Volgens de Servicevoorwaarden (de “Voorwaarden”) biedt Smartsupp de Service zoals uiteengezet in de Voorwaarden aan jou als gebruiker van de Service. De relatie tussen Smartsupp en gebruiker is daarmee gebaseerd op een online registratieproces van de gebruiker of via een schriftelijk of elektronisch contract waarbij de Voorwaarden zijn gevoegd, die samen een overeenkomst vormen tussen jou en Smartsupp (de "Overeenkomst"). Deze gegevensverwerkingsovereenkomst (hierna de "DPA") maakt integraal deel uit van de Overeenkomst.

Woorden die beginnen met een hoofdletter hebben dezelfde betekenis als benoemd in de Voorwaarden of een ander bijvoegsel waar in de Voorwaarden naar wordt verwezen, tenzij anders vermeld in deze DPA.

Smartsupp sluit deze DPA af in overeenstemming met de toepasselijke privacywetgeving, zoals Verordening 2016/679 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en het vrije verkeer van die gegevens (“AVG”), de Data Protection Act 2018 of CCPA/CPRA en ook in overeenstemming met andere privacywetten die van toepassing zijn tijdens de levering van de Service onder de Overeenkomst (“toepasselijke privacywetten”).

Wanneer in deze DPA wordt bepaald dat Smartsupp als verwerker van persoonsgegevens optreedt, heeft dit de betekenis die wordt gegeven aan “verwerker” onder de AVG en andere gelijkwaardige termen onder andere toepasselijke privacywetten (bijvoorbeeld “Service Provider” zoals gedefinieerd onder de CCPA). Wanneer deze DPA bepaalt dat jij optreedt als verwerkingsverantwoordelijke van persoonsgegevens, heeft dit dezelfde betekenis als “verwerkingsverantwoordelijke” onder de AVG en andere gelijkwaardige termen onder toepasselijke privacywetten (bijvoorbeeld “Business” zoals gedefinieerd onder de CCPA).

We hebben het artikel onderverdeeld in een paar secties:

1.1 Verwerken van persoonsgegevens als persoonsgegevensverwerker. Smartsupp kan persoonsgegevens verwerken namens de gebruiker wanneer de Service aan de gebruiker wordt geleverd en Smartsupp handelt dan als verwerker van persoonsgegevens (of sub-verwerker) ten opzichte van de gebruiker.

De verwerkingsactiviteiten van Smartsupp zijn het gevolg van registratie, de Overeenkomst of van gedocumenteerde verzoeken van de gebruiker tijdens de levering van de Service via het platform beschikbaar op https://www.smartsupp.com (het “Platform”).

1.2 Autorisatie om persoonsgegevens te verwerken. De gebruiker machtigt Smartsupp hierbij om de persoonsgegevens van de door de gebruiker verstrekte betrokkenen te verwerken in overeenstemming met de Service, zoals uiteengezet in deze DPA. Smartsupp zal persoonsgegevens voor de gebruiker verwerken volgens de gedocumenteerde instructies van de gebruiker en alleen voor zover noodzakelijk voor de juiste uitvoering van de verplichtingen van Smartsupp onder de Overeenkomst.

1.3 Verantwoordelijkheid van de gebruiker. Aangezien Smartsupp optreedt als verwerker van persoonsgegevens, treedt de gebruiker op als verwerkingsverantwoordelijke en is daarom verantwoordelijk voor het nakomen van alle verplichtingen met betrekking tot de verwerking van persoonsgegevens. Tot deze verplichtingen behoren onder andere het correct informeren van betrokkenen over de verwerking van persoonsgegevens, het verkrijgen van toestemming voor de verwerking van persoonsgegevens indien nodig en het afhandelen van verzoeken van betrokkenen betreffende de uitoefening van hun rechten (zoals het recht op informatie, inzage, correctie, verwijdering, beperking van de verwerking, bezwaar, etc.). Smartsupp ondersteunt de gebruiker bij het nakomen van deze verplichtingen via het Platform of via gedocumenteerde verzoeken van de gebruiker. Smartsupp is echter op geen enkele wijze verantwoordelijk voor de juistheid en rechtmatigheid van de activiteiten van de gebruiker, inclusief elke activiteit die in strijd kan zijn met de privacywetgeving of andere wettelijke regels in het land van waaruit de gebruiker de Service gebruikt.

