Verwerkersovereenkomst

1.Doel en toepassing van deze overeenkomst

1.1  De Klant gebruikt de online diensten van Quiz Maker voor quizzen, enquêtes, toetsen en cursussen (de "Diensten") op grond van de algemene voorwaarden van Quiz Maker (de "Algemene Voorwaarden"). Wanneer mensen de quizzen van de Klant openen of beantwoorden, verwerkt Quiz Maker hun persoonsgegevens namens de Klant.

1.2  Deze verwerkersovereenkomst ("Verwerkersovereenkomst") legt de voorwaarden van die verwerking vast zoals vereist door artikel 28 van de GDPR (Algemene verordening gegevensbescherming, AVG), en biedt een rechtsgrond voor de doorgifte van die persoonsgegevens naar landen buiten de Europese Economische Ruimte.

1.3  Deze Verwerkersovereenkomst is gesloten tussen My Plaza Pty Ltd (ABN 58 110 054 245), handelend onder de naam Quiz Maker ("Quiz Maker"), en de klant die een account bij Quiz Maker heeft (de "Klant"). Ze maakt deel uit van de Algemene Voorwaarden en is automatisch en zonder ondertekening van toepassing wanneer Quiz Maker Persoonsgegevens van de Klant verwerkt waarop de Wetgeving inzake gegevensbescherming van toepassing is. De Klant aanvaardt haar door de Algemene Voorwaarden te aanvaarden.

1.4  Een Klant die een ondertekend exemplaar nodig heeft, kan daarom vragen via de contactpagina van Quiz Maker. Een ondertekend exemplaar bevat dezelfde bepalingen als deze Verwerkersovereenkomst.

1.5  Bij strijdigheid geldt de volgende rangorde: eerst de Standaardcontractbepalingen (waar die van toepassing zijn), dan deze Verwerkersovereenkomst, dan de Algemene Voorwaarden. In alle andere opzichten blijven de Algemene Voorwaarden van toepassing.

2.Definities

Begrippen die in deze Verwerkersovereenkomst worden gebruikt maar hier niet worden gedefinieerd (zoals verwerkingsverantwoordelijke, verwerker, betrokkene, persoonsgegevens, verwerking en toezichthoudende autoriteit), hebben de betekenis die de GDPR eraan geeft. Daarnaast geldt:

3.Rollen en reikwijdte

3.1  De Klant is de verwerkingsverantwoordelijke voor de Persoonsgegevens van de Klant en Quiz Maker is de verwerker daarvan.

3.2  Quiz Maker is de verwerkingsverantwoordelijke voor de eigen account-, inlog- en factureringsgegevens van de Klant, die Quiz Maker verwerkt op grond van zijn privacybeleid. Die gegevens zijn geen Persoonsgegevens van de Klant en deze Verwerkersovereenkomst is daarop niet van toepassing.

3.3  De Klant is verantwoordelijk voor het hebben van een rechtsgrond voor het verzamelen van Persoonsgegevens van de Klant via zijn quizzen, voor de informatie die hij aan betrokkenen verstrekt en de toestemmingen die hij van hen verkrijgt (waaronder de toestemming die vereist is voor cookies of vergelijkbare technologieën in zijn quizzen en op websites waarin hij deze insluit), en voor het niet verzamelen van bijzondere categorieën van persoonsgegevens of andere gegevens die de Algemene Voorwaarden verbieden, tenzij Quiz Maker daar schriftelijk mee heeft ingestemd.

4.Verwerking volgens de instructies van de Klant

4.1  Quiz Maker verwerkt Persoonsgegevens van de Klant uitsluitend op basis van de schriftelijke instructies van de Klant, ook wat betreft doorgifte naar een derde land. De instructies van de Klant zijn deze Verwerkersovereenkomst, de Algemene Voorwaarden, en het gebruik en de configuratie van de Diensten door de Klant (bijvoorbeeld het publiceren van een quiz, het kiezen van wat daarin wordt gevraagd, het inschakelen van e-mails met resultaten of AI-functies, en het exporteren of verwijderen van reacties).

4.2  Quiz Maker mag Persoonsgegevens van de Klant alleen op een andere manier verwerken wanneer een op Quiz Maker toepasselijke Unierechtelijke of lidstaatrechtelijke bepaling dat vereist. In dat geval stelt Quiz Maker de Klant vóór de verwerking van dat wettelijke voorschrift in kennis, tenzij die wetgeving dat om gewichtige redenen van algemeen belang verbiedt.

4.3  Quiz Maker stelt de Klant onverwijld in kennis als een instructie naar zijn mening inbreuk maakt op de Wetgeving inzake gegevensbescherming.

