MSP-gegevensverwerkingsovereenkomst

Deze gegevensverwerkingsovereenkomst ("Overeenkomst") maakt deel uit van de Managed Services Provider-overeenkomst (de "Hoofdovereenkomst") tussen Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Zwitserland, bedrijfsidentificatienummer CHE-354.686.492 (aangeduid als de "Verwerker"), en de in de Hoofdovereenkomst aangeduide MSP (aangeduid als de "Onderneming", en waaronder wordt verstaan de leverancier van beheerde diensten die de Diensten gebruikt om haar eigen Beheerde Klanten te leveren, te factureren en te ondersteunen, ongeacht haar rechtsvorm).

Deze Overeenkomst regelt de specifieke vereisten van de gegevensbeschermingswetten voor zover het gebruik van de Diensten door de Onderneming, met inbegrip van de levering van de Diensten door de Onderneming aan Beheerde Klanten, inhoudt dat Persoonsgegevens worden verwerkt die onder de gegevensbeschermingswetten vallen.

De looptijd van deze Overeenkomst volgt de looptijd van de Hoofdovereenkomst. Termen die hierin niet zijn gedefinieerd, hebben de betekenis zoals uiteengezet in de Hoofdovereenkomst.

OVERWEGENDE

A) De Onderneming treedt op als Gegevensverantwoordelijke of, wanneer een Beheerde Klant zelf opdracht geeft tot de Verwerking van diens eigen Persoonsgegevens, als Gegevensverwerker namens die Beheerde Klant (in beide gevallen de "Beheerder").

B) De Onderneming wenst bepaalde Diensten, die de Verwerking van Persoonsgegevens inhouden, uit te besteden aan Proton AG, optredend als Gegevensverwerker (de "Verwerker").

C) De Partijen beogen een gegevensverwerkingsovereenkomst te implementeren die voldoet aan de vereisten van het huidige wettelijke kader met betrekking tot gegevensverwerking, met inbegrip van Verordening (EU) 2016/679 (de "GDPR") en de Zwitserse federale wet op de gegevensbescherming ("FADP"), en andere toepasselijke Gegevensbeschermingswetten.

D) De Partijen wensen hun respectieve rechten en verplichtingen vast te leggen.

HET VOLGENDE WORDT OVEREENGEKOMEN:

1. Definities, rollen en toepassingsgebied

1.1 Definities. Tenzij hierin anders gedefinieerd, hebben termen met een hoofdletter de betekenis die daaraan in de Hoofdovereenkomst is gegeven of, indien daar niet gedefinieerd, de volgende betekenis:

• "Persoonsgegevens van de Onderneming" betekent alle Persoonsgegevens die betrekking hebben op de Onderneming, de Beheerde Klanten van de Onderneming, of hun respectieve klanten of medewerkers, die worden Verwerkt in verband met de Hoofdovereenkomst.
• "Onderhoudsverwerker" betekent een Subverwerker.
• "Gegevensbeschermingswetten" betekent de GDPR, de FADP en, voor zover van toepassing, de gegevensbeschermings- of privacywetgeving van enig ander land.
• "Gegevensoverdracht" betekent (i) een overdracht van Persoonsgegevens van de Onderneming van de Onderneming naar de Verwerker of een Onderhoudsverwerker, of (ii) een verdere overdracht van Persoonsgegevens van de Onderneming van de Verwerker naar een Subverwerker, of tussen twee vestigingen van een Subverwerker.
• "Beheerde Klant" heeft de betekenis die daaraan in de Hoofdovereenkomst wordt gegeven: een eindgebruikersentiteit waaraan de Onderneming de Diensten verstrekt en levert als onderdeel van het eigen aanbod van beheerde diensten van de Onderneming.
• “Subverwerker” betekent elke persoon die door of namens de Verwerker is aangesteld om Persoonsgegevens te Verwerken in verband met de Overeenkomst.
• De termen "Commissie", "Beheerder", "Betrokkene", "Lidstaat", "Persoonsgegevens", "Schending van Persoonlijke Gegevens", "Verwerking" en "Toezichthoudende Autoriteit" hebben dezelfde betekenis als in de GDPR of andere toepasselijke Gegevensbeschermingswetgeving.

