Verwerkersovereenkomst (VWO)

Versie 1.0

Deze Gegevensverwerkingsovereenkomst (“DPA”) maakt deel uit van en vormt een aanvulling op de Servicevoorwaarden, Abonnementsovereenkomst, Bestelformulier of andere overeenkomst die het gebruik van CodiCo Dispatch Software regelt (de “Hoofdovereenkomst”) aangegaan tussen:

BILTO GROUP LLC, een bedrijf opgericht in de Verenigde Arabische Emiraten, dat CodiCo Dispatch Software exploiteert (“Verwerker”),

en

Klant, handelend als verwerkingsverantwoordelijke voor persoonsgegevens (“Verwerkingsverantwoordelijke”).

De Verwerkingsverantwoordelijke en de Verwerker worden gezamenlijk aangeduid als de “Partijen”.

1. DOEL

Deze DPA regelt de Verwerking van Persoonsgegevens door Verwerker namens Verwerkingsverantwoordelijke in verband met de levering van CodiCo Dispatch Software en aanverwante diensten.

De Partijen erkennen dat Verwerkingsverantwoordelijke de doeleinden van en de middelen voor de Verwerking van Persoonsgegevens vaststelt en optreedt als de Verwerkingsverantwoordelijke, terwijl Verwerker uitsluitend optreedt als een Verwerker onder Artikel 28 AVG.

2. DEFINITIES

“Persoonsgegevens”, “Verwerkingsverantwoordelijke”, “Verwerker”, “Betrokkene”, “Verwerking”, “Toezichthoudende autoriteit” en andere termen met een hoofdletter hebben de betekenis die daaraan is toegekend onder de AVG (GDPR).

“Klantgegevens” betekent alle Persoonsgegevens die via CodiCo Dispatch Software worden ingediend, opgeslagen, verzonden of op andere wijze verwerkt door of namens Verwerkingsverantwoordelijke.

3. AARD VAN DE VERWERKING

Verwerker levert cloudgebaseerde diensten voor dispatch, boeking, wagenparkbeheer, chauffeurbeheer, passagiersbeheer, planning, rapportage, communicatie en aanverwante diensten.

De Verwerking kan het volgende omvatten:

● verzamelen;

● opslaan;

● ordenen;

● opvragen;

● raadplegen;

● verzenden;

● synchroniseren;

● wissen;

● analyseren die noodzakelijk is voor de werking van de dienst.

Verwerker zal Persoonsgegevens uitsluitend Verwerken met het oog op het leveren van de Diensten en in overeenstemming met gedocumenteerde instructies van Verwerkingsverantwoordelijke.

4. CATEGORIEËN VAN BETROKKENEN

De categorieën van Betrokkenen kunnen omvatten:

● passagiers;

● klanten;

● chauffeurs;

● planners (dispatchers);

● operators;

● beheerders;

● werknemers van Verwerkingsverantwoordelijke;

● zakelijke contacten.

5. CATEGORIEËN VAN PERSOONSGEGEVENS

De categorieën van Persoonsgegevens kunnen omvatten:

● namen;

● e-mailadressen;

● telefoonnummers;

● boekingsinformatie;

● ritinformatie;

● ophaal- en afzetlocaties;

● informatie over de chauffeur;

● voertuiginformatie;

● inloggegevens van het account;

● GPS- en locatiegegevens;

● communicatielogboeken;

● informatie over het gebruik van de dienst.

Verwerkingsverantwoordelijke mag geen bijzondere categorieën van persoonsgegevens onder Artikel 9 AVG uploaden of indienen, tenzij uitdrukkelijk schriftelijk overengekomen.

Verwerker vereist of verzoekt geen kopieën van paspoorten, rijbewijzen, medische dossiers или andere gegevens uit bijzondere categorieën.

6. VERANTWOORDELIJKHEDEN VAN DE VERWERKINGSVERANTWOORDELIJKE

Verwerkingsverantwoordelijke garandeert dat:

a) zij een wettelijke grondslag heeft voor de Verwerking van Persoonsgegevens;

b) zij alle vereiste kennisgevingen aan Betrokkenen heeft verstrekt;

c) zij als enige verantwoordelijk is voor de juistheid, kwaliteit en rechtmatigheid van Klantgegevens;

d) zij alle noodzakelijke toestemmingen heeft verkregen waar vereist.

Verwerkingsverantwoordelijke blijft als enige verantwoordelijk voor de naleving van de AVG en toepasselijke privacywetgeving.

