MuchBetter Zakelijk
ADDENDUM GEGEVENSBESCHERMING

1. Definities

Alle met een hoofdletter geschreven begrippen die niet in deze Gegevensbeschermingsaddendum (“DPA”) worden gedefinieerd, hebben de betekenis die daaraan in de Overeenkomst is toegekend.

1. aangesloten Betekent elke persoon of entiteit die direct of indirect zeggenschap heeft over, gecontroleerd wordt door, of onder gezamenlijke zeggenschap staat met een Partij. In deze definitie betekent "zeggenschap" (inclusief, met correlatieve betekenissen, de termen "zeggenschap", "gecontroleerd door" en "onder gezamenlijke zeggenschap met") de bevoegdheid om de zaken van de betreffende persoon of entiteit te beheren of te leiden, hetzij door middel van eigendom van stemgerechtigde effecten, contractueel of anderszins.
2. Overeenkomst betekent de MuchBetter Zakelijke Rekeningdienstenovereenkomst tussen MIR en Rekeninghouder die betrekking heeft op toegang tot of anderszins Verwerking van Persoonsgegevens;
3. Goedgekeurde jurisdictie betekent een lidstaat van de EER of een ander rechtsgebied dat door de Europese Commissie of door de Britse adequaatheidsregelgeving die is uitgevaardigd krachtens artikel 17A van de Data Protection Act 2018 of paragrafen 4 en 5 van bijlage 21 van de Data Protection Act 2018, indien van toepassing, is goedgekeurd als zijnde voorzien van adequate wettelijke bescherming voor gegevens;
4. Inbreukincident een inbreuk op de beveiliging die leidt tot de onbedoelde of onrechtmatige vernietiging, het verlies, de wijziging of de ongeoorloofde openbaarmaking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens;
5. Wetten inzake gegevensbescherming betekent alle toepasselijke binnenlandse en buitenlandse wetten, regels, richtlijnen en voorschriften met betrekking tot gegevensprivacy, gegevensbeveiliging en/of de bescherming van persoonsgegevens, met inbegrip van de Richtlijn privacy en elektronische communicatie 2002/58/EG (en de respectieve lokale uitvoeringswetten) betreffende de verwerking van persoonsgegevens en de bescherming van de privacy in de sector elektronische communicatie (Richtlijn betreffende privacy en elektronische communicatie), met inbegrip van alle wijzigingen of vervangingen daarvan, met inbegrip van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 ("AVG") en met inbegrip van de Data Protection Act 2018 en de AVG zoals deze deel uitmaken van het recht van Engeland en Wales, Schotland en Noord-Ierland krachtens artikel 3 van de European Union (Withdrawal) Act 2018 ("VK AVG").
6. EER betekent de landen die lid zijn van de Europese Economische Ruimte.
7. MIR betekent MIR Limited UK Ltd, aanbieder van MuchBetter Business Account Services
8. Persoonsgegevens of "Persoonsgegevens" betekent alle informatie over, of gerelateerd aan, een identificeerbare persoon. Het omvat alle informatie die aan een persoon kan worden gekoppeld of die kan worden gebruikt om een natuurlijke persoon direct of indirect te identificeren. Persoonsgegevens worden beschouwd als Vertrouwelijke Informatie, ongeacht de bron.
9. Proces betekent elke bewerking of elk geheel van bewerkingen met betrekking tot Persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, opslaan, bijwerken of wijzigen, raadplegen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen. “Verwerken” of “Verwerking” wordt dienovereenkomstig uitgelegd.
10. Standaard contractbepalingen of “SCC’s” de toepasselijke module van de standaard contractuele clausules voor de doorgifte van persoonsgegevens naar derde landen overeenkomstig Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 4 juni 2021, zoals van tijd tot tijd gewijzigd, vervangen of vervangen.
11. VK-addendum betekent het Internationale Gegevensoverdracht Addendum bij de Standaard Contractbepalingen, dat op 21 maart 2022 in werking is getreden.

2. Toepassing van deze DPA

1. Deze Gegevensverwerkingsovereenkomst (DPA) is alleen van toepassing als aan alle volgende voorwaarden is voldaan:
   
   1. Elke Partij verwerkt Persoonsgegevens die door de andere Partij ter beschikking worden gesteld in verband met de Overeenkomst;
   2. Op de verwerking van Persoonsgegevens zijn de Wet Bescherming Persoonsgegevens van toepassing.
2. Deze DPA is uitsluitend van toepassing op de diensten die de Partijen zijn overeengekomen in de Overeenkomst en waarin de DPA bij verwijzing is opgenomen.

