Gebruiksvoorwaarden AI Trust Audit

Verwerkersovereenkomst tussen de Trusted Shops SE en de gebruiker

Voor zover de gebruiker bij de uitvoering van de AI Trust Audits op de te controleren website persoonsgegevens verwerkt met behulp van de door Trusted Shops SE ter beschikking gestelde tool, treedt Trusted Shops SE op als verwerker. De volgende bepalingen met betrekking tot de gegevensverwerking in opdracht zijn van toepassing. Standaard contractbepalingen Sectie 1 Clausule 1 – Doel en toepassingsgebied a) Met deze standaard contractbepalingen (hierna 'clausules') wordt de naleving van artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) gewaarborgd. b) De in bijlage I genoemde verwerkingsverantwoordelijken en verwerkers hebben ingestemd met deze clausules om de naleving van artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 en/of artikel 29, leden 3 en 4, van Verordening (EU) 2018/1725 te waarborgen. c) Deze clausules zijn van toepassing op de verwerking van persoonsgegevens overeenkomstig bijlage II. d) De bijlagen I tot en met IV maken deel uit van de clausules. e) Deze clausules gelden onverminderd de verplichtingen waaraan de verwerkingsverantwoordelijke krachtens Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 is onderworpen. f) Deze clausules alleen waarborgen niet dat de verplichtingen in verband met internationale doorgiften van gegevens overeenkomstig hoofdstuk V van Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 worden nagekomen. Clausule 2 – Onveranderlijkheid van de clausules a) De partijen verbinden zich ertoe de clausules niet te wijzigen, behalve ter aanvulling of bijwerking van de in de bijlagen verstrekte informatie. b) Dit belet de partijen niet de in deze clausules vastgestelde standaard contractbepalingen in een meer omvattende overeenkomst op te nemen en verdere clausules of aanvullende waarborgen toe te voegen, mits deze noch direct noch indirect in strijd zijn met de clausules of de grondrechten of fundamentele vrijheden van de betrokkenen beperken. Clausule 3 – Interpretatie a) Waar in deze clausules termen worden gebruikt die zijn gedefinieerd in Verordening (EU) 2016/679 of Verordening (EU) 2018/1725, hebben deze termen dezelfde betekenis als in de desbetreffende verordening. b) Deze clausules moeten worden geïnterpreteerd in het licht van de bepalingen van Verordening (EU) 2016/679 of Verordening (EU) 2018/1725. c) Deze clausules mogen niet op een wijze worden geïnterpreteerd die strijdig is met de rechten en plichten die zijn vastgelegd in Verordening (EU) 2016/679 of Verordening (EU) 2018/1725, of die de grondrechten of fundamentele vrijheden van de betrokkenen beperkt. Clausule 4 – Voorrang In geval van tegenstrijdigheid tussen deze clausules en de bepalingen van daarmee verband houdende overeenkomsten die tussen de partijen bestaan of later worden aangegaan of gesloten, hebben deze clausules voorrang. Clausule 5 – Koppelingsclausule a) Een entiteit die geen partij is bij deze clausules, kan met instemming van alle partijen te allen tijde als verwerkingsverantwoordelijke of als verwerker tot deze clausules toetreden door de bijlagen in te vullen en bijlage I te ondertekenen. b) Na het invullen en ondertekenen van de onder letter a genoemde bijlagen wordt de toetredende entiteit als partij bij deze clausules behandeld en heeft zij de rechten en plichten van een verwerkingsverantwoordelijke of een verwerker overeenkomstig haar aanduiding in bijlage I. c) Voor de toetredende entiteit gelden voor de periode vóór haar toetreding als partij geen uit deze clausules voortvloeiende rechten of plichten. Sectie 2 – Verplichtingen van de partijen Clausule 6 – Beschrijving van de verwerking De details van de verwerkingsactiviteiten, in het bijzonder de categorieën van persoonsgegevens en de doeleinden waarvoor de persoonsgegevens in opdracht van de verwerkingsverantwoordelijke worden verwerkt, zijn opgenomen in bijlage II. Clausule 7 – Verplichtingen van de partijen 7.1 Instructies a) De verwerker verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de verwerkingsverantwoordelijke, tenzij hij krachtens het Unierecht of het recht van een lidstaat waaraan hij is onderworpen, tot verwerking is verplicht. In dat geval deelt de verwerker de verwerkingsverantwoordelijke deze wettelijke vereisten vóór de verwerking mee, tenzij de desbetreffende wetgeving dit om gewichtige redenen van algemeen belang verbiedt. De verwerkingsverantwoordelijke kan gedurende de gehele duur van de verwerking van persoonsgegevens verdere instructies geven. Deze instructies moeten altijd worden gedocumenteerd. b) De verwerker informeert de verwerkingsverantwoordelijke onverwijld indien hij van oordeel is dat door de verwerkingsverantwoordelijke gegeven instructies in strijd zijn met Verordening (EU) 2016/679, Verordening (EU) 2018/1725 of geldende gegevensbeschermingsbepalingen van de Unie of de lidstaten. 