Verwerkersovereenkomst

Deze verwerkersovereenkomst ("Verwerkersovereenkomst") maakt deel uit van de Algemene voorwaarden tussen de klant (het bedrijf dat een abonnement neemt op LetsBot, "u") en BOT FOR DIGITAL SOLUTIONS LIMITED, een vennootschap ingeschreven in Engeland en Wales onder nummer 15477940, gevestigd te 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Verenigd Koninkrijk ("LetsBot", "wij", "ons").

Door de Algemene voorwaarden te aanvaarden, gaat u ook deze Verwerkersovereenkomst aan, met inbegrip van de doorgiftebepalingen die door verwijzing zijn opgenomen in de Bijlagen IV tot en met VI. Zij zijn vanaf de aanvaarding automatisch van toepassing op iedere klant, voordat enige Persoonsgegevens van de Klant worden doorgegeven, en er is geen handtekening vereist.

Ondertekende exemplaren en documenten op maat. Op verzoek via support@letsbot.net verstrekken wij een door ons medeondertekend exemplaar van deze Verwerkersovereenkomst, of een overeenkomst of document op maat dat uw organisatie nodig heeft, zoals een ingevulde set doorgiftebepalingen.

Rangorde. Bij strijdigheid prevaleren de doorgiftebepalingen in de Bijlagen IV tot en met VI, vervolgens deze Verwerkersovereenkomst en daarna de Algemene voorwaarden.

Taal. De Engelse versie van deze Verwerkersovereenkomst is bindend; de Arabische versie wordt uitsluitend voor het gemak verstrekt. Voor de standaardbepalingen van de Braziliaanse ANPD is de officiële Portugese tekst bindend.

• Persoonsgegevens van de Klant: persoonsgegevens die wij namens u verwerken bij het leveren van de dienst, waaronder de gegevens van uw contacten, berichten, media en bestellingen. Bijlage I bevat de details.
• Subverwerker: iedere derde die wij inschakelen om Persoonsgegevens van de Klant te verwerken.
• Inbreuk in verband met Persoonsgegevens: een inbreuk op de beveiliging die leidt tot de onopzettelijke of onrechtmatige vernietiging, het verlies, de wijziging, de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot Persoonsgegevens van de Klant.
• Gegevensbeschermingswetgeving: de wetgeving die op de verwerking van toepassing is, waaronder de EU-AVG (GDPR), de UK GDPR en de Data Protection Act 2018, de Saudische wet op de bescherming van persoonsgegevens en de bijbehorende regelgeving, de Braziliaanse LGPD, en de Egyptische wet nr. 151 van 2020 en de bijbehorende uitvoeringsregeling.
• "Verwerkingsverantwoordelijke", "verwerker", "betrokkene" en "verwerking" hebben de betekenis die de Gegevensbeschermingswetgeving daaraan geeft. "Verwerker" omvat een "operador" in de zin van de LGPD.

1. U bent de verwerkingsverantwoordelijke voor de Persoonsgegevens van de Klant (of een verwerker die optreedt namens een andere verwerkingsverantwoordelijke), en wij zijn de verwerker.
2. Wij verwerken Persoonsgegevens van de Klant uitsluitend op basis van uw gedocumenteerde instructies, ook wat betreft doorgiften naar andere landen. Uw instructies zijn de Algemene voorwaarden, deze Verwerkersovereenkomst, de instellingen die u in het paneel kiest (zoals kanalen, integraties, AI-functies en bewaartermijnen) en alle andere schriftelijke instructies die wij overeenkomen.
3. Indien een wet ons verplicht Persoonsgegevens van de Klant anders dan op basis van uw instructies te verwerken, stellen wij u daarvan vooraf in kennis, tenzij die wet dat verbiedt.
4. Wij stellen u onmiddellijk in kennis indien wij van mening zijn dat een instructie inbreuk maakt op de Gegevensbeschermingswetgeving.
5. U bent verantwoordelijk voor het rechtmatig verzamelen van de gegevens en voor het hebben van een rechtsgrond om uw contacten berichten te sturen, waaronder eventuele toestemming die Meta of de wet vereist.
6. Wij gebruiken Persoonsgegevens van de Klant niet voor eigen doeleinden, wij verkopen ze niet en wij gebruiken ze niet om AI-modellen te trainen.