3. Gegevensbescherming en privacy

1. Voor zover een Partij toegang heeft tot of op andere wijze Persoonsgegevens verwerkt die beschikbaar zijn gesteld aan de andere Partij, zal deze Partij:
   
   1. Is een onafhankelijke verwerkingsverantwoordelijke voor de persoonsgegevens en bepaalt de doeleinden en middelen voor de verwerking in overeenstemming met de Overeenkomst en de wetgeving inzake gegevensbescherming.
   2. Verwerk de Persoonsgegevens uitsluitend in overeenstemming met de vereisten van de Wet bescherming persoonsgegevens en houd, zoals vereist door de Wet bescherming persoonsgegevens, nauwkeurige schriftelijke registraties bij van alle verwerkingsactiviteiten van Persoonsgegevens die worden uitgevoerd onder de Overeenkomst.
   3. Onverminderd het voorgaande is de Partij verantwoordelijk voor het verstrekken van alle informatie die de Gegevensbeschermingswetten vereisen aan de betrokkene en voor het toestaan dat de betrokkene zijn rechten uitoefent op grond van de Gegevensbeschermingswetten. Daarnaast zal de Partij de andere Partij redelijke medewerking en bijstand verlenen om aan het voorgaande en aan alle wettelijke of reglementaire verplichtingen te voldoen.
   4. Commercieel redelijke en passende fysieke, technische en organisatorische beveiligingsmaatregelen implementeren en onderhouden om Persoonsgegevens te beschermen tegen onopzettelijke of onrechtmatige vernietiging; onopzettelijk verlies, wijziging, ongeoorloofde openbaarmaking of toegang tot doorgezonden, opgeslagen of anderszins verwerkte persoonsgegevens en alle andere onrechtmatige vormen van Verwerking;
   5. Voldoen aan eventuele verplichtingen tot het melden van inbreuken op de gegevensbescherming aan de toezichthoudende autoriteit en aan communicatieverplichtingen aan betrokkenen, zoals vereist op grond van de wetgeving inzake gegevensbescherming;
   6. De andere Partij zonder onnodige vertraging en uiterlijk vierentwintig (24) uur nadat zij op de hoogte is geraakt van een inbreukincident op de hoogte stellen.
2. De Partij die in eerste instantie de Persoonsgegevens van een betrokkene verkrijgt, is verantwoordelijk voor het verkrijgen van de toestemmingen die mogelijk van de betrokkene vereist zijn (in elk geval voor zover nodig om te voldoen aan de Wetgeving inzake Gegevensbescherming) en voor het verstrekken van informatie aan de betrokkene voorafgaand aan het verzamelen van de Persoonsgegevens (bijv. "Privacyverklaring" of "Privacybeleid"), voor zover nodig om te voldoen aan de Wetgeving inzake Gegevensbescherming. Het voorgaande doet geen afbreuk aan de verantwoordelijkheden van de andere Partij onder de Wetgeving inzake Gegevensbescherming (zoals de verplichting om informatie aan de betrokkene te verstrekken wanneer de Persoonsgegevens in verband met de verwerking van Persoonsgegevens worden verwerkt).
3. Elke Partij mag onderaannemers, met inbegrip van Gelieerde Ondernemingen, aanstellen om Persoonsgegevens namens haar te verwerken ("Subverwerkers") met het oog op de nakoming van haar verplichtingen en diensten op grond van de Overeenkomst, op voorwaarde dat: (i) de aanstelling onderworpen is aan een schriftelijke overeenkomst met de aangestelde Subverwerker waarin, indien van toepassing, voorwaarden zijn opgenomen die een gelijkwaardige bescherming van Persoonsgegevens bieden als voorzien in deze Gegevensbeschermingsaddendum; en (ii) elke Partij aansprakelijk is voor de handelingen of omissies van haar eigen Subverwerkers in dezelfde mate als zij aansprakelijk is voor haar eigen handelingen of omissies op grond van deze Gegevensbeschermingsaddendum, de Overeenkomst en de Wetgeving inzake gegevensbescherming.

4. De overdracht van persoonsgegevens

De Partijen mogen geen Persoonsgegevens verwerken of overdragen naar een gebied buiten een Goedgekeurde Jurisdictie;

1. Indien een Partij Persoonsgegevens wenst te verwerken in of Persoonsgegevens wenst over te dragen aan een ander rechtsgebied dan een Goedgekeurd rechtsgebied, wordt deze geacht de SCC's te zijn aangegaan, waar van toepassing samen met het Britse Addendum. In dat geval: (i) worden het Britse Addendum en de SCC's hierbij door middel van verwijzing opgenomen; en (ii) wordt de Partij die de Persoonsgegevens openbaar maakt, beschouwd als de Exporteur en wordt de Partij die de Persoonsgegevens ontvangt, beschouwd als de Importeur (zoals deze termen daarin zijn gedefinieerd).

5. Algemeen

1. Indien enige van de wetten inzake gegevensbescherming worden vervangen door nieuwe of gewijzigde wetten inzake gegevensbescherming (met inbegrip van beslissingen of interpretaties door een bevoegde rechtbank of overheidsinstantie met betrekking daartoe), worden de nieuwe of gewijzigde wetten inzake gegevensbescherming geacht te zijn opgenomen in dit Addendum inzake gegevensbescherming en zullen beide Partijen onmiddellijk beginnen met de naleving van dergelijke wetten inzake gegevensbescherming.
2. Indien er sprake is van een conflict of inconsistentie tussen de bepalingen van deze Gegevensverwerkingsovereenkomst en de Standaardcontractbepalingen of het Britse Addendum (indien van toepassing), zijn de bepalingen van de Standaardcontractbepalingen of het Britse Addendum (indien van toepassing) van toepassing.

