Verwerkersovereenkomst

Deze Overeenkomst maakt deel uit van de Servicevoorwaarden tussen Fast OTT Ltd (handelend onder de naam Vodlix), ingeschreven in Engeland en Wales onder nummer 15157138, met geregistreerd kantoor te Office 7, 480 Larkshall Road, London, England, E4 9HH ("Vodlix", "wij") en de Klant ("u").

Zij is van toepassing wanneer wij persoonsgegevens namens u verwerken.

1. Definities

Gegevensbeschermingswetgeving betekent de UK GDPR en de Data Protection Act 2018; Verordening (EU) 2016/679 (AVG) en de nationale uitvoeringswetgeving daarvan; de PECR en gelijkwaardige ePrivacywetgeving; en elke andere toepasselijke wetgeving inzake gegevensbescherming.

Gegevens van Eindgebruikers betekent persoonsgegevens met betrekking tot Eindgebruikers van uw Klantplatform die wij namens u verwerken.

Subverwerker betekent een verwerker die wij inschakelen om Gegevens van Eindgebruikers te verwerken.

Diensten, Gemachtigde Gebruiker, Klantplatform, Klantcontent, Eindgebruiker en Abonnee hebben de betekenis die daaraan in de Servicevoorwaarden wordt gegeven.

Andere termen met een hoofdletter hebben de betekenis die daaraan in de UK GDPR wordt gegeven.

2. Rollen

Voor Gegevens van Eindgebruikers bepaalt u de doeleinden en middelen. U bent ervoor verantwoordelijk dat u over een rechtsgrond beschikt, voor uw eigen privacyverklaring aan uw Eindgebruikers, voor elke vereiste toestemming voor cookies op uw Klantplatform, en voor het beantwoorden van verzoeken van uw Eindgebruikers tot uitoefening van hun rechten. Wij handelen uitsluitend op uw instructies.

Op uw accountgegevens is ons Privacybeleid van toepassing; deze Overeenkomst is daarop niet van toepassing.

Geen van beide partijen is gezamenlijke verwerkingsverantwoordelijke voor de gegevens van de ander.

3. Onze verplichtingen

Wij zullen:

(a) Gegevens van Eindgebruikers uitsluitend verwerken op basis van uw schriftelijk vastgelegde instructies (deze Overeenkomst, de Servicevoorwaarden, uw configuratie en elke verdere schriftelijke instructie), tenzij de wet anders vereist, in welk geval wij u daarvan eerst op de hoogte stellen, tenzij de wet dat verbiedt;

(b) Gegevens van Eindgebruikers niet verkopen of delen, en niet voor onze eigen doeleinden gebruiken, met inbegrip van reclame, profilering of het trainen van modellen;

(c) ervoor zorgen dat personen die gemachtigd zijn Gegevens van Eindgebruikers te verwerken, tot geheimhouding zijn verplicht;

(d) passende technische en organisatorische maatregelen treffen (Bijlage 2);

(e) Subverwerkers uitsluitend inschakelen op grond van artikel 4;

(f) u bijstaan met betrekking tot de rechten van betrokkenen, beveiliging, melding van inbreuken en effectbeoordelingen, rekening houdend met de aard van de verwerking;

(g) Gegevens van Eindgebruikers verwijderen of terugbezorgen op grond van artikel 7; en

(h) de informatie ter beschikking stellen die redelijkerwijs nodig is om naleving van artikel 28 aan te tonen, en audits toestaan op grond van artikel 8.

Als wij van mening zijn dat een instructie inbreuk maakt op de Gegevensbeschermingswetgeving, stellen wij u daarvan op de hoogte.

Instructies die wij onrechtmatig achten. Wij stellen u daarvan onmiddellijk op de hoogte nadat wij tot die opvatting zijn gekomen, en geven onze redenen. Wij zijn niet verplicht een instructie uit te voeren waarvan wij redelijkerwijs menen dat deze inbreuk maakt op de Gegevensbeschermingswetgeving, en wij kunnen de uitvoering ervan opschorten totdat u de instructie intrekt of zodanig wijzigt dat deze geen inbreuk meer maakt. Het weigeren of opschorten van een instructie op grond van deze alinea vormt geen schending van deze Overeenkomst of van de Servicevoorwaarden.

