Verwerkersovereenkomst

OPMERKING: Bij deze vertaling is geprobeerd zo letterlijk mogelijk te zijn zonder de algehele samenhang in gevaar te brengen. Onvermijdelijk kunnen er verschillen optreden in de vertaling, en indien dit het geval is, zal de Engelse versie juridisch bindend zijn.

Laatst bijgewerkt: 9 / 11 / 2026. Wij informeren alle klanten per e-mail over wijzigingen in deze overeenkomst, ten minste 7 dagen voordat deze van kracht worden.

Deze Overeenkomst voor gegevensverwerking ("AVG/DPA") wordt gesloten tussen en door:

De Klant ("Verantwoordelijke" of "U"), de rechtspersoon of natuurlijke persoon die zich heeft geabonneerd op de Diensten geleverd door AhaSend;

en

AhaSend B.V., een in Nederlands geregistreerde besloten vennootschap met ondernemingsnummer 99533111, met statutaire zetel te Willem Fenengastraat 16, Amsterdam in Nederland, handelend onder de naam ahasend.com ("Verwerker," "AhaSend," "Wij," "Ons," of "Onze").

Deze DPA is opgenomen in en vormt een integraal onderdeel van de AhaSend Gebruiksvoorwaarden ("Terms") beschikbaar op https://ahasend.com/terms, en is van toepassing voor zover de Verwerker Persoonsgegevens verwerkt namens de Verantwoordelijke in het kader van het leveren van de Diensten.

Verantwoordelijke en Verwerker worden hierna gezamenlijk aangeduid als de "Partijen" en afzonderlijk als een "Partij."

Aanvaarding. Deze DPA maakt deel uit van de Voorwaarden en is van toepassing op iedere Verwerkingsverantwoordelijke vanaf het moment waarop deze de Diensten voor het eerst gebruikt, zonder dat een afzonderlijke ondertekening nodig is. Verwerkingsverantwoordelijken die op grond van hun interne procedures een ondertekend document nodig hebben, kunnen met de knop op deze pagina een exemplaar van deze DPA opvragen dat met hun gegevens is ingevuld en door AhaSend is medeondertekend. Het ondertekende exemplaar heeft dezelfde inhoud als deze pagina en verandert niets aan het moment waarop deze DPA van toepassing is.

1. Definities

Voor de toepassing van deze DPA geldt:

1.“Toepasselijke Wetgeving inzake Gegevensbescherming”: alle wet- en regelgeving die van toepassing is op de Verwerking van Persoonsgegevens onder deze DPA, waaronder in ieder geval de Algemene verordening gegevensbescherming (EU) 2016/679 (“AVG”) en alle nationale uitvoeringswetgeving (waaronder de Nederlandse Uitvoeringswet AVG).

2.“Verwerkingsverantwoordelijke”: heeft de betekenis die daaraan in de AVG wordt gegeven en verwijst voor de toepassing van deze DPA naar de Klant.

3.“Inbreuk in verband met Persoonsgegevens”: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot Persoonsgegevens die door Verwerker of zijn Subverwerkers in verband met de levering van de Diensten zijn doorgezonden, opgeslagen of anderszins Verwerkt.

4.“Betrokkene”: heeft de betekenis die daaraan in de AVG wordt gegeven en verwijst voor de toepassing van deze DPA in de eerste plaats naar de Ontvangers.

5.“Persoonsgegevens”: heeft de betekenis die daaraan in de AVG wordt gegeven en betekent voor de toepassing van deze DPA alle Persoonsgegevens die Verwerker namens Verwerkingsverantwoordelijke Verwerkt in verband met de Diensten, zoals nader omschreven in Bijlage 1.

6.“Verwerking” (en de afgeleide vormen “Verwerken” en “Verwerkt”): heeft de betekenis die daaraan in de AVG wordt gegeven.

7.“Verwerker”: heeft de betekenis die daaraan in de AVG wordt gegeven en verwijst voor de toepassing van deze DPA naar AhaSend (AhaSend B.V.).

8.“Ontvanger”: een eindgebruiker of abonnee van Verwerkingsverantwoordelijke aan wie Verwerkingsverantwoordelijke e-mails verzendt met gebruik van de Diensten.

9.“Diensten”: de e-maildiensten die AhaSend onder de Voorwaarden aan Verwerkingsverantwoordelijke levert, bestaande uit transactionele e-mail en, indien door Verwerkingsverantwoordelijke ingeschakeld, marketing-e-mail (waaronder Campaign Builder).

10.“Standaardcontractbepalingen” of “SCC’s”: de standaardcontractbepalingen voor de doorgifte van persoonsgegevens naar derde landen op grond van Verordening (EU) 2016/679 van het Europees Parlement en de Raad, zoals vastgesteld door de Europese Commissie.

11.“Subverwerker”: iedere derde partij die als verwerker door Verwerker wordt ingeschakeld om Persoonsgegevens te Verwerken in verband met de Diensten.

12.“Toezichthoudende Autoriteit”: een onafhankelijke overheidsinstantie die door een EU-lidstaat is ingesteld op grond van artikel 51 AVG.