4.4  Quiz Maker verkoopt Persoonsgegevens van de Klant niet, gebruikt ze niet voor advertenties of om modellen voor kunstmatige intelligentie te trainen, en gebruikt ze ook niet op een andere manier voor eigen doeleinden, behalve om geaggregeerde statistieken op te stellen die de Klant of een betrokkene niet identificeerbaar maken, zoals beschreven in de Algemene Voorwaarden.

5.Vertrouwelijkheid

5.1  Quiz Maker draagt er zorg voor dat iedereen die door Quiz Maker gemachtigd is Persoonsgegevens van de Klant te verwerken, gebonden is aan een passende geheimhoudingsplicht, en dat de toegang beperkt blijft tot de medewerkers die deze nodig hebben om de Diensten te leveren, te beveiligen en te ondersteunen.

6.Beveiliging

6.1  Quiz Maker treft en handhaaft de technische en organisatorische maatregelen die in bijlage II zijn beschreven om Persoonsgegevens van de Klant te beschermen, zoals vereist door artikel 32 van de GDPR.

6.2  Quiz Maker mag die maatregelen aanpassen wanneer technologie en dreigingen veranderen, mits het algehele beschermingsniveau daardoor niet wezenlijk wordt verlaagd.

7.Subverwerkers

7.1  De Klant verleent Quiz Maker een algemene schriftelijke toestemming om Subverwerkers in te schakelen. De Subverwerkers die in bijlage III staan vermeld, zijn goedgekeurd.

7.2  Quiz Maker publiceert de actuele lijst van Subverwerkers als bijlage III van deze Verwerkersovereenkomst op quiz-maker.com/Data-Processing-Agreement, en werkt die ten minste 30 dagen bij voordat een Subverwerker wordt toegevoegd of vervangen. Quiz Maker stuurt die kennisgeving ook per e-mail aan elke Klant die daarom via de contactpagina heeft gevraagd.

7.3  De Klant kan binnen die 30 dagen op redelijke gronden die verband houden met gegevensbescherming bezwaar maken tegen een nieuwe Subverwerker, en de partijen bespreken het bezwaar te goeder trouw. Als het bezwaar niet kan worden opgelost, kan de Klant de betreffende Diensten beëindigen en betaalt Quiz Maker de vooruitbetaalde vergoedingen voor de ongebruikte periode terug.

7.4  Quiz Maker schakelt elke Subverwerker in op grond van een schriftelijke overeenkomst die verplichtingen inzake gegevensbescherming oplegt die niet minder beschermend zijn dan die in deze Verwerkersovereenkomst, en blijft jegens de Klant volledig aansprakelijk voor de nakoming van die verplichtingen door elke Subverwerker.

8.Verzoeken van betrokkenen

8.1  Als Quiz Maker van een betrokkene een verzoek ontvangt over Persoonsgegevens van de Klant, stuurt Quiz Maker het verzoek zonder onredelijke vertraging door aan de Klant en beantwoordt Quiz Maker het niet, behalve om de betrokkene naar de Klant te verwijzen, tenzij de Klant anders toestaat.

8.2  Met de Diensten kan de Klant Persoonsgegevens van de Klant zelf inzien, exporteren, corrigeren en verwijderen. Waar de Klant dat niet via de Diensten kan doen, verleent Quiz Maker, rekening houdend met de aard van de verwerking, redelijke bijstand zodat de Klant kan reageren op verzoeken tot uitoefening van de rechten van betrokkenen.

9.Inbreuken in verband met persoonsgegevens

9.1  Quiz Maker stelt de Klant zonder onredelijke vertraging, en waar mogelijk binnen 48 uur, in kennis nadat Quiz Maker kennis heeft gekregen van een Inbreuk in verband met persoonsgegevens.

9.2  De kennisgeving beschrijft, voor zover op dat moment bekend, de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevensrecords in kwestie, de waarschijnlijke gevolgen ervan, en de genomen of voorgestelde maatregelen. Wanneer niet alles tegelijk bekend is, verstrekt Quiz Maker de informatie in fasen zodra die beschikbaar komt.

9.3  Quiz Maker neemt redelijke maatregelen om de inbreuk in te dammen en te herstellen, en geeft de Klant de informatie die deze redelijkerwijs nodig heeft om te voldoen aan zijn eigen verplichtingen om toezichthoudende autoriteiten en betrokkenen in kennis te stellen. Het melden van een inbreuk is geen erkenning van schuld of aansprakelijkheid.

10.Bijstand bij de naleving

10.1  Rekening houdend met de aard van de verwerking en de informatie waarover Quiz Maker beschikt, verleent Quiz Maker de Klant redelijke bijstand bij het nakomen van zijn verplichtingen op grond van de artikelen 32 tot en met 36 van de GDPR, waaronder gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van een toezichthoudende autoriteit.

