1. Partijen en rolverdeling
Opdrachtgever is de verwerkingsverantwoordelijke: jij bepaalt het doel en de middelen van de verwerking. DIKKE KASSA is verwerker: wij verwerken persoonsgegevens uitsluitend in opdracht en volgens jouw gedocumenteerde instructies.
Deze overeenkomst geldt voor alle diensten waarbij wij toegang hebben tot persoonsgegevens in jouw systemen, zoals je affiliate-software, netwerkaccount of webshop-analytics.
2. Onderwerp en duur
De verwerking heeft betrekking op het opzetten, beheren en optimaliseren van affiliateprogramma's in Europese markten, inclusief publisherbeheer, transactievalidatie en rapportage.
Deze overeenkomst loopt gelijk aan de hoofdovereenkomst en eindigt zodra wij geen persoonsgegevens meer voor je verwerken, onder de voorwaarden van artikel 11.
3. Aard en doel van de verwerking
Wij verwerken persoonsgegevens uitsluitend voor het beheren van je affiliateprogramma: het toetsen en beheren van publishers, het valideren van transacties, het opstellen van rapportages en het oplossen van trackingproblemen.
Wij gebruiken de gegevens nooit voor eigen doeleinden, zoals profilering, verkoop aan derden of het benaderen van jouw publishers voor andere merken.
4. Categorieën gegevens en betrokkenen
De verwerking kan de volgende categorieën omvatten, afhankelijk van de inrichting van jouw programma.
- Betrokkenen: publishers, websitebezoekers en klanten van de opdrachtgever.
- Publishers: naam, e-mailadres, website, betaalgegevens en prestatiestatistieken.
- Transactiegegevens: orderreferenties, orderbedragen, commissies en klik-ID's, al dan niet gekoppeld aan een online identificator.
- Technische gegevens: IP-adressen en apparaatgegevens voor zover die in tracking- en rapportagesystemen voorkomen.
5. Onze verplichtingen als verwerker
Wij verbinden ons ertoe:
- Persoonsgegevens alleen te verwerken op basis van jouw gedocumenteerde instructies, waaronder deze overeenkomst.
- Te garanderen dat medewerkers en ingeschakelde derden tot geheimhouding zijn verplicht.
- Passende technische en organisatorische maatregelen te nemen (artikel 6).
- Je te helpen bij verzoeken van betrokkenen en bij je verplichtingen uit de artikelen 32 tot en met 36 AVG, zoals datalekken en privacy-effectbeoordelingen.
- Alle gegevens na afloop van de dienstverlening te verwijderen of terug te leveren, naar jouw keuze.
6. Beveiligingsmaatregelen
Wij nemen in ieder geval de volgende maatregelen:
- Versleutelde verbindingen (HTTPS/TLS) voor alle gegevensoverdracht.
- Toegang op basis van 'need to know', met individuele accounts en sterke authenticatie.
- Opslag binnen de Europese Unie bij leveranciers met een eigen EU-verwerkingsverantwoordelijkheid.
- Regelmatige updates en beveiligingspatches van de gebruikte systemen.
- Logische scheiding van klantgegevens per opdrachtgever.
7. Subverwerkers
Je geeft ons algemene toestemming om subverwerkers in te schakelen voor hosting, e-mail, analytics en affiliate-platforms. Wij informeren je vooraf over beoogde wijzigingen; je hebt dan twee weken de tijd om bezwaar te maken.
Wij leggen elke subverwerker verplichtingen op die niet lichter zijn dan deze overeenkomst en blijven volledig aansprakelijk voor hun prestaties.
8. Doorgifte buiten de EU
Wij verwerken persoonsgegevens in beginsel binnen de Europese Unie. Doorgifte naar een derde land vindt alleen plaats als daarvoor een passende waarborg geldt, zoals een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie, en alleen voor zover dat nodig is voor de overeengekomen dienst.
9. Datalekken
Wij melden een datalek dat de door ons verwerkte gegevens raakt zonder onredelijke vertraging, en uiterlijk binnen 48 uur na constatering, bij jou als verwerkingsverantwoordelijke. De melding bevat de aard van het lek, de vermoedelijke gevolgen en de genomen of voorgenomen maatregelen, zodat jij je meldplicht naar de toezichthouder kunt nakomen.
10. Audits en informatie
Wij verstrekken alle informatie die redelijkerwijs nodig is om te tonen dat wij aan deze overeenkomst voldoen. Je hebt het recht om eenmaal per jaar, op eigen kosten en na voorafgaande aankondiging, een audit te laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht.
11. Einde van de dienstverlening
Na het einde van de samenwerking verwijderen wij alle persoonsgegevens die wij namens jou verwerken binnen 60 dagen, tenzij je schriftelijk om teruglevering vraagt of een wettelijke bewaarplicht voorschrijft dat wij bepaalde gegevens langer bewaren.
12. Aansprakelijkheid en voorrang
Voor aansprakelijkheid uit deze overeenkomst gelden dezelfde beperkingen als in onze algemene voorwaarden. Bij tegenstrijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden prevaleert deze overeenkomst voor wat betreft de verwerking van persoonsgegevens.
Op deze overeenkomst is Nederlands recht van toepassing.