Verwerkersovereenkomst (DPA)

overeenkomstig art. 28 AVG · Stand: september 2026 · Versie 1.2

Considerans

Deze verwerkersovereenkomst regelt de rechten en verplichtingen van de partijen in verband met de verwerking van persoonsgegevens door de Opdrachtnemer namens de Opdrachtgever overeenkomstig art. 28 AVG.

Deze overeenkomst geldt voor alle activiteiten waarbij de opdrachtnemer, zijn medewerkers of ingeschakelde subverwerkers persoonsgegevens in opdracht van de opdrachtgever verwerken. De gebruikte begrippen worden verstaan overeenkomstig hun definitie in art. 4 AVG. Deze verwerkersovereenkomst maakt deel uit van de hoofdovereenkomst (gebruiksvoorwaarden); bij tegenstrijdigheden met betrekking tot de verwerking van persoonsgegevens hebben de bepalingen van deze overeenkomst voorrang.

§ 1 Partijen bij de overeenkomst

1.1 Opdrachtgever

De Opdrachtgever is de bij Pixalo geregistreerde Tenant (fotograaf / onderneming) die het platform gebruikt om persoonsgegevens te verwerken.

De gegevensbeschermingsrechtelijke rol van de Opdrachtgever wordt bepaald overeenkomstig punt 1.3.

1.2 Opdrachtnemer (verwerker)

De Opdrachtnemer is de verwerker in de zin van art. 4 punt 8 AVG.

1.3 Rollen van de partijen

Voor zover de Opdrachtgever beslist over de doeleinden en middelen van de verwerking (bijv. bij het verzamelen via toestemmingsformulieren, QR-kaarten of bestellingen in de webshop), is hij verwerkingsverantwoordelijke in de zin van art. 4 nr. 7 AVG en treedt de Opdrachtnemer op als zijn verwerker.

Treedt de opdrachtgever zelf op als verwerker voor een derde (bijv. op basis van een verwerkersovereenkomst met een school of kinderdagverblijf), dan wordt de opdrachtnemer ingezet als verdere verwerker in de zin van art. 28 lid 4 AVG.

Voor dat geval garandeert de opdrachtgever dat hij over de vereiste toestemming van zijn verwerkingsverantwoordelijke beschikt voor de inzet van de opdrachtnemer en van de in bijlage 2 genoemde subverwerkers (inclusief eventuele derdelandaspecten) en dat hij bevoegd is om de instructies van zijn verwerkingsverantwoordelijke aan de opdrachtnemer door te geven.

§ 2 Voorwerp en duur van de overeenkomst

2.1 Voorwerp

Het voorwerp van deze overeenkomst is de verwerking van persoonsgegevens door de Opdrachtnemer in het kader van de terbeschikkingstelling van het SaaS-platform Pixalo.

Pixalo is een technisch platform voor het exploiteren van digitale webshops voor fotografen. Pixalo is geen marktplaats en geen betalingsdienstaanbieder en treedt niet op als contractspartij tussen de Opdrachtgever en diens eindklanten.

De verwerking van contract-, account-, facturerings-, betalings-, beveiligings- en communicatiegegevens van de Opdrachtgever voor eigen doeleinden van de Opdrachtnemer (bijv. registratie en accountbeheer, abonnementsfacturering, eigen boekhouding, fraude- en misbruikpreventie, contractcommunicatie) vindt plaats onder eigen gegevensbeschermingsrechtelijke verantwoordelijkheid van de Opdrachtnemer en valt niet onder deze verwerkersovereenkomst. Details zijn geregeld in de privacyverklaring van Pixalo.

2.2 Duur

Deze overeenkomst geldt voor de duur van de gebruiksrelatie. Zij eindigt automatisch bij beëindiging van de hoofdovereenkomst (gebruiksvoorwaarden).

Wettelijke bewaarplichten blijven door de beëindiging van de overeenkomst onverlet. De verplichtingen tot verwijdering, vertrouwelijkheid en verantwoording blijven ook na het einde van de overeenkomst bestaan.

