Finom Gegevensverwerkingsovereenkomst

Versie: 1.0.2

Deze gegevensverwerkingsovereenkomst (de “Gegevensverwerkingsovereenkomst”) maakt deel uit van de overeenkomst tussen de Gebruiker en de Dienstverlener die de Dienstverlening aan de Gebruiker regelt (de “Voorwaarden”). De Voorwaarden kunnen van tijd tot tijd door de Dienstverlener worden bijgewerkt.

Deze Gegevensverwerkingsovereenkomst vormt een overeenkomst die de relatie tussen u (de “Gebruiker”), als de verwerkingsverantwoordelijke, en ons (de “Dienstverlener”), als de verwerker, zoals gedefinieerd in de Algemene verordening gegevensbescherming (EU-verordening 2016/679) (de “AVG”).

Behoudens wijzigingen in deze Gegevensverwerkingsovereenkomst, blijven de Voorwaarden en het Privacybeleid ongewijzigd en volledig van kracht. Ingeval van tegenstrijdigheid tussen deze Gegevensverwerkingsovereenkomst en de Voorwaarden of het Privacybeleid, prevaleert de Gegevensverwerkingsovereenkomst.

Nadat u de Voorwaarden, met daarbij als bijlage deze Gegevensverwerkingsovereenkomst, hebt aanvaard, worden uw persoonlijke en zakelijke gegevens automatisch overgenomen in deze Gegevensverwerkingsovereenkomst vanuit uw Gebruikersaccount. Uw gegevens worden altijd weergegeven zoals u ze aan ons hebt verstrekt en worden door ons behandeld als ‘up-to-date’ totdat u ons gewijzigde gegevens verstrekt.

Deze Gegevenswerkingsovereenkomst wordt aangegaan door en tussen:

{{companyData}} (de “Gebruiker” of “Verwerkingsverantwoordelijke”), en

PNL Fintech BV (handelend onder de naam “FINOM”), Jachthavenweg 109H, 1081 KM Amsterdam (de “Dienstverlener” of “Verwerker”),

hierna elk afzonderlijk aangeduid als “Partij” en gezamenlijk als “Partijen”.

Partijen komen als volgt overeen:

Onderwerp

Partijen streven ernaar deze Gegevensverwerkingsovereenkomst uit te voeren om te voldoen aan de vereisten voor de verwerking van persoonsgegevens en het toepasselijke wettelijke kader, in het bijzonder de AVG.

Partijen stemmen derhalve in met de voorwaarden van deze Gegevensverwerkingsovereenkomst om hun betrekkingen als verwerkingsverantwoordelijke en verwerker van persoonsgegevens te regelen in overeenstemming met de AVG.

Aard en doel van de verwerking

De Dienstverlener verleent de Diensten die zijn omschreven in de Voorwaarden zoals aanvaard door de Gebruiker. Indien de Gebruiker optreedt als een vennootschap / ondernemer / werkgever / adviseur, mag zij persoonsgegevens verwerken van de betrokkenen, zijnde de opdrachtgevers, werknemers, partners, vertegenwoordigers en adviseurs van de Gebruiker (de “Relaties van de Gebruiker”), door deze te uploaden naar, te wijzigen of te delen op, of te verwijderen van het Platform van de Dienstverlener. In het kader van het verlenen van de Diensten kan het noodzakelijk zijn dat de Dienstverlener persoonsgegevens van de Relaties van de Gebruiker verwerkt. Daarom zal de Gebruiker optreden als verwerkingsverantwoordelijke zoals gedefinieerd in de AVG. De Dienstverlener zal dan optreden als verwerker, die gegevens verwerkt namens de Gebruiker.

Persoonsgegevens worden verwerkt ten behoeve van het verlenen en ontvangen van de Diensten in overeenstemming met de Voorwaarden.

Derhalve geeft de Verwerkingsverantwoordelijke de Verwerker hierbij opdracht alle persoonsgegevens zoals vermeld in deze Gegevensverwerkingsovereenkomst te verwerken in overeenstemming met de AVG en de toepasselijke wetgeving.

Verwerkingsduur

De duur van de verwerking komt overeen met de voorwaarden voor de levering van Diensten door de Verwerker aan de Verwerkingsverantwoordelijke in overeenstemming met de Voorwaarden tenzij een langere periode nodig is voor Partijen om te voldoen aan hun verplichtingen in overeenstemming met de AVG en de relevante toepasselijke wetgeving.

