VerwerkersovereenkomstContrat de sous-traitanceData processing agreementAuftragsverarbeitungsvertrag
Este contrato de encargo del tratamiento no está disponible en español. Debajo tienes la versión inglesa; si las versiones no coinciden, prevalece la neerlandesa: Nederlands.
На русском языке этого договора нет. Ниже английская версия; если версии расходятся, действует нидерландская: Nederlands.
Nederlandse versie (heeft voorrang)
Versie 3, 21 oktober 2026
Deze verwerkersovereenkomst geldt voor elke klant van Briola. Ze bestaat in het Nederlands, Frans, Engels en Duits; bij verschil tussen de versies geldt de Nederlandse tekst. Andere versies: Français, English, Deutsch.
Partijen en opzet
Deze verwerkersovereenkomst wordt gesloten tussen de klant, de onderneming die met ons een overeenkomst sluit voor de dienst Briola, als verwerkingsverantwoordelijke, en Timofej Taraszenko, eenmanszaak (natuurlijk persoon), als verwerker. De gegevens van beide partijen staan in bijlage I. In deze overeenkomst heet de verwerker ook “wij”; Briola is de naam van onze dienst.
De overeenkomst bestaat uit de standaardcontractbepalingen die de Europese Commissie heeft vastgesteld voor de verhouding tussen verwerkingsverantwoordelijken en verwerkers (artikel 28, lid 7, van de AVG), en uit de vier bijlagen, die wij hieronder voor onze dienst hebben ingevuld. De bron staat onderaan deze pagina.
Ze maakt deel uit van de overeenkomst voor de dienst en van onze algemene voorwaarden (artikel 12) en komt samen met die overeenkomst tot stand (artikel 3 van de algemene voorwaarden). Ze geldt zolang die overeenkomst loopt en daarna zolang wij nog persoonsgegevens voor de klant verwerken (bijlage II). Bij tegenstrijdigheid met de algemene voorwaarden of met andere afspraken tussen de partijen gaan deze bepalingen voor (bepaling 4).
De bepalingen zelf wijzigen niet (bepaling 2). Wijzigen wij een bijlage, dan gaat dat zoals bij de algemene voorwaarden: met opgave van de reden, ten minste twee maanden vooraf en met het recht van de klant om de overeenkomst kosteloos te beëindigen (artikel 15). Een nieuwe subverwerker melden wij volgens bijlage IV.
Keuzes en aanvullingen
Bepaling 1, punt a): de bepalingen dienen de naleving van artikel 28, leden 3 en 4, van de AVG. Verordening (EU) 2018/1725, die alleen voor de instellingen van de Unie geldt, is niet van toepassing.
Bepaling 5, toetreding van andere partijen: niet opgenomen. Elke onderneming sluit deze overeenkomst met haar eigen overeenkomst voor de dienst.
Bepaling 7.7, punt a): optie 2, algemene schriftelijke toestemming voor subverwerkers uit de lijst van bijlage IV. Een wijziging van die lijst melden wij ten minste 14 dagen vooraf, zoals in artikel 12.1 van de algemene voorwaarden.
Bepaling 9.2: een inbreuk in verband met persoonsgegevens melden wij uiterlijk 24 uur nadat wij er kennis van hebben gekregen (bijlage III).
Standaardcontractbepalingen
Tekst van de Europese Commissie; ingevuld zijn alleen de keuzes hierboven.
Afdeling I
Bepaling 1 Doel en toepassingsgebied
a) Het doel van deze standaardcontractbepalingen (hierna “de bepalingen” genoemd) is te zorgen voor de naleving van artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming).
b) De in bijlage I vermelde verwerkingsverantwoordelijken en verwerkers hebben met deze bepalingen ingestemd teneinde te zorgen voor de naleving van artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 en/of artikel 29, leden 3 en 4, van Verordening (EU) 2018/1725.
c) Deze bepalingen zijn van toepassing op de verwerking van persoonsgegevens als gespecificeerd in bijlage II.
d) De bijlagen I tot en met IV maken integrerend deel uit van de bepalingen.
e) Deze bepalingen laten de verplichtingen die op de verwerkingsverantwoordelijke rusten krachtens Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 onverlet.
f) Deze bepalingen waarborgen op zichzelf niet de naleving van verplichtingen in verband met internationale doorgiften overeenkomstig hoofdstuk V van Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725.
Bepaling 2 Onveranderlijkheid van de bepalingen
a) De partijen verbinden zich ertoe de bepalingen niet te wijzigen, tenzij om informatie aan de bijlagen toe te voegen of de daarin vervatte informatie bij te werken.
b) Dit belet de partijen niet om de in deze bepalingen neergelegde standaardcontractbepalingen op te nemen in een bredere overeenkomst, of om andere bepalingen of aanvullende waarborgen toe te voegen, mits deze niet direct of indirect in strijd zijn met de bepalingen of afbreuk doen aan de grondrechten of fundamentele vrijheden van betrokkenen.
Bepaling 3 Interpretatie
a) Wanneer in deze bepalingen de termen worden gebruikt die zijn gedefinieerd in Verordening (EU) 2016/679 respectievelijk Verordening (EU) 2018/1725, hebben die termen dezelfde betekenis als in die verordening.
b) Deze bepalingen moeten worden gelezen en geïnterpreteerd in het licht van de bepalingen van Verordening (EU) 2016/679 respectievelijk Verordening (EU) 2018/1725.
c) Deze bepalingen mogen niet worden geïnterpreteerd op een wijze die indruist tegen de rechten en verplichtingen waarin Verordening (EU) 2016/679/Verordening (EU) 2018/1725 voorziet of op een wijze die afbreuk doet aan de grondrechten of fundamentele vrijheden van de betrokkenen.
Bepaling 4 Hiërarchie
In geval van tegenstrijdigheid tussen deze standaardcontractbepalingen en de bepalingen van gerelateerde overeenkomsten tussen de partijen die reeds bestaan op het tijdstip waarop met deze standaardcontractbepalingen wordt ingestemd of die na dat tijdstip worden gesloten, prevaleren deze standaardcontractbepalingen.
Bepaling 5 - Facultatief Docking-bepaling
Niet opgenomen. Elke onderneming sluit deze overeenkomst met haar eigen overeenkomst voor de dienst.
Afdeling II. Verplichtingen van partijen
Bepaling 6 Beschrijving van de verwerking(en)
De bijzonderheden van de verwerkingen, en met name de categorieën persoonsgegevens en de doeleinden van de verwerking waarvoor de persoonsgegevens namens de verwerkingsverantwoordelijke worden verwerkt, zijn gespecificeerd in bijlage II.
Bepaling 7 Verplichtingen van de partijen
7.1. Instructies
a) De verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, tenzij een op de verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling hem tot verwerking verplicht. In dat geval stelt de verwerker de verwerkingsverantwoordelijke, voorafgaand aan de verwerking, in kennis van dat wettelijk voorschrift, tenzij de wetgeving dit om gewichtige redenen van algemeen belang verbiedt. De verwerkingsverantwoordelijke kan ook tijdens de verwerking van persoonsgegevens steeds verdere instructies geven. Deze instructies worden altijd schriftelijk vastgelegd.
b) De verwerker stelt de verwerkingsverantwoordelijke onmiddellijk in kennis als de instructies van de verwerkingsverantwoordelijke naar het oordeel van de verwerker inbreuk maken op Verordening (EU) 2016/679/Verordening (EU) 2018/1725 of de toepasselijke gegevensbeschermingsbepalingen van de Unie of de lidstaten.
7.2. Doelbinding
De verwerker verwerkt de persoonsgegevens uitsluitend voor het specifieke doel of de specifieke doeleinden van de verwerking, zoals beschreven in bijlage II, tenzij hij verdere instructies van de verwerkingsverantwoordelijke krijgt.
7.3. Duur van de verwerking van persoonsgegevens
Verwerking door de verwerker vindt slechts plaats gedurende de in bijlage II vastgestelde tijdspanne.
7.4. Beveiliging van de verwerking
a) De verwerker treft ten minste de in bijlage III gespecificeerde technische en organisatorische maatregelen om de beveiliging van de persoonsgegevens te waarborgen. Dit houdt onder meer in dat de gegevens worden beschermd tegen een inbreuk op de beveiliging die leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot de gegevens, hetzij per ongeluk hetzij onrechtmatig (inbreuk in verband met persoonsgegevens). Bij de beoordeling van het passende beveiligingsniveau houden de partijen naar behoren rekening met de stand van de techniek, de uitvoeringskosten, de aard, de reikwijdte, de context en de doeleinden van de verwerking en de risico’s voor de betrokkenen.
b) De verwerker verleent zijn personeel slechts toegang tot de persoonsgegevens die worden verwerkt voor zover dat strikt noodzakelijk is voor de uitvoering, het beheer en de monitoring van de overeenkomst. De verwerker waarborgt dat de tot het verwerken van de ontvangen persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden.
7.5. Gevoelige gegevens
Indien de verwerking betrekking heeft op persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, of betrekking heeft op genetische gegevens of biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid of gegevens betreffende strafrechtelijke veroordelingen en strafbare feiten (hierna “gevoelige gegevens” genoemd), voorziet de verwerker in specifieke beperkingen en/of aanvullende waarborgen.
7.6. Documentatie en naleving
a) De partijen kunnen aantonen dat aan deze bepalingen is voldaan.
b) De verwerker behandelt verzoeken van de verwerkingsverantwoordelijke inzake de verwerking van gegevens overeenkomstig deze bepalingen onverwijld en adequaat.
c) De verwerker stelt de verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om aan te tonen dat is voldaan aan de in deze bepalingen vastgestelde verplichtingen die rechtstreeks voortvloeien uit Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725. Op verzoek van de verwerkingsverantwoordelijke staat de verwerker ook regelmatig, of indien er aanwijzingen van niet-naleving zijn, audits toe van de onder deze bepalingen vallende verwerkingsactiviteiten en draagt de verwerker aan die audits bij. Bij het nemen van een beslissing over een toetsing of audit kan de verwerkingsverantwoordelijke rekening houden met relevante certificeringen van de verwerker.
d) De verwerkingsverantwoordelijke kan ervoor kiezen de audit zelf uit te voeren of een onafhankelijke auditor daartoe opdracht te geven. De audits kunnen ook inspecties in de bedrijfsruimten of fysieke faciliteiten van de verwerker omvatten en worden, in voorkomend geval, tijdig aangekondigd.
e) De partijen stellen de in deze bepaling bedoelde informatie, met inbegrip van de resultaten van eventuele audits, op verzoek ter beschikking van de bevoegde toezichthoudende autoriteit/autoriteiten.
7.7. Gebruik van subverwerkers
a) De verwerker heeft de algemene toestemming van de verwerkingsverantwoordelijke om subverwerkers in dienst te nemen die op een overeengekomen lijst staan. De verwerker stelt de verwerkingsverantwoordelijke ten minste 14 dagen van tevoren specifiek schriftelijk in kennis van voorgenomen wijzigingen van die lijst door toevoeging of vervanging van subverwerkers, zodat de verwerkingsverantwoordelijke voldoende tijd heeft om vóór de indienstneming van de betrokken subverwerker(s) bezwaar te kunnen maken tegen dergelijke wijzigingen. De verwerker verstrekt de verwerkingsverantwoordelijke de informatie die nodig is om deze laatste in staat te stellen zijn recht van bezwaar uit te oefenen.
b) Wanneer de verwerker een subverwerker in dienst neemt voor de uitvoering van specifieke verwerkingen (namens de verwerkingsverantwoordelijke), doet hij dit door middel van een overeenkomst die de subverwerker in wezen dezelfde verplichtingen inzake gegevensbescherming oplegt als die welke op grond van deze bepalingen aan de verwerker worden opgelegd. De verwerker zorgt ervoor dat de subverwerker voldoet aan de verplichtingen die krachtens deze bepalingen en Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 op de verwerker rusten.
c) Op verzoek van de verwerkingsverantwoordelijke verstrekt de verwerker de verwerkingsverantwoordelijke een kopie van een dergelijke subverwerkingsovereenkomst en van alle latere wijzigingen daarvan. Voor zover nodig ter bescherming van bedrijfsgeheimen of andere vertrouwelijke informatie, met inbegrip van persoonsgegevens, kan de verwerker de tekst van de overeenkomst bewerken alvorens de kopie te delen.
d) De verwerker blijft ten opzichte van de verwerkingsverantwoordelijke volledig verantwoordelijk voor de uitvoering van de verplichtingen van de subverwerker overeenkomstig zijn overeenkomst met de verwerker. De verwerker stelt de verwerkingsverantwoordelijke in kennis van elk verzuim van de subverwerker om zijn contractuele verplichtingen na te komen.
e) De verwerker komt met de subverwerker een derdenbeding overeen waarbij - ingeval de verwerker feitelijk is verdwenen, rechtens is opgehouden te bestaan of insolvent is geworden - de verwerkingsverantwoordelijke het recht heeft de overeenkomst met de subverwerker te beëindigen en de subverwerker te gelasten de persoonsgegevens te wissen of terug te geven.
7.8. Internationale doorgiften
a) Doorgifte van gegevens aan een derde land of een internationale organisatie door de verwerker geschiedt uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijke of om te voldoen aan een specifieke eis uit hoofde van het Unierecht of het lidstatelijke recht waaraan de verwerker is onderworpen, en vindt plaats in overeenstemming met hoofdstuk V van Verordening (EU) 2016/679 of Verordening (EU) 2018/1725.
b) De verwerkingsverantwoordelijke stemt ermee in dat wanneer de verwerker overeenkomstig bepaling 7.7 een subverwerker in dienst neemt voor het uitvoeren van specifieke verwerkingen (namens de verwerkingsverantwoordelijke) en die verwerkingen een doorgifte van persoonsgegevens in de zin van hoofdstuk V van Verordening (EU) 2016/679 inhouden, de verwerker en de subverwerker de naleving van hoofdstuk V van Verordening (EU) 2016/679 kunnen waarborgen door gebruik te maken van standaardcontractbepalingen die door de Commissie zijn vastgesteld overeenkomstig artikel 46, lid 2, van Verordening (EU) 2016/679, mits aan de voorwaarden voor het gebruik van die standaardcontractbepalingen is voldaan.