7.2 Doelbinding De verwerker verwerkt de persoonsgegevens uitsluitend voor het/de specifieke doel(en) zoals vermeld in bijlage II, tenzij hij verdere instructies van de verwerkingsverantwoordelijke ontvangt. 7.3 Duur van de verwerking van persoonsgegevens De gegevens worden door de verwerker uitsluitend verwerkt voor de in bijlage II aangegeven duur. 7.4 Beveiliging van de verwerking a) De verwerker treft ten minste de in bijlage III vermelde technische en organisatorische maatregelen om de beveiliging van de persoonsgegevens te waarborgen. Dit omvat de bescherming van de gegevens tegen een inbreuk op de beveiliging die, al dan niet per ongeluk of onrechtmatig, leidt tot vernietiging, verlies, wijziging of ongeoorloofde openbaarmaking van of ongeoorloofde toegang tot de gegevens (hierna 'inbreuk in verband met persoonsgegevens'). Bij de beoordeling van het passende beveiligingsniveau houden de partijen naar behoren rekening met de stand van de techniek, de uitvoeringskosten, de aard, de omvang, de context en de doeleinden van de verwerking, alsmede met de risico's voor de betrokkenen. b) De verwerker verleent zijn personeel uitsluitend toegang tot de persoonsgegevens die het voorwerp van de verwerking zijn, voor zover dit strikt noodzakelijk is voor de uitvoering, het beheer en de monitoring van de overeenkomst. De verwerker waarborgt dat de personen die bevoegd zijn om de ontvangen persoonsgegevens te verwerken, zich tot geheimhouding hebben verbonden of aan een passende wettelijke geheimhoudingsplicht zijn onderworpen. 7.5 Gevoelige gegevens Indien de verwerking betrekking heeft op persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, of genetische gegevens of biometrische gegevens met het oog op de unieke identificatie van een natuurlijke persoon, gegevens over gezondheid, iemands seksueel gedrag of seksuele gerichtheid, of gegevens over strafrechtelijke veroordelingen en strafbare feiten (hierna 'gevoelige gegevens'), past de verwerker speciale beperkingen en/of aanvullende waarborgen toe. 7.6 Documentatie en naleving van de clausules a) De partijen moeten de naleving van deze clausules kunnen aantonen. b) De verwerker behandelt verzoeken van de verwerkingsverantwoordelijke met betrekking tot de verwerking van gegevens overeenkomstig deze clausules onmiddellijk en op passende wijze. c) De verwerker stelt de verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de naleving van de in deze clausules vastgelegde en rechtstreeks uit Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 voortvloeiende verplichtingen aan te tonen. Op verzoek van de verwerkingsverantwoordelijke staat de verwerker eveneens inspecties van de onder deze clausules vallende verwerkingsactiviteiten toe met redelijke tussenpozen of bij aanwijzingen van niet-naleving, en draagt hij bij aan dergelijke inspecties. Bij de beslissing over een toetsing of inspectie kan de verwerkingsverantwoordelijke rekening houden met relevante certificeringen van de verwerker. d) De verwerkingsverantwoordelijke kan de inspectie zelf uitvoeren of een onafhankelijke auditor inschakelen. De inspecties kunnen ook inspecties in de gebouwen of fysieke faciliteiten van de verwerker omvatten en worden in voorkomend geval met een redelijke voorafgaande kennisgeving uitgevoerd. e) De partijen stellen de in deze clausule genoemde informatie, met inbegrip van de resultaten van inspecties, op verzoek ter beschikking van de bevoegde toezichthoudende autoriteit(en). 