Verwerkersovereenkomst

Realytics Corp Limited

Laatst bijgewerkt: 5 augustus 2026 | Van kracht: 5 augustus 2026

Deze Verwerkersovereenkomst en de bijlagen daarbij (de "DPA") geven de afspraken weer tussen Realytics en de Klant (zoals hieronder gedefinieerd), samen de "Partijen" ("Parties"), met betrekking tot de Verwerking van Persoonsgegevens van de Klant op grond van de servicevoorwaarden, de abonnementsovereenkomst, het bestelformulier of enige andere schriftelijke of elektronische overeenkomst tussen de Partijen waarin naar deze DPA wordt verwezen (de "Overeenkomst" ("Agreement")).

Deze DPA wordt opgenomen in de Overeenkomst en vormt daarvan een integraal onderdeel zonder dat aanvullende ondertekening door een van beide Partijen nodig is. Voor Klanten van wie de interne procedures dat vereisen, is op verzoek een ondertekenbare versie beschikbaar via .

In geval van strijdigheid tussen deze DPA en de Overeenkomst prevaleert deze DPA. In geval van strijdigheid tussen deze DPA en de Standaardcontractbepalingen waarnaar in artikel 9 wordt verwezen, prevaleren de Standaardcontractbepalingen.

1. Definities

Begrippen met een hoofdletter die hier niet zijn gedefinieerd, hebben de betekenis die daaraan in de Overeenkomst is gegeven.

"Gelieerde Onderneming" ("Affiliate") betekent een entiteit die de betreffende entiteit bezit of daarover zeggenschap heeft, die eigendom is van of onder zeggenschap staat van de betreffende entiteit, of die met de betreffende entiteit onder gemeenschappelijk eigendom of gemeenschappelijke zeggenschap staat, waarbij "zeggenschap" de bevoegdheid betekent om het bestuur of de aangelegenheden van een entiteit te bepalen en "eigendom" het economisch eigendom betekent van vijftig procent (50%) of meer van de stemgerechtigde effecten of gelijkwaardige stemrechten.

"Toepasselijke Gegevensbeschermingswetgeving" ("Applicable Data Protection Law") betekent alle wetgeving inzake gegevensbescherming en privacy die van toepassing is op de Verwerking op grond van deze DPA, waaronder de Europese Gegevensbeschermingswetgeving, de CCPA, de Virginia Consumer Data Protection Act, de Colorado Privacy Act, de Connecticut Data Privacy Act, de Utah Consumer Privacy Act en andere toepasselijke privacywetten van staten van de Verenigde Staten.

"CCPA" betekent de California Consumer Privacy Act, zoals gewijzigd bij de California Privacy Rights Act, samen met de bijbehorende uitvoeringsregelgeving.

"Verwerkingsverantwoordelijke" ("Controller") betekent de entiteit die het doel van en de middelen voor de Verwerking van Persoonsgegevens vaststelt, met inbegrip van een "business" zoals dat begrip is gedefinieerd in de Toepasselijke Gegevensbeschermingswetgeving.

"Klant" ("Customer") betekent de entiteit die de Overeenkomst met Realytics aangaat voor toegang tot of gebruik van de Diensten.

"Persoonsgegevens van de Klant" ("Customer Personal Data") betekent de in Bijlage I beschreven Persoonsgegevens die de Klant of diens Geautoriseerde Gebruikers indienen bij, uploaden naar of toegankelijk maken via de Diensten, dan wel die Realytics namens de Klant Verwerkt op grond van de Overeenkomst, en ten aanzien waarvan de Klant hetzij de Verwerkingsverantwoordelijke is, hetzij een Verwerker die namens een derde-Verwerkingsverantwoordelijke handelt.

"Betrokkene" ("Data Subject"), "Verwerken" ("Process"), "Verwerkt" ("Processed") en "Verwerking" ("Processing") hebben elk de betekenis die daaraan in de Toepasselijke Gegevensbeschermingswetgeving is gegeven.

"Gegevens op Vestigingsniveau" ("Establishment-Level Data") betekent gegevens die betrekking hebben op een onderneming, merk, winkel, filiaal, vestiging, gelegenheid of andere commerciële locatie of rechtspersoon, en die door Realytics niet worden gebruikt om een natuurlijke persoon te identificeren, te onderscheiden of daarvan een profiel op te bouwen.

