STAK rechtstreeks van een Betrokkene een verzoek ontvangt met betrekking tot Persoonsgegevens van de Klant, geeft zij dit zonder vertraging door aan de Klant en reageert zij alleen op instructie van de Klant.

8.3 STAK biedt de Klant redelijke bijstand bij alles wat de beschikbare tools niet dekken.

9. Melding van een Inbreuk in verband met persoonsgegevens

9.1 STAK stelt de Klant zonder onnodige vertraging in kennis nadat zij kennis heeft genomen van een Inbreuk in verband met persoonsgegevens die Persoonsgegevens van de Klant betreft. Zij doet dit waar mogelijk binnen 24 uur nadat zij ervan kennis heeft genomen, en in ieder geval binnen 48 uur.

9.2 De kennisgeving bevat, voor zover de informatie beschikbaar is:

• (a) de aard van de inbreuk;
• (b) de categorieën gegevens en Betrokkenen en hun geschatte aantal;
• (c) de waarschijnlijke gevolgen;
• (d) de genomen en voorgestelde maatregelen om de inbreuk aan te pakken;
• (e) een contactpunt bij STAK.

STAK verstrekt verdere informatie zodra deze beschikbaar komt.

9.3 STAK neemt onmiddellijk redelijke maatregelen om de inbreuk in te dammen en de gevolgen ervan te beperken. Zij werkt samen met de Klant bij het in kennis stellen van toezichthouders en Betrokkenen waar de Klant dat moet doen, rekening houdend met de termijnen die de wet voor de Klant stelt. Indien Toepasselijk Recht vereist dat STAK zelf een toezichthouder van de inbreuk in kennis stelt, doet STAK dat binnen de vereiste termijn en stelt zij de Klant daarvan in kennis.

9.4 De kennisgeving van STAK van een inbreuk, of haar medewerking bij het afhandelen ervan, is geen erkenning van schuld of aansprakelijkheid.

10. Gegevensbeschermingseffectbeoordelingen en raadpleging van toezichthouders

Op verzoek van de Klant verstrekt STAK de redelijke informatie die nodig is om een gegevensbeschermingseffectbeoordeling uit te voeren of een toezichthouder te raadplegen, voor zover deze de Diensten betreft.

11. Informatie en audits

11.1 Op verzoek van de Klant verstrekt STAK de informatie die redelijkerwijs nodig is om aan te tonen dat zij aan deze Verwerkersovereenkomst voldoet. Dit omvat beveiligingsdocumentatie en antwoorden op één beveiligingsvragenlijst per jaar.

11.2 De Klant kan op eigen kosten een audit uitvoeren, of laten uitvoeren door een onafhankelijke auditor die aan geheimhouding is gebonden, in de volgende gevallen:

• (a) indien een toezichthouder dit vereist;
• (b) na een Inbreuk in verband met persoonsgegevens die diens gegevens betreft;
• (c) indien de op grond van artikel 11.1 verstrekte informatie niet voldoende is.

De audit is aan de volgende voorwaarden onderworpen:

• De Klant stelt STAK ten minste 30 dagen van tevoren in kennis van de audit.
• Dit vindt plaats tijdens kantooruren op Werkdagen.
• Een audit op grond van onderdeel (c) vindt ten hoogste eenmaal per jaar plaats.
• Geen audit strekt zich uit tot de faciliteiten van Subverwerkers. In plaats daarvan volstaan hun certificeringen en onafhankelijke rapporten.
• Geen audit omvat toegang tot gegevens van andere klanten of tot iets dat hun beveiliging beïnvloedt.

12. Teruggave en verwijdering van gegevens

12.1 De Klant kan Persoonsgegevens van de Klant op elk moment exporteren, en gedurende 30 dagen nadat de Overeenkomst eindigt, op grond van artikel 19.5 van de Voorwaarden.

12.2 Na de exportperiode verwijdert STAK de Persoonsgegevens van de Klant binnen 30 dagen uit de Productieomgeving, tenzij Toepasselijk Recht bewaring vereist, en onder voorbehoud van de bewaarplicht in artikel 19.5 van de Voorwaarden zolang STAK op de hoogte is gesteld van een geschil bij de rechter, een onderzoek of een verzoek van een bevoegde autoriteit.

12.3 Back-ups worden bewaard gedurende de volgende bewaartermijnen:

• (a) herstel naar een willekeurig tijdstip en dagelijkse Back-ups: 35 dagen vanaf de datum waarop elke Back-up is gemaakt;
• (b) nachtelijke logische Back-ups van de database (database-dumps): 35 dagen;
• (c) maandelijkse Back-ups: 12 maanden vanaf de datum waarop elke Back-up is gemaakt;
• (d) eerdere versies van geüploade bestanden: 90 dagen vanaf de datum waarop zij worden vervangen of verwijderd.