7.7 Inschakeling van subverwerkers a) De verwerker heeft de algemene toestemming van de verwerkingsverantwoordelijke voor het inschakelen van subverwerkers die op een overeengekomen lijst staan. De verwerker informeert de verwerkingsverantwoordelijke ten minste 1 maand van tevoren uitdrukkelijk schriftelijk over alle beoogde wijzigingen van deze lijst door toevoeging of vervanging van subverwerkers en geeft de verwerkingsverantwoordelijke daarmee voldoende tijd om bezwaar te maken tegen deze wijzigingen voordat de betreffende subverwerker(s) wordt/worden ingeschakeld. De verwerker verstrekt de verwerkingsverantwoordelijke de nodige informatie om zijn recht van bezwaar uit te oefenen. b) Wanneer de verwerker een subverwerker inschakelt voor het uitvoeren van specifieke verwerkingsactiviteiten (namens de verwerkingsverantwoordelijke), moet dit gebeuren via een overeenkomst die de subverwerker in wezen dezelfde gegevensbeschermingsverplichtingen oplegt als die welke voor de verwerker gelden op grond van deze clausules. De verwerker zorgt ervoor dat de subverwerker de verplichtingen nakomt waaraan de verwerker is onderworpen overeenkomstig deze clausules en overeenkomstig Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725. c) De verwerker stelt op verzoek van de verwerkingsverantwoordelijke een kopie van een dergelijke subverwerkersovereenkomst en eventuele latere wijzigingen ter beschikking. Voor zover dit nodig is ter bescherming van bedrijfsgeheimen of andere vertrouwelijke informatie, met inbegrip van persoonsgegevens, kan de verwerker de tekst van de overeenkomst onleesbaar maken alvorens een kopie te verstrekken. d) De verwerker is volledig aansprakelijk jegens de verwerkingsverantwoordelijke voor het nakomen door de subverwerker van zijn verplichtingen uit hoofde van de met de verwerker gesloten overeenkomst. De verwerker stelt de verwerkingsverantwoordelijke ervan in kennis wanneer de subverwerker zijn contractuele verplichtingen niet nakomt. e) De verwerker komt met de subverwerker een derdenbeding overeen, waarbij de verwerkingsverantwoordelijke – in het geval dat de verwerker feitelijk of juridisch niet meer bestaat of insolvent is – het recht heeft om de subverwerkersovereenkomst te beëindigen en de subverwerker te instrueren de persoonsgegevens te verwijderen of terug te geven. 7.8 Internationale doorgiften van gegevens a) Elke doorgifte van gegevens door de verwerker aan een derde land of een internationale organisatie geschiedt uitsluitend op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke of om te voldoen aan een specifieke bepaling van het Unierecht of het recht van een lidstaat waaraan de verwerker is onderworpen, en moet in overeenstemming zijn met hoofdstuk V van Verordening (EU) 2016/679 of Verordening (EU) 2018/1725. b) De verwerkingsverantwoordelijke stemt ermee in dat, in gevallen waarin de verwerker een subverwerker inschakelt overeenkomstig clausule 7.7 voor de uitvoering van specifieke verwerkingsactiviteiten (namens de verwerkingsverantwoordelijke) en deze verwerkingsactiviteiten een doorgifte van persoonsgegevens in de zin van hoofdstuk V van Verordening (EU) 2016/679 met zich meebrengen, de verwerker en de subverwerker de naleving van hoofdstuk V van Verordening (EU) 2016/679 kunnen waarborgen door gebruik te maken van standaard contractbepalingen die door de Commissie zijn vastgesteld overeenkomstig artikel 46, lid 2, van Verordening (EU) 2016/679, mits aan de voorwaarden voor de toepassing van deze standaard contractbepalingen is voldaan. Clausule 8 – Ondersteuning van de verwerkingsverantwoordelijke a) De verwerker informeert de verwerkingsverantwoordelijke onverwijld over elk verzoek dat hij van de betrokkene heeft ontvangen. Hij beantwoordt het verzoek niet zelf, tenzij hij daartoe door de verwerkingsverantwoordelijke is gemachtigd. b) Rekening houdend met de aard van de verwerking, ondersteunt de verwerker de verwerkingsverantwoordelijke bij het vervullen van diens plicht om verzoeken van betrokkenen tot uitoefening van hun rechten te beantwoorden. Bij het vervullen van zijn verplichtingen overeenkomstig de letters a en b volgt de verwerker de instructies van de verwerkingsverantwoordelijke. c) Afgezien van de plicht van de verwerker om de verwerkingsverantwoordelijke te ondersteunen overeenkomstig clausule 8, letter b, ondersteunt de verwerker, rekening houdend met de aard van de gegevensverwerking en de hem ter beschikking staande informatie, de verwerkingsverantwoordelijke bovendien bij de naleving van de volgende verplichtingen: 1) de plicht om een beoordeling uit te voeren van de gevolgen van de beoogde verwerkingsactiviteiten voor de bescherming van persoonsgegevens (hierna 'gegevensbeschermingseffectbeoordeling'), wanneer een vorm van verwerking waarschijnlijk een hoog risico voor de rechten en vrijheden van natuurlijke personen inhoudt; 2) de