Soorten persoonsgegevens en categorieën betrokkenen

"Persoonsgegevens" (in deze Gegevensverwerkingsovereenkomst “gegevens” of “persoonsgegevens” genoemd) en “verwerking” (in deze Gegevensverwerkingsovereenkomst “verwerking” genoemd) hebben de betekenis die daaraan is gegeven in de AVG. Er worden geen “gevoelige persoonsgegevens” zoals gedefinieerd in de AVG verwerkt.

1. Categorieën persoonsgegevens die kunnen worden verwerkt:

   — Zie Bijlage I bij deze Overeenkomst

2. Categorieën betrokkenen waarvan persoonsgegevens kunnen worden verwerkt:

   — Zie Bijlage I bij deze Overeenkomst

Verantwoordelijkheden

De Verwerker:

• zal ervoor zorgen dat zowel de Verwerker als ook haar subverwerkers alle persoonsgegevens voor de Verwerkingsverantwoordelijke behandelen volgens de instructies van de Verwerkingsverantwoordelijke:

  1. zoals omschreven in deze Gegevensverwerkingsovereenkomst;
  2. in overeenstemming met de AVG;
  3. volgens eventuele nadere, uitdrukkelijke instructies van de Verwerkingsverantwoordelijke;
• zal handelen in overeenstemming met de AVG, alle vereiste maatregelen nemen en voldoen aan al haar verplichtingen op grond van de AVG en de toepasselijke wetgeving;
• zal, rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijk en ernst uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen, passende technische en organisatorische maatregelen treffen met betrekking tot de persoonsgegevens om een op het risico afgestemd beveiligingsniveau te waarborgen, die, waar passend, onder meer de maatregelen zoals vermeld in artikel 32, lid 1 AVG omvatten;
• zal, indien zij kennis krijgt van een inbreuk in verband met persoonsgegevens, de Verwerkingsverantwoordelijke onverwijld hiervan op de hoogte brengen;
• zal de Verwerkingsverantwoordelijke, voor zover dit mogelijk is, bijstaan bij het voldoen aan diens verplichting om te reageren op verzoeken tot uitoefening van de rechten van de betrokkene zoals vastgelegd in hoofdstuk III van de AVG. Alle kosten die de Verwerker maakt in verband met dergelijke verzoeken zijn voor rekening van de Verwerkingsverantwoordelijke;
• zal, voor zover mogelijk en wettelijk toegestaan, de Verwerkingsverantwoordelijke op de hoogte brengen na ontvangst van verzoeken van de betrokkenen met betrekking tot de uitoefening van hun rechten uit hoofde van de AVG. De Verwerker zal alleen rechtstreeks op dergelijke verzoeken reageren indien zij daartoe door de Verwerkingsverantwoordelijke is gemachtigd. De Verwerker zal geen informatie openbaar maken, tenzij de Verwerker hiertoe wettelijk verplicht is;
• zal redelijke stappen ondernemen om de betrouwbaarheid van alle werknemers, hulppersonen of opdrachtnemers die toegang kunnen hebben tot persoonsgegevens te waarborgen, waarbij er in elk geval voor wordt gezorgd dat toegang tot persoonsgegevens strikt beperkt is tot de personen die kennis van/toegang tot de betreffende persoonsgegevens moeten hebben, zoals strikt noodzakelijk is voor de in de AVG en deze Gegevensverwerkingsovereenkomst omschreven doeleinden, en om te voldoen aan de toepasselijke wetgeving, waarbij ervoor wordt gezorgd dat al deze personen of bedrijven onderworpen zijn aan vertrouwelijkheidsverbintenissen of professionele of wettelijke geheimhoudingsverplichtingen.

De Verwerkingsverantwoordelijke:

