Data Processing Agreement

Wanneer YouthCommerce voor een opdrachtgever werkt, krijgen we vaak toegang tot persoonsgegevens die niet van onszelf zijn, maar van de klanten, patienten of bezoekers van die opdrachtgever. Denk aan advertentieaccounts, CRM-systemen, trackingpixels en het Review Management Systeem. Op deze pagina leggen we uit hoe we daarmee omgaan.

Twee rollen

Bij deze verwerking zijn er twee rollen. De opdrachtgever is verwerkingsverantwoordelijke: hij bepaalt waarom en hoe de gegevens van zijn eigen klanten worden verwerkt. YouthCommerce is daarbij verwerker: wij verwerken die gegevens uitsluitend namens en in opdracht van de opdrachtgever, bijvoorbeeld bij het beheren van advertentieaccounts, het implementeren van tracking of het gebruik van ons Review Management Systeem.

Bij elke overeenkomst hoort een verwerkersovereenkomst

Bij iedere overeenkomst die YouthCommerce aangaat, hoort een verwerkersovereenkomst conform artikel 28 AVG. Deze wordt vastgelegd als vast onderdeel van de overeenkomst zelf, niet als los document waar apart naar gezocht moet worden. Hierin leggen we onder meer vast dat YouthCommerce:

• persoonsgegevens uitsluitend verwerkt op basis van schriftelijke instructie van de opdrachtgever;
• iedereen die namens ons toegang heeft tot de gegevens tot geheimhouding verplicht;
• passende technische en organisatorische beveiligingsmaatregelen treft;
• geen subverwerker inschakelt zonder de opdrachtgever hierover te informeren, met de mogelijkheid om bezwaar te maken bij wijzigingen;
• bijstand verleent wanneer de opdrachtgever een verzoek van een betrokkene moet beantwoorden, bijvoorbeeld een inzage of verwijderverzoek;
• bijstand verleent bij de meldplicht datalekken en eventuele DPIA is;
• na afloop van de samenwerking alle persoonsgegevens verwijdert of teruggeeft, naar keuze van de opdrachtgever;
• de informatie beschikbaar stelt die nodig is om naleving aan te tonen, inclusief de mogelijkheid tot een audit.

Subverwerkers

Voor onze dienstverlening maken we gebruik van gespecialiseerde subverwerkers, zoals advertentieplatforms, waaronder Google en Meta, en analysetools. Welke subverwerkers precies worden ingezet, hangt af van de dienstverlening per klant en wordt vastgelegd in de verwerkersovereenkomst. Bij een wijziging in de ingeschakelde subverwerkers informeren we de opdrachtgever, die daartegen bezwaar kan maken.

Internationale doorgifte

Voor zover gegevens buiten de Europese Economische Ruimte worden verwerkt, zorgen we voor een passende doorgiftegrondslag, zoals het EU-VS Data Privacy Framework of standaardcontractbepalingen.

Bijzondere categorieen persoonsgegevens

YouthCommerce verwerkt in beginsel geen bijzondere categorieen persoonsgegevens, zoals gezondheidsgegevens. Voor klanten waarbij dit onderwerp specifiek relevant kan zijn, leggen we dit expliciet en op maat vast in de verwerkersovereenkomst.

Datalekken

Mocht zich onverhoopt een datalek voordoen, dan melden we dit zonder onredelijke vertraging aan de betreffende opdrachtgever, zodat deze zelf tijdig aan zijn eigen meldplicht richting de Autoriteit Persoonsgegevens kan voldoen.

Verwerkersovereenkomst opvragen

Wil je als potentiele opdrachtgever de verwerkersovereenkomst inzien of heb je hier vragen over? Neem contact op via [email protected].

Zie ook onze Privacyverklaring en de Terms and Conditions, artikel 9, 10, 17, 22 en 23.