Verwerkersovereenkomst

Deze DPA regelt de verwerking door HansaChat van persoonsgegevens van de klant om de dienst te leveren. Het onderwerp, de aard, het doel, de gegevenscategorieën, de betrokkenen en de duur zijn vastgelegd in Bijlage 1.

De Klant bepaalt de doeleinden en de wezenlijke middelen van de verwerking van werkruimte-inhoud. HansaChat verwerkt die gegevens namens de Klant. Deze DPA heeft geen betrekking op persoonsgegevens die HansaChat als zelfstandig verwerkingsverantwoordelijke verwerkt voor facturering, accountbeheer, beveiliging van de dienst, misbruikpreventie, supportbeheer of naleving; die verwerking is beschreven in het privacybeleid.

HansaChat verwerkt persoonsgegevens van de klant uitsluitend op basis van gedocumenteerde instructies van de Klant, waaronder de Serviceovereenkomst, deze DPA, het gebruik en de configuratie van de dienst door de Klant en daaropvolgende instructies in tekstvorm. HansaChat mag gegevens verwerken wanneer recht van de Unie of van een lidstaat dat vereist, en stelt de Klant daarvoor vooraf in kennis, tenzij die wet die kennisgeving om zwaarwegende redenen van algemeen belang verbiedt.

HansaChat stelt de Klant onmiddellijk in kennis als een instructie naar diens mening in strijd is met de AVG of andere toepasselijke wetgeving inzake gegevensbescherming van de Unie of een lidstaat, en kan de betreffende instructie opschorten totdat deze is bevestigd of gewijzigd.

HansaChat zorgt ervoor dat iedere persoon die gemachtigd is persoonsgegevens van de klant te verwerken, gebonden is aan vertrouwelijkheid of een passende wettelijke geheimhoudingsplicht en uitsluitend toegang krijgt voor zover nodig voor de exploitatie, het onderhoud, het oplossen van storingen, beveiliging, misbruikpreventie, wettelijke naleving of door de Klant aangevraagde support.

Waar paragraaf 3 van de Duitse wet inzake gegevensbescherming bij telecommunicatie en digitale diensten (TDDDG) van toepassing is, beschermt HansaChat de inhoud en de omstandigheden van communicatie tevens als telecommunicatiegeheim. HansaChat verkrijgt geen kennis die verder gaat dan wat nodig is om de communicatiedienst te leveren of zijn technische systemen te beschermen, en gebruikt die kennis alleen voor een ander doel wanneer een wet dat gebruik in relatie tot telecommunicatie uitdrukkelijk toestaat.

De vertrouwelijkheidsverplichting geldt voort na het einde van het werk van de persoon en na afloop van de Serviceovereenkomst.

Rekening houdend met de stand van de techniek, de implementatiekosten en de aard, omvang, context en doeleinden van de verwerking, onderhoudt HansaChat passende technische en organisatorische maatregelen op grond van artikel 32 AVG. De huidige maatregelen zijn beschreven in Bijlage 2 en op de beveiligingspagina.

HansaChat kan die maatregelen bijwerken naarmate technologie en risico veranderen, op voorwaarde dat het totale beschermingsniveau tijdens de Serviceovereenkomst niet wezenlijk wordt verlaagd.

De Klant verleent HansaChat algemene schriftelijke toestemming om de subprocessoren uit Bijlage 3 te gebruiken. HansaChat legt aan elke subprocessor in wezen dezelfde verplichtingen inzake gegevensbescherming op, blijft verantwoordelijk voor diens prestaties onder deze DPA en houdt de lijst actueel.

Voordat HansaChat een subprocessoor toevoegt of vervangt die persoonsgegevens van de klant verwerkt, kondigt het dit ten minste 30 dagen van tevoren aan, per e-mail aan de accountcontactpersoon van de Klant of via een duidelijk zichtbare aankondiging binnen de dienst. Bij een dringend beveiligings-, juridisch of beschikbaarheidsrisico kan een kortere termijn worden gehanteerd; HansaChat geeft dan alsnog zo snel als redelijkerwijs mogelijk bericht.

De Klant kan tijdens de aankondigingstermijn bezwaar maken op redelijke gronden van gegevensbescherming. De partijen werken te goeder trouw samen aan een commercieel redelijke oplossing. Komt die er niet, dan kan de Klant de getroffen dienst beëindigen voordat de nieuwe subprocessoor met de verwerking begint, zonder sanctie voor de ongebruikte vooruitbetaalde periode van die getroffen dienst.

De primaire opslag van werkruimtegegevens bevindt zich in Duitsland. Versleutelde Restic-back-upkopieën worden opgeslagen in Frankfurt en Stockholm. Netwerkbezorging en optionele ondersteunende functies kunnen andere locaties omvatten, zoals vermeld in Bijlage 3.

