Verwerkersovereenkomst

---

Deze documenten beschrijven de diensten van Mirobrowse, waaronder websites, maatwerkapplicaties, evenementen- en ticketsystemen, communities en scoreboards voor de paardensport. De overeenkomst bepaalt welke diensten worden geleverd. Ze vervangen niet de eigen privacyinformatie, verkoopvoorwaarden of evenementregels van de klant.

Partijen: de klant die in de hoofdovereenkomst, offerte, opdrachtbevestiging of dienstbestelling is vermeld (“Verwerkingsverantwoordelijke”) en Mirobrowse (“Verwerker” of “MiroBrowse”).

Deze verwerkersovereenkomst maakt integraal deel uit van de hoofdovereenkomst en is van toepassing zodra en zolang MiroBrowse namens Verwerkingsverantwoordelijke persoonsgegevens verwerkt. De verwerkersovereenkomst treedt uiterlijk in werking op het moment waarop de verwerking begint.

1. Begrippen

In deze verwerkersovereenkomst wordt verstaan onder:

• AVG: Verordening (EU) 2016/679, inclusief toepasselijke nationale uitvoeringswetgeving;
• Dienst: iedere website, applicatie, platformdienst, hostingdienst, API, CMS-oplossing, maatwerkoplossing of andere digitale dienst die door MiroBrowse aan Verwerkingsverantwoordelijke wordt geleverd;
• Hoofdovereenkomst: de overeenkomst, offerte, opdrachtbevestiging, dienstbestelling en toepasselijke dienstbijlagen tussen Partijen;
• Verwerkingsspecificatie: de beschrijving van de concrete verwerking, waaronder de Dienst, doeleinden, verwerkingshandelingen, persoonsgegevens, betrokkenen, duur, bewaartermijnen en aanvullende instructies;
• Klantgegevens: alle gegevens die door of namens Verwerkingsverantwoordelijke binnen de Dienst worden ingevoerd, verzonden, ontvangen, opgeslagen, gegenereerd of anderszins verwerkt;
• Persoonsgegevens: Klantgegevens die volgens de AVG persoonsgegevens zijn;
• Inbreuk in verband met persoonsgegevens: een beveiligingsincident dat leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of toegang tot Persoonsgegevens;
• Subverwerker: een andere verwerker die door MiroBrowse wordt ingeschakeld voor een verwerking waarop deze verwerkersovereenkomst van toepassing is;
• EER: de Europese Economische Ruimte.

Begrippen die niet in deze verwerkersovereenkomst zijn gedefinieerd, hebben de betekenis die de AVG daaraan geeft.

2. Rollen en toepassingsgebied

1. Verwerkingsverantwoordelijke bepaalt de doeleinden van en de wezenlijke middelen voor de verwerking van Persoonsgegevens. MiroBrowse verwerkt deze Persoonsgegevens uitsluitend namens Verwerkingsverantwoordelijke en volgens diens gedocumenteerde instructies.
2. Deze verwerkersovereenkomst geldt voor iedere huidige of toekomstige Dienst voor zover MiroBrowse daarbij als verwerker optreedt. Het is niet nodig deze hoofdtekst opnieuw te ondertekenen wanneer een nieuwe Dienst wordt toegevoegd. De nieuwe Dienst en bijbehorende verwerkingen moeten wel worden opgenomen in de Hoofdovereenkomst of Verwerkingsspecificatie.
3. De feitelijke rolverdeling is bepalend. Het enkele gebruik van de woorden “Verwerkingsverantwoordelijke” en “Verwerker” verandert de rolverdeling niet wanneer de werkelijke omstandigheden anders zijn.
4. Deze verwerkersovereenkomst geldt niet voor verwerkingen waarvoor MiroBrowse zelfstandig de doeleinden en wezenlijke middelen bepaalt. Dit kan bijvoorbeeld gelden voor de eigen contractadministratie, facturatie, juridische verplichtingen, eigen beveiligingsbelangen en zakelijke communicatie van MiroBrowse. Voor zulke verwerkingen is de privacyverklaring van MiroBrowse van toepassing.
5. Wanneer MiroBrowse in strijd met de instructies zelfstandig doeleinden en wezenlijke middelen van een verwerking bepaalt, kan MiroBrowse voor die verwerking volgens de AVG als verwerkingsverantwoordelijke worden aangemerkt.