1.2 Rollen van de Partijen. In de relatie tussen Proton en de Onderneming is de Onderneming de Beheerder (of, indien van toepassing, de Verwerker die handelt op instructie van een Beheerde Klant) en Proton de Verwerker met betrekking tot alle Persoonsgegevens van de Onderneming die worden Verwerkt onder de Hoofdovereenkomst, inclusief Persoonsgegevens van of met betrekking tot Beheerde Klanten en hun respectieve eindgebruikers. Deze Overeenkomst is de volledige en exclusieve gegevensverwerkingsregeling tussen Proton en enige partij in de keten van Beheerde Klanten. Proton heeft geen directe contractuele relatie, Beheerder-Verwerker-relatie of Verwerker-Subverwerker-relatie met enige Beheerde Klant, en geen enkele Beheerde Klant is partij bij of derde begunstigde van deze Overeenkomst. De Onderneming is als enige verantwoordelijk voor haar overeenkomsten met en verplichtingen jegens haar Beheerde Klanten, inclusief eventuele gegevensbeschermingsvoorwaarden die de Onderneming hen verschuldigd is onder toepasselijk recht of overeenkomst.

1.3 Stroomafwaartse verantwoordelijkheid van de Onderneming. De Onderneming sluit een schriftelijke overeenkomst met elke Beheerde Klant die gegevensbeschermingsverplichtingen oplegt aan de Onderneming die de Persoonsgegevens van die Beheerde Klant niet minder beschermen dan de verplichtingen die Proton aan de Onderneming verschuldigd is onder deze Overeenkomst, voor zover van toepassing op de aard van de Diensten die de Onderneming aan die Beheerde Klant levert. De verplichtingen van Proton onder deze Overeenkomst gelden uitsluitend jegens de Onderneming; de Onderneming blijft tussen de Onderneming en haar Beheerde Klanten als enige aansprakelijk jegens haar Beheerde Klanten voor de Verwerking van hun Persoonsgegevens, inclusief voor enig handelen of nalaten van Proton.

2. Verwerking van Persoonlijke Gegevens van de Onderneming

De Verwerker zal:

• te voldoen aan alle toepasselijke Gegevensbeschermingswetten bij de Verwerking van Persoonsgegevens van de Onderneming; en
• geen Persoonsgegevens van de Onderneming te Verwerken anders dan op basis van gedocumenteerde instructies van de Onderneming, zoals hieronder uiteengezet.

De Onderneming instrueert de Verwerker om Persoonsgegevens van de Onderneming te Verwerken om:

• de Diensten en gerelateerde technische ondersteuning te verlenen aan de Onderneming en, via de Onderneming, aan Beheerde Klanten;
• juridische verplichtingen na te komen of geschillen op te lossen;
• elke interne taak uit te voeren die gericht is op het optimaliseren van de beveiliging, privacy, vertrouwelijkheid en functionaliteit van de Diensten; en
• interne rapportages, financiële rapportages en andere soortgelijke interne taken uit te voeren.

3. Personeel van de Verwerker

De Verwerker zal redelijke stappen ondernemen om de betrouwbaarheid van elke medewerker, vertegenwoordiger of aannemer van een Onderhoudsverwerker te waarborgen die toegang kan hebben tot Persoonsgegevens van de Onderneming, waarbij in elk geval wordt gewaarborgd dat toegang strikt beperkt is tot die personen die kennis moeten nemen van of toegang moeten hebben tot de relevante Persoonsgegevens van de Onderneming, voor zover strikt noodzakelijk voor de doeleinden van de Hoofdovereenkomst en/of om te voldoen aan Gegevensbeschermingswetten, en waarbij wordt gewaarborgd dat al deze personen onderworpen zijn aan geheimhoudingsverplichtingen of professionele of wettelijke vertrouwelijkheidsverplichtingen.

4. Beveiliging

In overeenstemming met artikel 32(1) GDPR zal de Verwerker passende technische en organisatorische maatregelen implementeren om een beveiligingsniveau te waarborgen dat passend is voor het risico, rekening houdend met de stand van de techniek, de implementatiekosten en de aard, omvang, context en doeleinden van de Verwerking. Deze maatregelen zijn ontworpen om de rechten en vrijheden van natuurlijke personen te beschermen, rekening houdend met de risico's van uiteenlopende waarschijnlijkheid en ernst, waaronder het risico van een Schending van Persoonlijke Gegevens. De Onderneming zal passende technische en organisatorische maatregelen treffen voor haar eigen Verwerking van Persoonsgegevens van de Onderneming, met inbegrip van haar beheer van accounts van Beheerde Klanten via MSP-beheerderslicenties, en zal ervoor zorgen dat de toegang tot dergelijke accounts beperkt is tot personeel van de Onderneming dat dit nodig heeft, beveiligd is met passende verificatiecontroles en onmiddellijk wordt ingetrokken wanneer deze niet langer nodig is.