Regels die voor deze Back-ups gelden:

• Dagelijkse en maandelijkse Back-ups en hun kopieën worden bewaard in back-upkluizen waarvan het beleid voorkomt dat iemand, ook het eigen personeel van STAK, een Back-up verwijdert voordat de bewaartermijn eindigt of die termijn wijzigt, en waarvan de vergrendeling in de compliancemodus van de hostingaanbieder de verwijdering van een Back-up gedurende ten minste de eerste 35 dagen ervan verhindert.
• Nachtelijke logische Back-ups zijn beschermd tegen wijziging en verwijdering totdat hun bewaartermijn eindigt.
• STAK verwijdert geen Back-up voordat de bewaartermijn ervan eindigt, ook niet op verzoek van de Klant.
• Alle Back-ups worden buiten gebruik gesteld en worden uitsluitend gebruikt voor technisch herstel, onder voorbehoud van artikel 12.4, of wanneer de wet dit vereist.
• Alle Back-ups die verwijderde gegevens bevatten, verlopen wanneer deze termijnen eindigen, dat wil zeggen uiterlijk binnen 12 maanden, en de verwijderde gegevens worden dan definitief vernietigd.
• Op verzoek deelt STAK de Klant de datum mee waarop de laatste Back-up die verwijderde gegevens bevat, verloopt, zodat de Klant dit aan de Betrokkene kan meedelen.

12.4 Indien STAK in die periodes een Back-up herstelt, past zij, voordat de gegevens beschikbaar worden gesteld, de wissingen die op grond van artikel 8.1 zijn uitgevoerd en de verwijderingen die op grond van artikel 12.2 na de datum van die Back-up zijn verricht, opnieuw toe, aan de hand van de registraties die zij van die handelingen bijhoudt.

13. Verzoeken van overheden

Indien STAK van een overheids- of gerechtelijke autoriteit een bindend verzoek ontvangt om Persoonsgegevens van de Klant openbaar te maken, stelt zij de Klant daarvan in kennis, tenzij de wet kennisgeving verbiedt. STAK beperkt de openbaarmaking tot het minimum dat het verzoek vereist. Zij verzet zich met de beschikbare juridische middelen tegen verzoeken die zij redelijkerwijs onrechtmatig acht.

14. Aansprakelijkheid

De aansprakelijkheid van elke Partij onder deze Verwerkersovereenkomst, met inbegrip van haar aansprakelijkheid jegens de andere Partij onder de modelcontractbepalingen in artikel 7.6, is onderworpen aan de bepalingen inzake beperking van aansprakelijkheid in artikel 16 van de Voorwaarden, voor zover die artikelen dat toestaan en zonder afbreuk te doen aan de rechten van Betrokkenen daaronder.

15. Looptijd en rangorde

15.1 Deze Verwerkersovereenkomst is van toepassing zolang STAK Persoonsgegevens van de Klant verwerkt.

15.2 Indien deze Verwerkersovereenkomst in strijd is met de Voorwaarden, prevaleert zij in aangelegenheden die Persoonsgegevens van de Klant betreffen.

15.3 Indien de Toepasselijke Gegevensbeschermingswetgeving een dwingende verplichting oplegt die strenger is dan deze Verwerkersovereenkomst, is die verplichting binnen haar toepassingsbereik van toepassing.

16. Contactpunt voor gegevensbescherming en register van verwerkingsactiviteiten

STAK heeft een contactpunt voor gegevensbescherming aangewezen, dat per e-mail bereikbaar is op [email protected]. STAK houdt een register bij van de verwerkingsactiviteiten die zij namens klanten uitvoert, en stelt dit ter beschikking van de bevoegde toezichthouder wanneer de wet dit vereist.