§ 3 Aard, doel en omvang van de verwerking

3.1 Aard van de verwerking

De verwerking omvat:

• Verzamelen, opslaan, organiseren
• Aanpassen en wijzigen (bijv. verkleinen van beeldbestanden, aanmaken van voorbeeldafbeeldingen en watermerkversies)
• Beschikbaar stellen, doorgeven, loggen
• Beperken, verwijderen, archiveren
• Doorgifte aan door de Opdrachtgever ingeschakelde ontvangers en dienstverleners

3.2 Doel van de verwerking

• exploitatie van het platform en de webshops van fotografen
• terbeschikkingstelling van voorbeeldafbeeldingen en downloads
• verwerking van bestellingen
• waarborging van beveiliging en stabiliteit en voorkoming van misbruik

3.3 Categorieën betrokkenen

• Gefotografeerde en te fotograferen personen (inclusief minderjarigen)
• Eindklanten van de opdrachtgever (bijv. ouders, wettelijke vertegenwoordigers, bestellers in de webshop)
• Contactpersonen van de instellingen (bijv. leerkrachten, pedagogisch medewerkers)
• Personen die afspraken of boekingen maken
• Medewerkers en gemachtigden van de opdrachtgever

3.4 Categorieën persoonsgegevens

• namen en contactgegevens
• toewijzingsgegevens (bijv. klassen, groepen en toegangscodes)
• bestel- en transactiegegevens
• beeldgegevens (geüploade originele bestanden, voorbeeldafbeeldingen met watermerk, thumbnails, gekochte beeldbestanden)
• technische metadata (bijv. toegangstijden en IP-adressen)

Een gedetailleerde beschrijving is opgenomen in bijlage 3.

§ 4 Verplichtingen van de Opdrachtgever

Voor zover de Opdrachtgever verwerkingsverantwoordelijke is, is hij verplicht:

• de rechtmatigheid van de gegevensverwerking te waarborgen
• geldige rechtsgronden voor de verwerking te garanderen
• betrokkenen naar behoren te informeren
• de vereiste toestemmingen te verkrijgen (in het bijzonder voor minderjarigen)
• uitsluitend rechtmatige instructies aan de Opdrachtnemer te geven
• de juistheid van de doorgegeven gegevens te waarborgen

De Opdrachtnemer is niet onderworpen aan een algemene plicht tot controle van de door de Opdrachtgever gekozen rechtsgronden, toestemmingen of inhoud. De meldplicht bij een naar het oordeel van de Opdrachtnemer onrechtmatige instructie overeenkomstig § 6 blijft onverlet.

Voor zover de Opdrachtgever zelf als verwerker voor een derde optreedt (punt 1.3), rusten deze verplichtingen in de eerste plaats op die derde als verwerkingsverantwoordelijke. In dat geval is de Opdrachtgever verplicht uitsluitend gedocumenteerde instructies van zijn verwerkingsverantwoordelijke door te geven en te waarborgen dat de inzet van de Opdrachtnemer door zijn verwerkingsverantwoordelijke is goedgekeurd.

§ 5 Verplichtingen van de Opdrachtnemer

De Opdrachtnemer verbindt zich ertoe:

• persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Opdrachtgever te verwerken
• passende technische en organisatorische maatregelen overeenkomstig art. 32 AVG te treffen
• de vertrouwelijkheid van de verwerking te waarborgen
• uitsluitend personen in te zetten die aan een geheimhoudingsplicht zijn gebonden
• de Opdrachtgever te ondersteunen bij de afhandeling van verzoeken inzake rechten van betrokkenen
• de Opdrachtgever te ondersteunen bij het uitvoeren van gegevensbeschermingseffectbeoordelingen
• de Opdrachtgever onverwijld op de hoogte te stellen van inbreuken in verband met persoonsgegevens
• gegevens na beëindiging van de overeenkomst te verwijderen of terug te geven

De Opdrachtnemer treft redelijke maatregelen om de beschikbaarheid van het systeem binnen de contractueel overeengekomen omvang te waarborgen.

Is de opdrachtnemer op grond van het recht van de Europese Unie of van een lidstaat tot een verwerking verplicht, dan informeert hij de opdrachtgever vóór de verwerking over deze wettelijke verplichting, tenzij dat recht een dergelijke mededeling verbiedt.

§ 6 Instructierecht

De Opdrachtnemer verwerkt persoonsgegevens uitsluitend op instructie van de Opdrachtgever. De gebruiksvoorwaarden en deze DPA vormen de gedocumenteerde basisinstructies.

