Overeenkomst gegevensverwerking

1 - Definities

"Gegevensbeschermingswetten" betekent, indien van toepassing: (i) de Algemene Verordening Gegevensbescherming ("GDPR"); (ii) nationale implementaties van de GDPR in de Europese Unie ("EU") en Europese Economische Ruimte ("EER"); (iii) de Data Protection Act 2018 en de GDPR zoals opgeslagen in de wetgeving van het Verenigd Koninkrijk krachtens Sectie 3 van de European Union (Withdrawal) Act 2018 van het Verenigd Koninkrijk ("UK Data Protection Law"); (iv) EU ePrivacy Richtlijn 2002/58/EG; zoals gewijzigd door Richtlijn 2009/136/EG; en (v) Zwitserse Federale Wet Bescherming Persoonsgegevens op 19 juni 1992 en haar Verordening ("Zwitserse DPA").

"Modelclausules" betekent de standaard contractuele clausules voor de doorgifte van Persoonsgegevens naar derde landen die zijn aangenomen onder de GDPR en die van tijd tot tijd kunnen worden gewijzigd of vervangen.

"Persoonsgegevens" betekent alle informatie met betrekking tot een geïdentificeerd of identificeerbaar individu voor zover dergelijke informatie is opgenomen in Inhoud van de Klant.

"Inbreuk op Persoonsgegevens" betekent een inbreuk op de beveiliging die heeft geresulteerd in de onopzettelijke of onwettige vernietiging, verlies, wijziging, onbevoegde bekendmaking van of toegang tot Persoonsgegevens die zijn verzonden, opgeslagen of anderszins verwerkt door Runnr.ai en/of haar Subverwerkers in verband met de levering van de Diensten.

"Beperkte overdracht" betekent een overdracht van Persoonsgegevens naar een derde land.

"Subverwerker" betekent een Gegevensverwerker die door Runnr.ai is ingeschakeld om te helpen bij het nakomen van de verplichtingen van Runnr.ai onder de Overeenkomst.

"Derde land" betekent (a) voor zover de GDPR van toepassing is op de verwerking van Persoonsgegevens door Runnr.ai, een land buiten de EER dat niet onderworpen is aan een adequaatheidsbesluit van de Europese Commissie; (b) voor zover de UK Data Protection Law van toepassing is op de verwerking van Persoonsgegevens door Runnr.ai, land waarvoor geen adequaatheidsbesluit geldt op grond van artikel 17A van de Britse Data Protection Act 2018; en (c) voor zover de Zwitserse DPA van toepassing is op de verwerking van Persoonsgegevens door Runnr.ai, een land buiten de EER en/of Zwitserland waarvoor geen adequaatheidsbesluit geldt van de Zwitserse Federal Data Protection and Information Commissioner ("FDPIC").

"UK Addendum" betekent het International Data Transfer Addendum uitgegeven door het Information Commissioner's Office onder s.119(A) van de UK Data Protection Act 2018, zoals van tijd tot tijd kan worden gewijzigd of vervangen.

De termen "gegevensbeheerder", "betrokkene", "gegevensverwerker" en "verwerking" hebben de betekenis die daaraan wordt gegeven onder de wetgeving inzake gegevensbescherming en "verwerken", "verwerken" en "verwerkt" worden dienovereenkomstig geïnterpreteerd. Alle andere termen die hier niet uitdrukkelijk zijn gedefinieerd, hebben dezelfde betekenis als in de Overeenkomst.

2 - Doel en reikwijdte

1. Deze DPA regelt de verwerking van Persoonsgegevens door Runnr.ai als een Gegevensverwerker namens Klant, de Gegevensverantwoordelijke.
2. Het doel van deze DPA is het waarborgen van de naleving van de Wet Bescherming Persoonsgegevens zoals deze van tijd tot tijd kunnen worden gewijzigd, vervangen of aangevuld.
3. De details van de verwerkingen, in het bijzonder de categorieën van Persoonsgegevens, de categorieën van betrokkenen en de doeleinden waarvoor de Persoonsgegevens door Runnr.ai worden verwerkt, zijn gespecificeerd in Bijlage 1.