2.1 Onderwerp van de verwerking. Het onderwerp van verwerking van persoonsgegevens, die hieronder zijn gedefinieerd, door Smartsupp is het leveren van de Service zoals vastgelegd in de Overeenkomst, in het bijzonder de verwerking van persoonsgegevens wanneer je onze Servicefuncties gebruikt zoals beschreven op de Website.

2.2 Types van persoonsgegevens. Onder het onderwerp van het vervullen van verplichtingen volgens de Overeenkomst en het leveren van de Service, kunnen de volgende typen persoonsgegevens worden verwerkt in overeenstemming met deze DPA:

a) contactgegevens, zoals naam, achternaam, e-mailadres, telefoonnummer of contactgegevens van sociale netwerken,

b) details over het bezoeken van de website van de gebruiker, zoals URL van de bezochte website, datum en tijd van het websitebezoek, technische informatie (schermresolutie, apparaat type, browsertype, besturingssysteem, etc.), IP-adres, geolocatiegegevens (land en stad van waaruit de gebruiker je website bekeek),

c) informatie die is opgenomen in de gesprekken tussen gebruikers en klanten of andere gebruikers bij het gebruik van de Service-functies,

d) technische logboeken en andere informatie over gebruikers die de Service gebruiken (Smartsupp gebruikt hulpmiddelen van derden om zulke informatie vast te leggen),

e) andere persoonsgegevens die door de gebruiker zijn geüpload of op een andere manier zijn gebruikt, of

f) de persoonsgegevens waarvan het type, de omvang en de details naar eigen inzicht door de gebruiker worden bepaald en gecontroleerd tijdens de levering van de Service.

De reikwijdte van persoonsgegevens is afhankelijk van het type Servicefuncties die door de gebruiker worden gebruikt. De Service is niet bedoeld voor het opslaan van bijzondere categorieën van persoonsgegevens. De gebruiker mag de Service niet gebruiken voor het opslaan of verwerken van bijzondere categorieën van persoonsgegevens. Als de gebruiker deze toch via de Service verwerkt, aanvaardt Smartsupp geen aansprakelijkheid voor dergelijke verwerking.

2.3 Categorieën betrokkenen. Smartsupp zal persoonsgegevens verwerken over de volgende categorieën betrokkenen:

a) werknemers (en andere medewerkers en personen die namens de gebruiker handelen) van de gebruiker;

b) personen voor wie de gebruiker een account heeft aangemaakt binnen de Service;

c) klanten en andere gebruikers van de gebruiker aan wie de Service wordt geleverd;

d) bezoekers van de website van de gebruiker;

e) andere personen van wie de persoonsgegevens door de gebruiker aan Smartsupp zijn verstrekt tijdens de levering van de Service en van wie de persoonsgegevens zijn vastgelegd of anderszins zijn verwerkt in overeenstemming met de levering van de Service aan de gebruiker.

3.1 Aard van de verwerking van persoonsgegevens. Smartsupp zal persoonsgegevens op een geautomatiseerde, elektronische manier verwerken en de verwerking zal bestaan uit het openen van de persoonsgegevens als onderdeel van de levering van de Service, het bekijken van de persoonsgegevens, het opslaan van persoonsgegevens en andere activiteiten die bij de levering van de Service aan de gebruiker kunnen horen. De aard van de verwerking van persoonsgegevens volgt uit:

a) de Overeenkomst die de Partijen zijn overeengekomen;

b) de verzoeken van de gebruiker of andere bevoegde gebruikers die namens de gebruiker het Platform gebruiken;

c) de aard van de Service en het Platform;

d) andere gedocumenteerde instructies van de gebruiker.

3.2 Doeleinde van verwerking. Het doel van de verwerking is het leveren van de Service aan de gebruiker, zoals gedefinieerd in de Voorwaarden en voor overige doeleinden die uit de levering van de Service kunnen voortvloeien.

4.1 Duur van verwerking van persoonsgegevens. De verwerking van persoonsgegevens vindt plaats gedurende de looptijd van de Overeenkomst, of zolang Smartsupp opdrachten ontvangt van de gebruiker met betrekking tot de uitvoering van de Overeenkomst. Smartsupp verplicht zich de verplichtingen zoals vastgelegd in de privacywetgeving na te leven gedurende de hele looptijd van de Overeenkomst, tenzij uit de Overeenkomst blijkt dat deze verplichtingen moeten voortduren na beëindiging ervan.