3. Verwerkingsspecificatie

1. Het onderwerp, de aard, het doel en de duur van de verwerking, de categorieën Persoonsgegevens en de categorieën betrokkenen worden vastgelegd in de Verwerkingsspecificatie.
2. De Verwerkingsspecificatie kan zijn opgenomen in:
   • de Hoofdovereenkomst;
   • een afzonderlijke dienst- of privacybijlage;
   • een door Partijen goedgekeurde opdrachtbevestiging;
   • de configuratie van de afgenomen Dienst;
   • een klantaccount of beheerdersomgeving waarin de gekozen verwerking is vastgelegd.
3. Alleen daadwerkelijk afgenomen, geactiveerde of gebruikte functionaliteiten maken deel uit van de verwerking. Een algemene beschrijving van mogelijke functies betekent niet dat al die functies of categorieën gegevens daadwerkelijk worden gebruikt.
4. Wanneer de Verwerkingsspecificatie onvoldoende duidelijk is, overleggen Partijen voordat een nieuwe of wezenlijk gewijzigde verwerking begint.

4. Gedocumenteerde instructies

1. De Hoofdovereenkomst, Verwerkingsspecificatie, instellingen van de Dienst en schriftelijke opdrachten van bevoegde contactpersonen gelden als gedocumenteerde instructies.
2. MiroBrowse verwerkt Persoonsgegevens alleen volgens deze instructies, waaronder instructies over doorgifte aan een derde land of internationale organisatie.
3. Wanneer Unierecht of Nederlands recht MiroBrowse verplicht Persoonsgegevens anders te verwerken, informeert MiroBrowse Verwerkingsverantwoordelijke vooraf over die wettelijke verplichting, tenzij de wet deze informatie om gewichtige redenen van algemeen belang verbiedt.
4. MiroBrowse informeert Verwerkingsverantwoordelijke onmiddellijk wanneer een instructie naar het oordeel van MiroBrowse in strijd is met de AVG of andere toepasselijke privacywetgeving.
5. MiroBrowse mag de uitvoering van een mogelijk onrechtmatige instructie opschorten totdat de rechtmatigheid voldoende is opgehelderd of de instructie is aangepast of ingetrokken. Alleen bevestigen door de klant maakt een onrechtmatige instructie niet rechtmatig. Wanneer Verwerkingsverantwoordelijke blijft aandringen op een kennelijk onrechtmatige instructie, mag MiroBrowse het betrokken deel van de Dienst opschorten of beëindigen.
6. MiroBrowse mag zonder voorafgaande instructie redelijke tijdelijke maatregelen nemen wanneer deze onmiddellijk noodzakelijk zijn om een beveiligingsincident, gegevensverlies, misbruik of ernstige verstoring te voorkomen of beperken. MiroBrowse informeert Verwerkingsverantwoordelijke hierover zo snel mogelijk.
7. Aanvullende instructies die buiten de overeengekomen werking van de Dienst vallen, worden vooraf besproken. MiroBrowse mag daarvoor redelijke kosten in rekening brengen wanneer die kosten vooraf zijn medegedeeld en overeengekomen.

5. Aard en doeleinden van de verwerking

Afhankelijk van de afgenomen Dienst kan MiroBrowse Persoonsgegevens onder meer verzamelen, ontvangen, registreren, ordenen, structureren, opslaan, bijwerken, raadplegen, weergeven, publiceren, combineren, doorgeven, exporteren, beveiligen, back-uppen, herstellen, beperken en verwijderen.

De verwerking kan onder meer nodig zijn voor:

• het beschikbaar stellen en functioneren van de Dienst;
• hosting, opslag, publicatie en gegevensoverdracht;
• account-, sessie-, rollen- en toegangsbeheer;
• verwerking van formulieren, transacties, registraties en andere handelingen;
• berekeningen, overzichten, rapportages en door de Klant gevraagde uitvoer;
• beveiliging, monitoring, logging en misbruikpreventie;
• back-up, herstel, continuïteit en foutopsporing;
• onderhoud, updates, support en probleemoplossing;
• export, overdracht en verwijdering bij beëindiging.

