Data processing addendum
Samenvatting
Laatst bijgewerkt: 16/07/2025
Dit addendum voor gegevensverwerking („DPA") vormt een aanvulling op en is opgenomen in elke overeenkomst tussen Netradyne en een persoon of entiteit („Klant") die het gebruik van Netradyne's producten en diensten door de Klant regelt, ongeacht of dit gebruik (i) op grond van een directe overeenkomst met Netradyne is, (ii) via een wederverkoper, of (iii) onder andere voorwaarden van dienst of overeenkomst die dergelijk gebruik toestaat (gezamenlijk de „Overeenkomst"). Wanneer de klant via een reseller toegang heeft tot de producten en diensten, kan de klant deze DPA via elektronische middelen aanvaarden, het product activeren of de producten en diensten blijven gebruiken. Deze DPA is een overeenkomst tussen de klant (samen met al zijn filialen die de producten en diensten in het kader van de overeenkomst gebruiken) en Netradyne (elk een „partij" en gezamenlijk „partijen").
1. Definities
In dit addendum zullen de volgende termen de hieronder uiteengezette betekenis hebben:
1.1. „Persoonlijke gegevens van klanten" betekent alle persoonsgegevens die onderworpen zijn aan de wetgeving inzake gegevensbescherming die zijn opgenomen in klantgegevens die de klant aan Netradyne verstrekt of beschikbaar heeft gesteld en die door Netradyne namens de klant worden verwerkt op grond van de overeenkomst.
1.2. „Gegevensbeschermingswetten" betekent, indien van toepassing, (i) de Algemene Verordening Gegevensbescherming van de EU (EU 2016/679) (de „EU-AVG"), de opname ervan in de wetten van Engeland en Wales, Schotland en Noord-Ierland op grond van de Britse Europese Unie (terugtrekkingswet) 2018 (de „Britse GDPR"); (ii) de Zwitserse federale wet inzake gegevensbescherming („FADP"); (iii) Amerikaanse federale en/of nationale gegevensbescherming of privacystatuten, met inbegrip van maar niet beperkt tot de California Consumer Privacy Act van 2018, zoals gewijzigd door de California Privacy Rights Act van 2020 (samen met uitvoeringsverordeningen, de „CPRA"); (iv) de Belgische wet inzake gegevensbescherming van 30 juli 2018 (de „BDPA") en/of (v) elke andere toepasselijke nationale wetgeving in de Europese Economische Ruimte of het Verenigd Koninkrijk die een aanvulling vormt op de AVG van de EU of de Britse GDPR (indien van toepassing), en/of de toepasselijke wetgeving inzake gegevensbescherming in elk land; die in elk geval van tijd tot tijd kunnen worden gewijzigd, vervangen of vervangen.
1.3. „Verwerkingsverantwoordelijke" betekent de entiteit die de middelen en doeleinden bepaalt voor de verwerking van persoonsgegevens.
1.4. „Betrokkene" betekent de persoon die het onderwerp is van persoonlijke gegevens.
1.5. „EU-SCC's" betekent de standaardcontractbepalingen die zijn gehecht aan het Uitvoeringsbesluit 2021/914 van de Europese Commissie van 4 juni 2021 betreffende modelcontractbepalingen voor de overdracht van persoonsgegevens naar derde landen overeenkomstig Verordening (EU) 2016/679 van het Europees Parlement en de Raad.
1.6. „Persoonlijke gegevens" betekent „persoonlijke gegevens", „persoonlijke informatie" of „persoonlijk identificeerbare informatie" of een vergelijkbare term volgens de wetgeving inzake gegevensbescherming, zoals deze termen worden gedefinieerd in de wetgeving inzake gegevensbescherming.
1.7. „Inbreuk in verband met persoonsgegevens" betekent elke inbreuk op de beveiliging die volgens de wetgeving inzake gegevensbescherming (i) Netradyne aan de klant moet melden of (ii) de klant moet melden aan een toezichthoudende autoriteit of betrokken personen, of een register moet bijhouden van, waarbij persoonsgegevens betrokken zijn die onder dit addendum vallen.
1.8. „Verwerking" betekent elke bewerking of reeks bewerkingen die wordt uitgevoerd op persoonlijke gegevens of op sets van persoonlijke gegevens.
1.9. „Verwerker" betekent een entiteit die persoonsgegevens verwerkt namens een verwerkingsverantwoordelijke.
1,10. „Toezichthoudende autoriteit" betekent een overheids- of regelgevende instantie die verantwoordelijk is voor het beheer van, het toezicht op de naleving en/of handhaving van de wetgeving inzake gegevensbescherming.
1.11. Termen met een hoofdletter die hierin niet anderszins zijn gedefinieerd, hebben de betekenis die eraan wordt gegeven in de Overeenkomst.
