1. Partijen en onderwerp
Jij bent de verwerkingsverantwoordelijke. Zustack (KvK 67721540) is de verwerker. We verwerken persoonsgegevens namens jou, alleen om de diensten uit onze algemene voorwaarden te leveren. Begrippen als "persoonsgegevens", "verwerking" en "datalek" hebben de betekenis die ze in de Algemene verordening gegevensbescherming (AVG) hebben.
2. Wat we verwerken
| Aard van de verwerking | Opslaan, hosten, back-uppen, versturen en terugzetten van gegevens, en ze beschikbaar maken voor jou en je gebruikers. |
|---|---|
| Doel | Het leveren van hosting- en domeindiensten aan jou. |
| Soorten gegevens | Alles wat jij en je gebruikers op onze diensten zetten, zoals namen, e-mailadressen, contactgegevens, accountgegevens, bestelgegevens en berichten. We vragen niet om bijzondere persoonsgegevens; je meldt het ons voordat je die opslaat. |
| Betrokkenen | Je klanten, bezoekers, medewerkers en andere contacten. |
| Duur | Zolang de overeenkomst loopt, plus de periode uit artikel 11. |
3. Jouw instructies
We verwerken persoonsgegevens alleen op jouw schriftelijke instructies: deze overeenkomst, de overeenkomst voor de diensten en de verzoeken die je ons stuurt. Denken we dat een instructie in strijd is met de wet, dan laten we je dat weten. We gebruiken de gegevens niet voor eigen doeleinden.
4. Geheimhouding
Iedereen die voor ons werkt en toegang heeft tot de gegevens, heeft een geheimhoudingsplicht. Toegang is beperkt tot wat het werk vraagt.
5. Beveiliging
We nemen technische en organisatorische maatregelen die passen bij het risico, rekening houdend met de stand van de techniek en de kosten. Daaronder vallen versleutelde verbindingen, toegangsbeheer, scheiding tussen klanten, tijdige beveiligingsupdates, monitoring en regelmatige backups. We evalueren ze van tijd tot tijd; een samenvatting krijg je op verzoek. Jij bent verantwoordelijk voor de beveiliging van de applicaties en wachtwoorden die jij beheert.
6. Subverwerkers
Je geeft ons algemene toestemming om subverwerkers in te schakelen, zoals leveranciers van datacenters, backupopslag, e-maildiensten en domeinregistratie. Zij verwerken gegevens binnen de Europese Economische Ruimte; onze servers staan in Duitsland. Een actueel overzicht van onze subverwerkers krijg je op verzoek.
We leggen elke subverwerker dezelfde verplichtingen op als die in deze overeenkomst. We laten het je minstens 30 dagen van tevoren weten als we er een toevoegen of vervangen. Binnen die termijn kun je op redelijke gronden bezwaar maken. Komen we er niet uit, dan kun je de betreffende dienst opzeggen.
7. Verzoeken van betrokkenen
Vraagt iemand ons om zijn gegevens in te zien, te corrigeren of te verwijderen, of gebruikt iemand een ander recht onder de AVG, dan sturen we het verzoek naar jou door en beantwoorden we het niet zelf, tenzij je ons dat vraagt. We helpen je zulke verzoeken te beantwoorden, voor zover we kunnen en tegen een redelijke vergoeding als het veel werk is.
8. Datalekken
Ontdekken we een datalek dat jouw gegevens raakt, dan laten we het je zonder onnodige vertraging weten, en in elk geval binnen 48 uur. We vertellen wat er is gebeurd, om welke gegevens het gaat, wat de waarschijnlijke gevolgen zijn en wat we hebben gedaan. Jij beslist of je het meldt aan de Autoriteit Persoonsgegevens en aan de betrokkenen, en wij helpen daarbij.
9. Audits
We geven je de informatie die je nodig hebt om te controleren dat we ons aan deze overeenkomst houden. Eén keer per jaar mag je een audit uitvoeren, of laten uitvoeren door een onafhankelijke deskundige met een geheimhoudingsplicht. Je kondigt die minstens 30 dagen van tevoren aan, en de audit mag andere klanten niet hinderen. Jij betaalt de audit en de tijd die wij eraan besteden.
10. Doorgifte buiten de EER
We verwerken persoonsgegevens binnen de Europese Economische Ruimte. We geven gegevens alleen daarbuiten door als jij ons dat opdraagt of als de wet het vereist, en dan alleen met een geldige grondslag, zoals een adequaatheidsbesluit of standaardcontractbepalingen.
11. Teruggave en verwijdering
Als de diensten eindigen, geven we je op verzoek je gegevens, tot 30 dagen daarna. Daarna verwijderen we ze uit onze systemen. Kopieën in backups verdwijnen wanneer de backups worden vervangen, binnen 60 dagen. We bewaren alleen gegevens als de wet dat vereist.
12. Looptijd en aansprakelijkheid
Deze overeenkomst gaat in met de diensten en eindigt wanneer we stoppen met het verwerken van je gegevens. De beperkingen van aansprakelijkheid uit onze algemene voorwaarden gelden ook voor deze overeenkomst. Nederlands recht is van toepassing.