De precieze doeleinden en handelingen van iedere Dienst worden opgenomen in de Verwerkingsspecificatie.

6. Verplichtingen van Verwerkingsverantwoordelijke

1. Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid van de verwerking, waaronder geldige grondslagen, informatie aan betrokkenen, doelbinding en dataminimalisatie.
2. Verwerkingsverantwoordelijke bepaalt welke Persoonsgegevens noodzakelijk zijn, hoe lang deze worden bewaard en welke personen toegang krijgen.
3. Verwerkingsverantwoordelijke zorgt dat zijn instructies, configuraties, formulieren, gegevensverzamelingen en gebruik van de Dienst in overeenstemming zijn met de AVG en andere toepasselijke wetgeving.
4. Verwerkingsverantwoordelijke is verantwoordelijk voor de juistheid en kwaliteit van de aangeleverde Persoonsgegevens en voor het tijdig corrigeren of verwijderen daarvan.
5. Verwerkingsverantwoordelijke behandelt verzoeken van betrokkenen en meldingen aan de toezichthouder, tenzij schriftelijk anders is overeengekomen.
6. Verwerkingsverantwoordelijke zorgt ervoor dat contactgegevens voor privacy- en datalekmeldingen actueel blijven.
7. Verwerkingsverantwoordelijke gebruikt de Dienst niet voor bijzondere persoonsgegevens, strafrechtelijke persoonsgegevens, nationale identificatienummers of stelselmatige verwerking van zeer gevoelige gegevens, tenzij dit in de Verwerkingsspecificatie is vermeld en passende aanvullende maatregelen schriftelijk zijn overeengekomen.
8. Wanneer kinderen of andere kwetsbare betrokkenen via de Dienst worden verwerkt, zorgt Verwerkingsverantwoordelijke voor de daarvoor vereiste grondslagen, informatie en beschermingsmaatregelen.

7. Geheimhouding en toegang

1. MiroBrowse zorgt dat personen die onder zijn gezag toegang hebben tot Persoonsgegevens deze alleen verwerken volgens de instructies en voor zover dit noodzakelijk is voor hun taak.
2. Deze personen zijn contractueel of wettelijk tot geheimhouding verplicht.
3. MiroBrowse past passende procedures toe voor het toekennen, beoordelen, wijzigen en intrekken van toegangsrechten.
4. Toegang wordt beperkt volgens het need-to-know- en least-privilegebeginsel.
5. Toegangsrechten worden ingetrokken wanneer een taak, opdracht of arbeidsrelatie eindigt of wanneer toegang niet langer noodzakelijk is.

8. Technische en organisatorische maatregelen

1. MiroBrowse treft passende technische en organisatorische maatregelen overeenkomstig artikel 32 AVG, rekening houdend met:
   • de stand van de techniek;
   • de uitvoeringskosten;
   • de aard, omvang, context en doeleinden van de verwerking;
   • de waarschijnlijkheid en ernst van risico’s voor betrokkenen.
2. Afhankelijk van de Dienst en risico’s kunnen de maatregelen onder meer bestaan uit:
   • unieke accounts, rollen en beperkte toegangsrechten;
   • sterke authenticatie en waar passend meervoudige authenticatie;
   • veilige opslag en hashing van wachtwoorden;
   • versleutelde gegevensoverdracht;
   • logische scheiding van klantomgevingen en gegevens;
   • logging, monitoring en detectie van misbruik of ongebruikelijke toegang;
   • technische updates, beveiligingspatches en kwetsbaarhedenbeheer;
   • beveiligde ontwikkel-, test- en productieprocessen;
   • back-ups en herstelprocedures;
   • maatregelen voor beschikbaarheid, continuïteit en herstel;
   • beperking van beheerrechten;
   • incidentrespons en procedures voor datalekken;
   • beveiligde verwijdering en overschrijving van gegevens;
   • periodieke evaluatie en waar passend tests van maatregelen.
3. Eventuele aanvullende of afwijkende beveiligingsmaatregelen worden opgenomen in de Verwerkingsspecificatie of beveiligingsbijlage.
4. Een nadere beschrijving van toepasselijke beveiligingsmaatregelen kan op redelijk verzoek worden verstrekt, voor zover dit de beveiliging of belangen van andere klanten niet schaadt.
5. MiroBrowse mag beveiligingsmaatregelen aanpassen wanneer dit nodig is voor verbetering, continuïteit, technische ontwikkeling of beveiliging. Het algemene beveiligingsniveau wordt daarbij niet wezenlijk verlaagd.
6. Verwerkingsverantwoordelijke blijft verantwoordelijk voor de beveiliging van eigen apparaten, accounts, inloggegevens, gebruikers, koppelingen en configuraties buiten de beheeromgeving van MiroBrowse.