2. Toepassing van deze DPA
Deze DPA is van toepassing wanneer en alleen voor zover Netradyne persoonsgegevens van klanten verwerkt namens de klant als verwerker (of subverwerker) en, met betrekking tot CPRA, als „dienstverlener" of „aannemer" tijdens de levering van de producten en diensten in het kader van de overeenkomst.
In het geval en voor zover er een conflict is tussen de voorwaarden van de Overeenkomst en deze DPA, hebben de voorwaarden van deze DPA voorrang. In het geval en voor zover er een conflict is tussen de voorwaarden van deze DPA en de SCC's of het Britse addendum, hebben de SCC's of het Britse addendum (indien van toepassing) voorrang, voor zover van toepassing. Behalve zoals hierin uitdrukkelijk gewijzigd, blijven de voorwaarden van de Overeenkomst volledig van kracht.
3. Rollen en omvang van de verwerking
3.1. Rol van de partijen
Tussen de partijen treedt Netradyne op als verwerker (of subverwerker, dienstverlener of aannemer) van de persoonsgegevens van de klant.
3.2. Instructies voor de klant
3.2.1. Netradyne verwerkt de persoonsgegevens van klanten zoals specifiek uiteengezet in de Overeenkomst, deze DPA en/of de gedocumenteerde instructies van de Klant, of zoals anderszins vereist door de toepasselijke wetgeving waaraan Netradyne is onderworpen (de „Instructies van de Klant"). Indien Netradyne volgens de toepasselijke wetgeving verplicht is om persoonsgegevens van klanten te verwerken anders dan in overeenstemming met de instructies van de klant, zal Netradyne, voor zover toegestaan door de toepasselijke wetgeving, de klant vóór een dergelijke verwerking op de hoogte brengen van die wettelijke vereiste, tenzij die wet dergelijke informatie verbiedt om belangrijke redenen van algemeen belang.
3.2.2. Netradyne zal de Klant onmiddellijk op de hoogte brengen als, naar de mening van Netradyne, de instructies van de Klant in strijd zijn met de toepasselijke wetgeving of als Netradyne vaststelt dat zij niet langer aan haar verplichtingen op grond van de toepasselijke wetgeving kan voldoen. Netradyne heeft het recht om de uitvoering van een dergelijke instructie van de klant op te schorten.
3.2.3. De klant zal ervoor zorgen dat de instructies van de klant Netradyne niet in strijd brengen met toepasselijke wet- of regelgeving.
4. Netradyne-personeel
4.1. Netradyne zorgt ervoor dat haar werknemers, agenten, contractanten en ander personeel die toegang hebben tot persoonlijke gegevens: (a) dit alleen doen voor zover strikt noodzakelijk om de diensten te verlenen; en (b) gebonden zijn aan passende bindende vertrouwelijkheidsverplichtingen die niet minder beschermend zijn dan vastgelegd in de Overeenkomst.
5. Beveiliging
5.1. Netradyne zal passende technische en organisatorische beveiligingsmaatregelen implementeren en handhaven die zijn ontworpen om de persoonsgegevens van klanten te beschermen. Netradyne voert de maatregelen uit die zijn opgenomen in schema II. Netradyne kan dergelijke maatregelen van tijd tot tijd wijzigen, op voorwaarde dat de wijzigingen de algehele beveiliging van de persoonsgegevens van de klant niet wezenlijk verminderen.
6. Subverwerking
6.1. De klant geeft hierbij een algemene machtiging aan Netradyne-filialen, evenals aan andere derden die zijn vermeld in schema 3, om subverwerkers te zijn (elk een „subverwerker"). Netradyne mag persoonsgegevens van klanten aan haar subverwerkers bekendmaken met het oog op de levering van de producten en diensten, op voorwaarde dat de subverwerkers van Netradyne zich verbinden tot bindende gegevensbeschermingsverplichtingen die niet minder zwaar zijn dan de verplichtingen die zijn vastgelegd in deze DPA.
6.2. De klant heeft het recht om binnen dertig (30) kalenderdagen na een dergelijke kennisgeving van tijd tot tijd bezwaar te maken tegen elke wijziging van subverwerkers zoals gemeld door Netradyne. Als de klant niet binnen deze termijn bezwaar maakt tegen een dergelijke wijziging, wordt de klant geacht met een dergelijke wijziging te hebben ingestemd. Als er een wezenlijk belangrijke reden voor een dergelijk bezwaar bestaat en deze schriftelijk aan Netradyne wordt verstrekt, en als er geen minnelijke schikking van deze zaak door de partijen wordt bereikt (elke partij handelt redelijk en te goeder trouw), kan de Klant de toepasselijke Bestelformulieren beëindigen die uitsluitend betrekking hebben op de betreffende functies of functionaliteiten van de Producten en Diensten.
6.3. Netradyne blijft verantwoordelijk voor de handelingen of nalatigheden van subverwerkers in dezelfde mate als vereist op grond van de wetgeving inzake gegevensbescherming als wanneer de handelingen of nalatigheden door Netradyne zijn verricht en mag eventuele verplichtingen opnieuw uitvoeren of ervoor zorgen dat deze opnieuw worden uitgevoerd. De klant erkent en aanvaardt dat een dergelijke heruitvoering elke claim die de klant tegen Netradyne heeft met betrekking tot eventuele aansprakelijkheid van de subverwerker zal verminderen.