2. Reikwijdte en doel van de Verwerking

1.Verwerker Verwerkt Persoonsgegevens namens Verwerkingsverantwoordelijke uitsluitend met het doel de Diensten te leveren zoals omschreven in de Voorwaarden en deze DPA, en in overeenstemming met de gedocumenteerde rechtmatige instructies van Verwerkingsverantwoordelijke.

2.Het onderwerp, de duur, de aard en het doel van de Verwerking, alsmede de soorten Verwerkte Persoonsgegevens en de categorieën van Betrokkenen, zijn nader omschreven in Bijlage 1 (Details van de Verwerking) bij deze DPA.

3.Wanneer Verwerkingsverantwoordelijke zelf als verwerker optreedt namens zijn eigen klanten (bijvoorbeeld als softwareplatform, bureau, hostingprovider of managed service provider die e-mail voor die klanten verstuurt), garandeert Verwerkingsverantwoordelijke dat hij door die klanten gemachtigd is om Verwerker als subverwerker in te schakelen en om namens hen de instructies onder deze DPA te geven. In dat geval gelden de verwijzingen naar Verwerkingsverantwoordelijke in deze DPA voor Verwerkingsverantwoordelijke in zijn hoedanigheid van verwerker, treedt Verwerker op als zijn subverwerker, en blijft Verwerkingsverantwoordelijke tegenover zijn eigen klanten verantwoordelijk voor de nakoming van zijn verplichtingen als verwerker, waaronder het doorgeven van de informatie en kennisgevingen die Verwerker onder deze DPA verstrekt.

3. Verplichtingen van Verwerker

Verwerker verbindt zich ertoe en garandeert dat hij:

1.Verwerkingsinstructies: Persoonsgegevens uitsluitend Verwerkt op basis van gedocumenteerde instructies van Verwerkingsverantwoordelijke, ook wat betreft doorgiften van Persoonsgegevens aan een derde land of een internationale organisatie, tenzij Verwerker daartoe verplicht is op grond van Unierecht of lidstatelijk recht dat op Verwerker van toepassing is; in dat geval stelt Verwerker Verwerkingsverantwoordelijke vóór de Verwerking in kennis van dat wettelijke voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt (artikel 28, lid 3, onder a, AVG). De instructies van Verwerkingsverantwoordelijke zijn in het algemeen vastgelegd in de Voorwaarden, deze DPA en de configuratie en het gebruik van de Diensten door Verwerkingsverantwoordelijke.

2.Vertrouwelijkheid: waarborgt dat de personen die gemachtigd zijn de Persoonsgegevens te Verwerken zich tot geheimhouding hebben verbonden of door een passende wettelijke verplichting tot geheimhouding gebonden zijn (artikel 28, lid 3, onder b, AVG).

3.Beveiliging van de Verwerking: passende technische en organisatorische maatregelen treft en in stand houdt om een op het risico afgestemd beveiligingsniveau te waarborgen, overeenkomstig artikel 32 AVG en zoals nader uitgewerkt in Bijlage 2 (Technische en Organisatorische Beveiligingsmaatregelen) bij deze DPA (artikel 28, lid 3, onder c, AVG).

4.Subverwerking: voldoet aan de voorwaarden van artikel 6 van deze DPA en artikel 28, leden 2 en 4, AVG voor het inschakelen van een andere verwerker (Subverwerker).

5.Rechten van Betrokkenen: rekening houdend met de aard van de Verwerking, Verwerkingsverantwoordelijke door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bijstand verleent bij het vervullen van diens verplichting om verzoeken tot uitoefening van de in hoofdstuk III van de AVG vastgelegde rechten van de Betrokkene te beantwoorden (artikel 28, lid 3, onder e, AVG). Indien Verwerker rechtstreeks een verzoek van een Betrokkene ontvangt, stelt Verwerker Verwerkingsverantwoordelijke daarvan onverwijld in kennis en reageert Verwerker niet rechtstreeks richting de Betrokkene, tenzij Verwerkingsverantwoordelijke anders instrueert of de Toepasselijke Wetgeving inzake Gegevensbescherming dit vereist.

6.Bijstand aan Verwerkingsverantwoordelijke: Verwerkingsverantwoordelijke bijstand verleent bij het nakomen van diens verplichtingen uit hoofde van de artikelen 32 tot en met 36 AVG (beveiliging van de verwerking, melding van inbreuken in verband met persoonsgegevens, gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging), rekening houdend met de aard van de Verwerking en de informatie waarover Verwerker beschikt (artikel 28, lid 3, onder f, AVG). Verwerker mag voor deze bijstand een redelijke vergoeding in rekening brengen, behalve wanneer de bijstand noodzakelijk is als gevolg van een tekortkoming van Verwerker onder deze DPA.

7.Verwijdering of teruggave van gegevens: na afloop van de levering van de Diensten die verband houden met de Verwerking, naar keuze van Verwerkingsverantwoordelijke, alle Persoonsgegevens verwijdert of aan Verwerkingsverantwoordelijke teruggeeft en bestaande kopieën verwijdert, tenzij Unierecht of lidstatelijk recht opslag van de Persoonsgegevens vereist (artikel 28, lid 3, onder g, AVG). Het proces van verwijdering of teruggave wordt gestart bij beëindiging van het account van Verwerkingsverantwoordelijke overeenkomstig de Voorwaarden. Specifieke bewaartermijnen kunnen gelden zoals omschreven in de Voorwaarden of in het standaard bewaarbeleid van Verwerker voor back-ups en operationele continuïteit, mits die bewaring in overeenstemming is met de Toepasselijke Wetgeving inzake Gegevensbescherming.

