Bijlage gegevensverwerking (DPA)

Ingangsdatum: 1 januari 2026

Dit Addendum Gegevensverwerking (“DPA”) maakt deel uit van de overeenkomst tussen Accepteer missie B.V. (“Accepteer missie”, “Verwerker”) en de klantentiteit die zich abonneert op de Accepteer missie service (“Klant”, “Verwerkingsverantwoordelijke”). Deze DPA is van toepassing voor zover Accepteer missie verwerkt Persoonsgegevens namens de Klant in verband met de Accepteer missie softwareplatform en aanverwante diensten (de “Service”).

Als u deze DPA namens een organisatie accepteert, bevestigt u dat u bevoegd bent om die organisatie te binden.

1) Definities #

In het kader van deze DPA:

• Toepasselijke wetgeving inzake gegevensbescherming betekent de GDPR en alle toepasselijke wetten van de EU-lidstaten, en indien van toepassing de GDPR en de Data Protection Act 2018 van het Verenigd Koninkrijk, en de Zwitserse wetgeving inzake gegevensbescherming.
• Persoonsgegevens van Klanten betekent Persoonsgegevens in Klantgegevens die Accepteer missie processen namens de Klant als onderdeel van het leveren van de Service.
• Klantgegevens zijn gegevens, inhoud, bestanden en materialen die door de Klant of Geautoriseerde Gebruikers bij de Service zijn ingediend.
• Geautoriseerde Gebruikers betekent personen die de Klant toestemming geeft om de Service te gebruiken onder de account van de Klant.
• Subverwerker betekent een derde partij die in dienst wordt genomen door Accepteer missie Persoonlijke gegevens van klanten verwerken om de dienstverlening te ondersteunen.
• Beveiligingsincident betekent een bevestigde onopzettelijke of onwettige vernietiging, verlies, wijziging, onbevoegde openbaarmaking van of toegang tot Persoonsgegevens van de Klant.
• Standaard Contractuele Clausules of SCC's zijn de door de Europese Commissie goedgekeurde standaard contractuele clausules voor internationale overdrachten.

2) Reikwijdte, rollen en verantwoordelijkheden #

2.1 Klant als controller #

De Klant is de Beheerder van de Persoonsgegevens van de Klant. De Klant bepaalt de doeleinden en middelen van de verwerking, met inbegrip van welke Klantgegevens worden ingediend, wie toegang heeft en hoe de Klantgegevens worden gebruikt binnen de organisatie van de Klant.

2.2 Accepteer missie als bewerker #

Accepteer missie verwerkt Persoonsgegevens van de Klant alleen als Verwerker en alleen om de Service te leveren en te beveiligen, in overeenstemming met de gedocumenteerde instructies van de Klant en deze DPA.

3) Rangorde #

Als er een conflict is tussen documenten, geldt de volgende volgorde, tenzij uitdrukkelijk anders vermeld in een Bestelformulier:

1. Bestelformulier of ondertekende commerciële overeenkomst
2. Deze DPA (voor de verwerking van persoonsgegevens van klanten)
3. SaaS-voorwaarden of klantenovereenkomst
4. Toepasselijke programmavoorwaarden (API, bèta, pilots) indien expliciet overeengekomen voor dat programma

4) Verwerkingsinstructies #

4.1 Gedocumenteerde instructies #

Accepteer missie zal Persoonsgegevens van de Klant alleen verwerken op basis van de gedocumenteerde instructies van de Klant, inclusief voor zover nodig om de Dienst en gerelateerde ondersteuning te leveren waar de Klant om heeft verzocht, tenzij de verwerking wordt vereist door de toepasselijke wetgeving. Indien wettelijk toegestaan, Accepteer missie zal de Klant van een dergelijke wettelijke verplichting op de hoogte stellen alvorens tot verwerking over te gaan.

4.2 Aard en doel van de verwerking #

Verwerking wordt uitgevoerd om de Service te leveren, waaronder het hosten, opslaan, verzenden, beveiligen en beschikbaar stellen van Klantgegevens voor samenwerkings- en workflowfuncties.

5) Vertrouwelijkheid #

Accepteer missie ervoor zorgt dat personen die bevoegd zijn om Persoonsgegevens van Klanten te verwerken, onderworpen zijn aan geheimhoudingsverplichtingen en instructies ontvangen die passen bij hun rol. De toegang is beperkt tot degenen die deze nodig hebben om de Service te verlenen, volgens de principes van 'least privilege' en 'need-to-know'.

6) Beveiliging van de verwerking #

Accepteer missie passende technische en organisatorische maatregelen implementeert om de Persoonsgegevens van Klanten te beschermen in overeenstemming met Artikel 32 GDPR. Deze maatregelen worden op hoog niveau beschreven in Bijlage C.

7) Subverwerkers #

7.1 Toestemming om Subverwerkers te gebruiken #

De klant geeft algemene toestemming voor Accepteer missie Subverwerkers in te schakelen om de dienstverlening te ondersteunen. Accepteer missie zorgt ervoor dat Subverwerkers gebonden zijn aan verplichtingen die niet minder beschermend zijn dan die in deze DPA.