Bepaling 8 Bijstand aan de verwerkingsverantwoordelijke
a) De verwerker stelt de verwerkingsverantwoordelijke onverwijld in kennis van elk verzoek dat hij van de betrokkene heeft ontvangen. De verwerker antwoordt niet zelf op het verzoek, tenzij de verwerkingsverantwoordelijke daartoe toestemming heeft gegeven.
b) De verwerker staat de verwerkingsverantwoordelijke bij bij het vervullen van zijn verplichtingen om te reageren op verzoeken van betrokkenen tot uitoefening van hun rechten, en houdt daarbij rekening met de aard van de verwerking. Bij het nakomen van zijn verplichtingen uit hoofde van de punten a) en b) volgt de verwerker de instructies van de verwerkingsverantwoordelijke.
c) De verwerker heeft niet alleen de verplichting de verwerkingsverantwoordelijke bij te staan overeenkomstig bepaling 8, punt b), maar staat de verwerkingsverantwoordelijke ook bij bij het waarborgen van de naleving van de volgende verplichtingen, waarbij rekening wordt gehouden met de aard van de gegevensverwerking en de informatie waarover de verwerker beschikt:
1) de verplichting om een beoordeling uit te voeren van het effect van de beoogde verwerkingen op de bescherming van persoonsgegevens (een “gegevensbeschermingseffectbeoordeling”) wanneer een bepaalde soort verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen;
2) de verplichting om de bevoegde toezichthoudende autoriteit/autoriteiten voorafgaand aan de verwerking te raadplegen wanneer uit een gegevensbeschermingseffectbeoordeling blijkt dat de verwerking een hoog risico zou opleveren indien de verwerkingsverantwoordelijke geen maatregelen neemt om dat risico te beperken;
3) de verplichting om ervoor te zorgen dat persoonsgegevens accuraat en actueel zijn, door de verwerkingsverantwoordelijke onverwijld in te lichten wanneer de verwerker ervan kennis heeft gekregen dat de gegevens die hij verwerkt onjuist of achterhaald zijn;
4) de verplichtingen in artikel 32 van Verordening (EU) 2016/679.
d) De partijen stellen in bijlage III de passende technische en organisatorische maatregelen vast op grond waarvan de verwerker de verwerkingsverantwoordelijke bij de toepassing van deze bepaling moet bijstaan, alsmede de omvang en de omvang van de vereiste bijstand.
Bepaling 9 Kennisgeving van een inbreuk in verband met persoonsgegevens
In het geval van een inbreuk in verband met persoonsgegevens werkt de verwerker samen met de verwerkingsverantwoordelijke en staat hij hem bij opdat de verwerkingsverantwoordelijke kan voldoen aan zijn verplichtingen uit hoofde van de artikelen 33 en 34 van Verordening (EU) 2016/679 of de artikelen 34 en 35 van Verordening (EU) 2018/1725, indien van toepassing, waarbij rekening wordt gehouden met de aard van de verwerking en de informatie waarover de verwerker beschikt.
9.1. Inbreuk in verband met gegevens die door de verwerkingsverantwoordelijke worden verwerkt
In geval van een inbreuk in verband met persoonsgegevens die door de verwerkingsverantwoordelijke worden verwerkt, staat de verwerker de verwerkingsverantwoordelijke bij:
a) bij het zonder onnodige vertraging melden van de inbreuk in verband met persoonsgegevens aan de bevoegde toezichthoudende autoriteit/autoriteiten nadat de verwerkingsverantwoordelijke er kennis van heeft gekregen, indien relevant /(tenzij het onwaarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen);
b) bij het verkrijgen van onderstaande informatie die overeenkomstig artikel 33, lid 3, van Verordening (EU) 2016/679 in de kennisgeving van de verwerkingsverantwoordelijke moet worden vermeld en ten minste omvat:
1) de aard van de inbreuk in verband met persoonsgegevens, waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie;
2) de waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens;
3) de maatregelen die de verwerkingsverantwoordelijke heeft voorgesteld of genomen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.
Indien en voor zover al deze informatie niet op hetzelfde moment kan worden verstrekt, bevat de oorspronkelijke kennisgeving de dan beschikbare informatie en wordt verdere informatie vervolgens onverwijld verstrekt zodra deze beschikbaar is;
c) bij het naleven, overeenkomstig artikel 34 van Verordening (EU) 2016/679, van de verplichting om de betrokkene de inbreuk in verband met persoonsgegevens onverwijld mee te delen, wanneer de inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen.
9.2. Inbreuk in verband met gegevens die door de verwerker worden verwerkt
In geval van een inbreuk in verband met persoonsgegevens die door de verwerker worden verwerkt, stelt de verwerker, nadat hij kennis heeft gekregen van de inbreuk, de verwerkingsverantwoordelijke daarvan onverwijld in kennis. Deze kennisgeving bevat ten minste:
a) een beschrijving van de aard van de inbreuk (waar mogelijk onder vermelding van de categorieën betrokkenen en gegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en gegevensregisters in kwestie);
b) de gegevens van een contactpunt waar meer informatie over de inbreuk in verband met persoonsgegevens kan worden verkregen;
c) de waarschijnlijke gevolgen van de inbreuk en de maatregelen die zijn genomen of worden voorgesteld om deze aan te pakken, onder meer om de mogelijke negatieve gevolgen ervan te beperken.
Indien en voor zover al deze informatie niet op hetzelfde moment kan worden verstrekt, bevat de oorspronkelijke kennisgeving de dan beschikbare informatie en wordt verdere informatie vervolgens onverwijld verstrekt zodra deze beschikbaar is.
De partijen vermelden in bijlage III alle andere elementen die door de verwerker moeten worden verstrekt wanneer hij de verwerkingsverantwoordelijke bijstaat bij de naleving van de verplichtingen van de verwerkingsverantwoordelijke uit hoofde van de artikelen 33 en 34 van Verordening (EU) 2016/679.
Afdeling III. Slotbepalingen
Bepaling 10 Niet-naleving van de bepalingen en beëindiging
a) Onverminderd eventuele bepalingen van Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 kan de verwerkingsverantwoordelijke, ingeval de verwerker zijn verplichtingen uit hoofde van deze bepalingen niet nakomt, de verwerker opdracht geven de verwerking van persoonsgegevens op te schorten totdat deze aan deze bepalingen voldoet of de overeenkomst wordt beëindigd. Wanneer de verwerker om welke reden dan ook niet aan deze bepalingen kan voldoen, stelt hij de verwerkingsverantwoordelijke daarvan onverwijld in kennis.
b) De verwerkingsverantwoordelijke heeft het recht de overeenkomst te beëindigen voor zover deze de verwerking van persoonsgegevens overeenkomstig deze bepalingen betreft, indien:
1) de verwerkingsverantwoordelijke de verwerking van persoonsgegevens door de verwerker overeenkomstig punt a) heeft opgeschort en de naleving van deze bepalingen niet binnen een redelijke termijn en in elk geval binnen één maand na de opschorting wordt hervat;
2) de verwerker deze bepalingen of zijn verplichtingen uit hoofde van Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 wezenlijk of voortdurend schendt;
3) de verwerker niet voldoet aan een bindend besluit van een bevoegde rechter of de bevoegde toezichthoudende autoriteit/autoriteiten met betrekking tot zijn verplichtingen uit hoofde van deze bepalingen of Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725.
c) De verwerker heeft het recht de overeenkomst op te zeggen voor zover het daarbij gaat om de verwerking van persoonsgegevens krachtens deze bepalingen, indien de verwerkingsverantwoordelijke, nadat de verwerker hem er overeenkomstig bepaling 7.1, punt b), van in kennis heeft gesteld dat zijn instructies inbreuk maken op de toepasselijke wettelijke vereisten, aandringt op naleving van de instructies.
d) Na de beëindiging van de overeenkomst wist de verwerker, naar keuze van de verwerkingsverantwoordelijke, alle persoonsgegevens die namens de verwerkingsverantwoordelijke zijn verwerkt en bevestigt hij tegenover de verwerkingsverantwoordelijke dat hij dit heeft gedaan, of zendt hij alle persoonsgegevens terug aan de verwerkingsverantwoordelijke en verwijdert hij bestaande kopieën, tenzij het Unierecht of het lidstatelijke recht de opslag van de persoonsgegevens voorschrijft. Totdat de gegevens zijn gewist of teruggeven, blijft de verwerker ervoor zorgen dat deze bepalingen worden nageleefd.
Bijlage I. Lijst van partijen
Verwerkingsverantwoordelijke
Naam
de klant, dat wil zeggen de onderneming die met ons de overeenkomst voor de dienst sluit, zoals vermeld in de bestelling of de aanvaarde offerte
Adres
het adres van de klant in de bestelling of de offerte
Naam, functie en contactgegevens van de contactpersoon
de persoon en het e-mailadres die de klant in de bestelling opgeeft; heeft de klant een functionaris voor gegevensbescherming, dan vermeldt hij die daar ook
Ondertekening en toetredingsdatum
door het sluiten van de overeenkomst voor de dienst, op de dag waarop die tot stand komt (artikel 3 van de algemene voorwaarden)
ondernemingsnummer (KBO) 1043.139.285; btw-nummer BE 1043.139.285
Naam, functie en contactgegevens van de contactpersoon
Timofej Taraszenko, eigenaar van de eenmanszaak; e-mail info@briola.be
Functionaris voor gegevensbescherming
niet aangesteld
Ondertekening en toetredingsdatum
zoals bij de verwerkingsverantwoordelijke
Bijlage II. Beschrijving van de verwerking
Categorieën betrokkenen van wie persoonsgegevens worden verwerkt
gebruikers van de beheeromgeving van de klant: de klant zelf als hij een natuurlijke persoon is, zijn leidinggevenden en het personeel aan wie hij toegang geeft;
personen die in de inhoud van de klant te zien zijn of genoemd worden, als de klant hen op zijn schermen toont, bijvoorbeeld personeel, de eigenaar of gasten op foto’s en video’s.
Categorieën verwerkte persoonsgegevens
accountgegevens van gebruikers: naam, e-mailadres of gebruikersnaam, inloggegevens, rol en rechten, de zaken die de gebruiker mag beheren, pincodes en instellingen zoals de taal;
inhoud die de klant in de dienst zet of die wij op zijn instructie invoeren (artikel 2.3 van de algemene voorwaarden): menu’s, foto’s, video’s, teksten en schema’s, voor zover ze een persoon tonen of noemen.
Verwerkte gevoelige gegevens (indien van toepassing)
Geen. De dienst is niet bedoeld voor gevoelige gegevens in de zin van bepaling 7.5, en de klant zet ze er niet in. Staan ze toch in de inhoud van de klant, dan gelden de maatregelen van bijlage III en wissen wij ze op zijn instructie.
Aard van de verwerking
Wij bewaren de gegevens op servers in de Europese Unie, tonen de inhoud van de klant via de mediaspelers op zijn schermen, beheren de accounts en rechten van zijn gebruikers, en raadplegen of wijzigen gegevens wanneer de klant ons om ondersteuning vraagt of een eenmalige dienst bestelt, zoals het invoeren van zijn menu.
Doeleinde(n) waarvoor de persoonsgegevens namens de verwerkingsverantwoordelijke worden verwerkt
de menu’s, media en schema’s van de klant bewaren en op zijn schermen tonen;
zijn schermen, zaken, gebruikers en hun rechten beheren;
ondersteuning geven en de eenmalige diensten uitvoeren die de klant bestelt.
Duur van de verwerking
Zolang de overeenkomst voor de dienst loopt. Na elk einde van de overeenkomst kan de klant nog ten minste 30 dagen zijn menu’s, media en schema’s exporteren in een gangbaar, machineleesbaar formaat (artikel 6.5 van de algemene voorwaarden). Daarna wissen wij de persoonsgegevens en bevestigen wij dat schriftelijk (bepaling 10, punt d)), behalve wat het Unierecht of het Belgische recht ons verplicht te bewaren. Op schriftelijke instructie van de klant wissen wij eerder.
Wat wij voor onszelf verwerken
Voor de volgende gegevens zijn wij zelf de verwerkingsverantwoordelijke; ze vallen niet onder deze bepalingen maar onder ons privacybeleid: de contact- en facturatiegegevens van de klant en de overeenkomst zelf; berichten aan onze ondersteuning; de technische gegevens die de mediaspeler stuurt om de dienst te leveren en te onderhouden (artikel 10.4 van de algemene voorwaarden: een teken van leven, de synchronisatiestatus, het weergavelogboek en technische diagnose, zoals temperatuur, opslag en herstarts); en de technische logboeken van onze servers. Houden wij bij wie wat publiceerde, dan doen wij dat ook als ons eigen bewijs.
Bijlage III. Technische en organisatorische maatregelen, met inbegrip van technische en organisatorische maatregelen om de beveiliging van de gegevens te waarborgen
Hieronder staan de maatregelen die wij toepassen; wat hier niet staat, beloven wij niet. Certificeringen hebben wij niet.
Waar de gegevens staan
Op servers van een hostingaanbieder in de Europese Unie, met wie wij een verwerkersovereenkomst hebben. Voor de fysieke beveiliging van de servers zorgt die aanbieder in zijn datacenters.
Wie toegang heeft
Alleen wie de dienst levert of onderhoudt, en alleen voor zover dat strikt noodzakelijk is (bepaling 7.4, punt b)). Wie in onze opdracht toegang heeft, werkt vanuit de Europese Unie en is schriftelijk tot geheimhouding verplicht. Niemand die voor ons werkt, heeft vanuit een land buiten de Europese Unie toegang tot gegevens van klanten. Beheertoegang tot de servers verloopt met een persoonlijke sleutel per persoon; wachtwoorden worden niet gedeeld.
Acceptatietests
Nieuwe versies worden getest in een aparte omgeving, uitsluitend met fictieve gegevens. Gegevens van klanten gebruiken we daarvoor niet, ook niet gepseudonimiseerd.
Gebruikers en rechten in de dienst
Elke gebruiker meldt zich aan met een eigen account. Het bedienen van de schermen vanaf een telefoon of tablet is beveiligd met een pincode. De klant bepaalt zelf wie toegang heeft tot welke zaken en kan een gebruiker centraal uitschakelen.
