Verwerkersovereenkomst

Partijen en rollen

Deze verwerkersovereenkomst geldt tussen twee partijen. De klant die Sanctiescan gebruikt, is de verwerkingsverantwoordelijke: jij bepaalt waarom en hoe je persoonsgegevens laat verwerken. Sanctiescan is de verwerker: wij verwerken die persoonsgegevens uitsluitend in jouw opdracht en ten behoeve van de dienst.

Deze overeenkomst hoort bij de gebruiksovereenkomst of het abonnement van Sanctiescan en vult die aan op het punt van de gegevensverwerking. Bij tegenstrijdigheid op het gebied van privacy gaat deze verwerkersovereenkomst voor.

Onderwerp en duur

Het onderwerp van de verwerking is het screenen van zakenpartners (bedrijven en hun uiteindelijk belanghebbenden) tegen sanctielijsten en aanvullende registers, en het vastleggen van die screeningen als bewijs. De verwerking duurt zolang je gebruikmaakt van Sanctiescan. Na beëindiging gelden de afspraken onder Teruggave en verwijdering na beëindiging.

Aard en doel van de verwerking

Wij verwerken persoonsgegevens om de dienst te leveren. Concreet betekent dat:

• Het uitvoeren van een screening tegen negen officiële sanctielijsten (EU, VS, VK, VN, Canada, Zwitserland en Nederland) en aanvullende bronnen.
• Het tonen en, als je dat kiest, vastleggen van de uitkomst met bron en peildatum in jouw dossier.
• Het samenstellen van een rapport en, optioneel, het versturen daarvan per e-mail.
• Het bijhouden van een audit trail, zodat je de uitgevoerde controle later kunt aantonen.

Wij gebruiken de persoonsgegevens niet voor eigen doeleinden en verstrekken ze niet aan derden, anders dan de subverwerkers die hieronder zijn benoemd en alleen voor zover dat nodig is voor de dienst.

Soorten persoonsgegevens en categorieën betrokkenen

De verwerking blijft beperkt tot wat nodig is voor de screening. Het gaat in de regel om:

• Namen van bedrijven en uiteindelijk belanghebbenden die je opgeeft om te screenen, en eventuele kenmerken die je toevoegt om een treffer te kunnen beoordelen, zoals een geboortejaar of land.
• Treffergegevens uit officiële bronnen: van een match bewaren we de kenmerken als bewijs (zoals de bron, de lijstvermelding en de peildatum), niet hele externe databestanden.
• Accountgegevens van de gebruikers binnen jouw organisatie, zoals e-mailadres, om in te loggen en de toegang per organisatie af te schermen.

De categorieën betrokkenen zijn daarmee: de uiteindelijk belanghebbenden en vertegenwoordigers van de gescreende zakenpartners (doorgaans derden), en de gebruikers van jouw organisatie. Je bepaalt zelf welke gegevens je invoert; voer niet meer in dan voor de screening nodig is.

Instructies van de verantwoordelijke

Wij verwerken de persoonsgegevens uitsluitend op basis van jouw instructies. Het gebruik van de dienst zoals die is bedoeld, geldt als jouw instructie. Aanvullende instructies kun je geven via info@sanctiescan.nl. Als wij van mening zijn dat een instructie in strijd is met de AVG of andere privacywetgeving, melden wij dat. Worden wij door een wettelijke verplichting genoodzaakt tot een verwerking buiten je instructies, dan stellen we je daarvan vooraf op de hoogte, tenzij de wet dat verbiedt.

Vertrouwelijkheid

Wij behandelen de persoonsgegevens vertrouwelijk. Personen die namens Sanctiescan toegang hebben tot de gegevens, zijn tot geheimhouding verplicht en krijgen alleen toegang voor zover dat nodig is voor hun werk. Deze geheimhouding blijft gelden na afloop van de samenwerking.