7. VERPLICHTINGEN VAN DE VERWERKER

Verwerker zal:

a) Persoonsgegevens alleen Verwerken op basis van gedocumenteerde instructies van Verwerkingsverantwoordelijke;

b) de vertrouwelijkheid waarborgen van personeel dat toegang heeft to Persoonsgegevens;

c) passende technische en organisatorische maatregelen implementeren;

d) Verwerkingsverantwoordelijke waar redelijkerwijs mogelijk bijstaan bij het beantwoorden van verzoeken van Betrokkenen;

e) Verwerkingsverantwoordelijke zonder onnodige vertraging op de hoogte stellen nadat zij kennis heeft genomen van een Inbreuk in verband met Persoonsgegevens die gevolgen heeft voor Klantgegevens;

f) redelijke bijstand verlenen met betrekking tot verplichtingen tot naleving van de AVG.

8. BEVEILIGINGSMAATREGELEN

Verwerker zal redelijke en passende administratieve, technische en organisatorische waarborgen handhaven die zijn ontworpen om Klantgegevens te beschermen tegen ongeoorloofde toegang, openbaarmaking, wijziging of vernietiging.

Beveiligingsmaatregelen kunnen omvatten:

● HTTPS-versleuteling;

● toegangscontroles;

● authenticatieprocedures;

● op rollen gebaseerde machtigingen;

● back-ups;

● firewall-beveiliging;

● monitoring en loggen;

● softwarebeveiligingsupdates.

Verwerker garandeert niet dat de Diensten vrij zullen zijn van alle kwetsbaarheden of beveiligingsincidenten.

9. SUBVERWERKERS

Verwerkingsverantwoordelijke verleent Verwerker een algemene machtiging om Subverwerkers in te schakelen.

Verwerker kan van tijd tot tijd Subverwerkers toevoegen, vervangen of verwijderen als dit redelijkerwijs noodzakelijk is voor het leveren van de Diensten.

Verwerker zal een actuele lijst van Subverwerkers bijhouden en deze informatie op verzoek beschikbaar stellen.

Verwerker blijft verantwoordelijk voor de prestaties van haar Subverwerkers voor zover vereist door toepasselijk recht.

Diensten van derden die onafhankelijk door Verwerkingsverantwoordelijke zijn geselecteerd, gekoppeld of geconfigureerd, worden niet beschouwd als Subverwerkers van Verwerker.

10. INTERNATIONALE GEGEVENSVERZENDING

Verwerkingsverantwoordelijke erkent dat Klantgegevens internationaal kunnen worden ingezien, verwerkt of doorgegeven waar dit noodzakelijk is voor de werking, het onderhoud, de ondersteuning en de levering van de Diensten.

Verwerker zal passende waarborgen implementeren waar vereist onder toepasselijke wetgeving inzake gegevensbescherming.

11. VERZOEKEN VAN BETROKKENEN

Wanneer Verwerker rechtstreeks van een Betrokkene een verzoek ontvangt met betrekking tot Klantgegevens, kan Verwerker de Betrokkene doorverwijzen naar Verwerkingsverantwoordelijke.

Verwerker zal Verwerkingsverantwoordelijke redelijke bijstand verlenen bij het beantwoorden van dergelijke verzoeken waar de wet dit vereist.

12. AUDITRECHTEN

Verwerkingsverantwoordelijke kan informatie opvragen die redelijkerwijs noodzakelijk is om de naleving van deze DPA aan te tonen.

Fysieke inspecties, penetratietesten, broncodebeoordelingen, kwetsbaarheidsscans, toegang tot interne systemen, toegang tot vertrouwelijke bedrijfsinformatie of toegang tot gegevens met betrekking tot andere klanten zijn niet vereist.

Elke audit zal:

● niet vaker dan eenmaal per kalenderjaar plaatsvinden;

● worden uitgevoerd tijdens normale kantooruren;

● onderworpen zijn aan een voorafgaande schriftelijke kennisgeving van ten minste 30 dagen;

● de activiteiten van Verwerker niet hinderen;

● op kosten van Verwerkingsverantwoordelijke zijn.

13. RETOURNERING EN VERWIJDERING VAN GEGEVENS

Bij beëindiging van de Diensten blijven Klantgegevens gedurende tien (10) dagen beschikbaar voor export.

Na deze periode worden Klantgegevens permanent verwijderd uit productiesystemen.

Resterende kopieën in back-ups kunnen bewaard blijven totdat ze worden overschreven in overeenstemming met de back-upretentieprocedures van Verwerker.

14. BEPERKING VAN AANSPRAKELIJKHEID

Voor zover maximaal toegestaan door de wet, zal de totale aansprakelijkheid van Verwerker die voortvloeit uit of verband houdt met deze DPA niet hoger zijn dan de totale vergoedingen die door Verwerkingsverantwoordelijke aan Verwerker zijn betaald tijdens de twaalf (12) maanden die onmiddellijk voorafgaan aan de gebeurtenis die aanleiding geeft tot de vordering.