3 - Verwerking door Runnr.ai

1. Runnr.ai zal Persoonsgegevens alleen verwerken op gedocumenteerde instructies van Opdrachtgever, tenzij Runnr.ai hiertoe verplicht is op grond van lokale wetgeving, zoals EU wetgeving of wetgeving van een EU-lidstaat. In dat geval zal Runnr.ai Klant informeren over die wettelijke verplichting voordat tot verwerking wordt overgegaan, tenzij de wet dit verbiedt.
2. Runnr.ai zal de Persoonsgegevens alleen verwerken voor de specifieke verwerkingsdoeleinden zoals opgenomen in Bijlage 1, tenzij het nadere schriftelijke instructies ontvangt van Klant.
3. Runnr.ai zal Opdrachtgever onmiddellijk informeren indien, naar de mening van Runnr.ai, instructies van Opdrachtgever in strijd zijn met de Wet Bescherming Persoonsgegevens.

4 - Assistentie aan de Klant

1. Verzoek betrokkene. Runnr.ai zal Klant onmiddellijk op de hoogte stellen van elk verzoek dat Runnr.ai ontvangt van een betrokkene op grond van de Wet Bescherming Persoonsgegevens ('verzoek van een betrokkene'). Runnr.ai zal niet zelf reageren op een verzoek van een betrokkene, tenzij Opdrachtgever hiertoe toestemming heeft gegeven. Runnr.ai zal Opdrachtgever assisteren bij het voldoen aan zijn verplichtingen om te reageren op verzoeken van betrokkenen om hun rechten uit te oefenen, rekening houdend met de aard van de verwerking.
2. Gegevensbeschermingseffectbeoordeling. Runnr.ai zal Opdrachtgever assisteren bij het voldoen aan de verplichting van Opdrachtgever onder de Wet Bescherming Persoonsgegevens om een gegevensbeschermingseffectbeoordeling uit te voeren met betrekking tot het gebruik van de Diensten door Opdrachtgever, rekening houdend met de aard van de verwerking en de informatie waarover Runnr.ai beschikt.
3. Raadpleging door toezichthoudende autoriteiten. Runnr.ai zal Klant bijstaan in de samenwerking of voorafgaande raadpleging van een toezichthoudende autoriteit, rekening houdend met de aard van de verwerking en de informatie waarover Runnr.ai beschikt.

5 - Vertrouwelijkheid

Runnr.ai zal haar personeel alleen toegang verlenen tot de Persoonsgegevens voor zover dit strikt noodzakelijk is voor de uitvoering, het beheer en de controle van de Overeenkomst. Runnr.ai zal ervoor zorgen dat personen die geautoriseerd zijn om de Persoonsgegevens te verwerken zich hebben verplicht tot geheimhouding of onder een passende wettelijke geheimhoudingsplicht vallen.

6 - Beveiliging

Runnr.ai zal ten minste de technische en organisatorische maatregelen implementeren die worden genoemd op https://runnr.ai/security/ ("Beveiligingsmaatregelen") om de beveiliging van de Persoonsgegevens te waarborgen. Dit omvat het beschermen van de gegevens tegen een inbreuk op Persoonsgegevens. Bij de beoordeling van het juiste beveiligingsniveau houden de partijen rekening met de stand van de techniek, de kosten van implementatie, de aard, omvang, context en doeleinden van de verwerking en de risico's voor de betrokkenen. Runnr.ai kan van tijd tot tijd alternatieve adequate Beveiligingsmaatregelen implementeren, waarbij ervoor wordt gezorgd dat het beveiligingsniveau van de gedefinieerde maatregelen niet wordt verlaagd.

