Partijen en reikwijdte
Deze verwerkersovereenkomst ("DPA") maakt deel uit van de overeenkomst tussen de abonnerende onderwijsinstelling ("Verwerkingsverantwoordelijke") en Academqo, statutair gevestigd te de Winterstraat 30, 5703XW te Helmond, Nederland, ingeschreven onder Kvk: 98051997, BTW: NL005306680B37 ("Verwerker" of "Academqo").
Deze DPA is van toepassing waar Academqo persoonsgegevens namens de Verwerkingsverantwoordelijke verwerkt via de Dienst.
Onderwerp en duur
Verwerker levert software voor onderwijsinstellingen. Verwerker verwerkt persoonsgegevens namens de Verwerkingsverantwoordelijke gedurende de looptijd van het abonnement en totdat verwijderings- of retourverplichtingen zijn vervuld, onderworpen aan de bewaartermijnen in het privacybeleid en deze DPA.
Aard en doel van verwerking
Verwerking is beperkt tot hosten, opslaan, organiseren, verzenden, beveiligen en anderszins verwerken van persoonsgegevens zoals nodig om de Dienst te leveren, gebruikers te ondersteunen, beveiliging te handhaven en te voldoen aan wettelijke verplichtingen van Verwerker.
Categorieën gegevens en betrokkenen
Afhankelijk van het gebruik van de Dienst door de Verwerkingsverantwoordelijke kan verwerking betrekking hebben op:
- Betrokkenen: instellingsbeheerders, docenten, studenten, aanmelders en andere door de Verwerkingsverantwoordelijke uitgenodigde gebruikers
- Categorieën gegevens: identificatie- en contactgegevens, account- en rolgegevens, onderwijsgegevens, roosters, inschrijvingen, opdrachten, inzendingen, communicatie, bestanden en technische gebruiksgegevens
De Verwerkingsverantwoordelijke is verantwoordelijk voor het waarborgen dat aan de Dienst geüploade persoonsgegevens rechtmatig worden verzameld en gebruikt.
Verplichtingen verwerkingsverantwoordelijke
De Verwerkingsverantwoordelijke zal:
- de doeleinden en middelen van verwerking bepalen voor door de instelling beheerde gegevens
- passende privacyverklaringen verstrekken aan betrokkenen
- waarborgen dat een rechtsgrond bestaat voor verwerking, inclusief waar studenten- of minderjarigengegevens betrokken zijn
- waarborgen dat instructies aan Verwerker voldoen aan toepasselijk privacyrecht
- reageren op verzoeken van betrokkenen waar de Verwerkingsverantwoordelijke verantwoordelijk is, behalve waar Verwerker verplicht is te assisteren onder deze DPA
Verplichtingen verwerker
Verwerker zal:
- persoonsgegevens alleen verwerken op gedocumenteerde instructies van de Verwerkingsverantwoordelijke, inclusief via gebruik van de Dienst en gedocumenteerde ondersteuningsverzoeken, tenzij wettelijk vereist
- waarborgen dat personeel dat bevoegd is persoonsgegevens te verwerken gebonden is aan vertrouwelijkheidsverplichtingen
- passende technische en organisatorische beveiligingsmaatregelen implementeren
- de Verwerkingsverantwoordelijke assisteren, rekening houdend met de aard van verwerking, bij verzoeken van betrokkenen, beveiligingsincidenten en gegevensbeschermingseffectbeoordelingen waar redelijkerwijs vereist
- persoonsgegevens verwijderen of retourneren bij beëindiging van de Dienst, onderworpen aan wettelijke bewaarverplichtingen en het bewaarschema in het privacybeleid
- informatie beschikbaar stellen die redelijkerwijs nodig is om naleving van artikel 28 AVG aan te tonen
Verwerker kan instructies weigeren die in strijd zijn met toepasselijk recht of de platformbeveiliging of andere klanten materieel in gevaar brengen.