5. Subverwerking

Onder voorbehoud van deze Overeenkomst verleent de Onderneming algemene toestemming aan de Verwerker om Subverwerkers in te schakelen en Persoonsgegevens van de Onderneming aan hen bekend te maken of over te dragen. De Onderneming erkent en keurt de lijst van Subverwerkers goed die in het Privacybeleid van de Verwerker is vermeld, met dien verstande dat deze lijst van tijd tot tijd door de Verwerker kan worden bijgewerkt, in welk geval de Onderneming zal worden geïnformeerd volgens de meldingsprocedure van het Privacybeleid. De Onderneming machtigt de Verwerker voorts om Persoonsgegevens bekend te maken en over te dragen aan elke onderneming binnen haar groep. De Verwerker zorgt ervoor dat Subverwerkers gebonden zijn aan een overeenkomst met de Verwerker die niet minder restrictief en beschermend is dan deze Overeenkomst met betrekking tot de bescherming van Persoonsgegevens van de Onderneming, voor zover van toepassing op de aard van de door die Subverwerker verleende diensten. Voor alle duidelijkheid: de Onderneming is geen Subverwerker van Proton en deze Sectie is niet van toepassing op de eigen inschakeling door de Onderneming van enige Beheerde Klant of derde partij.

6. Rechten van de Betrokkene

Rekening houdend met de aard van de Verwerking zal de Verwerker de Onderneming redelijkerwijs bijstaan bij het voldoen aan de verplichtingen van de Onderneming om te reageren op verzoeken tot uitoefening van de rechten van Betrokkenen onder de Gegevensbeschermingswetten, met inbegrip van verzoeken die de Onderneming ontvangt van of namens een Beheerde Klant of de eigen eindgebruikers van die Beheerde Klant.

De Verwerker zal:

• de Onderneming onmiddellijk op de hoogte stellen indien deze een verzoek van een Betrokkene ontvangt op grond van enige Gegevensbeschermingswet met betrekking tot Persoonlijke Gegevens van de Onderneming; en

• ervoor zorgen dat zij niet op dat verzoek reageert, behalve op basis van gedocumenteerde instructies van de Onderneming of zoals vereist door de toepasselijke wetgeving, in welk geval de Verwerker, voor zover wettelijk toegestaan, de Onderneming voorafgaand aan het antwoord op de hoogte stelt van dat wettelijke vereiste.

De Onderneming is als enige verantwoordelijk voor het reageren op en coördineren met enige Beheerde Klant met betrekking tot elk verzoek van een Betrokkene dat verband houdt met de Persoonsgegevens van die Beheerde Klant; de Verwerker heeft geen verplichting om rechtstreeks met een Beheerde Klant te communiceren of deze te identificeren.

7. Schending van Persoonlijke Gegevens

De Verwerker zal elke Schending van Persoonlijke Gegevens beheren in overeenstemming met de toepasselijke Gegevensbeschermingswetten en haar interne procedures voor Schendingen van Persoonlijke Gegevens. In het geval van een Schending van Persoonlijke Gegevens die gevolgen heeft voor Persoonsgegevens van de Onderneming, stelt de Verwerker de Onderneming onverwijld op de hoogte en verstrekt zij voldoende informatie om de Onderneming in staat te stellen aan haar eigen verplichtingen onder de Gegevensbeschermingswetten te voldoen, met inbegrip van, waar van toepassing, het informeren van getroffen Beheerde Klanten en Betrokkenen. De Verwerker zal samenwerken met de Onderneming en redelijke commerciële stappen ondernemen zoals voorgeschreven door de Onderneming om te helpen bij het onderzoek, de mitigatie en het herstel van elke dergelijke Schending van Persoonlijke Gegevens. Elke Partij draagt de kosten van onderzoek, herstel, mitigatie en andere gerelateerde kosten voor zover een Schending van Persoonlijke Gegevens door die Partij is veroorzaakt. Elke Partij draagt de kosten van eventuele boetes, sancties, schadevergoedingen of andere gerelateerde bedragen die zijn opgelegd door een bevoegde toezichthoudende autoriteit voor zover deze voortvloeien uit een schending door die Partij zelf van haar verplichtingen onder deze Overeenkomst. De Onderneming is als enige verantwoordelijk voor meldingen van schendingen aan haar Beheerde Klanten en hun Betrokkenen, en voor de timing en inhoud van die meldingen.

