Our Article 28 GDPR agreement for the personal data you process in PPS ERP.
Some company details in this document are still being completed and are marked as such.
1.1 Deze verwerkersovereenkomst ("Verwerkersovereenkomst") wordt gesloten tussen de klant die PPS ERP gebruikt (de "Verwerkingsverantwoordelijke") en PPS — Practical Programming Systems, [nog in te vullen: adres], ingeschreven bij de Kamer van Koophandel (KvK) onder nummer [nog in te vullen: KvK-nummer] (de "Verwerker").
1.2 De Verwerkersovereenkomst maakt deel uit van de overeenkomst voor het leveren van PPS ERP (de "Hoofdovereenkomst", inclusief onze algemene voorwaarden). Zij wordt samen met de Hoofdovereenkomst elektronisch aanvaard, wat voldoet aan het schriftelijkheidsvereiste van artikel 28 lid 9 AVG.
1.3 De Verwerkersovereenkomst geldt voor alle persoonsgegevens die de Verwerker bij het leveren van de Dienst namens de Verwerkingsverantwoordelijke verwerkt ("Persoonsgegevens"). De details van de verwerking staan in bijlage 1.
Begrippen zoals "persoonsgegevens", "verwerking", "verwerkingsverantwoordelijke", "verwerker", "betrokkene", "inbreuk in verband met persoonsgegevens" en "toezichthoudende autoriteit" hebben de betekenis uit Verordening (EU) 2016/679 (de "AVG").
3.1 De Verwerker verwerkt Persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, ook met betrekking tot doorgifte buiten de EU, tenzij een Unierechtelijke of lidstatelijke bepaling hem tot verwerking verplicht; in dat geval stelt de Verwerker de Verwerkingsverantwoordelijke daarvan vóór de verwerking in kennis, tenzij die wetgeving dat verbiedt.
3.2 De Hoofdovereenkomst, deze Verwerkersovereenkomst en het gebruik en de configuratie van de Dienst door de Verwerkingsverantwoordelijke — inclusief de Koppelingen die zij activeert en de regels die zij instelt — vormen de gedocumenteerde instructies.
3.3 De Verwerker meldt het direct als een instructie naar zijn oordeel inbreuk maakt op de privacywetgeving.
3.4 De Verwerker verwerkt Persoonsgegevens niet voor eigen doeleinden, verkoopt ze niet en combineert ze niet met gegevens van andere klanten. Geaggregeerde, anonieme informatie over het gebruik van de Dienst mag worden gebruikt om de Dienst te exploiteren en te verbeteren.
De Verwerker zorgt ervoor dat personen die Persoonsgegevens verwerken aan geheimhouding zijn gebonden en alleen toegang hebben voor zover nodig voor hun taken.
5.1 De Verwerker treft de technische en organisatorische maatregelen uit bijlage 2 om een op het risico afgestemd beveiligingsniveau te waarborgen (artikel 32 AVG).
5.2 De Verwerker mag deze maatregelen aanpassen aan de ontwikkeling van techniek en risico's, mits het totale beveiligingsniveau niet daalt.
5.3 De Verwerkingsverantwoordelijke is verantwoordelijk voor de beveiliging van haar eigen apparaten en inloggegevens, voor het toekennen van passende rollen aan Gebruikers en voor de instellingen die zij zelf beheert in de Dienst, zoals supporttoegang.
6.1 De Verwerkingsverantwoordelijke verleent algemene schriftelijke toestemming voor het inschakelen van de subverwerkers uit bijlage 3.
6.2 De Verwerker informeert de Verwerkingsverantwoordelijke minstens 30 dagen voordat een subverwerker wordt toegevoegd of vervangen. De Verwerkingsverantwoordelijke kan binnen die termijn op redelijke privacygronden bezwaar maken. Partijen overleggen dan te goeder trouw over een alternatief; komt dat er niet, dan mag de Verwerkingsverantwoordelijke het betreffende deel van de Hoofdovereenkomst opzeggen voordat de wijziging ingaat, met terugbetaling naar rato van vooruit betaalde vergoedingen.
6.3 De Verwerker legt iedere subverwerker privacyverplichtingen op die gelijkwaardig zijn aan die in deze Verwerkersovereenkomst en blijft tegenover de Verwerkingsverantwoordelijke verantwoordelijk voor de nakoming door zijn subverwerkers.
6.4 Platforms van derden die de Verwerkingsverantwoordelijke aan de Dienst koppelt (bijvoorbeeld bol.com, Amazon, Shopify of een eigen betaal- of e-mailaanbieder) zijn geen subverwerkers van de Verwerker. De Verwerkingsverantwoordelijke wisselt met hen gegevens uit op basis van haar eigen overeenkomsten.
7.1 De Dienst wordt gehost in de European Union (EU/EEA).
7.2 Verwerkt een subverwerker Persoonsgegevens buiten de EU/EER, of is er van daaruit toegang mogelijk, dan zorgt de Verwerker voor een geldig doorgiftemechanisme volgens hoofdstuk V AVG — een adequaatheidsbesluit, waaronder het EU-VS Data Privacy Framework voor gecertificeerde ontvangers, of de standaardcontractbepalingen van de Europese Commissie met zo nodig aanvullende maatregelen.
8.1 Rekening houdend met de aard van de verwerking helpt de Verwerker de Verwerkingsverantwoordelijke met passende technische en organisatorische maatregelen bij het beantwoorden van verzoeken van betrokkenen. De Dienst biedt functies om persoonsgegevens van klanten, contactpersonen van leveranciers en medewerkers in te zien, te exporteren, te corrigeren en te anonimiseren.
