PhotoRobot Data Processing Agreement (DPA)
Dit document betreft de PhotoRobot Data Processing Agreement: Versie 1.0 — PhotoRobot Edition, uni-Robot Ltd., Tsjechië.
1. Partijen
Deze gegevensverwerkingsovereenkomst ("DPA") wordt aangegaan tussen:
Controller (Klant)
De persoon of rechtspersoon die de PhotoRobot Servicevoorwaarden heeft aangegaan en gebruikmaakt van de dienst.
en
Processor:
uni-Robot Ltd.
Vodičkova 710/31
110 00 Praag 1
Tsjechische Republiek
Bedrijfs-ID: 01478061
BTW-ID: CZ01478061
E-mail: legal@photorobot.com
Hierna gezamenlijk aangeduid als de "Partijen".
Deze DPA vult de PhotoRobot Servicevoorwaarden aan en is van toepassing wanneer PhotoRobot persoonlijke gegevens namens de klant verwerkt.
2. Onderwerp en aard van verwerking
PhotoRobot ("Processor") levert cloudgebaseerde diensten, lokale software-extensies, firmwarebeheer en hostinginfrastructuur die nodig is om afbeeldingen, metadata en gerelateerde digitale inhoud te verwerken die door de klant ("Controller") worden geüpload.
De verwerking omvat:
- Collectie
- Opslag
- Overdracht
- Metadata-extractie
- synchronisatie tussen CL ↔ Cloud
- Hosting van door klanten geüploade content
- Aanmaken van logboeken en diagnostiek
- Back-upoperaties
De verwerking wordt strikt namens de Beheerder uitgevoerd, volgens hun gedocumenteerde instructies.
3. Duur
Deze DPA blijft van kracht gedurende de duur van de contractuele relatie tussen de partijen, en daarna zolang de Verwerker persoonlijke gegevens namens de Verwerkingsverantwoordelijke opslaat of verwerkt.
4. Persoonsgegevens & categorieën van betrokkenen
4.1. Soorten persoonsgegevens
Afhankelijk van hoe de dienst wordt gebruikt, kunnen verwerkte gegevens omvatten:
- Identificatiegegevens (naam, achternaam, bedrijf)
- Contactgegevens (e-mail, telefoon)
- Visuele inhoud (afbeeldingen, video's)
- metadata gekoppeld aan geüploade inhoud
- loggegevens, IP-adressen, technische identificaties
- Projectgegevens
- Inloggegevens (gehasht), toegangstokens
De verwerker vereist of verwerkt geen speciale categorieën gegevens (Art. 9 AVG).
4.2. Categorieën van Gegevenspersonen
- Medewerkers van de klant
- Klanten of partners van de klant
- Geautoriseerde gebruikers
- Alle personen die in visuele content worden gepresenteerd die door de klant is geüpload
De klant is uitsluitend verantwoordelijk voor het waarborgen van de wettige verzameling van gegevens van betrokkenen.
5. Instructies van de Controller
Verwerker verwerkt alleen persoonsgegevens:
- volgens de gedocumenteerde instructies van de Controller,
- zoals vereist om de dienst te leveren,
- om de veiligheid, integriteit en beschikbaarheid van systemen te waarborgen,
- zoals vereist door EU- of Tsjechische wetgeving.
Als de Verwerker een instructie onwettig acht, moet de Verwerker de Beheerder hiervan op de hoogte stellen.
6. Vertrouwelijkheid
De verwerker zorgt ervoor dat alle personen die gemachtigd zijn om persoonsgegevens te verwerken:
- onderworpen zijn aan vertrouwelijkheidsverplichtingen,
- hebben passende training ontvangen,
- verwerk gegevens uitsluitend op instructie van de Controller.
7. Subprocessors
De Processor gebruikt bepaalde derden ("Sub-Processors") om de Dienst te ondersteunen.
7.1. Goedgekeurde subverwerkers
De Controller verleent algemene toestemming aan de Processor om de volgende categorieën Sub-Processors in te schakelen:
- cloudinfrastructuuraanbieders (bijv. Google Cloud Platform)
- Aanbieders van e-mailbezorging
- Analytics-aanbieders
- Ticketsystemen
- Beveiligingsmonitoringdiensten
- Back-up- en rampenherstelsystemen
Een volledige lijst wordt bijgehouden in de PhotoRobot Sub-Processor List en kan worden bijgewerkt.