Bijlage I van de SCC's

1. Bijlage 1 maakt deel uit van de Gegevensverwerkingsovereenkomst en beschrijft de overeengekomen interpretatie van de Partijen van hun respectieve verplichtingen onder het Britse Addendum en/of de Standaardcontractbepalingen.
2. Partijen komen overeen dat voor de overdracht van Persoonsgegevens tussen MIR en Rekeninghouder het volgende van toepassing is:
   
   1. Artikel 7 van de SCC's is niet van toepassing
   2. De toezichthoudende autoriteit is het Information Commissioner's Office van het Verenigd Koninkrijk waar het Britse Addendum is opgenomen of de Ierse Data Protection Commissioner wanneer alleen de SCC's zijn opgenomen.
   3. Wanneer het Britse Addendum van toepassing is, is het recht van Engeland en Wales van toepassing. Wanneer dat niet het geval is, is het recht van Ierland van toepassing.
   4. De Partijen kiezen voor de Engelse rechtbanken als hun keuze van forum en jurisdictie wanneer het Britse Addendum van toepassing is, en voor Ierland wanneer dat niet het geval is.
   5. In Tabel 4 van het Britse Addendum staat dat elke partij de overeenkomst kan beëindigen in overeenstemming met sectie 19 van het Britse Addendum.

Identificatie van partijen

“Gegevensexporteur”: de verzender van Persoonsgegevens;

“Gegevens-importeur”: de ontvanger van Persoonsgegevens

Beschrijving van de overdracht

Gegevensbetrokkenen

De verwerkte Persoonsgegevens hebben betrekking op de volgende categorieën van Betrokkenen (specificeer):

• ☐ Medewerkers van MIR
• ☐ Klanten van MIR
• ☐ Eindgebruikers van de accounthouder
• ☐ Werknemers van de rekeninghouder
• ☐ Klanten van de rekeninghouder
• ☐ Anders: ________

Categorieën van Persoonsgegevens

De overgedragen Persoonsgegevens betreffen de volgende categorieën van gegevens (specificeer):

• ☐ Contactgegevens (naam, leeftijd, geslacht, adres, telefoonnummer, e-mailadres etc.)
• ☐ Financiële en betalingsgegevens (bijv. creditcardnummer, bankrekening, transacties)
• ☐ Overheids-ID's (paspoort, rijbewijs)
• ☐ Apparaatidentificatiegegevens en internet- of elektronische netwerkactiviteit (IP-adressen, GAID/IDFA, browsegeschiedenis, tijdstempels)
• ☐ Geolocatie-informatie
• ☐ Biometrische gegevens
• ☐ Anders: ________

Bijzondere categorieën gegevens (indien van toepassing)

De doorgegeven Persoonsgegevens betreffen de volgende bijzondere categorieën van gegevens (specificeer):

• ☐ Geen
• ☐ Genetische of biometrische gegevens
• ☐ Gezondheidsgegevens
• ☐ Ras of etnische afkomst
• ☐ Politieke opvattingen, religieuze of filosofische overtuigingen
• ☐ Anders: ________

De frequentie van de overdracht:

• ☐ Eenmalig
• ☐ Doorlopend
• ☐ Anders: ________

Aard van de verwerking

• ☐ Collectie
• ☐ Opname
• ☐ Organisatie of structurering
• ☐ Opslag
• ☐ Aanpassing of wijziging
• ☐ Ophalen
• ☐ Consultatie
• ☐ Openbaarmaking, verspreiding of op andere wijze beschikbaar stellen
• ☐ Analyse
• ☐ Uitwissen of vernietigen
• ☐ Anders: ________
•  

Doel van de overdracht en verdere verwerking

• ☐ Om MBB Account Services te leveren, beheren en exploiteren
• ☐ Anders: ________

Bewaartermijn

Persoonsgegevens worden bewaard gedurende de looptijd van de Overeenkomst of in overeenstemming met de Toepasselijke Wetgeving.

Bijlage II van de SCC's – Technische en organisatorische maatregelen, inclusief technische en organisatorische maatregelen om de beveiliging van de gegevens te waarborgen

Deze bijlage maakt deel uit van de Gegevensverwerkingsovereenkomst en beschrijft de technische en organisatorische beveiligingsmaatregelen die de gegevensimporteur heeft getroffen.

Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsmede met de aard, de omvang, de context en de doeleinden van de verwerking en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, treft de Gegevensimporteur passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, waaronder onder meer, indien van toepassing:

• het pseudonimiseren en versleutelen van persoonsgegevens;
• het vermogen om de voortdurende vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van verwerkingssystemen en -diensten te garanderen;
• het vermogen om de beschikbaarheid en toegang tot persoonsgegevens tijdig te herstellen in geval van een fysiek of technisch incident;
• een proces voor het regelmatig testen, beoordelen en evalueren van de doeltreffendheid van technische en organisatorische maatregelen om de beveiliging van de verwerking te waarborgen; en
• onderhoud van informatiebeveiligings- en gegevensprivacybeleid