Verwerkersovereenkomst

1. Rollen en reikwijdte

Deze verwerkersovereenkomst maakt deel uit van de Servicevoorwaarden. De Klant is de verwerkingsverantwoordelijke en THEFOCUS LTD is de verwerker voor persoonsgegevens die worden verwerkt in de klantwerkruimte, in de advertentieaccounts, tagmanagers en analysetools van de Klant, en in CRM-exports die aan ons worden verstrekt (“Persoonsgegevens van de Klant”). Bijlage 1 beschrijft de verwerking. Als de Klant zelf verwerker is voor een andere verwerkingsverantwoordelijke, treden wij op dezelfde voorwaarden op als zijn subverwerker.

Deze verwerkersovereenkomst voldoet aan artikel 28 van de UK GDPR en, voor zover van toepassing, aan artikel 28 van de AVG en de bepalingen voor verwerkers in andere wetgeving inzake gegevensbescherming in de markten die wij bedienen.

2. Onze verplichtingen als verwerker

• Persoonsgegevens van de Klant uitsluitend verwerken op gedocumenteerde instructie van de Klant, waaronder de overeenkomst en het gebruik van de applicatie door de Klant, tenzij de wet anders vereist. In dat geval informeren wij de Klant vóór de verwerking, tenzij de wet dat verbiedt. Wij laten de Klant weten als een instructie naar ons oordeel in strijd is met de wetgeving inzake gegevensbescherming.
• Ervoor zorgen dat iedereen die bevoegd is om ze te verwerken, aan geheimhouding gebonden is.
• De technische en organisatorische maatregelen uit bijlage 2 toepassen.
• Subverwerkers uitsluitend inschakelen zoals bepaald in artikel 3.
• De Klant, rekening houdend met de aard van de verwerking, bijstaan bij verzoeken van betrokkenen en bij zijn verplichtingen inzake beveiliging, melding van inbreuken, effectbeoordelingen en voorafgaande raadpleging van toezichthouders.
• De Klant zonder onredelijke vertraging, en binnen 48 uur, op de hoogte stellen nadat wij kennis hebben gekregen van een inbreuk in verband met persoonsgegevens die Persoonsgegevens van de Klant betreft, met de informatie die de Klant nodig heeft om aan zijn eigen meldplichten te voldoen.
• Bij het einde van de diensten Persoonsgegevens van de Klant naar keuze van de Klant binnen 30 dagen verwijderen of teruggeven en bestaande kopieën verwijderen, tenzij de wet ons verplicht ze te bewaren.
• De informatie beschikbaar stellen die nodig is om naleving aan te tonen, en audits toestaan door de Klant of een door hem aangewezen auditor, met een opzegtermijn van 30 dagen, onder geheimhouding en niet vaker dan eenmaal per jaar, tenzij een inbreuk of een toezichthouder dat vereist.

3. Subverwerkers

De Klant verleent algemene toestemming voor de subverwerkers die op onze pagina Subverwerkers zijn beschreven; de actuele lijst met namen is beschikbaar in het klantdashboard en op verzoek. Wij kondigen een nieuwe subverwerker ten minste 30 dagen vooraf aan via de applicatie. De Klant kan op redelijke gronden van gegevensbescherming bezwaar maken; als wij het bezwaar niet kunnen oplossen, kan de Klant de betrokken dienst zonder boete beëindigen. Wij leggen elke subverwerker gegevensbeschermingsvoorwaarden op die niet minder bescherming bieden dan deze verwerkersovereenkomst en blijven verantwoordelijk voor diens nakoming.

4. Internationale doorgifte

Wij geven Persoonsgegevens van de Klant uitsluitend door buiten het Verenigd Koninkrijk op grond van Britse adequaatheidsregelingen, de UK Extension to the EU-US Data Privacy Framework, de ICO International Data Transfer Agreement of het UK Addendum bij de EU-modelcontractbepalingen.

Als de Klant in de EER gevestigd is, berust de doorgifte aan ons op het adequaatheidsbesluit van de Europese Commissie voor het Verenigd Koninkrijk; als dat besluit niet langer van toepassing is, worden de EU-modelcontractbepalingen (module twee, of module drie als de Klant verwerker is) door verwijzing opgenomen, met Iers recht als toepasselijk recht en Ierland als forum uitsluitend voor die bepalingen. Als de Klant in Zwitserland gevestigd is, gelden dezelfde bepalingen met de Zwitserse aanpassingen. Voor andere markten ondertekenen wij op verzoek de doorgiftevoorwaarden die het recht van de Klant vereist, zoals standaardcontracten onder de Turkse KVKK of de Chinese PIPL.

5. Bijzondere categorieën van gegevens en gevoelige targeting

De Klant mag geen bijzondere categorieën van persoonsgegevens (bijvoorbeeld gezondheidsgegevens), strafrechtelijke gegevens of gegevens van kinderen naar de applicatie uploaden en mag geen opdracht geven tot targeting op basis van gevoelige kenmerken.

6. Aansprakelijkheid en duur

De aansprakelijkheid onder deze verwerkersovereenkomst is onderworpen aan de beperkingen in de Servicevoorwaarden. Deze verwerkersovereenkomst geldt zolang wij Persoonsgegevens van de Klant verwerken.

Bijlage 1: Beschrijving van de verwerking

• Onderwerp en duur: levering van de diensten gedurende de looptijd van de overeenkomst en de uittredingsperiode van 30 dagen.
• Aard en doel: planning en uitvoering van campagnes, realtime optimalisatiesignalen naar de campagnes van de Klant, configuratie van meting en tracking, rapportage en ondersteuning.
• Betrokkenen: de medewerkers van de Klant die gebruiker zijn, en zijn prospects en klanten zoals vertegenwoordigd in advertentie-, analyse- en CRM-gegevens.
• Categorieën van gegevens: namen en zakelijke contactgegevens van gebruikers van de Klant; online identificatoren, gehashte contactgegevens die worden gebruikt voor conversiematching op platforms, geaggregeerde campagnestatistieken en leadfasen in het CRM.
• Bewaartermijn: zoals vastgelegd in de Privacyverklaring en artikel 2.

Bijlage 2: Technische en organisatorische maatregelen

• Verplichte meervoudige authenticatie voor alle accounts, met herstelcodes voor eenmalig gebruik die uitsluitend als hash worden opgeslagen.
• Op rollen gebaseerde toegang volgens het principe van minimale rechten voor medewerkers, herzien wanneer rollen wijzigen.
• Scheiding tussen klantwerkruimtes, afgedwongen in de applicatie en op databaseniveau.
• Versleuteling tijdens transport met actuele TLS en versleuteling in rust voor databases, bestanden en back-ups.
• Gedistribueerde, versleutelde dienstverlening in meer dan 125 landen.
• Auditlogs waaraan alleen kan worden toegevoegd, voor beveiligingsrelevante handelingen.
• Geen opslag van wachtwoorden van advertentieaccounts; toegang uitsluitend via gebruikers- of partnerrechten van het platform.
• Ondertekende en tegen replay beveiligde webhooks en gegevensinname.
• Geautomatiseerde scans op geheimen en tests vóór elke release.
• Procedure voor incidentrespons met vastgelegde escalatie en melding aan de klant.