8.Informatie en audits: Verwerkingsverantwoordelijke alle informatie ter beschikking stelt die nodig is om aan te tonen dat de verplichtingen van artikel 28 AVG worden nagekomen, en audits, waaronder inspecties, door Verwerkingsverantwoordelijke of een door Verwerkingsverantwoordelijke gemachtigde auditor mogelijk maakt en daaraan bijdraagt (artikel 28, lid 3, onder h, AVG).

a.Verwerker verstrekt Verwerkingsverantwoordelijke de informatie die Verwerkingsverantwoordelijke redelijkerwijs verlangt om de naleving van deze DPA door Verwerker te verifiëren.

b.Audits vinden plaats op redelijke tijdstippen, na redelijke voorafgaande kennisgeving aan Verwerker en op een wijze die de bedrijfsvoering van Verwerker niet onredelijk verstoort. Verwerkingsverantwoordelijke draagt zijn eigen kosten van die audits. Indien uit een audit een wezenlijke tekortkoming van Verwerker onder deze DPA blijkt, draagt Verwerker de redelijke kosten van de audit, onverminderd de overige rechten en rechtsmiddelen van Verwerkingsverantwoordelijke.

c.Verwerker kan aan auditverzoeken voldoen door relevante auditrapporten of certificeringen van derden (bijvoorbeeld ISO/IEC 27001) te verstrekken, voor zover beschikbaar.

4. Verplichtingen van Verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke verbindt zich ertoe en garandeert dat hij:

1.alle Toepasselijke Wetgeving inzake Gegevensbescherming naleeft bij zijn gebruik van de Diensten en zijn eigen Verwerking van Persoonsgegevens;

2.als enige verantwoordelijk is voor de juistheid, kwaliteit en rechtmatigheid van de Persoonsgegevens en de wijze waarop hij de Persoonsgegevens heeft verkregen;

3.ervoor zorgt dat hij een rechtmatige grondslag heeft voor de Verwerking van de aan Verwerker verstrekte Persoonsgegevens (bijvoorbeeld toestemming van Betrokkenen of noodzaak voor de uitvoering van een overeenkomst);

4.Verwerker rechtmatige, gedocumenteerde instructies geeft met betrekking tot de Verwerking van Persoonsgegevens en ervoor zorgt dat die instructies in overeenstemming zijn met de Toepasselijke Wetgeving inzake Gegevensbescherming;

5.verantwoordelijk is voor het verstrekken van alle noodzakelijke privacyverklaringen aan Betrokkenen en voor het verkrijgen van alle noodzakelijke toestemmingen van Betrokkenen zoals vereist door de Toepasselijke Wetgeving inzake Gegevensbescherming.

5. Beveiligingsmaatregelen

Verwerker implementeert en onderhoudt de technische en organisatorische beveiligingsmaatregelen die zijn omschreven in Bijlage 2 bij deze DPA om Persoonsgegevens te beschermen tegen Inbreuken in verband met Persoonsgegevens. Verwerker kan deze maatregelen van tijd tot tijd bijwerken of wijzigen, mits die bijwerkingen en wijzigingen niet leiden tot een wezenlijke verlaging van de algehele beveiliging van de Diensten.

6. Subverwerkers

1.Verwerkingsverantwoordelijke verleent Verwerker een algemene schriftelijke toestemming om Subverwerkers in te schakelen voor de Verwerking van Persoonsgegevens namens Verwerkingsverantwoordelijke in verband met de levering van de Diensten (artikel 28, lid 2, AVG).

2.Verwerker houdt een actuele lijst van zijn Subverwerkers bij. Deze lijst is opgenomen in Bijlage 3 (Lijst van Subverwerkers) bij deze DPA en is tevens doorlopend te raadplegen op https://ahasend.com/dpa. De online lijst geldt als de meest actuele versie.

3.Verwerker stelt Verwerkingsverantwoordelijke in kennis van voorgenomen wijzigingen inzake de toevoeging of vervanging van Subverwerkers door de online lijst en Bijlage 3 bij te werken en Verwerkingsverantwoordelijke een mogelijkheid te bieden om zich op meldingen van dergelijke wijzigingen te abonneren (indien beschikbaar), of langs andere schriftelijke weg (bijvoorbeeld per e-mail), zodat Verwerkingsverantwoordelijke de gelegenheid heeft bezwaar te maken tegen die wijzigingen.