De mediaspelers
De mediaspeler opent geen inkomende poorten: hij maakt zelf verbinding met de dienst. Wij raden de klant aan de spelers op een apart gastnetwerk te zetten, los van het netwerk van de kassa.
Geen gegevens over gasten
De dienst heeft geen camera’s of microfoons en verwerkt geen gegevens over de gasten van de zaak, behalve wat de klant zelf in zijn inhoud zet.
Bewaring, export en wissing
Zoals beschreven in bijlage II, onder de duur van de verwerking.
Bijstand aan de klant
In de beheeromgeving kan de klant zelf gebruikers toevoegen, wijzigen en uitschakelen en inhoud wijzigen of verwijderen; zo kan hij de meeste verzoeken van betrokkenen zelf afhandelen. Wat hij niet zelf kan, zoals een gebruiker volledig wissen of de gegevens van één persoon bijeenbrengen, doen wij op zijn schriftelijke instructie. Een verzoek dat een betrokkene rechtstreeks aan ons richt, sturen wij onverwijld door naar de klant (bepaling 8, punt a)). Voor een gegevensbeschermingseffectbeoordeling of een raadpleging van de toezichthoudende autoriteit geven wij op verzoek de informatie uit deze overeenkomst en wat wij verder over de verwerking weten (bepaling 8, punt c)).
Melding van inbreuken
Een inbreuk in verband met persoonsgegevens melden wij de klant onverwijld en uiterlijk 24 uur nadat wij er kennis van hebben gekregen, per e-mail aan de contactpersoon in bijlage I, met de gegevens van bepaling 9.2. Wat wij dan nog niet weten, sturen wij na zodra wij het weten. Contactpunt voor meer informatie is het e-mailadres van de verwerker in bijlage I.
Kwetsbaarheden
Iedereen kan een kwetsbaarheid in de dienst of de mediaspeler melden aan het adres in ons bestand security.txt (briola.be/.well-known/security.txt).
Subverwerkers
Wij leggen elke subverwerker bij overeenkomst in wezen dezelfde verplichtingen op als deze bepalingen (bepaling 7.7, punt b)), en schakelen alleen aanbieders in die de gegevens in de Europese Economische Ruimte verwerken of elke doorgifte volgens hoofdstuk V van de AVG waarborgen (bepaling 7.8).
Bijlage IV. Lijst van subverwerkers
Volgens bepaling 7.7, punt a), optie 2, geeft de klant ons algemene toestemming voor subverwerkers in de volgende categorieën:
1. Hosting van de dienst
Een hostingaanbieder met servers in de Europese Unie. Hij bewaart alle gegevens uit bijlage II en laat de dienst draaien, zolang de overeenkomst loopt en tot de wissing volgens bijlage II.
2. Verzending van de e-mails van de dienst
Een e-maildienst. Hij verstuurt de berichten van de dienst aan gebruikers, zoals uitnodigingen en meldingen, en verwerkt daarvoor hun naam en e-mailadres, zolang de overeenkomst loopt. Verwerking in de Europese Economische Ruimte; een doorgifte alleen volgens bepaling 7.8.
3. Ontwikkeling en technisch beheer
Natuurlijke personen die in onze opdracht de software en de servers onderhouden. Zij hebben alleen toegang tot de gegevens voor zover die taak dat vraagt, vanuit de Europese Unie (bijlage III), zolang de overeenkomst loopt.
Op verzoek sturen wij de klant de actuele lijst met naam, adres en plaats van verwerking van elke subverwerker die wij inschakelen: een e-mail naar het adres in bijlage I volstaat.
Elke toevoeging of vervanging van een subverwerker, ook binnen een van de categorieën hierboven, melden wij de klant ten minste 14 dagen vooraf per e-mail. Maakt de klant binnen die termijn bezwaar en vinden wij geen oplossing, dan kan hij de overeenkomst kosteloos beëindigen (artikel 12.1 van de algemene voorwaarden).
Onze boekhouding, de facturatie via Peppol en de betalingen verwerken gegevens waarvoor wij zelf de verwerkingsverantwoordelijke zijn (bijlage II); die aanbieders zijn geen subverwerkers en staan niet op deze lijst.
Bron en talen
De tekst van de bepalingen is die van Uitvoeringsbesluit (EU) 2021/915 van de Commissie van 4 juni 2021 betreffende standaardcontractbepalingen tussen verwerkingsverantwoordelijken en verwerkers uit hoofde van artikel 28, lid 7, van Verordening (EU) 2016/679 van het Europees Parlement en de Raad en artikel 29, lid 7, van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (PB L 199 van 7.6.2021, blz. 18). De titel van bepaling 7.3 volgt de rectificatie (PB L, 2025/90740, 19.9.2025). In deze weergave zijn alleen de keuzes gemaakt en de termijnen ingevuld; de opmaak volgt deze website.
Deze overeenkomst bestaat in het Nederlands, Frans, Engels en Duits. Bij verschil tussen de versies geldt de Nederlandse tekst.
Version française
Version 3, 21 octobre 2026
Le présent contrat de sous-traitance s’applique à chaque client de Briola. Il existe en néerlandais, en français, en anglais et en allemand ; en cas de divergence entre les versions, le texte néerlandais prévaut. Autres versions : Nederlands, English, Deutsch.
Parties et structure
Le présent contrat de sous-traitance est conclu entre le client, l’entreprise qui conclut avec nous un contrat pour le service Briola, en qualité de responsable du traitement, et Timofej Taraszenko, entreprise individuelle (eenmanszaak, personne physique), en qualité de sous-traitant. Les coordonnées des deux parties figurent à l’annexe I. Dans le présent contrat, le sous-traitant est aussi désigné par « nous » ; Briola est le nom de notre service.
Le contrat se compose des clauses contractuelles types adoptées par la Commission européenne pour la relation entre responsables du traitement et sous-traitants (article 28, paragraphe 7, du RGPD) et des quatre annexes, que nous avons complétées ci-dessous pour notre service. La source figure au bas de cette page.
Il fait partie du contrat de service et de nos conditions générales (article 12) et est conclu en même temps que ce contrat (article 3 des conditions générales). Il s’applique tant que ce contrat est en vigueur, puis tant que nous traitons encore des données à caractère personnel pour le client (annexe II). En cas de contradiction avec les conditions générales ou avec d’autres accords entre les parties, les présentes clauses prévalent (clause 4).
Les clauses elles-mêmes ne sont pas modifiées (clause 2). Si nous modifions une annexe, nous procédons comme pour les conditions générales : en indiquant le motif, au moins deux mois à l’avance et avec le droit pour le client de mettre fin au contrat sans frais (article 15). Un nouveau sous-traitant ultérieur est annoncé conformément à l’annexe IV.
Choix et compléments
Clause 1, point a) : les clauses visent à garantir la conformité avec l’article 28, paragraphes 3 et 4, du RGPD. Le règlement (UE) 2018/1725, qui ne s’applique qu’aux institutions de l’Union, n’est pas applicable.
Clause 5, adhésion d’autres parties : non retenue. Chaque entreprise conclut le présent contrat avec son propre contrat de service.
Clause 7.7, point a) : option 2, autorisation écrite générale pour les sous-traitants ultérieurs de la liste de l’annexe IV. Nous annonçons toute modification de cette liste au moins 14 jours à l’avance, comme à l’article 12.1 des conditions générales.
Clause 9.2 : nous notifions une violation de données à caractère personnel au plus tard 24 heures après en avoir pris connaissance (annexe III).
Clauses contractuelles types
Texte de la Commission européenne ; seuls les choix ci-dessus ont été complétés.
Section I
Clause 1 Objet et champ d’application
a) Les présentes clauses contractuelles types (ci-après les « clauses ») ont pour objet de garantir la conformité avec l’article 28, paragraphes 3 et 4, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).
b) Les responsables du traitement et les sous-traitants énumérés à l’annexe I ont accepté ces clauses afin de garantir le respect des dispositions de l’article 28, paragraphes 3 et 4, du règlement (UE) 2016/679 et/ou des dispositions de l’article 29, paragraphes 3 et 4, du règlement (UE) 2018/1725.
c) Les présentes clauses s’appliquent au traitement des données à caractère personnel tel que décrit à l’annexe II.
d) Les annexes I à IV font partie intégrante des clauses.
e) Les présentes clauses sont sans préjudice des obligations auxquelles le responsable du traitement est soumis en vertu du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725.
f) Les clauses ne suffisent pas à elles seules pour assurer le respect des obligations relatives aux transferts internationaux conformément au chapitre V du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725.
Clause 2 Invariabilité des clauses
a) Les parties s’engagent à ne pas modifier les clauses, sauf en ce qui concerne l’ajout d’informations aux annexes ou la mise à jour des informations qui y figurent.
b) Les parties ne sont pour autant pas empêchées d’inclure les clauses contractuelles types définies dans les présentes clauses dans un contrat plus large, ni d’ajouter d’autres clauses ou des garanties supplémentaires, à condition que celles-ci ne contredisent pas, directement ou indirectement, les clauses ou qu’elles ne portent pas atteinte aux libertés et droits fondamentaux des personnes concernées.
Clause 3 Interprétation
a) Lorsque des termes définis respectivement dans le règlement (UE) 2016/679 ou dans le règlement (UE) 2018/1725 figurent dans les clauses, ils s’entendent comme dans le règlement en question.
b) Les présentes clauses doivent être lues et interprétées à la lumière des dispositions du règlement (UE) 2016/679 et du règlement (UE) 2018/1725 respectivement.
c) Les présentes clauses ne doivent pas être interprétées d’une manière contraire aux droits et obligations prévus par le règlement (UE) 2016/679 / le règlement (UE) 2018/1725 ou d’une manière qui porte atteinte aux libertés ou droits fondamentaux des personnes concernées.
Clause 4 Hiérarchie
En cas de contradiction entre les présentes clauses et les dispositions des accords connexes qui existent entre les parties au moment où les présentes clauses sont convenues ou qui sont conclus ultérieurement, les présentes clauses prévaudront.
Clause 5 - Facultative Clause d’amarrage
Non retenue. Chaque entreprise conclut le présent contrat avec son propre contrat de service.
Section II. Obligations des parties
Clause 6 Description du ou des traitements
Les détails des opérations de traitement, et notamment les catégories de données à caractère personnel et les finalités du traitement pour lesquelles les données à caractère personnel sont traitées pour le compte du responsable du traitement, sont précisés à l’annexe II.
Clause 7 Obligations des parties
7.1. Instructions
a) Le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel il est soumis. Dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si la loi le lui interdit pour des motifs importants d’intérêt public. Des instructions peuvent également être données ultérieurement par le responsable du traitement pendant toute la durée du traitement des données à caractère personnel. Ces instructions doivent toujours être documentées.
b) Le sous-traitant informe immédiatement le responsable du traitement si, selon lui, une instruction donnée par le responsable du traitement constitue une violation du règlement (UE) 2016/679 / du règlement (UE) 2018/1725 ou d’autres dispositions du droit de l’Union ou du droit des États membres relatives à la protection des données.
7.2. Limitation de la finalité
Le sous-traitant traite les données à caractère personnel uniquement pour la ou les finalités spécifiques du traitement, telles que définies à l’annexe II, sauf instruction complémentaire du responsable du traitement.
7.3. Durée du traitement des données à caractère personnel
Le traitement par le sous-traitant n’a lieu que pendant la durée précisée à l’annexe II.
7.4. Sécurité du traitement
a) Le sous-traitant met au moins en œuvre les mesures techniques et organisationnelles précisées à l’annexe III pour assurer la sécurité des données à caractère personnel. Figure parmi ces mesures la protection des données contre toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel ou l’accès non autorisé à de telles données (violation de données à caractère personnel). Lors de l’évaluation du niveau de sécurité approprié, les parties tiennent dûment compte de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les personnes concernées.
b) Le sous-traitant n’accorde aux membres de son personnel l’accès aux données à caractère personnel faisant l’objet du traitement que dans la mesure strictement nécessaire à l’exécution, à la gestion et au suivi du contrat. Le sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
7.5. Données sensibles
Si le traitement porte sur des données à caractère personnel révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que des données génétiques ou des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique, ou des données relatives aux condamnations pénales et aux infractions (« données sensibles »), le sous-traitant applique des limitations spécifiques et/ou des garanties supplémentaires.
7.6. Documentation et conformité
a) Les parties doivent pouvoir démontrer la conformité avec les présentes clauses.
b) Le sous-traitant traite de manière rapide et adéquate les demandes du responsable du traitement concernant le traitement des données conformément aux présentes clauses.
c) Le sous-traitant met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans les présentes clauses et découlant directement du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725. À la demande du responsable du traitement, le sous-traitant permet également la réalisation d’audits des activités de traitement couvertes par les présentes clauses et y contribue, à intervalles raisonnables ou en présence d’indices de non-conformité. Lorsqu’il décide d’un examen ou d’un audit, le responsable du traitement peut tenir compte des certifications pertinentes en possession du sous-traitant.
d) Le responsable du traitement peut décider de procéder lui-même à l’audit ou de mandater un auditeur indépendant. Les audits peuvent également comprendre des inspections dans les locaux ou les installations physiques du sous-traitant et sont, le cas échéant, effectués moyennant un préavis raisonnable.
e) Les parties mettent à la disposition de l’autorité de contrôle compétente/des autorités de contrôle compétentes, dès que celles-ci en font la demande, les informations énoncées dans la présente clause, y compris les résultats de tout audit.