9. Inbreuken in verband met persoonsgegevens

1. MiroBrowse informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging nadat MiroBrowse kennis heeft gekregen van een Inbreuk in verband met persoonsgegevens. Waar redelijk mogelijk gebeurt dit binnen 24 uur nadat MiroBrowse van de inbreuk kennis heeft gekregen.
2. De eerste melding bevat, voor zover op dat moment bekend:
   • de aard van de inbreuk;
   • de betrokken systemen of Diensten;
   • de categorieën en geschatte aantallen betrokkenen;
   • de categorieën en geschatte aantallen persoonsgegevens;
   • de waarschijnlijke gevolgen;
   • de genomen of voorgestelde maatregelen;
   • een contactpunt voor aanvullende informatie.
3. Wanneer niet alle informatie direct beschikbaar is, verstrekt MiroBrowse deze gefaseerd zodra de informatie beschikbaar komt.
4. MiroBrowse neemt redelijke maatregelen om de inbreuk te onderzoeken, te beperken, te herstellen en herhaling te helpen voorkomen.
5. Verwerkingsverantwoordelijke beslist of een melding aan de Autoriteit Persoonsgegevens of betrokkenen noodzakelijk is. MiroBrowse verleent daarvoor redelijke bijstand.
6. MiroBrowse doet niet zelfstandig namens Verwerkingsverantwoordelijke een melding aan betrokkenen of toezichthouder, tenzij dit schriftelijk is opgedragen of wettelijk verplicht is.
7. Een melding of onderzoek vormt geen erkenning van aansprakelijkheid, verwijtbaarheid of schending van een verplichting.
8. Verwerkingsverantwoordelijke meldt beveiligingsincidenten binnen zijn eigen omgeving, accounts of systemen zonder onredelijke vertraging aan MiroBrowse wanneer deze gevolgen kunnen hebben voor de Dienst.

10. Rechten van betrokkenen

1. MiroBrowse verleent, rekening houdend met de aard van de verwerking, redelijke technische en organisatorische bijstand bij verzoeken van betrokkenen.
2. Wanneer MiroBrowse rechtstreeks een verzoek ontvangt dat betrekking heeft op Persoonsgegevens van Verwerkingsverantwoordelijke, stuurt MiroBrowse dit verzoek zonder onredelijke vertraging door naar het bekende contactpunt.
3. MiroBrowse reageert niet inhoudelijk namens Verwerkingsverantwoordelijke, tenzij dit schriftelijk is opgedragen of wettelijk verplicht is.
4. Voor zover de Dienst dit ondersteunt, kan Verwerkingsverantwoordelijke zelf gegevens inzien, corrigeren, exporteren, beperken of verwijderen.
5. Aanvullende werkzaamheden die buiten de normale werking van de Dienst vallen, kunnen als meerwerk worden uitgevoerd wanneer dit vooraf is overeengekomen en wettelijk is toegestaan. Een geschil over extra kosten schort noodzakelijke wettelijke bijstand niet op en mag de uitoefening van privacyrechten of wettelijke termijnen niet verhinderen.

11. Bijstand bij naleving

MiroBrowse verleent, rekening houdend met de aard van de verwerking en de informatie waarover MiroBrowse beschikt, redelijke bijstand bij:

• de beveiligingsverplichtingen uit artikel 32 AVG;
• datalekmeldingen uit artikelen 33 en 34 AVG;
• gegevensbeschermingseffectbeoordelingen uit artikel 35 AVG;
• voorafgaande raadpleging van de toezichthouder uit artikel 36 AVG;
• onderzoeken of verzoeken van een bevoegde toezichthouder.

Verwerkingsverantwoordelijke blijft verantwoordelijk voor het uitvoeren van een DPIA en voor beslissingen over de aanvaardbaarheid van de verwerking. Wanneer uitgebreide bijstand buiten de normale dienstverlening nodig is, kunnen Partijen redelijke aanvullende kosten overeenkomen.