4.Verwerkingsverantwoordelijke kan binnen 14 dagen nadat hij van de wijziging in kennis is gesteld schriftelijk bezwaar maken tegen het inschakelen van een nieuwe Subverwerker, mits dat bezwaar is gebaseerd op redelijke gronden die verband houden met gegevensbescherming. Indien Verwerkingsverantwoordelijke bezwaar maakt, spant Verwerker zich redelijkerwijs in om Verwerkingsverantwoordelijke een wijziging in de Diensten aan te bieden of een commercieel redelijke wijziging in de configuratie of het gebruik van de Diensten door Verwerkingsverantwoordelijke aan te bevelen, waardoor Verwerking van Persoonsgegevens door de betwiste nieuwe Subverwerker wordt vermeden. Indien Verwerker een dergelijke wijziging niet binnen een redelijke termijn van ten hoogste 30 dagen beschikbaar kan stellen, kan Verwerkingsverantwoordelijke het betreffende abonnement op de Diensten beëindigen voor zover het gaat om Diensten die Verwerker niet kan leveren zonder gebruik van de betwiste nieuwe Subverwerker, door middel van een schriftelijke kennisgeving aan Verwerker.

5.Wanneer Verwerker een Subverwerker inschakelt, doet hij dat door middel van een schriftelijke overeenkomst waarin aan de Subverwerker dezelfde verplichtingen inzake gegevensbescherming worden opgelegd als in deze DPA zijn opgenomen, waarbij met name afdoende garanties worden geboden voor het treffen van passende technische en organisatorische maatregelen, zodat de Verwerking aan de vereisten van de AVG voldoet (artikel 28, lid 4, AVG).

6.Verwerker blijft ten aanzien van Verwerkingsverantwoordelijke volledig aansprakelijk voor het nakomen van de verplichtingen inzake gegevensbescherming van die Subverwerker.

7. Melding van Inbreuken in verband met Persoonsgegevens

1.Verwerker stelt Verwerkingsverantwoordelijke zonder onredelijke vertraging, en in ieder geval binnen 24 uur nadat hij kennis heeft genomen van een Inbreuk in verband met Persoonsgegevens die Persoonsgegevens betreft die namens Verwerkingsverantwoordelijke worden Verwerkt, daarvan in kennis (artikel 33, lid 2, AVG). Wanneer op dat moment nog niet alle informatie beschikbaar is, verstrekt Verwerker de eerste kennisgeving met de dan bekende informatie en verstrekt hij de overige in artikel 7, lid 2, bedoelde informatie zonder onredelijke vertraging in stappen, zodra die beschikbaar komt.

2.Die kennisgeving omvat, voor zover mogelijk:

a.een omschrijving van de aard van de Inbreuk in verband met Persoonsgegevens, waar mogelijk onder vermelding van de categorieën van Betrokkenen en Persoonsgegevensregisters in kwestie en, bij benadering, het aantal Betrokkenen en Persoonsgegevensregisters in kwestie;

b.de naam en de contactgegevens van de functionaris voor gegevensbescherming of een ander contactpunt waar meer informatie kan worden verkregen;

c.een omschrijving van de waarschijnlijke gevolgen van de Inbreuk in verband met Persoonsgegevens;

d.een omschrijving van de maatregelen die Verwerker heeft genomen of voorstelt te nemen om de Inbreuk in verband met Persoonsgegevens aan te pakken, waaronder, in voorkomend geval, maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.

3.Indien en voor zover het niet mogelijk is alle informatie gelijktijdig te verstrekken, kan de informatie zonder onredelijke vertraging in stappen worden verstrekt.

4.Verwerker werkt samen met Verwerkingsverantwoordelijke en neemt de commercieel redelijke stappen die Verwerkingsverantwoordelijke opdraagt om bij te dragen aan het onderzoek naar, de beperking van en het herstel na iedere dergelijke Inbreuk in verband met Persoonsgegevens.

5.Verwerkingsverantwoordelijke is als enige verantwoordelijk voor het nakomen van eventuele meldplichten jegens derden die in verband met een Inbreuk in verband met Persoonsgegevens op hem van toepassing zijn.

8. Internationale doorgifte van gegevens

1.Persoonsgegevens die onder deze DPA worden Verwerkt, worden Verwerkt binnen de Europese Economische Ruimte (EER), met uitzondering van de verificatie van e-mailadressen voor campagnes, waarvoor e-mailadressen worden doorgegeven aan een in Bijlage 3 vermelde Subverwerker in het Verenigd Koninkrijk. Persoonsgegevens mogen door Verwerker of zijn Subverwerkers alleen worden doorgegeven aan en Verwerkt in andere landen buiten de EER wanneer dit noodzakelijk is voor de levering van de Diensten en met inachtneming van artikel 8, lid 2.

2.Iedere doorgifte van Persoonsgegevens buiten de EER vindt plaats in overeenstemming met de vereisten van hoofdstuk V van de AVG. Dit kan doorgiften omvatten:

a.naar een land dat door de Europese Commissie is erkend als land met een passend beschermingsniveau;

b.met passende waarborgen, zoals de door de Europese Commissie vastgestelde Standaardcontractbepalingen (SCC’s), aangevuld met een doorgifte-effectbeoordeling en eventuele noodzakelijke aanvullende maatregelen om te waarborgen dat de gegevens een beschermingsniveau genieten dat in grote lijnen overeenkomt met het niveau dat binnen de EER wordt gewaarborgd.