7.7. Recours à des sous-traitants ultérieurs
a) Le sous-traitant dispose de l’autorisation générale du responsable du traitement pour ce qui est du recrutement de sous-traitants ultérieurs sur la base d’une liste convenue. Le sous-traitant informe spécifiquement par écrit le responsable du traitement de tout projet de modification de cette liste par l’ajout ou le remplacement de sous-traitants ultérieurs au moins 14 jours à l’avance, donnant ainsi au responsable du traitement suffisamment de temps pour pouvoir s’opposer à ces changements avant le recrutement du ou des sous-traitants ultérieurs concernés. Le sous-traitant fournit au responsable du traitement les informations nécessaires pour lui permettre d’exercer son droit d’opposition.
b) Lorsque le sous-traitant recrute un sous-traitant ultérieur pour mener des activités de traitement spécifiques (pour le compte du responsable du traitement), il le fait au moyen d’un contrat qui impose au sous-traitant ultérieur, en substance, les mêmes obligations en matière de protection des données que celles imposées au sous-traitant en vertu des présentes clauses. Le sous-traitant veille à ce que le sous-traitant ultérieur respecte les obligations auxquelles il est lui-même soumis en vertu des présentes clauses et du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725.
c) À la demande du responsable du traitement, le sous-traitant lui fournit une copie de ce contrat conclu avec le sous-traitant ultérieur et de toute modification qui y est apportée ultérieurement. Dans la mesure nécessaire à la protection des secrets d’affaires ou d’autres informations confidentielles, y compris les données à caractère personnel, le sous-traitant peut expurger le texte du contrat avant d’en diffuser une copie.
d) Le sous-traitant demeure pleinement responsable, à l’égard du responsable du traitement, de l’exécution des obligations du sous-traitant ultérieur conformément au contrat conclu avec le sous-traitant ultérieur. Le sous-traitant informe le responsable du traitement de tout manquement du sous-traitant ultérieur à ses obligations contractuelles.
e) Le sous-traitant convient avec le sous-traitant ultérieur d’une clause du tiers bénéficiaire selon laquelle - dans le cas où le sous-traitant a matériellement disparu, a cessé d’exister en droit ou est devenu insolvable - le responsable du traitement a le droit de résilier le contrat conclu avec le sous-traitant ultérieur et de donner instruction au sous-traitant ultérieur d’effacer ou de renvoyer les données à caractère personnel.
7.8. Transferts internationaux
a) Tout transfert de données vers un pays tiers ou une organisation internationale par le sous-traitant n’est effectué que sur la base d’instructions documentées du responsable du traitement ou afin de satisfaire à une exigence spécifique du droit de l’Union ou du droit de l’État membre à laquelle le sous-traitant est soumis et s’effectue conformément au chapitre V du règlement (UE) 2016/679 ou du règlement (UE) 2018/1725.
b) Le responsable du traitement convient que lorsque le sous-traitant recrute un sous-traitant ultérieur conformément à la clause 7.7 pour mener des activités de traitement spécifiques (pour le compte du responsable du traitement) et que ces activités de traitement impliquent un transfert de données à caractère personnel au sens du chapitre V du règlement (UE) 2016/679, le sous-traitant et le sous-traitant ultérieur peuvent garantir le respect du chapitre V du règlement (UE) 2016/679 en utilisant les clauses contractuelles types adoptées par la Commission sur la base de l’article 46, paragraphe 2, du règlement (UE) 2016/679, pour autant que les conditions d’utilisation de ces clauses contractuelles types soient remplies.
Clause 8 Assistance au responsable du traitement
a) Le sous-traitant informe sans délai le responsable du traitement de toute demande qu’il a reçue de la part de la personne concernée. Il ne donne pas lui-même suite à cette demande, à moins que le responsable du traitement des données ne l’y ait autorisé.
b) Le sous-traitant prête assistance au responsable du traitement pour ce qui est de remplir l’obligation qui lui incombe de répondre aux demandes des personnes concernées d’exercer leurs droits, en tenant compte de la nature du traitement. Dans l’exécution de ses obligations conformément aux points a) et b), le sous-traitant se conforme aux instructions du responsable du traitement.
c) Outre l’obligation incombant au sous-traitant d’assister le responsable du traitement en vertu de la clause 8, point b), le sous-traitant aide en outre le responsable du traitement à garantir le respect des obligations suivantes, compte tenu de la nature du traitement et des informations dont dispose le sous-traitant :
1) l’obligation de procéder à une évaluation de l’incidence des opérations de traitement envisagées sur la protection des données à caractère personnel (« analyse d’impact relative à la protection des données ») lorsqu’un type de traitement est susceptible de présenter un risque élevé pour les droits et libertés des personnes physiques ;
2) l’obligation de consulter l’autorité de contrôle compétente/les autorités de contrôle compétentes préalablement au traitement lorsqu’une analyse d’impact relative à la protection des données indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque ;
3) l’obligation de veiller à ce que les données à caractère personnel soient exactes et à jour, en informant sans délai le responsable du traitement si le sous-traitant apprend que les données à caractère personnel qu’il traite sont inexactes ou sont devenues obsolètes ;
4) les obligations prévues à l’article 32 du règlement (UE) 2016/679.
d) Les parties définissent à l’annexe III les mesures techniques et organisationnelles appropriées par lesquelles le sous-traitant est tenu de prêter assistance au responsable du traitement dans l’application de la présente clause, ainsi que la portée et l’étendue de l’assistance requise.
Clause 9 Notification de violations de données à caractère personnel
En cas de violation de données à caractère personnel, le sous-traitant coopère avec le responsable du traitement et lui prête assistance aux fins de la mise en conformité avec les obligations qui lui incombent en vertu des articles 33 et 34 du règlement (UE) 2016/679 ou des articles 34 et 35 du règlement (UE) 2018/1725, selon celui qui est applicable, en tenant compte de la nature du traitement et des informations dont dispose le sous-traitant.
9.1. Violation de données en rapport avec des données traitées par le responsable du traitement
En cas de violation de données à caractère personnel en rapport avec des données traitées par le responsable du traitement, le sous-traitant prête assistance au responsable du traitement :
a) aux fins de la notification de la violation de données à caractère personnel à l’autorité de contrôle compétente/aux autorités de contrôle compétentes, dans les meilleurs délais après que le responsable du traitement en a eu connaissance, le cas échéant (sauf si la violation de données à caractère personnel est peu susceptible d’engendrer un risque pour les droits et libertés des personnes physiques) ;
b) aux fins de l’obtention des informations suivantes qui, conformément à l’article 33, paragraphe 3, du règlement (UE) 2016/679, doivent figurer dans la notification du responsable du traitement, et inclure, au moins :
1) la nature des données à caractère personnel, y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés ;
2) les conséquences probables de la violation de données à caractère personnel ;
3) les mesures prises ou les mesures que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.
Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, la notification initiale contient les informations disponibles à ce moment-là et, à mesure qu’elles deviennent disponibles, des informations supplémentaires sont communiquées par la suite dans les meilleurs délais ;
c) aux fins de la satisfaction, conformément à l’article 34 du règlement (UE) 2016/679, de l’obligation de communiquer dans les meilleurs délais la violation de données à caractère personnel à la personne concernée, lorsque la violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques.
9.2. Violation de données en rapport avec des données traitées par le sous-traitant
En cas de violation de données à caractère personnel en rapport avec des données traitées par le sous-traitant, celui-ci en informe le responsable du traitement dans les meilleurs délais après en avoir pris connaissance. Cette notification contient au moins :
a) une description de la nature de la violation constatée (y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et d’enregistrements de données à caractère personnel concernés) ;
b) les coordonnées d’un point de contact auprès duquel des informations supplémentaires peuvent être obtenues au sujet de la violation de données à caractère personnel ;
c) ses conséquences probables et les mesures prises ou les mesures qu’il est proposé de prendre pour remédier à la violation, y compris pour en atténuer les éventuelles conséquences négatives.
Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, la notification initiale contient les informations disponibles à ce moment-là et, à mesure qu’elles deviennent disponibles, des informations supplémentaires sont communiquées par la suite dans les meilleurs délais.
Les parties définissent à l’annexe III tous les autres éléments que le sous-traitant doit communiquer lorsqu’il prête assistance au responsable du traitement aux fins de la satisfaction des obligations incombant à ce dernier en vertu des articles 33 et 34 du règlement (UE) 2016/679.
Section III. Dispositions finales
Clause 10 Non-respect des clauses et résiliation
a) Sans préjudice des dispositions du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725, en cas de manquement du sous-traitant aux obligations qui lui incombent en vertu des présentes clauses, le responsable du traitement peut donner instruction au sous-traitant de suspendre le traitement des données à caractère personnel jusqu’à ce que ce dernier se soit conformé aux présentes clauses ou jusqu’à ce que le contrat soit résilié. Le sous-traitant informe rapidement le responsable du traitement s’il n’est pas en mesure de se conformer aux présentes clauses, pour quelque raison que ce soit.
b) Le responsable du traitement est en droit de résilier le contrat dans la mesure où il concerne le traitement de données à caractère personnel conformément aux présentes clauses si :
1) le traitement de données à caractère personnel par le sous-traitant a été suspendu par le responsable du traitement conformément au point a) et le respect des présentes clauses n’est pas rétabli dans un délai raisonnable et, en tout état de cause, dans un délai d’un mois à compter de la suspension ;
2) le sous-traitant est en violation grave ou persistante des présentes clauses ou des obligations qui lui incombent en vertu du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725 ;
3) le sous-traitant ne se conforme pas à une décision contraignante d’une juridiction compétente ou de l’autorité de contrôle compétente/des autorités de contrôle compétentes concernant les obligations qui lui incombent en vertu des présentes clauses ou du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725.
c) Le sous-traitant est en droit de résilier le contrat dans la mesure où il concerne le traitement de données à caractère personnel en vertu des présentes clauses lorsque, après avoir informé le responsable du traitement que ses instructions enfreignent les exigences juridiques applicables conformément à la clause 7.1, point b), le responsable du traitement insiste pour que ses instructions soient suivies.
d) À la suite de la résiliation du contrat, le sous-traitant supprime, selon le choix du responsable du traitement, toutes les données à caractère personnel traitées pour le compte du responsable du traitement et certifie auprès de celui-ci qu’il a procédé à cette suppression, ou renvoie toutes les données à caractère personnel au responsable du traitement et détruit les copies existantes, à moins que le droit de l’Union ou le droit national n’impose de les conserver plus longtemps. Le sous-traitant continue de veiller à la conformité aux présentes clauses jusqu’à la suppression ou à la restitution des données.
Annexe I. Liste des parties
Responsable du traitement
Nom
le client, c’est-à-dire l’entreprise qui conclut le contrat de service avec nous, telle qu’indiquée dans la commande ou dans l’offre acceptée
Adresse
l’adresse du client indiquée dans la commande ou dans l’offre
Nom, fonction et coordonnées de la personne de contact
la personne et l’adresse e-mail que le client indique dans la commande ; si le client a un délégué à la protection des données, il l’y indique également
Signature et date d’adhésion
par la conclusion du contrat de service, à la date à laquelle il est conclu (article 3 des conditions générales)
numéro d’entreprise (BCE) 1043.139.285 ; numéro de TVA BE 1043.139.285
Nom, fonction et coordonnées de la personne de contact
Timofej Taraszenko, titulaire de l’entreprise individuelle ; e-mail info@briola.be
Délégué à la protection des données
non désigné
Signature et date d’adhésion
comme pour le responsable du traitement
Annexe II. Description du traitement
Catégories de personnes concernées dont les données à caractère personnel sont traitées
les utilisateurs de l’environnement de gestion du client : le client lui-même s’il est une personne physique, ses responsables et les membres de son personnel auxquels il donne accès ;
les personnes qui apparaissent ou sont nommées dans les contenus du client, si celui-ci les montre sur ses écrans, par exemple des membres du personnel, le propriétaire ou des clients de l’établissement sur des photos et des vidéos.
Catégories de données à caractère personnel traitées
les données de compte des utilisateurs : nom, adresse e-mail ou identifiant, données de connexion, rôle et droits, établissements que l’utilisateur peut gérer, codes PIN et réglages comme la langue ;
les contenus que le client place dans le service ou que nous saisissons sur ses instructions (article 2.3 des conditions générales) : menus, photos, vidéos, textes et plannings, dans la mesure où ils montrent ou nomment une personne.
Données sensibles traitées (le cas échéant)
Aucune. Le service n’est pas destiné aux données sensibles au sens de la clause 7.5, et le client n’en place pas dans le service. Si ses contenus en contiennent malgré tout, les mesures de l’annexe III s’appliquent et nous les effaçons sur ses instructions.
Nature du traitement
Nous conservons les données sur des serveurs situés dans l’Union européenne, affichons les contenus du client sur ses écrans au moyen des lecteurs, gérons les comptes et les droits de ses utilisateurs, et consultons ou modifions des données lorsque le client nous demande de l’aide ou commande une prestation unique, comme la saisie de son menu.
Finalité(s) pour laquelle (lesquelles) les données à caractère personnel sont traitées pour le compte du responsable du traitement
conserver les menus, les médias et les plannings du client et les afficher sur ses écrans ;
gérer ses écrans, ses établissements, ses utilisateurs et leurs droits ;
fournir l’assistance et exécuter les prestations uniques que le client commande.
Durée du traitement
Pendant la durée du contrat de service. Après toute fin du contrat, le client peut encore exporter ses menus, médias et plannings dans un format courant et lisible par machine pendant au moins 30 jours (article 6.5 des conditions générales). Ensuite, nous effaçons les données à caractère personnel et le confirmons par écrit (clause 10, point d)), sauf ce que le droit de l’Union ou le droit belge nous oblige à conserver. Sur instruction écrite du client, nous les effaçons plus tôt.
Ce que nous traitons pour notre propre compte
Pour les données suivantes, nous sommes nous-mêmes responsable du traitement ; elles ne relèvent pas des présentes clauses mais de notre politique de confidentialité : les coordonnées et les données de facturation du client et le contrat lui-même ; les messages adressés à notre assistance ; les données techniques que le lecteur envoie pour fournir et entretenir le service (article 10.4 des conditions générales : un signal de présence, l’état de synchronisation, le journal d’affichage et un diagnostic technique, comme la température, le stockage et les redémarrages) ; et les journaux techniques de nos serveurs. Si nous enregistrons qui a publié quoi, nous le faisons aussi pour disposer de notre propre preuve.
Annexe III. Mesures techniques et organisationnelles, y compris mesures techniques et organisationnelles visant à garantir la sécurité des données
Voici les mesures que nous appliquons ; ce qui n’y figure pas, nous ne le promettons pas. Nous ne détenons aucune certification.
Où se trouvent les données
Sur les serveurs d’un hébergeur situés dans l’Union européenne, avec lequel nous avons conclu un contrat de sous-traitance. La sécurité physique des serveurs est assurée par cet hébergeur dans ses centres de données.
