Verwerkers­overeenkomst.

Jij bent verwerkings­verantwoordelijke in de zin van artikel 4 lid 7 AVG voor de klantgegevens die via jouw winkels binnenkomen. Insyte is verwerker voor diezelfde gegevens, in de zin van artikel 4 lid 8 AVG. Voor jouw eigen accountgegevens is Insyte zelf verantwoordelijke; die situatie valt buiten de DPA en wordt geregeld in de privacyverklaring.

Bij strijd tussen de hoofdovereenkomst en deze DPA geldt deze DPA voor zover het de verwerking van persoonsgegevens betreft.

AVG

Verordening (EU) 2016/679, de Algemene Verordening Gegevensbescherming.

EER

De Europese Economische Ruimte: de EU-lidstaten plus IJsland, Liechtenstein en Noorwegen.

Klantgegevens

Persoonsgegevens van eindklanten van de operator die binnen de dienst worden verwerkt, zoals beschreven in bijlage B.

Subverwerker

Een door Insyte ingeschakelde derde die in opdracht van Insyte Klantgegevens verwerkt, zoals genoemd in bijlage A.

Datalek

Een inbreuk in verband met persoonsgegevens in de zin van artikel 4 lid 12 AVG.

SCC

Standard Contractual Clauses uit Uitvoeringsbesluit (EU) 2021/914 van de Europese Commissie.

Het onderwerp van de verwerking is het leveren van de dienst Insyte aan de operator: order- en ticketbeheer, klant­ communicatie, leveranciersfollow-up, automatiseringen en chargeback-afhandeling. De aard van de verwerking is verzameling, opslag, structurering, raadpleging, gebruik, doorgifte en verwijdering.

Deze DPA blijft van kracht zolang de hoofdovereenkomst loopt en zolang Insyte Klantgegevens onder zich heeft, met inbegrip van de retourperiode in artikel 12.

Insyte verwerkt Klantgegevens uitsluitend op gedocumenteerde instructie van de operator. De hoofdovereenkomst, deze DPA, de Documentatie en de configuratie die de operator binnen Insyte maakt (winkelkoppelingen, automatiseringsregels, ticketrouting) gelden als gedocumenteerde instructies.

Indien Insyte op grond van Unierecht of het recht van een lidstaat verplicht is buiten de instructie te verwerken, stelt Insyte de operator daarvan vooraf in kennis, tenzij die wetgeving dat verbiedt op grond van zwaarwegend openbaar belang.

1. 01Vertrouwelijkheid afdwingen bij iedere werknemer of contractant die toegang heeft tot Klantgegevens.
2. 02Passende technische en organisatorische maatregelen treffen, zoals beschreven in artikel 8 en op de beveiligingspagina.
3. 03De operator helpen bij het voldoen aan de rechten van betrokkenen, zoals beschreven in artikel 10.
4. 04De operator helpen bij beveiligingsincidenten, melding van datalekken en, waar van toepassing, de bijbehorende effectbeoordeling.
5. 05Op verzoek bewijs leveren van naleving, conform artikel 11.
6. 06Insyte stelt de operator direct in kennis als een instructie naar het oordeel van Insyte in strijd is met de AVG of andere toepasselijke wetgeving.

1. 01De actuele lijst van subverwerkers staat in bijlage A, en wordt onderhouden op insyte.co/dpa.
2. 02Insyte sluit met iedere subverwerker een schriftelijke overeenkomst met verplichtingen die ten minste gelijk zijn aan deze DPA.
3. 03Wijzigingen of toevoegingen aan de lijst van subverwerkers worden ten minste 30 dagen vooraf aangekondigd per e-mail aan de beheerder en op de DPA-pagina.
4. 04De operator kan binnen 30 dagen na aankondiging op redelijke gronden bezwaar maken. Bij gegrond bezwaar zal Insyte zoeken naar een alternatief; bij gebrek aan alternatief mag de operator de hoofdovereenkomst opzeggen zonder vergoeding voor de overgebleven termijn.

