Hosting- en Subverwerkersbijlage

Deze Bijlage is door verwijzing in de Overeenkomst opgenomen, maakt deel uit van de Overeenkomst, wordt daardoor beheerst en heeft dezelfde contractuele werking als ware zij daarin volledig opgenomen. Waar de Overeenkomst of het Addendum inzake gegevensverwerking verwijst naar de door de Dienstverlener ingeschakelde Subverwerkers, wordt daarmee verwezen naar deze Bijlage zoals die op het betreffende moment geldt. Bij tegenstrijdigheid prevaleert de Overeenkomst (met inbegrip van het Addendum inzake gegevensverwerking), met dien verstande dat deze Bijlage bepalend is voor de vaststelling van de Hostingregio’s, de infrastructuuraanbieders, de Subverwerkers en de doorgiftemechanismen waarop een beroep wordt gedaan. Deze Bijlage schept geen afzonderlijk of aanvullend rechtsmiddel, en alle aansprakelijkheid die uit of in verband met deze Bijlage voortvloeit, is onderworpen aan en wordt toegerekend aan de beperkingen en uitsluitingen in Artikel 12 (Beperking van aansprakelijkheid) van de Overeenkomst.

Deze Bijlage wordt bijgewerkt in overeenstemming met de bepalingen inzake Subverwerkers van het Addendum inzake gegevensverwerking dat deel uitmaakt van de Overeenkomst (en, voor zover van toepassing, de Aanvullende AVG-bijlage). De Dienstverlener geeft ten minste dertig (30) dagen vooraf kennis van elke voorgenomen toevoeging of vervanging van een Subverwerker, en de Licentienemer kan daartegen binnen dertig (30) dagen bezwaar maken op redelijke gronden van gegevensbescherming, zoals in die bepalingen is voorzien.

Elke versie van deze Bijlage heeft een versienummer en een ingangsdatum. De versiegeschiedenis in Artikel 8 vermeldt wat er is gewijzigd en wanneer.

De Licentienemer kiest een Hostingregio in de toepasselijke Offerte, tenzij de Overeenkomst de Hostingregio vastlegt; in dat geval geldt die Hostingregio. Licentienemergegevens worden uitsluitend in de toepasselijke Hostingregio opgeslagen en Verwerkt. Een Hostingregio kan na het aanmaken van het account niet meer worden gewijzigd.

De beheerde databasedienst die in de Hostingregio Duitsland wordt gebruikt, is OVHcloud Managed MongoDB, beheerd door OVHcloud. MongoDB, Inc. heeft geen toegang tot Licentienemergegevens en is met betrekking tot die dienst geen Subverwerker.

3.1 Hostingregio Duitsland

3.2 Hostingregio Verenigde Staten

Verwijzingen naar de standaardcontractbepalingen van de Subverwerkers:

• Amazon Web Services: https://d1.awsstatic.com/legal/aws-dpa/processor-to-processor-sccs.pdf
• MongoDB: https://www.mongodb.com/legal/dpa

De in Artikel 2 genoemde infrastructuuraanbieders schakelen bij de levering van hun diensten eigen subverwerkers in. Elke aanbieder houdt een eigen lijst van subverwerkers bij en blijft op grond van zijn overeenkomst met de Dienstverlener verantwoordelijk voor die subverwerkers.

Wijzigingen die een infrastructuuraanbieder in zijn eigen subverwerkers doorvoert, worden beheerst door de overeenkomst tussen de Dienstverlener en die aanbieder. Indien een dergelijke wijziging gevolgen heeft voor de door de Licentienemer gekozen Hostingregio, stelt de Dienstverlener de Licentienemer daarvan in kennis in overeenstemming met de bepalingen inzake Subverwerkers van het Addendum inzake gegevensverwerking.

De volgende Subverwerkers worden ingeschakeld in het kader van de administratieve en commerciële relatie met de Licentienemer en gelden voor alle Hostingregio’s. Zij hebben geen toegang tot Licentienemergegevens.

Dit artikel is in afwachting van de bevestiging van de volledige set verwerkers van Accountgegevens.

Betalingsverwerking is uitsluitend van toepassing wanneer de Licentienemer met een kaart betaalt. Betaalt de Licentienemer op factuur en per bankoverschrijving, dan Verwerkt geen enkele Subverwerker voor betalingen Accountgegevens namens de Dienstverlener.

Indien de Licentienemer de Hostingregio Duitsland heeft gekozen, is de toegang tot Licentienemergegevens beperkt tot bevoegd personeel van de Dienstverlener en zijn Subverwerkers dat zich binnen de Europese Economische Ruimte, het Verenigd Koninkrijk of Zwitserland bevindt.

De Dienstverlener onderhoudt technische en organisatorische maatregelen om deze beperking te handhaven, waaronder persoonsgebonden individuele accounts, een verbod op gedeelde of generieke inloggegevens, logging van alle administratieve toegang en beperking van de toegang tot productieomgevingen tot personeel op de hiervoor genoemde locaties. Deze maatregelen worden gehandhaafd door middel van systeemconfiguratie en niet uitsluitend door beleid.

Indien de Licentienemer de Hostingregio Verenigde Staten heeft gekozen, worden Licentienemergegevens in de Verenigde Staten Verwerkt en gelden de in Artikel 3.2 genoemde doorgiftemechanismen.

In alle Hostingregio’s worden Accountgegevens Verwerkt in de bedrijfssystemen van de Dienstverlener, die zich buiten de Europese Economische Ruimte kunnen bevinden. De betrokken Subverwerkers zijn met het gebruikte doorgiftemechanisme vermeld in Artikel 5.

Kendis Oy beschikt over een ISO/IEC 27001-certificering. Het actuele certificaat is op verzoek verkrijgbaar zoals bepaald in Artikel 10 van het DPA (Audit en compliance).

De certificeringen van de in Artikel 2 genoemde infrastructuuraanbieders worden door die aanbieders gepubliceerd en zijn op verzoek verkrijgbaar zoals bepaald in Artikel 10 van het DPA (Audit en compliance).