‍

Verwerkersovereenkomst

Verwerking van persoonsgegevens

‍

Inleiding

Deze Verwerkersovereenkomst maakt integraal onderdeel uit van de Hoofdovereenkomst tussen Apostle Technologies B.V. (Apostle of Verwerker) en de natuurlijke of rechtspersoon met wie Apostle een overeenkomst sluit voor het gebruik van de Apostle-software (Klant of Verwerkingsverantwoordelijke). Samen worden Apostle en Klant aangeduid als de Partijen.

Apostle verwerkt namens Klant persoonsgegevens voor zover noodzakelijk voor uitvoering van de Hoofdovereenkomst. Met deze Verwerkersovereenkomst leggen Partijen hun rechten en verplichtingen met betrekking tot die verwerking vast overeenkomstig toepasselijke privacywetgeving.

De Hoofdovereenkomst en deze Verwerkersovereenkomst bepalen gezamenlijk het onderwerp, de duur, de aard en de doeleinden van de verwerking van persoonsgegevens.

‍

Artikel 1. Definities

In deze Verwerkersovereenkomst hebben de volgende begrippen de hierna genoemde betekenis:

‍

‍

Begrippen die niet zijn gedefinieerd hebben de betekenis van de AVG.

‍

Artikel 2. Toepasselijkheid en rangorde

1. Deze Verwerkersovereenkomst is van toepassing op iedere verwerking van Persoonsgegevens door Apostle ten behoeve van Klant.
2. In geval van strijdigheid prevaleert deze Verwerkersovereenkomst voor privacy-, beveiligings- en doorgifteonderwerpen.
3. De Overeenkomst en deze Verwerkersovereenkomst vormen gezamenlijk de instructies van Klant.
4. Indien wijzigingen in privacywetgeving aanpassing vereisen, zullen Partijen redelijke aanpassingen doorvoeren.

‍

Artikel 3. Rollen van Partijen

1. Klant is Verwerkingsverantwoordelijke; Apostle is Verwerker.
2. Klant bepaalt doel en middelen van verwerking en is verantwoordelijk voor rechtsgrondslagen en transparantie.
3. Apostle verwerkt uitsluitend op instructie van Klant en overeenkomstig toepasselijke privacywetgeving.
4. Apostle verwerkt Persoonsgegevens niet voor eigen onafhankelijke doeleinden.
5. Apostle informeert Klant indien een instructie strijdig lijkt met toepasselijke privacywetgeving.
6. Indien wetgeving afwijkende verwerking verplicht, informeert Apostle Klant tenzij wettelijk verboden.

‍

Artikel 4. Onderwerp, doel en duur verwerking

1. Apostle verwerkt Persoonsgegevens uitsluitend voor levering, beheer, beveiliging, ondersteuning en passende verbetering van de Diensten.
2. Details van verwerking zijn opgenomen in Schedule 1.
3. Verwerkingen kunnen onder meer betrekking hebben op:
   
   • gebruikersbeheer en authenticatie;
   • employee advocacy functionaliteiten;
   • contentdistributie;
   • communicatie en engagement;
   • analytics en rapportages;
   • support;
   • beveiliging, monitoring en logging;
   • hosting en back-up.
4. Verwerking vindt plaats gedurende de looptijd van de Overeenkomst en, voor zover van toepassing, gedurende een beperkte periode daarna voor verwijdering, retentie en wettelijke bewaarplichten.
5. Geen verwerking voor onverenigbare doeleinden.

‍

Artikel 5. Instructies van Klant

1. Apostle verwerkt uitsluitend op gedocumenteerde instructies.
2. Overeenkomst en DPA gelden als primaire instructies.
3. Aanvullende instructies alleen indien rechtmatig, technisch uitvoerbaar en niet ontwrichtend.
4. Extra werkzaamheden alleen na overleg en schriftelijk akkoord.
5. Onrechtmatige of onredelijke instructies hoeven niet te worden opgevolgd.
6. Geen verwerking voor eigen doeleinden.