Verwerker is niet aansprakelijk voor indirecte, incidentele, gevolg-, speciale, punitieve of consensuele schade, met inbegrip van verlies van inkomsten, winst, goodwill, zakelijke kansen of gegevens.

Niets in deze DPA beperkt de aansprakelijkheid waar een dergelijke beperking door toepasselijk recht is verboden.

14.1 VRIJWARING DOOR VERWERKINGSVERANTWOORDELIJKE

De Verwerkingsverantwoordelijke zal de Verwerker vrijwaren en schadeloos stellen tegen claims, boetes, sancties, schade of kosten die voortvloeien uit:

● onrechtmatige verzameling van Persoonsgegevens door de Verwerkingsverantwoordelijke;

● afwezigheid van een wettelijke grondslag voor Verwerking;

● nalatigheid om vereiste kennisgevingen aan Betrokkenen te verstrekken;

● door de Verwerkingsverantwoordelijke verstrekte instructies die in strijd zijn met het toepasselijke recht.

15. TOEPASSELIJK RECHT

Deze DPA wordt beheerst door het recht dat is gespecificeerd in de Hoofdovereenkomst.

Bij gebreke van een dergelijke bepaling zijn de wetten van de Verenigde Arabische Emiraten van toepassing.

16. RANGORDE

In geval van strijdigheid tussen deze DPA en de Hoofdovereenkomst, prevaleert deze DPA uitsluitend met betrekking to aangelegenheden op het gebied van gegevensbescherming.

17. LOOPTIJD EN BEËINDIGING

Deze DPA wordt van kracht op de datum waarop de Verwerkingsverantwoordelijke de Hoofdovereenkomst voor het eerst accepteert, een account aanmaakt, toegang krijgt tot de Diensten of op andere wijze gebruikmaakt van de Diensten, afhankelijk van welke situatie zich het eerst voordoet.

Deze DPA blijft van kracht zolang de Verwerker Persoonsgegevens Verwerkt namens de Verwerkingsverantwoordelijke.

Beëindiging of het verstrijken van de Hoofdovereenkomst zal deze DPA automatisch beëindigen, behalve voor zover de Verwerker na een dergelijke beëindiging Persoonsgegevens blijft Verwerken voor doeleinden van gegevensretentie, wettelijke naleving, back-upretentie, geschillenbeslechting, handhaving van contractuele rechten of andere legitieme zakelijke doeleinden die zijn toegestaan door het toepasselijke recht.

De bepalingen met betrekking to vertrouwelijkheid, aansprakelijkheid, audits, internationale doorgiften, gegevensverwijdering, geschillenbeslechting en alle andere bepalingen die door hun aard bestemd zijn om na beëindiging voort te duren, blijven na beëindiging van deze DPA van kracht.

Bij beëindiging van de Diensten worden Klantgegevens behandeld in overeenstemming met Sectie 13 (Retournering en verwijdering van gegevens).

Beëindiging van deze DPA ontslaat Partijen niet van verplichtingen die voorafgaand aan de effectieve datum van beëindiging zijn ontstaan.

BIJLAGE A

DETAILS VAN DE VERWERKING

A. ONDERWERP VAN DE VERWERKING

De Verwerker levert cloudgebaseerde diensten voor transportdispatch, boekingsbeheer, chauffeurbeheer, passagiersbeheer, wagenparkbeheer, communicatie, planning, rapportage en aanverwante softwarelicenties via het platform van CodiCo Dispatch Software.

B. DOEL VAN DE VERWERKING

Persoonsgegevens worden uitsluitend verwerkt met het oog op:

● het leveren van de Diensten;

● het beheren van transportboekingen;

● het dispatchen en toewijzen van ritten;

● het beheren van chauffeurs en voertuigen;

● het vergemakkelijken van communicatie tussen passagiers, chauffeurs en planners;

● het genereren van rapporten en analyses;

● klantenservice;

● het handhaven van de beveiliging, beschikbaarheid en prestaties van de Diensten.

C. DUUR VAN DE VERWERKING

De Verwerking duurt voort voor de duur van het actieve abonnement van de Klant.

Bij beëindiging van de Diensten blijven Klantgegevens gedurende tien (10) dagen beschikbaar voor export.

Na deze periode worden Klantgegevens verwijderd in overeenstemming met de DPA.