• zal handelen in overeenstemming met de AVG, alle vereiste maatregelen nemen en voldoen aan al haar verplichtingen op grond van de AVG en de toepasselijke wetgeving;
• bevestigt dat zij bevoegd is om rechtmatig toegang te hebben tot alle persoonsgegevens die worden verwerkt in overeenstemming met deze Gegevensverwerkingsovereenkomst en dat zij deze rechtmatige toegang zal behouden in overeenstemming met de AVG, de Voorwaarden, het Privacybeleid en alle toepasselijke wetgeving;
• is te allen tijde verantwoordelijk voor de juistheid, integriteit, inhoud en betrouwbaarheid van de persoonsgegevens die op grond van deze Gegevensverwerkingsovereenkomst worden verwerkt;
• dient te beschikken over een juiste lijst van categorieën van persoonsgegevens die aan de Verwerkingsverantwoordelijke worden verstrekt en op grond van deze Gegevensverwerkingsovereenkomst worden verwerkt;
• dient de Verwerker op de hoogte te stellen indien de verwerking van persoonsgegevens afwijkt van de categorieën van persoonsgegevens die zijn vermeld in de Gegevensverwerkingsovereenkomst en het Privacybeleid;
• zal de Verwerker op de hoogte stellen indien zij verzoeken / vragen / klachten van betrokkenen ontvangt met betrekking tot de persoonsgegevens die worden verwerkt door de Verwerker;
• zal uitdrukkelijke toestemming verkrijgen en behouden voor de verwerking van haar eigen persoonsgegevens en de persoonsgegevens van de Relaties van de Gebruiker die worden verwerkt ten behoeve van het verlenen en ontvangen van de Diensten op grond van de Voorwaarden. De Verwerkingsverantwoordelijke kan deze toestemming op elk moment intrekken. In dat geval eindigt de Dienstverlening aan de Gebruiker en haar vertegenwoordigers op grond van de Voorwaarden automatisch en met onmiddellijke ingang.

Audits

Onder de in dit artikel beschreven voorwaarden, zal de Verwerker de Verwerkingsverantwoordelijke op diens verzoek relevante informatie ter beschikking stellen die nodig is om de nakoming van deze Gegevensverwerkingsovereenkomst aan te tonen en audits, waaronder inspecties, door de Verwerkingsverantwoordelijke of een controleur die is gekozen zoals beschreven in dit artikel mogelijk maken en daaraan bijdragen.

Het recht van de Verwerkingsverantwoordelijke op informatie en audits vloeit alleen voort uit dit artikel voor zover de Gegevensverwerkingsovereenkomst de Verwerkingsverantwoordelijke niet anderszins informatie- en auditrechten verleent uit hoofde van de relevante voorschriften van de AVG.

De Verwerkingsverantwoordelijke is gerechtigd om periodiek een toetsing te starten met betrekking tot de verwerking van persoonsgegevens door de Verwerker. Partijen erkennen dat in het kader van een normale bedrijfsvoering een jaarlijkse audit door de Verwerkingsverantwoordelijke zou moeten volstaan. De Verwerkingsverantwoordelijke dient ten minste vier weken voor de voorgestelde startdatum een gedetailleerd auditplan te verstrekken, waarin de reikwijdte, de duur en de startdatum van de audit dienen te worden vermeld. Partijen zullen gezamenlijk besluiten of de audit door een derde moet worden uitgevoerd. De Verwerker kan de Verwerker echter toestaan te verzoeken om de beveiligingstoetsing te laten uitvoeren door een neutrale derde naar keuze van de Verwerker, aangezien het gaat om een verwerkingsomgeving met meerdere verwerkingsverantwoordelijken. De Verwerkingsverantwoordelijke zal dit verzoek niet op onredelijke gronden weigeren.

Indien de voorgestelde reikwijdte van de audit in overeenstemming is met een ISAE-, ISO- of soortgelijk certificeringsverslag dat door een gekwalificeerde derde-auditor is opgesteld en de Verwerker bevestigt dat er zich in de twaalf maanden na die audit geen materiële wijzigingen hebben voorgedaan in de beoordeelde maatregelen, wordt dit door Partijen voldoende geacht.

De audits mogen de normale bedrijfsvoering van de Verwerker niet in onredelijke mate verstoren. Alle kosten in verband met de audits zijn voor rekening van de Verwerkingsverantwoordelijke.

Indien een audit tot aanbevelingen of tekortkomingen leidt, zullen Partijen binnen [30] werkdagen de noodzakelijke opvolging bespreken, met inbegrip van de vereiste tijdschema's en de daaraan verbonden kosten voor de Verwerker om een aanbeveling of tekortkoming uit te voeren.