Instructies worden in tekstvorm gericht aan [email protected]. In spoedgevallen kunnen instructies mondeling worden gegeven; de opdrachtgever bevestigt deze onverwijld in tekstvorm. De opdrachtnemer documenteert ontvangen instructies en de uitvoering daarvan.

Is de opdrachtnemer van mening dat een instructie in strijd is met geldend recht, dan wijst hij de opdrachtgever daar onverwijld op. Hij is gerechtigd de uitvoering van de instructie op te schorten totdat deze door de opdrachtgever wordt bevestigd of gewijzigd.

§ 7 Vertrouwelijkheid

De Opdrachtnemer waarborgt dat alle personen die met de verwerking zijn belast, aan geheimhouding zijn gebonden of onder een passende wettelijke geheimhoudingsplicht vallen.

Deze verplichting blijft ook na beëindiging van de overeenkomst bestaan.

§ 8 Technische en organisatorische maatregelen

De Opdrachtnemer treft overeenkomstig art. 32 AVG passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen.

De maatregelen zijn gedocumenteerd in bijlage 1 (TOM's) en vormen een bindend onderdeel van deze overeenkomst.

De Opdrachtnemer is gerechtigd de maatregelen verder te ontwikkelen, voor zover het beschermingsniveau daardoor niet wordt verlaagd. Over wezenlijke wijzigingen van de TOM's informeert de Opdrachtnemer de Opdrachtgever op passende wijze (bijv. per e-mail of in het dashboard).

§ 9 Subverwerkers

9.1 Algemene toestemming

De Opdrachtgever verleent de Opdrachtnemer algemene toestemming om subverwerkers in te schakelen.

De subverwerkers die op het moment van het sluiten van de overeenkomst worden ingeschakeld, staan vermeld in bijlage 2.

9.2 Wijzigingen

De Opdrachtnemer informeert de Opdrachtgever over voorgenomen wijzigingen met betrekking tot de toevoeging of vervanging van subverwerkers.

De opdrachtgever kan binnen 14 dagen na ontvangst van de informatie om zwaarwegende, gegevensbeschermingsgerelateerde redenen in tekstvorm bezwaar maken. Wordt binnen deze termijn geen bezwaar gemaakt, dan geldt de toestemming als verleend. Bij bezwaar zoeken de partijen eerst naar een redelijke oplossing; § 16 blijft onverlet.

De informatie kan per e-mail of via de klantomgeving worden verstrekt.

9.3 Contractuele binding

De opdrachtnemer waarborgt dat subverwerkers contractueel aan ten minste dezelfde gegevensbeschermingsverplichtingen zijn onderworpen als in deze overeenkomst. Persoonsgegevens worden pas doorgegeven nadat de opdrachtnemer zich van de naleving van deze verplichtingen heeft overtuigd.

9.4 Aansprakelijkheid voor subverwerkers

Komt een subverwerker zijn gegevensbeschermingsverplichtingen niet na, dan is de opdrachtnemer jegens de opdrachtgever aansprakelijk voor de nakoming van de verplichtingen van die subverwerker overeenkomstig art. 28 lid 4 AVG.

§ 10 Doorgifte naar derde landen

Persoonsgegevens worden uitsluitend naar derde landen doorgegeven als aan de bijzondere vereisten van art. 44-49 AVG is voldaan.

Dit kan met name worden gewaarborgd door:

• een adequaatheidsbesluit van de Europese Commissie (art. 45 AVG)
• standaardcontractbepalingen (art. 46 lid 2 onder c AVG)
• aanvullende technische en organisatorische beschermingsmaatregelen

De oorspronkelijke opslag van de gegevens (hosting, database, objectopslag, back-ups, e-mailverzending) vindt plaats in de AWS-regio Frankfurt (eu-central-1). Bij de levering via het content delivery network (Amazon CloudFront) en via het netwerk van Cloudflare (DNS, reverse proxy, TLS-terminatie, DDoS-bescherming) kunnen versleutelde content en verbindingsgegevens afhankelijk van de locatie van de gebruiker op wereldwijde locaties worden gecachet of verwerkt; grondslag zijn de certificeringen van AWS en Cloudflare onder het EU-VS Data Privacy Framework en de EU-standaardcontractbepalingen van de betreffende verwerkersovereenkomsten. Door de Opdrachtgever zelf geïntegreerde diensten met een derdelandaspect (bijv. eigen analysediensten) vallen onder de verantwoordelijkheid van de Opdrachtgever.