4.2 Teruggave en verwijdering van persoonsgegevens. Als de Overeenkomst wordt beëindigd, zal Smartsupp, voor zover toegestaan door de toepasselijke privacywetgeving, alle persoonsgegevens die zijn opgeslagen voor het leveren van de Service binnen 3 maanden na beëindiging verwijderen. Als de gebruiker Smartsupp binnen de hierboven genoemde periode vraagt om gegevens terug te geven, heeft Smartsupp het recht om hiervoor een redelijk tarief in rekening te brengen waarvan de hoogte vooraf wordt gecommuniceerd.

5.1 Verplichtingen van Smartsupp. Bij het verwerken van persoonsgegevens verbindt Smartsupp zich ertoe om:

a) persoonsgegevens uitsluitend te verwerken op basis van gedocumenteerde instructies van de gebruiker; voor alle duidelijkheid: het verwerken van persoonsgegevens om te voldoen aan verplichtingen onder de Overeenkomst wordt gezien als verwerking overeenkomstig de instructies van de gebruiker;

b) de instructies van de gebruiker te volgen wat betreft de doorgifte van persoonsgegevens aan een derde land of een internationale organisatie, tenzij een dergelijke verwerking reeds wettelijk verplicht is op grond van het recht van de Europese Unie of lidstaat waaraan Smartsupp onderworpen is;

c) ervoor te zorgen dat personen die bevoegd zijn om persoonsgegevens te verwerken, zijn gebonden aan een vertrouwelijkheidsverplichting of een wettelijke geheimhoudingsplicht;

d) met betrekking tot de aard van de verwerking, de gebruiker door middel van passende technische en organisatorische maatregelen, waar mogelijk, te ondersteunen bij de nakoming van de verplichting van de gebruiker om verzoeken tot uitoefening van rechten van betrokkenen te beantwoorden; de regels voor het afhandelen van verzoeken van betrokkenen zijn gespecificeerd in artikel 5.2 van deze DPA;

e) de gebruiker te assisteren bij het nakomen van de verplichtingen van de gebruiker om (i) het beveiligingsniveau van de verwerking te waarborgen, (ii) datalekken te melden aan de Autoriteit Persoonsgegevens en, indien van toepassing, aan betrokkenen, (iii) de impact op de bescherming van persoonsgegevens te beoordelen en (iv) voorafgaand overleg bij de Autoriteit Persoonsgegevens te voeren, met inachtneming van de aard van de verwerking en de aard van de verwerkte persoonsgegevens;

f) de gebruiker of een door de gebruiker gemachtigde persoon toe te staan na te gaan (inclusief audit of inspectie) of wordt voldaan aan deze DPA, in het bijzonder de verplichtingen met betrekking tot het verwerken van persoonsgegevens die hieruit voortvloeien, en zal aan zulke controles bijdragen conform de redelijke instructies van de gebruiker of de gemachtigde; de specifieke regels voor audits zijn uiteengezet in artikelen 5.3 en 5.4 van deze DPA;

g) de gebruiker alle informatie te verschaffen die redelijkerwijs van Smartsupp kan worden verwacht om aan te tonen dat de verplichtingen van de relevante privacywetgeving zijn nageleefd.

5.2 Verzoeken van betrokkenen. Wanneer een betrokkene rechtstreeks contact opneemt met Smartsupp, zal Smartsupp de betrokkene verzoeken zich rechtstreeks tot de gebruiker te wenden. Smartsupp zal commercieel redelijke inspanningen leveren om de gebruiker te ondersteunen bij het beantwoorden van het verzoek van de betrokkene, voor zover Smartsupp dit wettelijk is toegestaan. De gebruiker is verantwoordelijk voor alle kosten die voortvloeien uit de assistentie van Smartsupp en is verantwoordelijk voor de correcte afhandeling van een dergelijk verzoek.

5.3 Regels voor audit. De gebruiker dient verzoeken om een audit (controle) uitsluitend te sturen naar het Smartsupp e-mailadres dpo@smartsupp.com, met redelijke tussenpozen. Na ontvangst van een auditverzoek stemmen partijen vooraf af over (i) een mogelijke datum van de audit, (ii) beveiligingsmaatregelen en de manier waarop wordt voldaan aan geheimhoudingsverplichtingen tijdens de audit, en (iii) het verwachte begin, de omvang en de duur van de audit. Als na 30 dagen na het verzoek geen overeenstemming is bereikt, stelt Smartsupp de voorwaarden van de audit vast.

