Verwerkersovereenkomst

Deze Verwerkersovereenkomst (de “Verwerkersovereenkomst”) is gesloten tussen BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India (“LumaKol”, “wij”) en de klant die de Servicevoorwaarden van LumaKol heeft aanvaard (de “Klant”, “jij”).

Deze Verwerkersovereenkomst maakt deel uit van de Servicevoorwaarden voor elke Klant en is van toepassing wanneer LumaKol namens de Klant persoonsgegevens verwerkt — onder de Indiase Digital Personal Data Protection Act, 2023, de GDPR, de UK GDPR of een andere wet inzake gegevensbescherming. Ze is automatisch van toepassing; je hoeft haar niet te ondertekenen.

Als een Klant een medeondertekend exemplaar voor de eigen administratie wil, kan die er een aanvragen via [email protected]. Waar deze Verwerkersovereenkomst en de Servicevoorwaarden strijdig zijn wat betreft de bescherming van persoonsgegevens, gaat deze Verwerkersovereenkomst voor.

• “Gegevensbeschermingswetgeving” betekent elke wet inzake gegevensbescherming die op de verwerking van toepassing is, waaronder de Indiase Digital Personal Data Protection Act, 2023 en de daaronder vastgestelde regels (de “DPDP Act”), de Algemene Verordening Gegevensbescherming (EU) 2016/679 (GDPR), de UK GDPR en de UK Data Protection Act 2018, en de California Consumer Privacy Act zoals gewijzigd (de “CCPA”).
• “Persoonsgegevens van de Klant” betekent persoonsgegevens die LumaKol namens de Klant verwerkt om de Dienst te leveren.
• “Verwerkingsverantwoordelijke”, “verwerker”, “betrokkene”, “inbreuk in verband met persoonsgegevens” en “verwerking” hebben de betekenis die de Gegevensbeschermingswetgeving eraan geeft. Waar de DPDP Act van toepassing is, betekent “verwerkingsverantwoordelijke” Data Fiduciary, “verwerker” Data Processor en “betrokkene” Data Principal.
• “Subverwerker” betekent een derde die LumaKol inschakelt om Persoonsgegevens van de Klant te verwerken.
• “SCC's” betekent de standaardcontractbepalingen die de Europese Commissie heeft goedgekeurd in Uitvoeringsbesluit (EU) 2021/914, en het “UK Addendum” betekent het International Data Transfer Addendum dat is uitgegeven door de UK Information Commissioner.

Andere termen met een hoofdletter hebben de betekenis die de Servicevoorwaarden eraan geven.

De Klant is de verwerkingsverantwoordelijke voor Persoonsgegevens van de Klant en LumaKol is diens verwerker. Waar de Klant zelf een verwerker is die voor een andere verwerkingsverantwoordelijke handelt, is LumaKol diens subverwerker en is de Klant verantwoordelijk voor het doorgeven van de relevante instructies.

LumaKol is een afzonderlijke verwerkingsverantwoordelijke voor de persoonsgegevens die het nodig heeft om het account van de Klant te beheren, zoals gebruikersnamen, inloggegevens en facturatiegegevens. Het Privacybeleid dekt die gegevens, niet deze Verwerkersovereenkomst.

Waar de CCPA van toepassing is, is de Klant een “business” en LumaKol diens “service provider”. LumaKol zal Persoonsgegevens van de Klant niet verkopen of delen, zal ze niet bewaren, gebruiken of verstrekken voor enig ander doel dan het leveren van de Dienst of buiten de directe zakelijke relatie met de Klant, en zal ze niet combineren met persoonsgegevens uit andere bronnen, behalve voor zover de CCPA dat toestaat. LumaKol laat het de Klant weten als het niet langer aan deze verplichtingen kan voldoen.

De Klant is verantwoordelijk voor het hebben van een rechtsgrond (onder de DPDP Act: toestemming of een legitiem gebruik) voor de verwerking, voor de juistheid van Persoonsgegevens van de Klant, voor het geven van elke kennisgeving die de wet vereist aan de mensen die hij benadert, en voor zijn eigen naleving van de wetten op marketinggesprekken en het opnemen van gesprekken.

• Onderwerp: het leveren van LumaKol, een bel-CRM waarin het team van de Klant leads beheert, gesprekken voert vanaf de eigen mobiele telefoons en het resultaat van elk gesprek vastlegt.
• Duur: zolang de Klant de Dienst gebruikt, en daarna totdat de gegevens zijn verwijderd onder “Verwijdering en teruggave”.
• Aard: verzameling, opslag, ordening, opvraging, weergave, overdracht aan de gebruikers en apparaten van de Klant, en verwijdering.
• Doel: het leveren, beveiligen en ondersteunen van de Dienst voor de Klant, en voor geen enkel ander doel.

LumaKol verwerkt Persoonsgegevens van de Klant alleen op de gedocumenteerde instructies van de Klant. De Servicevoorwaarden, deze Verwerkersovereenkomst en het gebruik en de configuratie van de Dienst door de Klant vormen die instructies. LumaKol laat het de Klant weten als het meent dat een instructie in strijd is met de Gegevensbeschermingswetgeving, tenzij de wet dat verbiedt.