Qui y a accès
Seules les personnes qui fournissent ou entretiennent le service, et uniquement dans la mesure strictement nécessaire (clause 7.4, point b)). Toute personne qui y a accès pour notre compte travaille depuis l’Union européenne et est tenue à la confidentialité par écrit. Personne travaillant pour nous n’accède aux données des clients depuis un pays situé hors de l’Union européenne. L’accès d’administration aux serveurs se fait avec une clé personnelle par personne ; aucun mot de passe n’est partagé.
Tests de réception
Les nouvelles versions sont testées dans un environnement distinct, uniquement avec des données fictives. Nous n’utilisons pas les données des clients pour ces tests, même sous forme pseudonymisée.
Utilisateurs et droits dans le service
Chaque utilisateur se connecte avec son propre compte. La commande des écrans depuis un téléphone ou une tablette est protégée par un code PIN. Le client décide lui-même qui a accès à quels établissements et peut désactiver un utilisateur de manière centralisée.
Les lecteurs
Le lecteur n’ouvre aucun port entrant : c’est lui qui se connecte au service. Nous recommandons au client de placer les lecteurs sur un réseau invité distinct, séparé du réseau de la caisse.
Aucune donnée sur la clientèle de l’établissement
Le service n’a ni caméra ni microphone et ne traite aucune donnée sur les personnes qui fréquentent l’établissement du client, en dehors de ce que le client place lui-même dans ses contenus.
Conservation, exportation et effacement
Comme décrit à l’annexe II, sous la durée du traitement.
Assistance au client
Dans l’environnement de gestion, le client peut lui-même ajouter, modifier et désactiver des utilisateurs et modifier ou supprimer des contenus ; il peut ainsi traiter lui-même la plupart des demandes des personnes concernées. Ce qu’il ne peut pas faire lui-même, comme effacer entièrement un utilisateur ou rassembler les données d’une seule personne, nous le faisons sur ses instructions écrites. Une demande qu’une personne concernée nous adresse directement est transmise sans délai au client (clause 8, point a)). Pour une analyse d’impact relative à la protection des données ou une consultation de l’autorité de contrôle, nous fournissons sur demande les informations du présent contrat et ce que nous savons en outre du traitement (clause 8, point c)).
Notification des violations
Nous notifions au client une violation de données à caractère personnel dans les meilleurs délais et au plus tard 24 heures après en avoir pris connaissance, par e-mail à la personne de contact indiquée à l’annexe I, avec les informations de la clause 9.2. Ce que nous ne savons pas encore, nous le communiquons dès que nous le savons. Le point de contact pour obtenir plus d’informations est l’adresse e-mail du sous-traitant indiquée à l’annexe I.
Vulnérabilités
Toute personne peut signaler une vulnérabilité du service ou du lecteur à l’adresse indiquée dans notre fichier security.txt (briola.be/.well-known/security.txt).
Sous-traitants ultérieurs
Nous imposons par contrat à chaque sous-traitant ultérieur, en substance, les mêmes obligations que celles des présentes clauses (clause 7.7, point b)), et nous ne faisons appel qu’à des prestataires qui traitent les données dans l’Espace économique européen ou qui encadrent tout transfert conformément au chapitre V du RGPD (clause 7.8).
Annexe IV. Liste de sous-traitants ultérieurs
Conformément à la clause 7.7, point a), option 2, le client nous donne une autorisation générale pour des sous-traitants ultérieurs des catégories suivantes :
1. Hébergement du service
Un hébergeur dont les serveurs sont situés dans l’Union européenne. Il conserve toutes les données de l’annexe II et fait fonctionner le service, pendant la durée du contrat et jusqu’à l’effacement prévu à l’annexe II.
2. Envoi des e-mails du service
Un service d’e-mail. Il envoie aux utilisateurs les messages du service, comme les invitations et les notifications, et traite pour cela leur nom et leur adresse e-mail, pendant la durée du contrat. Traitement dans l’Espace économique européen ; un transfert uniquement conformément à la clause 7.8.
3. Développement et administration technique
Des personnes physiques qui entretiennent le logiciel et les serveurs pour notre compte. Elles n’ont accès aux données que dans la mesure nécessaire à cette tâche, depuis l’Union européenne (annexe III), pendant la durée du contrat.
Sur demande, nous envoyons au client la liste à jour indiquant le nom, l’adresse et le lieu de traitement de chaque sous-traitant ultérieur auquel nous faisons appel : un e-mail à l’adresse indiquée à l’annexe I suffit.
Nous annonçons au client par e-mail tout ajout ou remplacement d’un sous-traitant ultérieur, y compris au sein de l’une des catégories ci-dessus, au moins 14 jours à l’avance. Si le client s’y oppose dans ce délai et que nous ne trouvons pas de solution, il peut mettre fin au contrat sans frais (article 12.1 des conditions générales).
Notre comptabilité, la facturation via Peppol et les paiements traitent des données dont nous sommes nous-mêmes responsable du traitement (annexe II) ; ces prestataires ne sont pas des sous-traitants ultérieurs et ne figurent pas sur cette liste.
Source et langues
Le texte des clauses est celui de la décision d’exécution (UE) 2021/915 de la Commission du 4 juin 2021 relative aux clauses contractuelles types entre les responsables du traitement et les sous-traitants au titre de l’article 28, paragraphe 7, du règlement (UE) 2016/679 du Parlement européen et du Conseil et de l’article 29, paragraphe 7, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (JO L 199 du 7.6.2021, p. 18). Dans cette présentation, seuls les choix ont été faits et les délais complétés ; la mise en forme suit ce site.
Le présent contrat existe en néerlandais, en français, en anglais et en allemand. En cas de divergence entre les versions, le texte néerlandais prévaut.
English version
Version 3, 21 October 2026
This data processing agreement applies to every Briola client. It exists in Dutch, French, English and German; if the versions differ, the Dutch text prevails. Other versions: Nederlands, Français, Deutsch.
Parties and structure
This data processing agreement is made between the client, the business that concludes an agreement with us for the Briola service, as controller, and Timofej Taraszenko, sole proprietorship (eenmanszaak, natural person), as processor. The details of both parties are in Annex I. In this agreement the processor is also called “we”; Briola is the name of our service.
The agreement consists of the standard contractual clauses adopted by the European Commission for the relationship between controllers and processors (Article 28(7) GDPR) and of the four annexes, which we have filled in below for our service. The source is given at the bottom of this page.
It forms part of the service agreement and of our general terms (article 12) and is concluded together with that agreement (article 3 of the general terms). It applies for as long as that agreement runs and afterwards for as long as we still process personal data for the client (Annex II). If it conflicts with the general terms or with any other arrangement between the parties, these Clauses prevail (Clause 4).
The Clauses themselves do not change (Clause 2). If we change an annex, we do so as for the general terms: with the reason, at least two months in advance and with the client’s right to end the agreement free of charge (article 15). A new sub-processor is announced as set out in Annex IV.
Choices and additions
Clause 1(a): the Clauses ensure compliance with Article 28(3) and (4) GDPR. Regulation (EU) 2018/1725, which applies only to the Union institutions, does not apply.
Clause 5, accession of other parties: not used. Each business enters into this agreement with its own service agreement.
Clause 7.7(a): option 2, general written authorisation for the sub-processors on the list in Annex IV. We announce any change to that list at least 14 days in advance, as in article 12.1 of the general terms.
Clause 9.2: we notify a personal data breach at the latest 24 hours after becoming aware of it (Annex III).
Standard contractual clauses
Text of the European Commission; only the choices above have been filled in.
Section I
Clause 1 Purpose and scope
(a) The purpose of these Standard Contractual Clauses (the Clauses) is to ensure compliance with Article 28(3) and (4) of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation).
(b) The controllers and processors listed in Annex I have agreed to these Clauses in order to ensure compliance with Article 28(3) and (4) of Regulation (EU) 2016/679 and/or Article 29(3) and (4) of Regulation (EU) 2018/1725.
(c) These Clauses apply to the processing of personal data as specified in Annex II.
(d) Annexes I to IV are an integral part of the Clauses.
(e) These Clauses are without prejudice to obligations to which the controller is subject by virtue of Regulation (EU) 2016/679 and/or Regulation (EU) 2018/1725.
(f) These Clauses do not by themselves ensure compliance with obligations related to international transfers in accordance with Chapter V of Regulation (EU) 2016/679 and/or Regulation (EU) 2018/1725.
Clause 2 Invariability of the Clauses
(a) The Parties undertake not to modify the Clauses, except for adding information to the Annexes or updating information in them.
(b) This does not prevent the Parties from including the standard contractual clauses laid down in these Clauses in a broader contract, or from adding other clauses or additional safeguards provided that they do not directly or indirectly contradict the Clauses or detract from the fundamental rights or freedoms of data subjects.
Clause 3 Interpretation
(a) Where these Clauses use the terms defined in Regulation (EU) 2016/679 or Regulation (EU) 2018/1725 respectively, those terms shall have the same meaning as in that Regulation.
(b) These Clauses shall be read and interpreted in the light of the provisions of Regulation (EU) 2016/679 or Regulation (EU) 2018/1725 respectively.
(c) These Clauses shall not be interpreted in a way that runs counter to the rights and obligations provided for in Regulation (EU) 2016/679 / Regulation (EU) 2018/1725 or in a way that prejudices the fundamental rights or freedoms of the data subjects.
Clause 4 Hierarchy
In the event of a contradiction between these Clauses and the provisions of related agreements between the Parties existing at the time when these Clauses are agreed or entered into thereafter, these Clauses shall prevail.
Clause 5 - Optional Docking clause
Not used. Each business enters into this agreement with its own service agreement.
Section II. Obligations of the parties
Clause 6 Description of processing(s)
The details of the processing operations, in particular the categories of personal data and the purposes of processing for which the personal data is processed on behalf of the controller, are specified in Annex II.
Clause 7 Obligations of the Parties
7.1. Instructions
(a) The processor shall process personal data only on documented instructions from the controller, unless required to do so by Union or Member State law to which the processor is subject. In this case, the processor shall inform the controller of that legal requirement before processing, unless the law prohibits this on important grounds of public interest. Subsequent instructions may also be given by the controller throughout the duration of the processing of personal data. These instructions shall always be documented.
(b) The processor shall immediately inform the controller if, in the processor’s opinion, instructions given by the controller infringe Regulation (EU) 2016/679 / Regulation (EU) 2018/1725 or the applicable Union or Member State data protection provisions.
7.2. Purpose limitation
The processor shall process the personal data only for the specific purpose(s) of the processing, as set out in Annex II, unless it receives further instructions from the controller.
7.3. Duration of the processing of personal data
Processing by the processor shall only take place for the duration specified in Annex II.
7.4. Security of processing
(a) The processor shall at least implement the technical and organisational measures specified in Annex III to ensure the security of the personal data. This includes protecting the data against a breach of security leading to accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access to the data (personal data breach). In assessing the appropriate level of security, the Parties shall take due account of the state of the art, the costs of implementation, the nature, scope, context and purposes of processing and the risks involved for the data subjects.
(b) The processor shall grant access to the personal data undergoing processing to members of its personnel only to the extent strictly necessary for implementing, managing and monitoring of the contract. The processor shall ensure that persons authorised to process the personal data received have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality.
7.5. Sensitive data
If the processing involves personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, genetic data or biometric data for the purpose of uniquely identifying a natural person, data concerning health or a person’s sex life or sexual orientation, or data relating to criminal convictions and offences (“sensitive data”), the processor shall apply specific restrictions and/or additional safeguards.
7.6. Documentation and compliance
(a) The Parties shall be able to demonstrate compliance with these Clauses.
(b) The processor shall deal promptly and adequately with inquiries from the controller about the processing of data in accordance with these Clauses.
(c) The processor shall make available to the controller all information necessary to demonstrate compliance with the obligations that are set out in these Clauses and stem directly from Regulation (EU) 2016/679 and/or Regulation (EU) 2018/1725. At the controller’s request, the processor shall also permit and contribute to audits of the processing activities covered by these Clauses, at reasonable intervals or if there are indications of non-compliance. In deciding on a review or an audit, the controller may take into account relevant certifications held by the processor.
(d) The controller may choose to conduct the audit by itself or mandate an independent auditor. Audits may also include inspections at the premises or physical facilities of the processor and shall, where appropriate, be carried out with reasonable notice.
(e) The Parties shall make the information referred to in this Clause, including the results of any audits, available to the competent supervisory authority/ies on request.
7.7. Use of sub-processors
(a) The processor has the controller’s general authorisation for the engagement of sub-processors from an agreed list. The processor shall specifically inform in writing the controller of any intended changes of that list through the addition or replacement of sub-processors at least 14 days in advance, thereby giving the controller sufficient time to be able to object to such changes prior to the engagement of the concerned sub-processor(s). The processor shall provide the controller with the information necessary to enable the controller to exercise the right to object.
(b) Where the processor engages a sub-processor for carrying out specific processing activities (on behalf of the controller), it shall do so by way of a contract which imposes on the sub-processor, in substance, the same data protection obligations as the ones imposed on the data processor in accordance with these Clauses. The processor shall ensure that the sub-processor complies with the obligations to which the processor is subject pursuant to these Clauses and to Regulation (EU) 2016/679 and/or Regulation (EU) 2018/1725.
(c) At the controller’s request, the processor shall provide a copy of such a sub-processor agreement and any subsequent amendments to the controller. To the extent necessary to protect business secret or other confidential information, including personal data, the processor may redact the text of the agreement prior to sharing the copy.
(d) The processor shall remain fully responsible to the controller for the performance of the sub-processor’s obligations in accordance with its contract with the processor. The processor shall notify the controller of any failure by the sub-processor to fulfil its contractual obligations.
(e) The processor shall agree a third party beneficiary clause with the sub-processor whereby - in the event the processor has factually disappeared, ceased to exist in law or has become insolvent - the controller shall have the right to terminate the sub-processor contract and to instruct the sub-processor to erase or return the personal data.
7.8. International transfers
(a) Any transfer of data to a third country or an international organisation by the processor shall be done only on the basis of documented instructions from the controller or in order to fulfil a specific requirement under Union or Member State law to which the processor is subject and shall take place in compliance with Chapter V of Regulation (EU) 2016/679 or Regulation (EU) 2018/1725.