5.4 Auditor. Smartsupp kan schriftelijk bezwaar maken tegen een door de gebruiker benoemde auditor (bevoegde persoon) als, naar het oordeel van Smartsupp, deze niet voldoende gekwalificeerd is, niet onafhankelijk is, in een concurrentiepositie met Smartsupp verkeert of anderszins duidelijk ongeschikt is. Na het bezwaar dient de gebruiker een andere auditor te benoemen of zelf de audit uit te voeren. De gebruiker stelt Smartsupp direct op de hoogte van onregelmatigheden, of het nu gaat om non-compliance met toepasselijke privacywetten of met deze DPA, die tijdens de audit zijn ontdekt.

5.5 Omvang van audit. De reikwijdte van de audit door de gebruiker betreft uitsluitend documentatie en processen die rechtstreeks verband houden met het gebruik van de Service door de specifieke gebruiker.

5.6 Sub-verwerkers. De gebruiker gaat akkoord met het inschakelen van andere sub-verwerkers bij de verwerking van persoonsgegevens. Afhankelijk van het type Service dat aan de gebruiker wordt geleverd of aangevraagd, kan Smartsupp andere sub-verwerkers inzetten of persoonsgegevens delen met andere gegevensontvangers. De gebruiker stemt ermee in dat Smartsupp sub-verwerkers inschakelt die zijn vermeld op: https://help.smartsupp.com/en/articles/12647685

5.7 Bezwaar tegen andere sub-verwerkers. Smartsupp informeert de gebruiker schriftelijk of via bijwerking van de lijst met sub-verwerkers over de inschakeling van een extra sub-verwerker voordat deze wordt ingezet. De gebruiker kan binnen 10 werkdagen na kennisgeving bezwaar maken tegen de inzet van de extra sub-verwerker. Indien de gebruiker niet binnen de gestelde termijn bezwaar maakt, zal Smartsupp de extra sub-verwerker inschakelen. Als sprake is van bezwaar, zal Smartsupp het bezwaar beoordelen en, indien gegrond, de extra sub-verwerker niet inschakelen of een commercieel redelijke wijziging aanbrengen in de configuratie of het gebruik van de Service door de gebruiker om verwerking door deze sub-verwerker te voorkomen. Als aanpassing niet mogelijk is, kan Smartsupp de Overeenkomst (geheel of gedeeltelijk) beëindigen of het deel van de Service waaraan de extra sub-verwerker is gekoppeld niet leveren, zonder in verzuim te zijn of enige verplichting te schenden. Smartsupp zal de gebruiker alle vooruitbetaalde vergoedingen terugbetalen voor het resterende deel van de looptijd met betrekking tot de beëindigde Service, zonder een boete op te leggen voor deze beëindiging.

5.8 Verplichtingen van andere sub-verwerkers.Indien Smartsupp een andere sub-verwerker inschakelt, moet deze zich contractueel committeren aan dezelfde verplichtingen om persoonsgegevens te beschermen als overeengekomen tussen de gebruiker en Smartsupp en ook passende technische en organisatorische maatregelen treffen.

5.9 Aansprakelijkheid voor sub-verwerker.Smartsupp is aansprakelijk voor de handelingen en nalatigheden van zijn sub-verwerkers in dezelfde mate als Smartsupp aansprakelijk zou zijn indien de geleverde Service van elke sub-verwerker direct onder de voorwaarden van deze DPA wordt uitgevoerd, tenzij anders bepaald in de Overeenkomst.

5.10 Kosten met betrekking tot de uitvoering van de DPA. Tenzij schriftelijk anders overeengekomen, draagt de gebruiker zijn eigen kosten die gepaard gaan met de uitvoering van de DPA. Smartsupp heeft het recht de gebruiker redelijke kosten in rekening te brengen voor het behandelen van verzoeken en het uitvoeren van verplichtingen onder deze DPA.

6.1 Verplichtingen omtrent beveiliging van persoonsgegevens. Smartsupp heeft technische en organisatorische maatregelen getroffen en handhaaft deze om ongeautoriseerde of onbedoelde toegang tot, wijziging, vernietiging of verlies van persoonsgegevens, ongeautoriseerde doorgiften, andere ongeoorloofde verwerking of ander ongeoorloofd misbruik van persoonsgegevens te voorkomen. Smartsupp monitort regelmatig de naleving van deze maatregelen.