Alleen werknemers en contractanten die toegang nodig hebben om de dienst te leveren, te ondersteunen of te beveiligen, hebben toegang tot Persoonsgegevens van de Klant, en zij zijn allen gebonden aan een geheimhoudingsplicht.

De personen die toegang hebben tot Persoonsgegevens van de Klant werken voornamelijk in Egypte, via onze gelieerde onderneming Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), onder onze instructies en op voorwaarden die niet minder beschermend zijn dan deze Verwerkersovereenkomst.

Wij passen de technische en organisatorische maatregelen in Bijlage II toe, evalueren deze regelmatig en zullen het algehele beschermingsniveau gedurende uw abonnement niet verlagen.

Daarnaast verbinden wij ons tot:

• versleutelde back-ups van de databases van werkruimten: elke nacht voor betalende, proef- en gratis toegekende werkruimten, en volgens een rotatie van 10 dagen voor overige werkruimten, plus een dagelijkse back-up van de centrale accountdatabase. Back-ups worden bewaard in privéopslag, gescheiden van de productieserver, op Google Cloud in de Verenigde Staten (us-east1), gedurende 30 dagen en daarna verwijderd;
• mediabestanden die in gesprekken worden uitgewisseld, worden bewaard in opslag die niet kan worden doorzocht of opgesomd, en worden aangeboden via lange, willekeurige links die moeilijk te raden zijn (met uitzondering van profielfoto's van contacten). Iedereen die de exacte link heeft, kan het bestand openen. Wij stappen over op ondertekende links met een beperkte geldigheidsduur voor media;
• het vastleggen van elke toegang door support tot een werkruimte, en van elke aanmelding, in het beveiligingslogboek van die werkruimte.

1. Algemene toestemming. U geeft ons toestemming om de subverwerkers in te schakelen die vermeld staan op onze pagina met subverwerkers (Bijlage III).
2. Voorafgaande kennisgeving. Wij stellen u ten minste 30 dagen van tevoren in kennis voordat wij een subverwerker toevoegen of vervangen, per e-mail aan iedereen die zich heeft aangemeld en door de pagina bij te werken. Om u aan te melden, schrijft u naar support@letsbot.net met als onderwerp "Subprocessor updates".
3. Bezwaar. U kunt tijdens de kennisgevingstermijn op redelijke gronden van gegevensbescherming schriftelijk bezwaar maken. Wij zullen trachten uw bezwaar op te lossen, bijvoorbeeld door die subverwerker niet voor uw gegevens te gebruiken. Indien dat niet mogelijk is, kunt u het betrokken deel van de dienst beëindigen en ontvangt u een terugbetaling van vooruitbetaalde vergoedingen voor de resterende periode.
4. Vervanging in noodgevallen. Indien wij een subverwerker onmiddellijk moeten vervangen om de beveiliging of continuïteit van de dienst te beschermen, stellen wij u daarvan zo spoedig mogelijk in kennis, en behoudt u hetzelfde recht van bezwaar.
5. Gelijkwaardige verplichtingen. Wij binden iedere externe subverwerker door middel van een schriftelijke overeenkomst met gegevensbeschermingsverplichtingen die niet minder beschermend zijn dan deze Verwerkersovereenkomst, en wij blijven jegens u aansprakelijk voor de nakoming daarvan.
6. Integraties die u kiest, zoals Meta (WhatsApp, Messenger, Instagram), e-commerceplatforms en CRM's, zijn niet onze subverwerkers. U koppelt ze zelf, en zij verwerken gegevens onder hun eigen voorwaarden met u.