7. Verzoeken van betrokkenen
7.1. Netradyne zal de Klant op de hoogte stellen en bijstaan indien zij verzoeken ontvangt van de Betrokkenen om hun rechten uit te oefenen (Verzoeken van Betrokkenen), op voorwaarde dat Netradyne aan de hand van de door de Betrokkenen verstrekte informatie redelijkerwijs kan identificeren dat een dergelijk verzoek betrekking heeft op de persoonsgegevens van de Klant of de Klant. Netradyne zal niet reageren op een dergelijk verzoek, tenzij dit vereist is op grond van de toepasselijke wetgeving. Netradyne kan van de klant verlangen dat hij de werkelijke kosten draagt die zijn gemaakt als gevolg van de hulp die is verleend in overeenstemming met deze paragraaf, op basis van de op dat moment geldende servicetarieven van Netradyne.
7.2. Voor alle duidelijkheid: de klant is als verwerkingsverantwoordelijke verantwoordelijk voor het beantwoorden van verzoeken van betrokkenen. De producten en diensten van Netradyne omvatten technische en organisatorische maatregelen die zijn ontworpen om de klant te helpen bij het beantwoorden van verzoeken van betrokkenen.
8. Verzoeken van derden
Netradyne zal:
(een) tenzij het wettelijk verboden is om dit te doen, de Klant onmiddellijk en zonder onnodige vertraging (en in elk geval binnen 72 uur) op de hoogte stellen van elk verzoek om informatie van of een klacht van een toezichthoudende autoriteit, toezichthouder, wetshandhavingsinstantie of kredietinformatiebureau met betrekking tot persoonsgegevens die Netradyne verwerkt in verband met de Overeenkomst; en
(b) op verzoek van de klant, een reactie op een dergelijk verzoek bespreken en meewerken aan de voorbereiding van een dergelijk verzoek;
(c) niet op een dergelijk verzoek reageren zonder voorafgaande schriftelijke toestemming van de klant, tenzij wettelijk gedwongen om dit te doen.
Tenzij het wettelijk verboden is om dit te doen, zal Netradyne de Klant eerst op de hoogte stellen alvorens een melding of openbaarmaking aan een derde in verband met een inbreuk in verband met Persoonsgegevens te doen en de voorafgaande schriftelijke toestemming van de Klant verkrijgen.
9. Inbreuk in verband met persoonsgegevens
9.1. Netradyne zal de klant onverwijld op de hoogte stellen wanneer zij kennis neemt van een inbreuk op persoonsgegevens die gevolgen heeft voor de persoonsgegevens van de klant. Voor alle duidelijkheid: een inbreuk op persoonsgegevens omvat niet (i) handelingen of nalatigheden die niet rechtstreeks te wijten zijn aan Netradyne of haar subverwerkers; of (ii) enige toegang tot of verwerking van persoonsgegevens van klanten die in overeenstemming is met de instructies van de klant. Op verzoek van de klant zal Netradyne redelijke hulp en medewerking bieden om de klant te helpen bij het nakomen van alle toepasselijke meldingsverplichtingen op grond van de toepasselijke wetgeving inzake gegevensbescherming met betrekking tot de inbreuk op persoonsgegevens. Netradyne's melding van of reactie op een inbreuk in verband met persoonsgegevens mag niet worden opgevat als een erkenning door Netradyne of, indien relevant, haar subverwerkers van enige fout of aansprakelijkheid met betrekking tot de uitvoering van producten en diensten. Netradyne kan van de klant verlangen dat hij de werkelijke kosten draagt die zijn gemaakt als gevolg van de hulp die is verleend in overeenstemming met deze paragraaf, op basis van de op dat moment geldende servicetarieven van Netradyne.
10. Effectbeoordeling van gegevensbescherming en voorafgaand overleg
10.1. Op verzoek van de klant zal Netradyne de klant redelijke hulp bieden bij alle gegevensbeschermingseffectbeoordelingen en voorafgaand overleg met toezichthoudende autoriteiten die vereist zijn op grond van de wetgeving inzake gegevensbescherming, in elk geval uitsluitend met betrekking tot de verwerking van persoonsgegevens van klanten door Netradyne in het kader van de overeenkomst en rekening houdend met de aard van de verwerking en de informatie waarover Netradyne beschikt. Netradyne behoudt zich het recht voor om een redelijke vergoeding in rekening te brengen voor dergelijke gevraagde assistentie, voor zover toegestaan door de toepasselijke wetgeving.