12. Subverwerkers

1. Verwerkingsverantwoordelijke geeft MiroBrowse algemene schriftelijke toestemming om Subverwerkers in te schakelen voor de uitvoering van de Dienst.
2. De actuele lijst van Subverwerkers, inclusief hun identiteit, contactgegevens, functie en verwerkingslocatie, wordt vóór de verwerking aan Verwerkingsverantwoordelijke verstrekt.
3. MiroBrowse houdt de identiteit, contactgegevens, functie en verwerkingslocatie van alle ingeschakelde Subverwerkers in de verwerkingsketen actueel en beschikbaar voor Verwerkingsverantwoordelijke, ook wanneer een lijst via een website wordt verstrekt.
4. MiroBrowse informeert Verwerkingsverantwoordelijke minimaal 30 dagen vooraf over een beoogde toevoeging of vervanging van een Subverwerker die Persoonsgegevens verwerkt.
5. Verwerkingsverantwoordelijke kan binnen 14 dagen na de kennisgeving gemotiveerd bezwaar maken wanneer de wijziging aantoonbare risico’s oplevert voor de bescherming van Persoonsgegevens.
6. Partijen zoeken bij een gerechtvaardigd bezwaar naar een redelijke oplossing, zoals een alternatieve Subverwerker, aanvullende maatregelen of uitschakeling van het betrokken onderdeel.
7. Wanneer geen redelijke oplossing mogelijk is, mag Verwerkingsverantwoordelijke het onderdeel van de Dienst dat van de betreffende Subverwerker afhankelijk is beëindigen. De overige onderdelen van de overeenkomst blijven waar mogelijk in stand.
8. Bij een dringende beveiligings-, continuïteits- of wettelijke noodzaak overleggen Partijen over een kortere aankondigingstermijn. De vereiste voorafgaande toestemming en mogelijkheid tot bezwaar blijven gelden. Een noodsituatie geeft geen algemene vrijstelling van artikel 28 AVG.
9. MiroBrowse legt iedere Subverwerker materieel dezelfde verplichtingen op als in deze verwerkersovereenkomst, voor zover deze op de betreffende verwerking van toepassing zijn.
10. MiroBrowse blijft overeenkomstig artikel 28 lid 4 AVG tegenover Verwerkingsverantwoordelijke verantwoordelijk voor de nakoming door de Subverwerker.
11. Een externe partij die voor eigen doeleinden als zelfstandige verwerkingsverantwoordelijke optreedt, is voor die verwerking geen Subverwerker. MiroBrowse vermeldt zulke ontvangers waar dit relevant is in de privacy-informatie of Verwerkingsspecificatie.

13. Verwerkingslocaties en internationale doorgifte

1. MiroBrowse verwerkt Persoonsgegevens waar mogelijk binnen de EER.
2. De bekende primaire verwerkingslocaties en relevante internationale doorgiften worden opgenomen in de Verwerkingsspecificatie of subverwerkerslijst.
3. Doorgifte buiten de EER vindt alleen plaats wanneer aan hoofdstuk V AVG wordt voldaan, bijvoorbeeld op basis van:
   • een adequaatheidsbesluit;
   • goedgekeurde standaardcontractbepalingen;
   • bindende bedrijfsvoorschriften;
   • een andere wettelijk toegestane doorgiftegrond.
4. Waar nodig worden aanvullende technische, organisatorische of contractuele maatregelen getroffen en wordt een beoordeling van de doorgifte uitgevoerd.
5. MiroBrowse informeert Verwerkingsverantwoordelijke over een juridisch bindend verzoek van een overheidsinstantie om toegang tot Persoonsgegevens, tenzij de wet dit verbiedt.
6. Waar redelijk en wettelijk mogelijk beoordeelt MiroBrowse de rechtmatigheid en proportionaliteit van zo’n verzoek en maakt MiroBrowse bezwaar tegen kennelijk onrechtmatige of buitenproportionele verzoeken.

