Verwerkersovereenkomst

Toepassing en partijen

Deze Verwerkersovereenkomst (DPA) is van toepassing wanneer een schriftelijke of elektronische dienstverleningsovereenkomst haar uitdrukkelijk van toepassing verklaart. Zij bindt de in die overeenkomst genoemde klant (Klant) en Enigma Labs OÜ, registratiecode 17166408, gevestigd aan Juhkentali tn 8, Kesklinna linnaosa, Tallinn, Harju maakond, 10132, Estland (Enigma). Door deze pagina te bekijken of een aanvraag te doen, wordt deze DPA niet gesloten.

Deze DPA regelt de persoonsgegevens die Enigma namens de Klant verwerkt om de overeengekomen diensten te leveren (Klantgegevens). De Klant is de verwerkingsverantwoordelijke, of een verwerker die door zijn verwerkingsverantwoordelijke is gemachtigd om Enigma als subverwerker aan te stellen. In het laatste geval hebben verwijzingen naar instructies en keuzes van de Klant betrekking op de instructies en keuzes die hij namens de verwerkingsverantwoordelijke mag geven. De feitelijke activiteiten van elke partij bepalen haar juridische rol.

De dienstverleningsovereenkomst, de overeengekomen werkomschrijving en de gedocumenteerde verwerkingsinstructies vormen het Opdrachtdossier en maken deel uit van deze DPA. Zij vermelden de Klant en zijn contactpersoon, de diensten, de systemen waarvoor toestemming is verleend en de bijzonderheden van de verwerking. Partijen moeten onvoldoende gespecificeerde verwerking verduidelijken voordat deze begint. De zelfstandige verwerking door Enigma van zakelijke contactgegevens, facturatie en aanvragen wordt beschreven in de privacyverklaring.

Beschrijving van de verwerking

Het onderwerp is het verwerken van Klantgegevens voor zover nodig voor de technologie-, beveiligings- of ondersteuningsdiensten die in het Opdrachtdossier zijn vastgelegd. De verwerking duurt gedurende de overeengekomen dienstverleningsperiode en een eventuele beperkte periode die nodig is voor rechtmatige teruggave, verwijdering of verplichte bewaring op grond van deze DPA.

De verwerking kan bestaan uit het ontvangen, raadplegen, ordenen, opslaan, beoordelen, analyseren, corrigeren, doorgeven, opvragen en verwijderen van Klantgegevens, uitsluitend voor zover nodig voor de overeengekomen werkzaamheden en ondersteuning. De frequentie volgt de opdracht: eenmalig voor een afzonderlijke taak of doorlopend voor een voortdurende dienst.

De toegestane categorieën betrokkenen zijn medewerkers, opdrachtnemers, zakelijke contacten, klanten en gebruikers van de Klant van wie de informatie relevant is voor de overeengekomen werkzaamheden. Gewone persoonsgegevens kunnen namen, professionele contactgegevens, functies, accountidentificatoren, correspondentie, dienstverleningsgegevens, apparaat- en netwerkidentificatoren, beveiligingslogboeken en relevante inhoud in klantensystemen waarvoor toestemming is verleend omvatten. Het Opdrachtdossier beperkt deze categorieën tot wat nodig is voor de daadwerkelijke dienst; deze beschrijving verleent geen toestemming voor toegang tot niet-gerelateerde systemen of gegevens.

Bijzondere of gevoelige persoonsgegevens, gegevens over strafbare feiten, gegevens van kinderen, gezondheidsgegevens, betaalkaartgegevens en andere gereguleerde informatie vereisen voorafgaande uitdrukkelijke schriftelijke afspraken over hun categorieën, doel, rechtmatige verwerking en aanvullende waarborgen voordat zij worden verstrekt of geraadpleegd. Wanneer een sectorspecifieke overeenkomst vereist is, zoals een HIPAA business associate agreement, moet ook die eerst worden gesloten. Deze DPA alleen geeft geen bevoegdheid om iedere gereguleerde gegevensverzameling te verwerken.

Instructies en toegestaan gebruik

De Klant bepaalt de rechtmatige doeleinden, betrokkenen, gegevenscategorieën en omvang van de verwerking, geeft gedocumenteerde instructies en verstrekt de informatie, toestemmingen en machtigingen van de verwerkingsverantwoordelijke waarvoor hij verantwoordelijk is. Hij moet toegang en verstrekking beperken tot de informatie die nodig is voor de diensten en Enigma informeren over toepasselijke bijzondere beperkingen.