7 - Inbreuk op Persoonsgegevens

1. In het geval van een inbreuk in verband met Persoonsgegevens die van invloed is op de Persoonsgegevens van Klant, zal Runnr.ai Klant zonder onnodige vertraging op de hoogte stellen nadat Runnr.ai op de hoogte is gekomen van de inbreuk in verband met Persoonsgegevens. Deze kennisgeving bevat ten minste
   1. een beschrijving van de aard van de inbreuk in verband met Persoonsgegevens;
   2. het contactpunt waar meer informatie over de inbreuk in verband met persoonsgegevens kan worden verkregen;
   3. de waarschijnlijke gevolgen van de inbreuk in verband met Persoonsgegevens; en
   4. de maatregelen die zijn genomen of worden voorgesteld om de inbreuk in verband met persoonsgegevens aan te pakken, inclusief het beperken van de mogelijke negatieve gevolgen.
2. Wanneer het voor Runnr.ai niet mogelijk is om al deze informatie tegelijkertijd te verstrekken, zal de eerste kennisgeving de informatie bevatten die op dat moment beschikbaar is. Verdere informatie zal, zodra deze beschikbaar is, zonder onnodige vertraging worden verstrekt. Runnr.ai zal ook passende en redelijke stappen ondernemen om een inbreuk op Persoonsgegevens in te dammen, te onderzoeken en te beperken.

8 - Documentatie en naleving

1. Runnr.ai zal vragen van de Klant over de verwerking van Persoonsgegevens snel en adequaat afhandelen in overeenstemming met deze DPA.
2. Runnr.ai zal Klant alle informatie ter beschikking stellen die nodig is om aan te tonen dat wordt voldaan aan de verplichtingen uit hoofde van deze DPA of toepasselijke wetgeving op het gebied van gegevensbescherming. Op verzoek van de Klant zal Runnr.ai ook audits van de verwerkingsactiviteiten die onder deze DPA vallen toestaan en eraan meewerken, met redelijke tussenpozen of als er aanwijzingen zijn van niet-naleving.
3. Klant kan ervoor kiezen de audit zelf uit te voeren of een onafhankelijke auditor aan te stellen. Audits kunnen ook inspecties in de gebouwen of fysieke faciliteiten van Runnr.ai inhouden, indien wederzijds overeengekomen en met een redelijke aankondiging.

9 - Gebruik van subverwerkers

1. Runnr.ai heeft de algemene toestemming van Opdrachtgever voor het inschakelen van Subverwerkers vermeld ophttps://runnr.ai/subprocessors/. Ten minste 5 dagen voordat Runnr.ai een nieuwe Subverwerker machtigt om Persoonsgegevens te verwerken, zal Runnr.ai Opdrachtgever hiervan schriftelijk op de hoogte stellen (via e-mail), zodat Opdrachtgever bezwaar kan maken tegen dergelijke wijzigingen. Als de Klant bezwaar maakt, zullen de partijen de zorgen van de Klant te goeder trouw bespreken met de intentie om tot een commercieel redelijke oplossing te komen. Indien de partijen niet tot een oplossing kunnen komen, hebben Runnr.ai en Opdrachtgever ieder het recht om de Overeenkomst te beëindigen, met inbegrip van een daarmee samenhangende Order, zonder aansprakelijkheid voor een van de partijen.
2. Wanneer Runnr.ai een Subverwerker inschakelt, zal dit gebeuren door middel van een contract dat aan de Subverwerker in wezen dezelfde gegevensbeschermingsverplichtingen oplegt als aan Runnr.ai in overeenstemming met deze DPA. Runnr.ai zal ervoor zorgen dat de Subverwerker voldoet aan de verplichtingen waaraan Runnr.ai is onderworpen op grond van deze DPA en de toepasselijke wetgeving inzake gegevensbescherming.
3. Runnr.ai blijft volledig verantwoordelijk jegens Opdrachtgever voor de nakoming van de verplichtingen van de Subverwerker in overeenstemming met diens contract met Runnr.ai.