1. Wij stellen u in kennis van iedere Inbreuk in verband met Persoonsgegevens die Persoonsgegevens van de Klant betreft, zonder onredelijke vertraging en in ieder geval binnen 24 uur nadat wij er kennis van hebben genomen. Dit is onze standaard in elk land.
2. Wij sturen de kennisgeving naar het e-mailadres van de accounteigenaar, en waar mogelijk in het paneel. Voor zover de informatie beschikbaar is, beschrijft zij: de aard en oorzaak van de inbreuk; de categorieën en het geschatte aantal betrokkenen en registraties; de waarschijnlijke gevolgen; de genomen of voorgestelde maatregelen om de inbreuk in te dammen; en ons contactpunt.
3. Indien wij niet direct over alle informatie beschikken, verstrekken wij deze zonder onredelijke vertraging in fasen, en houden wij u regelmatig op de hoogte totdat het incident is afgesloten.
4. Wij helpen u om te voldoen aan uw eigen verplichtingen tot melding aan autoriteiten en betrokkenen, waaronder de termijnen van 72 uur in de EU, het Verenigd Koninkrijk en Saudi-Arabië, en de termijn van drie werkdagen in Brazilië.
5. Een kennisgeving is geen erkenning van schuld of aansprakelijkheid.

1. Indien wij van een betrokkene een verzoek ontvangen met betrekking tot Persoonsgegevens van de Klant, sturen wij dit binnen 48 uur aan u door en beantwoorden wij het niet zonder uw toestemming, behalve om te melden dat wij het hebben doorgestuurd.
2. In het paneel kunt u contacten, gesprekken en berichten exporteren, corrigeren en verwijderen. Waar deze hulpmiddelen niet volstaan, bieden wij u redelijke ondersteuning.
3. Bij onze ondersteuning houden wij rekening met uw wettelijke termijnen, waaronder zes werkdagen in Egypte.

Wij verstrekken u de informatie die u redelijkerwijs nodig hebt om een gegevensbeschermingseffectbeoordeling, een beoordeling van doorgifterisico's of een voorafgaande raadpleging van een autoriteit uit te voeren. Waar de wet u verplicht de betreffende effectbeoordeling met ons te delen, nemen wij deze in ontvangst.

1. Tijdens uw abonnement kunt u op elk moment uw gegevens exporteren, een afzonderlijk gesprek verwijderen (waarmee de berichten en media daarvan worden gewist), of uw volledige werkruimte vanuit het paneel verwijderen. Het opgeven van een reden is optioneel.
2. Wanneer de dienst eindigt, blijven uw gegevens gedurende 30 dagen beschikbaar voor export. Wanneer een werkruimte wordt verwijderd, verwijderen wij Persoonsgegevens van de Klant binnen 30 dagen uit onze live systemen, met inbegrip van media, de gearchiveerde kopie, bestanden en opgeslagen antwoorden bij onze AI-aanbieder, en berichten die worden bewaard door onze dienst voor koppeling via QR-code. Kopieën in back-ups vervallen binnen nog eens 30 dagen.
3. Wij bewaren alleen wat wij wettelijk verplicht zijn te bewaren, en blijven dit onder deze Verwerkersovereenkomst beschermen totdat het is verwijderd.
4. Op verzoek bevestigen wij de verwijdering schriftelijk.

1. Wij stellen de informatie beschikbaar die nodig is om aan te tonen dat wij aan deze Verwerkersovereenkomst voldoen, en beantwoorden redelijke beveiligingsvragenlijsten.
2. Indien die informatie niet volstaat, mag u of een onafhankelijke auditor die aan geheimhouding is gebonden, ons eenmaal per 12 maanden auditen, met een aankondigingstermijn van 30 dagen, tijdens kantooruren en zonder de gegevens van andere klanten in gevaar te brengen. Deze beperking geldt niet na een Inbreuk in verband met Persoonsgegevens of wanneer een autoriteit de audit verlangt.
3. Elke partij draagt haar eigen kosten, tenzij uit de audit een wezenlijke tekortkoming van onze kant blijkt.
4. Wij werken samen met bevoegde toezichthoudende autoriteiten, waaronder de Saudi Data and AI Authority (SDAIA), wanneer zij daarom verzoeken.