14. Informatie, toezicht en audits

1. MiroBrowse stelt informatie beschikbaar die redelijkerwijs nodig is om naleving van artikel 28 AVG en deze verwerkersovereenkomst aan te tonen.
2. Waar passend kan MiroBrowse eerst documentatie, beveiligingsinformatie, vragenlijsten, auditrapporten, certificeringen of andere beschikbare bewijzen verstrekken.
3. Verwerkingsverantwoordelijke mag eenmaal per kalenderjaar een audit uitvoeren of laten uitvoeren. Een aanvullende audit is toegestaan:
   • na een relevante Inbreuk in verband met persoonsgegevens;
   • op verzoek van een bevoegde toezichthouder;
   • bij concrete en redelijke aanwijzingen van een wezenlijke tekortkoming;
   • wanneer een wettelijke verplichting dit vereist.
4. Een audit wordt normaal minimaal 30 dagen vooraf aangekondigd, tenzij spoed of een toezichthouder een kortere termijn vereist.
5. De audit vindt tijdens normale werktijden plaats en mag de continuïteit, beveiliging, bedrijfsgeheimen en persoonsgegevens van andere klanten niet onnodig schaden.
6. Verwerkingsverantwoordelijke mag de audit zelf uitvoeren of een onafhankelijke deskundige aanwijzen. De auditor moet tot geheimhouding zijn verplicht en mag geen direct belangenconflict hebben.
7. MiroBrowse mag redelijke beveiligingsvoorwaarden stellen aan toegang tot systemen en locaties, maar mag het wettelijke auditrecht niet feitelijk onmogelijk maken.
8. De kosten van een reguliere audit zijn voor Verwerkingsverantwoordelijke. Wanneer een wezenlijke toerekenbare tekortkoming van MiroBrowse wordt vastgesteld, draagt MiroBrowse de redelijke kosten van het relevante deel van de audit. Kosten of voorwaarden mogen niet kennelijk buitensporig of ontmoedigend zijn.

15. Teruggave, export en verwijdering

1. Na beëindiging van de verwerkingsdiensten kiest Verwerkingsverantwoordelijke of de Persoonsgegevens worden teruggegeven of verwijderd, tenzij de keuze al in de Hoofdovereenkomst of Verwerkingsspecificatie is vastgelegd.
2. Verwerkingsverantwoordelijke kan zijn keuze gedurende de overeengekomen exporttermijn schriftelijk wijzigen. De standaardopvraagperiode is 30 kalenderdagen na de toepasselijke overstapperiode, of vanaf beëindiging als er geen overstapperiode is. Langere wettelijke rechten en eerdere geldige verwijderinstructies gaan voor.
3. Een export bevat de beschikbare Persoonsgegevens en Klantgegevens in een passend, gangbaar en voor zover technisch mogelijk machineleesbaar formaat.
4. Een export bevat geen broncode, generieke software, databasestructuur, beveiligingsinformatie, beheeromgeving, serverconfiguratie, bedrijfsgeheimen of andere intellectuele eigendom van MiroBrowse. Dit sluit klantgegevens in een database en noodzakelijke uitleg van exportvelden niet uit en beperkt geen dwingende export- of overstaprechten.
5. Na de overeengekomen exporttermijn verwijdert MiroBrowse de Persoonsgegevens en bestaande operationele kopieën, tenzij:
   • Verwerkingsverantwoordelijke tijdig om teruggave heeft gevraagd en die nog niet is afgerond; na teruggave worden ook de resterende operationele kopieën verwijderd;
   • Unierecht of Nederlands recht verdere bewaring verplicht.
6. Wanneer Verwerkingsverantwoordelijke geen keuze doorgeeft binnen de exporttermijn, geldt verwijdering als vooraf overeengekomen standaardkeuze.
7. Persoonsgegevens in beveiligde back-ups worden afgeschermd, niet opnieuw voor gewone operationele doeleinden gebruikt en verwijderd of overschreven volgens de in de Verwerkingsspecificatie genoemde back-upcyclus.
8. Wanneer een back-up moet worden hersteld, worden eerder verwijderde gegevens opnieuw verwijderd voordat zij voor gewone operationele doeleinden worden gebruikt.
9. MiroBrowse bevestigt op redelijk verzoek dat de overeengekomen verwijdering is uitgevoerd.
10. Wettelijk bewaarde gegevens blijven uitsluitend toegankelijk voor het doel waarvoor bewaring verplicht is en worden verwijderd zodra die verplichting eindigt.