(b) The controller agrees that where the processor engages a sub-processor in accordance with Clause 7.7. for carrying out specific processing activities (on behalf of the controller) and those processing activities involve a transfer of personal data within the meaning of Chapter V of Regulation (EU) 2016/679, the processor and the sub-processor can ensure compliance with Chapter V of Regulation (EU) 2016/679 by using standard contractual clauses adopted by the Commission in accordance with of Article 46(2) of Regulation (EU) 2016/679, provided the conditions for the use of those standard contractual clauses are met.
Clause 8 Assistance to the controller
(a) The processor shall promptly notify the controller of any request it has received from the data subject. It shall not respond to the request itself, unless authorised to do so by the controller.
(b) The processor shall assist the controller in fulfilling its obligations to respond to data subjects’ requests to exercise their rights, taking into account the nature of the processing. In fulfilling its obligations in accordance with (a) and (b), the processor shall comply with the controller’s instructions.
(c) In addition to the processor’s obligation to assist the controller pursuant to Clause 8(b), the processor shall furthermore assist the controller in ensuring compliance with the following obligations, taking into account the nature of the data processing and the information available to the processor:
(1) the obligation to carry out an assessment of the impact of the envisaged processing operations on the protection of personal data (a ‘data protection impact assessment’) where a type of processing is likely to result in a high risk to the rights and freedoms of natural persons;
(2) the obligation to consult the competent supervisory authority/ies prior to processing where a data protection impact assessment indicates that the processing would result in a high risk in the absence of measures taken by the controller to mitigate the risk;
(3) the obligation to ensure that personal data is accurate and up to date, by informing the controller without delay if the processor becomes aware that the personal data it is processing is inaccurate or has become outdated;
(4) the obligations in Article 32 of Regulation (EU) 2016/679.
(d) The Parties shall set out in Annex III the appropriate technical and organisational measures by which the processor is required to assist the controller in the application of this Clause as well as the scope and the extent of the assistance required.
Clause 9 Notification of personal data breach
In the event of a personal data breach, the processor shall cooperate with and assist the controller for the controller to comply with its obligations under Articles 33 and 34 of Regulation (EU) 2016/679 or under Articles 34 and 35 of Regulation (EU) 2018/1725, where applicable, taking into account the nature of processing and the information available to the processor.
9.1 Data breach concerning data processed by the controller
In the event of a personal data breach concerning data processed by the controller, the processor shall assist the controller:
(a) in notifying the personal data breach to the competent supervisory authority/ies, without undue delay after the controller has become aware of it, where relevant/(unless the personal data breach is unlikely to result in a risk to the rights and freedoms of natural persons);
(b) in obtaining the following information which, pursuant to Article 33(3) of Regulation (EU) 2016/679, shall be stated in the controller’s notification, and must at least include:
(1) the nature of the personal data including where possible, the categories and approximate number of data subjects concerned and the categories and approximate number of personal data records concerned;
(2) the likely consequences of the personal data breach;
(3) the measures taken or proposed to be taken by the controller to address the personal data breach, including, where appropriate, measures to mitigate its possible adverse effects.
Where, and insofar as, it is not possible to provide all this information at the same time, the initial notification shall contain the information then available and further information shall, as it becomes available, subsequently be provided without undue delay.
(c) in complying, pursuant to Article 34 of Regulation (EU) 2016/679, with the obligation to communicate without undue delay the personal data breach to the data subject, when the personal data breach is likely to result in a high risk to the rights and freedoms of natural persons.
9.2 Data breach concerning data processed by the processor
In the event of a personal data breach concerning data processed by the processor, the processor shall notify the controller without undue delay after the processor having become aware of the breach. Such notification shall contain, at least:
(a) a description of the nature of the breach (including, where possible, the categories and approximate number of data subjects and data records concerned);
(b) the details of a contact point where more information concerning the personal data breach can be obtained;
(c) its likely consequences and the measures taken or proposed to be taken to address the breach, including to mitigate its possible adverse effects.
Where, and insofar as, it is not possible to provide all this information at the same time, the initial notification shall contain the information then available and further information shall, as it becomes available, subsequently be provided without undue delay.
The Parties shall set out in Annex III all other elements to be provided by the processor when assisting the controller in the compliance with the controller’s obligations under Articles 33 and 34 of Regulation (EU) 2016/679.
Section III. Final provisions
Clause 10 Non-compliance with the Clauses and termination
(a) Without prejudice to any provisions of Regulation (EU) 2016/679 and/or Regulation (EU) 2018/1725, in the event that the processor is in breach of its obligations under these Clauses, the controller may instruct the processor to suspend the processing of personal data until the latter complies with these Clauses or the contract is terminated. The processor shall promptly inform the controller in case it is unable to comply with these Clauses, for whatever reason.
(b) The controller shall be entitled to terminate the contract insofar as it concerns processing of personal data in accordance with these Clauses if:
(1) the processing of personal data by the processor has been suspended by the controller pursuant to point (a) and if compliance with these Clauses is not restored within a reasonable time and in any event within one month following suspension;
(2) the processor is in substantial or persistent breach of these Clauses or its obligations under Regulation (EU) 2016/679 and/or Regulation (EU) 2018/1725;
(3) the processor fails to comply with a binding decision of a competent court or the competent supervisory authority/ies regarding its obligations pursuant to these Clauses or to Regulation (EU) 2016/679 and/or Regulation (EU) 2018/1725.
(c) The processor shall be entitled to terminate the contract insofar as it concerns processing of personal data under these Clauses where, after having informed the controller that its instructions infringe applicable legal requirements in accordance with Clause 7.1 (b), the controller insists on compliance with the instructions.
(d) Following termination of the contract, the processor shall, at the choice of the controller, delete all personal data processed on behalf of the controller and certify to the controller that it has done so, or, return all the personal data to the controller and delete existing copies unless Union or Member State law requires storage of the personal data. Until the data is deleted or returned, the processor shall continue to ensure compliance with these Clauses.
Annex I. List of parties
Controller
Name
the client, that is the business that concludes the service agreement with us, as stated in the order or the accepted offer
Address
the client’s address as stated in the order or the offer
Contact person’s name, position and contact details
the person and email address the client gives in the order; if the client has a data protection officer, it names that officer there as well
Signature and accession date
by concluding the service agreement, on the day it is concluded (article 3 of the general terms)
Processor
Name
Timofej Taraszenko, sole proprietorship (eenmanszaak, natural person)
Address
Roeland Saverystraat 28, 8500 Kortrijk, Belgium
Enterprise and VAT number
enterprise number (CBE) 1043.139.285; VAT number BE 1043.139.285
Contact person’s name, position and contact details
Timofej Taraszenko, owner of the sole proprietorship; email info@briola.be
Data protection officer
not appointed
Signature and accession date
as for the controller
Annex II. Description of the processing
Categories of data subjects whose personal data is processed
users of the client’s management environment: the client itself if it is a natural person, its managers and the staff it gives access to;
people who appear or are named in the client’s content, if the client shows them on its screens, for example staff, the owner or guests in photos and videos.
Categories of personal data processed
users’ account data: name, email address or user name, login details, role and rights, the venues the user may manage, PIN codes and settings such as the language;
content the client puts into the service or that we enter on its instructions (article 2.3 of the general terms): menus, photos, videos, texts and timetables, insofar as they show or name a person.
Sensitive data processed (if applicable)
None. The service is not meant for sensitive data within the meaning of Clause 7.5, and the client does not put any into it. If the client’s content contains such data nonetheless, the measures in Annex III apply and we erase it on the client’s instructions.
Nature of the processing
We store the data on servers in the European Union, show the client’s content on its screens through the players, manage the accounts and rights of its users, and consult or change data when the client asks us for support or orders a one-off service, such as entering its menu.
Purpose(s) for which the personal data is processed on behalf of the controller
to store the client’s menus, media and timetables and show them on its screens;
to manage its screens, venues, users and their rights;
to provide support and to perform the one-off services the client orders.
Duration of the processing
For as long as the service agreement runs. After any end of the agreement, the client can still export its menus, media and timetables in a common machine-readable format for at least 30 days (article 6.5 of the general terms). After that we erase the personal data and confirm this in writing (Clause 10(d)), except what Union or Belgian law requires us to keep. On the client’s written instructions we erase them earlier.
What we process for ourselves
For the following data we are the controller ourselves; they are not covered by these Clauses but by our privacy policy: the client’s contact and invoicing details and the agreement itself; messages to our support; the technical data the player sends to provide and maintain the service (article 10.4 of the general terms: a sign of life, the synchronisation status, the display log and technical diagnostics such as temperature, storage and restarts); and the technical logs of our servers. If we keep a record of who published what, we also keep it as our own evidence.
Annex III. Technical and organisational measures including technical and organisational measures to ensure the security of the data
These are the measures we apply; what is not listed here, we do not promise. We hold no certifications.
Where the data is kept
On servers of a hosting provider in the European Union, with which we have a data processing agreement. The physical security of the servers is provided by that provider in its data centres.
Who has access
Only the people who provide or maintain the service, and only to the extent strictly necessary (Clause 7.4(b)). Anyone with access on our behalf works from within the European Union and is bound to confidentiality in writing. Nobody working for us accesses client data from a country outside the European Union. Administrative access to the servers uses a personal key for each person; no passwords are shared.
Acceptance testing
New versions are tested in a separate environment with fictitious data only. We do not use client data for testing, not even in pseudonymised form.
Users and rights in the service
Every user logs in with their own account. Operating the screens from a phone or tablet is protected by a PIN code. The client decides who has access to which venues and can disable a user centrally.
The players
The player opens no incoming ports: it connects to the service itself. We advise the client to put the players on a separate guest network, apart from the network the till uses.
No data about guests
The service has no cameras or microphones and processes no data about the guests of the client’s venue, other than what the client puts into its own content.
Retention, export and erasure
As described in Annex II, under the duration of the processing.
Assistance to the client
In the management environment the client can add, change and disable users and change or remove content itself, which lets it handle most requests from data subjects on its own. What it cannot do itself, such as fully erasing a user or gathering the data of one person, we do on its written instructions. A request that a data subject sends directly to us is passed on to the client without delay (Clause 8(a)). For a data protection impact assessment or a consultation of the supervisory authority, we provide on request the information in this agreement and whatever else we know about the processing (Clause 8(c)).
Notification of breaches
We notify the client of a personal data breach without undue delay and at the latest 24 hours after becoming aware of it, by email to the contact person in Annex I, with the information set out in Clause 9.2. What we do not yet know, we send on as soon as we know it. The contact point for more information is the processor’s email address in Annex I.
Vulnerabilities
Anyone can report a vulnerability in the service or the player to the address in our security.txt file (briola.be/.well-known/security.txt).
Sub-processors
We impose on every sub-processor, by contract, in substance the same obligations as these Clauses (Clause 7.7(b)), and we only use providers that process the data within the European Economic Area or ensure that any transfer complies with Chapter V GDPR (Clause 7.8).
Annex IV. List of sub-processors
Under Clause 7.7(a), option 2, the client gives us general authorisation for sub-processors in the following categories:
1. Hosting of the service
A hosting provider with servers in the European Union. It stores all the data in Annex II and runs the service, for as long as the agreement runs and until the erasure set out in Annex II.
2. Sending the service’s emails
An email service. It sends the service’s messages to users, such as invitations and notifications, and processes their name and email address for that purpose, for as long as the agreement runs. Processing within the European Economic Area; any transfer only in accordance with Clause 7.8.
3. Development and technical administration
Natural persons who maintain the software and the servers on our behalf. They have access to the data only to the extent that task requires, from within the European Union (Annex III), for as long as the agreement runs.
On request we send the client the current list with the name, address and place of processing of each sub-processor we use: an email to the address in Annex I is enough.
We tell the client by email about any addition or replacement of a sub-processor, also within one of the categories above, at least 14 days in advance. If the client objects within that period and we find no solution, it may end the agreement free of charge (article 12.1 of the general terms).
Our accounting, invoicing through Peppol and payments process data for which we are the controller ourselves (Annex II); those providers are not sub-processors and are not on this list.
Source and languages
The text of the Clauses is that of Commission Implementing Decision (EU) 2021/915 of 4 June 2021 on standard contractual clauses between controllers and processors under Article 28(7) of Regulation (EU) 2016/679 of the European Parliament and of the Council and Article 29(7) of Regulation (EU) 2018/1725 of the European Parliament and of the Council (OJ L 199, 7.6.2021, p. 18). In this presentation only the choices have been made and the periods filled in; the layout follows this website.
This agreement exists in Dutch, French, English and German. If the versions differ, the Dutch text prevails.
Deutsche Fassung
Version 3, 21. Oktober 2026
Dieser Auftragsverarbeitungsvertrag gilt für jeden Kunden von Briola. Er liegt auf Niederländisch, Französisch, Englisch und Deutsch vor; weichen die Fassungen voneinander ab, gilt der niederländische Text. Weitere Fassungen: Nederlands, Français, English.
Parteien und Aufbau
Dieser Auftragsverarbeitungsvertrag wird geschlossen zwischen dem Kunden, dem Unternehmen, das mit uns einen Vertrag über den Dienst Briola schließt, als Verantwortlichem und Timofej Taraszenko, Einzelunternehmen (eenmanszaak, natürliche Person), als Auftragsverarbeiter. Die Angaben zu beiden Parteien stehen in Anhang I. In diesem Vertrag heißt der Auftragsverarbeiter auch „wir“; Briola ist der Name unseres Dienstes.
Der Vertrag besteht aus den Standardvertragsklauseln, die die Europäische Kommission für das Verhältnis zwischen Verantwortlichen und Auftragsverarbeitern erlassen hat (Artikel 28 Absatz 7 DSGVO), und aus den vier Anhängen, die wir unten für unseren Dienst ausgefüllt haben. Die Quelle steht am Ende dieser Seite.
Er ist Teil des Vertrags über den Dienst und unserer Allgemeinen Geschäftsbedingungen (Artikel 12) und kommt zusammen mit diesem Vertrag zustande (Artikel 3 der AGB). Er gilt, solange dieser Vertrag läuft, und danach, solange wir noch personenbezogene Daten für den Kunden verarbeiten (Anhang II). Bei Widersprüchen zu den AGB oder zu anderen Vereinbarungen zwischen den Parteien haben diese Klauseln Vorrang (Klausel 4).