§ 11 Ondersteuning bij rechten van betrokkenen

De opdrachtnemer ondersteunt de opdrachtgever in redelijke mate bij het vervullen van verzoeken van betrokkenen overeenkomstig art. 15–22 AVG alsmede – rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie – bij de verplichtingen uit art. 30 en art. 32 tot en met 36 AVG.

Verzoeken die rechtstreeks aan de opdrachtnemer worden gericht, worden onverwijld aan de opdrachtgever doorgestuurd. Een inhoudelijke beantwoording aan betrokkenen of derden vindt alleen plaats na voorafgaande toestemming van de opdrachtgever, tenzij een wettelijke plicht tot rechtstreekse beantwoording bestaat.

De Opdrachtnemer kan een redelijke vergoeding verlangen voor ondersteunende diensten die de contractueel overeengekomen omvang overschrijden.

§ 12 Melding van inbreuken in verband met persoonsgegevens

De opdrachtnemer meldt inbreuken in verband met persoonsgegevens onverwijld na kennisneming aan de opdrachtgever. Ook gegronde vermoedens worden gemeld; zijn nog niet alle gegevens beschikbaar, dan kunnen deze stapsgewijs worden aangevuld.

De melding bevat ten minste:

• een beschrijving van de aard van de inbreuk
• de categorieën en het geschatte aantal betrokkenen en gegevensbestanden waarop de inbreuk betrekking heeft
• Waarschijnlijke gevolgen van de inbreuk
• de getroffen of voorgestelde maatregelen om de inbreuk aan te pakken
• tijdstip van vaststelling en vermoedelijke periode van het incident
• contactpersoon voor nadere informatie

De meldplicht aan de toezichthoudende autoriteit op grond van art. 33 AVG blijft bij de opdrachtgever. De opdrachtnemer ondersteunt de opdrachtgever in de vereiste mate bij diens verplichtingen uit art. 33 en 34 AVG.

Eveneens onverwijld worden gemeld: aanzienlijke storingen bij de uitvoering van de opdracht, overtredingen van gegevensbeschermingsbepalingen of van deze overeenkomst door de opdrachtnemer of zijn medewerkers, alsmede controles of maatregelen van toezichthoudende autoriteiten voor zover deze betrekking hebben op de verwerking in opdracht.

§ 13 Controlerechten

De Opdrachtgever heeft het recht de naleving van deze overeenkomst te controleren.

De Opdrachtnemer verstrekt de Opdrachtgever op verzoek alle informatie die nodig is om de naleving aan te tonen. Dit kan met name gebeuren door:

• zelfbeoordelingen en documentatie
• certificeringen en auditrapporten
• het beantwoorden van vragenlijsten

Controles ter plaatse vinden plaats na voorafgaande aankondiging in tekstvorm (ten minste 14 dagen), tijdens gebruikelijke kantooruren, zonder vermijdbare verstoring van de bedrijfsvoering en niet vaker dan eenmaal per twaalf maanden. Bij een concreet gegevensbeschermingsincident of op verzoek van een toezichthoudende autoriteit gelden de beperkingen inzake aankondiging en frequentie niet. Controles beperken zich tot de gegevens van de opdrachtgever en de daarvoor relevante systemen; gegevens van andere opdrachtgevers en bedrijfsgeheimen van de opdrachtnemer blijven beschermd. Het verstrekken van gebruikelijke bewijzen is kosteloos; voor verdergaande ondersteuning kan de opdrachtnemer een redelijke vergoeding verlangen.

