Verwerkersovereenkomst

Deze Verwerkersovereenkomst (het Addendum) maakt deel uit van de Servicevoorwaarden tussen u en de op uw factuur vermelde groepsmaatschappij van GridStudio (wij, ons). Het is van toepassing telkens wanneer wij namens u persoonsgegevens verwerken die in Klantgegevens zijn opgenomen. Begrippen met een hoofdletter die hier niet zijn gedefinieerd, hebben de betekenis die daaraan in de Servicevoorwaarden is gegeven.

Voor die verwerking bent u de verwerkingsverantwoordelijke, of een verwerker die voor zijn eigen klanten optreedt, en zijn wij uw verwerker. Elke partij leeft de gegevensbeschermingswetgeving na die op haar van toepassing is, waaronder, voor zover relevant, de Algemene verordening gegevensbescherming van de EU en van het VK, de Turkse wet op de bescherming van persoonsgegevens (KVKK) en de wet op de bescherming van persoonsgegevens van de VAE.

Dit Addendum heeft geen betrekking op de gegevens die wij als verwerkingsverantwoordelijke voor onze eigen doeleinden verwerken, zoals account- en factureringsgegevens. Die verwerking wordt beschreven in het Privacybeleid.

Als dit Addendum en de rest van de Servicevoorwaarden met elkaar in strijd zijn wat de verwerking van persoonsgegevens betreft, prevaleert dit Addendum.

• Onderwerp en doel: het verzenden en ontvangen van berichten via de Kanalen die u koppelt, het melden van de status ervan, het afleveren van webhook-events aan u, de facturering en het veilig houden van de Dienst.
• Duur: zolang u een Account hebt, en daarna totdat de gegevens zijn gewist zoals beschreven in artikel 10.
• Aard van de verwerking: ontvangen, opslaan, doorgeven aan Kanaalaanbieders, loggen, aan u tonen en wissen.
• Betrokkenen: de personen aan wie u berichten verzendt en van wie u berichten ontvangt, en ieder ander die in de berichten wordt genoemd.
• Categorieën gegevens: identificatoren zoals telefoonnummers, chat-ID’s en gebruikers-ID’s van platforms; de inhoud van berichten en de media waarnaar wordt verwezen; aflever- en leesstatussen; en de referenties en metadata die u toevoegt.
• Bijzondere categorieën: de Dienst is niet ontworpen voor bijzondere categorieën van persoonsgegevens. U bepaalt wat uw berichten bevatten en mag dergelijke gegevens niet verzenden, tenzij u een rechtsgrond hebt en de Kanaalaanbieder het toestaat.

Wij verwerken de persoonsgegevens uitsluitend op basis van uw gedocumenteerde instructies. De Servicevoorwaarden, dit Addendum en uw gebruik van de API en de console vormen uw volledige instructies. Wij stellen u ervan in kennis als een instructie naar onze mening inbreuk maakt op het gegevensbeschermingsrecht, en wij zijn niet verplicht een dergelijke instructie op te volgen.

Wij mogen de gegevens ook verwerken wanneer een op ons toepasselijke wet dat vereist. In dat geval stellen wij u daarvan vooraf in kennis, tenzij die wet dat verbiedt.

U bent verantwoordelijk voor de rechtmatigheid van de verwerking: voor het hebben van een rechtsgrond, voor de toestemmingen en de informatie waarop betrokkenen recht hebben, en voor de juistheid van de gegevens die u aanlevert.

Wij waarborgen dat de personen die gemachtigd zijn om de persoonsgegevens te verwerken, gebonden zijn aan een geheimhoudingsplicht en slechts toegang hebben tot de gegevens voor zover hun werkzaamheden dat vereisen.

Wij treffen technische en organisatorische maatregelen die op het risico zijn afgestemd, en wij mogen deze bijwerken zolang het beschermingsniveau niet afneemt. Op dit moment omvatten zij:

• versleuteling van gegevens tijdens het transport met TLS;
• wachtwoorden die als Argon2id-hashes worden opgeslagen, en sessietokens en API-sleutels die uitsluitend als hashes worden opgeslagen;
• versleuteling in rust, met AES-256-GCM, van de ondertekeningsgeheimen van webhooks en van de sleutels die een Account aan het afleverplatform koppelen;
• toegangsgegevens, tokens en autorisatiecodes van Kanalen die aan het afleverplatform worden doorgegeven zonder door de gateway te worden opgeslagen of gelogd;
• op rollen gebaseerde toegang voor de leden van een Account, API-sleutels die door scope en door IP-adres worden beperkt, snelheidsbeperking en blokkering na herhaalde mislukte inlogpogingen;
• logische scheiding van de gegevens van elk Account;
• een auditlogboek van beheerhandelingen, waarin ook elke keer wordt vastgelegd dat onze medewerkers zich toegang tot een Account verschaffen om support te verlenen;
• ondertekende webhookafleveringen, en validatie van webhookadressen tegen privénetwerkbereiken.

U verleent ons een algemene toestemming om subverwerkers in te schakelen. Wij schakelen hen in op grond van een schriftelijke overeenkomst die verplichtingen inzake gegevensbescherming oplegt die gelijkwaardig zijn aan die in dit Addendum, en wij blijven jegens u verantwoordelijk voor hun werkzaamheden.

De categorieën subverwerkers die wij voor Klantgegevens inschakelen, zijn:

• Hosting en infrastructuur: de aanbieders die onze servers, databases en back-ups hosten;
• Groepsmaatschappijen van GridStudio: die het afleverplatform exploiteren dat verbinding maakt met de Kanaalaanbieders, en die de Dienst ondersteunen.

Wij lichten de eigenaren van uw Account in voordat wij een subverwerker toevoegen of vervangen. U kunt binnen veertien dagen bezwaar maken op redelijke gronden die verband houden met gegevensbescherming. Als wij het bezwaar niet kunnen wegnemen, kunt u de overeenkomst beëindigen; in dat geval betalen wij het ongebruikte saldo van de Wallet waarvoor u hebt betaald, en het ongebruikte deel van niet-verlopen Pakketten die u hebt gekocht, naar evenredigheid terug.

Kanaalaanbieders, zoals Meta, Telegram, TikTok, Twilio en andere SMS-aanbieders en mobiele providers, zijn niet onze subverwerkers. U kiest hen, u hebt met elk van hen een eigen overeenkomst, en wij geven gegevens aan hen door op uw instructie. Onze betalingsverwerker en onze aanbieder van e-mailaflevering verwerken account- en factureringsgegevens voor ons als verwerkingsverantwoordelijke en ontvangen geen Klantgegevens.

Rekening houdend met de aard van de verwerking verlenen wij u door middel van passende technische en organisatorische maatregelen bijstand bij het beantwoorden van verzoeken van betrokkenen die hun rechten uitoefenen. Via de console en de API kunt u de berichten van een ontvanger opzoeken en opvragen. Als een betrokkene rechtstreeks contact met ons opneemt, verwijzen wij hem naar u en beantwoorden wij het verzoek niet zelf, tenzij u ons daarom vraagt of de wet het vereist.

Wij verlenen u ook redelijke bijstand bij gegevensbeschermingseffectbeoordelingen, bij raadplegingen van toezichthoudende autoriteiten en bij de beveiliging van de verwerking, voor zover deze betrekking hebben op de Dienst en u de informatie niet zelf kunt verkrijgen.

Wij stellen de eigenaren van uw Account zonder onredelijke vertraging in kennis nadat wij kennis hebben genomen van een inbreuk in verband met persoonsgegevens die Klantgegevens treft. In de kennisgeving wordt beschreven wat ons bekend is over de aard van de inbreuk, de betrokken gegevens, de waarschijnlijke gevolgen ervan en de getroffen of voorgestelde maatregelen, en wij vullen de informatie aan zodra deze beschikbaar komt. Een kennisgeving houdt geen erkenning van schuld in.

U geeft ons de instructie om Klantgegevens door te geven aan de Kanaalaanbieders en aan de ontvangers tot wie u zich richt, waar zij zich ook bevinden. Wij en onze subverwerkers mogen Klantgegevens verwerken in andere landen dan het land waar u bent gevestigd.

Wanneer het gegevensbeschermingsrecht een doorgifte beperkt, baseren de partijen zich op een doorgiftemechanisme dat door dat recht wordt erkend. Wanneer voor een doorgifte van u aan ons de door de Europese Commissie goedgekeurde standaardcontractbepalingen vereist zijn, waar relevant met het addendum voor het VK, worden deze door verwijzing in dit Addendum opgenomen, met u als gegevensexporteur en ons als gegevensimporteur, en met de gegevens over de verwerking zoals opgenomen in de artikelen 2 en 5.

Zolang de overeenkomst duurt, kunt u Klantgegevens opvragen via de console en de API. Wanneer de overeenkomst eindigt, wissen wij Klantgegevens binnen een redelijke termijn, tenzij een op ons toepasselijke wet ons verplicht deze te bewaren; in dat geval houden wij ze vertrouwelijk en gebruiken wij ze voor geen enkel ander doel. Op verzoek, gedaan voordat het Account wordt gesloten, verlenen wij u redelijke bijstand bij het exporteren van de gegevens.

Back-ups worden overschreven volgens onze back-upcyclus. Gegevens die wij als verwerkingsverantwoordelijke nodig hebben, zoals verbruikstotalen voor de facturering, worden bewaard overeenkomstig het Privacybeleid.

Wij stellen de informatie ter beschikking die redelijkerwijs nodig is om aan te tonen dat wij dit Addendum naleven, en wij beantwoorden schriftelijke vragen over onze beveiligingsmaatregelen.

Wanneer die informatie niet volstaat om aan een wettelijke eis te voldoen, kunt u ten hoogste eenmaal per periode van twaalf maanden, en na een schriftelijke aankondiging dertig dagen van tevoren, zelf een audit uitvoeren of laten uitvoeren door een onafhankelijke auditor die aan geheimhouding is gebonden. De audit vindt plaats tijdens kantooruren, mag de Dienst niet verstoren of de gegevens van andere klanten blootstellen, en komt voor uw rekening. Vaker auditen is mogelijk wanneer een toezichthoudende autoriteit dat vereist of na een inbreuk in verband met persoonsgegevens.

De beperkingen en uitsluitingen van aansprakelijkheid in de Servicevoorwaarden zijn van toepassing op dit Addendum, behalve voor zover het gegevensbeschermingsrecht niet toestaat dat zij worden toegepast op de rechten van betrokkenen.

Dit Addendum is van toepassing zolang wij namens u persoonsgegevens verwerken. Als u een ondertekend exemplaar nodig hebt, schrijf dan naar support@omnimessage.co.