‍

Artikel 6. Verplichtingen Apostle

1. Apostle behandelt Persoonsgegevens vertrouwelijk.
2. Alleen geautoriseerd personeel heeft toegang.
3. Personeel is gebonden aan geheimhouding.
4. Apostle ondersteunt redelijkerwijs bij:
   
   • datalekken;
   • rechten betrokkenen;
   • DPIA’s;
   • toezichthouderconsultaties.
5. Apostle houdt interne documentatie bij waar vereist.
6. Geen verkoop van Persoonsgegevens.
7. Juridisch bindende overheidsverzoeken worden gemeld waar toegestaan.
8. Data minimization inspanningen.
9. Geen productiegegevens in test/staging, behoudens waarborgen.
10. Betaalde pilots/proefperiodes binnen productieomgeving gelden niet als testomgeving.
11. Offboarding procedures personeel.
12. Gebruik van geanonimiseerde/geaggregeerde gegevens blijft toegestaan

‍

Artikel 7. Technische en organisatorische maatregelen

1. Apostle treft passende TOMs.
2. Deze omvatten onder meer:
   
   • toegangsbeveiliging;
   • encryptie;
   • logging;
   • patchmanagement;
   • back-up;
   • incidentmanagement;
   • rollenbeheer.
3. Apostle onderhoudt een informatiebeveiligingsmanagementsysteem gecertificeerd conform ISO/IEC 27001:2022, met een scope die ten minste het ISMS ondersteunt voor de levering van de Diensten, waaronder relevante software development-, customer success-, HR/finance-processen en toepasselijke AWS-infrastructuur, overeenkomstig de toepasselijke Statement of Applicability.
4. Deze certificering is onderworpen aan periodieke en ten minste jaarlijkse surveillance-audits door een geaccrediteerde certificerende instantie.
5. Het bestaan van certificeringen of audits vormt geen garantie dat Persoonsgegevensincidenten of beveiligingsincidenten zich niet kunnen voordoen.
6. Relevante security informatie kan via documentatie of Trust Center worden verstrekt.
7. Apostle mag maatregelen aanpassen mits beschermingsniveau niet materieel wordt verlaagd.
8. Aanvullende securityfunctionaliteiten kunnen pakketafhankelijk zijn zonder afbreuk aan basisverplichtingen.
9. Nadere TOMs kunnen zijn opgenomen in Schedule 3.

‍

Artikel 8. Subverwerkers

1. Klant verleent Apostle hierbij algemene, voorafgaande toestemming om Subverwerkers in te schakelen voor verwerkingen die redelijkerwijs noodzakelijk zijn voor hosting, infrastructuur, support, communicatie, beveiliging, analytics of andere ondersteunende diensten in verband met levering van de Diensten.
2. Apostle beoordeelt bij selectie van Subverwerkers in redelijkheid of de betreffende partij passende waarborgen biedt ten aanzien van beveiliging en gegevensbescherming, rekening houdend met de aard van de verwerkingen.
3. Apostle legt aan iedere Subverwerker contractueel gegevensbeschermingsverplichtingen op die, voor zover relevant voor de uitbestede verwerking, materieel niet minder beschermend zijn dan de verplichtingen onder deze Verwerkersovereenkomst.
4. Voor zover vereist onder toepasselijke privacywetgeving blijft Apostle verantwoordelijk voor de nakoming van relevante verplichtingen van ingeschakelde Subverwerkers, onverminderd toepasselijke aansprakelijkheidsbeperkingen in de Hoofdovereenkomst.
5. Een actuele lijst van Subverwerkers wordt via Schedule 2 en/of het Trust Center beschikbaar gehouden.
6. Indien Apostle voornemens is een nieuwe Subverwerker toe te voegen met materiële impact op verwerking van Persoonsgegevens, informeert Apostle Klant voorafgaand daaraan.
7. Klant kan binnen veertien (14) kalenderdagen schriftelijk gemotiveerd bezwaar maken op redelijke gegevensbeschermingsgronden.
8. Indien geen bezwaar binnen deze termijn wordt ontvangen, wordt Klant geacht te hebben ingestemd.
9. Bij bezwaar treden Partijen in goed overleg om redelijke alternatieven, aanvullende waarborgen of mitigatie te onderzoeken.
10. Indien redelijk alternatief niet beschikbaar is, zullen Partijen in overleg bezien onder welke voorwaarden voortzetting van betreffende verwerking mogelijk is.
11. Voor administratieve, juridische of niet-materiële wijzigingen geldt geen afzonderlijk bezwaarmechanisme.

