Verwerkersovereenkomst AWB Leads

1. Partijen en toepasselijkheid

Opdrachtgever is verwerkingsverantwoordelijke voor persoonsgegevens die via zijn website in AWB Leads terechtkomen. AWB Global, handelend onder de naam Welday en voor het product AWB Leads, is verwerker. Deze overeenkomst geldt zodra opdrachtgever AWB Leads activeert en vormt onderdeel van de hoofdovereenkomst.

2. Onderwerp, duur en instructies

Welday verwerkt IP-adressen, bezoekevents en afgeleide bedrijfsinformatie om B2B-websitebezoeken namens opdrachtgever te registreren, te verrijken, te tonen en te exporteren. De verwerking duurt zolang de dienstverlening en de overeengekomen bewaartermijn lopen.

Welday verwerkt alleen op gedocumenteerde instructie van opdrachtgever, waaronder de configuratie en het normale gebruik van AWB Leads, tenzij een wettelijke verplichting anders vereist.

3. Betrokkenen en gegevens

• Betrokkenen: bezoekers van de website(s) van opdrachtgever.
• Gegevens: IP-adres, bezochte URL, tijdstip, verwijzende URL, UTM-bron en afgeleide netwerk- of bedrijfsinformatie.
• Er worden niet bewust bijzondere persoonsgegevens verwerkt. Opdrachtgever gebruikt AWB Leads niet voor bijzondere categorieën of strafrechtelijke gegevens.

4. Verplichtingen van Welday

• Vertrouwelijkheid waarborgen en toegang beperken tot bevoegde personen.
• Passende technische en organisatorische beveiligingsmaatregelen onderhouden.
• Opdrachtgever redelijkerwijs helpen met verzoeken van betrokkenen, DPIA’s en toezichthouders.
• Een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging aan opdrachtgever melden.
• Na afloop gegevens verwijderen of op verzoek teruggeven, behoudens wettelijke bewaarplichten.
• Informatie verstrekken die redelijkerwijs nodig is om naleving van artikel 28 AVG aan te tonen.

5. Verplichtingen van opdrachtgever

Opdrachtgever waarborgt een geldige grondslag, verstrekt de verplichte informatie aan bezoekers, configureert eventuele toestemming correct en behandelt verzoeken van betrokkenen. Opdrachtgever plaatst het script alleen op websites waarvoor hij bevoegd is en instrueert Welday niet tot onrechtmatige verwerking.

6. Subverwerkers

Opdrachtgever geeft algemene toestemming voor deze categorieën subverwerkers. Welday blijft verantwoordelijk voor passende contractuele waarborgen en informeert over materiële wijzigingen, zodat opdrachtgever gemotiveerd bezwaar kan maken. Stripe verwerkt betalingsgegevens voor eigen en overeengekomen doeleinden en ontvangt geen websitebezoekevents.

• Supabase voor database, authenticatie en opslag.
• Vercel voor hosting en serverless uitvoering.
• Upstash voor rate limiting en tijdelijke cache.
• Snitcher, IPinfo en ipapi.is voor enrichment indien geconfigureerd.
• Resend of Supabase Auth SMTP voor transactionele e-mail.

7. Doorgifte buiten de EER

Waar een leverancier gegevens buiten de EER verwerkt, gebruikt Welday een geldig doorgiftemechanisme, zoals een adequaatheidsbesluit of Standard Contractual Clauses, en waar nodig aanvullende technische en organisatorische maatregelen.

8. Beveiliging en audits

Een audit vindt in beginsel maximaal eenmaal per jaar plaats, na redelijke aankondiging en zonder de veiligheid of vertrouwelijkheid van andere klanten te schaden. Redelijke externe kosten zijn voor opdrachtgever, tenzij de audit een wezenlijke tekortkoming van Welday aantoont.

• TLS tijdens transport en beveiligde opslag en wachtwoordverwerking.
• Tenant-isolatie, minimale toegangsrechten en gescheiden service-accounts.
• Rate limiting, logging, updates en procedures voor incidentafhandeling.
• Back-up- en herstelvoorzieningen van de gebruikte infrastructuurleveranciers.

9. Aansprakelijkheid en recht

De aansprakelijkheidsbepalingen uit de hoofdovereenkomst zijn van toepassing. Nederlands recht geldt. Partijen proberen geschillen eerst onderling op te lossen; daarna is de bevoegde rechter in het arrondissement Oost-Brabant bevoegd, tenzij dwingend recht anders bepaalt.