11. Auditrechten
11.1. Op schriftelijk verzoek en zonder extra kosten voor de klant zal Netradyne de Klant en/of zijn naar behoren gekwalificeerde externe vertegenwoordiger (gezamenlijk de „Auditor") toegang verlenen tot documentatie waaruit blijkt dat Netradyne voldoet aan zijn verplichtingen uit hoofde van deze DPA in de vorm van verslagen van relevante audits of certificeringen, zoals ISO 27001 of ingevulde vragenlijsten volgens industriestandaard (gezamenlijk „Rapporten"). Dergelijke rapporten zullen de vertrouwelijke informatie van Netradyne zijn volgens de vertrouwelijkheidsbepalingen van de Overeenkomst. De klant gaat ermee akkoord dat de rapporten worden gebruikt om te voldoen aan elk audit- of inspectieverzoek door of namens de klant met betrekking tot de wetgeving inzake gegevensbescherming, deze DPA en/of overeenkomst.
11.2. Wanneer de auditor een derde partij is, kan van de auditor worden verlangd dat hij een afzonderlijke vertrouwelijkheidsovereenkomst met Netradyne sluit voordat de verslagen of een audit van Netradyne worden beoordeeld. Netradyne kan schriftelijk bezwaar maken tegen een dergelijke accountant, indien de accountant naar het redelijke oordeel van Netradyne niet voldoende gekwalificeerd is of een concurrent van Netradyne is. Elk dergelijk bezwaar van Netradyne vereist dat de klant ofwel een andere auditor aanstelt, ofwel de audit zelf uitvoert. Alle kosten die een accountant maakt in verband met een beoordeling van verslagen of een audit komen uitsluitend voor rekening van de accountant.
11.3. Als een rapport niet beschikbaar is, kan de klant, na een voorafgaande schriftelijke kennisgeving van 30 dagen en maximaal één keer per kalenderjaar, verzoeken om op eigen kosten een beoordeling uit te voeren van het relevante beleid en de procedures van Netradyne die van toepassing zijn op de verwerking van persoonsgegevens van klanten van klanten in verband met de producten door Netradyne, met het oog op verificatie Netradyne's naleving van deze DPA. Deze beoordeling wordt uitgevoerd op een manier die de vertrouwelijkheidsverplichtingen van Netradyne jegens andere klanten van Netradyne niet in gevaar brengt. De partijen erkennen en komen overeen dat het beleid en de procedures van Netradyne en alle bevindingen van de beoordeling door de klant vertrouwelijke informatie van Netradyne zijn volgens de vertrouwelijkheidsbepalingen van de Overeenkomst.
11.4. Voor zover vereist door de wetgeving inzake gegevensbescherming, heeft de klant het recht om, na schriftelijke kennisgeving aan Netradyne, redelijke en passende maatregelen te nemen om elk gebruik van persoonlijke gegevens van klanten dat in strijd is met de overeenkomst te stoppen en te herstellen.
12. Gegevensoverdrachten
12,1. Netradyne kan persoonlijke gegevens van klanten overdragen naar elk land of gebied, indien redelijkerwijs noodzakelijk voor het leveren van de producten en diensten, in overeenstemming met deze DPA. Voor zover deze overdracht persoonsgegevens van klanten betreft die worden beschermd door de gegevensbeschermingswetten die van toepassing zijn op de Europese Unie, het Verenigd Koninkrijk en/of Zwitserland, komen Netradyne en de klant overeen om de persoonsgegevens van klanten te respecteren en te verwerken in overeenstemming met de hieronder gespecificeerde overdrachtmechanismen.
12.1.1. Voor zover Netradyne een ontvanger is van persoonsgegevens van klanten — in de hoedanigheid van gegevensverwerker — beschermd door de EU-AVG („EU-gegevens") in een land buiten de Europese Economische Ruimte (EER) dat volgens de wetgeving inzake gegevensbescherming niet wordt erkend als een adequaat niveau van bescherming van persoonsgegevens, gaan de Klant (als „gegevensexporteur") en Netradyne (als „" gegevensimporteur "") ermee akkoord EU-gegevens naleven en verwerken in overeenstemming met de SCC's van de EU, die als volgt worden beschouwd als opgenomen in en deel uitmaken van deze DPA:
- Module twee is van toepassing;
- in clausule 7 is de optionele dockingclausule niet van toepassing;
- in clausule 9 is optie 2 van toepassing en is de termijn voor voorafgaande kennisgeving van wijzigingen in de subprocessor zoals uiteengezet in paragraaf 6.2 van deze DPA;
- in clausule 11 is de optionele taal niet van toepassing;
- in clausule 13 (a) is de eerste alinea van toepassing;
- in clausule 17 is optie I van toepassing, en op de SCC's van de EU is het Nederlandse recht van toepassing;
- in artikel 18 (b) worden geschillen beslecht voor de Nederlandse rechtbanken;
- Bijlage I van de SCC's van de EU wordt geacht compleet te zijn met de informatie die is opgenomen in schema 1 bij deze DPA; en
- Onder voorbehoud van paragraaf 5.1 van deze DPA wordt bijlage II van de SCC's van de EU geacht te zijn aangevuld met de informatie die is opgenomen in schema 2 bij deze DPA.