Inzet subverwerkers
en
Gegevensdoorgifte

Inzet subverwerkers: Om de Diensten aan de Gebruiker/Verwerkingsverantwoordelijke te verlenen, kan de Verwerker gebruik maken van subverwerkers (“Subverwerkers”). De Subverwerkers die door de Verwerker worden ingeschakeld zijn binnen en buiten de EU/EER gevestigd en staan vermeld in de desbetreffende onderdelen van het Privacybeleid waarin elk van de verwerkingsactiviteiten wordt beschreven, zoals deze van tijd tot tijd zullen luiden. De namen van particulieren die optreden als Subverwerkers (opdrachtnemers, werknemers, freelancers van de Verwerker) zijn ter bescherming van hun privacy niet weergegeven in het Privacybeleid, maar kunnen op gerechtvaardigd verzoek van de Verwerkingsverantwoordelijke of autoriteiten worden verstrekt. De Verwerkingsverantwoordelijke stemt ermee in dat de Verwerker de hierboven genoemde Subverwerkers kan inschakelen om persoonsgegevens te verwerken namens de Verwerker en/of Verwerkingsverantwoordelijke onder de voorwaarden in deze Gegevensverwerkingsovereenkomst en in overeenstemming met de AVG.

De Verwerker zal: i) schriftelijke overeenkomsten aangaan met alle (huidige en nieuwe) Subverwerkers, waarin gegevensbeschermingsvoorwaarden worden opgelegd die de Subverwerkers ertoe verplichten de persoonsgegevens te beschermen volgens de door de AVG vereiste standaard; en ii) doorlopend toezicht houden en controle uitoefenen op de naleving van de AVG door haar Subverwerkers. Documentatie of bewijs van een dergelijk(e) toezicht of controle kan op schriftelijk verzoek aan de Verwerkingsverantwoordelijke worden verstrekt, tenzij wettelijk anders is bepaald, en iii) verantwoordelijk blijven voor elk handelen of nalaten van de Subverwerkers dat ertoe kan leiden dat Partijen hun verplichtingen uit hoofde van deze Gegevensverwerkingsovereenkomst niet nakomen.

Indien de Verwerkingsverantwoordelijke bezwaar wenst maken tegen de inzet van een nieuwe Subverwerker, dient de Verwerkingsverantwoordelijke dit binnen 10 werkdagen na kennisgeving daarvan door de Verwerker te doen. Indien er geen bezwaar wordt gemaakt, wordt de Verwerkingsverantwoordelijke geacht volledig in te stemmen met de inzet van nieuwe Subverwerkers. Indien de Verwerkingsverantwoordelijke bezwaar maakt tegen de inzet van een Subverwerker en de Verwerker niet aan het bezwaar van de Verwerkingsverantwoordelijke tegemoet kan komen, zal de Dienstverlener aanbieden om de Dienstverlening aan de Gebruiker te beëindigen.

Gegevensdoorgifte:

In het kader van de normale bedrijfsvoering zal de Verwerker geen gegevens die van de Verwerkingsverantwoordelijke naar de Verwerker zijn doorgegeven voor verwerkingsdoeleinden doorgeven naar landen buiten de Europese Economische Ruimte (“EER”) of landen die voor de toepassing van het toepasselijk recht zijn goedgekeurd door de Europese Commissie (“Door de Commissie goedgekeurde gebieden”).

In sommige gevallen worden persoonsgegevens opgeslagen op opslagoplossingen met servers buiten de EER of Door de Commissie goedgekeurde gebieden (Dropbox of Google bijvoorbeeld). De Verwerker zal alleen gebruik maken van opslagoplossingen die veilige diensten met voldoende relevante waarborgen bieden.

Indien de Verwerker de van de Verwerkingsverantwoordelijke ontvangen persoonsgegevens buiten de EER of Door de Commissie goedkeurde gebieden moet doorgeven, zal zij de Verwerkingsverantwoordelijke daarvan in kennis stellen, zodat deze bezwaar kan maken tegen deze doorgifte. Indien de Verwerkingsverantwoordelijke geen bezwaar heeft tegen een dergelijke doorgifte, moet de Verwerker ervoor zorgen dat zij passende Overeenkomsten inzake doorgifte van gegevens naar derde landen met deze Subverwerkers sluit. Een dergelijke overeenkomst moet op verzoek ter beschikking worden gesteld aan de Verwerkingsverantwoordelijke voor beoordeling.

De Verwerkingsverantwoordelijke erkent dat zij op de datum van aangaan van de Gegevensverwerkingsovereenkomst op de hoogte is gesteld van het feit dat de onderstaande gegevensverwerkingsactiviteiten, die door Subverwerkers van de Verwerker worden uitgevoerd, buiten de EER plaats zullen vinden. Deze verwerkingsactiviteiten, waarvoor de Verwerkingsverantwoordelijke hierbij specifiek toestemming verleent, zullen plaatsvinden in de hieronder vermelde landen en met strikte inachtneming van de rechtsgronden voor doorgifte van gegevens die voor elke verwerkingsactiviteit in de AVG zijn vastgelegd.

Voor alle duidelijkheid wordt benadrukt dat de Verwerkingsverantwoordelijke een duidelijke machtiging verstrekt aan de Verwerker om de Modelcontractbepalingen aan te gaan in naam en ten behoeve van de Verwerkingsverantwoordelijke (Modelbepalingen (EU) 2021/914, te raadplegen via https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?uri=CELEX%3A32021D0914&locale=en), waarbij de Verwerker zal optreden als gegevensexporteur en elke Subverwerker als gegevensimporteur. Module 3 van de Modelcontractbepalingen is van toepassing op de bedrijfsactiviteiten in Frankrijk. Module 2 van de Modelcontractbepalingen is van toepassing op alle andere landen. De Verwerkingsverantwoordelijke heeft de inhoud van Bijlage 1 en 2 van de Modelcontractbepalingen (Modelbepalingen 2010/87/EU), die hierbij zijn bijgevoegd, beoordeeld en stemt daarmee in.

De Verwerker kan de lijst van Subverwerkers in de desbetreffende onderdelen van het Privacybeleid van tijd tot tijd wijzigen, welke wijzigingen naar behoren aan de Verwerkingsverantwoordelijke zullen worden meegedeeld.

Duur en beëindiging

Deze Gegevensverwerkingsovereenkomst blijft van kracht zolang de Gegevensverwerker persoonsgegevens verwerkt ten behoeve van de doeleinden zoals bepaald in deze Gegevensverwerkingsovereenkomst.

Bij beëindiging van de Diensten kan de Gebruiker/Verwerkingsverantwoordelijke een procedure starten voor het wissen van de persoonsgegevens die bij de Gegevensverwerker zijn opgeslagen of, indien technisch mogelijk/haalbaar, om teruggave ervan verzoeken; tenzij anders bepaald in toepasselijke wettelijke voorschriften, zullen persoonsgegevens in dat geval worden bewaard overeenkomstig de technische en organisatorische waarborgen van de Gegevensverwerker.

De Verwerkingsverantwoordelijke kan alle in aanmerking komende persoonsgegevens op het platform/de applicatie van de Dienstverlener opvragen. Indien de Verwerkingsverantwoordelijke extra hulp vraagt voor het opvragen van de gegevens, worden de daaraan verbonden kosten vastgesteld op basis van de complexiteit van het proces en de tijd die nodig is om dit in het gekozen formaat uit te voeren.

Wijzigingen in de Gegevensverwerkingsovereenkomst

Partijen komen overeen dat de Dienstverlener te allen tijde gerechtigd is de voorwaarden van deze Gegevensverwerkingsovereenkomst te wijzigen met inachtneming van de gerechtvaardigde belangen van de Verwerkingsverantwoordelijke. De Dienstverlener zal de Gebruiker tijdig op de hoogte stellen van de wijzigingen, zoals vermeld en overeengekomen door de Gebruiker/Verwerkingsverantwoordelijke in de Voorwaarden. Indien de Gebruiker/Verwerkingsverantwoordelijke het niet eens is met de wijzigingen, staat het haar vrij om de Diensten en deze Gegevensverwerkingsovereenkomst te allen tijde te beëindigen via de account van de Gebruiker of door dit te melden aan het e-mailadres van de Dienstverlener op hello@finom.co (of een ander e-mailadres dat op de website van de Dienstverlener wordt vermeld).

Slotbepalingen

De aansprakelijkheid voor schendingen van deze Gegevensverwerkingsovereenkomst wordt beheerst door de Voorwaarden en de toepasselijke wetgeving. De totale aansprakelijkheid van de Dienstverlener krachtens deze Gegevensverwerkingsovereenkomst is daarom gemaximeerd in overeenstemming met de relevante bepalingen van de Voorwaarden.

Deze Gegevensverwerkingsovereenkomst is onderworpen aan en wordt geïnterpreteerd naar Nederlands recht, en de bevoegde Nederlandse rechtbanken hebben de exclusieve bevoegdheid om geschillen met betrekking tot deze Gegevensverwerkingsovereenkomst en/of het onderwerp ervan te beslechten.

Indien bepalingen van deze Gegevensverwerkingsovereenkomst ongeldig zijn of worden, heeft dit geen invloed op de geldigheid van de overige bepalingen.