10 - Internationale gegevensoverdrachten

1. Elke overdracht van Persoonsgegevens naar een derde land of naar een internationale organisatie door Runnr.ai zal alleen plaatsvinden op basis van gedocumenteerde instructies van Opdrachtgever of om te voldoen aan een specifieke eis onder lokale wetgeving waaraan Runnr.ai is onderworpen en zal plaatsvinden in overeenstemming met de Wet Bescherming Persoonsgegevens. Runnr.ai kan Persoonsgegevens overdragen aan Subverwerkers die gevestigd zijn in een Derde Land, met inachtneming van de kennisgevingsvereisten van Artikel 9.
2. Opdrachtgever stemt ermee in dat indien Runnr.ai een Subverwerker inschakelt voor het uitvoeren van specifieke verwerkingsactiviteiten onder de Overeenkomst en deze activiteiten een overdracht van Persoonsgegevens naar een Derde Land inhouden, Runnr.ai en de Subverwerker naleving van de Wet Bescherming Persoonsgegevens kunnen waarborgen door gebruik te maken van de modelclausules en, indien relevant, het UK Addendum, mits aan de voorwaarden voor het gebruik van deze modelclausules is voldaan.

10 - Beëindiging en verwijdering

Wanneer de Overeenkomst wordt beëindigd, zal Runnr.ai alle Persoonsgegevens die namens de Klant worden verwerkt verwijderen of, op verzoek van de Klant, alle Persoonsgegevens aan de Klant retourneren en bestaande kopieën verwijderen, tenzij de Wet Bescherming Persoonsgegevens opslag van de Persoonsgegevens vereist. Totdat de gegevens zijn verwijderd of geretourneerd, zal Runnr.ai de naleving van deze DPA blijven waarborgen.

Bijlage 1 - Details gegevensverwerking

Aard van de verwerking:

Runnr.ai verwerkt Persoonsgegevens om de Diensten te leveren, te onderhouden, te ondersteunen en te verbeteren.

Doel(en) waarvoor de Persoonsgegevens worden verwerkt:

Runnr.ai zal Persoonsgegevens verwerken zoals noodzakelijk om de Diensten te leveren in overeenstemming met de Overeenkomst en zoals verder geïnstrueerd door Klant bij het gebruik van de Diensten.

Categorieën van betrokkenen

• Gasten van Klant
• De persoon die een boeking maakt anders dan de Gast
• Hotelmedewerkers
• Personen die geautoriseerd zijn om het Runnr.ai platform te gebruiken
• Elke andere persoon die communiceert met Klant via de Diensten van Runnr.ai

Categorieën van verwerkte Persoonsgegevens

• Communicatie-inhoud: deze kan Persoonsgegevens of andere gepersonaliseerde kenmerken bevatten, afhankelijk van de communicatie-inhoud zoals bepaald door jou als Klant of zoals vrijwillig verstrekt door de gast wanneer deze communiceert met Klant via de Diensten
• Verkeersgegevens: die Persoonsgegevens kunnen bevatten over de duur en timing van een gesprek met Gasten
• Gegevens van Gasten: zoals telefoonnummer, voornaam, achternaam, e-mailadres, profielafbeelding en details over het verblijf van de Gast, afhankelijk van het gebruik van de Diensten door de Klant, zoals: reserveringsgegevens (bijv. kamernummer) en specifieke boekingsgegevens en verzoeken van Gasten
• Accountgegevens eindgebruiker: voornaam , achternaam, e-mailadres, inloggegevens
• Technische gegevens: Runnr .ai kan technische gegevens verwerken in verband met het aanbieden en beheren van de Runnr.ai Diensten, zoals: IP-adres, apparaattype, user agent, besturingssysteem, browsertype, tijdstempel van bezoek, UUID, cookies, UserID (indien van toepassing).

Speciale categorieën van persoonsgegevens

De partijen zijn niet van plan om speciale categorieën van Persoonsgegevens te verwerken.

Duur van de verwerking

Met inachtneming van Sectie 11 van de DPA, zal Runnr.ai Persoonsgegevens verwerken zolang Diensten worden geleverd onder de Overeenkomst.