§ 14 Verwijdering en teruggave

Bij beëindiging van de overeenkomst handelt de Opdrachtnemer als volgt, naar keuze van de Opdrachtgever:

• verwijdert de opdrachtnemer alle persoonsgegevens, tenzij een bewaarplicht bestaat
• geeft de opdrachtnemer gegevens op verzoek terug in een gangbaar, machineleesbaar formaat
• bewerkstelligt de opdrachtnemer de verwijdering resp. teruggave ook bij ingeschakelde subverwerkers
• geeft de Opdrachtnemer documenten die onder een wettelijke bewaarplicht van de Opdrachtgever vallen (§ 147 AO, § 257 HGB — boekingsstukken en facturen in beginsel acht jaar, bepaalde boeken en jaarrekeningen tien jaar) naar keuze van de Opdrachtgever terug voor eigen bewaring, of slaat deze op grond van een voortdurende gedocumenteerde instructie voor de duur van de wettelijke termijn uitsluitend voor archiveringsdoeleinden geblokkeerd op

Maakt de Opdrachtgever binnen 30 dagen na beëindiging geen keuze, dan worden de gegevens verwijderd. De verwijdering – inclusief de verwijdering bij subverwerkers – wordt op verzoek schriftelijk bevestigd.

In databaseback-ups opgenomen persoonsgegevens worden voor operationeel gebruik geblokkeerd en door de roulerende back-upbewaring (momenteel zeven dagen) automatisch overschreven; voor mediabestanden gelden de in bijlage 1 beschreven opslag- en verwijderingsmechanismen. Herstel uit back-ups vindt uitsluitend plaats voor storingsherstel of de afhandeling van beveiligingsincidenten; eerder gegeven verwijderingsinstructies worden na een herstel opnieuw uitgevoerd. Documentatie die dient als bewijs van behoorlijke verwerking wordt overeenkomstig de geldende termijnen ook na het einde van de overeenkomst bewaard.

§ 15 Aansprakelijkheid

De aansprakelijkheid van de partijen wordt beheerst door de wettelijke bepalingen, in het bijzonder art. 82 AVG.

De Opdrachtnemer is niet aansprakelijk voor schade die voortvloeit uit onjuiste instructies, onrechtmatige inhoud of ontbrekende toestemmingen van de Opdrachtgever. Dit geldt slechts voor zover de schade uitsluitend berust op de verantwoordelijkheidssfeer van de Opdrachtgever en de Opdrachtnemer niet aan het ontstaan van de schade heeft bijgedragen. Dwingende wettelijke aansprakelijkheidsbepalingen, in het bijzonder art. 82 AVG, blijven onverlet.

§ 16 Buitengewone opzegging

De opdrachtgever kan de hoofdovereenkomst en deze verwerkersovereenkomst zonder inachtneming van een termijn opzeggen bij een ernstige schending door de opdrachtnemer van het gegevensbeschermingsrecht of van deze overeenkomst, in het bijzonder bij aanzienlijke niet-nakoming van de overeengekomen technische en organisatorische maatregelen of bij onrechtmatige weigering van controlerechten. Bij geringe schendingen stelt de opdrachtgever eerst een redelijke termijn voor herstel.

De opdrachtnemer is tot buitengewone opzegging gerechtigd wanneer de opdrachtgever bezwaar maakt tegen de inzet van een subverwerker overeenkomstig § 9, geen redelijke oplossing kan worden gevonden en de dienstverlening zonder de betreffende subverwerker niet mogelijk is, of wanneer de opdrachtgever vasthoudt aan een kennelijk onrechtmatige instructie.

§ 17 Slotbepalingen

• Deze verwerkersovereenkomst wordt elektronisch bij registratie gesloten.
• Met de acceptatie geldt zij als rechtsgeldig (art. 28 lid 9 AVG).
• Wijzigingen vereisen tekstvorm.
• Wezenlijke wijzigingen van deze verwerkersovereenkomst stelt de Opdrachtnemer als nieuwe versie ter acceptatie beschikbaar; de acceptatie wordt met tijdstip, versie en account vastgelegd. Voor wijzigingen van subverwerkers geldt § 9, voor wijzigingen van de TOM's § 8.
• Beide partijen behandelen bedrijfsgeheimen en beveiligingsinformatie van de andere partij ook na het einde van de overeenkomst vertrouwelijk; openbaarmakingen ten behoeve van disculpatie op grond van art. 82 lid 3 AVG of aan bevoegde autoriteiten blijven toegestaan.
• Een retentierecht op de in opdracht verwerkte persoonsgegevens en de bijbehorende gegevensdragers is uitgesloten.
• Duits recht is van toepassing.
• Bevoegde rechter is – voor zover toegestaan – de vestigingsplaats van de opdrachtnemer.
• Mochten afzonderlijke bepalingen ongeldig zijn, dan blijft de overeenkomst voor het overige van kracht.