Enigma verwerkt Klantgegevens uitsluitend op gedocumenteerde instructies, met inbegrip van instructies over verstrekking en internationale verwerking. Een wettelijk verplichte afwijking is beperkt tot wat het toepasselijke gegevensbeschermingsrecht toestaat: voor verwerking onder de AVG een vereiste van Unierecht of lidstatelijk recht; voor verwerking onder de UK GDPR een vereiste van het recht van het Verenigd Koninkrijk. Enigma informeert de Klant vóór die verwerking, tenzij het toepasselijke recht deze kennisgeving om gewichtige redenen van algemeen belang verbiedt. Enigma stelt de Klant onmiddellijk op de hoogte als een instructie onrechtmatig lijkt, schort de betrokken activiteit op totdat de kwestie is opgelost en voert niet bewust een onrechtmatige instructie uit.

Enigma verkoopt of deelt geen Klantgegevens (zoals die begrippen in de CCPA zijn gedefinieerd), gebruikt deze niet voor eigen marketing of gerichte advertenties en gebruikt deze niet om AI-modellen voor algemene doeleinden te trainen of verder af te stemmen. Verwerking van Klantgegevens met AI-ondersteuning vereist instructies die dat gebruik dekken en goedkeuring van een eventuele betrokken subverwerker. Enigma bewaart, gebruikt of verstrekt Klantgegevens niet buiten de vastgelegde dienstverleningsdoeleinden of de directe zakelijke relatie en combineert deze niet met informatie van andere klanten of uit eigen bronnen, behalve waar het toepasselijke recht die verwerking binnen haar rol als verwerker of dienstverlener toestaat. Enigma biedt het door het toepasselijke recht vereiste beschermingsniveau en verklaart dat zij deze beperkingen begrijpt en zal naleven.

Vertrouwelijkheid en beveiliging

Enigma zorgt ervoor dat personeel met toegang gebonden is aan geheimhoudingsverplichtingen of een gelijkwaardige wettelijke plicht, passende instructies inzake gegevensbescherming en beveiliging krijgt en Klantgegevens uitsluitend verwerkt voor zover daartoe bevoegd. Toegang wordt beperkt tot de operationele noodzaak, beoordeeld en ingetrokken zodra zij niet meer nodig is. Multifactorauthenticatie is vereist voor toegang tot persoonsgegevens van klanten.

Enigma voert maatregelen in en houdt deze in stand die passend zijn voor de aard, context, doeleinden en risico’s van de verwerking, waaronder:

• gecontroleerde gebruikers- en beheerderstoegang, minimale toegangsrechten en scheiding tussen klantomgevingen of klantgegevens;
• beveiligde overdracht, passende versleuteling of pseudonimisering van opgeslagen informatie en gecontroleerde omgang met inloggegevens en sleutels;
• veilige configuratie, beheer van kwetsbaarheden en beveiligingsupdates, en registratie en onderzoek van relevante toegangs- en beveiligingsgebeurtenissen;
• maatregelen voor vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht, met herstelvoorzieningen en tests die passen bij de dienst;
• incidentafhandeling, veilige teruggave en vernietiging, en regelmatige beoordeling van de doeltreffendheid van de maatregelen.

Enigma verstrekt de Klant een beschrijving van de maatregelen voor de overeengekomen dienst voordat de verwerking begint en op redelijk verzoek. Aanvullende waarborgen die in het Opdrachtdossier zijn overeengekomen, zijn bindend. Wijzigingen mogen de voor die verwerking vereiste bescherming niet wezenlijk verminderen. Deze DPA belooft geen certificering, bepaalde hostinglocatie of beschikbaarheidsniveau van een dienst.

Bijstand en incidenten

Rekening houdend met de verwerking en de beschikbare informatie helpt Enigma de Klant bij verzoeken om uitoefening van rechten van betrokkenen, beveiligingsverplichtingen, meldingen van inbreuken, gegevensbeschermingseffectbeoordelingen en vereist overleg met toezichthouders. Enigma stuurt verzoeken over Klantgegevens onverwijld door en beantwoordt deze niet zelfstandig, behalve op instructie of waar wettelijk vereist. De bijstand moet de Klant in staat stellen toepasselijke termijnen na te leven.