Verwerking vindt in beginsel plaats binnen de EER. Voor subverwerkers die buiten de EER verwerken, gebruikt Insyte de SCC van de Europese Commissie als doorgiftegrond, module 3 (verwerker tot subverwerker) of module 2 (verwerkings­ verantwoordelijke tot verwerker) voor zover van toepassing.

Aanvullende technische en organisatorische maatregelen (versleuteling tijdens transport en rust, contractueel verbod op secundair gebruik, minimalisatie van metadata) gelden voor iedere doorgifte. Per subverwerker is een transfer impact assessment beschikbaar op verzoek.

1. 01Insyte meldt een Datalek zonder onredelijke vertraging en uiterlijk binnen 48 uur na vaststelling aan de beheerder van het getroffen account.
2. 02De melding bevat de aard van het lek, de getroffen gegevenscategorieën, het geschatte aantal betrokkenen, de waarschijnlijke gevolgen, de getroffen maatregelen en het contactpunt.
3. 03De operator is verantwoordelijk voor melding aan de Autoriteit Persoonsgegevens en eventueel aan betrokkenen. Insyte levert de feiten en helpt bij de inhoud van de melding.
4. 04Insyte houdt een interne registratie van alle Datalekken, ongeacht of zij meldplichtig zijn.

Insyte ondersteunt de operator in de uitvoering van verzoeken van betrokkenen onder de artikelen 12 tot en met 23 AVG. Concreet biedt Insyte exports per klant (in CSV en JSON), verwijdering per klant en, op redelijk verzoek, ondersteuning bij bezwaar of beperking.

Verzoeken die rechtstreeks bij Insyte binnenkomen en niet over de eigen relatie met de operator gaan, worden zonder onredelijke vertraging doorgezet naar de betreffende operator. Insyte beantwoordt geen verzoeken van betrokkenen namens de operator, tenzij dit schriftelijk is afgesproken.

Insyte stelt de operator jaarlijks een actuele beveiligings­ rapportage ter beschikking, inclusief de scope en samenvatting van de meest recente penetratietest. Op redelijk verzoek verstrekt Insyte aanvullende documentatie ter onderbouwing van de naleving van deze DPA.

De operator mag, op eigen kosten en ten hoogste eenmaal per jaar, een audit laten uitvoeren door een onafhankelijke en aan beide partijen aanvaardbare derde. De audit wordt ten minste 30 dagen vooraf aangekondigd, vindt plaats tijdens kantooruren en verstoort niet de bedrijfsvoering van Insyte. Bij vaststelling van een tekortkoming pakt Insyte deze direct op.

1. 01Na beëindiging van de hoofdovereenkomst stelt Insyte op verzoek van de operator alle Klantgegevens beschikbaar in CSV of JSON, voor een periode van maximaal 30 dagen na beëindiging.
2. 02Na afloop van die periode verwijdert Insyte de Klantgegevens binnen 60 dagen uit alle actieve systemen en binnen 180 dagen uit de back-ups, behoudens wettelijke bewaarplichten.
3. 03Op verzoek verstrekt Insyte een schriftelijke bevestiging van de verwijdering.

Aansprakelijkheid voor schade die voortvloeit uit deze DPA wordt beheerst door de aansprakelijkheidsbepalingen in de voorwaarden, voor zover van toepassing. De aansprakelijkheidsbeperkingen gelden niet bij opzet of bewuste roekeloosheid van Insyte of haar leidinggevenden.

Bijzondere categorieën van persoonsgegevens in de zin van artikel 9 AVG worden niet bewust verwerkt en horen niet in Insyte thuis. Operators wordt aangeraden geen gevoelige gegevens (zoals gezondheidsgegevens of strafrechtelijke gegevens) op te slaan in vrije tekstvelden.