Bijlage 1: Details van de Verwerking

• Onderwerp: het leveren van de Diensten aan de Klant op grond van de Voorwaarden.
• Duur: de looptijd van de Overeenkomst, de export- en verwijderingsperiode daarna op grond van artikel 12, de bewaartermijnen van Back-ups in artikel 12.3 en de bewaartermijnen van de Subverwerkers zoals vermeld in Bijlage 3.
• Aard en doel:
  • het opslaan en hosten van Klantgegevens;
  • het verwerken van verkopen, bestellingen, boekingen en facturen;
  • het beheren van voorraad, boekhouding, personeelsbeheer en salarisadministratie;
  • het verzenden van de berichten die de Klant aanvraagt via zijn eigen accounts bij Gekoppelde Aanbieders, of via de berichtenaanbieders die STAK gebruikt zodra zij in Bijlage 3 zijn vermeld;
  • het leveren van AI-functies wanneer deze worden gebruikt;
  • Back-ups, beveiliging en Support.
• Categorieën Betrokkenen:
  • de Eindklanten, gasten en patiënten van de Klant;
  • zijn werknemers en sollicitanten;
  • Gebruikers;
  • zijn leveranciers en hun contactpersonen;
  • chauffeurs en koeriers.
• Categorieën Persoonsgegevens:
  • identiteits- en contactgegevens, zoals naam, telefoon, e-mail, adres en bezorglocatie;
  • registraties van transacties, bestellingen, boekingen en facturen;
  • referenties die aan betalingen zijn gekoppeld, zonder volledige kaartnummers;
  • loyaliteitsgegevens, voorkeuren en toestemmingen;
  • gegevens over de werknemers van de Klant, zoals Civil ID-nummer, verblijfsgegevens, salaris, internationaal bankrekeningnummer (IBAN), aanwezigheid en verlof;
  • foto’s en documenten die de Klant uploadt;
  • berichtenlogboeken en het auditspoor.
• Gevoelige Persoonsgegevens: gezondheids- en klinische gegevens wanneer de kliniek-Apps worden gebruikt, onder voorbehoud van artikel 7.7 en van artikel 13.4 van de Voorwaarden, waarin is bepaald dat de functies voor patiëntendossiers niet mogen worden gebruikt voor patiënten die gezondheidsdiensten ontvangen in de Staat Koeweit of de Verenigde Arabische Emiraten; en gezondheidsgegevens in personeelsdossiers, zoals ziekteverklaringen. Klinische dossiers en personeelsdossiers worden met afzonderlijke sleutels versleuteld, en deze gegevens zijn alleen zichtbaar voor Gebruikers die de rollen hebben die ze mogen zien. Diagnose- en verrichtingscodes in verzekeringsclaims en voorafgaande machtigingen, en afbeeldingen van verzekeringspassen, worden beschermd door de database- en opslagversleuteling in Bijlage 2.