Enigma stelt de Klant zonder onredelijke vertraging in kennis nadat zij kennis heeft genomen van een inbreuk in verband met persoonsgegevens die Klantgegevens raakt, via de in het Opdrachtdossier aangewezen privacy- of incidentcontactpersoon van de Klant. De kennisgeving beschrijft, naarmate informatie beschikbaar komt, het incident, de betrokken gegevens en personen, de waarschijnlijke gevolgen, getroffen of voorgestelde maatregelen en een contactpersoon voor opvolging. Enigma verstrekt zo nodig informatie in fasen, bewaart relevant bewijsmateriaal, onderzoekt het incident en werkt mee aan beperking en herstel. Een nog niet afgerond onderzoek vertraagt de eerste kennisgeving niet. Enigma informeert betrokken personen of een toezichthouder niet namens de Klant zonder instructies, tenzij de wet dat vereist.

Subverwerkers

Enigma mag een andere organisatie, waaronder een andere onderneming binnen de Enigma-groep, uitsluitend na voorafgaande schriftelijke toestemming van de Klant aanstellen om Klantgegevens te verwerken. Voordat zij toestemming vraagt, verstrekt Enigma de identiteit van de organisatie, de verwerkingsfunctie, relevante locaties en waarborgen. Een organisatie is niet gemachtigd enkel omdat zij in de privacyverklaring van de website staat of diensten levert aan een andere Enigma-onderneming.

Tenzij het Opdrachtdossier uitdrukkelijk algemene schriftelijke toestemming verleent en een overeengekomen lijst vastlegt, is toestemming specifiek voor iedere subverwerker vereist. Wanneer algemene toestemming is overeengekomen, geeft Enigma ten minste 30 dagen vooraf schriftelijk kennis van toevoegingen of vervangingen en gelegenheid om op redelijke gronden van gegevensbescherming bezwaar te maken. Enigma gebruikt de voorgestelde subverwerker niet voor de betrokken Klantgegevens zolang een tijdig bezwaar onopgelost blijft. Partijen spreken een alternatief af dat aan de vereisten voldoet of beëindigen de betrokken verwerking als geen geschikt alternatief beschikbaar is.

Enigma bindt iedere toegestane subverwerker door een schriftelijke overeenkomst aan de gegevensbeschermingsverplichtingen die voor zijn werkzaamheden vereist zijn, beoordeelt de door hem geboden garanties en blijft tegenover de Klant verantwoordelijk voor zijn prestaties. Enigma houdt de lijst van toegestane subverwerkers bij, verstrekt deze op verzoek en informeert de Klant over wezenlijke tekortkomingen die Klantgegevens raken. Wanneer de Klant zelf verwerker is, gelden ook de toestemmingsvereisten van zijn verwerkingsverantwoordelijke.

Locaties en internationale doorgiften

Enigma verwerkt Klantgegevens uitsluitend op locaties die in het Opdrachtdossier zijn toegestaan, met inbegrip van locaties voor toegang op afstand en van subverwerkers. Een locatie die voor websiteaanvragen wordt genoemd, is niet automatisch toegestaan voor gegevens die bij dienstverlening aan klanten worden verwerkt.

Vóór een doorgifte waarvoor beperkingen gelden, moeten partijen ervoor zorgen dat het toepasselijke rechtmatige mechanisme de exporteur, importeur, gegevens, het doel en verdere verwerking dekt. Wanneer contractuele doorgiftebepalingen nodig zijn, komen partijen de passende officiële bepalingen met ingevulde bijlagen overeen en treffen zij de vereiste aanvullende maatregelen voordat de doorgifte begint. Toepasselijke doorgiftebeoordelingen en doorlopende waarborgen moeten in stand worden gehouden. Enigma informeert de Klant als zij niet meer aan die vereisten kan voldoen en schort de betrokken doorgifte op totdat een rechtmatige oplossing beschikbaar is.

Deze DPA is zelf geen instrument voor internationale doorgifte en stelt niet dat standaarddoorgiftebepalingen van de EU, het Verenigd Koninkrijk, het DIFC of andere rechtsgebieden zijn gesloten. Dwingende doorgiftebepalingen hebben voorrang op strijdige voorwaarden. Enigma verwijst juridisch bindende vorderingen tot verstrekking van Klantgegevens naar de Klant waar dat is toegestaan, beoordeelt hun geldigheid, betwist ze waar dat juridisch gerechtvaardigd is en verstrekt uitsluitend wat zij wettelijk verplicht is te verstrekken.

Informatie en audits

Enigma stelt de informatie beschikbaar die nodig is om naleving aan te tonen en staat audits en inspecties door de Klant of zijn onafhankelijke auditor toe en werkt daaraan mee. Redelijke afspraken over vertrouwelijkheid, kennisgeving en beveiliging mogen andere klanten en systemen beschermen, maar mogen een doeltreffende audit, een dringend onderzoek of toegang door een toezichthouder niet verhinderen. Bestaande onafhankelijke assurancerapporten kunnen een beoordeling ondersteunen, maar vervangen geen wettelijk vereiste auditrechten.