plicht om de bevoegde toezichthoudende autoriteit(en) te raadplegen vóór de verwerking, wanneer uit een gegevensbeschermingseffectbeoordeling blijkt dat de verwerking een hoog risico zou inhouden, tenzij de verwerkingsverantwoordelijke maatregelen treft om het risico te beperken; 3) de plicht om te waarborgen dat de persoonsgegevens feitelijk juist en actueel zijn, door de verwerker de verwerkingsverantwoordelijke onverwijld op de hoogte te stellen wanneer hij vaststelt dat de door hem verwerkte persoonsgegevens onjuist of verouderd zijn; 4) verplichtingen overeenkomstig artikel 32 van Verordening (EU) 2016/679. d) De partijen leggen in bijlage III de passende technische en organisatorische maatregelen vast ter ondersteuning van de verwerkingsverantwoordelijke door de verwerker bij de toepassing van deze clausule, alsmede het toepassingsgebied en de omvang van de vereiste ondersteuning. Clausule 9 – Melding van inbreuken in verband met persoonsgegevens In geval van een inbreuk in verband met persoonsgegevens, werkt de verwerker samen met de verwerkingsverantwoordelijke en ondersteunt hem dienovereenkomstig, zodat de verwerkingsverantwoordelijke kan voldoen aan zijn verplichtingen uit hoofde van de artikelen 33 en 34 van Verordening (EU) 2016/679 of, in voorkomend geval, de artikelen 34 en 35 van Verordening (EU) 2018/1725, waarbij de verwerker rekening houdt met de aard van de verwerking en de hem ter beschikking staande informatie. 9.1 Inbreuk in verband met de door de verwerkingsverantwoordelijke verwerkte gegevens In geval van een inbreuk in verband met persoonsgegevens in verband met de door de verwerkingsverantwoordelijke verwerkte gegevens, ondersteunt de verwerker de verwerkingsverantwoordelijke als volgt: a) bij de onverwijlde melding van de inbreuk in verband met persoonsgegevens aan de bevoegde toezichthoudende autoriteit(en), nadat de verwerkingsverantwoordelijke van de inbreuk kennis heeft gekregen, indien relevant (tenzij het onwaarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de persoonlijke rechten en vrijheden van natuurlijke personen); b) bij het verkrijgen van de volgende informatie, die overeenkomstig artikel 33, lid 3, van Verordening (EU) 2016/679 in de melding van de verwerkingsverantwoordelijke moet worden vermeld, waarbij deze informatie ten minste het volgende moet omvatten: 1) de aard van de persoonsgegevens, voor zover mogelijk met vermelding van de categorieën en het geschatte aantal betrokkenen, alsmede de categorieën en het geschatte aantal getroffen persoonsgegevensrecords; 2) de waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens; 3) de door de verwerkingsverantwoordelijke genomen of voorgestelde maatregelen om de inbreuk in verband met persoonsgegevens aan te pakken en, in voorkomend geval, maatregelen om de mogelijke nadelige gevolgen ervan te beperken. Indien en voor zover niet al deze informatie tegelijkertijd kan worden verstrekt, bevat de oorspronkelijke melding de op dat moment beschikbare informatie, en wordt verdere informatie, zodra deze beschikbaar is, vervolgens zonder onredelijke vertraging verstrekt; c) bij de naleving van de verplichting overeenkomstig artikel 34 van Verordening (EU) 2016/679 om de betrokkene onverwijld op de hoogte te stellen van de inbreuk in verband met persoonsgegevens, wanneer deze inbreuk waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. 9.2 Inbreuk in verband met de door de verwerker verwerkte gegevens In geval van een inbreuk in verband met persoonsgegevens in verband met de door de verwerker verwerkte gegevens, meldt de verwerker deze onverwijld aan de verwerkingsverantwoordelijke nadat hij van de inbreuk kennis heeft gekregen. Deze melding moet ten minste de volgende informatie bevatten: a) een beschrijving van de aard van de inbreuk (indien mogelijk met vermelding van de categorieën en het geschatte aantal betrokkenen en het geschatte aantal getroffen gegevensrecords); b) contactgegevens van een contactpunt waar meer informatie over de inbreuk in verband met persoonsgegevens kan worden verkregen; c) de vermoedelijke gevolgen en de genomen of voorgestelde maatregelen om de inbreuk in verband met persoonsgegevens aan te pakken, met inbegrip van maatregelen om de mogelijke nadelige gevolgen ervan te beperken. Indien en voor zover niet al deze informatie tegelijkertijd kan worden verstrekt, bevat de oorspronkelijke melding de op dat moment beschikbare