Deze Verwerkersovereenkomst (“Verwerkersovereenkomst”, in het Engels “DPA”) is van toepassing wanneer jij (de “Klant”) Skedeon gebruikt om persoonsgegevens van andere mensen te verwerken. Ze maakt deel uit van de Servicevoorwaarden tussen de Klant en Vertex Digital L.L.C-FZ, een vennootschap met beperkte aansprakelijkheid geregistreerd in de Meydan Free Zone, Dubai, Verenigde Arabische Emiraten, Licentienr. 2648533.01, geregistreerd adres Meydan Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubai, United Arab Emirates (“Vertex Digital”). Ze is opgesteld om te voldoen aan artikel 28 van de Algemene Verordening Gegevensbescherming (AVG/GDPR) van de EU en het VK en vergelijkbare wetgeving. Een handtekening is niet nodig; als je organisatie een ondertekend exemplaar nodig heeft, schrijf dan naar privacy@skedeon.com.
1. Rollen
- Klant = verwerkingsverantwoordelijke voor “Persoonsgegevens van de Klant”: persoonsgegevens van het publiek en de contacten van de Klant die de Dienst op instructie van de Klant verwerkt.
- Vertex Digital = verwerker van Persoonsgegevens van de Klant.
- Vertex Digital is zelfstandig verwerkingsverantwoordelijke voor gegevens over accounthouders (inloggen, factureringsrelatie, support, beveiliging), zoals beschreven in het Privacybeleid. Paddle is zelfstandig verwerkingsverantwoordelijke voor betalingsgegevens. Meta, Google, TikTok en andere platforms waarop de Klant publiceert, zijn zelfstandig verwerkingsverantwoordelijken, niet onze subverwerkers.
2. Onderwerp en details van de verwerking
- Doel en aard: het leveren van de Dienst — het opslaan, ordenen, weergeven, analyseren en verzenden van gegevens om content in te plannen en te publiceren, reacties en berichten te beheren, automatiseringen (Autoreply, Flows), SmartLinks en statistieken uit te voeren.
- Betrokkenen: mensen die interactie hebben met de gekoppelde accounts van de Klant (mensen die reageren, mensen die berichten sturen, volgers die in statistieken worden meegeteld, mensen die op SmartLinks klikken), contacten in Flows, mensen die in de content van de Klant voorkomen, en de teamleden van de Klant.
- Categorieën gegevens: gebruikersnamen en ID’s op platforms, profielnamen en -foto’s, de inhoud van berichten en reacties, interactiegeschiedenis, tags en velden die door de Klant zijn ingesteld, geaggregeerde statistieken, en content die door de Klant is geüpload. De Dienst is niet ontworpen voor bijzondere categorieën van gegevens, en de Klant mag de Dienst niet gebruiken om die te verzamelen.
- Duur: zolang de Klant de Dienst gebruikt, gevolgd door verwijdering zoals beschreven in artikel 9.
3. Instructies
Vertex Digital verwerkt Persoonsgegevens van de Klant uitsluitend op basis van de gedocumenteerde instructies van de Klant, namelijk de Voorwaarden, deze Verwerkersovereenkomst en het gebruik en de configuratie van de Dienst door de Klant, tenzij de wet anders vereist (in dat geval informeren we de Klant eerst, tenzij de wet dat verbiedt). We laten het de Klant weten als we van mening zijn dat een instructie in strijd is met de wetgeving inzake gegevensbescherming.
4. Vertrouwelijkheid
Iedereen bij Vertex Digital die bevoegd is om Persoonsgegevens van de Klant te verwerken, is gebonden aan geheimhouding en heeft er alleen toegang toe voor zover nodig om de Dienst te leveren, te ondersteunen of te beveiligen.
5. Beveiliging
We passen passende technische en organisatorische maatregelen toe, waaronder: versleuteling tijdens verzending (TLS) en van toegangstokens van platforms in opslag; toegang beperkt tot bevoegd personeel met sterke authenticatie; scheiding van de gegevens van elke werkruimte; logging van beheerderstoegang en van handelingen die via de API en de AI-connector worden verricht; automatische verwijderingstermijnen (bijvoorbeeld inboxgegevens ouder dan 90 dagen en media na publicatie); back-ups en herstelprocedures; en regelmatige evaluatie van deze maatregelen.