3.Wanneer Standaardcontractbepalingen worden gebruikt als doorgiftemechanisme voor Persoonsgegevens onder deze DPA vanuit de Europese Economische Ruimte (EER) naar derde landen waarvoor geen adequaatheidsbesluit geldt, zijn de volgende voorwaarden van toepassing:

a.Module Twee (doorgifte van verwerkingsverantwoordelijke aan verwerker): deze voorwaarden zijn van toepassing wanneer Verwerkingsverantwoordelijke gegevensexporteur is en Verwerker gegevensimporteur die Persoonsgegevens namens Verwerkingsverantwoordelijke verwerkt, en die verwerking een doorgifte van Persoonsgegevens inhoudt aan Verwerker in een derde land, of aan een Subverwerker in een derde land namens Verwerkingsverantwoordelijke. Voor de toepassing van Module Twee van de SCC’s geldt: bepaling 7 (koppelingsbepaling) is niet van toepassing; bepaling 9, onder a, optie 2 (algemene schriftelijke toestemming) is van toepassing, met de termijn voor voorafgaande kennisgeving van wijzigingen in Subverwerkers zoals vastgelegd in artikel 6, lid 4, van deze DPA; de optionele tekst in bepaling 11, onder a, over onafhankelijke geschillenbeslechting is niet van toepassing; bepaling 17, optie 1, is van toepassing en op de SCC’s is Nederlands recht van toepassing; geschillen worden overeenkomstig bepaling 18, onder b, beslecht door de rechter te Amsterdam, Nederland; en de bijlagen I.A, I.B, I.C en II van de SCC’s worden geacht te zijn ingevuld met de informatie in respectievelijk Bijlage 1 en Bijlage 2 van deze DPA.

b.Module Drie (doorgifte van verwerker aan verwerker): deze voorwaarden zijn van toepassing wanneer Verwerker (AhaSend) gegevensexporteur is en een in een derde land gevestigde Subverwerker (als gegevensimporteur) inschakelt om Persoonsgegevens namens Verwerkingsverantwoordelijke te verwerken. AhaSend verbindt zich ertoe met iedere dergelijke Subverwerker Module Drie van de SCC’s (of een gelijkwaardig doorgiftemechanisme dat voldoet aan hoofdstuk V AVG) aan te gaan, op voorwaarden die in overeenstemming zijn met deze DPA (bepaling 7 niet van toepassing; bepaling 9, onder a, optie 2; de optionele tekst in bepaling 11, onder a, niet van toepassing; toepasselijk recht en bevoegde rechter van Nederland of een andere passende EU-lidstaat), met bijlagen die zijn ingevuld overeenkomstig de specifieke subverwerkingsactiviteiten.

9. Aansprakelijkheid en vrijwaring

1.De aansprakelijkheid van iedere Partij onder deze DPA is onderworpen aan de beperkingen en uitsluitingen van aansprakelijkheid die in de Voorwaarden zijn opgenomen.

2.Verwerkingsverantwoordelijke vrijwaart Verwerker tegen alle vorderingen, acties, aanspraken van derden, verliezen, schade en kosten die Verwerker of zijn Subverwerkers lijden of maken als gevolg van een schending van deze DPA of de Toepasselijke Wetgeving inzake Gegevensbescherming door Verwerkingsverantwoordelijke, of van een door Verwerkingsverantwoordelijke gegeven instructie die in strijd is met de Toepasselijke Wetgeving inzake Gegevensbescherming.

10. Duur en beëindiging

1.Deze DPA treedt in werking op de datum waarop Verwerkingsverantwoordelijke voor het eerst met de Voorwaarden instemt en blijft van kracht zolang Verwerker Persoonsgegevens namens Verwerkingsverantwoordelijke onder de Voorwaarden Verwerkt. Beschikt een Verwerkingsverantwoordelijke over een medeondertekend exemplaar, dan bevestigt dat exemplaar de reeds geldende DPA en verandert het niets aan de ingangsdatum.

2.Beëindiging of afloop van de Voorwaarden beëindigt deze DPA automatisch.

3.Verplichtingen die naar hun aard bedoeld zijn om na beëindiging voort te duren (zoals vertrouwelijkheid, teruggave of verwijdering van gegevens en aansprakelijkheid) blijven na beëindiging van kracht.

11. Toepasselijk recht en bevoegde rechter

Op deze DPA en alle geschillen of vorderingen die voortvloeien uit of verband houden met deze DPA, het onderwerp of de totstandkoming daarvan (met inbegrip van niet-contractuele geschillen of vorderingen) is Nederlands recht van toepassing. De Partijen komen onherroepelijk overeen dat de bevoegde rechter te Amsterdam, Nederland, bij uitsluiting bevoegd is om kennis te nemen van ieder geschil of iedere vordering die voortvloeit uit of verband houdt met deze DPA.

12. Overige bepalingen

1.Kennisgevingen: kennisgevingen onder deze DPA worden gedaan overeenkomstig de bepalingen over kennisgevingen in de Voorwaarden. Kennisgevingen aan Verwerker met betrekking tot deze DPA dienen te worden gericht aan het DPA-contactadres dat is gepubliceerd op https://ahasend.com/dpa.

2.Deelbaarheid: indien een bepaling van deze DPA door een bevoegde rechter of bestuursrechtelijke instantie ongeldig, niet-afdwingbaar of onrechtmatig wordt bevonden, blijven de overige bepalingen van kracht.

