Verwerkersovereenkomst

Deze verwerkersovereenkomst maakt onlosmakelijk deel uit van de overeenkomst voor het gebruik van de Creator Business Software. Zij treedt automatisch in werking zodra het Account wordt geactiveerd, zonder dat een aparte ondertekening nodig is (artikel 28 van de algemene voorwaarden van Leading Creators).

Partijen

1. De Klant die gebruikmaakt van de Creator Business Software, hierna: "Verwerkingsverantwoordelijke";

2. Leading Creators, eenmanszaak, gevestigd aan J.M. Keynesplein 4, 1066 EP Amsterdam, ingeschreven bij de Kamer van Koophandel onder nummer 84723122, hierna: "Verwerker".

Overwegingen

A. Verwerker stelt aan Verwerkingsverantwoordelijke de Creator Business Software beschikbaar, een whitelabelversie van een softwareplatform van een Technologiepartner.

B. Verwerkingsverantwoordelijke verwerkt via de Software persoonsgegevens van eigen leads, klanten, medewerkers en andere betrokkenen. Verwerker verwerkt deze persoonsgegevens daarbij in opdracht van Verwerkingsverantwoordelijke.

C. Partijen leggen in deze verwerkersovereenkomst hun afspraken vast, zoals vereist op grond van artikel 28 van de Algemene Verordening Gegevensbescherming (AVG).

Artikel 1.Definities

1.1 Begrippen met een hoofdletter hebben de betekenis die de AVG en de algemene voorwaarden van Leading Creators daaraan geven. Daarnaast gelden de volgende definities:

• Persoonsgegevens: de persoonsgegevens die Verwerker in het kader van de Overeenkomst namens Verwerkingsverantwoordelijke verwerkt, zoals nader omschreven in Bijlage 1.
• Subverwerker: een derde die Verwerker inschakelt voor de verwerking van Persoonsgegevens, waaronder de Technologiepartner en de door haar ingeschakelde verwerkers.
• Datalek: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of ongeoorloofde toegang tot Persoonsgegevens.
• Overeenkomst: de overeenkomst tussen partijen voor het gebruik van de Software, inclusief de algemene voorwaarden van Leading Creators.

Artikel 2.Onderwerp, aard en doel van de verwerking

2.1 Verwerker verwerkt de Persoonsgegevens uitsluitend om de Software te kunnen leveren, zoals omschreven in de Overeenkomst en Bijlage 1. Dat omvat onder meer:

• opslag en hosting van gegevens;
• het mogelijk maken van communicatie, automatiseringen, agenda's, betalingen, websites, funnels en communities;
• AI-functionaliteiten;
• technische ondersteuning.

2.2 Verwerkingsverantwoordelijke bepaalt het doel van en de middelen voor de verwerking. Verwerker heeft geen zeggenschap over het doel en de middelen.

2.3 Verwerker gebruikt de Persoonsgegevens niet voor eigen doeleinden en verkoopt deze niet aan derden.

Artikel 3.Instructies

3.1 Verwerker verwerkt de Persoonsgegevens uitsluitend op basis van de schriftelijke instructies van Verwerkingsverantwoordelijke. Ook bij doorgifte naar een derde land of internationale organisatie handelt Verwerker uitsluitend op basis van die instructies, tenzij een op Verwerker toepasselijke wettelijke bepaling hem tot verwerking verplicht. In dat geval stelt Verwerker Verwerkingsverantwoordelijke vóór de verwerking van dat wettelijk voorschrift in kennis, tenzij die wetgeving deze kennisgeving verbiedt.

3.2 De Overeenkomst, deze verwerkersovereenkomst en de instellingen die Verwerkingsverantwoordelijke in de Software maakt, gelden samen als de volledige en gedocumenteerde instructies van Verwerkingsverantwoordelijke.

3.3 Is een instructie naar het oordeel van Verwerker in strijd met de AVG of andere wetgeving over gegevensbescherming, dan informeert Verwerker Verwerkingsverantwoordelijke daar onmiddellijk over. Verwerker kan de uitvoering van die instructie opschorten totdat Verwerkingsverantwoordelijke de instructie heeft bevestigd of gewijzigd.

