Verwerkersovereenkomst (DPA)

Deze Verwerkersovereenkomst ("DPA") maakt onderdeel uit van de Partnervoorwaarden en/of de overeenkomst tussen:

1. Lookster, KvK 94593051, Piet Heinstraat 12, 7511JE Enschede ("Verwerker" of "Lookster"); en
2. de salon/partner die gebruik maakt van de Lookster Salonsoftware/Dashboard ("Verwerkingsverantwoordelijke" of "Partner").

Samen: "Partijen".

1. Deze DPA is van toepassing wanneer Lookster in opdracht van Partner persoonsgegevens verwerkt in het kader van het leveren van de Salonsoftware/Dashboard en daarmee samenhangende diensten (zoals support, onderhoud en beveiliging).
2. Partijen erkennen dat:
   1. Partner de verwerkingsverantwoordelijke is voor persoonsgegevens van (potentiële) klanten en contactpersonen die Partner in het Dashboard verwerkt; en
   2. Lookster als verwerker handelt voor zover Lookster die persoonsgegevens verwerkt namens Partner.
3. Deze DPA is niet van toepassing op verwerkingen waarbij Lookster zelfstandig het doel en de middelen bepaalt (bijv. eigen bedrijfsadministratie, facturatie, beveiliging/fraudepreventie voor eigen systemen, of website-analytics van Lookster). Voor die verwerkingen treedt Lookster op als (zelfstandig) verwerkingsverantwoordelijke.

1. AVG: de Algemene Verordening Gegevensbescherming (EU) 2016/679.
2. Persoonsgegevens, Verwerken, Verwerker, Verwerkingsverantwoordelijke, Betrokkene: zoals gedefinieerd in de AVG.
3. Subverwerker: een door Lookster ingeschakelde verwerker die (onder)delen van de verwerking namens Partner uitvoert.

1. De details van de verwerking (categorieën persoonsgegevens, betrokkenen, doelen, duur) staan in Bijlage 1 bij deze DPA.

1. Lookster verwerkt persoonsgegevens uitsluitend:
   1. op basis van schriftelijke instructies van Partner; en
   2. voor zover nodig om de Diensten te leveren conform de overeenkomst/partnervoorwaarden.
2. Instructies kunnen blijken uit het gebruik van functionaliteiten van het Dashboard en de configuraties die Partner instelt.
3. Indien Lookster van mening is dat een instructie in strijd is met de AVG of andere toepasselijke wetgeving, zal Lookster Partner daarover (voor zover wettelijk toegestaan) informeren.

1. Lookster treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies, ongeautoriseerde toegang, wijziging of openbaarmaking, rekening houdend met de stand van de techniek, uitvoeringskosten en de aard, omvang, context en doelen van de verwerking.
2. Onder "passende maatregelen" vallen in ieder geval (waar van toepassing):
   1. toegangsbeveiliging (accounts, rollen/rechten);
   2. transportbeveiliging (bijv. TLS/HTTPS waar mogelijk);
   3. logging/monitoring voor beveiligings- en stabiliteitsdoeleinden;
   4. back-ups en herstelmaatregelen (best effort);
   5. organisatorische maatregelen (need-to-know, vertrouwelijkheid).
3. Partner is verantwoordelijk voor veilige inrichting en gebruik aan haar zijde, waaronder:
   1. het beheren van Seats/medewerkersaccounts en sterke wachtwoorden;
   2. het voorkomen van accountdeling;
   3. het correct instellen van rollen/rechten binnen het Dashboard;
   4. het verwerken van persoonsgegevens volgens haar eigen privacybeleid en wettelijke verplichtingen.

1. Lookster waarborgt dat personen die onder haar verantwoordelijkheid persoonsgegevens verwerken (medewerkers, contractors) gebonden zijn aan passende geheimhouding.

1. Partner geeft Lookster hierbij algemene toestemming om subverwerkers in te schakelen, voor zover nodig voor de levering van de Diensten.
2. Lookster blijft verantwoordelijk voor de naleving door subverwerkers van de verplichtingen uit deze DPA.
3. Huidige (bekende) subverwerkers binnen de reikwijdte van deze DPA:
   1. Hosting/Infrastructure: Hetzner (datacenter/hosting).

   Toelichting: Google Analytics wordt door Lookster uitsluitend gebruikt voor website-analytics van Lookster en valt daarmee niet onder deze DPA (zie artikel 1.3).

4. Lookster kan subverwerkers wijzigen of toevoegen. Lookster zal Partner hierover informeren via een update in het Platform, per e-mail of via een actuele lijst (bijv. op een supportpagina), tenzij dit disproportioneel is. Indien Partner redelijkerwijs ernstige bezwaren heeft tegen een nieuwe subverwerker, zullen Partijen in overleg treden om een oplossing te vinden. Als geen oplossing mogelijk is, kan Partner (als uiterste) de overeenkomst opzeggen met ingang van de introductiedatum van die subverwerker, zonder boete, voor zover de wet dat toestaat.

1. Een "Datalek" betekent een inbreuk in verband met persoonsgegevens zoals bedoeld in artikel 4(12) AVG.
2. Lookster meldt een Datalek aan Partner zonder onredelijke vertraging nadat Lookster kennis heeft genomen van het Datalek, en verstrekt daarbij, voor zover beschikbaar:
   1. aard van het Datalek;
   2. (waarschijnlijke) gevolgen;
   3. (voorgestelde) maatregelen om het Datalek te beperken;
   4. contactpunt voor opvolging.
3. Partner is verantwoordelijk voor eventuele meldingen aan de Autoriteit Persoonsgegevens en/of betrokkenen, tenzij Partijen schriftelijk anders overeenkomen. Lookster zal Partner redelijkerwijs ondersteunen met informatie die Partner nodig heeft voor die meldingen.

1. Lookster zal Partner, voor zover redelijkerwijs mogelijk en passend bij de aard van de verwerking, ondersteunen bij:
   1. verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking, dataportabiliteit, bezwaar);
   2. beveiligingsverplichtingen en meldplichten;
   3. DPIA's (gegevensbeschermingseffectbeoordelingen) en voorafgaand overleg met de toezichthouder, voor zover de verwerking door Lookster dat vereist.
2. Indien Lookster rechtstreeks een verzoek van een betrokkene ontvangt dat betrekking heeft op data waarvoor Partner verwerkingsverantwoordelijke is, zal Lookster dit verzoek (voor zover toegestaan) doorsturen naar Partner en zal Lookster de betrokkene niet inhoudelijk beantwoorden, tenzij Partner Lookster daartoe instrueert of wettelijke verplichtingen anders bepalen.

1. Lookster zal persoonsgegevens niet buiten de Europese Economische Ruimte (EER) verwerken of laten verwerken, tenzij:
   1. Partner daarvoor toestemming geeft of een instructie geeft; of
   2. dit noodzakelijk is voor een subverwerker en passende waarborgen worden toegepast (bijv. EU Standard Contractual Clauses) conform AVG.

1. Lookster verwerkt persoonsgegevens gedurende de looptijd van de overeenkomst en daarna alleen zolang en voor zover:
   1. nodig om de Diensten af te wikkelen (bijv. beperkte technische nazorg);
   2. noodzakelijk wegens wettelijke verplichtingen; of
   3. noodzakelijk voor beveiliging/back-ups, binnen redelijke termijnen.
2. Na beëindiging van de Diensten kan Partner vóór beëindiging een export maken van gegevens via het Dashboard (voor zover beschikbaar). Op verzoek kan Lookster, waar redelijkerwijs mogelijk, een export verstrekken tegen eventueel redelijke kosten (zoals afgesproken in de partnervoorwaarden).
3. Lookster zal persoonsgegevens namens Partner verwijderen of anonimiseren binnen een redelijke termijn na beëindiging, tenzij:
   1. wettelijke bewaarplichten of beveiligings/back-upcycle dit tijdelijk verhinderen; of
   2. Partner schriftelijk om langere bewaring verzoekt.

1. Partner heeft het recht om naleving van deze DPA te controleren. Partijen spreken af dat audits:
   1. maximaal 1x per jaar plaatsvinden, tenzij er een ernstig incident of gegronde reden is;
   2. tijdens kantooruren en met redelijke aankondiging gebeuren;
   3. de beveiliging en vertrouwelijkheid van andere klanten/partners respecteren.
2. Lookster mag in plaats van een fysieke audit ook (eerst) redelijke bewijzen aanbieden, zoals een overzicht van maatregelen, policies of (indien beschikbaar) auditrapporten/attestaties.
3. Kosten van audits zijn voor rekening van Partner, tenzij een audit een materiële non-compliance van Lookster aantoont.

1. De aansprakelijkheid van Partijen onder deze DPA volgt de aansprakelijkheidsbepalingen uit de Partnervoorwaarden/hoofdovereenkomst, tenzij dwingend recht anders bepaalt.

1. Bij tegenstrijdigheid tussen deze DPA en andere contractdocumenten over gegevensbescherming, gaat deze DPA voor.
2. Deze DPA geldt zolang Lookster persoonsgegevens namens Partner verwerkt.