- Bijlage III van de SCC (lijst van subverwerkers) wordt geacht compleet te zijn met de informatie die is opgenomen in schema 3 bij deze DPA.
12.1.2. Voor zover Netradyne een ontvanger is van persoonlijke gegevens van klanten die worden beschermd door de Zwitserse DPA („Zwitserse gegevens") in een land buiten Zwitserland dat volgens de wetgeving inzake gegevensbescherming niet wordt erkend als een land dat een adequaat niveau van bescherming biedt voor persoonlijke gegevens, komen de klant (als „gegevensexporteur") en Netradyne (als „" gegevensimporteur "") overeen om Zwitserse gegevens te respecteren en te verwerken in overeenstemming met de EU" SCC's, die worden beschouwd als opgenomen in en deel uitmaken van deze DPA in overeenstemming met paragraaf 12.1.1 hierboven en de wijzigingen in paragraaf hieronder.
12.1.3. Voor zover Netradyne een ontvanger is van persoonlijke gegevens van klanten die worden beschermd door de Britse wetgeving inzake gegevensbescherming („Britse gegevens") in een land buiten het VK dat door het VK niet wordt erkend als een land dat een adequaat niveau van bescherming biedt voor persoonlijke gegevens, komen de klant (als „gegevensexporteur") en Netradyne (als „" gegevensimporteur "") overeen om Britse gegevens na te leven en te verwerken in overeenstemming met de" EU-SCC's zoals geïmplementeerd in overeenstemming met paragraaf 12.1.1 hierboven en de wijzigingen in paragraaf hieronder. Voor zover en zolang de SCC's van de EU, zoals geïmplementeerd in overeenstemming met deze DPA, niet kunnen worden gebruikt om persoonsgegevens van klanten rechtmatig over te dragen in overeenstemming met de Britse wetgeving inzake gegevensbescherming aan Netradyne, worden de Britse SCC's geacht te zijn opgenomen in en deel uit te maken van deze DPA en zijn ze van toepassing op overdrachten die onder de Britse GDPR vallen. Voor de doeleinden van de Britse SCC's worden de relevante bijlagen, aanhangsels of tabellen geacht te zijn gevuld met de informatie die is opgenomen in de schema's 1 en 2 van deze DPA.
12.1.4. Met betrekking tot de overdracht van gegevens uit het VK of Zwitserse gegevens zijn de SCC's van de EU, zoals geïmplementeerd in paragraaf 12.1.1 hierboven, van toepassing met de volgende wijzigingen (zoals van tijd tot tijd gewijzigd in overeenstemming met het Britse bureau van de informatiecommissaris of de richtlijnen van de Zwitserse federale commissaris voor gegevensbescherming):
12.1.4.1. verwijzingen naar „Verordening (EU) 2016/679" worden geïnterpreteerd als verwijzingen naar de Britse wetgeving inzake gegevensbescherming of de Zwitserse gegevensbeschermingswetgeving (indien van toepassing);
12.1.4.2. verwijzingen naar specifieke artikelen van „Verordening (EU) 2016/679" worden vervangen door het gelijkwaardige artikel of deel van de Britse wetgeving inzake gegevensbescherming of de Zwitserse gegevensbeschermingswetgeving (indien van toepassing);
12.1.4.3. verwijzingen naar „EU", „Unie", „lidstaat" en „wetgeving van de lidstaten" worden vervangen door verwijzingen naar het „" VK "" of „" Zwitserland "", of „" Britse wetgeving "" of „" Zwitserse wetgeving "" (indien van toepassing);"
12.1.4.4. de term „lidstaat" mag niet zo worden geïnterpreteerd dat betrokkenen in het VK of Zwitserland worden uitgesloten van de mogelijkheid om een rechtszaak aan te spannen voor hun rechten in hun gewone verblijfplaats (d.w.z. het VK of Zwitserland);
12.1.4.5. Clausule 13 (a) van de SCC's van de EU en deel C van bijlage I worden niet gebruikt, en de „bevoegde toezichthoudende autoriteit" is de informatiecommissaris van het Verenigd Koninkrijk of de Zwitserse federale commissaris voor gegevensbescherming (indien van toepassing);
12.1.4.6. verwijzingen naar de „bevoegde toezichthoudende autoriteit" en „bevoegde rechtbanken" worden vervangen door verwijzingen naar de „" informatiecommissaris "" en de „" rechtbanken van Engeland en Wales "" of de „" Zwitserse federale gegevensbeschermingscommissaris "" en „" toepasselijke rechtbanken van Zwitserland "" (indien van toepassing);"
12.1.4.7. in clausule 17 worden de SCC's van de EU beheerst door de wetten van Engeland en Wales of Zwitserland (indien van toepassing); en
12.1.4.8. met betrekking tot overdrachten waarop de Britse wetgeving inzake gegevensbescherming van toepassing is, wordt clausule 18 gewijzigd om te bepalen: „Elk geschil dat voortvloeit uit deze clausules zal worden beslecht door de rechtbanken van Engeland en Wales. Een betrokkene kan een gerechtelijke procedure aanspannen tegen de gegevensexporteur en/of gegevensimporteur bij de rechtbanken van elk land in het VK. De partijen komen overeen zich te onderwerpen aan de jurisdictie van dergelijke rechtbanken", en met betrekking tot overdrachten waarop de Zwitserse DPA van toepassing is, bepaalt clausule 18 (b) dat geschillen zullen worden beslecht door de toepasselijke rechtbanken van Zwitserland.