Bijlage 2: Technische en organisatorische maatregelen

1. Versleuteling:
   • Gegevens tijdens verzending worden versleuteld met TLS versie 1.2 of hoger, en de identiteit van de databaseserver wordt bij elke verbinding geverifieerd.
   • Opgeslagen gegevens in databases, op schijven, in bestanden, in Back-ups en in de geheimenopslag worden versleuteld met AES-256, met sleutels die worden beheerd via de AWS Key Management Service (AWS KMS) of door de hostingaanbieder.
   • Personeelsdossiers en klinische dossiers worden binnen de applicatie bovendien versleuteld met afzonderlijke sleutels, en verbindingsgegevens voor Gekoppelde Aanbieders worden bewaard in een afzonderlijke geheimenopslag die met een afzonderlijke sleutel is versleuteld.
2. Scheiding van de gegevens van elke klant: elk record van Klantgegevens draagt de identificatiecode van de Onderneming waartoe het behoort. Beveiligingsbeleid op rijniveau in de database is van toepassing op de rol van de applicatie, en de rol van de applicatie heeft geen machtiging om dit te omzeilen. Beperkingen met samengestelde sleutels voorkomen dat records van de ene Onderneming worden gekoppeld aan records van een andere.
3. Toegangscontrole:
   • Toegang wordt verleend volgens het beginsel van de minste rechten.
   • Toegang tot de Productieomgeving is beperkt tot met naam genoemde medewerkers van STAK, vereist meerfactorauthenticatie, en het begin van elke toegang wordt vastgelegd in een log.
   • Beheertoegang tot servers verloopt uitsluitend via AWS Systems Manager, zonder rechtstreekse (SSH) aanmelding.
4. Beveiliging van het inloggen van Gebruikers:
   • Voor Gebruikers bieden de Diensten passkeys, authenticator-apps en verificatiecodes die naar een geverifieerde telefoon worden gestuurd.
   • Voor de Klant bieden zij aanpasbare rollen en rechten, toegang die per Vestiging kan worden beperkt en, in de Abonnementen die ze bevatten, regels voor inactieve sessies en waarschuwingen aan Eigenaren bij het inloggen vanaf nieuwe apparaten.
5. Auditspoor: er wordt een auditspoor van wijzigingen bijgehouden dat geen Gebruiker kan wijzigen of verwijderen. Het legt de actor, de tijd, de bron en het IP-adres vast. Wanneer de Klant op grond van artikel 8.1 de Persoonsgegevens van een Eindklant wist, verliezen de vermeldingen de identificerende gegevens van die persoon maar behouden zij wat is gedaan, door wie en wanneer. Het auditspoor wordt op grond van artikel 12 samen met de Klantgegevens verwijderd. Boekhoudkundige boekingen zijn in een keten aan elkaar gekoppeld die elke manipulatie zichtbaar maakt.
6. Back-ups en herstel:
   • geautomatiseerde, continue Back-ups maken herstel naar een willekeurig tijdstip binnen 35 dagen mogelijk;
   • dagelijkse Back-ups worden 35 dagen bewaard en maandelijkse Back-ups 12 maanden, en ze worden gekopieerd naar een afzonderlijke geografische regio in de Republiek Ierland. Het beleid van de back-upkluizen voorkomt verwijdering vóór het einde van de bewaartermijn of enige wijziging van die termijn, en een vergrendeling in compliancemodus voorkomt de verwijdering van een Back-up gedurende ten minste de eerste 35 dagen ervan;
   • elke nacht wordt een logische Back-up van de database gemaakt en 35 dagen bewaard in opslag die is beschermd tegen wijziging en verwijdering;
   • het herstel van de database vanuit Back-ups wordt elke maand getest.
7. Betalingsgegevens: de Diensten zijn zo ontworpen dat STAK geen volledige kaartnummers opslaat. Betalingen worden gedaan op pagina’s die door Betaaldienstverleners worden gehost of op hun gecertificeerde kaartacceptatieterminals en -apps. De schermen van de Diensten bevatten geen velden voor het invoeren van kaartgegevens, en de Diensten stellen de Klant in staat vrije tekstvelden te scannen op per ongeluk ingevoerde kaartnummers, zodat deze kunnen worden verwijderd.
8. Netwerk en infrastructuur: databases draaien in privénetwerken die niet openbaar bereikbaar zijn, achter firewalls. Een web application firewall en bescherming tegen denial-of-service-aanvallen worden geleverd via Cloudflare.
9. Kwetsbaarhedenbeheer en veilige ontwikkeling: code wordt beoordeeld en geautomatiseerde tests worden uitgevoerd vóór elke release. Softwarebibliotheken worden gecontroleerd en beveiligingsupdates worden onverwijld toegepast.
10. Monitoring en incidentrespons:
    • de cloudinfrastructuur wordt automatisch dag en nacht gemonitord, met onmiddellijke waarschuwingen;
    • elke beheerhandeling op de cloudinfrastructuur wordt vastgelegd in een log, en bedreigingen en overmatige rechten worden automatisch gedetecteerd via speciale Amazon-diensten (AWS CloudTrail, GuardDuty en IAM Access Analyzer);
    • er gelden gedocumenteerde procedures voor het reageren op Beveiligingsincidenten en voor kennisgeving op grond van artikel 9.
11. Bedrijfscontinuïteit: er gelden continuïteits- en herstelplannen, in lijn met de hersteldoelstellingen in de Service Level Agreement.
12. Personeel: De werknemers en opdrachtnemers van STAK zijn gebonden aan geheimhouding en volgen trainingen over beveiligingsbewustzijn.
13. Veilige verwijdering: gegevens worden verwijderd op grond van artikel 12, en de hostingaanbieder vernietigt media overeenkomstig zijn normen.

Bijlage 3: Subverwerkers

Aanbieders die alleen worden gebruikt wanneer ze zijn ingeschakeld. STAK heeft de volgende aanbieders ingesteld maar gebruikt ze momenteel niet om Persoonsgegevens van de Klant te verwerken. STAK begint pas met het gebruik van een van hen na kennisgeving op grond van artikel 6.3, ten minste 30 dagen van tevoren, en de kennisgeving vermeldt waar de aanbieder de gegevens verwerkt en hoe lang hij ze bewaart.

Zodra STAK haar eigen WhatsApp-nummer inschakelt, verstuurt Meta daarvandaan inlogcodes naar Gebruikers en verificatiecodes naar Eindklanten die hun telefoonnummer op de Openbare Pagina’s verifiëren. Meta verwerkt daarbij gegevens die STAK op grond van het Privacybeleid als Verwerkingsverantwoordelijke verwerkt, geen Persoonsgegevens van de Klant.

Afgezien van de hierboven genoemde aanbieders gebruikt STAK geen aanbieders van tekstberichten, pushmeldingen, digitale wallets of adreszoek-, verificatie- en kaartdiensten om Persoonsgegevens van de Klant te verwerken.