Artikel 4.Verantwoordelijkheden van Verwerkingsverantwoordelijke

4.1 Verwerkingsverantwoordelijke staat ervoor in dat de verwerking van Persoonsgegevens via de Software rechtmatig is. Daarvoor is Verwerkingsverantwoordelijke zelf verantwoordelijk, in het bijzonder voor:

• (a) een geldige grondslag voor iedere verwerking;
• (b) het informeren van betrokkenen, onder meer via een eigen privacyverklaring;
• (c) het verkrijgen van toestemming waar dat wettelijk vereist is, zoals bij elektronische marketingcommunicatie of het opnemen van gesprekken;
• (d) het juist en volledig houden van de Persoonsgegevens;
• (e) het instellen van passende bewaartermijnen en het tijdig verwijderen van Persoonsgegevens in de Software;
• (f) het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) waar dat verplicht is.

4.2 Verwerkingsverantwoordelijke verwerkt via de Software geen bijzondere persoonsgegevens of persoonsgegevens van strafrechtelijke aard, tenzij partijen daarover vooraf schriftelijk aanvullende afspraken hebben gemaakt.

4.3 Verwerkingsverantwoordelijke neemt zelf passende beveiligingsmaatregelen voor het deel van de verwerking dat onder zijn invloed valt. Daartoe behoren in ieder geval:

• het gebruik van sterke wachtwoorden en tweestapsverificatie;
• het beperken van gebruikersrechten tot wat nodig is;
• het tijdig intrekken van toegang van voormalige medewerkers.

Artikel 5.Geheimhouding

5.1 Verwerker en alle personen die onder zijn gezag werken en toegang hebben tot de Persoonsgegevens, zijn tot geheimhouding verplicht. Deze verplichting volgt uit een contractuele geheimhoudingsplicht of uit een passende wettelijke verplichting.

5.2 De geheimhoudingsplicht geldt niet voor zover verstrekking van

Persoonsgegevens:

• wettelijk verplicht is;
• voortvloeit uit een rechterlijke uitspraak; of
• plaatsvindt met toestemming van Verwerkingsverantwoordelijke.

Artikel 6.Beveiliging

6.1 Verwerker treft, mede via de Technologiepartner, passende technische en organisatorische maatregelen om de Persoonsgegevens te beveiligen tegen verlies en tegen iedere vorm van onrechtmatige verwerking, zoals bedoeld in artikel 32 AVG. Bij het bepalen van de maatregelen houdt Verwerker rekening met:

• de stand van de techniek en de uitvoeringskosten;
• de aard, omvang, context en doeleinden van de verwerking;
• de risico's voor de rechten en vrijheden van betrokkenen.

6.2 De maatregelen staan beschreven in Bijlage 2. Verwerker kan deze maatregelen wijzigen, mits het beveiligingsniveau niet wezenlijk daalt.

6.3 Voor de kerninfrastructuur maakt Verwerker gebruik van de Technologiepartner. De Technologiepartner is verantwoordelijk voor de beveiligingsmaatregelen binnen de door haar beheerde infrastructuur. Verwerker beoordeelt die maatregelen aan de hand van de beschikbare contractuele, beveiligings- en compliance-informatie.

6.4 Partijen erkennen dat geen enkel beveiligingssysteem volledige zekerheid biedt. Verwerker spant zich in om een beveiligingsniveau te bieden dat, gelet op de genoemde factoren, passend is.

Artikel 7.Subverwerkers

7.1 Verwerkingsverantwoordelijke geeft Verwerker algemene toestemming om Subverwerkers in te schakelen. Daaronder vallen:

• de Technologiepartner;
• de categorieën Subverwerkers die zijn genoemd in Bijlage 3.

7.2 Verwerker legt aan iedere Subverwerker contractueel ten minste dezelfde verplichtingen inzake gegevensbescherming op als die in deze verwerkersovereenkomst.

7.3 Verwerker verstrekt Verwerkingsverantwoordelijke op verzoek een actueel overzicht van de Subverwerkers, met hun namen, de aard van hun werkzaamheden en de locatie van verwerking.

7.4 Verwerker informeert Verwerkingsverantwoordelijke zo tijdig mogelijk over voorgenomen toevoegingen of vervangingen van Subverwerkers, zodra hij daarover zelf is geïnformeerd. Verwerkingsverantwoordelijke kan binnen 14 dagen na deze kennisgeving schriftelijk en gemotiveerd bezwaar maken.

7.5 Komen partijen na een bezwaar niet tot een oplossing, dan kan

Verwerkingsverantwoordelijke de Overeenkomst kosteloos opzeggen tegen de datum waarop de nieuwe Subverwerker wordt ingeschakeld. Dat is het enige rechtsmiddel van Verwerkingsverantwoordelijke tegen de wijziging.