"Europese Gegevensbeschermingswetgeving" ("European Data Protection Laws") betekent de AVG, de Data Protection Act 2018 van het Verenigd Koninkrijk samen met de UK GDPR, en de Zwitserse federale wet op de gegevensbescherming, zoals elk daarvan gewijzigd of vervangen.

"AVG" ("GDPR") betekent Verordening (EU) 2016/679, alsmede diezelfde verordening zoals opgenomen in het recht van het Verenigd Koninkrijk.

"Persoonsgegevens" ("Personal Data") betekent persoonsgegevens of persoonlijke informatie zoals gedefinieerd in de Toepasselijke Gegevensbeschermingswetgeving.

"Inbreuk in verband met Persoonsgegevens" ("Personal Data Breach") betekent een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins Verwerkte Persoonsgegevens.

"Verwerker" ("Processor") betekent de entiteit die Persoonsgegevens Verwerkt namens een Verwerkingsverantwoordelijke, met inbegrip van een "service provider" zoals dat begrip is gedefinieerd in de Toepasselijke Gegevensbeschermingswetgeving.

"Realytics" betekent Realytics Corp Limited, een in Cyprus onder nummer HE424817 geregistreerde vennootschap met statutaire zetel te 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus, dan wel, indien de Overeenkomst wordt aangegaan met Reality Analytics, Inc., die entiteit.

"Toezichthouder" ("Regulator") betekent de toezichthoudende of handhavende autoriteit die bevoegd is ten aanzien van de Verwerking.

"Diensten" ("Services") betekent de diensten die Realytics op grond van de Overeenkomst aan de Klant levert.

"Standaardcontractbepalingen" ("Standard Contractual Clauses") of "SCC's" ("SCCs") betekent de standaardcontractbepalingen die zijn goedgekeurd bij Uitvoeringsbesluit (EU) 2021/914 van de Commissie van 4 juni 2021.

"Subverwerker" ("Sub-Processor") betekent elke Verwerker die door Realytics wordt ingeschakeld, met inbegrip van een Gelieerde Onderneming van Realytics, om Persoonsgegevens van de Klant te Verwerken.

2. Rollen en toepassingsgebied

2.1 Rol als Verwerker. Ten aanzien van Persoonsgegevens van de Klant is de Klant de Verwerkingsverantwoordelijke en is Realytics de Verwerker. Wanneer de Klant optreedt als Verwerker namens een derde-Verwerkingsverantwoordelijke, treedt Realytics op als Subverwerker van de Klant, en is de Klant ervoor verantwoordelijk dat diens instructies aan Realytics door de betreffende Verwerkingsverantwoordelijke zijn geautoriseerd. Realytics zal Persoonsgegevens van de Klant uitsluitend Verwerken zoals in deze DPA is bepaald en overeenkomstig de instructies van de Klant.

2.2 Rol als Verwerkingsverantwoordelijke. Realytics treedt op als Verwerkingsverantwoordelijke, en niet als Verwerker, ten aanzien van registratiegegevens van accounts, gegevens van geautoriseerde gebruikers, facturerings- en betaalgegevens, ondersteuningscorrespondentie en gebruiks- en telemetriegegevens van de Diensten, die Realytics Verwerkt met het oog op het leveren, beveiligen, ondersteunen, onderhouden en verbeteren van de Diensten, het beheren van de klantrelatie, fraudepreventie, bedrijfscontinuïteit en het uitvoeren van kernbedrijfsfuncties zoals boekhouding, facturering en naleving van wet- en regelgeving. De verwerking van die gegevens door Realytics als Verwerkingsverantwoordelijke wordt beschreven in het Privacybeleid van Realytics en valt niet onder deze DPA.

2.3 Eigen gegevens van Realytics. De datasets die Realytics onafhankelijk van de Klant samenstelt, in licentie neemt of afleidt — waaronder gegevens die zijn verkregen door het crawlen van openbaar toegankelijke webpagina's, in licentie genomen datasets van derden en Gegevens op Vestigingsniveau — zijn geen Persoonsgegevens van de Klant en vallen niet onder deze DPA, ongeacht of zij via de Diensten aan de Klant worden getoond.

2.4 Gelieerde Ondernemingen van de Klant. Wanneer Gelieerde Ondernemingen van de Klant rechtstreeks op grond van de Overeenkomst abonnementen op de Diensten hebben afgenomen, is deze DPA op die abonnementen van toepassing en wordt elke dergelijke Gelieerde Onderneming aangemerkt als de Verwerkingsverantwoordelijke voor haar eigen Persoonsgegevens van de Klant. De Klant is verantwoordelijk voor het coördineren van alle communicatie met Realytics op grond van deze DPA namens zichzelf en diens Gelieerde Ondernemingen, en is gerechtigd die communicatie namens hen te voeren en te ontvangen.