informatie, en wordt verdere informatie, zodra deze beschikbaar is, vervolgens zonder onredelijke vertraging verstrekt. De partijen leggen in bijlage III alle overige gegevens vast die de verwerker ter beschikking moet stellen om de verwerkingsverantwoordelijke te helpen bij het nakomen van diens verplichtingen uit hoofde van de artikelen 33 en 34 van Verordening (EU) 2016/679. Clausule 10 – Inbreuken op de clausules en beëindiging van de overeenkomst a) Indien de verwerker zijn verplichtingen uit hoofde van deze clausules niet nakomt, kan de verwerkingsverantwoordelijke – onverminderd de bepalingen van Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 – de verwerker instrueren de verwerking van persoonsgegevens op te schorten totdat hij deze clausules naleeft of de overeenkomst is beëindigd. De verwerker stelt de verwerkingsverantwoordelijke onverwijld op de hoogte indien hij, om welke reden dan ook, niet in staat is deze clausules na te leven. b) De verwerkingsverantwoordelijke heeft het recht de overeenkomst te beëindigen voor zover deze betrekking heeft op de verwerking van persoonsgegevens overeenkomstig deze clausules, indien 1) de verwerkingsverantwoordelijke de verwerking van persoonsgegevens door de verwerker overeenkomstig letter a heeft opgeschort en de naleving van deze clausules niet binnen een redelijke termijn, maar in ieder geval binnen één maand na de opschorting, is hersteld; 2) de verwerker in aanzienlijke mate of voortdurend inbreuk maakt op deze clausules of zijn verplichtingen uit hoofde van Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 niet nakomt; 3) de verwerker een bindende beslissing van een bevoegde rechtbank of de bevoegde toezichthoudende autoriteit(en) die zijn verplichtingen uit hoofde van deze clausules, Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 tot voorwerp heeft, niet naleeft. c) De verwerker heeft het recht de overeenkomst te beëindigen voor zover deze betrekking heeft op de verwerking van persoonsgegevens overeenkomstig deze clausules, indien de verwerkingsverantwoordelijke aandringt op de uitvoering van zijn instructies nadat hij door de verwerker ervan in kennis is gesteld dat zijn instructies in strijd zijn met geldende wettelijke vereisten overeenkomstig clausule 7.1, letter b. d) Na beëindiging van de overeenkomst wist de verwerker, naar keuze van de verwerkingsverantwoordelijke, alle in opdracht van de verwerkingsverantwoordelijke verwerkte persoonsgegevens en certificeert hij de verwerkingsverantwoordelijke dat dit is gebeurd, of hij geeft alle persoonsgegevens terug aan de verwerkingsverantwoordelijke en wist bestaande kopieën, tenzij er volgens het Unierecht of het recht van de lidstaten een verplichting bestaat tot opslag van de persoonsgegevens. Totdat de gegevens zijn gewist of teruggegeven, waarborgt de verwerker de naleving van deze clausules. Bijlage I – Lijst van de partijen A. Verwerkingsverantwoordelijke(n) Verwerkingsverantwoordelijke is de gebruiker van de dienst conform de gebruiksvoorwaarden. B. Verwerker Naam: Trusted Shops SE Adres: Subbelrather Str. 15C, 50823 Köln E-mail: privacy@trustedshops.com Bijlage II – Beschrijving van de verwerking A. Categorieën van betrokkenen Personen die op de website zijn gepubliceerd (directeuren, FG, redactieverantwoordelijken); medewerkers van de verwerkingsverantwoordelijke. B. Categorieën van persoonsgegevens die worden verwerkt Naam; adres; e-mailadres; telefoonnummer. C. Aard van de verwerking Wanneer een website-URL voor de AI Trust Audit wordt opgegeven, haalt de verwerker de openbaar toegankelijke pagina's van het gecontroleerde domein geautomatiseerd op en analyseert de inhoud ervan. Daarbij kunnen ook persoonsgegevens worden verwerkt die de websitebeheerder daar zelf heeft gepubliceerd. D. Doeleinden van de verwerking Opstellen en weergeven van het controleresultaat, uitvoeren van de opgedragen websitecontrole. E. Duur van de verwerking Komt overeen met de gebruiksduur van de dienst. Bijlage III – Technische en organisatorische maatregelen De technische en organisatorische maatregelen van Trusted Shops SE zijn van toepassing. Trusted Shops publiceert steeds de actuele TOM onder https://help.etrusted.com/hc/de/articles/360021040178. Bijlage IV – Subverwerkers Lovable Labs Incorporate — SaaS-aanbieder als technisch platform voor het uitvoeren van de scan — Verwerkingsduur: Komt overeen met gebruiksduur van de service.