3.Volledige overeenkomst: deze DPA vormt, samen met de Voorwaarden en het Privacybeleid, de volledige overeenkomst tussen de Partijen met betrekking tot het onderwerp daarvan en vervangt alle eerdere en gelijktijdige overeenkomsten en besprekingen.

4.Wijzigingen: Verwerker kan deze DPA aanpassen aan wijzigingen in de Toepasselijke Wetgeving inzake Gegevensbescherming, in de Diensten of in de ingeschakelde Subverwerkers. Verwerker informeert Verwerkingsverantwoordelijke per e-mail over wijzigingen in de tekst van deze DPA ten minste 7 dagen voordat deze van kracht worden, en over wijzigingen in Subverwerkers overeenkomstig artikel 6. Wanneer een wijziging de bescherming van Persoonsgegevens wezenlijk vermindert, kan Verwerkingsverantwoordelijke de betrokken Diensten vóór de ingangsdatum van de wijziging beëindigen door een schriftelijke kennisgeving aan Verwerker. Een Verwerkingsverantwoordelijke die de Diensten na de ingangsdatum blijft gebruiken, aanvaardt de gewijzigde DPA. De datum bij "Laatst bijgewerkt" bovenaan deze DPA geeft aan welke versie geldt. Een medeondertekend exemplaar legt de ondertekende versie vast en wordt op dezelfde wijze als deze pagina door latere versies vervangen.

Ondertekende exemplaren

Deze DPA geldt door aanvaarding van de Voorwaarden en hoeft niet te worden ondertekend. Verwerkingsverantwoordelijken die een ondertekend document nodig hebben, kunnen met de knop op deze pagina een exemplaar opvragen dat met hun gegevens is ingevuld en door AhaSend B.V. is medeondertekend. Ondertekende exemplaren worden verstrekt via een dienst voor digitale ondertekening en dragen de handtekeningen van beide Partijen; de inhoud is gelijk aan de versie van deze DPA die geldt op de datum van ondertekening.

Bijlage 1: Details van de Verwerking

Deze Bijlage 1 maakt deel uit van de DPA en beschrijft de Verwerking van Persoonsgegevens.

A. Lijst van Partijen

Gegevensexporteur (Verwerkingsverantwoordelijke)

Gegevensimporteur (Verwerker)

B. Omschrijving van de doorgifte / Verwerking

Categorieën van Betrokkenen van wie Persoonsgegevens worden Verwerkt

Ontvangers van e-mails die Verwerkingsverantwoordelijke via de Diensten verzendt (bijvoorbeeld klanten, gebruikers en abonnees van Verwerkingsverantwoordelijke), met inbegrip van contacten die Verwerkingsverantwoordelijke in contactlijsten importeert voor gebruik met Campaign Builder.

Categorieën van Verwerkte Persoonsgegevens

•Contactgegevens van Ontvangers: voornamelijk e-mailadressen. Kan ook namen omvatten indien door Verwerkingsverantwoordelijke verstrekt.

•E-mailinhoud: de inhoud van de e-mails die Verwerkingsverantwoordelijke aan Ontvangers verzendt (voor transactionele e-mail: indien Verwerkingsverantwoordelijke de opslag van inhoud inschakelt; Verwerkingsverantwoordelijke kan dit uitschakelen. De inhoud van campagnes wordt opgeslagen voor de duur van de campagne en de rapportage daarover).

•E-mailmetadata en interactiegegevens: informatie over de verzending van e-mails, zoals onderwerpregels, afzender- en ontvangergegevens, afleverlogs (afleveringen, uitgestelde afleveringen, bounces), spamklachten (via Feedback Loops), tijdstempels en (indien Verwerkingsverantwoordelijke om tracking verzoekt) IP-adressen van Ontvangers die met e-mails interacteren, user-agentstrings en interactiestatistieken (opens, kliks).

•Contactlijstgegevens: e-mailadressen, namen en eventuele aangepaste velden die Verwerkingsverantwoordelijke voor contacten en lijsten in Campaign Builder importeert of aanmaakt, samen met de abonnementsstatus van ieder contact (aangemeld, afgemeld, onderdrukt).

Bijzondere categorieën van persoonsgegevens

Verwerker is niet voornemens Bijzondere Persoonsgegevens (zoals omschreven in artikel 9 AVG) te Verwerken en de Diensten zijn daar niet voor ontworpen. Verwerkingsverantwoordelijke gebruikt de Diensten niet om Bijzondere Persoonsgegevens te verzenden of op te slaan. Wanneer Verwerkingsverantwoordelijke desondanks Bijzondere Persoonsgegevens in e-mailinhoud opneemt, is Verwerkingsverantwoordelijke als enige verantwoordelijk voor een rechtmatige grondslag voor die Verwerking en voor het treffen van passende waarborgen. Verwerker past de maatregelen van Bijlage 2 zonder onderscheid toe op alle inhoud en biedt geen aanvullende waarborgen voor Bijzondere Persoonsgegevens.

Frequentie van de doorgifte

Doorlopend, zolang Verwerkingsverantwoordelijke de Diensten gebruikt.