16. Register, documentatie en toezichthouders

1. MiroBrowse houdt, voor zover artikel 30 lid 2 AVG dit vereist, een register bij van categorieën van verwerkingsactiviteiten die namens klanten worden uitgevoerd.
2. MiroBrowse werkt binnen redelijke grenzen mee aan onderzoek en toezicht door een bevoegde privacytoezichthouder.
3. Partijen verstrekken elkaar zonder onredelijke vertraging informatie die noodzakelijk is om hun eigen wettelijke verplichtingen na te komen.
4. Contact over privacy, deze verwerkersovereenkomst of een datalek kan worden opgenomen via info@mirobrowse.com.

17. Geanonimiseerde gegevens

1. Deze verwerkersovereenkomst is niet van toepassing op gegevens die zodanig zijn geanonimiseerd dat een persoon redelijkerwijs niet meer direct of indirect kan worden geïdentificeerd.
2. MiroBrowse mag werkelijk geanonimiseerde en geaggregeerde gegevens gebruiken voor beveiliging, capaciteitsplanning, statistiek en verbetering van de dienstverlening.
3. MiroBrowse gebruikt hiervoor geen gegevens die alleen gepseudonimiseerd zijn wanneer deze nog als Persoonsgegevens moeten worden beschouwd.
4. MiroBrowse probeert geanonimiseerde gegevens niet opnieuw tot individuele personen te herleiden.

18. Wijzigingen en nieuwe Diensten

1. Een nieuwe Dienst of functionaliteit kan aan deze verwerkersovereenkomst worden toegevoegd door aanpassing van de Hoofdovereenkomst of Verwerkingsspecificatie. De algemene bepalingen van deze verwerkersovereenkomst hoeven daarvoor niet opnieuw te worden opgesteld.
2. Materiële wijzigingen van deze verwerkersovereenkomst worden schriftelijk aan Verwerkingsverantwoordelijke meegedeeld en worden alleen onderdeel van een bestaande overeenkomst volgens de wijzigingsprocedure uit de Hoofdovereenkomst of na schriftelijke aanvaarding.
3. Het uitsluitend publiceren van een nieuwe versie op de website wijzigt een bestaande verwerkersovereenkomst niet automatisch.
4. Operationele wijzigingen in Subverwerkers en beveiligingsmaatregelen worden uitgevoerd volgens respectievelijk artikel 12 en artikel 8.
5. Wanneer een wijziging noodzakelijk is door nieuwe dwingende wetgeving, informeren Partijen elkaar en werken zij redelijkerwijs mee aan tijdige aanpassing.

19. Looptijd, opschorting en beëindiging

1. Deze verwerkersovereenkomst geldt zolang MiroBrowse Persoonsgegevens namens Verwerkingsverantwoordelijke verwerkt.
2. Bepalingen over geheimhouding, audits, aansprakelijkheid, teruggave, verwijdering en wettelijke bewaring blijven na beëindiging gelden zolang dit voor hun doel noodzakelijk is.
3. Wanneer een verwerking niet meer rechtmatig of veilig kan worden uitgevoerd, overleggen Partijen over aanvullende maatregelen, opschorting of beëindiging van het betrokken deel van de Dienst.

20. Rangorde, aansprakelijkheid en recht

1. Bij strijdigheid over de verwerking van Persoonsgegevens gaat deze verwerkersovereenkomst voor op de algemene voorwaarden en de Hoofdovereenkomst.
2. De Verwerkingsspecificatie gaat voor wanneer daarin voor een specifieke Dienst uitdrukkelijk afwijkende of aanvullende privacyafspraken zijn vastgelegd, zonder afbreuk te doen aan verplichtingen uit de AVG of ander dwingend recht.
3. Voor commerciële, financiële en niet-privacyrechtelijke onderwerpen blijft de Hoofdovereenkomst bepalend.
4. Aansprakelijkheid volgt de Hoofdovereenkomst en algemene voorwaarden voor zover dit verenigbaar is met artikel 82 AVG en ander dwingend recht.
5. Op deze verwerkersovereenkomst is hetzelfde recht en dezelfde geschillenregeling van toepassing als op de Hoofdovereenkomst.