12,2. Netradyne kan persoonsgegevens van klanten overdragen aan een subverwerker buiten de Europese Unie, Zwitserland of het Verenigd Koninkrijk, op voorwaarde dat Netradyne maatregelen neemt om rechtmatige gegevensoverdracht te waarborgen. Deze maatregelen kunnen vereisen dat Netradyne (a) ervoor zorgt dat de derde partij de standaardcontractbepalingen uitvoert; of (b) een ander alternatief rechtmatig mechanisme voor gegevensoverdracht toepast (zoals erkend in de wetgeving inzake gegevensbescherming).
12,3. Voor zover de overdrachtsmechanismen die worden gebruikt voor de overdracht van persoonsgegevens niet kunnen worden gebruikt om persoonsgegevens rechtmatig van het ene rechtsgebied naar het andere over te dragen op grond van de toepasselijke wetgeving inzake gegevensbescherming, zullen de partijen zo snel als redelijkerwijs mogelijk een alternatief overdrachtsmechanisme of alternatieve aanvullende maatregelen bespreken en overeenkomen om rechtmatige overdracht van gegevens mogelijk te maken.
13. Ophalen en verwijderen van persoonlijke gegevens van klanten
13,1. De klant gaat ermee akkoord dat het beleid voor het bewaren en verwijderen van gegevens onderworpen is aan de algemene voorwaarden die zijn vastgelegd in de overeenkomst. Na ontvangst van het verzoek van de klant om persoonlijke gegevens van de klant te verwijderen, zal Netradyne op verzoek onmiddellijk alle persoonlijke gegevens verwijderen of terugsturen naar de klant. Tenzij de Klant Netradyne anders op de hoogte stelt, zal Netradyne bij beëindiging van de Overeenkomst alle Persoonsgegevens binnen 30 dagen verwijderen. Niettegenstaande het voorgaande mag Netradyne persoonsgegevens uitsluitend bewaren voor zover anders vereist door de wetgeving inzake gegevensbescherming.
13,2. Voor zover toegestaan op grond van de toepasselijke wetgeving inzake gegevensbescherming, kan Netradyne persoonsgegevens van klanten onherkenbaar maken of anonimiseren voor latere bewaring en gebruik, onder voorbehoud van de publieke toezegging van Netradyne om de informatie in geanonimiseerde of geanonimiseerde vorm te bewaren en te gebruiken en niet om te proberen dergelijke informatie opnieuw te identificeren. Voor alle duidelijkheid en voor zover toegestaan op grond van de toepasselijke wetgeving inzake gegevensbescherming, wordt een dergelijke deidentificatie of anonimisering van persoonsgegevens van klanten geacht te voldoen aan de verplichtingen van Netradyne op grond van de Overeenkomst, deze DPA en de toepasselijke wetgeving inzake gegevensbescherming.
14. Aansprakelijkheid
14.1. Alle claims die op grond van deze DPA worden ingesteld (inclusief de standaardcontractbepalingen) zijn onderworpen aan de algemene voorwaarden, met inbegrip van maar niet beperkt tot de uitsluitingen en beperkingen van aansprakelijkheid die in de overeenkomst zijn uiteengezet.
15. Aanvullende California-specifieke bepalingen
15,1. Voor zover de persoonlijke gegevens van klanten betrekking hebben op inwoners van Californië, zal Netradyne geen persoonlijke gegevens van klanten bewaren, gebruiken, verkopen, delen of anderszins openbaar maken (inclusief voor commerciële doeleinden of andere doeleinden buiten de directe zakelijke relatie tussen de partijen) anders dan zoals toegestaan door de wet of voor zover nodig om de producten en diensten te leveren en te ondersteunen, zoals uiteengezet in de Overeenkomst.
15,2. Voor zover de persoonsgegevens van klanten betrekking hebben op inwoners van Californië, zal Netradyne voldoen aan de toepasselijke beperkingen op grond van de CPRA voor het combineren van persoonsgegevens van klanten die Netradyne van of namens de klant ontvangt met persoonsgegevens die Netradyne ontvangt van of namens een andere persoon of personen, of die Netradyne verzamelt op basis van elke interactie tussen hen en een gegevenssubject.