Beveiligingsmaatregelen

Wij nemen passende technische en organisatorische maatregelen, zoals bedoeld in artikel 32 AVG, om de persoonsgegevens te beschermen tegen verlies en onrechtmatige verwerking. Daaronder vallen onder meer versleuteld verkeer (HTTPS/TLS), versleutelde opslag, toegangsscheiding per organisatie op rijniveau en dataminimalisatie. Een uitgebreide beschrijving van wat we doen, staat op de pagina Beveiliging & privacy. We houden er rekening mee dat de stand van de techniek verandert en passen de maatregelen aan waar dat nodig is.

Subverwerkers

Voor het leveren van de dienst schakelen wij een klein aantal zorgvuldig gekozen subverwerkers in. Je persoonsgegevens (account en screeningen) staan in de EU; enkele diensten zijn internationaal, met passende waarborgen. Wij leggen aan elke subverwerker dezelfde beschermingsverplichtingen op als wij tegenover jou hebben, en wij blijven tegenover jou aansprakelijk voor wat een subverwerker doet. Bij een voorgenomen wijziging van subverwerkers informeren wij je, zodat je er bezwaar tegen kunt maken.

Bijstand: betrokkenenrechten en datalekken

Wij helpen je om aan je verplichtingen als verantwoordelijke te voldoen:

• Rechten van betrokkenen. Krijg je een verzoek om inzage, correctie, verwijdering of een ander recht uit de AVG, dan verlenen wij, voor zover redelijkerwijs mogelijk, bijstand om dat verzoek af te handelen. Richt een betrokkene zich rechtstreeks tot ons, dan verwijzen we die in beginsel naar jou.
• Datalekken. Bij een inbreuk in verband met persoonsgegevens informeren wij je zonder onredelijke vertraging nadat we daarvan kennis hebben gekregen, met de informatie die je nodig hebt om je eigen meldplicht richting de toezichthouder en eventueel de betrokkenen te kunnen nakomen.

Teruggave en verwijdering na beëindiging

Na beëindiging van de dienst verwijderen wij de persoonsgegevens die wij namens jou verwerken, of geven we ze aan je terug, naar jouw keuze. Bestaande kopieën worden verwijderd, tenzij wettelijke bewaarplichten ons verplichten gegevens langer te bewaren. Je houdt zelf de mogelijkheid om je gegevens en rapporten te exporteren voordat je de dienst stopzet.

Audits

Op redelijk verzoek stellen wij de informatie beschikbaar die nodig is om aan te tonen dat we de verplichtingen uit deze verwerkersovereenkomst nakomen, en maken we audits mogelijk. We maken daarover vooraf praktische afspraken over tijdstip, omvang en kosten, zodat de continuïteit en de veiligheid van de dienst en van andere klanten gewaarborgd blijven.

Doorgifte buiten de EU met passende waarborgen

Je account en je screeningen worden opgeslagen in de EU (Frankfurt). Voor enkele onderdelen, zoals de hosting van de applicatie en optionele e-mailverwerking, kunnen internationale diensten worden ingezet. Vindt daarbij doorgifte buiten de Europese Economische Ruimte plaats, dan gebeurt dat alleen met passende waarborgen in de zin van de AVG, zoals de EU-standaardcontractbepalingen of een geldig adequaatheidsbesluit.

Aansprakelijkheid

De aansprakelijkheid van partijen onder deze verwerkersovereenkomst wordt beheerst door de bepalingen en beperkingen uit de onderliggende gebruiksovereenkomst of het abonnement, voor zover de wet dat toelaat. Niets in deze overeenkomst beperkt de rechten die betrokkenen op grond van de AVG hebben.

Contact

Vragen over deze verwerkersovereenkomst, een verzoek om de ondertekende versie, of een instructie als verantwoordelijke? Neem contact op via info@sanctiescan.nl. Een ondertekende versie van deze verwerkersovereenkomst is op aanvraag beschikbaar.

Meer over hoe we met je gegevens omgaan, lees je op Beveiliging & privacy. Wil je weten welke officiële bronnen we raadplegen, bekijk dan de bronnen.