Als de wet LumaKol verplicht Persoonsgegevens van de Klant op een andere manier te verwerken, laat het dat de Klant vooraf weten, tenzij de wet dat verbiedt.

LumaKol zorgt ervoor dat iedereen die het machtigt om Persoonsgegevens van de Klant te verwerken, aan een geheimhoudingsplicht is gebonden. De toegang van medewerkers tot Persoonsgegevens van de Klant is beperkt tot wat ze nodig hebben om de Dienst te beheren en te ondersteunen, en wordt gelogd.

LumaKol handhaaft technische en organisatorische maatregelen die passen bij het risico, waaronder:

• versleuteling van gegevens tijdens transport (TLS), versleuteling van de database in rust, en een tweede laag AES-256-versleuteling voor geheimen zoals tokens en wachtwoorden van gekoppelde mailboxen;
• scheiding van de gegevens van elke klant per werkruimte, waarbij elke query wordt gefilterd op de werkruimte van de klant;
• wachtwoorden gehasht met Argon2id en sessietokens alleen als hash opgeslagen;
• rate limiting en blokkering bij inloggen;
• rolgebaseerde toegang in het product, met opties om telefoonnummers te maskeren, exports te beperken en te beperken wie opnames kan beluisteren;
• auditlogs van gevoelige acties waaraan alleen kan worden toegevoegd;
• meervoudige authenticatie voor medewerkers van LumaKol, met gelogde toegang tot productiegegevens;
• back-ups voor herstel na een storing, die binnen ongeveer vier weken verdwijnen.

LumaKol mag deze maatregelen bijwerken zolang het algehele beschermingsniveau niet daalt.

De Klant machtigt LumaKol om de subverwerkers in te schakelen die in de tabel hieronder worden beschreven. LumaKol bindt elke subverwerker bij schriftelijk contract aan verplichtingen inzake gegevensbescherming die niet minder beschermend zijn dan deze Verwerkersovereenkomst, en blijft tegenover de Klant verantwoordelijk voor de prestaties van elke subverwerker. De namen van de huidige subverwerkers worden aan elke Klant op verzoek verstrekt via [email protected], en maken deel uit van deze Verwerkersovereenkomst.

Voordat een nieuwe subverwerker Persoonsgegevens van de Klant gaat verwerken, informeert LumaKol de eigenaar van de werkruimte minstens 30 dagen van tevoren per e-mail, met vermelding van de naam. De Klant kan binnen die termijn op redelijke gronden van gegevensbescherming bezwaar maken. Als de partijen het bezwaar niet kunnen oplossen, kan de Klant stoppen met het gebruik van het betreffende deel van de Dienst of het abonnement beëindigen.

Wanneer de iPhone-app wordt uitgebracht, levert de eigen dienst van het iPhone-platform de pushmeldingen ervan; wij voegen die vóór dat moment aan deze lijst toe, met de hierboven beschreven kennisgeving. Google Drive, Sheets en Calendar, de agenda van Microsoft Outlook en leadadvertenties op Facebook en Instagram kunnen nog niet worden gekoppeld.

Gespreksopnames worden opgeslagen op de servers van LumaKol. Spraaknotities en foto's van bezoeken ter plaatse worden opgeslagen in de Google Drive van het teamlid dat die koppelt, niet op de servers van LumaKol.

E-mails die een klant aan zijn eigen leads stuurt, gaan via de eigen mailbox van de klant (Instellingen → E-mail), niet via de e-mailprovider van LumaKol. Systemen die de klant zelf koppelt, zoals de eigen website, leadbronnen, API-clients en webhook-endpoints, ontvangen gegevens op instructie van de klant en zijn geen subverwerkers van LumaKol.

Met de Dienst kan de Klant de gegevens van zijn leads opzoeken, corrigeren, exporteren en verwijderen en verdere gesprekken met een lead blokkeren, zodat hij de meeste verzoeken van betrokkenen zelf kan beantwoorden. Waar dat niet kan, helpt LumaKol op verzoek, rekening houdend met de aard van de verwerking.

Als LumaKol rechtstreeks van een betrokkene een verzoek ontvangt over Persoonsgegevens van de Klant, stuurt het dat zonder onnodige vertraging door naar de Klant en beantwoordt het dat alleen op instructie van de Klant.

LumaKol verleent ook redelijke bijstand bij de gegevensbeschermingseffectbeoordelingen van de Klant en bij raadplegingen van toezichthoudende autoriteiten, voor zover die betrekking hebben op de verwerking door LumaKol.