1. Waar gegevens worden verwerkt. Persoonsgegevens van de Klant worden gehost op Google Cloud in de Verenigde Staten (regio us-east1), worden op afstand geraadpleegd door ons personeel, dat voornamelijk in Egypte werkt via onze gelieerde onderneming, en worden verwerkt door subverwerkers op de locaties die op hun pagina staan vermeld. Al onze servers en back-ups bevinden zich in de Verenigde Staten; wij bieden geen hosting in een andere regio aan.
2. Doorgiftemechanismen. De bepalingen in Bijlage IV (EU en VK), Bijlage V (Brazilië) en Bijlage VI (Saudi-Arabië) maken voor iedere klant deel uit van deze Verwerkersovereenkomst, en zijn van toepassing op elke doorgifte waarop de betreffende wet van toepassing is.
3. Buitenlandse wetgeving waaraan wij zijn onderworpen. Wij zijn een Britse vennootschap die onderworpen is aan Brits recht. De gegevens worden gehost bij een Amerikaanse aanbieder, en Amerikaanse autoriteiten kunnen Amerikaanse aanbieders op grond van Amerikaans recht verplichten gegevens te verstrekken, waaronder de CLOUD Act en Section 702 van de Foreign Intelligence Surveillance Act. Onze gelieerde onderneming in Egypte is onderworpen aan Egyptisch recht. Het is ons niet bekend dat een van deze wetten ons belet deze Verwerkersovereenkomst na te komen, en wij stellen u onverwijld in kennis als dat verandert.
4. Verzoeken van overheidsinstanties. Indien wij een bindend verzoek van een overheidsinstantie ontvangen om Persoonsgegevens van de Klant te verstrekken, stellen wij u daarvan in kennis tenzij de wet dat verbiedt, vragen wij de instantie zich tot u te wenden, betwisten wij verzoeken die onrechtmatig of buitensporig zijn, en verstrekken wij uitsluitend het vereiste minimum.

1. Wanneer u AI-antwoorden, AI-agents, transcriptie van spraakberichten of AI-tools inschakelt, sturen wij de gegevens die de functie nodig heeft naar een van onze AI-dienstverleners, die subverwerkers in de Verenigde Staten zijn: berichten, gespreksgeschiedenis, spraakberichten, kennisbestanden en productcatalogus, en de naam en het nummer van het contact wanneer de functie die gebruikt.
2. Onze AI-dienstverleners zijn OpenAI, de standaardaanbieder, die altijd de transcriptie van spraakberichten en de opslag en doorzoeking van kennisbestanden verzorgt; en Anthropic (Claude) en Google (Gemini API), naar wie wij AI-taken kunnen doorsturen in plaats van naar OpenAI of als back-up, of naar wie wij een beperkte steekproef van verzoeken kunnen sturen om de kwaliteit van de antwoorden te vergelijken. Vergelijkingsantwoorden worden nooit naar uw klanten gestuurd. De lijst en de doorgiftemechanismen staan op onze pagina met subverwerkers.
3. Op grond van hun zakelijke voorwaarden gebruikt geen van deze aanbieders gegevens die via zijn API worden verzonden om zijn modellen te trainen (zie de zakelijke voorwaarden van OpenAI, de Commercial Terms van Anthropic en de Gemini API Additional Terms), en wij hebben niet ingestemd met enig gebruik voor training. Elke aanbieder bewaart op grond van zijn voorwaarden een tijdelijke kopie voor misbruikmonitoring, en OpenAI bewaart de antwoorden die het genereert op grond van zijn API-gegevensbeleid.
4. Wij gebruiken Persoonsgegevens van de Klant niet om enig model te trainen. Wat de functie "leren van de geschiedenis" leert, blijft binnen uw werkruimte.
5. Deze functies zijn optioneel en u kunt ze op elk moment uitschakelen. Wanneer u uw werkruimte verwijdert, verwijderen wij de bestanden die daarvoor bij OpenAI zijn opgeslagen.
6. U bent ervoor verantwoordelijk uw klanten te informeren dat antwoorden door AI kunnen worden gegenereerd wanneer de wet dat vereist.

1. Onze supportmedewerkers betreden uw werkruimte uitsluitend om ondersteuning te bieden.
2. Elke toegang wordt vastgelegd in het beveiligingslogboek van uw werkruimte, dat u kunt inzien.
3. Indien u tweestapsverificatie voor uw werkruimte inschakelt, kunnen onze medewerkers deze alleen met uw uitdrukkelijke goedkeuring betreden.