Sub-verwerkers
De Verwerkingsverantwoordelijke verleent algemene toestemming aan Verwerker om sub-verwerkers in te schakelen die nodig zijn om de Dienst te leveren. Huidige sub-verwerkers staan vermeld in het privacybeleid.
Verwerker informeert de Verwerkingsverantwoordelijke over beoogde wijzigingen aan sub-verwerkers en biedt gelegenheid tot bezwaar op redelijke gronden met betrekking tot gegevensbescherming. Als de Verwerkingsverantwoordelijke redelijk bezwaar maakt en partijen het bezwaar niet kunnen oplossen, kan de Verwerkingsverantwoordelijke de betreffende Dienst beëindigen.
Verwerker blijft verantwoordelijk voor de nakoming van gegevensbeschermingsverplichtingen door sub-verwerkers.
Beveiligingsmaatregelen
Verwerker handhaaft maatregelen die passend zijn bij het risico, waaronder toegangscontroles, tenant-isolatie, versleuteling tijdens transport, logging, back-upprocedures en incidentresponsprocessen.
Inbreuken op persoonsgegevens
Verwerker meldt de Verwerkingsverantwoordelijke zonder onredelijke vertraging nadat hij op de hoogte is geraakt van een inbreuk op persoonsgegevens die persoonsgegevens van de Verwerkingsverantwoordelijke betreft, en verstrekt redelijkerwijs beschikbare informatie om de Verwerkingsverantwoordelijke te assisteren bij het voldoen aan meldverplichtingen.
Verzoeken van betrokkenen
Waar Verwerker rechtstreeks een verzoek ontvangt van een betrokkene met betrekking tot persoonsgegevens van de Verwerkingsverantwoordelijke, informeert Verwerker de betrokkene prompt om contact op te nemen met de Verwerkingsverantwoordelijke, tenzij Verwerker wettelijk bevoegd en in staat is namens de Verwerkingsverantwoordelijke te reageren.
Verwerker verleent redelijke assistentie aan de Verwerkingsverantwoordelijke bij het reageren op verzoeken van betrokkenen, rekening houdend met de aard van verwerking en informatie die Verwerker beschikbaar heeft.
Audits en informatie
Op redelijk schriftelijk verzoek verstrekt Verwerker informatie die nodig is om naleving van deze DPA aan te tonen en staat audits toe die wettelijk verplicht zijn, onderworpen aan vertrouwelijkheid, beveiliging en operationele beperkingen. Routine-audits kunnen niet meer dan eens per jaar worden uitgevoerd, tenzij vereist door een toezichthoudende autoriteit of na een materieel beveiligingsincident.
Internationale doorgiften
Verwerker gebruikt waar mogelijk hosting in de EU-regio. Waar persoonsgegevens buiten de EER worden doorgestuurd, waarborgt Verwerker passende waarborgen zoals standaardcontractbepalingen of andere rechtmatige mechanismen.
Verwijdering en retour
Bij beëindiging van de Dienst kan de Verwerkingsverantwoordelijke beschikbare gegevens exporteren tijdens een toepasselijke toegangsperiode. Daarna verwijdert of anonimiseert Verwerker persoonsgegevens van de Verwerkingsverantwoordelijke binnen 90 dagen, behalve waar bewaring wettelijk vereist is, voor boekhoudkundige administratie, beveiligingslogboeken of beperkte back-upbewaring.
Aansprakelijkheid
De aansprakelijkheid van elke partij onder deze DPA is onderworpen aan de beperkingen en uitsluitingen in de algemene voorwaarden, behalve waar aansprakelijkheid onder toepasselijk recht niet kan worden beperkt.
Rangorde
Bij tegenstrijdigheid tussen deze DPA en de algemene voorwaarden met betrekking tot de verwerking van persoonsgegevens prevaleert deze DPA voor zover de tegenstrijdigheid reikt.
Contact
Vragen over de DPA: privacy@academqo.com