2.5 Duur. Realytics zal Persoonsgegevens van de Klant Verwerken gedurende de looptijd van de Overeenkomst en daarna uitsluitend voor zover artikel 8 dat toestaat.

3. Verplichtingen van de Klant

3.1 De Klant zal Persoonsgegevens van de Klant Verwerken, en instructies aan Realytics geven, in overeenstemming met de Toepasselijke Gegevensbeschermingswetgeving. De Klant is als enige verantwoordelijk voor de juistheid, kwaliteit en rechtmatigheid van de Persoonsgegevens van de Klant en voor de wijze waarop die gegevens zijn verkregen.

3.2 De Klant garandeert dat hij over alle noodzakelijke rechten en over een geldige rechtsgrondslag beschikt om Persoonsgegevens van de Klant aan Realytics te verstrekken voor de Verwerking waarin de Overeenkomst voorziet. Voor zover de Toepasselijke Gegevensbeschermingswetgeving dat vereist, is de Klant verantwoordelijk voor het verkrijgen en bijhouden van een registratie van eventueel benodigde toestemmingen van Betrokkenen. Indien een toestemming wordt ingetrokken, is de Klant verantwoordelijk voor het informeren van Realytics, en blijft Realytics verantwoordelijk voor het uitvoeren van de daaruit voortvloeiende instructie in overeenstemming met deze DPA.

3.3 Verboden gegevens. De Klant zal het volgende niet bij de Diensten indienen, en zal diens Geautoriseerde Gebruikers niet toestaan dit in te dienen:

(a) bijzondere categorieën van Persoonsgegevens in de zin van artikel 9 AVG, zijnde gegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen of het lidmaatschap van een vakbond blijken, genetische gegevens, biometrische gegevens die met het oog op identificatie worden verwerkt, gegevens over gezondheid, of gegevens over het seksuele gedrag of de seksuele gerichtheid van een natuurlijke persoon;

(b) Persoonsgegevens betreffende strafrechtelijke veroordelingen of strafbare feiten;

(c) Persoonsgegevens van kinderen jonger dan zestien (16) jaar; of

(d) betaalkaartnummers, financiële rekeningnummers, overheidsidentificatienummers of nauwkeurige geolocatiegegevens van een geïdentificeerde natuurlijke persoon.

De Diensten zijn niet ontworpen om de in dit artikel 3.3 beschreven gegevens te Verwerken, en Realytics heeft geen enkele verplichting of aansprakelijkheid ten aanzien van dergelijke gegevens indien die in strijd met dit artikel worden ingediend.

3.4 Vrijwaring. De Klant zal Realytics en diens Gelieerde Ondernemingen verdedigen tegen, vrijwaren voor en schadeloos stellen ter zake van elke vordering, aanspraak, procedure, boete, verlies of kosten (met inbegrip van redelijke advocaatkosten) die voortvloeien uit of verband houden met (a) Persoonsgegevens van de Klant waarvoor de Klant geen rechtsgrondslag of niet de noodzakelijke rechten had om deze aan Realytics te verstrekken, (b) een schending door de Klant van artikel 3.3, of (c) een instructie van de Klant die ertoe leidt dat Realytics de Toepasselijke Gegevensbeschermingswetgeving schendt, mits Realytics de Klant op grond van artikel 4.1(c) heeft geïnformeerd voor zover het daartoe in staat was.

4. Verplichtingen van Realytics als Verwerker

4.1 Voor zover Realytics Persoonsgegevens van de Klant namens de Klant Verwerkt, zal Realytics:

(a) Persoonsgegevens van de Klant uitsluitend Verwerken op gedocumenteerde instructies van de Klant, waaronder de Overeenkomst, deze DPA, de configuratie en het gebruik van de Diensten door de Klant en elke andere redelijke schriftelijke instructie die met deze DPA in overeenstemming is, mede ten aanzien van doorgiften naar derde landen, behoudens voor zover dit vereist is om te voldoen aan wetgeving waaraan Realytics is onderworpen;

(b) indien wetgeving Verwerking anders dan op instructie van de Klant vereist, de Klant vóór de Verwerking van dat wettelijke voorschrift in kennis stellen, tenzij die wetgeving een dergelijke mededeling verbiedt;

(c) de Klant onverwijld informeren indien naar het oordeel van Realytics een instructie van de Klant inbreuk maakt op de Toepasselijke Gegevensbeschermingswetgeving;

(d) waarborgen dat het personeel dat gemachtigd is Persoonsgegevens van de Klant te Verwerken tot geheimhouding is verplicht, en de toegang beperken tot dat personeel dat die nodig heeft om de Diensten te leveren, te ondersteunen of te beveiligen; en

(e) een schriftelijk informatiebeveiligingsbeleid onderhouden dat de Verwerking van Persoonsgegevens van de Klant bestrijkt.