Die Klauseln selbst ändern sich nicht (Klausel 2). Ändern wir einen Anhang, gehen wir wie bei den AGB vor: mit Angabe des Grundes, mindestens zwei Monate im Voraus und mit dem Recht des Kunden, den Vertrag kostenlos zu beenden (Artikel 15). Einen neuen Unterauftragsverarbeiter kündigen wir nach Anhang IV an.
Getroffene Wahl und Ergänzungen
Klausel 1 Buchstabe a: Die Klauseln dienen der Einhaltung von Artikel 28 Absätze 3 und 4 DSGVO. Die Verordnung (EU) 2018/1725, die nur für die Organe und Einrichtungen der Union gilt, ist nicht anwendbar.
Klausel 5, Beitritt weiterer Parteien: nicht übernommen. Jedes Unternehmen schließt diesen Vertrag mit seinem eigenen Vertrag über den Dienst.
Klausel 7.7 Buchstabe a: Option 2, allgemeine schriftliche Genehmigung für die Unterauftragsverarbeiter der Liste in Anhang IV. Jede Änderung dieser Liste kündigen wir mindestens 14 Tage im Voraus an, wie in Artikel 12.1 der AGB.
Klausel 9.2: Eine Verletzung des Schutzes personenbezogener Daten melden wir spätestens 24 Stunden, nachdem sie uns bekannt geworden ist (Anhang III).
Standardvertragsklauseln
Text der Europäischen Kommission; ausgefüllt ist nur die oben genannte Wahl.
Abschnitt I
Klausel 1 Zweck und Anwendungsbereich
a) Mit diesen Standardvertragsklauseln (im Folgenden „Klauseln“) soll die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sichergestellt werden.
b) Die in Anhang I aufgeführten Verantwortlichen und Auftragsverarbeiter haben diesen Klauseln zugestimmt, um die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 und/oder Artikel 29 Absätze 3 und 4 der Verordnung (EU) 2018/1725 zu gewährleisten.
c) Diese Klauseln gelten für die Verarbeitung personenbezogener Daten gemäß Anhang II.
d) Die Anhänge I bis IV sind Bestandteil der Klauseln.
e) Diese Klauseln gelten unbeschadet der Verpflichtungen, denen der Verantwortliche gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.
f) Diese Klauseln stellen für sich allein genommen nicht sicher, dass die Verpflichtungen im Zusammenhang mit internationalen Datenübermittlungen gemäß Kapitel V der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 erfüllt werden.
Klausel 2 Unabänderbarkeit der Klauseln
a) Die Parteien verpflichten sich, die Klauseln nicht zu ändern, es sei denn, zur Ergänzung oder Aktualisierung der in den Anhängen angegebenen Informationen.
b) Dies hindert die Parteien nicht daran die in diesen Klauseln festgelegten Standardvertragsklauseln in einen umfangreicheren Vertrag aufzunehmen und weitere Klauseln oder zusätzliche Garantien hinzuzufügen, sofern diese weder unmittelbar noch mittelbar im Widerspruch zu den Klauseln stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneiden.
Klausel 3 Auslegung
a) Werden in diesen Klauseln die in der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 definierten Begriffe verwendet, so haben diese Begriffe dieselbe Bedeutung wie in der betreffenden Verordnung.
b) Diese Klauseln sind im Lichte der Bestimmungen der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 auszulegen.
c) Diese Klauseln dürfen nicht in einer Weise ausgelegt werden, die den in der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten zuwiderläuft oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneidet.
Klausel 4 Vorrang
Im Falle eines Widerspruchs zwischen diesen Klauseln und den Bestimmungen damit zusammenhängender Vereinbarungen, die zwischen den Parteien bestehen oder später eingegangen oder geschlossen werden, haben diese Klauseln Vorrang.
Klausel 5 - fakultativ Kopplungsklausel
Nicht übernommen. Jedes Unternehmen schließt diesen Vertrag mit seinem eigenen Vertrag über den Dienst.
Abschnitt II. Pflichten der Parteien
Klausel 6 Beschreibung der Verarbeitung
Die Einzelheiten der Verarbeitungsvorgänge, insbesondere die Kategorien personenbezogener Daten und die Zwecke, für die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden, sind in Anhang II aufgeführt.
Klausel 7 Pflichten der Parteien
7.1. Weisungen
a) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Verantwortliche kann während der gesamten Dauer der Verarbeitung personenbezogener Daten weitere Weisungen erteilen. Diese Weisungen sind stets zu dokumentieren.
b) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass vom Verantwortlichen erteilte Weisungen gegen die Verordnung (EU) 2016/679, die Verordnung (EU) 2018/1725 oder geltende Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstoßen.
7.2. Zweckbindung
Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur für den/die in Anhang II genannten spezifischen Zweck(e), sofern er keine weiteren Weisungen des Verantwortlichen erhält.
7.3. Dauer der Verarbeitung personenbezogener Daten
Die Daten werden vom Auftragsverarbeiter nur für die in Anhang II angegebene Dauer verarbeitet.
7.4. Sicherheit der Verarbeitung
a) Der Auftragsverarbeiter ergreift mindestens die in Anhang III aufgeführten technischen und organisatorischen Maßnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Dies umfasst den Schutz der Daten vor einer Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu den Daten führt (im Folgenden „Verletzung des Schutzes personenbezogener Daten“). Bei der Beurteilung des angemessenen Schutzniveaus tragen die Parteien dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie den für die betroffenen Personen verbundenen Risiken gebührend Rechnung.
b) Der Auftragsverarbeiter gewährt seinem Personal nur insoweit Zugang zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, als dies für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der erhaltenen personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
7.5. Sensible Daten
Falls die Verarbeitung personenbezogene Daten betrifft, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, oder die genetische Daten oder biometrische Daten zum Zweck der eindeutigen Identifizierung einer natürlichen Person, Daten über die Gesundheit, das Sexualleben oder die sexuelle Ausrichtung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten enthalten (im Folgenden „sensible Daten“), wendet der Auftragsverarbeiter spezielle Beschränkungen und/oder zusätzlichen Garantien an.
7.6. Dokumentation und Einhaltung der Klauseln
a) Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können.
b) Der Auftragsverarbeiter bearbeitet Anfragen des Verantwortlichen bezüglich der Verarbeitung von Daten gemäß diesen Klauseln umgehend und in angemessener Weise.
c) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der in diesen Klauseln festgelegten und unmittelbar aus der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 hervorgehenden Pflichten erforderlich sind. Auf Verlangen des Verantwortlichen gestattet der Auftragsverarbeiter ebenfalls die Prüfung der unter diese Klauseln fallenden Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung und trägt zu einer solchen Prüfung bei. Bei der Entscheidung über eine Überprüfung oder Prüfung kann der Verantwortliche einschlägige Zertifizierungen des Auftragsverarbeiters berücksichtigen.
d) Der Verantwortliche kann die Prüfung selbst durchführen oder einen unabhängigen Prüfer beauftragen. Die Prüfungen können auch Inspektionen in den Räumlichkeiten oder physischen Einrichtungen des Auftragsverarbeiters umfassen und werden gegebenenfalls mit angemessener Vorankündigung durchgeführt.
e) Die Parteien stellen der/den zuständigen Aufsichtsbehörde(n) die in dieser Klausel genannten Informationen, einschließlich der Ergebnisse von Prüfungen, auf Anfrage zur Verfügung.
7.7. Einsatz von Unterauftragsverarbeitern
a) Der Auftragsverarbeiter besitzt die allgemeine Genehmigung des Verantwortlichen für die Beauftragung von Unterauftragsverarbeitern, die in einer vereinbarten Liste aufgeführt sind. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens 14 Tage im Voraus ausdrücklich in schriftlicher Form über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern und räumt dem Verantwortlichen damit ausreichend Zeit ein, um vor der Beauftragung des/der betreffenden Unterauftragsverarbeiter/s Einwände gegen diese Änderungen erheben zu können. Der Auftragsverarbeiter stellt dem Verantwortlichen die erforderlichen Informationen zur Verfügung, damit dieser sein Widerspruchsrecht ausüben kann.
b) Beauftragt der Auftragsverarbeiter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen), so muss diese Beauftragung im Wege eines Vertrags erfolgen, der dem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diejenigen, die für den Auftragsverarbeiter gemäß diesen Klauseln gelten. Der Auftragsverarbeiter stellt sicher, dass der Unterauftragsverarbeiter die Pflichten erfüllt, denen der Auftragsverarbeiter entsprechend diesen Klauseln und gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.
c) Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Verlangen eine Kopie einer solchen Untervergabevereinbarung und etwaiger späterer Änderungen zur Verfügung. Soweit es zum Schutz von Geschäftsgeheimnissen oder anderen vertraulichen Informationen, einschließlich personenbezogener Daten notwendig ist, kann der Auftragsverarbeiter den Wortlaut der Vereinbarung vor der Weitergabe einer Kopie unkenntlich machen.
d) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang dafür, dass der Unterauftragsverarbeiter seinen Pflichten gemäß dem mit dem Auftragsverarbeiter geschlossenen Vertrag nachkommt. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen, wenn der Unterauftragsverarbeiter seine vertraglichen Pflichten nicht erfüllt.
e) Der Auftragsverarbeiter vereinbart mit dem Unterauftragsverarbeiter eine Drittbegünstigtenklausel, wonach der Verantwortliche - im Falle, dass der Auftragsverarbeiter faktisch oder rechtlich nicht mehr besteht oder zahlungsunfähig ist - das Recht hat, den Untervergabevertrag zu kündigen und den Unterauftragsverarbeiter anzuweisen, die personenbezogenen Daten zu löschen oder zurückzugeben.
7.8. Internationale Datenübermittlungen
a) Jede Übermittlung von Daten durch den Auftragsverarbeiter an ein Drittland oder eine internationale Organisation erfolgt ausschließlich auf der Grundlage dokumentierter Weisungen des Verantwortlichen oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, und muss mit Kapitel V der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 im Einklang stehen.
b) Der Verantwortliche erklärt sich damit einverstanden, dass in Fällen, in denen der Auftragsverarbeiter einen Unterauftragsverarbeiter gemäß Klausel 7.7 für die Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen) in Anspruch nimmt und diese Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten im Sinne von Kapitel V der Verordnung (EU) 2016/679 beinhalten, der Auftragsverarbeiter und der Unterauftragsverarbeiter die Einhaltung von Kapitel V der Verordnung (EU) 2016/679 sicherstellen können, indem sie Standardvertragsklauseln verwenden, die von der Kommission gemäß Artikel 46 Absatz 2 der Verordnung (EU) 2016/679 erlassen wurden, sofern die Voraussetzungen für die Anwendung dieser Standardvertragsklauseln erfüllt sind.
Klausel 8 Unterstützung des Verantwortlichen
a) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über jeden Antrag, den er von der betroffenen Person erhalten hat. Er beantwortet den Antrag nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt.
b) Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung von dessen Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte zu beantworten. Bei der Erfüllung seiner Pflichten gemäß den Buchstaben a und b befolgt der Auftragsverarbeiter die Weisungen des Verantwortlichen.
c) Abgesehen von der Pflicht des Auftragsverarbeiters, den Verantwortlichen gemäß Klausel 8 Buchstabe b zu unterstützen, unterstützt der Auftragsverarbeiter unter Berücksichtigung der Art der Datenverarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen zudem bei der Einhaltung der folgenden Pflichten:
1) Pflicht zur Durchführung einer Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten (im Folgenden „Datenschutz-Folgenabschätzung“), wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat;
2) Pflicht zur Konsultation der zuständigen Aufsichtsbehörde(n) vor der Verarbeitung, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft;
3) Pflicht zur Gewährleistung, dass die personenbezogenen Daten sachlich richtig und auf dem neuesten Stand sind, indem der Auftragsverarbeiter den Verantwortlichen unverzüglich unterrichtet, wenn er feststellt, dass die von ihm verarbeiteten personenbezogenen Daten unrichtig oder veraltet sind;
4) Verpflichtungen gemäß Artikel 32 der Verordnung (EU) 2016/679.
d) Die Parteien legen in Anhang III die geeigneten technischen und organisatorischen Maßnahmen zur Unterstützung des Verantwortlichen durch den Auftragsverarbeiter bei der Anwendung dieser Klausel sowie den Anwendungsbereich und den Umfang der erforderlichen Unterstützung fest.
Klausel 9 Meldung von Verletzungen des Schutzes personenbezogener Daten
Im Falle einer Verletzung des Schutzes personenbezogener Daten arbeitet der Auftragsverarbeiter mit dem Verantwortlichen zusammen und unterstützt ihn entsprechend, damit der Verantwortliche seinen Verpflichtungen gemäß den Artikeln 33 und 34 der Verordnung (EU) 2016/679 oder gegebenenfalls den Artikeln 34 und 35 der Verordnung (EU) 2018/1725 nachkommen kann, wobei der Auftragsverarbeiter die Art der Verarbeitung und die ihm zur Verfügung stehenden Informationen berücksichtigt.
9.1. Verletzung des Schutzes der vom Verantwortlichen verarbeiteten Daten
Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Verantwortlichen verarbeiteten Daten unterstützt der Auftragsverarbeiter den Verantwortlichen wie folgt:
a) bei der unverzüglichen Meldung der Verletzung des Schutzes personenbezogener Daten an die zuständige(n) Aufsichtsbehörde(n), nachdem dem Verantwortlichen die Verletzung bekannt wurde, sofern relevant (es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen);
b) bei der Einholung der folgenden Informationen, die gemäß Artikel 33 Absatz 3 der Verordnung (EU) 2016/679 in der Meldung des Verantwortlichen anzugeben sind, wobei diese Informationen mindestens Folgendes umfassen müssen:
1) die Art der personenbezogenen Daten, soweit möglich, mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
2) die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
3) die vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
Wenn und soweit nicht alle diese Informationen zur gleichen Zeit bereitgestellt werden können, enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar sind, anschließend ohne unangemessene Verzögerung bereitgestellt;
c) bei der Einhaltung der Pflicht gemäß Artikel 34 der Verordnung (EU) 2016/679, die betroffene Person unverzüglich von der Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn diese Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
9.2. Verletzung des Schutzes der vom Auftragsverarbeiter verarbeiteten Daten
Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Auftragsverarbeiter verarbeiteten Daten meldet der Auftragsverarbeiter diese dem Verantwortlichen unverzüglich, nachdem ihm die Verletzung bekannt wurde. Diese Meldung muss zumindest folgende Informationen enthalten:
a) eine Beschreibung der Art der Verletzung (möglichst unter Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und der ungefähren Zahl der betroffenen Datensätze);
b) Kontaktdaten einer Anlaufstelle, bei der weitere Informationen über die Verletzung des Schutzes personenbezogener Daten eingeholt werden können;
c) die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
Wenn und soweit nicht alle diese Informationen zur gleichen Zeit bereitgestellt werden können, enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar sind, anschließend ohne unangemessene Verzögerung bereitgestellt.