7.2 Subprocessorlijst en updates #

De categorieën Subverwerkers en de huidige lijst die wordt gebruikt voor het leveren van diensten worden beschreven in Bijlage B.

Accepteer missie kan Subprocessors bijwerken. Als een nieuwe Subprocessor wordt toegevoegd of een Subprocessor wordt vervangen, Accepteer missie zal de Klant vooraf op de hoogte stellen indien dit wettelijk vereist is.

7.3 Bezwaren #

Als de Klant om redenen van gegevensbescherming redelijkerwijs bezwaar maakt tegen een nieuwe Subverwerker, kan de Klant het volgende meedelen Accepteer missie binnen de kennisgevingstermijn. De partijen werken te goeder trouw samen om het bezwaar te behandelen. Als er geen redelijke Oplossing beschikbaar is en de wijziging materieel vereist is om de Service te leveren, mag elke partij het betreffende abonnement beëindigen zonder boete voor de ongebruikte vooruitbetaalde periode.

8) Assistentie aan de klant #

Rekening houdend met de aard van de verwerking, Accepteer missie zal de Klant redelijke assistentie verlenen met:

• Reageren op verzoeken van betrokkenen met betrekking tot Persoonsgegevens van de Klant, waarbij de Klant niet kan reageren met behulp van de bedieningselementen van de Service.
• Beveiliging, meldingen van inbreuken en Risico beoordelingen die relevant zijn voor het gebruik van de Service door de Klant.
• DPIA's en overleg met toezichthoudende autoriteiten, voor zover relevant voor de Dienst en de informatie die beschikbaar is om Accepteer missie.

De Klant blijft als Verwerkingsverantwoordelijke verantwoordelijk voor het reageren op betrokkenen en toezichthoudende autoriteiten.

9) Melding van beveiligingsincidenten #

Accepteer missie zal de Klant zonder onnodige vertraging op de hoogte stellen na bevestiging van een Beveiligingsincident waarbij Persoonsgegevens van de Klant betrokken zijn. Waar mogelijk zal dit binnen 48 uur na bevestiging gebeuren.

De kennisgeving zal beschikbare informatie bevatten die de verplichtingen van de Klant ondersteunt, zoals:

• Een beschrijving van het incident en de waarschijnlijke gevolgen
• Betrokken gegevenscategorieën (indien bekend)
• Genomen of geplande maatregelen om het incident aan te pakken
• Aanbevolen acties voor klanten (indien van toepassing)

10) Verwijdering of teruggave van persoonlijke gegevens van klanten #

Bij beëindiging of afloop van de Service, en op verzoek van de Klant indien beschikbaar:

• De Klant kan Klantgegevens exporteren met behulp van beschikbare exporthulpmiddelen.
• Accepteer missie zal Persoonsgegevens van de Klant verwijderen of retourneren in overeenstemming met de instructies van de Klant, met inachtneming van de toepasselijke wetgeving en redelijke bewaarcycli voor back-ups.

11) Audits en informatie over naleving #

Accepteer missie informatie beschikbaar stellen die redelijkerwijs nodig is om de naleving van deze DPA aan te tonen. De Klant kan eenmaal per jaar om een veiligheids- of nalevingsbeoordeling verzoeken, tenzij zich een Beveiligingsincident voordoet, in welk geval de Klant om aanvullende informatie kan verzoeken die relevant is voor het incident.

Audits op locatie zijn onderworpen aan een redelijke reikwijdte, timing, vertrouwelijkheidswaarborgen en kostentoewijzing, en mogen niet onredelijk verstoren Accepteer missie operaties.

12) Internationale overboekingen #

12.1 Primaire verwerkingslocatie #

Persoonsgegevens van klanten worden primair gehost en verwerkt in de Europese Economische Ruimte, met standaard hosting in West-Europa, tenzij de Klant een alternatieve regio selecteert indien deze beschikbaar is onder een bedrijfsovereenkomst.

12.2 Doorgifte buiten de EU of EER #

Als Persoonsgegevens van Klanten worden doorgegeven buiten de EU of EER, Accepteer missie zal zorgen voor een geschikt overdrachtsmechanisme onder de Toepasselijke Wetgeving inzake Gegevensbescherming, zoals:

• SCC's, plus aanvullende maatregelen waar nodig
• Voor Britse overdrachten, het UK International Data Transfer Addendum of een ander geldig Brits mechanisme
• Voor Zwitserse overboekingen, toepasselijke Zwitserse erkende mechanismen

13) Aansprakelijkheid #

Elke partij blijft verantwoordelijk voor zijn eigen naleving van de toepasselijke wetgeving inzake gegevensbescherming. Aansprakelijkheid met betrekking tot deze DPA volgt de bepalingen inzake beperking van aansprakelijkheid in de toepasselijke commerciële overeenkomst, tenzij dwingend recht anders vereist.

14) Term #

Deze DPA blijft van kracht voor de duur van Accepteer missie verwerkt Persoonsgegevens van de Klant namens de Klant.