De aansprakelijkheid van elke partij op grond van deze Verwerkersovereenkomst is onderworpen aan de beperkingen in de Algemene voorwaarden, behalve voor aansprakelijkheid die wettelijk niet kan worden beperkt, en zonder afbreuk te doen aan de rechten van betrokkenen op grond van de doorgiftebepalingen in de Bijlagen IV tot en met VI, die door niets in deze Verwerkersovereenkomst of de Algemene voorwaarden worden beperkt.

1. Deze Verwerkersovereenkomst is van toepassing zolang wij Persoonsgegevens van de Klant verwerken.
2. Wij kunnen deze Verwerkersovereenkomst bijwerken om in lijn te blijven met de wet of de dienst. Wij kondigen elke wezenlijke wijziging 30 dagen van tevoren aan, en geen enkele wijziging zal het beschermingsniveau verlagen gedurende de looptijd van uw betaalde abonnement.
3. Op deze Verwerkersovereenkomst is het recht van Engeland en Wales van toepassing en de rechtbanken aldaar zijn bevoegd, met dien verstande dat elke set doorgiftebepalingen in de Bijlagen IV tot en met VI wordt beheerst door het recht en de rechtbanken die daarin zijn aangewezen.

Voor de wet op de bescherming van persoonsgegevens en de bijbehorende uitvoeringsregeling (artikel 17):

• Het doel, de categorieën gegevens en de duur van de verwerking staan in Bijlage I.
• Wij stellen u zonder onredelijke vertraging en binnen 24 uur in kennis van een inbreuk (sectie 7).
• De buitenlandse wetgeving waaraan wij zijn onderworpen, en de gevolgen daarvan, worden beschreven in sectie 12.
• Indien de Saudische wet ons verplicht gegevens te verstrekken, stellen wij u daarvan in kennis.
• Subverwerkers en andere ontvangers worden vermeld in Bijlage III, en wij stellen u vóór elke wijziging in kennis, met een recht van bezwaar (sectie 6).
• Wij sturen verzoeken van betrokkenen binnen 48 uur door (sectie 8) en aanvaarden beoordelingen en audits (sectie 11).
• Doorgiftebepalingen: Bijlage VI.

Voor de LGPD treden wij op als "operador":

• Wij verwerken gegevens op basis van uw instructies (artikel 39) en houden een register van verwerkingsactiviteiten bij (artikel 37).
• Wij passen de beveiligingsmaatregelen in Bijlage II toe, en onze beveiligingsplicht blijft bestaan nadat de verwerking is beëindigd (artikelen 46 en 47).
• Wij stellen u binnen 24 uur in kennis van een inbreuk, zodat u de ANPD en de betrokkenen binnen drie werkdagen kunt informeren (artikel 48).
• Wij verwijderen gegevens wanneer de verwerking eindigt, overeenkomstig sectie 10 (artikel 16).
• Niets in deze Verwerkersovereenkomst beperkt onze aansprakelijkheid jegens betrokkenen waar de LGPD die oplegt.
• Doorgiftebepalingen: Bijlage V. Op verzoek verstrekken wij een Portugese samenvatting van de internationale doorgifte die u voor uw klanten kunt publiceren.

Met betrekking tot Wet nr. 151 van 2020 en de bijbehorende uitvoeringsvoorschriften:

• Onze gelieerde onderneming in Egypte is Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), handelsregisternummer 223572 (registerkantoor Cairo Investment), Tower 22, 3e verdieping, Masaken Sidi Abdel Rahim, Seger, Tanta 1st, Gharbia, Egypte.
• Wij verkrijgen elke licentie of vergunning die de wet vereist voor onze verwerking en grensoverschrijdende doorgiften voordat wij ons daarop beroepen, en wij stellen een functionaris voor gegevensbescherming aan die is geregistreerd bij het Personal Data Protection Center.
• Naast onze melding aan jou binnen 24 uur melden wij een inbreuk binnen 72 uur aan het Personal Data Protection Center wanneer de wet dat van ons als verwerker vereist, in overleg met jou.
• Wij werken met je samen om verzoeken van betrokkenen binnen zes werkdagen te beantwoorden.
• Jij bent verantwoordelijk voor het verkrijgen van de toestemming van betrokkenen waar de wet dat vereist, waaronder toestemming voor doorgiften buiten Egypte.