Die Parteien legen in Anhang III alle sonstigen Angaben fest, die der Auftragsverarbeiter zur Verfügung zu stellen hat, um den Verantwortlichen bei der Erfüllung von dessen Pflichten gemäß Artikel 33 und 34 der Verordnung (EU) 2016/679 zu unterstützen.
Abschnitt III. Schlussbestimmungen
Klausel 10 Verstöße gegen die Klauseln und Beendigung des Vertrags
a) Falls der Auftragsverarbeiter seinen Pflichten gemäß diesen Klauseln nicht nachkommt, kann der Verantwortliche - unbeschadet der Bestimmungen der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 - den Auftragsverarbeiter anweisen, die Verarbeitung personenbezogener Daten auszusetzen, bis er diese Klauseln einhält oder der Vertrag beendet ist. Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn er aus welchen Gründen auch immer nicht in der Lage ist, diese Klauseln einzuhalten.
b) Der Verantwortliche ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn
1) der Verantwortliche die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter gemäß Buchstabe a ausgesetzt hat und die Einhaltung dieser Klauseln nicht innerhalb einer angemessenen Frist, in jedem Fall aber innerhalb eines Monats nach der Aussetzung, wiederhergestellt wurde;
2) der Auftragsverarbeiter in erheblichem Umfang oder fortdauernd gegen diese Klauseln verstößt oder seine Verpflichtungen gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 nicht erfüllt;
3) der Auftragsverarbeiter einer bindenden Entscheidung eines zuständigen Gerichts oder der zuständigen Aufsichtsbehörde(n), die seine Pflichten gemäß diesen Klauseln, der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 zum Gegenstand hat, nicht nachkommt.
c) Der Auftragsverarbeiter ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn der Verantwortliche auf der Erfüllung seiner Anweisungen besteht, nachdem er vom Auftragsverarbeiter darüber in Kenntnis gesetzt wurde, dass seine Anweisungen gegen geltende rechtliche Anforderungen gemäß Klausel 7.1 Buchstabe b verstoßen.
d) Nach Beendigung des Vertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten und bescheinigt dem Verantwortlichen, dass dies erfolgt ist, oder er gibt alle personenbezogenen Daten an den Verantwortlichen zurück und löscht bestehende Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Bis zur Löschung oder Rückgabe der Daten gewährleistet der Auftragsverarbeiter weiterhin die Einhaltung dieser Klauseln.
Anhang I. Liste der Parteien
Verantwortlicher
Name
der Kunde, also das Unternehmen, das mit uns den Vertrag über den Dienst schließt, wie in der Bestellung oder im angenommenen Angebot angegeben
Anschrift
die Anschrift des Kunden laut Bestellung oder Angebot
Name, Funktion und Kontaktdaten der Kontaktperson
die Person und die E-Mail-Adresse, die der Kunde in der Bestellung angibt; hat der Kunde einen Datenschutzbeauftragten, nennt er ihn dort ebenfalls
Unterschrift und Beitrittsdatum
durch den Abschluss des Vertrags über den Dienst, am Tag seines Zustandekommens (Artikel 3 der AGB)
Unternehmensnummer (ZDU) 1043.139.285; MwSt.-Nummer BE 1043.139.285
Name, Funktion und Kontaktdaten der Kontaktperson
Timofej Taraszenko, Inhaber des Einzelunternehmens; E-Mail info@briola.be
Datenschutzbeauftragter
nicht benannt
Unterschrift und Beitrittsdatum
wie beim Verantwortlichen
Anhang II. Beschreibung der Verarbeitung
Kategorien betroffener Personen, deren personenbezogene Daten verarbeitet werden
Nutzer der Verwaltungsoberfläche des Kunden: der Kunde selbst, wenn er eine natürliche Person ist, seine Führungskräfte und das Personal, dem er Zugang gibt;
Personen, die in den Inhalten des Kunden zu sehen sind oder genannt werden, wenn der Kunde sie auf seinen Bildschirmen zeigt, etwa Personal, der Inhaber oder Gäste auf Fotos und Videos.
Kategorien personenbezogener Daten, die verarbeitet werden
Kontodaten der Nutzer: Name, E-Mail-Adresse oder Benutzername, Anmeldedaten, Rolle und Rechte, die Lokale, die der Nutzer verwalten darf, PIN-Codes und Einstellungen wie die Sprache;
Inhalte, die der Kunde in den Dienst stellt oder die wir auf seine Weisung eingeben (Artikel 2.3 der AGB): Speisekarten, Fotos, Videos, Texte und Zeitpläne, soweit sie eine Person zeigen oder nennen.
Verarbeitete sensible Daten (falls zutreffend)
Keine. Der Dienst ist nicht für sensible Daten im Sinne von Klausel 7.5 bestimmt, und der Kunde stellt keine in den Dienst. Enthalten seine Inhalte dennoch solche Daten, gelten die Maßnahmen in Anhang III, und wir löschen sie auf seine Weisung.
Art der Verarbeitung
Wir speichern die Daten auf Servern in der Europäischen Union, zeigen die Inhalte des Kunden über die Player auf seinen Bildschirmen, verwalten die Konten und Rechte seiner Nutzer und sehen Daten ein oder ändern sie, wenn der Kunde uns um Unterstützung bittet oder eine einmalige Leistung bestellt, etwa die Eingabe seiner Speisekarte.
Zweck(e), für den/die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden
Speisekarten, Medien und Zeitpläne des Kunden speichern und auf seinen Bildschirmen zeigen;
seine Bildschirme, Lokale, Nutzer und deren Rechte verwalten;
Support leisten und die einmaligen Leistungen erbringen, die der Kunde bestellt.
Dauer der Verarbeitung
Solange der Vertrag über den Dienst läuft. Nach jedem Vertragsende kann der Kunde seine Speisekarten, Medien und Zeitpläne noch mindestens 30 Tage in einem gängigen, maschinenlesbaren Format exportieren (Artikel 6.5 der AGB). Danach löschen wir die personenbezogenen Daten und bestätigen dies schriftlich (Klausel 10 Buchstabe d), außer dem, was wir nach dem Recht der Union oder Belgiens aufbewahren müssen. Auf schriftliche Weisung des Kunden löschen wir früher.
Was wir für eigene Zwecke verarbeiten
Für die folgenden Daten sind wir selbst Verantwortlicher; sie fallen nicht unter diese Klauseln, sondern unter unsere Datenschutzerklärung: die Kontakt- und Rechnungsdaten des Kunden und den Vertrag selbst; Nachrichten an unseren Support; die technischen Daten, die der Player sendet, um den Dienst zu erbringen und zu warten (Artikel 10.4 der AGB: ein Lebenszeichen, den Synchronisationsstatus, das Wiedergabeprotokoll und technische Diagnosedaten wie Temperatur, Speicher und Neustarts); und die technischen Protokolle unserer Server. Halten wir fest, wer was veröffentlicht hat, tun wir das auch als eigenen Nachweis.
Anhang III. Technische und organisatorische Maßnahmen, einschließlich zur Gewährleistung der Sicherheit der Daten
Hier stehen die Maßnahmen, die wir anwenden; was hier nicht steht, versprechen wir nicht. Zertifizierungen haben wir keine.
Wo die Daten liegen
Auf Servern eines Hosting-Anbieters in der Europäischen Union, mit dem wir einen Auftragsverarbeitungsvertrag haben. Für die physische Sicherheit der Server sorgt dieser Anbieter in seinen Rechenzentren.
Wer Zugang hat
Nur wer den Dienst erbringt oder wartet, und nur soweit unbedingt erforderlich (Klausel 7.4 Buchstabe b). Wer in unserem Auftrag Zugang hat, arbeitet von der Europäischen Union aus und ist schriftlich zur Vertraulichkeit verpflichtet. Niemand, der für uns arbeitet, greift von einem Land außerhalb der Europäischen Union auf Kundendaten zu. Der Verwaltungszugang zu den Servern erfolgt mit einem persönlichen Schlüssel je Person; Passwörter werden nicht geteilt.
Abnahmetests
Neue Versionen werden in einer getrennten Umgebung ausschließlich mit erfundenen Daten getestet. Kundendaten verwenden wir dafür nicht, auch nicht in pseudonymisierter Form.
Nutzer und Rechte im Dienst
Jeder Nutzer meldet sich mit einem eigenen Konto an. Die Bedienung der Bildschirme vom Telefon oder Tablet aus ist mit einem PIN-Code geschützt. Der Kunde bestimmt selbst, wer Zugang zu welchen Lokalen hat, und kann einen Nutzer zentral deaktivieren.
Die Player
Der Player öffnet keine eingehenden Ports: Er verbindet sich selbst mit dem Dienst. Wir empfehlen dem Kunden, die Player in ein eigenes Gastnetz zu setzen, getrennt vom Netz der Kasse.
Keine Daten über Gäste
Der Dienst hat keine Kameras oder Mikrofone und verarbeitet keine Daten über die Gäste des Lokals, außer dem, was der Kunde selbst in seine Inhalte stellt.
Aufbewahrung, Export und Löschung
Wie in Anhang II unter der Dauer der Verarbeitung beschrieben.
Unterstützung des Kunden
In der Verwaltungsoberfläche kann der Kunde Nutzer selbst hinzufügen, ändern und deaktivieren und Inhalte ändern oder entfernen; so kann er die meisten Anträge betroffener Personen selbst erledigen. Was er nicht selbst kann, etwa einen Nutzer vollständig löschen oder die Daten einer einzelnen Person zusammenstellen, erledigen wir auf seine schriftliche Weisung. Einen Antrag, den eine betroffene Person direkt an uns richtet, leiten wir unverzüglich an den Kunden weiter (Klausel 8 Buchstabe a). Für eine Datenschutz-Folgenabschätzung oder eine Konsultation der Aufsichtsbehörde stellen wir auf Anfrage die Angaben aus diesem Vertrag bereit und alles, was wir sonst über die Verarbeitung wissen (Klausel 8 Buchstabe c).
Meldung von Verletzungen
Eine Verletzung des Schutzes personenbezogener Daten melden wir dem Kunden unverzüglich und spätestens 24 Stunden, nachdem sie uns bekannt geworden ist, per E-Mail an die Kontaktperson in Anhang I, mit den Angaben nach Klausel 9.2. Was wir dann noch nicht wissen, reichen wir nach, sobald wir es wissen. Anlaufstelle für weitere Informationen ist die E-Mail-Adresse des Auftragsverarbeiters in Anhang I.
Schwachstellen
Jeder kann eine Schwachstelle im Dienst oder im Player an die Adresse in unserer Datei security.txt (briola.be/.well-known/security.txt) melden.
Unterauftragsverarbeiter
Jedem Unterauftragsverarbeiter erlegen wir vertraglich im Wesentlichen dieselben Pflichten auf wie diese Klauseln (Klausel 7.7 Buchstabe b), und wir setzen nur Anbieter ein, die die Daten im Europäischen Wirtschaftsraum verarbeiten oder jede Übermittlung nach Kapitel V DSGVO absichern (Klausel 7.8).
Anhang IV. Liste der Unterauftragsverarbeiter
Nach Klausel 7.7 Buchstabe a, Option 2, erteilt uns der Kunde die allgemeine Genehmigung für Unterauftragsverarbeiter der folgenden Kategorien:
1. Hosting des Dienstes
Ein Hosting-Anbieter mit Servern in der Europäischen Union. Er speichert alle Daten aus Anhang II und betreibt den Dienst, solange der Vertrag läuft und bis zur Löschung nach Anhang II.
2. Versand der E-Mails des Dienstes
Ein E-Mail-Dienst. Er versendet die Nachrichten des Dienstes an die Nutzer, etwa Einladungen und Benachrichtigungen, und verarbeitet dafür deren Namen und E-Mail-Adresse, solange der Vertrag läuft. Verarbeitung im Europäischen Wirtschaftsraum; eine Übermittlung nur nach Klausel 7.8.
3. Entwicklung und technische Verwaltung
Natürliche Personen, die in unserem Auftrag die Software und die Server warten. Sie haben nur insoweit Zugang zu den Daten, wie diese Aufgabe es erfordert, von der Europäischen Union aus (Anhang III), solange der Vertrag läuft.
Auf Anfrage senden wir dem Kunden die aktuelle Liste mit Name, Anschrift und Ort der Verarbeitung jedes Unterauftragsverarbeiters, den wir einsetzen: Eine E-Mail an die Adresse in Anhang I genügt.
Jedes Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters, auch innerhalb einer der Kategorien oben, teilen wir dem Kunden mindestens 14 Tage im Voraus per E-Mail mit. Widerspricht der Kunde innerhalb dieser Frist und finden wir keine Lösung, kann er den Vertrag kostenlos beenden (Artikel 12.1 der AGB).
Unsere Buchhaltung, die Rechnungsstellung über Peppol und die Zahlungen verarbeiten Daten, für die wir selbst Verantwortlicher sind (Anhang II); diese Anbieter sind keine Unterauftragsverarbeiter und stehen nicht auf dieser Liste.
Quelle und Sprachen
Der Wortlaut der Klauseln ist der des Durchführungsbeschlusses (EU) 2021/915 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern gemäß Artikel 28 Absatz 7 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates und Artikel 29 Absatz 7 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates (ABl. L 199 vom 7.6.2021, S. 18). In dieser Darstellung ist nur die Wahl getroffen, und die Fristen sind eingesetzt; die Gestaltung folgt dieser Website.
Dieser Vertrag liegt auf Niederländisch, Französisch, Englisch und Deutsch vor. Weichen die Fassungen voneinander ab, gilt der niederländische Text.