7.6 Verwerker blijft tegenover Verwerkingsverantwoordelijke volledig verantwoordelijk voor de nakoming van de verplichtingen door Subverwerkers.

Artikel 8.Doorgifte buiten de Europese Economische Ruimte

8.1 Persoonsgegevens worden verwerkt buiten de Europese Economische Ruimte (EER), in het bijzonder in de Verenigde Staten, waar de Technologiepartner en een deel van de Subverwerkers de gegevens hosten en verwerken.

8.2 Verwerker zorgt ervoor dat doorgifte buiten de EER uitsluitend plaatsvindt met passende waarborgen zoals bedoeld in hoofdstuk V van de AVG. Daartoe behoren:

• (a) een adequaatheidsbesluit van de Europese Commissie, waaronder het EU-U.S. Data Privacy Framework voor ontvangers die daaronder zijn gecertificeerd;
• (b) de standaardcontractbepalingen (Standard Contractual Clauses) van de Europese Commissie, waar van toepassing aangevuld met technische en organisatorische maatregelen.

8.3 Vervalt een gebruikte waarborg of wordt deze ongeldig verklaard, dan:

• informeert Verwerker Verwerkingsverantwoordelijke zo snel mogelijk;
• spant Verwerker zich in om een andere passende waarborg toe te passen.

8.4 Door het aangaan van de Overeenkomst geeft Verwerkingsverantwoordelijke de instructie voor de doorgifte die nodig is om de Software te leveren, zoals beschreven in dit artikel.

Artikel 9.Rechten van betrokkenen

9.1 Ontvangt Verwerker een verzoek van een betrokkene over Persoonsgegevens, zoals een verzoek om inzage, rectificatie, verwijdering, beperking, overdraagbaarheid of bezwaar, dan:

• stuurt Verwerker het verzoek zonder onredelijke vertraging door aan Verwerkingsverantwoordelijke;
• handelt Verwerker het verzoek niet zelf inhoudelijk af, tenzij Verwerkingsverantwoordelijke daartoe opdracht geeft.

9.2 De Software biedt functionaliteiten waarmee Verwerkingsverantwoordelijke Persoonsgegevens zelf kan inzien, wijzigen, exporteren en verwijderen. Voor zover Verwerkingsverantwoordelijke een verzoek niet zelf kan afhandelen, verleent Verwerker redelijke medewerking.

Artikel 10.Bijstand aan Verwerkingsverantwoordelijke

10.1 Verwerker verleent Verwerkingsverantwoordelijke redelijke bijstand bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG. Het gaat daarbij om beveiliging, het melden van datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthouder. Verwerker houdt daarbij rekening met de aard van de verwerking en de informatie waarover hij beschikt.

10.2 Verwerker kan voor bijstand die verder gaat dan het verstrekken van beschikbare informatie, redelijke kosten in rekening brengen, na voorafgaande opgave daarvan aan Verwerkingsverantwoordelijke.

Artikel 11.Datalekken

11.1 Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging, en zo mogelijk binnen 48 uur, nadat hij kennis heeft genomen van een Datalek dat betrekking heeft op de Persoonsgegevens.

11.2 Verwerker verstrekt daarbij, voor zover beschikbaar, de volgende informatie:

• (a) de aard van het Datalek;
• (b) de categorieën en het geschatte aantal betrokkenen en gegevensrecords;
• (c) de waarschijnlijke gevolgen;
• (d) de genomen en voorgestelde maatregelen om het Datalek aan te pakken en de gevolgen te beperken;
• (e) een contactpersoon voor verdere informatie.

Is niet alle informatie direct beschikbaar, dan verstrekt Verwerker deze zodra dat mogelijk is.

11.3 Verwerkingsverantwoordelijke beoordeelt zelf of het Datalek moet worden gemeld aan de Autoriteit Persoonsgegevens en aan betrokkenen, en is daarvoor zelf verantwoordelijk. Verwerker meldt een Datalek niet zelf aan de toezichthouder of aan betrokkenen, tenzij hij daartoe wettelijk verplicht is.

11.4 Stelt Verwerkingsverantwoordelijke een (vermoedelijk) Datalek vast binnen zijn Account, bijvoorbeeld door misbruik van inloggegevens, dan meldt hij dit direct aan Verwerker via team@leadingcreators.com.

11.5 Verwerker documenteert alle Datalekken met betrekking tot de

Persoonsgegevens.