Uw instructies. U bent ervoor verantwoordelijk dat uw instructies in overeenstemming zijn met de Gegevensbeschermingswetgeving. Uw instructies omvatten instructies over doorgiften van Gegevens van Eindgebruikers naar een derde land of een internationale organisatie, die zijn opgenomen in artikel 9 en Bijlage 3. Een instructie die buiten de Diensten valt zoals beschreven in de Servicevoorwaarden, of die wijzigt hoe wij deze leveren, wordt pas van kracht wanneer wij deze schriftelijk met u zijn overeengekomen, met inbegrip van eventuele vergoedingen.

Wijzigingen in de maatregelen. De maatregelen in Bijlage 2 zijn onderhevig aan technische vooruitgang en ontwikkeling. Wij kunnen deze van tijd tot tijd bijwerken, mits een bijwerking het algehele beveiligingsniveau van Gegevens van Eindgebruikers niet verlaagt.

4. Subverwerkers

U verleent ons een algemene toestemming om Subverwerkers in te schakelen. De actuele lijst is Bijlage 3, die bij deze Overeenkomst wordt verstrekt en te allen tijde verkrijgbaar is via [email protected].

Wij stellen u ten minste 30 dagen vooraf in kennis voordat wij een Subverwerker toevoegen of vervangen. Als u op redelijke gronden van gegevensbescherming bezwaar maakt en wij geen alternatief kunnen bieden, kunt u de betrokken Diensten zonder boete opzeggen, met een terugbetaling naar rato.

Wij leggen elke Subverwerker gegevensbeschermingsverplichtingen op die niet minder beschermend zijn dan deze, en blijven jegens u volledig aansprakelijk voor hun handelen en nalaten.

Overeenkomsten met Subverwerkers. Wij schakelen elke Subverwerker in op grond van een schriftelijke overeenkomst die deze verplicht voldoende garanties te bieden voor het treffen van passende technische en organisatorische maatregelen en te voldoen aan de verplichtingen van artikel 28, lid 3. Op uw schriftelijk verzoek verstrekken wij u een kopie van de gegevensbeschermingsbepalingen van die overeenkomst, waaruit wij commerciële informatie die niet relevant is voor gegevensbescherming kunnen verwijderen.

Hoe u bezwaar maakt. U maakt bezwaar door binnen de kennisgevingstermijn te schrijven naar [email protected], onder opgave van uw redenen. Wij nemen het bezwaar te goeder trouw in overweging en bespreken het met u. Als u niet binnen de kennisgevingstermijn bezwaar maakt, wordt u geacht de wijziging te hebben goedgekeurd.

Integraties die u configureert. Wanneer u een dienst van een derde koppelt met uw eigen account of API-sleutel, is die aanbieder uw verwerker, niet onze Subverwerker. Wij sluiten met die aanbieder geen overeenkomst en vermelden deze niet in Bijlage 3.

5. Rechten van betrokkenen

Met de Diensten kunt u Gegevens van Eindgebruikers zelf inzien, corrigeren, exporteren en verwijderen. Wanneer u deze functies niet via de Diensten kunt uitoefenen, verlenen wij zonder onredelijke vertraging redelijke bijstand.

Als een Eindgebruiker rechtstreeks contact met ons opneemt over Gegevens van Eindgebruikers, gaan wij niet inhoudelijk op het verzoek in; waar passend verwijzen wij hem naar u door en stellen wij u zonder onredelijke vertraging op de hoogte.

5A. Effectbeoordelingen en voorafgaande raadpleging

Rekening houdend met de aard van de verwerking en de informatie waarover wij beschikken, verlenen wij u redelijke bijstand bij elke gegevensbeschermingseffectbeoordeling die u op grond van artikel 35 uitvoert, en bij elke voorafgaande raadpleging van een toezichthoudende autoriteit op grond van artikel 36, voor zover deze betrekking hebben op de Diensten.