6.2 Specifieke beveiligingsmaatregelen. Smartsupp heeft de volgende maatregelen getroffen en handhaaft deze om een passend beveiligingsniveau te waarborgen:

Technische maatregelen:

a) Pseudonimiseren en versleutelen van persoonsgegevens:

het Platform waarop persoonsgegevens worden verwerkt staat alleen veilige kanalen of protocollen voor inkomende netwerkverbindingen toe; Smartsupp versleutelt gegevens via SSL/TLS voor alle gegevensoverdracht

de IT-systemen die persoonsgegevens verwerken staan alleen veilige kanalen of protocollen toe;

cryptografische sleutels worden veilig beheerd.

b) Het vermogen om de voortdurende vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van verwerkende systemen en diensten te waarborgen:

fysieke toegang door personeelsleden van Smartsupp is beperkt tot bevoegde personen;

Smartsupp heeft mechanismen ingevoerd om fysieke of online toegang tot servers die persoonsgegevens hosten te beperken;

het voorkomen dat onbevoegden toegang krijgen tot persoonsgegevens en dat persoonsgegevens zonder toestemming worden gebruikt;

personen die gemachtigd zijn om persoonsgegevens te verwerken, hebben alleen toegang tot de persoonsgegevens die ze nodig hebben en waarvoor ze gemachtigd zijn, en persoonsgegevens kunnen niet zonder toestemming worden gelezen, gekopieerd, gewijzigd of verwijderd tijdens verwerking;

toegang wordt sterk geauthenticeerd (bijvoorbeeld door gebruik van sterke wachtwoorden);

toegangsrechten worden periodiek gecontroleerd;

toegangspogingen (zowel geslaagd als mislukt) worden gelogd en gemonitord;

personeel van Smartsupp mag geen persoonsgegevens lokaal op hun werkstations of op enig andere netwerkplek downloaden en verwerken;

alle mogelijke uitval van het Platform en afwijkingen worden gelogd.

c) Het vermogen om de beschikbaarheid van en toegang tot persoonsgegevens tijdig te kunnen herstellen bij een fysiek of technisch incident:

Smartsupp heeft backup-procedures, mechanismen en tools in gebruik;

herstelscenario’s, leesbaarheid van data en integriteit van back-ups worden periodiek getest.

d) Smartsupp heeft een proces voor regelmatige testen, beoordelen en evalueren van de effectiviteit van de technische en organisatorische beveiligingsmaatregelen die zijn geïmplementeerd.

e) Persoonsgegevens kunnen niet zonder toestemming worden gewijzigd of verwijderd tijdens elektronische overdracht, transport of opslag en het ontvangende entiteit voor een overdracht kan worden vastgesteld en geverifieerd.

Organisatorische maatregelen:

f) Al het personeel dat betrokken is bij het verwerken van persoonsgegevens is op de hoogte van het vertrouwelijke karakter van de persoonsgegevens, heeft passende training gekregen over hun verantwoordelijkheden en heeft schriftelijke geheimhoudingsverklaringen ondertekend.

g) Smartsupp heeft interne richtlijnen en processen geïmplementeerd voor de beveiliging van persoonsgegevensverwerking overeenkomstig de toepasselijke privacywetten.

h) Voor vragen over deze DPA, naleving van privacywetgeving, gegevensprivacy, of privacykwesties, kun je een e-mail sturen naar dpo@smartsupp.com.

6.3 Beveiligingsincidenten. Als Smartsupp een datalek ontdekt, meldt het dit zonder onnodige vertraging aan de gebruiker, uiterlijk binnen 48 uur nadat het beveiligingsincident bekend is geworden, en zal zich inspannen om de gebruiker alle bekende informatie over het incident te verstrekken, beperkt tot:

Smartsupp reageert op elk verzoek van de gebruiker om hulp in geval van een beveiligingsincident zonder onnodige vertraging.

6.4 Onrechtmatige instructies. Als de gebruiker Smartsupp zodanig instrueert dat een inbreuk op verplichtingen uit de privacywetgeving ontstaat, en Smartsupp wordt om die reden gesanctioneerd door een toezichthouder of andere instantie of moet betrokkenen compenseren, stemt de gebruiker ermee in Smartsupp te compenseren en de schade te vergoeden op schriftelijk verzoek van Smartsupp.

6.5 Beperking van aansprakelijkheid. Dezelfde beperking van aansprakelijkheid als in de Voorwaarden is van toepassing op deze DPA.

6.6 Wijzigingen. Dezelfde regels voor wijzigingen als benoemd in de Voorwaarden zijn van toepassing.

6.7 Inwerkingtreding. Deze DPA wordt juridisch bindend tussen de gebruiker en Smartsupp samen met de Overeenkomst.