Artikel 12.Informatie en audits

12.1 Verwerker stelt Verwerkingsverantwoordelijke alle informatie ter beschikking die redelijkerwijs nodig is om aan te tonen dat de verplichtingen uit artikel 28 AVG worden nagekomen.

12.2 Verwerker kan aan deze verplichting voldoen door het verstrekken van:

• beschikbare certificeringen, auditrapporten of verklaringen van onafhankelijke derden, waaronder die van de Technologiepartner;
• een beschrijving van de getroffen maatregelen.

12.3 Acht Verwerkingsverantwoordelijke deze informatie aantoonbaar onvoldoende, dan kan hij, ten hoogste eenmaal per jaar en na een aankondiging van ten minste 30 dagen, een audit laten uitvoeren door een onafhankelijke en tot geheimhouding verplichte deskundige. Daarbij geldt het volgende:

• de audit beperkt zich tot de systemen en processen van Verwerker zelf;
• voor de infrastructuur van de Technologiepartner gelden de auditrapporten die de Technologiepartner beschikbaar stelt;
• de audit verstoort de bedrijfsvoering van Verwerker niet onredelijk.

12.4 De kosten van een audit komen voor rekening van

Verwerkingsverantwoordelijke. Blijkt uit de audit dat Verwerker deze verwerkersovereenkomst wezenlijk niet nakomt, dan draagt Verwerker de kosten en herstelt hij de tekortkomingen zo snel mogelijk.

12.5 Verwerker werkt mee aan een onderzoek van de Autoriteit Persoonsgegevens of een andere bevoegde toezichthouder.

Artikel 13.Duur, beëindiging en verwijdering van gegevens

13.1 Deze verwerkersovereenkomst geldt zolang de Overeenkomst loopt. Zij blijft daarna van kracht zolang Verwerker nog Persoonsgegevens verwerkt.

13.2 Na het einde van de Overeenkomst heeft Verwerkingsverantwoordelijke 90 dagen de gelegenheid om de Persoonsgegevens te exporteren, zoals bepaald in artikel 26 van de algemene voorwaarden. Na deze periode verwijdert Verwerker de Persoonsgegevens, tenzij opslag wettelijk verplicht is.

13.3 Persoonsgegevens kunnen na verwijdering tijdelijk aanwezig blijven in beveiligde back-ups van de Technologiepartner, totdat deze volgens de normale back-upcyclus worden overschreven. Tot dat moment blijven de verplichtingen uit deze verwerkersovereenkomst van toepassing.

13.4 Op verzoek bevestigt Verwerker schriftelijk dat de verwijdering heeft plaatsgevonden.

Artikel 14.Aansprakelijkheid

14.1 Voor de aansprakelijkheid van partijen gelden de bepalingen over aansprakelijkheid in de algemene voorwaarden van Leading Creators, in het bijzonder de artikelen 8 en 29.

14.2 Verwerkingsverantwoordelijke vrijwaart Verwerker tegen aanspraken van betrokkenen, toezichthouders en andere derden die het gevolg zijn van:

• een verwerking die in strijd is met de AVG of met artikel 4 van deze verwerkersovereenkomst; of
• het opvolgen van instructies van Verwerkingsverantwoordelijke.

Dit geldt ook voor boetes en redelijke kosten van verweer.

14.3 Dit artikel laat de rechtstreekse aansprakelijkheid tegenover betrokkenen op grond van artikel 82 AVG onverlet.

Artikel 15.Slotbepalingen

15.1 Bij strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het de verwerking en bescherming van Persoonsgegevens betreft.

15.2 Verwerker kan deze verwerkersovereenkomst wijzigen als wetgeving, rechtspraak, een besluit van een toezichthouder of een wijziging bij de Technologiepartner daartoe aanleiding geeft. Wijzigingen kondigt Verwerker ten minste 30 dagen vooraf aan. Een wijziging die het beschermingsniveau verlaagt, is niet toegestaan.

15.3 Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter van de rechtbank Amsterdam.

BIJLAGE 1. SPECIFICATIE VAN DE VERWERKING
Doel van de verwerking Het beschikbaar stellen van de Software, waarmee Verwerkingsverantwoordelijke klantrelatiebeheer, marketing, sales, communicatie, websites, funnels, automatiseringen, agenda's, betalingen, communities en AI-functionaliteiten kan inzetten voor zijn eigen onderneming.