Wij verlenen die bijstand hoofdzakelijk via de informatie in deze Overeenkomst en de Bijlagen daarbij, samen met alle verdere informatie die u redelijkerwijs vraagt over de wijze waarop de Diensten Gegevens van Eindgebruikers verwerken.

Bijstand die verder gaat, of bijstand die nodig is als gevolg van uw eigen handelen of nalaten, kan in rekening worden gebracht tegen redelijke kosten die wij met u overeenkomen voordat wij beginnen.

6. Inbreuk in verband met persoonsgegevens

Wij stellen u zonder onredelijke vertraging in kennis nadat wij kennis hebben gekregen van een inbreuk in verband met persoonsgegevens die Gegevens van Eindgebruikers treft, en verstrekken, naarmate de informatie beschikbaar komt, gegevens over de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een passend contactpunt. Informatie kan gefaseerd worden verstrekt wanneer zij niet tegelijk beschikbaar is.

Wij staan u bij in het nakomen van uw eigen verplichtingen op grond van de artikelen 33 en 34. Wij stellen uw Eindgebruikers of een toezichthoudende autoriteit niet namens u in kennis zonder uw schriftelijke instructie.

Onze reactie. Wij nemen redelijke maatregelen om de inbreuk in te dammen en te onderzoeken en de gevolgen ervan te beperken, houden u op de hoogte van wezenlijke ontwikkelingen, en houden een registratie van de inbreuk bij die u de informatie geeft die u nodig hebt om deze op grond van artikel 33, lid 5, te documenteren.

Waarheen wij de kennisgeving sturen. Wij sturen kennisgevingen op grond van dit artikel naar het e-mailadres van de eigenaar van uw Vodlix-account en naar elk beveiligingscontact dat u ons schriftelijk opgeeft. U bent ervoor verantwoordelijk die gegevens actueel te houden.

Geen erkenning. Onze kennisgeving van een inbreuk in verband met persoonsgegevens, en onze bijstand daarbij, vormt geen erkenning van schuld of aansprakelijkheid.

7. Verwijdering en terugbezorging

Voordat u opzegt, en gedurende 30 dagen na beëindiging, kunt u Gegevens van Eindgebruikers kosteloos exporteren via de Diensten of, op verzoek, in een gangbaar machineleesbaar formaat.

Wanneer u opzegt, sturen wij u een e-mail. Na de opzegging verwijderen wij uw gegevens, met inbegrip van Gegevens van Eindgebruikers, binnen 60 dagen uit onze actieve systemen en geven wij de betrokken Subverwerkers opdracht Gegevens van Eindgebruikers te verwijderen overeenkomstig hun contractuele verplichtingen en toepasselijke bewaarcycli, tenzij bewaring wettelijk verplicht is. Wij bewaren alleen uw contact- en communicatiegegevens, en alles wat wij wettelijk moeten bewaren, in welk geval wij u vertellen wat, waarom en hoe lang.

Verwijderde gegevens kunnen in back-ups blijven bestaan totdat die volgens de normale cyclus verlopen. Ze worden niet hersteld en niet voor enig ander doel gebruikt.

Bevestiging van verwijdering. Op uw schriftelijk verzoek bevestigen wij schriftelijk wanneer de verwijdering op grond van dit artikel is voltooid, en delen wij u mee welke Gegevens van Eindgebruikers wij, indien van toepassing, nog bewaren omdat de wet ons verplicht deze te bewaren of omdat ze nog in back-ups aanwezig zijn.

8. Audit

Wij stellen de informatie ter beschikking die redelijkerwijs nodig is om naleving van artikel 28 aan te tonen.

U mag niet meer dan eenmaal per 12 maanden een audit uitvoeren, met een schriftelijke aankondiging van 30 dagen, tijdens kantooruren, zonder onredelijke verstoring en onder voorbehoud van geheimhouding (vaker wanneer een toezichthoudende autoriteit dat vereist of na een inbreuk die uw Gegevens van Eindgebruikers treft). Wanneer wij beschikken over een geldige certificering of een geldig rapport van een derde dat de reikwijdte bestrijkt, voldoet het verstrekken daarvan aan dit artikel.