6. Subverwerkers
De Klant geeft algemene toestemming voor de onderstaande subverwerkers. We leggen elk van hen verplichtingen inzake gegevensbescherming op die gelijkwaardig zijn aan deze Verwerkersovereenkomst en blijven voor hen verantwoordelijk. We kondigen nieuwe subverwerkers minimaal 15 dagen van tevoren aan op deze pagina en per e-mail aan accounthouders; de Klant kan op redelijke gronden van gegevensbescherming bezwaar maken, en als we het bezwaar niet kunnen wegnemen, kan de Klant opzeggen en een terugbetaling ontvangen van de ongebruikte vooruitbetaalde periode.
- Cloudflare, Inc. — hosting van de applicatie, contentlevering, beveiliging, opslag van media (wereldwijd netwerk).
- Supabase, Inc. — hosting van de database (Europese Unie).
- Sendinblue SAS (Brevo) — transactionele e-mail aan accounthouders (Europese Unie).
7. Internationale doorgiften
Vertex Digital is gevestigd in de Verenigde Arabische Emiraten. Waar Persoonsgegevens van de Klant die onder de AVG vallen worden doorgegeven aan een land zonder adequaatheidsbesluit, komen de partijen de Standaardcontractbepalingen van de EU overeen (Uitvoeringsbesluit 2021/914 van de Commissie), Module 2 (verwerkingsverantwoordelijke naar verwerker) en, waar relevant, Module 3 (verwerker naar verwerker), met het UK Addendum voor gegevens uit het VK. Deze bepalingen zijn door verwijzing opgenomen, waarbij het recht van Dubai is gekozen waar de bepalingen dat toestaan en anders het recht en de rechtbanken van Ierland; deze Verwerkersovereenkomst bevat de informatie voor de bijlagen ervan. We maken ook gebruik van de doorgiftemechanismen van onze subverwerkers.
8. Bijstand, inbreuken en audits
- Verzoeken van betrokkenen: met de Dienst kan de Klant gegevens vinden, exporteren en verwijderen; we helpen bij verzoeken die de Klant niet zelf kan afhandelen, en sturen verzoeken die we rechtstreeks ontvangen door naar de Klant.
- Inbreuken in verband met persoonsgegevens: we informeren de Klant zonder onredelijke vertraging, en in elk geval binnen 48 uur nadat we kennis hebben gekregen van een inbreuk die Persoonsgegevens van de Klant betreft, met de beschikbare informatie en met updates naarmate we meer te weten komen.
- Overige bijstand: we verstrekken redelijke informatie die de Klant nodig heeft voor gegevensbeschermingseffectbeoordelingen en raadplegingen van autoriteiten.
- Audits: we stellen de informatie beschikbaar die nodig is om aan te tonen dat aan deze Verwerkersovereenkomst wordt voldaan. Waar dat niet voldoende is, mag de Klant eenmaal per jaar een audit uitvoeren, met een aankondigingstermijn van 30 dagen, tijdens kantooruren, op eigen kosten en onder geheimhouding, of een onafhankelijke auditor aanwijzen om dit te doen.
9. Verwijdering aan het einde
Wanneer de Klant zijn account verwijdert (Settings → Delete account, oftewel Instellingen → Account verwijderen), worden Persoonsgegevens van de Klant onmiddellijk uit de live systemen verwijderd en binnen 30 dagen uit de back-ups, tenzij de wet ons verplicht ze te bewaren. Vóór de verwijdering kan de Klant zijn gegevens uit de app exporteren.
10. Algemeen
Deze Verwerkersovereenkomst geldt zolang we Persoonsgegevens van de Klant verwerken. Bij tegenstrijdigheid met de Voorwaarden prevaleert deze Verwerkersovereenkomst voor zaken van gegevensbescherming; de Standaardcontractbepalingen prevaleren boven beide. Aansprakelijkheid op grond van deze Verwerkersovereenkomst is onderworpen aan de beperkingen in de Voorwaarden, behalve waar de wet dat niet toestaat. Deze Verwerkersovereenkomst is opgesteld in het Engels; vertalingen worden voor het gemak aangeboden, en bij tegenstrijdigheid prevaleert de Engelse versie. Contact: privacy@skedeon.com.