11.Verwijdering en teruggave van gegevens

11.1  Zolang de Klant de Diensten gebruikt, kan hij Persoonsgegevens van de Klant op elk moment exporteren of verwijderen.

11.2  Wanneer de Diensten eindigen, heeft de Klant ten minste 30 dagen om zijn gegevens te exporteren. Na die periode verwijdert Quiz Maker de Persoonsgegevens van de Klant, tenzij Unierecht of lidstatelijk recht voorschrijft dat ze worden bewaard.

11.3  Kopieën in versleutelde back-ups worden in de normale back-upcyclus overschreven en blijven tot dat moment beschermd op grond van deze Verwerkersovereenkomst. Op verzoek bevestigt Quiz Maker schriftelijk dat de verwijdering is uitgevoerd.

12.Informatie en audits

12.1  Quiz Maker stelt de Klant de informatie ter beschikking die nodig is om aan te tonen dat artikel 28 van de GDPR wordt nageleefd, waaronder schriftelijke informatie over de beveiligingsmaatregelen van Quiz Maker en antwoorden op redelijke beveiligingsvragenlijsten.

12.2  Audits worden uitgevoerd doordat Quiz Maker die informatie verstrekt en de redelijke schriftelijke vervolgvragen van de Klant daarover beantwoordt.

12.3  Een inspectie van de bedrijfsruimten of systemen van Quiz Maker mag alleen plaatsvinden wanneer een bevoegde toezichthoudende autoriteit dat vereist, of na een Inbreuk in verband met persoonsgegevens die Persoonsgegevens van de Klant treft. De inspectie moet worden uitgevoerd door een onafhankelijke auditor die aan geheimhouding gebonden is en geen concurrent van Quiz Maker is, na een schriftelijke aankondiging van ten minste 30 dagen (of een kortere termijn als de autoriteit dat vereist), tijdens normale kantooruren, op kosten van de Klant, en beperkt tot de verwerking van Persoonsgegevens van de Klant. Ze omvat geen toegang tot gegevens van andere klanten of tot informatie die de beveiliging van de Diensten in gevaar zou brengen.

12.4  Dit artikel bepaalt hoe de rechten van de Klant op grond van clausule 8.9 van de Standaardcontractbepalingen worden uitgeoefend, en beperkt de bevoegdheden van een toezichthoudende autoriteit niet.

13.Internationale doorgifte

13.1  De Klant erkent dat Quiz Maker in Australië is gevestigd, dat Persoonsgegevens van de Klant worden gehost op servers in de Verenigde Staten, dat ze via het wereldwijde netwerk van Cloudflare lopen, en dat de Subverwerkers in bijlage III ze verwerken op de daar vermelde locaties.

13.2  Voor zover de doorgifte van Persoonsgegevens van de Klant door de Klant aan Quiz Maker een doorgifte naar een derde land is in de zin van hoofdstuk V van de GDPR, zijn de Standaardcontractbepalingen door verwijzing in deze Verwerkersovereenkomst opgenomen, met de Klant als gegevensexporteur en Quiz Maker als gegevensimporteur, en met de volgende keuzes:

1. Clausule 7 (koppelingsclausule) is van toepassing.
2. Clausule 9, onder a): optie 2 (algemene schriftelijke toestemming) is van toepassing, de termijn bedraagt 30 dagen, en de kennisgeving gebeurt zoals beschreven in artikel 7.2 van deze Verwerkersovereenkomst.
3. Clausule 11, onder a): de facultatieve bepaling is niet van toepassing.
4. Clausule 13: de bevoegde toezichthoudende autoriteit is de autoriteit die is aangewezen in bijlage I, onderdeel C.
5. Clausule 17: optie 1 is van toepassing, en het toepasselijk recht is het recht van Ierland.
6. Clausule 18, onder b): geschillen worden beslecht door de rechtbanken van Ierland.
7. De bijlagen I, II en III bij de Standaardcontractbepalingen worden ingevuld door de bijlagen I, II en III van deze Verwerkersovereenkomst.

13.3  Wanneer Quiz Maker Persoonsgegevens van de Klant doorgeeft aan een Subverwerker in een derde land, zorgt Quiz Maker ervoor dat de doorgifte onder een passende waarborg in de zin van hoofdstuk V van de GDPR valt, zoals de standaardcontractbepalingen of een adequaatheidsbesluit (waaronder het EU-U.S. Data Privacy Framework (het kader voor gegevensbescherming tussen de EU en de VS) wanneer de Subverwerker op grond daarvan is gecertificeerd).

13.4  Quiz Maker verstrekt redelijke informatie om de Klant te helpen de doorgifte te beoordelen op grond van clausule 14 van de Standaardcontractbepalingen, en behandelt elk verzoek van een overheidsinstantie om Persoonsgegevens van de Klant zoals bepaald in clausule 15 van de Standaardcontractbepalingen.

