Verwerkersovereenkomst

1. Partijen en samenhang

Deze verwerkersovereenkomst geldt tussen u als opdrachtgever ("Verwerkingsverantwoordelijke") en Circularmonster B.V., ingeschreven in het handelsregister onder nummer 89759192 en handelend onder de naam XITAD ("Verwerker").

Zij maakt deel uit van de overeenkomst tussen partijen en van de algemene voorwaarden van XITAD. Wijkt zij daarvan af op het punt van de verwerking van persoonsgegevens, dan gaat deze overeenkomst voor.

2. Onderwerp, aard en duur

XITAD verwerkt persoonsgegevens uitsluitend voor de uitvoering van de opdracht: het beoordelen, waarderen, ophalen, wissen, verwerken en verhandelen van IT-apparatuur, en de administratie die daarbij hoort.

De verwerking duurt zo lang als de opdracht duurt, met de bewaartermijnen uit artikel 10.

3. Welke gegevens, en van wie

Het gaat om beperkte gegevens, die meestal niet het doel van de verwerking zijn maar een bijvangst van wat wordt aangeleverd:

• Contactgegevens: naam, zakelijk e-mailadres, telefoonnummer en functie van uw medewerkers die bij de opdracht betrokken zijn.
• Gegevens in inventarislijsten: exports uit een beheersysteem bevatten vaak gebruikersnamen, afdelingen, vestigingen of asset-toewijzingen. Wij vragen u die te verwijderen; wat toch binnenkomt, verwerken wij onder deze overeenkomst.
• Gegevens in bestanden en foto’s: verborgen gegevens zoals locatie en de naam van de maker verwijderen wij bij ontvangst automatisch.
• Betrokkenen: uw medewerkers, en de personen aan wie de apparatuur in uw administratie was toegewezen.

4. Instructies

XITAD verwerkt de gegevens uitsluitend op uw schriftelijke instructie, waaronder begrepen de instructies die besloten liggen in de opdracht en in het gebruik van het platform. XITAD gebruikt de gegevens niet voor eigen doeleinden en verkoopt ze niet.

Is XITAD van oordeel dat een instructie in strijd is met de wet, dan meldt zij dat voordat zij die uitvoert, tenzij de wet dat verbiedt.

5. Geheimhouding

Iedereen die bij XITAD toegang heeft tot de gegevens is tot geheimhouding verplicht. Toegang is gebonden aan rollen en beperkt tot wie de gegevens voor zijn werk nodig heeft. Verwerkende en logistieke partners tekenen bovendien vooraf een geheimhoudingsverklaring; zonder die handtekening krijgen zij geen naam en geen adres te zien.

6. Beveiliging

XITAD neemt passende technische en organisatorische maatregelen, waaronder in elk geval:

• Versleuteld transport naar en van het platform, en versleutelde opslag.
• Rolgebaseerde toegang, met tweefactorauthenticatie beschikbaar voor elk account.
• Het automatisch verwijderen van verborgen gegevens uit geüploade bestanden en foto’s.
• Afscherming van uw identiteit richting biedende partijen: zij zien de plaats, niet de naam of het adres, tot een bod is aanvaard.

7. Subverwerkers

U geeft algemene toestemming voor het inschakelen van subverwerkers. Welke dat zijn en waarvoor staat in de privacyverklaring; dat overzicht is de actuele lijst.

Eén subverwerker bevindt zich buiten de Europese Economische Ruimte: de inhoud van een aangeleverde hardwarelijst gaat naar OpenAI in de Verenigde Staten om er merk, model en aantallen uit te lezen. Die doorgifte rust op de standaardcontractbepalingen van de Europese Commissie.

Voegt XITAD een subverwerker toe of vervangt zij er een, dan meldt zij dat vooraf en kunt u daartegen binnen veertien dagen gemotiveerd bezwaar maken. Komen partijen er niet uit, dan kunt u de opdracht beëindigen voor het deel waarop het bezwaar ziet.

8. Bijstand

XITAD helpt u binnen redelijke termijn bij het beantwoorden van verzoeken van betrokkenen om inzage, correctie, verwijdering of beperking, en bij een gegevensbeschermingseffectbeoordeling of een voorafgaande raadpleging. Richt een betrokkene zich rechtstreeks tot XITAD, dan verwijst XITAD hem naar u en handelt zij het verzoek niet zelf af.

9. Datalekken

Ontdekt XITAD een inbreuk in verband met persoonsgegevens, dan meldt zij dat zonder onredelijke vertraging en in elk geval binnen achtenveertig uur na ontdekking, met wat op dat moment bekend is: de aard van de inbreuk, de betrokken gegevens en betrokkenen voor zover bekend, de vermoedelijke gevolgen en de genomen maatregelen. De melding aan de Autoriteit Persoonsgegevens en aan betrokkenen doet u; XITAD levert wat u daarvoor nodig hebt.

10. Bewaren, teruggeven en vernietigen

XITAD bewaart niet langer dan nodig. Een restwaardescan die niet tot een project leidt vervalt met het aangeleverde bestand na dertig dagen. Facturen, vernietigingscertificaten en de bijbehorende vastlegging bewaart XITAD zeven jaar, op grond van de fiscale bewaarplicht.

Na afloop van de opdracht verwijdert XITAD de persoonsgegevens of geeft zij ze op uw verzoek terug, behoudens wat zij op grond van een wettelijke plicht moet bewaren. Dat laatste blijft onder deze overeenkomst vallen zolang het bewaard wordt.

11. Controle

U kunt eenmaal per jaar, en daarnaast na een datalek, controleren of XITAD deze afspraken nakomt. Dat kan met een door u aangewezen onafhankelijke deskundige die tot geheimhouding is verplicht. U kondigt een controle ten minste dertig dagen vooraf aan en draagt de kosten, tenzij uit de controle blijkt dat XITAD tekortschiet.

12. Toepasselijk recht

Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Amsterdam.