Verwerkersovereenkomst
1. Partijen, reikwijdte en status
Deze overeenkomst bepaalt de voorwaarden voor gegevensverwerking tussen de zakelijke klant die in een OrsunPay-dienstverleningsovereenkomst is genoemd (de ‘Klant’) en Orsun Tech OÜ, registratienummer 17418287, Sepapaja tn 6, Lasnamäe linnaosa, Tallinn, Harju maakond, 15551, Estonia (‘OrsunPay’). Zij wordt alleen bindend wanneer zij is opgenomen in een door beide partijen aanvaarde overeenkomst, met ingevulde verwerkings- en beveiligingsbijlagen.
Voor de hier beschreven verwerking bepaalt de Klant de doeleinden en essentiële middelen en verwerkt OrsunPay persoonsgegevens namens de Klant. Als de Klant zelf verwerker is, moet hij toestemming van zijn verwerkingsverantwoordelijke hebben om OrsunPay aan te stellen. Verwerking voor OrsunPays eigen website-, zakelijke contact- en accountbeheersdoeleinden wordt beschreven in de privacyverklaring.
‘Persoonsgegevens’, ‘verwerkingsverantwoordelijke’, ‘verwerker’ en verwante begrippen hebben de betekenis uit de toepasselijke gegevensbeschermingswetgeving, waaronder de AVG waar van toepassing. Deze verwerkersovereenkomst gaat voor op strijdige servicevoorwaarden voor de verwerking die zij dekt; verplichte doorgiftebepalingen gaan waar van toepassing voor.
2. Beschrijving van de verwerking
| Onderdeel | Verwerkingsomvang |
|---|---|
| Onderwerp | Persoonsgegevens verwerkt via de overeengekomen betalingsorkestratiediensten van de Klant en de bijbehorende ondersteuning. |
| Aard van de handelingen | Ontvangen, vastleggen, ordenen, opvragen, doorgeven en weergeven van records; uitvoeren van routerings- en operationele instructies; oplossen van problemen; en teruggeven of verwijderen van gegevens. |
| Doeleinden | Geconfigureerde betaalprocessen uitvoeren, informatie uitwisselen met geselecteerde aanbieders, transactie- en webhookrecords bijhouden, geautoriseerde toegang bieden en dienstproblemen onderzoeken. |
| Personen | Kopers van de Klant en andere deelnemers aan betalingen, en de bevoegde gebruikers of vertegenwoordigers van de Klant voor zover verwerkt volgens zijn instructies. |
| Gegevenscategorieën | Klant- en transactiereferenties, verstrekte contactgegevens, bedragen en valuta, betaal- en terugbetalingsstatussen, providerreferenties, getokeniseerde of gemaskeerde betaalmiddelinformatie, technische verbindingsgegevens en relevant ondersteuningsmateriaal. De definitieve bijlage moet de werkelijke integratie weerspiegelen. |
| Duur en frequentie | Tijdens het gebruik van de dienst en de overeengekomen teruggave- of verwijderingsperiode; continue of gebeurtenisgestuurde verwerking afhankelijk van de gebruikte functies. |
| Gevoelige gegevens | Bijzondere categorieën gegevens, strafrechtelijke gegevens en volledige betaalcredentials vallen buiten deze algemene beschrijving, tenzij een afzonderlijke schriftelijke reikwijdte en passende maatregelen deze uitdrukkelijk dekken. |
3. Instructies en verantwoordelijkheden van de Klant
De dienstverleningsovereenkomst, ingevulde bijlagen, geautoriseerde instellingen en gedocumenteerde API-verzoeken vormen de instructies van de Klant. OrsunPay verwerkt de gedekte gegevens uitsluitend volgens die instructies, waaronder instructies over doorgiften, tenzij toepasselijk recht anders vereist. OrsunPay informeert de Klant vóór verwerking over een wettelijke verplichting, tenzij de wet die mededeling verbiedt.
De Klant moet rechtmatige instructies, de benodigde privacyinformatie en een geldige grondslag voor de gevraagde verzameling en verwerking verstrekken. Hij moet verstrekte gegevens beperken tot wat de dienst nodig heeft en passende accountrechten onderhouden. OrsunPay informeert de Klant als zij meent dat een instructie in strijd is met toepasselijke gegevensbeschermingswetgeving en kan de betrokken verwerking pauzeren terwijl de kwestie wordt opgelost.
4. Vertrouwelijkheid en beveiliging
OrsunPay beperkt de toegang tot bevoegde personen die deze voor dienstverlening nodig hebben en zorgt dat zij aan geheimhoudingsplichten gebonden zijn. Zij handhaaft technische en organisatorische maatregelen die passen bij de aard van de gegevens en de verwerkingsrisico’s.
De beveiligingsbijlage moet toegangscontrole, authenticatie, versleutelingsregelingen, scheiding van klantomgevingen, logging, incidentafhandeling, back-up en herstel, verwijdering en het beoordelingsproces van deze maatregelen documenteren. Zij moet geïmplementeerde en geplande maatregelen onderscheiden en de toepasselijke dienstomvang benoemen. Publicatie van deze overeenkomst neemt op zichzelf geen auditcertificering of beveiligingsverklaring op in de overeenkomst.