13.5  Wanneer de UK GDPR van toepassing is, geldt het International Data Transfer Addendum to the EU Commission Standard Contractual Clauses (Britse aanvulling op de standaardcontractbepalingen voor internationale doorgifte) dat is uitgegeven door de UK Information Commissioner (de Britse privacytoezichthouder) (versie B1.0), waarbij de tabellen 1 tot en met 3 daarvan worden ingevuld met de gegevens in deze Verwerkersovereenkomst en de bijlagen daarvan, en kan elke partij het beëindigen zoals tabel 4 daarvan toestaat. Wanneer de Swiss Federal Act on Data Protection van toepassing is, gelden de Standaardcontractbepalingen met de Swiss Federal Data Protection and Information Commissioner (de Zwitserse federale toezichthouder voor gegevensbescherming) als bevoegde toezichthoudende autoriteit, en worden verwijzingen naar de GDPR gelezen als verwijzingen naar die wet.

14.Aansprakelijkheid

14.1  De totale aansprakelijkheid van elke partij jegens de andere die voortvloeit uit of verband houdt met deze Verwerkersovereenkomst en de Standaardcontractbepalingen, samen met alle vorderingen op grond van de Algemene Voorwaarden, is onderworpen aan de beperkingen en uitsluitingen van aansprakelijkheid in de Algemene Voorwaarden, waaronder de uitsluiting van indirecte schade en gevolgschade en het algemene maximum van de aansprakelijkheid, voor zover de wet dat toestaat.

14.2  Niets in deze Verwerkersovereenkomst beperkt de aansprakelijkheid van een partij jegens betrokkenen op grond van de Standaardcontractbepalingen, of enige aansprakelijkheid die wettelijk niet kan worden beperkt of uitgesloten.

15.Looptijd, wijzigingen en algemeen

15.1  Deze Verwerkersovereenkomst treedt in werking op 25 augustus 2026, of op het moment waarop de Klant de Algemene Voorwaarden aanvaardt als dat later is, en blijft van kracht zolang Quiz Maker Persoonsgegevens van de Klant verwerkt. Artikelen die naar hun aard na beëindiging van kracht horen te blijven, blijven van kracht.

15.2  Op deze Verwerkersovereenkomst is het recht van toepassing dat op de Algemene Voorwaarden van toepassing is, met dien verstande dat op de Standaardcontractbepalingen het in artikel 13.2 gekozen recht van toepassing is. Niets in deze Verwerkersovereenkomst vermindert de rechten van betrokkenen op grond van de Standaardcontractbepalingen.

15.3  Quiz Maker mag deze Verwerkersovereenkomst bijwerken op de manier waarop de Algemene Voorwaarden Quiz Maker toestaan de Algemene Voorwaarden bij te werken. Een bijwerking vermindert de bescherming die deze Verwerkersovereenkomst aan Persoonsgegevens van de Klant biedt niet wezenlijk, tenzij een wijziging van de Wetgeving inzake gegevensbescherming of nieuwe, door de Europese Commissie vastgestelde standaardcontractbepalingen dat vereisen.

15.4  Als een bepaling van deze Verwerkersovereenkomst ongeldig of niet afdwingbaar is, blijft de rest ervan van kracht.

15.5  Wanneer de partijen een exemplaar van deze Verwerkersovereenkomst ondertekenen, mag dat elektronisch en in meerdere exemplaren gebeuren, die elk als origineel gelden.

Bijlage I: Beschrijving van de verwerking

A. Lijst van partijen

B. Beschrijving van de doorgifte

C. Bevoegde toezichthoudende autoriteit

Wanneer de Klant in de Europese Unie is gevestigd: de toezichthoudende autoriteit van de lidstaat waar de Klant is gevestigd (of de leidende toezichthoudende autoriteit, wanneer de Klant meer dan één vestiging heeft). Wanneer de Klant niet in de Europese Unie is gevestigd maar de GDPR op hem van toepassing is: de toezichthoudende autoriteit van de lidstaat waar zijn vertegenwoordiger in de zin van artikel 27 van de GDPR is gevestigd, of, wanneer hij niet verplicht is een vertegenwoordiger aan te wijzen, van de lidstaat waar de betrokken Deelnemers zich bevinden.

Bijlage II: Technische en organisatorische maatregelen

Bijlage III: Goedgekeurde Subverwerkers

Stripe, Inc. verwerkt de eigen factureringsgegevens van de Klant, waarvoor Quiz Maker de verwerkingsverantwoordelijke is. Stripe ontvangt geen Persoonsgegevens van de Klant en is geen Subverwerker in de zin van deze Verwerkersovereenkomst.