Wie een audit mag uitvoeren, en kosten. Een audit kan worden uitgevoerd door u of door een onafhankelijke auditor die u aanwijst, mits de auditor geen concurrent van ons is en schriftelijk heeft ingestemd onze informatie vertrouwelijk te houden. Elke partij draagt haar eigen kosten van een audit. Als uit een audit blijkt dat wij deze Overeenkomst wezenlijk hebben geschonden, herstellen wij de schending onverwijld op onze eigen kosten.

9. Internationale doorgiften

Een deel van onze infrastructuur bevindt zich in de Verenigde Staten. Wanneer Gegevens van Eindgebruikers uit het VK of de EER worden doorgegeven naar een land zonder adequaatheidsbesluit, baseren wij ons op:

• het EU-US / UK Extension Data Privacy Framework voor Subverwerkers die daaronder zijn gecertificeerd; of

• de Standaardcontractbepalingen (2021/914), Module Twee of Module Drie zoals bepaald in Bijlage 4, met de keuzes in Bijlage 4, samen met het UK International Data Transfer Addendum wanneer de UK GDPR van toepassing is.

Beide worden door verwijzing opgenomen en worden geacht te zijn ondertekend op de ingangsdatum van deze Overeenkomst.

9A. Als een doorgiftemechanisme niet langer van toepassing is

Als een mechanisme waarop wij ons op grond van artikel 9 baseren niet langer een rechtmatige grondslag voor een doorgifte vormt, bijvoorbeeld omdat een adequaatheidsbesluit of het Data Privacy Framework wordt ingetrokken of ongeldig verklaard, of de certificering van een Subverwerker vervalt, voeren wij onverwijld een alternatief mechanisme in dat door de Gegevensbeschermingswetgeving wordt erkend, zoals de Standaardcontractbepalingen samen met het UK International Data Transfer Addendum.

Als wij dat niet kunnen, stellen wij u daarvan zonder onredelijke vertraging op de hoogte, en kunt u van ons verlangen dat wij de betrokken doorgifte opschorten, of de betrokken Diensten zonder boete opzeggen, met een terugbetaling naar rato.

Wij verstrekken u de informatie die u redelijkerwijs nodig hebt om een beoordeling van de doorgifterisico's uit te voeren voor elke doorgifte van Gegevens van Eindgebruikers op grond van deze Overeenkomst.

9B. Verzoeken van overheidsinstanties

Als wij van een overheidsinstantie, met inbegrip van een rechter of een rechtshandhavingsinstantie, een juridisch bindend verzoek ontvangen tot verstrekking van Gegevens van Eindgebruikers, stellen wij u daarvan onverwijld op de hoogte, tenzij de wet dat verbiedt, en vragen wij de instantie waar mogelijk haar verzoek tot u te richten.

Wij beoordelen of het verzoek rechtmatig is, vechten het aan wanneer wij na zorgvuldige beoordeling concluderen dat er redelijke gronden zijn om het als onrechtmatig te beschouwen, en verstrekken alleen het minimum aan Gegevens van Eindgebruikers dat het verzoek vereist.

Wanneer de Standaardcontractbepalingen op de doorgifte van toepassing zijn, is Clausule 15 daarvan bepalend.

10. Stem, gelijkenis en gezichtsherkenning

Wanneer u functies voor AI-nasynchronisatie, stem of gelijkenis gebruikt, kan er op basis van uw content een synthetische stem of gelijkenis van een echte persoon worden gemaakt. Nasynchronisatie maakt een stemmodel voor elke identificeerbare spreker in de video, als onderdeel van de vertaling.

U bevestigt dat u beschikt over alle vereiste rechten en toestemmingen van iedere persoon wiens stem, gezicht of vertolking voorkomt in content die u uploadt of laat nasynchroniseren, voor het maken en gebruiken van een daarvan afgeleide synthetische stem of gelijkenis. Wij controleren dit niet en gaan uit van uw bevestiging.