Enigma informeert de Klant onverwijld als zij niet meer kan voldoen aan deze DPA of de toepasselijke vereisten voor verwerkers. De Klant mag redelijke stappen nemen om ongeoorloofd gebruik te controleren, te beëindigen en te verhelpen en mag de betrokken verwerking opschorten. Wezenlijke of aanhoudende niet-naleving die niet kan worden verholpen, geeft de Klant het recht de betrokken verwerking te beëindigen, zonder dwingende rechtsmiddelen te beperken.

Teruggave en verwijdering

Naar keuze van de Klant geeft Enigma Klantgegevens zonder onredelijke vertraging terug of verwijdert zij deze wanneer de diensten eindigen of op rechtmatige instructie, en verwijdert zij resterende kopieën, tenzij bewaring vereist is op grond van het recht dat voor dat doel onder het toepasselijke gegevensbeschermingsrecht wordt erkend, waaronder Unierecht of lidstatelijk recht voor verwerking onder de AVG en het recht van het Verenigd Koninkrijk voor verwerking onder de UK GDPR. Enigma helpt bij veilige teruggave in een redelijk bruikbaar formaat en bevestigt de voltooiing op verzoek. De verplichting geldt ook voor toegestane subverwerkers en back-upkopieën; de algemene bewaartermijnen van de website gaan niet boven de instructies van de Klant of het toepasselijke recht.

Wanneer wettelijk toegestane technische voorzieningen een beperkte verwijderingscyclus voor back-ups vereisen, moeten die cyclus en de bijbehorende waarborgen schriftelijk worden overeengekomen. Resterende kopieën moeten buiten het gewone gebruik blijven, worden beschermd en volgens die cyclus worden verwijderd; verwijderingen moeten opnieuw worden toegepast voordat herstelde gegevens weer in gebruik worden genomen. Een back-upcyclus verlengt geen wettelijke verwijderingstermijn. Wanneer de wet bewaring vereist, vermeldt Enigma het vereiste waar dat is toegestaan, bewaart zij alleen de daarvoor noodzakelijke informatie en blijft zij deze beschermen tot verwijdering. Deze DPA blijft van toepassing zolang Enigma Klantgegevens onder zich heeft.

Toepasselijk recht en rangorde

Het toepasselijke gegevensbeschermingsrecht omvat de AVG van de EU en het Estse recht, evenals andere dwingende privacy- of sectorregels voor zover zij op de verwerking van toepassing zijn. Deze DPA doet geen afbreuk aan bescherming op grond van het recht van het Verenigd Koninkrijk, het DIFC, Amerikaanse staten of ander toepasselijk recht. Begrippen zoals verwerkingsverantwoordelijke, verwerker, persoonsgegevens en inbreuk hebben de betekenis die de betreffende wetgeving daaraan geeft.

Ests recht beheerst deze DPA en de bevoegde Estse rechtbanken zijn bevoegd, behoudens dwingend recht en het afzonderlijke toepasselijke recht en de bevoegde rechter van eventuele vereiste doorgiftebepalingen. Bij tegenstrijdigheid over Klantgegevens hebben dwingend recht en toepasselijke doorgiftebepalingen voorrang, vervolgens deze DPA boven algemene dienstverleningsvoorwaarden. Een afzonderlijk overeengekomen wijziging van de verwerkingsafspraken kan specifiekere bescherming bieden zonder dwingende vereisten te verminderen. Contractvoorwaarden kunnen geen wettelijke rechten van een persoon of toezichthouder uitsluiten, noch aansprakelijkheden die niet rechtmatig kunnen worden beperkt.

Contact en versies

Privacy en coördinatie bij incidenten: privacy@getenigmalabs.com. Functionaris voor gegevensbescherming: dpo@enigmalabs.ee. Ondersteuning bij diensten: support@getenigmalabs.com.

De versie die in de dienstverleningsovereenkomst is opgenomen, geldt voor die opdracht. Een latere websitewijziging wijzigt een bestaande DPA niet automatisch. Wijzigingen vereisen schriftelijke overeenstemming of een ander geldig wijzigingsmechanisme in de dienstverleningsovereenkomst dat de dwingende bescherming behoudt. Bestaande ondertekende overeenkomsten en historische verantwoordelijkheden worden niet door de domeinmigratie overgedragen.