4.2 Beperkingen als dienstverlener en verwerker. Realytics zal:

(a) Persoonsgegevens van de Klant niet bewaren, gebruiken of verstrekken anders dan noodzakelijk is om de Diensten te leveren en de Overeenkomst uit te voeren, of zoals anderszins toegestaan op grond van de Toepasselijke Gegevensbeschermingswetgeving;

(b) Persoonsgegevens van de Klant niet bewaren, gebruiken of verstrekken buiten de rechtstreekse zakelijke relatie tussen Realytics en de Klant;

(c) Persoonsgegevens van de Klant niet "verkopen" of "delen" in de zin waarin die begrippen in de Toepasselijke Gegevensbeschermingswetgeving zijn gedefinieerd; of

(d) Persoonsgegevens van de Klant niet combineren met Persoonsgegevens die zijn ontvangen van of namens enige andere persoon, of die zijn verzameld uit de eigen interacties van Realytics met personen, behoudens voor zover toegestaan op grond van artikel 5 of noodzakelijk om de Diensten te leveren.

De Partijen erkennen dat de verstrekking van Persoonsgegevens van de Klant door de Klant aan Realytics geen onderdeel uitmaakt van enige geldelijke of andere op geld waardeerbare tegenprestatie die tussen de Partijen wordt uitgewisseld. Realytics zal Persoonsgegevens van de Klant hetzelfde niveau van privacybescherming bieden als op grond van de Toepasselijke Gegevensbeschermingswetgeving van de Klant wordt verlangd, en zal de Klant informeren indien het vaststelt dat het niet langer aan zijn verplichtingen op grond van de Toepasselijke Gegevensbeschermingswetgeving kan voldoen.

5. Analyse op vestigingsniveau en verbetering van de Diensten

5.1 Doel. De Diensten werken door commerciële activiteit te herleiden tot het niveau van een onderneming, merk of fysieke locatie. Realytics streeft er niet naar individuele natuurlijke personen te identificeren, te onderscheiden, te profileren of over hen besluiten te nemen, en onderneemt geen pogingen om natuurlijke personen opnieuw te identificeren binnen enige dataset die het in bezit heeft.

5.2 Toegestaan gebruik. Realytics mag Gegevens op Vestigingsniveau en geaggregeerde of statistische gegevens die voortkomen uit de exploitatie van de Diensten, waaronder gegevens die zijn afgeleid van Persoonsgegevens van de Klant, gebruiken om de Diensten te leveren, te beveiligen, te onderhouden, te analyseren en te verbeteren, mede om de analytische en machine-learningmodellen die deel uitmaken van de Diensten te ontwikkelen, te trainen, te testen en te evalueren.

5.3 Beperkingen. Realytics zal gegevens op grond van artikel 5.2 uitsluitend gebruiken wanneer deze zodanig zijn geaggregeerd of teruggebracht tot Gegevens op Vestigingsniveau dat zij geen natuurlijke persoon meer identificeren en redelijkerwijs niet kunnen worden gebruikt om een natuurlijke persoon te identificeren, en de Klant niet langer identificeren. Realytics zal de Persoonsgegevens van de Klant zelf, of enige uitkomst waarmee de Klant kan worden geïdentificeerd, niet aan enige andere klant verstrekken.

5.4 Gegevens op individueel niveau. Realytics houdt in de datasets die aan de Diensten ten grondslag liggen geen gegevens op individueel niveau van natuurlijke personen bij en streeft daar ook niet naar.

5.5 Bezwaar. Wanneer een Betrokkene het recht van bezwaar uitoefent op grond van artikel 21 AVG ten aanzien van Verwerking die op grond van dit artikel plaatsvindt, geeft Realytics aan dat bezwaar gevolg in overeenstemming met de Toepasselijke Gegevensbeschermingswetgeving.