Categorieën betrokkenen

• leads en prospects van Verwerkingsverantwoordelijke;
• klanten en voormalige klanten van Verwerkingsverantwoordelijke;
• bezoekers van websites en funnels van Verwerkingsverantwoordelijke;
• deelnemers aan cursussen en communities van Verwerkingsverantwoordelijke;
• medewerkers en gebruikers van het Account van Verwerkingsverantwoordelijke;
• leveranciers en zakelijke contactpersonen van Verwerkingsverantwoordelijke;
• andere personen van wie Verwerkingsverantwoordelijke gegevens in de Software plaatst.

Categorieën persoonsgegevens

Welke gegevens worden verwerkt, bepaalt Verwerkingsverantwoordelijke. Het kan gaan om:

• naam-, adres- en contactgegevens;
• bedrijfsgegevens en functie;
• profielgegevens en gebruikersnamen op sociale media;
• formulier-, enquête- en quizantwoorden;
• afspraak- en agendagegevens;
• de inhoud van e-mail, sms, WhatsApp, chat en andere communicatie;
• telefoniegegevens, gespreksopnames en transcripties;
• tags, segmenten, leadstatussen en lead scores;
• transactie-, factuur- en betaalgegevens, zonder volledige betaalkaartgegevens;
• cursus- en communitygegevens;
• technische gegevens, zoals IP-adres, apparaat- en browsergegevens en kliken openingsgedrag;
• gegevens die aan AI-functionaliteiten worden aangeboden, zoals prompts en kennisbankinformatie.

Bijzondere persoonsgegevens

Niet toegestaan, tenzij schriftelijk anders afgesproken (artikel 4.2).

Duur van de verwerking

Gedurende de looptijd van de Overeenkomst en de periode van artikel 13.

Contact

Verwerker: Leading Creators, team@leadingcreators.com BIJLAGE 2. BEVEILIGINGSMAATREGELEN
Maatregelen van de Technologiepartner

Infrastructuur:

• hosting op beveiligde cloudinfrastructuur van grote, gespecialiseerde cloudaanbieders;
• versleuteling van gegevens tijdens transport (TLS 1.2 of hoger) en in opslag (AES-256);
• DDoS-mitigatie en een web application firewall;
• back-ups en procedures voor bedrijfscontinuïteit.

Product:

• mogelijkheid tot het afdwingen van tweestapsverificatie;
• granulaire gebruikersrechten en auditlogs;
• single sign-on.

Organisatie:

• verplichte achtergrondcontroles en continue beveiligingstraining voor medewerkers;
• protocollen voor leveranciersrisicobeheer;
• geheimhoudingsverplichtingen.

Applicatie:

• regelmatige externe penetratietesten;
• geautomatiseerde kwetsbaarheidsscans;
• een responsible disclosure-programma;
• beveiliging als vast onderdeel van het ontwikkelproces.

Toetsing:

• jaarlijkse onafhankelijke SOC 2 Type II-beoordeling van de beveiliging, beschikbaarheid en vertrouwelijkheid.

Maatregelen van Verwerker

• toegang tot Accounts van Verwerkingsverantwoordelijke uitsluitend voor zover nodig voor ondersteuning en beheer;
• tweestapsverificatie op alle beheeraccounts van Verwerker;
• sterke, unieke wachtwoorden en een wachtwoordbeheerder;
• geheimhoudingsverplichting voor iedereen die namens Verwerker toegang heeft;
• beveiligde apparaten met versleutelde opslag en automatische schermvergrendeling;
• een procedure voor het signaleren, documenteren en melden van Datalekken;
• periodieke controle van toegangsrechten.

BIJLAGE 3. CATEGORIEËN SUBVERWERKERS

Een actueel overzicht met namen is op verzoek beschikbaar via team@leadingcreators.com.

Categorie
Werkzaamheden
Locatie
Technologiepartner
Levering en beheer van het softwareplatform
Verenigde
Staten
Cloudinfrastructuur
Hosting en opslag van gegevens
Verenigde
Staten
Communicatiediensten
Verzending van e-mail, sms en telefonie
Verenigde
Staten
Betaaldiensten
Verwerking van betalingen binnen de Software
Verenigde
Staten en/of EER
AI-leveranciers
Levering van AI-functionaliteiten, zoals chatbots en spraak-AI
Verenigde
Staten
Ondersteuning en analyse
Klantenservice, productanalyse en identiteitsverificatie
Verenigde
Staten
Automatisering en koppelingen
Workflowautomatisering
Verenigde
Staten