Wanneer toepasselijk recht dergelijke gegevens als biometrische gegevens of bijzondere categorieën van gegevens aanmerkt, met inbegrip van artikel 9 van de UK GDPR/AVG en Amerikaanse wetgeving inzake biometrische gegevens, is het vaststellen van de rechtsgrond uw verantwoordelijkheid.

Wij maken stem- of gelijkenismodellen alleen op uw instructie, hergebruiken deze niet voor een andere Klant, en verwijderen een model op uw instructie of bij beëindiging.

Cast linking. Als u cast linking gebruikt, herkent Vodlix Intel gezichten in uw video's om tags voor artiesten voor te stellen. Daartoe bewaren wij van elk gezicht een numerieke handtekening, geen afbeelding, zodat een gezicht in een latere upload kan worden gekoppeld aan een gezicht dat u al een naam hebt gegeven. Wij slaan geen afbeeldingen van gezichten op. U bent ervoor verantwoordelijk dat u beschikt over alle rechten, toestemmingen en rechtsgronden die voor dit gebruik vereist zijn. Wij gebruiken deze gegevens niet om enig model te trainen, en wij verwijderen ze wanneer uw cloud wordt verwijderd, of eerder op verzoek.

11. Bijzondere categorieën van gegevens en kinderen

De Diensten zijn niet ontworpen voor bijzondere categorieën van gegevens of gegevens van strafrechtelijke aard, en u dient deze niet te verzenden buiten wat artikel 10 voorziet zonder dit eerst schriftelijk met ons overeen te komen.

Diensten voor kinderen. U mag een Klantplatform voor kinderen exploiteren. Als uw dienst op kinderen is gericht, bent u verantwoordelijk voor een op de leeftijd afgestemd ontwerp ervan, voor elke vereiste ouderlijke toestemming, en voor de overige verplichtingen die gelden voor een dienst die op kinderen is gericht.

12. Algemeen

Aansprakelijkheid op grond van deze Overeenkomst is onderworpen aan de beperkingen in de Servicevoorwaarden, met dien verstande dat niets de aansprakelijkheid van een van beide partijen jegens een betrokkene op grond van artikel 82 beperkt, noch enige aansprakelijkheid die wettelijk niet kan worden beperkt.

Verdeling. Wanneer wij beiden verantwoordelijk zijn voor schade die is veroorzaakt door de verwerking van Gegevens van Eindgebruikers, is elk van ons, in onze onderlinge verhouding, verantwoordelijk voor het deel van de schade dat overeenkomt met zijn aandeel in de verantwoordelijkheid, zoals bepaald in artikel 82. U bent jegens ons verantwoordelijk voor vorderingen, boetes en kosten voor zover deze voortvloeien uit uw instructies of uit uw eigen schending van de Gegevensbeschermingswetgeving.

Deze Overeenkomst heeft op het gebied van gegevensbescherming voorrang boven de Servicevoorwaarden. Zij loopt zolang wij Gegevens van Eindgebruikers namens u verwerken, en de artikelen 7, 8, 9 en 12 blijven daarna van kracht.

Rangorde. Als de documenten die van toepassing zijn op Gegevens van Eindgebruikers met elkaar in strijd zijn, gelden zij in de volgende volgorde:

(a) de Standaardcontractbepalingen en het UK International Data Transfer Addendum, wanneer deze van toepassing zijn;

(b) deze Overeenkomst, met inbegrip van de Bijlagen daarbij; en

(c) de Servicevoorwaarden, met inbegrip van elk bestelformulier.

Ingangsdatum. Deze Overeenkomst wordt van kracht op de datum waarop u de Servicevoorwaarden aanvaardt of, indien later, de datum waarop wij voor het eerst Gegevens van Eindgebruikers namens u verwerken.

Wij kunnen deze Overeenkomst bijwerken met een kennisgeving van 30 dagen wanneer de bijwerking uw bescherming niet wezenlijk vermindert.

Bijlage 1: Gegevens van de verwerking

Onderwerp: levering van het white-label videoplatform van Vodlix.

Duur: de looptijd van de Servicevoorwaarden, plus artikel 7.