8.2 Ontvangt de Verwerker rechtstreeks een verzoek van een betrokkene over Persoonsgegevens, dan stuurt hij dit zonder onredelijke vertraging door naar de Verwerkingsverantwoordelijke en beantwoordt hij het niet zelf, behalve om de betrokkene naar de Verwerkingsverantwoordelijke te verwijzen.
9.1 De Verwerker meldt een inbreuk die Persoonsgegevens betreft zonder onredelijke vertraging, en in ieder geval binnen 48 uur nadat hij deze heeft ontdekt, aan de Verwerkingsverantwoordelijke.
9.2 De melding beschrijft, voor zover bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en registraties, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een contactpunt. Informatie die nog niet beschikbaar is, wordt verstrekt zodra die beschikbaar komt.
9.3 De Verwerker neemt redelijke maatregelen om de inbreuk in te dammen en de gevolgen te beperken, en ondersteunt de Verwerkingsverantwoordelijke bij haar meldplichten tegenover de toezichthouder en betrokkenen.
De Verwerker verstrekt de Verwerkingsverantwoordelijke redelijke informatie die nodig is voor een gegevensbeschermingseffectbeoordeling of voorafgaande raadpleging van een toezichthouder, voor zover de Verwerkingsverantwoordelijke daar niet anderszins over beschikt.
11.1 Tijdens de Hoofdovereenkomst kan de Verwerkingsverantwoordelijke Persoonsgegevens zelf exporteren en verwijderen met de functies van de Dienst.
11.2 Na het einde van de Hoofdovereenkomst blijft de Account 30 dagen alleen-lezen beschikbaar zodat de Verwerkingsverantwoordelijke haar gegevens kan exporteren. Daarna verwijdert de Verwerker de Persoonsgegevens binnen nog eens 60 dagen definitief uit de productiesystemen, tenzij Unierecht of lidstatelijk recht opslag verplicht.
11.3 Kopieën in back-ups worden verwijderd zodra de back-ups in de normale rotatie verlopen en worden niet teruggezet behalve voor noodherstel, waarna verwijderingen opnieuw worden toegepast.
11.4 Op verzoek bevestigt de Verwerker de verwijdering schriftelijk.
12.1 De Verwerker stelt alle informatie beschikbaar die nodig is om naleving van artikel 28 AVG aan te tonen, primair via deze Verwerkersovereenkomst, de beveiligingspagina en antwoorden op redelijke beveiligingsvragenlijsten.
12.2 Is die informatie onvoldoende, dan mag de Verwerkingsverantwoordelijke ten hoogste eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte auditor, met een aankondigingstermijn van minstens 30 dagen, tijdens kantooruren en zonder de Dienst te verstoren of gegevens van andere klanten in gevaar te brengen. De kosten zijn voor de Verwerkingsverantwoordelijke, tenzij de audit een wezenlijke tekortkoming van de Verwerker aan deze Verwerkersovereenkomst aan het licht brengt.
De aansprakelijkheid van partijen onder deze Verwerkersovereenkomst valt onder de beperkingen van de Hoofdovereenkomst, behalve voor zover de AVG zo'n beperking niet toestaat.
14.1 Deze Verwerkersovereenkomst geldt zolang de Verwerker Persoonsgegevens namens de Verwerkingsverantwoordelijke verwerkt.
14.2 Bij strijd tussen deze Verwerkersovereenkomst en de Hoofdovereenkomst over de bescherming van persoonsgegevens gaat deze Verwerkersovereenkomst voor.
14.3 Op deze Verwerkersovereenkomst is het recht van the Netherlands van toepassing; geschillen worden voorgelegd aan de bevoegde rechter in Amsterdam.
Onderwerp en duur. Het leveren van het cloudplatform PPS ERP gedurende de Hoofdovereenkomst en de export- en verwijderingstermijn daarna.
Aard en doel. Opslaan, ordenen, opvragen, tonen, combineren, berekenen, exporteren, doorsturen naar gekoppelde systemen en verwijderen van gegevens, om de ERP-functies te leveren die de Verwerkingsverantwoordelijke gebruikt: producten en voorraad, verkoop en facturatie, inkoop, klanten (CRM), leveranciers, kassa en winkels, personeel en salarisadministratie, koppelingen met marktplaatsen en webwinkels, rapportages, meldingen en support.
Categorieën betrokkenen.
Categorieën persoonsgegevens.
Bijzondere categorieën. De Dienst is niet bedoeld voor bijzondere categorieën persoonsgegevens (artikel 9 AVG). De Verwerkingsverantwoordelijke legt geen gezondheidsinformatie vast — bijvoorbeeld medische redenen voor verlof — in vrije tekstvelden. Waar burgerservicenummers worden verwerkt, zorgt de Verwerkingsverantwoordelijke voor een wettelijke grondslag (zoals voor de salarisadministratie).
Frequentie. Doorlopend, gedurende de Hoofdovereenkomst.
Locatie. European Union (EU/EEA); zie bijlage 3 voor subverwerkers.
De maatregelen op onze beveiligingspagina, in de op dat moment geldende versie, vormen bijlage 2 van deze Verwerkersovereenkomst.
De subverwerkers op onze subverwerkerspagina, in de op dat moment geldende versie, vormen bijlage 3 van deze Verwerkersovereenkomst.
Bij verschillen tussen taalversies is de Engelse versie leidend.
Questions about this policy?
Contact us at info@ppserp.com.