5. Subverwerkers
OrsunPay mag alleen subverwerkers aanstellen met voorafgaande specifieke of algemene schriftelijke toestemming van de Klant. De definitieve goedgekeurde bijlage identificeert de rechtspersoon, functie en relevante verwerkingslocaties. Het leveranciersregister is aanvullende informatie en bevat websiteleveranciers en regelingen die nog worden beoordeeld; opname alleen is geen klanttoestemming.
Bij algemene toestemming geeft OrsunPay vooraf schriftelijk kennis van voorgenomen toevoegingen of vervangingen en biedt zij de Klant een reële mogelijkheid om op gegevensbeschermingsgronden bezwaar te maken voordat de nieuwe verwerking begint. De ondertekende bijlage moet de aankondigingstermijn, het kanaal en de oplossingsprocedure bepalen. Als een bezwaar niet kan worden opgelost, spreken partijen een rechtmatig alternatief af of beëindigen zij de betrokken dienst volgens hun contract.
OrsunPay legt iedere subverwerker contractueel de toepasselijke gegevensbeschermingsverplichtingen op en blijft overeenkomstig de wet verantwoordelijk voor de nakoming daarvan door de subverwerker.
6. Bijstand en inbreuken in verband met persoonsgegevens
Rekening houdend met de verwerking en beschikbare informatie ondersteunt OrsunPay de Klant bij verzoeken over individuele rechten, beveiligingsverplichtingen, effectbeoordelingen en overleg met bevoegde autoriteiten. Ontvangt zij een verzoek over gegevens van de Klant, dan stelt zij de Klant op de hoogte en reageert zij niet inhoudelijk, behalve op instructie of wanneer wettelijk verplicht.
OrsunPay meldt de Klant zonder onredelijke vertraging wanneer zij kennis krijgt van een inbreuk in verband met de gedekte persoonsgegevens. Beschikbare informatie beschrijft het incident, de betrokken gegevens en personen, waarschijnlijke gevolgen, beperkende maatregelen en een contact voor opvolging. Informatie kan in fasen worden verstrekt naarmate het onderzoek vordert. OrsunPay werkt mee aan de reactie van de Klant; de Klant blijft verantwoordelijk voor de meldingen die wettelijk op hem rusten.
7. Internationale doorgiften
Voordat verwerking een beperkte doorgifte omvat, moeten partijen de exporteur, importeur, bestemmingen en het passende doorgiftemechanisme vaststellen. Waar relevant omvat dit een toepasselijk adequaatheidsbesluit of ingevulde standaardcontractbepalingen met de juiste module, bijlagen en aanvullende maatregelen. Britse of Zwitserse vereisten moeten waar van toepassing worden behandeld.
Een link naar de verwerkersovereenkomst van een leverancier maakt de doorgiftedocumentatie van de Klant op zichzelf niet volledig. De ondertekende bijlage moet de werkelijke regelingen bevatten, waaronder toegang op afstand en verdere doorgiften.
8. Teruggave, verwijdering en bewaring
Na afloop van de verwerking geeft OrsunPay, naar keuze van de Klant, de gedekte persoonsgegevens terug of verwijdert zij deze en verwijdert zij resterende kopieën, tenzij toepasselijk recht bewaring vereist. Partijen moeten exportformaat, aanvraagprocedure, voltooiingstermijn en verval van back-ups in de verwerkingsbijlage afspreken.
Als bewaring wettelijk verplicht is, benoemt OrsunPay die verplichting waar toegestaan, beperkt zij de bewaarde gegevens tot dat doel en verwijdert zij deze zodra de verplichting eindigt. Back-upkopieën die op geplande vervaldatum wachten, moeten beschermd en voor regulier gebruik ontoegankelijk blijven. OrsunPay verstrekt op verzoek een bevestiging van voltooiing.
9. Informatie en audits
OrsunPay stelt de informatie beschikbaar die nodig is om naleving van haar verwerkersverplichtingen aan te tonen en staat audits toe en werkt eraan mee, waaronder inspecties door de Klant of diens gemachtigde auditor. Partijen stemmen redelijke aankondiging, vertrouwelijkheid en maatregelen ter bescherming van informatie van andere klanten af. Praktische afspraken mogen een wettelijk of door een bevoegde autoriteit vereiste audit niet verhinderen.
10. De overeenkomst voltooien
Vóór ondertekening moeten partijen de dienstspecifieke gegevenscategorieën, verwerkingslocaties, goedgekeurde subverwerkers, doorgiftedocumenten, beveiligingsmaatregelen, bewaar- en teruggaveregelingen, meldingscontacten en procedure voor leverancierswijzigingen invullen. Bepalingen over aansprakelijkheid en toepasselijk recht volgen de ondertekende dienstverleningsovereenkomst voor zover rechtmatig; niets hierin neemt wettelijke rechten van een persoon weg. Vragen over het contract en de verwerkersovereenkomst kunnen worden ingediend via Contact.