Aard van de Verwerking

Verzamelen, opslaan, gebruiken, doorzenden, analyseren (voor rapportage over afleverbaarheid en interactie) en verwijderen van Persoonsgegevens voor zover nodig om de Diensten te leveren, waaronder het verzenden van e-mails, het beheren van contactlijsten, aanmeldingen en afmeldverzoeken, het leveren van rapportage en analyses aan Verwerkingsverantwoordelijke, probleemoplossing en het voorkomen van misbruik. De Verwerking vindt plaats binnen de Europese Economische Ruimte (EER), zoals beschreven in Bijlage 3, met uitzondering van de hieronder beschreven verificatie van e-mailadressen. Voordat een campagne wordt verzonden, kunnen de e-mailadressen op de geselecteerde contactlijsten worden geverifieerd om adressen op te sporen die geen e-mail kunnen ontvangen (bijvoorbeeld door een ongeldige schrijfwijze, domeinen die geen e-mail accepteren of mailboxen die niet bestaan). Voor deze verificatie wordt uitsluitend het e-mailadres doorgegeven aan de in Bijlage 3 vermelde Subverwerkers voor e-mailverificatie; namen, andere contactvelden en e-mailinhoud worden niet gedeeld. De resultaten worden uitsluitend gebruikt om onbestelbare adressen uit te sluiten en de afleverbaarheid te beschermen. E-mailinhoud die aan de Diensten wordt aangeboden kan daarnaast geautomatiseerd worden geanalyseerd door een groot taalmodel (LLM) voor klanten van wie het account nog niet door AhaSend is geverifieerd, in het kader van accountmonitoring bij een vermoeden van misbruik, en, voor marketingcampagnes, voordat een campagne wordt verzonden. Zodra AhaSend een account heeft geverifieerd, worden de transactionele berichten van dat account niet langer aan deze analyse onderworpen. De analyse wordt uitsluitend uitgevoerd om overtredingen van de Voorwaarden van AhaSend op te sporen (waaronder spam, phishing en andere verboden inhoud). Het LLM draait op bare-metalservers die AhaSend beheert in Europese datacenters binnen de EER; wanneer extra capaciteit nodig is, kan AhaSend gebruikmaken van een beheerde inferentiedienst van een daartoe in Bijlage 3 vermelde Subverwerker, gehost binnen de EER. In beide gevallen wordt de inhoud uitsluitend verwerkt om het analyseresultaat te produceren, wordt zij na de analyse niet door de modelaanbieder bewaard en wordt zij niet gebruikt om enig model te trainen of te verbeteren. In het kader van dit proces wordt geen e-mailinhoud aan enige andere AI-aanbieder of derde partij doorgegeven.

Doel(en) van de doorgifte en de verdere Verwerking

•Verwerkingsverantwoordelijke in staat stellen e-mails aan zijn Ontvangers te verzenden.

•Verwerkingsverantwoordelijke voorzien van analyses en rapportage over de aflevering van en interactie met e-mails.

•De Diensten onderhouden en verbeteren, waaronder afleverbaarheid en beveiliging.

•Voldoen aan wettelijke verplichtingen en misbruik van de Diensten voorkomen.

•Contactlijsten, aanmeldingen en afmeldverzoeken namens Verwerkingsverantwoordelijke beheren.

•E-mailadressen op de contactlijsten van Verwerkingsverantwoordelijke verifiëren voordat een campagne wordt verzonden, zodat onbestelbare adressen worden uitgesloten.

Bewaartermijn

Persoonsgegevens worden bewaard voor de duur van het gebruik van de Diensten door Verwerkingsverantwoordelijke en zolang nodig is om de in deze DPA en de Voorwaarden omschreven doelen te verwezenlijken. Bij beëindiging van het account van Verwerkingsverantwoordelijke worden de namens Verwerkingsverantwoordelijke verwerkte Persoonsgegevens verwijderd overeenkomstig artikel 3, lid 7, van deze DPA en het bewaarbeleid van Verwerker, doorgaans binnen ten hoogste 90 dagen na de effectieve beëindigingsdatum, tenzij de wet anders vereist of legitieme operationele redenen dit vergen (bijvoorbeeld het bewaren van back-ups gedurende een beperkte periode). Verwerkingsverantwoordelijke kan te allen tijde om verwijdering van zijn gegevens verzoeken. Registraties van afmeldverzoeken en spamklachten kunnen na beëindiging worden bewaard voor zover dat nodig is om de afmelding van de betreffende Betrokkene te blijven respecteren. Interactiegegevens van e-mails (opens, kliks, bounces) kunnen in geaggregeerde of geanonimiseerde vorm langer worden bewaard voor statistische doeleinden en ter verbetering van de dienstverlening.

Doorgiften aan (sub)verwerkers

Zoals vermeld in Bijlage 3. Subverwerkers worden ingeschakeld voor doeleinden zoals cloudhosting, het leveren van infrastructuur, het beheerd uitvoeren van infrastructuurcomponenten, beheerde AI-inferentie voor misbruikdetectie en accountmonitoring, en de verificatie van e-mailadressen voor campagnes. De aard van de Verwerking door Subverwerkers is beperkt tot wat nodig is om hun diensten aan Verwerker te leveren, zodat Verwerker de Diensten aan Verwerkingsverantwoordelijke kan leveren. De duur is zolang Verwerker de diensten van de Subverwerker gebruikt.