7.2. Kennisgeving van wijzigingen
De Verwerker moet de Beheerder ten minste 15 dagen van tevoren op de hoogte stellen van eventuele bedoelde wijzigingen aan de Subverwerkers, zodat de Beheerder op redelijke gronden bezwaar kan maken.
8. Internationale gegevensoverdrachten
Waar subprocessors of infrastructuur zich buiten de EEA bevinden, garandeert Processor:
- toepassing van standaard contractuele clausules (SCC 2021),
- aanvullende technische en organisatorische waarborgen,
- geminimaliseerde toegang en encryptie,
- Compliance-audits door de onderliggende aanbieder.
Google Cloud Platform biedt:
- ISO 27001, ISO 27017, ISO 27018
- SOC 1/2/3 rapporten
- Documentatie voor naleving van de AVG
Details zijn beschikbaar op https://cloud.google.com/security.
9. Beveiligingsmaatregelen
De verwerker voert industriestandaard technische en organisatorische maatregelen (TOM's) uit, waaronder:
9.1. Technische Maatregelen
- TLS-encryptie van data tijdens transport
- Veilige opslag met versleutelde toegangstokens
- Geïsoleerde verwerkingsomgevingen
- Wachtwoord-hashing
- snelheidslimieten en inbraakdetectiesystemen
- Meerlaagse firewalling
- fysieke datacenterbeveiliging (via Google Cloud)
9.2. Organisatorische Maatregelen
- Rolgebaseerde toegangscontrole
- Toegangslogging en monitoring
- Interne beleidsregels voor gegevensverwerking
- Verplichtingen tot werknemersvertrouwelijkheid
- Periodieke beveiligingstraining
- Leveranciersrisicobeheer
Een volledige lijst van TOMs is op aanvraag beschikbaar.
10. Rechten van de betrokkenen
Processor helpt de controller bij het reageren op:
- Verzoeken om toegang
- Rectificatie
- Verwijdering
- Beperking
- Dataportabiliteit
- Bezwaren
De Verwerker moet elk direct verzoek van een gegevensonderwerp zonder onnodige vertraging doorsturen aan de Beheerder.
11. Melding van datalekken
In geval van een datalek moet de verwerker de beheerder op de hoogte stellen:
- zonder onnodig vertraging,
- inclusief alle informatie die vereist is door Artikel 33 AVG,
- en geef doorlopende updates totdat de sanering is voltooid.
De controller blijft verantwoordelijk voor het informeren van autoriteiten en getroffen personen.
12. Verwijdering of teruggave van gegevens
Bij beëindiging van het contract:
- Verwerker verwijdert klantgegevens na 30 dagen,
- tenzij anders geïnstrueerd door de Controller,
- behalve wanneer behoud wettelijk verplicht is.
Back-ups worden overschreven tijdens hun normale levenscyclus.
13. Audits
De controller heeft het recht om:
- ontvang documentatie die bewijst dat aan de AVG voldoet
- vraag een rapport aan over TOM's
- Voer redelijke audits uit, beperkt tot eenmaal per jaar
- vertrouwen op certificeringen van derden (ISO/SOC-rapporten van Google Cloud)
Audits mogen de beveiliging niet in gevaar brengen of de bedrijfsvoering verstoren.
14. Aansprakelijkheid
De aansprakelijkheid van de partijen volgt volgens de gebruiksvoorwaarden.
De verwerker is alleen aansprakelijk voor datalekken veroorzaakt door zijn eigen schending van de AVG-verplichtingen.
15. Toepasselijk recht & jurisdictie
Deze DPA wordt beheerst door de wetten van Tsjechië.
Geschillen worden beslecht door de rechtbanken in Praag, Tsjechië.
16. Standaard contractuele clausules (SCC)
Waar nodig, zijn SCC 2021 (Module 2: Controller → Processor) van toepassing als bijlage bij deze DPA.
PhotoRobot:
- SCC incorporeert door referentie,
- bevat alle verplichte clausules,
- Voert aanvullende technische maatregelen uit
- zorgt voor naleving van overdrachten aan subverwerkers buiten de EEA.
De SCC kan op verzoek volledig worden verstrekt.
17. Contact
uni-Robot Ltd.
Vodičkova 710/31
110 00 Praag 1
Tsjechische Republiek
E-mail: legal@photorobot.com