Privacybeleid & Verwerkersovereenkomst

Dit Privacybeleid en Gegevensverwerkingsovereenkomst (“Overeenkomst” of “Beleid”) vormen een juridisch bindende overeenkomst tussen u (“u” of “uw”) en Sunday Group BV (“Sunday”, “wij”, “ons”, “onze”, “Verwerker”) met betrekking tot uw gebruik van de Dienst en uw relatie met ons. Samen aangeduid als de “Partijen”.

U aanvaardt en stemt in met deze Gebruiksvoorwaarden door:

• De Dienst te openen of te gebruiken;
• Te klikken om deze Gebruiksvoorwaarden te aanvaarden, of
• Deze Gebruiksvoorwaarden op enige andere wijze te aanvaarden.

Als u niet akkoord gaat met deze Gebruiksvoorwaarden, dient u geen toegang te krijgen tot (en hebt u niet onze toestemming om toegang te krijgen tot) de Dienst.

1. Definities en interpretatie

Tenzij hierin anders gedefinieerd, hebben de in deze Overeenkomst gebruikte termen en uitdrukkingen met een hoofdletter de volgende betekenis:

• “Overeenkomst” betekent deze Gegevensverwerkingsovereenkomst en alle Bijlagen;
• “Persoonsgegevens van het Bedrijf” betekent alle Persoonsgegevens die door een Contractuele Verwerker worden verwerkt namens het Bedrijf krachtens of in verband met de Hoofdovereenkomst;
• “Contractuele Verwerker” betekent een Subverwerker;
• “Gegevensbeschermingswetten” betekent de EU-gegevensbeschermingswetten en, voor zover van toepassing, de gegevensbeschermings- of privacywetten van elk ander land;
• “EER” betekent de Europese Economische Ruimte;
• “EU-gegevensbeschermingswetten” betekent EU-Richtlijn 95/46/EG, zoals omgezet in de nationale wetgeving van elke Lidstaat en zoals van tijd tot tijd gewijzigd, vervangen of vervangen, inclusief door de AVG en wetten die de AVG implementeren of aanvullen;
• “AVG” betekent de Algemene Verordening Gegevensbescherming van de EU 2016/679;
• “Gegevensoverdracht” betekent: een overdracht van Persoonsgegevens van het Bedrijf van het Bedrijf naar een Contractuele Verwerker; of een verdere overdracht van Persoonsgegevens van het Bedrijf van een Contractuele Verwerker naar een Subverwerker, of tussen twee vestigingen van een Contractuele Verwerker, in elk geval wanneer een dergelijke overdracht verboden zou zijn door Gegevensbeschermingswetten;
• “Diensten” betekent de logistieke diensten die de Gegevensverstrekker levert.
• “Subverwerker” betekent elke persoon die door of namens de Verwerker is aangesteld om Persoonsgegevens te verwerken namens het Bedrijf in verband met de Overeenkomst.
• “Logistieke taak” betekent alle taken die verband houden met het proces van planning en organisatie om ervoor te zorgen dat middelen op de plaatsen zijn waar ze nodig zijn, zodat een activiteit of proces effectief verloopt.

De termen “Commissie”, “Verwerkingsverantwoordelijke”, “Betrokkene”, “Lidstaat”, “Persoonsgegevens”, “Inbreuk in verband met persoonsgegevens”, “Verwerking” en “Toezichthoudende autoriteit” hebben dezelfde betekenis als in de AVG, en hun verwante termen worden dienovereenkomstig geïnterpreteerd.

2. Verwerking van Persoonsgegevens van het Bedrijf

De Verwerker moet:

• Alle toepasselijke Gegevensbeschermingswetten naleven bij de Verwerking van Persoonsgegevens van het Bedrijf; en
• Persoonsgegevens van het Bedrijf niet verwerken anders dan op de gedocumenteerde instructies van het betreffende Bedrijf.

Het Bedrijf geeft de Verwerker opdracht om Persoonsgegevens van het Bedrijf te verwerken. De lijst met soorten Persoonsgegevens is te vinden in bijlage 1 bij deze Overeenkomst.

Indien de verwerking en overdracht wettelijk vereist zijn, zal de Verwerker het Bedrijf vóór de verwerking informeren over die wettelijke verplichting.

3. Personeel van de Verwerker

De Verwerker neemt redelijke maatregelen om de betrouwbaarheid te waarborgen van elke werknemer, agent of aannemer van een Contractuele Verwerker die toegang kan hebben tot de Persoonsgegevens van het Bedrijf, waarbij in elk geval wordt gewaarborgd dat de toegang strikt beperkt is tot die personen die de relevante Persoonsgegevens van het Bedrijf moeten kennen/raadplegen, zoals strikt noodzakelijk voor de doeleinden van de Hoofdovereenkomst, en om te voldoen aan de Toepasselijke Wetten in het kader van de taken van die persoon bij de Contractuele Verwerker, en waarbij ervoor wordt gezorgd dat al deze personen onderworpen zijn aan geheimhoudingsverplichtingen of professionele of wettelijke geheimhoudingsplichten.

4. Beveiliging

• Rekening houdend met de stand van de techniek, de implementatiekosten en de aard, de omvang, de context en de doeleinden van de Verwerking, alsmede met het risico van uiteenlopende waarschijnlijkheid en ernst voor de rechten en vrijheden van natuurlijke personen, treft de Verwerker met betrekking tot de Persoonsgegevens van het Bedrijf passende technische en organisatorische maatregelen om een beveiligingsniveau te waarborgen dat is afgestemd op dat risico, waaronder, in voorkomend geval, de in artikel 32, lid 1, van de AVG genoemde maatregelen.
• Bij de beoordeling van het passende beveiligingsniveau houdt de Verwerker met name rekening met de risico’s die de Verwerking met zich meebrengt, met name als gevolg van een Inbreuk in verband met persoonsgegevens.

5. Subverwerking

• De Verwerker stelt geen Subverwerker aan (en geeft geen Persoonsgegevens van het Bedrijf door aan) tenzij het Bedrijf dit vereist. Het Bedrijf geeft de Verwerker een algemene toestemming voor elke Subverwerker die Logistieke Taken uitvoert.
• Indien de Verwerker een Subverwerker inschakelt, neemt de Verwerker dezelfde verplichtingen die in deze Overeenkomst zijn vastgelegd op in de subverwerkingsovereenkomst en is de Verwerker volledig aansprakelijk jegens het Bedrijf voor het niet nakomen van gegevensbeschermingsverplichtingen door een Subverwerker.
• Indien de Verwerker een Subverwerker aanstelt, afgezien van elke subverwerker zoals gedefinieerd in artikel 5.1, met de voorafgaande toestemming van het Bedrijf, informeert de Verwerker het Bedrijf over voorgenomen wijzigingen met betrekking tot de toevoeging of vervanging van subverwerkers 14 dagen vóór de wijziging per e-mail aan het gegevensbeschermingsteam van het Bedrijf, en geeft het Bedrijf de mogelijkheid om bezwaar te maken tegen wijzigingen.

6. Rechten van betrokkenen

Rekening houdend met de aard van de Verwerking, staat de Verwerker het Bedrijf bij door passende technische en organisatorische maatregelen te treffen, voor zover dit mogelijk is, voor de nakoming van de verplichtingen van het Bedrijf, zoals redelijkerwijs begrepen door het Bedrijf, om te reageren op verzoeken tot uitoefening van de rechten van Betrokkenen krachtens de Gegevensbeschermingswetten.

De Verwerker moet:

• Het Bedrijf onverwijld op de hoogte stellen als het een verzoek ontvangt van een Betrokkene krachtens een Gegevensbeschermingswet met betrekking tot Persoonsgegevens van het Bedrijf; en
• Ervoor zorgen dat het niet op dat verzoek reageert, behalve op gedocumenteerde instructies van het Bedrijf of zoals vereist door Toepasselijke Wetten waaraan de Verwerker is onderworpen, in welk geval de Verwerker, voor zover toegestaan door Toepasselijke Wetten, het Bedrijf informeert over die wettelijke verplichting voordat de Contractuele Verwerker op het verzoek reageert.

7. Inbreuk in verband met persoonsgegevens

• De Verwerker stelt het Bedrijf zonder onredelijke vertraging op de hoogte zodra de Verwerker kennis krijgt van een Inbreuk in verband met persoonsgegevens die Persoonsgegevens van het Bedrijf betreft, en verstrekt het Bedrijf voldoende informatie zodat het Bedrijf kan voldoen aan eventuele verplichtingen om Betrokkenen te melden of te informeren over de Inbreuk krachtens de Gegevensbeschermingswetten.
• De Verwerker werkt samen met het Bedrijf en neemt redelijke commerciële maatregelen zoals aangegeven door het Bedrijf om te helpen bij het onderzoek, de beperking en het herstel van elke dergelijke Inbreuk in verband met persoonsgegevens.

8. Gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging

De Verwerker biedt het Bedrijf redelijke ondersteuning bij gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen met Toezichthoudende Autoriteiten of andere bevoegde gegevensbeschermingsautoriteiten, die het Bedrijf redelijkerwijs noodzakelijk acht krachtens de artikelen 35 of 36 van de AVG of gelijkwaardige bepalingen van enig ander Gegevensbeschermingswet, in elk geval uitsluitend met betrekking tot de Verwerking van Persoonsgegevens van het Bedrijf door de Contractuele Verwerkers en rekening houdend met de aard van de Verwerking en de beschikbare informatie.

9. Verwijdering of teruggave van Persoonsgegevens van het Bedrijf

Met inachtneming van dit artikel 9 verwijdert de Verwerker onverwijld en in elk geval binnen 10 werkdagen na de datum van beëindiging van enige Diensten die de Verwerking van Persoonsgegevens van het Bedrijf omvatten (de “Datum van beëindiging”), alle kopieën van die Persoonsgegevens van het Bedrijf en draagt zorg voor de verwijdering daarvan, en verstrekt op verzoek bewijs van verwijdering.

10. Auditrechten

• Met inachtneming van dit artikel 10 stelt de Verwerker op verzoek alle informatie die nodig is om naleving van deze Overeenkomst aan te tonen ter beschikking van het Bedrijf, en staat audits, inclusief inspecties, toe en draagt daaraan bij, door het Bedrijf of een door het Bedrijf gemandateerde auditor met betrekking tot de Verwerking van de Persoonsgegevens van het Bedrijf door de Contractuele Verwerkers.
• Informatie- en auditrechten van het Bedrijf ontstaan krachtens artikel 10.1 slechts voor zover de Overeenkomst hen niet anderszins informatie- en auditrechten verleent die voldoen aan de relevante vereisten van het Gegevensbeschermingsrecht.

11. Gegevensoverdracht

Indien persoonsgegevens die in het kader van deze Overeenkomst worden verwerkt, worden overgedragen van een land binnen de Europese Economische Ruimte naar een land buiten de Europese Economische Ruimte, zorgen de Partijen ervoor dat de persoonsgegevens adequaat worden beschermd. Om dit te bereiken baseren de Partijen zich, tenzij anders overeengekomen, op de door de EU goedgekeurde standaardcontractbepalingen voor de overdracht van persoonsgegevens.

12. Algemene bepalingen

• Vertrouwelijkheid. Elke Partij moet deze Overeenkomst en informatie die zij ontvangt over de andere Partij en diens bedrijfsactiviteiten in verband met deze Overeenkomst (“Vertrouwelijke Informatie”) vertrouwelijk houden en mag die Vertrouwelijke Informatie niet gebruiken of openbaar maken zonder de voorafgaande schriftelijke toestemming van de andere Partij, behalve voor zover: (a) openbaarmaking wettelijk vereist is; (b) de betreffende informatie reeds openbaar is.
• Kennisgevingen. Alle kennisgevingen en mededelingen krachtens deze Overeenkomst moeten schriftelijk zijn en worden persoonlijk overhandigd, per post verzonden of per e-mail verzonden naar het adres of e-mailadres vermeld in het hoofd van deze Overeenkomst of naar elk ander adres dat van tijd tot tijd door de Partijen bij adreswijziging is medegedeeld.
• In geval van beëindiging van de Dienstovereenkomst wordt deze Overeenkomst beëindigd op de Datum van beëindiging en vindt de Verwerking van Persoonsgegevens van het Bedrijf niet langer plaats, waarbij de vertrouwelijkheid van de openbaar gemaakte informatie de beëindiging overleeft.
• In geval van een conflict of inconsistentie tussen dit privacybeleid en deze gegevensverwerkingsovereenkomst en afzonderlijk overeengekomen schriftelijke voorwaarden tussen de partijen (inclusief maar niet beperkt tot commerciële overeenkomsten, service level agreements of aangepaste projectvoorwaarden), prevaleren de specifiek overeengekomen voorwaarden.

13. Geschillen

• Deze Overeenkomst wordt beheerst door het Belgisch recht.
• Elk geschil dat voortvloeit uit of verband houdt met deze Overeenkomst, dat de Partijen niet minnelijk kunnen oplossen, wordt voorgelegd aan de exclusieve bevoegdheid van de bevoegde rechtbanken van België.