1. Reikwijdte en rollen
Deze verwerkersovereenkomst geldt wanneer een klant als verwerkingsverantwoordelijke persoonsgegevens via Sanum Pro laat verwerken en Sanum B.V. daarbij verwerker is. Voor eigen accountbeheer, beveiliging en wettelijke verplichtingen kan Sanum zelfstandig verwerkingsverantwoordelijke zijn.
2. Onderwerp, duur en aard
De verwerking bestaat uit hosting, crawling, analyse, opslag, structurering, rapportage, monitoring, synchronisatie en verwijdering van door de klant gekozen gegevens. De duur loopt gelijk met het gebruik van het account en de overeengekomen bewaartermijnen.
3. Categorieën en betrokkenen
Mogelijke gegevens omvatten website-inhoud, bezoekers- en marketingstatistieken, account-ID’s, URL’s, zoektermen, loggegevens, CRM-notities en door de klant ingevoerde gegevens. Betrokkenen kunnen medewerkers, websitebezoekers, leads, klanten, leveranciers en contactpersonen van de klant zijn.
De klant instrueert Sanum geen bijzondere categorieën of zeer gevoelige persoonsgegevens te verwerken, tenzij dit uitdrukkelijk is overeengekomen en passende extra maatregelen zijn getroffen.
4. Instructies
Sanum verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructies van de klant, waaronder instellingen in het dashboard, API-aanvragen en supportverzoeken, behalve wanneer een toepasselijke wet anders vereist. Sanum meldt een kennelijk onrechtmatige instructie waar redelijk mogelijk.
5. Geheimhouding
Personen met toegang tot persoonsgegevens zijn gebonden aan vertrouwelijkheid en krijgen alleen toegang voor hun taak.
6. Beveiligingsmaatregelen
- Versleutelde verbindingen en passende opslagbeveiliging.
- Rollen, toegangscontrole en beperkte beheerdersrechten.
- Logging, monitoring, rate limiting en incidentprocedures.
- Back-ups, herstelmaatregelen en veilige software-updates.
- Dataminimalisatie en configureerbare bewaartermijnen.
- Periodieke beoordeling van technische en organisatorische maatregelen.
7. Subverwerkers
De klant geeft algemene toestemming voor de subverwerkers op de pagina Subverwerkers. Bij een wezenlijke nieuwe subverwerker wordt de lijst bijgewerkt. Een klant met een redelijke privacybezwaar kan contact opnemen; wanneer geen werkbare oplossing bestaat, kan de betreffende integratie of dienst worden beëindigd.
8. Verzoeken van betrokkenen
Sanum ondersteunt de klant redelijkerwijs bij inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar, rekening houdend met de aard van de verwerking. De klant blijft verantwoordelijk voor de inhoudelijke beslissing en communicatie met de betrokkene.
9. Beveiligingsincidenten
Sanum informeert de klant zonder onredelijke vertraging nadat een inbreuk op persoonsgegevens is bevestigd die de klantdata raakt. De melding bevat, voor zover beschikbaar, aard, gevolgen, betrokken categorieën en getroffen maatregelen. De klant blijft verantwoordelijk voor meldingen aan toezichthouders en betrokkenen.
10. DPIA en toezichthouders
Sanum verleent redelijke informatie voor een gegevensbeschermingseffectbeoordeling of voorafgaande raadpleging, voor zover de informatie betrekking heeft op de door Sanum uitgevoerde verwerking.
11. Internationale doorgifte
Wanneer persoonsgegevens buiten een toepasselijk beschermd gebied worden verwerkt, gebruikt Sanum passende doorgiftemechanismen zoals adequaatheidsbesluiten, Standard Contractual Clauses en relevante addenda.
12. Verwijdering en teruggave
Na beëindiging verwijdert of retourneert Sanum klantgegevens volgens de beschikbare exportfuncties en bewaartermijnen, tenzij wettelijke bewaring vereist is. Back-ups worden volgens de normale rotatie overschreven.
13. Controle en bewijs
Sanum verstrekt redelijke informatie om naleving aan te tonen. Een audit vindt maximaal eenmaal per jaar plaats, met redelijke aankondiging, zonder beveiliging of andere klanten te schaden en op kosten van de klant, tenzij een vastgesteld ernstig tekort anders rechtvaardigt.
14. Rangorde
Bij strijd tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor wat betreft verwerking namens de klant. Dwingend privacyrecht blijft altijd van toepassing.