6. Beveiliging

6.1 Rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de Verwerking, alsmede met de risico's voor Betrokkenen, zal Realytics passende technische en organisatorische maatregelen treffen en handhaven om Persoonsgegevens van de Klant te beschermen tegen een Inbreuk in verband met Persoonsgegevens. Die maatregelen worden beschreven in Bijlage II.

6.2 Realytics mag de maatregelen in Bijlage II van tijd tot tijd bijwerken, mits dergelijke wijzigingen niet leiden tot een wezenlijke verslechtering van de algehele beveiliging van de Diensten.

6.3 Op schriftelijk verzoek van de Klant, en met inachtneming van de geheimhoudingsbepalingen van de Overeenkomst, zal Realytics informatie verstrekken die redelijkerwijs noodzakelijk is om de naleving van dit artikel 6 aan te tonen, waaronder ingevulde beveiligingsvragenlijsten en, voor zover beschikbaar, samenvattingen van auditrapporten of certificeringen van derden, die om redenen van beveiliging of vertrouwelijkheid gedeeltelijk onleesbaar kunnen zijn gemaakt.

6.4 Audit. Wanneer de Toepasselijke Gegevensbeschermingswetgeving dat vereist, en wanneer de op grond van artikel 6.3 verstrekte informatie niet toereikend is, kan de Klant om een audit van de Verwerking van Persoonsgegevens van de Klant door Realytics verzoeken. Een dergelijke audit mag niet vaker dan eenmaal per periode van twaalf (12) maanden worden uitgevoerd, vereist ten minste dertig (30) dagen voorafgaande schriftelijke kennisgeving, en is afhankelijk van voorafgaande overeenstemming tussen de Partijen over de reikwijdte, het tijdstip en de duur ervan. De Klant draagt zijn eigen kosten en vergoedt de redelijke kosten van Realytics voor de tijd die aan ondersteuning van de audit is besteed. Auditresultaten vormen Vertrouwelijke Informatie van Realytics. De Klant zal Realytics onverwijld informeren over elke vastgestelde niet-naleving, en Realytics zal commercieel redelijke inspanningen leveren om bevestigde niet-naleving te verhelpen. Niets in dit artikel beperkt een audit of inspectie die door een Toezichthouder wordt verlangd.

7. Subverwerkers

7.1 Toestemming. De Klant verleent Realytics algemene schriftelijke toestemming om Gelieerde Ondernemingen van Realytics en Subverwerkers van derden in te schakelen voor de Verwerking van Persoonsgegevens van de Klant in verband met de Diensten. Dit vormt de voorafgaande schriftelijke toestemming van de Klant voor de toepassing van Clausule 9 van de Standaardcontractbepalingen. De actuele lijst van Subverwerkers is beschikbaar op realytics.com/legal/subprocessors en is opgenomen in Bijlage III.

7.2 Kennisgeving en bezwaar. Realytics zal kennisgeving doen van elke nieuwe Subverwerker door de lijst ten minste vijftien (15) dagen voordat die Subverwerker toegang krijgt tot Persoonsgegevens van de Klant bij te werken, en zal voorzien in een mechanisme waarmee de Klant zich kan aanmelden voor meldingen van updates. De Klant kan binnen veertien (14) dagen na de kennisgeving bezwaar maken op redelijke gronden die verband houden met gegevensbescherming. Indien de Klant binnen die termijn niet reageert, wordt de Subverwerker geacht te zijn aanvaard.

7.3 Oplossing. Indien de Klant bezwaar maakt, zullen de Partijen het bezwaar te goeder trouw bespreken. Indien binnen dertig (30) dagen geen oplossing wordt bereikt, kan de Klant het betrokken deel van de Diensten schriftelijk opzeggen, en zal Realytics eventuele vooruitbetaalde vergoedingen die betrekking hebben op de periode na beëindiging naar rato terugbetalen.

7.4 Doorwerking en aansprakelijkheid. Realytics zal aan elke Subverwerker gegevensbeschermingsverplichtingen opleggen die ten minste hetzelfde beschermingsniveau voor Persoonsgegevens van de Klant bieden als deze DPA. Wanneer een Subverwerker die verplichtingen niet nakomt, blijft Realytics jegens de Klant aansprakelijk voor de nakoming van de verplichtingen van die Subverwerker.

8. Verwijdering en teruggave

8.1 Bij afloop of beëindiging van de Overeenkomst, op schriftelijk verzoek van de Klant, of wanneer het doel van de Verwerking is bereikt, zal Realytics Persoonsgegevens van de Klant binnen dertig (30) dagen verwijderen, behoudens voor zover bewaring wettelijk verplicht is.