Bijlage 1 – Technische en organisatorische maatregelen (TOM's)

Deze bijlage beschrijft de maatregelen overeenkomstig art. 32 AVG.

1. Fysieke toegangscontrole

Maatregelen om onbevoegde fysieke toegang tot gegevensverwerkingssystemen te voorkomen.

• gebruik van gecertificeerde datacenters met fysieke toegangscontrole
• geen eigen fysieke servers buiten datacenters

2. Systeemtoegangscontrole

Maatregelen om onbevoegd gebruik van systemen te voorkomen.

• sterke authenticatie (wachtwoordrichtlijnen)
• Bescherming tegen geautomatiseerde inlogpogingen door rate limiting en tijdelijke toegangsbeperkingen
• versleutelde overdracht (TLS)
• Multifactorauthenticatie voor administratieve toegang tot de infrastructuur
• Persoonsgebonden beheerdersaccounts

3. Gebruiks- en autorisatiecontrole

Maatregelen om het gebruik tot bevoegde personen te beperken.

• rolgebaseerde toegangscontrolesystemen (RBAC)
• het beginsel van minimale bevoegdheden
• regelmatige controle van autorisatierechten

4. Scheidingscontrole

Maatregelen om gegevens van verschillende opdrachtgevers gescheiden te verwerken.

• strikte logische isolatie van Tenants
• toegangscontrole op databaseniveau op basis van de Tenant-ID
• geen inzage in gegevens van andere Tenants
• Scheiding van ontwikkel-, test- en productieomgevingen

5. Doorgiftecontrole

Maatregelen om overdracht en opslag te beveiligen.

• versleutelde gegevensoverdracht (TLS 1.2+)
• ondertekende downloadlinks met vervaldatum
• versleuteling van gegevens in rust (serverzijdige versleuteling van database en objectopslag)
• Persoonsgegevensbestanden worden in beginsel niet als onversleutelde e-mailbijlagen verzonden; het ophalen gebeurt via toegangsbeveiligde, in tijd beperkte links. De overdracht naar e-mailsystemen vindt transportversleuteld (TLS) plaats, voor zover de ontvangende zijde dit ondersteunt.

6. Invoercontrole

Traceerbaarheid van gegevensinvoer en wijzigingen.

• registratie van beveiligingsrelevante handelingen
• archivering van bestelprocessen met onveranderlijke prijs- en bestelsnapshots en doorlopende factuurnummering
• Versiebeheer en reviewprocessen voor broncode
• Centraal beheer van toegangsgegevens en geheimen (geen hardgecodeerde toegangsgegevens)
• controle van webhook-handtekeningen van betaaldienstverleners
• koppeling van betaaldienstverlener-accounts via account-ID's; toegangssleutels van de Opdrachtgever worden niet opgeslagen

7. Beschikbaarheidscontrole

Bescherming tegen verlies en vernietiging.

• Dagelijkse geautomatiseerde databaseback-ups (roulerende bewaring van 7 dagen)
• hoogredundante opslag van mediabestanden in de objectopslag
• redundante infrastructuur
• monitoring en waarschuwingen
• DDoS-bescherming en rate limiting

8. Herstelbaarheid

• vastgelegde herstelprocedures
• geautomatiseerde snapshotcreatie en statusbewaking door de hostingprovider

Bijlage 2 – Subverwerkers

De Opdrachtnemer schakelt de volgende categorieën subverwerkers in:

Amazon Web Services en Cloudflare zijn gecertificeerd onder het EU-VS Data Privacy Framework; aanvullend gelden de EU-standaardcontractbepalingen van de betreffende verwerkersovereenkomsten (AWS GDPR DPA, Cloudflare DPA). Over voorgenomen wijzigingen van deze lijst informeert de Opdrachtnemer overeenkomstig § 9.

Door de Opdrachtgever zelf geïntegreerde diensten (bijv. eigen betaaldienstverlener-accounts zoals Stripe of PayPal, eigen Google Analytics-tracking in de webshop, eigen domein- en DNS-aanbieders) zijn geen subverwerkers van de Opdrachtnemer; in zoverre is de Opdrachtgever zelf verantwoordelijk.