15.3. Voor zover de persoonsgegevens van klanten betrekking hebben op inwoners van Californië, zal Netradyne voldoen aan de CPRA en, rekening houdend met de rol van Netradyne in de verwerking, het beschermingsniveau bieden voor de relevante persoonsgegevens van klanten dat vereist is door de CPRA.
16. Wijzigingen in de wetgeving inzake gegevensbescherming
16,1. Als een nieuwe wet inzake gegevensbescherming van kracht wordt en van toepassing is op Netradyne, zullen Netradyne en de Klant alle redelijke stappen ondernemen die vereist zijn op grond van deze wetgeving inzake gegevensbescherming om ervoor te zorgen dat de partijen hun verplichtingen uit hoofde van de toepasselijke wetgeving kunnen nakomen en ervoor zorgen dat Netradyne alle gegevensbeschermingswetten naleeft die van toepassing zijn op Netradyne.
17. Toepasselijk recht en jurisdictie
17,1. Tenzij anders vereist op grond van de standaardcontractbepalingen of de toepasselijke wetgeving inzake gegevensbescherming, worden deze DPA en alle geschillen of vorderingen die voortvloeien uit of verband houden met de DPA of het onderwerp of de totstandkoming ervan, beheerst door en geïnterpreteerd in overeenstemming met de wetten van de staat Californië, zonder rekening te houden met de conflicterende wetsprincipes. Voor alle duidelijkheid: wanneer de standaardcontractbepalingen van toepassing zijn, worden ze beheerst door de wetten en de jurisdictie die daarin is gespecificeerd.
Addendum voor gegevensverwerking
Description of the processing / transfer
Item | Details |
Data Exporter | Customer is the Data Exporter |
Data Importer | Netradyne, Inc. Contact details: |
Description of the transfer / processing
Item | Details |
Data Subjects: | Employees or independent contractors of Customer, service providers of Customer, including those driving vehicles (“Drivers”). Members of the public or passers-by. |
Categories of Personal Data: | Personal data processed includes:
|
Special Categories of Personal Data: | Not applicable |
Nature, purpose and frequency of Processing: | Netradyne will Process Customer Personal Data for as long as is necessary to provide the Products and Services to the Customer in accordance with, and as otherwise permitted by, the Agreement, and for any disclosures compelled by law. |
Duration: | As long as necessary for fulfilling the business purposes or as set forth in the Agreement and subject to section 13 of this DPA. |
Approved Sub-Processors (if any): | As listed in Schedule 3 |
Approved Transfer Mechanism: | Standard Contractual Clauses: See Section 12 of the DPA |
Competent Supervisory Authority: | Determined in accordance with Data Protection Laws. |
Schedule 2
Technical and Organisational Measures Including Technical and Organisational Measures to Ensure the Security of the Data
Netradyne shall develop, implement, and maintain reasonable physical, administrative, and technical controls to protect the confidentiality, availability, and integrity of the Services and Customer Personal Data (“Security Measures”). The Security Measures must, at a minimum, comply with Applicable Data Protection Laws. Taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of the Processing as well as the risk of varying likelihood and severity for the legally protected interests of natural persons, Netradyne shall implement the necessary technical and organizational measures (“Safety Measures”) to ensure a level of security appropriate to the risk when Processing Personal Data.
Netradyne will maintain Safety Measures consistent with industry-accepted best practices (including the International Organization for Standardization’s standards ISO 27001 and 27002). Netradyne’s information security program will include, at a minimum, the following safeguards and controls:
Item | Details |
Measures of pseudonymization and encryption of personal data. | Netradyne employs cryptographic techniques to protect customer data.