8.2 Persoonsgegevens van de Klant die zich in reguliere back-ups bevinden, worden verwijderd overeenkomstig de gebruikelijke back-upcyclus van Realytics en in elk geval binnen negentig (90) dagen na beëindiging.

8.3 De Klant kan Persoonsgegevens van de Klant gedurende de looptijd te allen tijde zonder aanvullende kosten exporteren met de exportfunctionaliteit van de Diensten. Wanneer de Klant verzoekt om een op maat gemaakte extractie die technische inspanning vergt, kan Realytics daarvoor zijn redelijke kosten in rekening brengen.

8.4 Realytics zal de vertrouwelijkheid bewaren van alle Persoonsgegevens van de Klant die op grond van artikel 8.1 worden bewaard, en zal deze uitsluitend Verwerken voor zover noodzakelijk om te voldoen aan de wetgeving waaraan het is onderworpen.

8.5 Geaggregeerde gegevens en Gegevens op Vestigingsniveau die vóór beëindiging rechtmatig op grond van artikel 5 zijn aangemaakt en waarmee de Klant noch enige natuurlijke persoon kan worden geïdentificeerd, vallen niet onder de verwijderingsplicht van dit artikel.

9. Internationale doorgiften

9.1 Standaardcontractbepalingen. Wanneer Persoonsgegevens van de Klant die afkomstig zijn uit de Europese Economische Ruimte, het Verenigd Koninkrijk of Zwitserland worden doorgegeven naar een land waarvoor geen adequaatheidsbesluit is genomen, komen de Partijen overeen gebonden te zijn aan Module Twee (verwerkingsverantwoordelijke aan verwerker) van de Standaardcontractbepalingen, die door verwijzing in deze DPA worden opgenomen. Wanneer de Klant optreedt als Verwerker namens een derde-Verwerkingsverantwoordelijke, is in plaats daarvan Module Drie (verwerker aan verwerker) van toepassing. De Klant voldoet aan de verplichtingen van de gegevensexporteur en Realytics voldoet aan de verplichtingen van de gegevensimporteur.

9.2 Keuzes. Voor de toepassing van de Standaardcontractbepalingen geldt:

(a) de facultatieve koppelingsclausule in Clausule 7 is van toepassing wanneer een Partij de andere Partij schriftelijk meedeelt dat deze vereist is;

(b) in Clausule 9 is Optie 2 (algemene schriftelijke toestemming) van toepassing, met de in artikel 7.2 vastgelegde kennisgevingstermijn;

(c) in Clausule 11 is de facultatieve bepaling inzake onafhankelijke geschillenbeslechting niet van toepassing;

(d) in Clausule 17 is Optie 1 van toepassing en worden de Bepalingen beheerst door het recht van de Republiek Cyprus;

(e) in Clausule 18(b) worden geschillen beslecht door de rechter van de Republiek Cyprus;

(f) Bijlage I bij de Standaardcontractbepalingen wordt ingevuld met de gegevens in Bijlage I bij deze DPA, en Bijlage II met de gegevens in Bijlage II bij deze DPA; en

(g) het aangaan van deze DPA geldt als ondertekening door elke Partij van de Standaardcontractbepalingen en de bijlagen daarbij.

9.3 Verenigd Koninkrijk. Voor doorgiften die onder de UK GDPR vallen, komen de Partijen het door de Information Commissioner uitgegeven UK International Data Transfer Addendum (versie B1.0) overeen, dat door verwijzing wordt opgenomen. Tabel 1 wordt ingevuld met de gegevens van de Partijen in Bijlage I; Tabel 2 wijst de exporteur aan als Verwerkingsverantwoordelijke en de importeur als Verwerker; de Tabellen 3 en 4 worden ingevuld met respectievelijk de gegevens in Bijlage I en Bijlage II.

9.4 Zwitserland. Voor doorgiften die onder de Zwitserse federale wet op de gegevensbescherming vallen, is de federale commissaris voor gegevensbescherming en informatie de bevoegde toezichthoudende autoriteit, worden verwijzingen naar de AVG gelezen als verwijzingen naar de Zwitserse wet, en kunnen Betrokkenen in Zwitserland hun rechten in Zwitserland afdwingen.

9.5 Verdere doorgiften. Realytics mag Persoonsgegevens van de Klant doorgeven aan Reality Analytics, Inc. en aan de in Bijlage III vermelde Subverwerkers, in elk geval met inachtneming van passende waarborgen op grond van de Toepasselijke Gegevensbeschermingswetgeving.