LumaKol informeert de Klant zonder onnodige vertraging, en in elk geval binnen 48 uur, nadat het kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die Persoonsgegevens van de Klant raakt, zodat de Klant aan zijn eigen plichten kan voldoen om toezichthouders en de getroffen mensen te informeren — bijvoorbeeld binnen 72 uur onder de GDPR en de regels van de DPDP Act. De kennisgeving beschrijft, voor zover dan bekend, de aard van de inbreuk, de categorieën en het geschatte aantal getroffen mensen en records, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen, en noemt een contactpersoon voor meer informatie.

LumaKol houdt de Klant op de hoogte naarmate er meer bekend wordt en neemt redelijke maatregelen om de inbreuk in te dammen en de gevolgen ervan te beperken. Het melden van een inbreuk is geen erkenning van schuld.

Tijdens het abonnement kan de Klant zijn leads naar CSV exporteren en zijn gegevens via de openbare API lezen. Wanneer de Klant zijn werkruimte sluit, of zijn gegevens na een opzegging of een pauze wegens niet-betaling het einde van de bewaartermijn in de Betalingsvoorwaarden bereiken, verwijdert LumaKol Persoonsgegevens van de Klant uit de Dienst.

Kopieën in back-ups verlopen volgens een doorlopend schema en worden dan verwijderd. LumaKol mag gegevens alleen bewaren waar de wet dat vereist, en dan alleen die gegevens, beschermd onder deze Verwerkersovereenkomst, zo lang als de wet vereist.

Op redelijk verzoek stelt LumaKol de informatie beschikbaar die nodig is om aan te tonen dat het voldoet aan zijn verplichtingen onder deze Verwerkersovereenkomst en artikel 28 van de GDPR, zoals schriftelijke antwoorden op beveiligingsvragenlijsten.

Waar die informatie niet volstaat, mag de Klant de naleving door LumaKol controleren, zelf of via een onafhankelijke auditor die aan geheimhouding is gebonden, met een schriftelijke aankondiging van minstens 30 dagen, tijdens kantooruren, niet vaker dan eens per jaar tenzij een toezichthoudende autoriteit dat vereist of na een inbreuk in verband met persoonsgegevens, en op kosten van de Klant. De partijen spreken de reikwijdte vooraf af, zodat de audit de Dienst niet verstoort en geen gegevens van andere klanten blootlegt.

LumaKol verwerkt Persoonsgegevens van de Klant in India, in Singapore en Japan waar de Dienst wordt gehost, en in de landen waar zijn subverwerkers actief zijn. Waar dit een doorgifte van persoonsgegevens buiten de EER, of buiten het VK, inhoudt naar een land zonder adequaatheidsbesluit of -regeling, komen de partijen overeen dat:

• voor gegevens uit de EER de SCC's van toepassing zijn en door verwijzing in deze Verwerkersovereenkomst zijn opgenomen: Module Twee (verwerkingsverantwoordelijke aan verwerker) waar de Klant een verwerkingsverantwoordelijke is, en Module Drie (verwerker aan verwerker) waar de Klant een verwerker is, met de optionele koppelingsclausule, optie 2 (algemene toestemming) in Clausule 9, en het recht en de rechtbanken van Ierland in Clausules 17 en 18;
• voor gegevens uit het VK het UK Addendum van toepassing is en door verwijzing is opgenomen, met de tabellen ingevuld met de informatie in deze Verwerkersovereenkomst;
• de informatie die de SCC's in hun bijlagen vereisen, de informatie is in “Partijen”, “Onderwerp, duur, aard en doel”, “Betrokkenen en persoonsgegevens”, “Beveiligingsmaatregelen” en “Lijst van subverwerkers” hierboven.

Waar de DPDP Act van toepassing is, geeft LumaKol Persoonsgegevens van de Klant niet door aan een land of gebied waarvoor de Indiase overheid beperkingen heeft ingesteld.

Als de SCC's of het UK Addendum strijdig zijn met deze Verwerkersovereenkomst, gaan zij voor. LumaKol verplicht zijn subverwerkers verdere doorgiften met passende waarborgen te beschermen.

De aansprakelijkheid van elke partij onder deze Verwerkersovereenkomst is onderworpen aan de beperkingen in de Servicevoorwaarden, behalve waar de Gegevensbeschermingswetgeving of de SCC's niet toestaan dat aansprakelijkheid wordt beperkt.

Deze Verwerkersovereenkomst duurt zolang LumaKol Persoonsgegevens van de Klant verwerkt. Verplichtingen die naar hun aard behoren voort te duren, zoals vertrouwelijkheid en verwijdering, blijven na het einde ervan van kracht. LumaKol mag deze Verwerkersovereenkomst bijwerken om wijzigingen in de wet of in de Dienst te weerspiegelen; het vermindert de bescherming van Persoonsgegevens van de Klant niet, en de datum “Laatst bijgewerkt” hierboven toont de actuele versie.

Vragen over deze Verwerkersovereenkomst, kennisgevingen op grond ervan en verzoeken om een medeondertekend exemplaar gaan naar [email protected].

Een ondertekend exemplaar aanvragen: schrijf naar [email protected] met de juridische naam en het adres van je organisatie, en wij sturen deze Verwerkersovereenkomst medeondertekend terug.