|
Measures for ensuring ongoing confidentiality, integrity, availability and resilience of processing systems and services. | Netradyne implements strict access controls to restrict access to Customer information. Access controls include controlled use of administrative privileges, implementation of account and password management policies and multi-factor authentication (MFA) for servers and production systems. Netradyne has implemented network security controls, vulnerability assessment, patch management and scheduled monitoring procedures to identify, assess, mitigate, and protect against security threats. Critical Severity patches are scheduled to be reviewed, evaluated, and deployed immediately or within 5 days. High severity patches are also reviewed and deployed immediately or within 30 days. Medium and Low severity patches are reviewed as part of the internal audit process and generally deployed within 3-12 months depending on relevance and severity. The deep packet inspection of the Netradyne firewall function enables blocking malicious traffic. They are monitored 24/7 for performance, security, and proper operation. Data segregation. Netradyne has implemented measures to logically isolate customer data from Netradyne’s internal or third-party data. Physical security. Netradyne has implemented physical security controls (access cards, CCTV surveillance and security guards) to monitor and control physical access to its facilities. Netradyne conducts performance tests, regular device health monitoring and backup of data to ensure availability and resilience of its platforms and services. |
Measures for ensuring the ability to restore the availability and access to personal data in a timely manner in the event of a physical or technical incident. | Netradyne stores all data on AWS cloud (Elastic Block Storage- EBS) which is configured to allow regular backup of data or restoration of data. Netradyne maintains a security incident response team (SIRT) to coordinate efforts needed for containing incidents and allowing restoration of data. |
Processes for regularly testing, assessing and evaluating the effectiveness of technical and organizational measures in order to ensure the security of the processing. | Netradyne conducts internal audit of its security and privacy controls at least once a year. Periodic vulnerability scans and penetration testing by external reviewers are also conducted. |
Measures for user identification and authorization. | Netradyne assigns a user-id to all the users. Access controls include controlled use of administrative privileges, implementation of account and password management policies and multi-factor authentication (MFA) for servers and production systems. Passwords must meet password-complexity requirements outlined in Netradyne’s Password Policy. Privileged-account abilities are granted to a limited number of Netradyne personnel who need this level of access to perform their job function. |
Measures for ensuring physical security of locations at which personal data are processed. | Netradyne’s production and development datacenters are protected from environmental and security threats using technical, administrative, and physical security controls. For high availability, included are redundant uninterruptible power supplies, fire and smoke detection and suppression systems, redundant ventilation, and air conditioning, and more. All systems undergo frequent and regular preventative maintenance. Netradyne’s corporate facilities are monitored by CCTV. A team of security guards are deployed at the entrance and throughout the facility. Access to the building is controlled by security key cards. |
Measures for ensuring events logging. | Netradyne systems are centrally managed and monitored through the use of industry standard logging mechanisms. Netradyne applications are configured to log details of the user sessions, and the actions users perform. It also records administration events such as operations with user accounts. Administration events, such as creation or deactivation of user account, lockout or expiration of an account, password changes, assigning or removing a user role, adding, or removing a user from a group, are also logged. |
Measures for ensuring system configuration, including default configuration. | Netradyne has established a standard workstation configuration baseline in order to meet security objectives. Netradyne’s server systems are configured for performance, stability, scalability, and security. All server systems, including web, application, and database servers, are built to configuration standards. All SQL Server services are hardened by disabling all services that are not used by Netradyne application. The hardening process includes the following objectives:
Removing all unnecessary functionality, such as scripts, drivers, features, subsystems, file systems, and unnecessary web servers. |
Measures for internal IT and IT security governance and management. | Netradyne has a dedicated InfoSec team and has put in place IT security policy and procedures. This includes a formal change management process and acceptable use policy. |
Measures for certification/assurance of processes and products. | Netradyne engages independent security auditors for periodic assessment of its security and privacy controls as part of its ISO 27001 and Privacy by Design certifications. ISO 27001 - https://gmsintercert.com/verify/single-cert-verify.php?cRegName=ISMS2020025 Privacy by Design - https://msecb.com/certifications-granted |
Measures for ensuring data minimization. | Different privacy modes and privacy configurations may be enabled to reduce the amount of data processed by Netradyne. Most of the video footage recorded on the Driver.i device remains on the device and is overwritten once the device’s memory is full. A video footage is uploaded to Netradyne cloud only if an Event is detected. On average less than 1% of the footage is uploaded to the cloud. Depending on the Event type, only the relevant Event Footage (either external footage or in-cab footage) is uploaded to the cloud. For all Events, the device uploads the Event Data to the cloud. |
Measures for ensuring limited data retention. | The default data retention is a balance between ensuring data is retained for a sufficient time period to be useful to Data Exporter, and ensuring it is not kept beyond such useful time period. Data retention and deletion requirements are set out in the Agreement or the DPA. |
Measures for ensuring accountability. | Netradyne maintains evidence of the steps taken to comply with the EU GDPR. Netradyne puts in place appropriate technical and organizational measures, such as: (i) adopting and implementing data protection policies (where proportionate), (ii) executing written contracts with service providers (iii) maintaining documentation of processing activities, (iv) implementing appropriate security measures, (v) recording and, where necessary, reporting personal data breaches, (vi) carrying out data protection impact assessments for uses of personal data that are likely to result in high risk to individuals’ interests, and (vii) implementing logging and monitoring controls. |
Measures for allowing data portability and ensuring erasure. | Netradyne allows data subjects to exercise their rights by reaching out to designated points of contact. The primary responsibility for responding to data subject requests rests with the customer. Netradyne will assist the customer in responding to data subject requests. |
Schedule 3
List of Approved Sub-processors
The controller has authorised the use of the following sub-processors:
Sub-processor | Purpose of Processing | Location |
Netradyne Technology India Private Limited (“Netradyne India”) | Engineering and support | India |
Amazon Web Services (AWS) | Data hosting | United States |
Elancer IT Solutions Private Limited | Data labelling services | India |
Gainsight, Inc. | Customer success platform | United States |
Mixpanel, Inc. | User activity/experience (data analytics) | United States |
VVDN Technologies | Device refurbishment | India |
Wilt u chauffeurs beschermen en de kosten verlagen?
Dat is geen moeilijke vraag. Overtuig uzelf met een demo.