‍

Artikel 9. Internationale doorgiften

1. Verwerking vindt uitsluitend plaats binnen de Europese Economische Ruimte (EER).
2. Apostle streeft ernaar Persoonsgegevens primair binnen de Europese Economische Ruimte (EER) te verwerken en op te slaan. Indien verwerking of doorgifte buiten de EER plaatsvindt, zal Apostle passende waarborgen toepassen overeenkomstig toepasselijke privacywetgeving, waaronder waar van toepassing adequaatheidsbesluiten, Standard Contractual Clauses (SCC’s) of andere wettelijk toegestane doorgiftemechanismen.
3. Doorgiften kunnen worden gebaseerd op:
   
   • adequaatheidsbesluit;
   • SCC’s;
   • andere wettelijk geldige mechanismen.
4. Geldende SCC’s gelden automatisch waar vereist.
5. Redelijke aanvullende maatregelen worden getroffen indien vereist

‍

Artikel 10. Rechten van betrokkenen

1. Klant blijft verantwoordelijk voor verzoeken van betrokkenen.
2. Apostle ondersteunt redelijkerwijs bij dergelijke verzoeken.
3. Rechtstreekse verzoeken aan Apostle worden in beginsel doorverwezen naar Klant.
4. Apostle is niet verplicht zelfstandig inhoudelijk te beslissen op dergelijke verzoeken.
5. Extra ondersteuning buiten reguliere functionaliteiten kan tegen redelijke kosten plaatsvinden.

‍

Artikel 11. Persoonsgegevensincidenten

1. Apostle meldt incidenten zonder onredelijke vertraging en waar mogelijk binnen 24 uur.
2. Melding bevat waar beschikbaar:
   
   • aard incident;
   • betrokken gegevenscategorieën;
   • mogelijke gevolgen;
   • genomen maatregelen;
   • contactpunt.
3. Informatie mag gefaseerd worden verstrekt.
4. Apostle verricht redelijke inspanningen voor onderzoek, mitigatie en ondersteuning.
5. Klant blijft verantwoordelijk voor wettelijke meldingen.
6. Een melding is geen erkenning van aansprakelijkheid

‍

Artikel 12. Audits

1. Apostle verstrekt op redelijk verzoek informatie die redelijkerwijs nodig is om naleving van deze Verwerkersovereenkomst aan te tonen.
2. Voor zover beschikbaar gebeurt dit primair via bestaande auditrapporten, certificeringen, security-documentatie, Trust Center informatie of vergelijkbare documentatie.
3. Alleen indien dergelijke informatie redelijkerwijs onvoldoende is en Klant dit onderbouwt, kan aanvullende verificatie worden verzocht.
4. Een dergelijke audit wordt uitgevoerd door een onafhankelijke auditor, onder passende vertrouwelijkheid en zonder onredelijke verstoring van bedrijfsvoering.
5. Tenzij wettelijk vereist is Klant gerechtigd tot maximaal een audit per kalenderjaar.
6. Voor verzoeken die verder gaan dan bestaande documentatie mag Apostle redelijke kosten in rekening brengen.
7. On-site audits zijn ultimum remedium en slechts indien verificatie niet op minder ingrijpende wijze mogelijk is.
8. Auditrechten geven geen recht op toegang tot broncode, gegevens van andere klanten, ongefilterde pentestresultaten of informatie die beveiliging ondermijnt.
9. Indien bestaande certificeringen of onafhankelijke auditrapporten het onderwerp redelijk afdekken, gelden die in beginsel als passend alternatief.

‍

Artikel 13. Teruggave en verwijdering

1. Na beëindiging van de Overeenkomst zal Apostle Persoonsgegevens verwijderen, anonimiseren of archiveren conform de toepasselijke retentie-, archiverings- en back-uptermijnen van Apostle, tenzij wettelijke bewaarplichten, beveiligingsdoeleinden, back-up- en disaster recovery doeleinden, geschilbeslechting of andere gerechtvaardigde operationele doeleinden langere bewaring vereisen.
   