Aard en doel: hosting, codering, opslag, levering en analyse van Klantcontent en de exploitatie van een Klantplatform, met inbegrip van het beheer van accounts van Eindgebruikers, abonnements- en toegangsbeheer, en leveringsanalyse.

Verdere verwerking wanneer u deze inschakelt: toestemmingsbeheer via Cookie Panda; CRM, transactionele e-mail en spraakagents via Vertex CRM; en transcriptie, vertaling, ondertiteling, nasynchronisatie en het genereren van metadata via Vodlix Intel (Bijlage 3).

Categorieën van betrokkenen: Eindgebruikers van uw Klantplatform, met inbegrip van Abonnees, geregistreerde gratis gebruikers en niet-geregistreerde bezoekers.

Verdere categorieën van betrokkenen, wanneer u de betreffende functie inschakelt: personen die contact met u opnemen via Vertex CRM, ook via een telefoongesprek; en personen wier stem, gezicht of vertolking voorkomt in Klantcontent die u laat nasynchroniseren of gebruikt met functies voor stem of gelijkenis (artikel 10).

Categorieën van persoonsgegevens

Frequentie: doorlopend, gedurende de looptijd.

Bijlage 2: Technische en organisatorische maatregelen

Toegangsbeheer: tweefactorauthenticatie; toegang op basis van need-to-know; intrekking van toegang bij vertrek.

Versleuteling: TLS tijdens de overdracht; bij daarvoor in aanmerking komende pakketten, multi-DRM.

Veerkracht: back-ups; levering via meerdere CDN's.

Beveiligingsscans: regelmatige beveiligingsscans.

Personeel: geheimhoudingsverplichtingen voor iedereen die toegang heeft.

Reactie op incidenten: gedocumenteerd proces; kennisgeving op grond van artikel 6.

Certificering: wij beschikken momenteel niet over ISO 27001 of SOC 2.

Bijlage 3: Subverwerkers

Onze eigen diensten (geen subverwerkers)

Cookie Panda, Vodlix Intel en Vertex CRM zijn diensten van Fast OTT Ltd zelf, geen afzonderlijke vennootschappen, en zijn daarom geen subverwerkers. Wij vermelden ze zodat u kunt zien waar uw gegevens naartoe gaan. Hun externe aanbieders zijn subverwerkers en staan in Tabel A.

Tabel A: Subverwerkers (persoonsgegevens van Eindgebruikers)

Ingeschakeld om persoonsgegevens namens Klanten te verwerken.

Kennisgeving van wijzigingen

Wij stellen Klanten ten minste 30 dagen vooraf in kennis voordat wij een subverwerker uit Tabel A toevoegen of vervangen, per e-mail en door deze pagina bij te werken. Een Klant die op redelijke gronden van gegevensbescherming bezwaar maakt, kan de betrokken Diensten zonder boete opzeggen.

Om op de hoogte te worden gesteld van wijzigingen, stuurt u een e-mail naar [email protected] en voegen wij u toe aan de kennisgevingslijst.

Bijlage 4: Keuzes in de SCC's en het UK Addendum

Module Twee (verwerkingsverantwoordelijke aan verwerker) is van toepassing wanneer u optreedt als verwerkingsverantwoordelijke voor de Gegevens van Eindgebruikers. Module Drie (verwerker aan verwerker) is van toepassing wanneer u optreedt als verwerker namens een andere verwerkingsverantwoordelijke.

Ierland, omdat de EU-SCC's het recht van een EU-lidstaat vereisen. Op de Servicevoorwaarden blijft het recht van Engeland en Wales van toepassing.

UK Addendum (ICO-versie B1.0). Tabel 1: de exporteur bent u, de importeur is Fast OTT Ltd h.o.d.n. Vodlix. Tabel 2: de Module die op grond van deze Bijlage van toepassing is, met de bovenstaande keuzes. Tabel 3: Bijlage I = Bijlage 1, Bijlage II = Bijlage 2, Bijlage III = Bijlage 3. Tabel 4: Geen van beide partijen mag het Addendum beëindigen wanneer het Approved Addendum wijzigt.