8. Gegevensbeschermingseffectbeoordeling en Voorafgaande Raadpleging

De Verwerker verleent redelijke bijstand aan de Onderneming bij gegevensbeschermingseffectbeoordelingen en voorafgaande raadplegingen van toezichthoudende autoriteiten die de Onderneming redelijkerwijs vereist acht op grond van artikel 35 of 36 van de GDPR of gelijkwaardige bepalingen van enige andere Gegevensbeschermingswet, in elk geval uitsluitend met betrekking tot de Verwerking van Persoonsgegevens van de Onderneming door, en rekening houdend met de aard van de Verwerking en de informatie die beschikbaar is voor, de Onderhoudsverwerkers.

9. Verwijdering of teruggave van Persoonsgegevens van de Onderneming

Bij beëindiging van een Dienst die de Verwerking van Persoonsgegevens van de Onderneming inhoudt, verwijdert de Verwerker alle Persoonsgegevens van de Onderneming voor zover toegestaan door de toepasselijke wetgeving en in overeenstemming met de Algemene voorwaarden en het Privacybeleid van de Verwerker. Mocht de Onderneming een kopie van de Persoonsgegevens van de Onderneming verlangen, dan moet deze dit vóór de verwijdering aanvragen; verzoeken die na de verwijdering worden gedaan, kunnen niet meer in behandeling worden genomen. Bij beëindiging van de Hoofdovereenkomst blijft de Onderneming tussen de Onderneming en die Beheerde Klant als enige verantwoordelijk voor het beheren van de verwijdering, teruggave of overdracht van de Persoonsgegevens van enige Beheerde Klant, in overeenstemming met Sectie 5.4 van de Hoofdovereenkomst (Overgangsbijstand).

10. Auditrechten

Behoudens het bepaalde in deze Sectie 10 stelt de Verwerker op verzoek alle informatie ter beschikking aan de Onderneming die nodig is om de naleving van deze Overeenkomst aan te tonen, en maakt audits, met inbegrip van inspecties, door de Onderneming of een door de Onderneming gemachtigde auditor mogelijk en draagt daaraan bij, met betrekking tot de Verwerking van Persoonsgegevens van de Onderneming door de Onderhoudsverwerkers. De Onderneming zal haar auditrechten onder deze Sectie niet meer dan eenmaal per kalenderjaar uitoefenen, behalve na een Schending van Persoonlijke Gegevens of een instructie van een toezichthoudende autoriteit. De Onderneming stelt de Verwerker ten minste zestig (60) dagen van tevoren schriftelijk in kennis van haar voornemen om een audit uit te voeren. De audit wordt uitgevoerd tijdens de kantooruren van de Verwerker, mag de activiteiten van de Verwerker niet verstoren en moet de bescherming van de Persoonsgegevens van de Onderneming, de Verwerker en andere Betrokkenen waarborgen. De Partijen komen vooraf gezamenlijk de datum, omvang, duur en van toepassing zijnde beveiligings- en vertrouwelijkheidscontroles voor de audit overeen; de Verwerker kan voorafgaand aan de audit een geheimhoudingsovereenkomst verlangen. Informatie- en auditrechten onder deze Sectie ontstaan uitsluitend voor zover deze Overeenkomst de Onderneming niet op andere wijze informatie- en auditrechten biedt die voldoen aan de relevante vereisten van de Gegevensbeschermingswetgeving. Wanneer een Beheerde Klant informatie verzoekt over de Verwerking door Proton als onderdeel van de eigen due diligence-verplichtingen van de Onderneming jegens die Beheerde Klant, kan de Onderneming een beroep doen op deze Sectie om de nodige informatie van de Verwerker te verkrijgen en door te geven, maar de Beheerde Klant zelf heeft geen onafhankelijk auditrecht jegens de Verwerker.