9.6 Wijziging van het mechanisme. Indien de Standaardcontractbepalingen of het UK Addendum worden gewijzigd of vervangen, dan wel door een bevoegde rechter of Toezichthouder ongeldig of ontoereikend worden verklaard, komen de Partijen overeen dat de toepasselijke vervangende of bijgewerkte bepalingen, dan wel enig alternatief doorgiftemechanisme dat geldig is op grond van de Toepasselijke Gegevensbeschermingswetgeving, automatisch van toepassing zijn vanaf de datum waarop zij toepasselijk worden, en dat Realytics zo nodig aanvullende waarborgen mag treffen zonder deze DPA te wijzigen.

10. Rechten van Betrokkenen en bijstand

10.1 Wanneer Realytics van een Betrokkene een verzoek ontvangt tot uitoefening van rechten op inzage, rectificatie, wissing, beperking, overdraagbaarheid of bezwaar ten aanzien van Persoonsgegevens van de Klant, zal Realytics, voor zover wettelijk toegestaan, de Betrokkene er onverwijld op wijzen dat het verzoek aan de Klant moet worden gericht, en zal Realytics de Klant van het verzoek in kennis stellen.

10.2 Rekening houdend met de aard van de Verwerking zal Realytics de Klant, voor zover redelijkerwijs mogelijk, door middel van passende technische en organisatorische maatregelen bijstaan bij het nakomen van diens verplichting om op dergelijke verzoeken te reageren. Wanneer de Klant een verzoek niet via de functionaliteit van de Diensten kan afhandelen, zal Realytics commercieel redelijke inspanningen leveren om bijstand te verlenen.

10.3 Op verzoek van de Klant, en rekening houdend met de aard van de Verwerking en de informatie waarover Realytics beschikt, zal Realytics de Klant redelijke bijstand verlenen bij het uitvoeren van een gegevensbeschermingseffectbeoordeling met betrekking tot het gebruik van de Diensten door de Klant, en bij een eventuele voorafgaande raadpleging van een Toezichthouder op grond van artikel 36 AVG, in elk geval voor zover de Klant niet anderszins over de relevante informatie beschikt.

11. Inbreuk in verband met Persoonsgegevens

11.1 Realytics zal de Klant zonder onnodige vertraging en in elk geval binnen tweeënzeventig (72) uur nadat het daarvan kennis heeft gekregen, in kennis stellen van een Inbreuk in verband met Persoonsgegevens die Persoonsgegevens van de Klant treft, met gebruikmaking van de contactgegevens die de Klant daarvoor heeft opgegeven. De Klant is verantwoordelijk voor het actueel houden van die gegevens.

11.2 De kennisgeving bevat, voor zover op dat moment bekend, de aard van de inbreuk, de categorieën en het geschatte volume van de getroffen Persoonsgegevens van de Klant, de waarschijnlijke gevolgen en de getroffen of voorgestelde maatregelen. Wanneer de informatie op het moment van kennisgeving niet beschikbaar is, zal Realytics deze gefaseerd verstrekken zodra zij beschikbaar komt.

11.3 Realytics zal commercieel redelijke stappen ondernemen om de inbreuk in te dammen en te verhelpen voor zover het herstel binnen zijn macht ligt, en zal de Klant redelijke bijstand verlenen om de Klant in staat te stellen Toezichthouders en getroffen Betrokkenen in kennis te stellen wanneer de Klant daartoe verplicht is.

11.4 De Klant is als enige verantwoordelijk voor het naleven van de op de Klant van toepassing zijnde meldplichten bij inbreuken en voor eventuele meldplichten jegens derden.

11.5 Dit artikel is niet van toepassing op een Inbreuk in verband met Persoonsgegevens die is veroorzaakt door de Klant, diens Geautoriseerde Gebruikers, of producten of diensten die niet door Realytics worden geleverd.

11.6 De kennisgeving door Realytics van een Inbreuk in verband met Persoonsgegevens houdt geen erkenning van schuld of aansprakelijkheid in.