C. Bevoegde Toezichthoudende Autoriteit

De bevoegde toezichthoudende autoriteit is de Autoriteit Persoonsgegevens, tenzij de Toepasselijke Wetgeving inzake Gegevensbescherming op grond van de vestigingsplaats van Verwerkingsverantwoordelijke anders bepaalt.

Bijlage 2: Technische en Organisatorische Beveiligingsmaatregelen

Deze Bijlage 2 maakt deel uit van de DPA en beschrijft de technische en organisatorische beveiligingsmaatregelen die Verwerker heeft getroffen.

Verwerker heeft passende technische en organisatorische maatregelen getroffen en houdt deze in stand om Persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging, verlies, wijziging, ongeoorloofde verstrekking of toegang. Deze maatregelen waarborgen een op het risico afgestemd beveiligingsniveau, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de Verwerking, alsmede met de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen. Verwerker beheert een managementsysteem voor informatiebeveiliging dat is gecertificeerd volgens ISO/IEC 27001.

De maatregelen omvatten onder meer:

1.Toegangsbeveiliging (fysiek en logisch): maatregelen om te voorkomen dat onbevoegden toegang krijgen tot gegevensverwerkende systemen waarin Persoonsgegevens worden Verwerkt (bijvoorbeeld beveiligde datacenters met beperkte toegang, kantoorbeveiliging); maatregelen om te voorkomen dat systemen zonder autorisatie worden gebruikt (bijvoorbeeld sterke wachtwoorden, multifactorauthenticatie voor geprivilegieerde toegang, rolgebaseerde toegangsrechten, automatische schermvergrendeling); en maatregelen die waarborgen dat bevoegde personen uitsluitend toegang hebben tot de Persoonsgegevens waartoe zij gerechtigd zijn, met logging van toegang.

2.Vertrouwelijkheid van gegevens (pseudonimisering en versleuteling): versleuteling van Persoonsgegevens tijdens transport (bijvoorbeeld TLS/SSL); versleuteling van Persoonsgegevens in rust waar passend en haalbaar (bijvoorbeeld databaseback-ups, gevoelige configuratiebestanden); en overweging van pseudonimiseringstechnieken waar passend.

3.Integriteit van gegevens: maatregelen die waarborgen dat Persoonsgegevens tijdens elektronische doorzending of transport niet zonder autorisatie kunnen worden gelezen, gekopieerd, gewijzigd of verwijderd, en waarmee kan worden geverifieerd en vastgesteld of en door wie Persoonsgegevens zijn ingevoerd, gewijzigd of verwijderd (bijvoorbeeld beveiligde protocollen, integriteitscontroles, logging).

4.Beschikbaarheid en veerkracht: bescherming tegen onopzettelijke vernietiging of verlies (bijvoorbeeld regelmatige back-ups, geografisch redundante opslag voor kritieke gegevens waar haalbaar); het vermogen om de beschikbaarheid van en de toegang tot gegevens na een incident tijdig te herstellen (plannen voor disaster recovery en bedrijfscontinuïteit); en het regelmatig testen, beoordelen en evalueren van de doeltreffendheid van de maatregelen.

5.Gegevensminimalisatie en doelbinding: processen die waarborgen dat de Verwerkte Persoonsgegevens toereikend en ter zake dienend zijn en beperkt blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden Verwerkt.

6.Personeelsbeveiliging en training: geheimhoudingsverplichtingen voor personeel dat gemachtigd is Persoonsgegevens te Verwerken, en training over gegevensbescherming en beveiligingsbewustzijn voor het betrokken personeel.

7.Incidentbeheer en reactie op Inbreuken in verband met Persoonsgegevens: processen voor het detecteren, afhandelen en melden van Inbreuken in verband met Persoonsgegevens overeenkomstig artikel 7 van deze DPA.

8.Beheer van Subverwerkers: zorgvuldige selectie van Subverwerkers en contractuele verplichtingen die gelijkwaardige normen voor gegevensbescherming waarborgen.

9.Veilige softwareontwikkeling: security by design en by default; veilige programmeerpraktijken (bijvoorbeeld OWASP Top 10, SANS Top 25); invoervalidatie; uitvoercodering; authenticatie- en autorisatiecontroles; veilig sessiebeheer; beheer en patching van afhankelijkheden; kwetsbaarheidsscans en periodieke tests; beheer van beveiligingspatches; logging en monitoring van beveiligingsgebeurtenissen; wijzigingsbeheer met beveiligingsbeoordeling; en doorlopende beveiligingstraining voor ontwikkelaars.

Bijlage 3: Lijst van Subverwerkers

Deze Bijlage 3 maakt deel uit van de DPA en geeft informatie over de Subverwerkers die AhaSend B.V. inschakelt om Persoonsgegevens namens Verwerkingsverantwoordelijke te Verwerken in verband met de Diensten. De meest actuele en volledige lijst wordt bijgehouden in de online versie op https://ahasend.com/dpa. De onderstaande lijst is indicatief per de datum van deze DPA.

Verwerkingsverantwoordelijke erkent dat hij door aanvaarding van deze DPA een algemene toestemming verleent aan Verwerker om de hierboven vermelde Subverwerkers en andere Subverwerkers in te schakelen, zoals bijgewerkt overeenkomstig artikel 6 van deze DPA.