Bijlage 3 – Beschrijving van de verwerkingsactiviteiten

Voorwerp van de verwerking

Technische terbeschikkingstelling van een SaaS-platform voor het exploiteren van digitale webshops voor fotografen, met inbegrip van de opslag, terbeschikkingstelling en levering van foto's en de verwerking van bestellingen.

Duur van de verwerking

• Actieve gegevens: duur van de gebruiksrelatie
• Downloadlinks: geldigheid volgens de instelling van de Opdrachtgever (7 tot 90 dagen vanaf de bestelling, standaard 7 dagen); de instelling geldt als gedocumenteerde instructie. Na afloop wordt de toegang geblokkeerd en worden gegenereerde ZIP-archieven automatisch verwijderd.
• Databaseback-ups: roulerend, momenteel zeven dagen; voor mediabestanden gelden de in bijlage 1 beschreven opslag- en verwijderingsmechanismen
• Fiscaal en handelsrechtelijk relevante factuur- en boekingsgegevens: overeenkomstig de wettelijke bewaartermijn (in beginsel acht resp. tien jaar); overige onderdelen van bestellingen (bijv. beeldbestanden, galerijen, toegangscodes) vallen onder de kortere termijnen van de gebruiksrelatie
• Beveiligingslogboeken: maximaal 90 dagen

Doel van de verwerking

• terbeschikkingstelling van platformfunctionaliteit
• opslag en levering van foto's (inclusief het genereren van voorbeeldafbeeldingen en watermerkversies)
• koppeling van foto's aan personen via toegangscodes en QR-codes
• verwerking en archivering van bestellingen (inclusief facturering in opdracht van de opdrachtgever)
• beheer van afspraken en boekingen, voor zover door de opdrachtgever gebruikt
• verzending van e-mails in opdracht van de opdrachtgever (bijv. galerijtoegangscodes, bestel- en herinneringsmails inclusief afmeldbeheer)
• afhandeling van support- en contactverzoeken
• waarborging van beveiliging, stabiliteit en beschikbaarheid
• doorgifte van de voor betalingsinitiatie en betaalstatusopvraging benodigde bestel- en transactiegegevens aan de door de Opdrachtgever onder eigen verantwoordelijkheid ingeschakelde betaaldienstverleners
• AI-ondersteunde tekstherkenning op door de Opdrachtgever aangeleverde klassenlijsten voor het aanmaken van leerlinggegevens (verwerking binnen de EU, geen gebruik voor modeltraining)

Soorten persoonsgegevens

• Stam- en contactgegevens (namen, e-mailadressen, factuur- en afleveradressen, telefoonnummers indien opgegeven)
• Toewijzingsgegevens (klassen, groepen, toegangscodes, QR-codes, afspraak- en boekingsgegevens)
• Bestel- en transactiegegevens (producten, aantallen, prijzen, betaalstatus en transactie-ID's van de betaaldienstverleners alsmede, indien van toepassing, betaalmethode, kaartmerk, laatste vier cijfers van het betaalmiddel en e-mailadres van de betaler — volledige kaart- of rekeninggegevens worden door de Opdrachtnemer niet verwerkt)
• Beeldgegevens (geüploade originele bestanden, voorbeeldafbeeldingen met watermerk, thumbnails, gekochte beeldbestanden) met technische beeldmetadata
• Toestemmings- en rechtsgrondbewijzen (bijv. gedocumenteerde toestemmingen, afmeldstatus)
• Contract-, verzend- en communicatiebewijzen (bijv. contractacceptaties, verzendlogboeken)
• Technische gegevens (IP-adressen, toegangstijden, user agent, beveiligings- en foutlogboeken)

Categorieën betrokkenen

• Gefotografeerde en te fotograferen personen (inclusief minderjarigen)
• Eindklanten van de opdrachtgever (bijv. ouders, wettelijke vertegenwoordigers, bestellers in de webshop)
• Contactpersonen van de instellingen (bijv. leerkrachten, pedagogisch medewerkers)
• Personen die afspraken of boekingen maken
• Medewerkers en gemachtigden van de opdrachtgever

Treedt de opdrachtgever zelf op als verwerker (punt 1.3), dan gelden de bovenstaande gegevens dienovereenkomstig voor de subverwerkingsrelatie; verwerkingsverantwoordelijke is in dat geval de opdrachtgever van de opdrachtgever.