Deze verwerkersovereenkomst bevat de bepalingen die vereist zijn op grond van artikel 28(3) van de EU GDPR en de UK GDPR: instructies (artikel 3), vertrouwelijkheid (artikel 4), beveiliging (artikel 5 en Bijlage II), subverwerkers (artikel 6), bijstand bij verzoeken van betrokkenen (artikel 8) en bij beveiliging, inbreuken en beoordelingen (artikelen 5, 7 en 9), verwijdering en teruggave (artikel 10), en informatie en audits (artikel 11).

Voor het Verenigd Koninkrijk, waar wij gevestigd zijn, geldt een adequaatheidsbesluit van de Europese Commissie. Bijlage IV (de EU-standaardcontractbepalingen en het UK Addendum) is niettemin voor elke klant van toepassing en regelt elke doorgifte van Persoonsgegevens van de Klant die de EU GDPR of UK GDPR niet anderszins toestaat, waaronder onze verdere doorgiften naar de Verenigde Staten.

De volgende maatregelen zijn momenteel van kracht:

• Versleuteling tijdens transport: TLS 1.3 aan de Cloudflare-edge met HSTS, en TLS-certificaten op de originserver.
• Versleuteling in rust: standaardversleuteling van Google Cloud met door Google beheerde sleutels voor schijven en opslagbuckets, plus versleuteling op applicatieniveau van toegangstokens voor kanalen, geheimen van integraties en webhooks, geheimen voor tweestapsverificatie, enquêteantwoorden en toestemmingsregistraties.
• Wachtwoorden en tokens: wachtwoorden gehasht met bcrypt; API-tokens opgeslagen als hashes.
• Isolatie: een aparte database voor elke werkruimte.
• Netwerk: databases en caches zijn niet bereikbaar vanaf internet; DDoS-bescherming en web application firewall van Cloudflare; Turnstile-botbescherming op openbare formulieren.
• Serverbeveiliging: accountisolatie met CageFS, Imunify360-firewall en malwarescans, en live beveiligingspatches voor de kernel (KernelCare).
• Toegangsbeheer: rollen en rechten per gebruiker, een aparte aanmeldbeveiliging voor interne beheertools, tweestapsverificatie beschikbaar voor elke werkruimte, en IP-beperkingen bij het inloggen.
• Logging: een beveiligingslog per werkruimte met aanmeldingen en mislukte pogingen, wijzigingen in tweestapsverificatie en rollen, toegang door support en rotatie van API-sleutels.
• Integraties: handtekeningverificatie van inkomende gegevens van Meta, Salla en Zid, en een apart ondertekeningsgeheim voor elke nieuwe uitgaande webhook.
• Privéopslag: documenten, e-mailbijlagen, gespreksopnames, back-ups en gearchiveerde werkruimten worden bewaard in privé-opslagbuckets waarbij openbare toegang is geblokkeerd.
• Media in gesprekken: bewaard in opslag die niet kan worden doorbladerd of opgesomd, en aangeboden via lange, willekeurige links die moeilijk te raden zijn (behalve profielfoto's van contacten); de overstap naar ondertekende links met beperkte geldigheid is in uitvoering.
• Back-ups: nachtelijke back-ups van de databases van betalende, proef- en kosteloos verstrekte werkruimten, een rotatie van 10 dagen voor andere werkruimten, en een dagelijkse back-up van de centrale accountdatabase; 30 dagen bewaard in privéopslag in de Verenigde Staten (us-east1).
• Verwijdering: elke klant kan de volledige werkruimte verwijderen vanuit het panel, inclusief de media, de gearchiveerde kopie en de AI-bestanden bij OpenAI; het verwijderen van een gesprek wist de bijbehorende berichten en media.
• Dataminimalisatie: inkomende platformpayloads worden na 14 dagen verwijderd, serverlogs na 14 dagen en gespreksopnames standaard na 90 dagen.
• Monitoring: externe uptimemonitoring, en interne monitoring van geheugen, databases, sessies en wachtrijen met realtime meldingen, waarin telefoonnummers en e-mailadressen worden gemaskeerd.