D. CATEGORIEËN VAN BETROKKENEN

De categorieën van Betrokkenen kunnen omvatten:

Passagiers

● klanten

● passagiers

● reizigers

Chauffeurs

● chauffeurs in loondienst

● gecontracteerde chauffeurs

● zelfstandige rijders (owner-operators)

Personeel van de Klant

● planners (dispatchers)

● operators

● beheerders

● managers

● werknemers

● contractanten

Zakelijke contacten

● leveranciers

● partners

● agenten

● gelieerde ondernemingen

E. CATEGORIEËN VAN PERSOONSGEGEVENS

Passagiersgegevens

● voornaam

● achternaam

● e-mailadres

● telefoonnummer

● ophaaladres

● bestemmingsadres

● boekingsinformatie

● ritgeschiedenis

Chauffeursgegevens

● voornaam

● achternaam

● e-mailadres

● telefoonnummer

● voertuiginformatie

● beschikbaarheidsstatus

● GPS-locatiegegevens

● toegewezen ritten

Operationele gegevens

● accountinformatie

● inloggegevens

● activiteitslogboeken

● communicatielogboeken

● informatie over het gebruik van de dienst

Locatiegegevens

● voertuiglocaties

● locaties van chauffeurs

● ritroutes

● dispatch-informatie

F. BIJZONDERE CATEGORIEËN VAN GEGEVENS

De Diensten zijn niet bedoeld voor de verwerking van Bijzondere Categorieën van Persoonsgegevens zoals gedefinieerd in Artikel 9 AVG.

De Verwerkingsverantwoordelijke mag dergelijke gegevens niet uploaden of op andere wijze verstrekken, tenzij uitdrukkelijk schriftelijk overengekomen door de Verwerker.

De Verwerker behoudt zich het recht voor om dergelijke gegevens te verwijderen waar dit redelijkerwijs noodzakelijk is om de integriteit en naleving van de Diensten te beschermen.

BIJLAGE B

TECHNISCHE EN ORGANISATORISCHE MAATREGELEN

De Verwerker handhaaft redelijke en passende technische en organisatorische maatregelen die zijn ontworpen om Klantgegevens te beschermen.

De volgende maatregelen kunnen van tijd tot tijd worden geïmplementeerd en bijgewerkt:

1. TOEGANGSCONTROLE

● met wachtwoord beveiligde systemen;

● op rollen gebaseerde machtigingen;

● beperkte toegang voor werknemers;

● principes van de minste privileges;

● mechanismen voor gebruikersauthenticatie.

2. NETWERKBEVEILIGING

● HTTPS/TLS-versleutelde communicatie;

● firewall-beveiliging;

● beheersmaatregelen voor infrastructuurbeveiliging;

● monitoring en loggen.

3. GEGEVENSBEVEILIGING

● logische scheiding van klantgevingen/omgevingen;

● gecontroleerde toegang tot Klantgegevens;

● back-upprocedures;

● procedures voor veilige verwijdering.

4. PERSONEELSBEVEILIGING

Geautoriseerd personeel is gebonden aan vertrouwelijkheidsverplichtingen.

Toegang tot Klantgegevens wordt alleen verleend waar dit redelijkerwijs noodzakelijk is voor:

● klantenservice;

● onderhoud;

● probleemoplossing;

● levering van diensten.

5. TOEGANG OP AFSTAND

De Verwerker werkt met een verspreid personeelsbestand.

Geautoriseerd personeel kan op afstand toegang krijgen tot Klantgegevens vanuit verschillende jurisdicties, uitsluitend voor legitieme zakelijke doeleinden die verband houden met de Diensten.

Dergelijke toegang is beperkt tot geautoriseerd personeel en onderworpen aan beveiligingscontroles.

6. INCIDENTENBEHEER

De Verwerker handhaaft procedures die zijn ontworpen om beveiligingsincidenten te identificeren, te onderzoeken en erop te reageren.

Waar vereist door toepasselijk recht, wordt de Verwerkingsverantwoordelijke zonder onnodige vertraging op de hoogte gesteld nadat de Verwerker kennis heeft genomen van een Inbreuk in verband met Persoonsgegevens die gevolgen heeft voor Klantgegevens.

7. TESTEN EN ONDERHOUD

De Verwerker voert doorlopend onderhoud, monitoring en beveiligingsupdates uit die passen bij de aard van de Diensten.

De Verwerker garandeert geen absolute beveiliging of ononderbroken werking van de Diensten.

8. WIJZIGINGEN

De Verwerker kan beveiligingsmaatregelen van tijd tot tijd wijzigen, verbeteren of vervangen, mits het algehele beveiligingsniveau niet wezenlijk wordt verminderd.

BIJLAGE C

SUBVERWERKERS

De Verwerkingsverantwoordelijke erkent en gaat ermee akkoord dat de Verwerker de volgende Subverwerkers kan inschakelen: