Juridisch

Verwerkersovereenkomst

Laatst bijgewerkt 1 november 2026

Deze vertaling wordt u aangeboden voor uw gemak. De Engelse versie is juridisch bindend en heeft voorrang als de twee versies van elkaar verschillen. Lees de Engelse versie.

Deze Verwerkersovereenkomst ("VO") maakt deel uit van de Servicevoorwaarden tussen de Klant en Astrizon Technology Solutions Private Limited, een in India geregistreerd bedrijf ("Verwerker"). Ze is van toepassing wanneer de Verwerker via Zolensa persoonsgegevens verwerkt namens de Klant. Als de Klant als verwerker optreedt voor zijn eigen klant, is de Verwerker zijn subverwerker en gelden de voorwaarden dienovereenkomstig.

1. Definities

"Wetgeving inzake gegevensbescherming" betekent de wetten die van toepassing zijn op de verwerking, waaronder de Algemene verordening gegevensbescherming (AVG) van de EU, de UK GDPR en de Data Protection Act 2018, de Zwitserse Federale wet op de gegevensbescherming, de Digital Personal Data Protection Act 2023 van India en wetten van Amerikaanse staten zoals de California Consumer Privacy Act (CCPA). "Persoonsgegevens", "Verwerkingsverantwoordelijke", "Verwerker", "Betrokkene", "Datalek" en "Verwerking" hebben de betekenis die de AVG eraan geeft. "Persoonsgegevens van de Klant" betekent persoonsgegevens die de Verwerker via de Dienst voor de Klant verwerkt.

2. Rollen en instructies

De Klant is de Verwerkingsverantwoordelijke (of een Verwerker die voor zijn eigen klant optreedt) en de Verwerker verwerkt Persoonsgegevens van de Klant uitsluitend op basis van de gedocumenteerde instructies van de Klant. De Voorwaarden, deze VO en het gebruik en de instellingen van de Dienst door de Klant vormen die instructies. De Verwerker laat de Klant weten als hij meent dat een instructie in strijd is met de Wetgeving inzake gegevensbescherming. De details van de verwerking staan in Bijlage I.

3. Vertrouwelijkheid

De Verwerker zorgt ervoor dat iedereen die bevoegd is om Persoonsgegevens van de Klant te verwerken, gebonden is aan vertrouwelijkheid en alleen de toegang heeft die zijn of haar functie vereist.

4. Beveiliging

De Verwerker treft de technische en organisatorische maatregelen uit Bijlage II, passend bij het risico, en mag ze bijwerken zolang het algemene beschermingsniveau niet daalt.

5. Subverwerkers

De Klant geeft algemene toestemming voor de subverwerkers die op de pagina Subverwerkers staan vermeld. De Verwerker geeft minstens 30 dagen van tevoren kennis van een nieuwe subverwerker door die pagina bij te werken en een e-mail te sturen aan de eigenaren van werkruimten. De Klant kan binnen die termijn bezwaar maken op redelijke gronden van gegevensbescherming; als de partijen geen oplossing overeenkomen, kan de Klant de betrokken dienst beëindigen en een terugbetaling krijgen van vooruitbetaalde kosten voor de resterende periode. De Verwerker legt elke subverwerker verplichtingen inzake gegevensbescherming op die niet minder beschermend zijn dan deze VO en blijft voor hen verantwoordelijk.

6. Internationale doorgiften

De Verwerker host de Dienst in India en sommige subverwerkers zijn in andere landen gevestigd. Voor doorgiften van Persoonsgegevens uit de Europese Economische Ruimte komen de partijen de modelcontractbepalingen overeen die zijn vastgesteld bij Uitvoeringsbesluit (EU) 2021/914 van de Commissie, Module Twee (van verwerkingsverantwoordelijke naar verwerker) en, wanneer de Klant een verwerker is, Module Drie (van verwerker naar verwerker), die door middel van verwijzing zijn opgenomen met deze keuzes: Clausule 7 is niet van toepassing; onder Clausule 9 geldt optie 2 (algemene toestemming) met een kennisgevingstermijn van 30 dagen; de optionele tekst in Clausule 11 is niet van toepassing; Clausule 13 volgt de vestiging van de Klant; onder Clausules 17 en 18 zijn het recht en de rechtbanken van Ierland van toepassing; Bijlagen I en II van deze VO vullen de Bijlagen van de Bepalingen aan. Voor doorgiften uit het Verenigd Koninkrijk is het International Data Transfer Addendum van de Information Commissioner van toepassing, en voor Zwitserland gelden de Bepalingen waarbij verwijzingen worden gelezen als verwijzingen naar Zwitsers recht. Als deze Bepalingen in strijd zijn met deze VO, hebben de Bepalingen voorrang.

7. De Klant helpen

Rekening houdend met de aard van de verwerking helpt de Verwerker de Klant, vooral via functies van de Dienst, bij het beantwoorden van verzoeken van Betrokkenen, en bij beveiliging, meldingen van datalekken, gegevensbeschermingseffectbeoordelingen en raadplegingen van autoriteiten. Als een Betrokkene rechtstreeks contact opneemt met de Verwerker, geeft de Verwerker het verzoek door aan de Klant zonder het te beantwoorden, tenzij de wet anders vereist.

8. Datalekken

De Verwerker stelt de Klant onverwijld in kennis, en in elk geval binnen 48 uur nadat hij kennis heeft gekregen van een Datalek dat Persoonsgegevens van de Klant treft, met de informatie die de Klant nodig heeft om aan zijn eigen verplichtingen te voldoen, en houdt de Klant op de hoogte naarmate er meer bekend wordt. De Verwerker neemt redelijke maatregelen om het lek te beperken en de gevolgen ervan te verminderen.

9. Verwijdering en teruggave

De Klant kan Persoonsgegevens van de Klant op elk moment via de Dienst exporteren en verwijderen, en stelt de bewaartermijn van elk onderzoek in. Wanneer de overeenkomst eindigt, verwijdert de Verwerker alle Persoonsgegevens van de Klant, inclusief bestanden in opslag, binnen 30 dagen na de exportperiode in de Voorwaarden, tenzij de wet hem verplicht een deel ervan te bewaren. In dat geval houdt hij die gegevens vertrouwelijk en verwerkt hij ze alleen voor dat doel.

10. Audits

De Verwerker stelt de informatie beschikbaar die redelijkerwijs nodig is om naleving van deze VO aan te tonen. De Klant mag eenmaal per jaar, met 30 dagen van tevoren aangekondigd, tijdens kantooruren en zonder de Dienst of de gegevens van andere klanten te verstoren, op eigen kosten een audit uitvoeren, of laten uitvoeren door een onafhankelijke auditor die aan vertrouwelijkheid is gebonden; of vaker als een Datalek of een autoriteit dat vereist.

11. Privacywetten van Amerikaanse staten

Waar de California Consumer Privacy Act of vergelijkbare wetten van toepassing zijn, is de Verwerker een serviceprovider en zal hij Persoonsgegevens van de Klant niet verkopen of delen, niet bewaren, gebruiken of openbaar maken buiten de directe zakelijke relatie of voor enig ander doel dan de Dienst, en niet combineren met andere persoonlijke informatie behalve voor zover die wetten dat toestaan. De Verwerker laat de Klant weten als hij niet meer aan deze verplichtingen kan voldoen.

12. Aansprakelijkheid en rangorde

De aansprakelijkheid van elke partij onder deze VO is onderworpen aan de beperkingen in de Voorwaarden, behalve waar de Wetgeving inzake gegevensbescherming die niet toestaat. Als deze VO op het gebied van gegevensbescherming in strijd is met de Voorwaarden, heeft deze VO voorrang.

13. Bijlage I: Details van de verwerking

14. Bijlage II: Technische en organisatorische maatregelen

• Versleuteling tijdens transport met TLS voor alle verbindingen; opnamen worden privé opgeslagen en geleverd via ondertekende links die verlopen.
• Wachtwoorden gehasht met Argon2id; tweestapsverificatie verplicht voor eigenaren van werkruimten en platformmedewerkers; aanbiedersleutels en geheimen voor tweestapsverificatie versleuteld in rust.
• Rolgebaseerde toegang binnen elke werkruimte; klanten zien deelnemers alleen met een code; contactgegevens beperkt tot het onderzoeksteam.
• Scheiding van de gegevens van klanten in de applicatie per werkruimte; elk verzoek wordt getoetst aan de werkruimte en rol van de gebruiker.
• Limieten op inloggen, uitnodigingen en uploads; bescherming tegen cross-site request forgery; beveiligingsheaders.
• Auditlogboek van inlogs, uitnodigingen, toestemming, exports, downloads en verwijderingen.
• Gegevensminimalisatie: locatiegegevens verwijderd uit foto's; uploads gecontroleerd op type en grootte; downloads verlopen na zeven dagen.
• Bewaartermijn per onderzoek ingesteld door de Klant; verwijdering van deelnemers, onderzoeken en hele werkruimten inclusief bestanden.
• Serverhardening, regelmatige beveiligingsupdates, firewalls en back-ups bij de hostingaanbieder.
• Medewerkers met toegang zijn gebonden aan vertrouwelijkheid, met toegang beperkt tot wat hun werk vereist.
• Een proces om Datalekken te detecteren, te beoordelen en binnen 48 uur te melden.