Verwerkersovereenkomst

1. Rollen, onderwerp en duur

De Verwerkingsverantwoordelijke stelt Lizensa aan als verwerker, en Lizensa accepteert die opdracht voor de verwerkingen beschreven in paragraaf 2.

• Onderwerp: de B2B-groothandelwebwinkel van Lizensa, het klantenaccount en de bijbehorende sublicenties.
• Duur: voor de looptijd van het account en tot de teruggave of verwijdering uit paragraaf 9 is afgerond.
• Aard en doelen: order- en licentieafwikkeling, facturatie en boekhouding, account- en toegangsbeheer, klantenservice, fraudepreventie en platformbeveiliging.

2. Categorieën gegevens en betrokkenen

De verwerking omvat:

• Betrokenen: de eigen medewerkers, klanten, eindgebruikers en resellers van de Verwerkingsverantwoordelijke wiens gegevens die in een account of bestelling invoert;
• Categorieën persoonsgegevens: naam, zakelijk e-mailadres, telefoonnummer, factuur- en leveradres, btw-nummer, order- en licentiegegevens, betaalmetadata, facturen en boekhoudstukken, account- en inloggegevens, supportcorrespondentie, en de in het privacybeleid beschreven toestemmings- en analysedata.

Er worden geen bijzondere categorieën persoonsgegevens (art. 9 AVG) ten behoeve van de Verwerkingsverantwoordelijke verwerkt.

3. Gedocumenteerde instructies

Lizensa verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, ook voor internationale doorgifte, tenzij EU- of lidstaatse wetgeving dit vereist — in dat geval informeert Lizensa de Verwerkingsverantwoordelijke vóór de verwerking, tenzij de wet dit verbiedt.

De instructies zijn het accountcontract, de bestelbon, de configuratie die de Verwerkingsverantwoordelijke in de back office kiest, en elke schriftelijke instructie aan privacy@lizensa.nl.

4. Geheimhouding

Iedereen die Lizensa toestemming geeft persoonsgegevens te verwerken, is gebonden aan een geheimhoudingsplicht en raakt alleen de gegevens aan die voor diens rol nodig zijn.

5. Beveiliging van de verwerking

Lizensa past de technische en organisatorische maatregelen van art. 32 AVG toe, zoals beschreven in paragraaf 9 van het privacybeleid: TLS 1.3 in transit, AES-256-encryptie in rust, toegangsbeheer met tweefactorauthenticatie voor medewerkers, logging van bevoorrechte handelingen en regelmatige back-ups. Hosting en CDN-verwerking vinden plaats in de Europese Unie.

6. Subverwerkers

De Verwerkingsverantwoordelijke verleent Lizensa een algemene schriftelijke toestemming om subverwerkers in te schakelen; Lizensa houdt de actuele lijst met ontvangerscategorieën bij in paragraaf 3 van het privacybeleid.

• Lizensa meldt het toevoegen of vervangen van een subverwerker minstens 30 dagen vooraf.
• De Verwerkingsverantwoordelijke kan binnen die termijn schriftelijk bezwaar maken; wordt het bezwaar niet opgelost, dan kan het betreffende account zonder opzegtermijn worden beëindigd.
• Lizensa legt iedere subverwerker contractueel gegevensbeschermingsverplichtingen op die niet minder beschermend zijn dan die in deze Overeenkomst.

7. Internationale doorgifte

Lizensa doet persoonsgegevens alleen buiten de EER door op basis van de waarborgen uit paragraaf 4 van het privacybeleid: een adequaatheidsbesluit, het EU-US Data Privacy Framework, de modelcontractclausules van de Europese Commissie of aanvullende technische maatregelen. Steunt een doorgifte op de modelcontractclausules, dan worden die met de betreffende subverwerker gesloten.

8. Ondersteuning van de Verwerkingsverantwoordelijke

Gelet op de aard van de verwerkingen ondersteunt Lizensa de Verwerkingsverantwoordelijke, voor zover mogelijk, met passende technische en organisatorische maatregelen bij de beantwoording van verzoeken van betrokkenen (art. 12-22), bij een gegevensbeschermingseffectbeoordeling (art. 35), bij overleg met de toezichthouder (art. 36) en bij het melden en documenteren van een inbrek (art. 33).

Verzoeken van betrokkenen die Lizensa namens de Verwerkingsverantwoordelijke ontvangt, worden zonder onnodige vertraging doorgestuurd.

9. Audit en inspectie

Lizensa stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die redelijkerwijs nodig is om de naleving van art. 28 AVG aan te tonen en staat audits, inclusief inspecties, toe aan de Verwerkingsverantwoordelijke of een door die aangewezen auditor, onder de volgende voorwaarden:

• minstens 14 dagen vooraf schriftelijke aankondiging;
• maximaal één audit per jaar over hetzelfde onderwerp;
• redelijke vertrouwelijkheids- en bedrijfsbeperkingen;
• de kosten komen voor rekening van de Verwerkingsverantwoordelijke, tenzij de audit een ernstige schending door Lizensa aan het licht brengt.

10. Teruggave en verwijdering

Bij beëindiging van het account geeft Lizensa de namens de Verwerkingsverantwoordelijke verwerkte persoonsgegevens binnen 30 dagen terug of verwijdert ze, tenzij EU- of lidstaatse wetgeving bewaaring voorschrijft. Lizensa verwijdert of anonimiseert op verzoek de gegevens van een betrokken overeenkomstig art. 17 AVG, met inachtneming van de wettelijke bewaarplichten voor facturen en boekhoudstukken.

11. Aansprakelijkheid

De aansprakelijkheid van Lizensa op grond van deze Overeenkomst is beperkt tot de bedragen die de Verwerkingsverantwoordelijke in de 12 maanden vóór het oorzakelijke feit heeft voldaan. Deze beperking geldt niet waar de wet dit verbiedt, en niet voor opzet of bewuste roekeloosheid.

12. Contactgegevens

Contractuele mededelingen en gegevensbeschermingskwesties in het kader van deze Overeenkomst:

• Verwerker: Digital Soft Distribution Sp. z o.o., ul. Hoża 86/410, 00-682 Warszawa, PL · privacy@lizensa.nl · support@lizensa.nl
• Toezichthouder: de Autoriteit Persoonsgegevens (AP)

Deze Overeenkomst wordt beheerst door Verordening (EU) 2016/679 en Poolse recht, zonder afbreuk aan de dwingende regels die de betrokkenen in hun woonland beschermen.