De actuele lijst van subverwerkers, met de gegevens die zij verwerken, hun locaties en de waarborgen voor doorgifte, is gepubliceerd op onze pagina met subverwerkers en maakt deel uit van deze verwerkersovereenkomst.

De standaardcontractbepalingen vastgesteld bij Uitvoeringsbesluit (EU) 2021/914 van de Commissie worden door verwijzing opgenomen:

• Module Twee (verwerkingsverantwoordelijke aan verwerker) wanneer jij verwerkingsverantwoordelijke bent, en Module Drie (verwerker aan verwerker) wanneer jij als verwerker voor een ander optreedt.
• Clausule 7 (koppelingsclausule): opgenomen.
• Clausule 9(a): Optie 2 (algemene schriftelijke toestemming), met een voorafgaande kennisgeving van 30 dagen.
• Clausule 11(a): de optionele formulering is niet van toepassing.
• Clausule 13: de bevoegde toezichthoudende autoriteit wordt bepaald op grond van Clausule 13(a), afhankelijk van jouw situatie.
• Clausule 17: Optie 1, beheerst door het recht van Ierland. Clausule 18: de rechtbanken van Ierland.
• Bijlage I.A: de partijen in artikel 1 (jij als gegevensexporteur, wij als gegevensimporteur). Bijlage I.B: Bijlage I van deze verwerkersovereenkomst. Bijlage I.C: zoals bepaald op grond van Clausule 13. Bijlage II: Bijlage II van deze verwerkersovereenkomst. Bijlage III: Bijlage III van deze verwerkersovereenkomst.

Voor doorgiften die onder Brits recht vallen, wordt het International Data Transfer Addendum to the EU Standard Contractual Clauses van de ICO door verwijzing opgenomen: Tabel 1, de bovengenoemde partijen; Tabel 2, de hierboven gekozen clausules; Tabel 3, Bijlagen I tot en met III; Tabel 4, elke partij kan het Addendum beëindigen zoals bepaald in Sectie 19 daarvan.

Voor internationale doorgiften van gegevens die onder de LGPD vallen, nemen de partijen door aanvaarding van de Algemene Voorwaarden de standaardcontractbepalingen in Bijlage II van Resolutie CD/ANPD nr. 19/2024 volledig en zonder enige wijziging over. De officiële Portugese tekst is leidend.

• Sectie I: jij bent de exporteur (verwerkingsverantwoordelijke) en wij zijn de importeur (verwerker); de doorgifte wordt beschreven in Bijlage I.
• Sectie III (beveiligingsmaatregelen): Bijlage II.
• Sectie IV: geen aanvullende bepalingen.

Geen enkele andere bepaling van deze verwerkersovereenkomst of van de Algemene Voorwaarden mag deze bepalingen uitsluiten, wijzigen of ermee in strijd zijn.

Voor doorgiften van persoonsgegevens buiten het Koninkrijk nemen de partijen door aanvaarding van de Algemene Voorwaarden de standaardcontractbepalingen voor de doorgifte van persoonsgegevens, uitgegeven door de Saudi Data and AI Authority (SDAIA), Model 2 (verwerkingsverantwoordelijke aan verwerker), zonder wijziging over.

• Partijen: jij bent de exporteur en wij zijn de importeur.
• Aanhangsels 1 tot en met 3 van het model: artikel 1, Bijlage I en Bijlage II van deze verwerkersovereenkomst.
• Deze bepalingen worden beheerst door het recht van het Koninkrijk Saoedi-Arabië en de rechters aldaar zijn bevoegd, zoals de bepalingen voorschrijven.
• Wij melden je een inbreuk binnen 24 uur, sturen verzoeken van betrokkenen binnen 48 uur door en werken mee met SDAIA bij elke audit.
• Wij laten je weten welke subverwerkers buiten het Koninkrijk tot deze bepalingen zijn toegetreden, en welke niet, voordat wij hen voor jouw gegevens inzetten.