11. Gegevensoverdracht

Voor zover mogelijk zal de Verwerker Persoonsgegevens van de Onderneming uitsluitend overdragen of toestemming geven voor de overdracht daarvan naar landen binnen Zwitserland, de EU en/of landen waarvoor een adequaatheidsbesluit geldt, zoals bepaald in artikel 45 van de GDPR en artikel 16 van de Zwitserse FADP. Indien onder deze Overeenkomst Verwerkte Persoonsgegevens van de Onderneming worden overgedragen vanuit Zwitserland, de EU of een land waarvoor een adequaatheidsbesluit geldt naar een land buiten dat toepassingsgebied, zorgen de Partijen ervoor dat de Persoonsgegevens adequaat worden beschermd, waarbij, tenzij anders overeengekomen, wordt gesteund op door Zwitserland, de EU en/of het VK goedgekeurde en op dat moment geldende standaard contractuele clausules, of andere overdrachtsmechanismen waarin de Gegevensbeschermingswetten voorzien. De Verwerker is gemachtigd om dergelijke overdrachten naar Subverwerkers uit te voeren, mits adequate waarborgen zijn geïmplementeerd met betrekking tot de aard van de overdracht.

12. Algemene Voorwaarden

12.1 Naleving van toepasselijke wetgeving. De Verwerker zal Persoonsgegevens van de Onderneming Verwerken in overeenstemming met deze Overeenkomst en de Gegevensbeschermingswetten die van toepassing zijn op haar rol onder deze Overeenkomst. De Verwerker is niet verantwoordelijk voor de naleving van Gegevensbeschermingswetten die uitsluitend van toepassing zijn op de Onderneming of op enige Beheerde Klant uit hoofde van hun respectieve bedrijf of sector.

12.2 Vertrouwelijkheid. Elke Partij zal alle informatie die zij over de andere Partij ontvangt in verband met deze Overeenkomst vertrouwelijk behandelen en deze niet gebruiken of openbaar maken zonder de voorafgaande schriftelijke toestemming van de andere Partij, behalve voor zover (a) openbaarmaking wettelijk verplicht is, of (b) de informatie buiten toedoen van de Partijen reeds openbaar is.

12.3 Kennisgevingen. Kennisgevingen onder deze Overeenkomst worden gedaan in overeenstemming met de kennisgevingsbepalingen van de Hoofdovereenkomst. Kennisgevingen aan de Verwerker met betrekking tot gegevensbeschermingskwesties worden daarnaast gekopieerd naar legal@proton.ch

12.4 Aansprakelijkheid. De aansprakelijkheid van elke Partij die voortvloeit uit of verband houdt met deze Overeenkomst is onderworpen aan en gemaximeerd in overeenstemming met de bepalingen inzake aansprakelijkheidsbeperking van de Hoofdovereenkomst, met inbegrip van eventuele daarin vermelde specifieke limieten voor schendingen van vertrouwelijkheids- en gegevensbeschermingsverplichtingen. Niets in deze Overeenkomst beperkt de aansprakelijkheid van een Partij voor boetes of sancties die rechtstreeks aan haar zijn opgelegd door een bevoegde toezichthoudende autoriteit die voortvloeien uit de eigen schending door die Partij van toepasselijke Gegevensbeschermingswetten. De Onderneming erkent dat zij, als enige partij die jegens haar Beheerde Klanten optreedt, de volledige verantwoordelijkheid draagt voor alle aansprakelijkheid die de Onderneming oploopt jegens een Beheerde Klant die hoger is dan wat de Onderneming kan verhalen op de Verwerker onder de aansprakelijkheidslimiet van de Hoofdovereenkomst.

12.5 Toepasselijk recht en bevoegde rechter. Deze Overeenkomst wordt beheerst door Zwitsers recht, ongeacht de bepalingen inzake rechtskeuze of conflicterend recht van enig ander rechtsgebied, en geschillen die voortvloeien uit of verband houden met deze Overeenkomst zijn onderworpen aan de exclusieve bevoegdheid van de rechtbanken van Genève, Zwitserland.

12.6 Rangorde. In geval van tegenstrijdigheid tussen deze Overeenkomst en de Hoofdovereenkomst met betrekking tot de Verwerking van Persoonsgegevens prevaleert deze Overeenkomst, in overeenstemming met Sectie 10.1 van de Hoofdovereenkomst. In geval van tegenstrijdigheid tussen de Engelse versie van deze Overeenkomst en een vertaalde versie is de Engelse versie doorslaggevend.