HansaChat draagt persoonsgegevens van de klant niet over aan een derde land of internationale organisatie, tenzij de Klant daartoe instrueert, het nodig is om een ingeschakelde dienstfunctie te leveren of de wet het vereist, en alleen wanneer wordt voldaan aan de vereisten van hoofdstuk V AVG. Toepasselijke waarborgen kunnen een adequaatheidsbesluit, de standaardcontractbepalingen van de Europese Commissie en aanvullende technische en organisatorische maatregelen omvatten.

Ontvangt HansaChat een verzoek van een betrokkene over persoonsgegevens van de klant, dan stuurt het dit verzoek onverwijld door aan de Klant en reageert het niet, tenzij de Klant dat autoriseert of de wet het vereist.

Rekening houdend met de aard van de verwerking en de beschikbare informatie, verleent HansaChat de Klant redelijke bijstand bij rechten van betrokkenen en bij de verplichtingen van de Klant op grond van artikel 32 tot en met 36 AVG, waaronder beveiliging, beoordeling van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaand overleg.

HansaChat stelt de Klant zonder onredelijke vertraging in kennis nadat het op de hoogte is geraakt van een inbreuk in verband met persoonsgegevens die persoonsgegevens van de klant treft. De kennisgeving bevat de informatie die voor HansaChat beschikbaar is en die de Klant redelijkerwijs nodig heeft voor diens verplichtingen op grond van artikel 33 en 34 AVG; aanvullende informatie kan in fasen worden verstrekt naarmate deze beschikbaar komt.

HansaChat onderneemt redelijke stappen om de inbreuk in te dammen, te onderzoeken, te verhelpen en te beperken, en werkt met de Klant samen. Kennisgeving is geen erkenning van schuld of aansprakelijkheid.

Naar keuze van de Klant zendt HansaChat na afloop van de verwerkingsdiensten persoonsgegevens van de klant terug of verwijdert deze, en verwijdert bestaande kopieën, tenzij recht van de Unie of van een lidstaat bewaring vereist. De Klant moet de terugzending aanvragen vóór de verwijderingsdatum van de werkruimte; geeft de Klant geen instructie, dan wordt verwijdering gekozen.

Opgezegde betaalde en proefwerkruimten blijven bruikbaar gedurende de lopende betaalde of proefperiode, worden daarna 90 dagen alleen-lezen en worden vervolgens verwijderd. Verwijdering op verzoek van de eigenaar maakt een werkruimte direct alleen-lezen en verwijdert deze na een gratieperiode van 30 dagen, tenzij dit wordt geannuleerd. Demo-werkruimten worden na 24 uur verwijderd. Gratis werkruimten blijven beschrijfbaar en worden na 90 dagen zonder opgeslagen bericht verwijderd. Werkruimtedatabases en geüploade objecten worden via het toepasselijke verwijderingsproces verwijderd; verwijderde werkruimtegegevens verdwijnen volgens het schema in Bijlage 2 geleidelijk uit de versleutelde back-ups.

HansaChat stelt de informatie redelijkerwijs beschikbaar die nodig is om de naleving van artikel 28 AVG en deze DPA aan te tonen. De Klant kan de gedekte verwerking zelf auditen of laten auditen door een onafhankelijke, gekwalificeerde auditor die aan vertrouwelijkheid gebonden is.

Audits beginnen in de regel met beschikbare documentatie en beoordeling op afstand. Ter plaatse-inspectie is beschikbaar wanneer documentatie onvoldoende is of er redelijke aanwijzingen van niet-naleving zijn, met redelijke voorafgaande aankondiging en zonder andere klanten, beveiliging of bedrijfsgeheimen te schaden. De redelijke auditkosten komen voor rekening van de Klant, tenzij een audit een wezenlijke tekortkoming van HansaChat vaststelt. De bevoegdheden van toezichthouders worden niet beperkt.

Deze DPA vangt aan wanneer deze bindend wordt volgens de sectie Contractstatus en blijft van kracht totdat HansaChat alle persoonsgegevens van de klant heeft verwijderd. Kan HansaChat deze DPA niet nakomen, dan informeert het de Klant onverwijld. De Klant kan de verwerking opschorten of de getroffen dienst beëindigen wanneer een wezenlijke tekortkoming niet binnen een redelijke termijn wordt verholpen.

Aansprakelijkheid, toepasselijk recht en forum volgen de Serviceovereenkomst, behalve wanneer dwingende wetgeving inzake gegevensbescherming anders vereist. Niets in deze DPA beperkt de rechten van betrokkenen of de bevoegdheden van een bevoegde toezichthouder.