   Klantomgevingen kunnen na beëindiging tijdelijk in gearchiveerde vorm worden bewaard voor operationele, beveiligings-, facturatie-, geschil- of hersteldoeleinden voordat definitieve verwijdering plaatsvindt.
   
   Back-ups, snapshots en disaster recovery copies kunnen tijdelijk Persoonsgegevens blijven bevatten conform de reguliere retentiecycli van Apostle. Dergelijke gegevens worden niet actief verwerkt en worden niet opnieuw beschikbaar gemaakt binnen productieomgevingen, tenzij noodzakelijk voor hersteldoeleinden.
   
   Indien een back-up of snapshot in uitzonderlijke gevallen wordt teruggezet, dient te worden gecontroleerd dat eerder verwijderde klantdata niet opnieuw actief beschikbaar wordt gemaakt binnen de productieomgeving.

1. 13.2  Indien Klant tijdig verzoekt om teruggave, verstrekt Apostle een standaard export in een redelijk gangbaar formaat.
2. 13.3  Eventuele aanvullende migratie-, mapping- of exportondersteuning kan, na voorafgaande afstemming, tegen redelijke kosten worden geleverd.
3. 13.4  Voor gegevens die tijdelijk in back-upsystemen aanwezig blijven, blijven passende beveiligingsmaatregelen van toepassing totdat reguliere retentiecycli verwijdering effectueren.
4. 13.5  Voor zover gegevens langer moeten worden bewaard wegens wetgeving, worden die uitsluitend voor dat doel bewaard.
5. 13.6  Op redelijk verzoek kan Apostle bevestigen dat verwijdering overeenkomstig dit artikel heeft plaatsgevonden

‍

Artikel 14. Verantwoordelijkheden Klant

1. Klant blijft verantwoordelijk voor naleving privacywetgeving.
2. Klant zorgt voor rechtsgrondslagen en transparantie.
3. Klant is verantwoordelijk voor:
   
   • juistheid data;
   • instructies;
   • gebruik Diensten;
   • configuraties.
4. Klant blijft verantwoordelijk voor gebruikersbeheer en offboarding, tenzij automatische deprovisioning expliciet overeengekomen.
5. Eigen integraties en externe tools vallen onder verantwoordelijkheid van Klant.
6. Geen structurele verwerking van bijzondere persoonsgegevens tenzij expliciet overeengekomen.
7. Klant blijft verantwoordelijk voor eventuele DPIA.

‍

Artikel 15. Meldingen en contactpersonen

1. Partijen wijzen contactpersonen aan.
2. Meldingen kunnen per e-mail of overeengekomen communicatiemiddelen.
3. Kennisgeving aan aangewezen contactpersoon geldt als kennisgeving aan Klant.
4. Klant is verantwoordelijk voor interne afstemming tussen meerdere contactpersonen.

‍

Artikel 16. Duur en beëindiging

1. Deze Verwerkersovereenkomst treedt in werking tegelijk met de Hoofdovereenkomst.
2. Deze eindigt automatisch wanneer verwerking definitief eindigt.
3. Bepalingen die naar hun aard voortduren blijven gelden.
4. Wijzigingen uitsluitend schriftelijk, behoudens noodzakelijke wettelijke aanpassingen.

‍

Schedule 1. Details verwerking

Onderwerp: levering van employee advocacy software.

Doeleinden: communicatie; distributie; employee advocacy; engagement; beveiliging; productondersteuning.

Verwerkinglokatie: persoonsgegevens worden in beginsel verwerkt binnen de EER behoudens rechtmatige doorgiften.

‍

‍

Apostle mag geanonimiseerde klantgegevens gebruiken voor analytische en statistische doeleinden ter verbetering van de dienstverlening.

‍

Schedule 2. Subverwerkers

Apostle maakt gebruik van de volgende subverwerkers. De actuele lijst vind je op: https://trust.apostlesocial.com/subprocessors

‍

‍

Apostle kan de lijst van Subverwerkers te allen tijde wijzigen. De actuele lijst is beschikbaar via het Apostle Trust Center.