12. Algemeen

12.1 Aansprakelijkheid. De aansprakelijkheid van elke Partij, en die van haar Gelieerde Ondernemingen, die voortvloeit uit of verband houdt met deze DPA, hetzij uit overeenkomst, uit onrechtmatige daad of op enige andere aansprakelijkheidsgrond, is onderworpen aan de beperkingen en uitsluitingen van aansprakelijkheid die in de Overeenkomst zijn opgenomen. Elke verwijzing in de Overeenkomst naar de aansprakelijkheid van een Partij betekent de gezamenlijke aansprakelijkheid van die Partij en al haar Gelieerde Ondernemingen op grond van de Overeenkomst en alle verwerkersaddenda tezamen. Niets in deze DPA beperkt aansprakelijkheid die op grond van de Toepasselijke Gegevensbeschermingswetgeving niet kan worden beperkt, waaronder de rechten van een Betrokkene op grond van de artikelen 79 en 82 AVG.

12.2 Toepasselijk recht. Deze DPA wordt beheerst door het recht dat op de Overeenkomst van toepassing is. Wanneer de Overeenkomst geen rechtskeuze bevat, wordt deze DPA beheerst door het recht van de Republiek Cyprus en zijn de rechtbanken van Cyprus bij uitsluiting bevoegd, behoudens het bepaalde in de artikelen 9.2(e) en 9.3.

12.3 Rangorde. Deze DPA gaat voor op elke daarmee strijdige bepaling van de Overeenkomst ten aanzien van de Verwerking van Persoonsgegevens van de Klant. Behoudens de wijzigingen die deze DPA aanbrengt, blijft de Overeenkomst onverkort van kracht.

12.4 Wijzigingen van deze DPA. Realytics mag deze DPA bijwerken om wijzigingen in de Toepasselijke Gegevensbeschermingswetgeving, de Diensten of zijn Subverwerkers te weerspiegelen, mits geen enkele wijziging de bescherming van Persoonsgegevens van de Klant wezenlijk vermindert. Realytics zal wezenlijke wijzigingen ten minste dertig (30) dagen van tevoren aankondigen door de bijgewerkte DPA te publiceren en, wanneer de Klant zich voor meldingen heeft aangemeld, per e-mail.

12.5 Nietigheid van bepalingen. Indien enige bepaling van deze DPA ongeldig of niet-afdwingbaar wordt geacht, blijven de overige bepalingen van kracht.

12.6 Geen partnerschap. Niets in deze DPA doet een partnerschap, joint venture of agentuurrelatie tussen de Partijen ontstaan.

12.7 Looptijd. Deze DPA treedt in werking op de ingangsdatum van de Overeenkomst en eindigt automatisch bij afloop of beëindiging van de Overeenkomst, met uitzondering van bepalingen die naar hun aard voortduren, waaronder de artikelen 8, 9 en 12.1.

12.8 Contact. Vragen over deze DPA kunnen worden gestuurd naar . Beveiligingskwesties kunnen worden gestuurd naar .

Bijlage I — Beschrijving van de Verwerking

A. Lijst van partijen

Gegevensexporteur (Verwerkingsverantwoordelijke): de Klant, zoals aangeduid in de Overeenkomst. Activiteiten die relevant zijn voor de doorgifte: afname van de Diensten op grond van de Overeenkomst. Handtekening en datum: het aangaan van deze DPA geldt als ondertekening van deze Bijlage door de Klant.

Gegevensimporteur (Verwerker): de in de Overeenkomst aangeduide Realytics-entiteit, zijnde hetzij Realytics Corp Limited, registratienummer HE424817, 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus, hetzij Reality Analytics, Inc., 1000 N. West Street, Suite 1200, Wilmington, Delaware 19801, United States. Contact: . Activiteiten die relevant zijn voor de doorgifte: levering van de Diensten aan de Klant op grond van de Overeenkomst. Handtekening en datum: het aangaan van deze DPA geldt als ondertekening van deze Bijlage door Realytics.

B. Beschrijving van de doorgifte

C. Bevoegde toezichthoudende autoriteit

Het Bureau van de Commissaris voor de Bescherming van Persoonsgegevens van de Republiek Cyprus.

Bijlage II — Technische en organisatorische maatregelen

Realytics onderhoudt technische en organisatorische maatregelen die zijn bedoeld om Persoonsgegevens van de Klant te beschermen tegen een Inbreuk in verband met Persoonsgegevens, rekening houdend met de aard, omvang, context en doeleinden van de Verwerking en het risico voor Betrokkenen. Realytics publiceert geen gedetailleerde systeemarchitectuur of details over de implementatie van beveiligingsmaatregelen wanneer dat een beveiligingsrisico zou opleveren.

A. Toegangscontrole

Realytics beperkt de toegang tot Persoonsgegevens van de Klant tot personeel dat die toegang nodig heeft om de Diensten te leveren, te ondersteunen, te onderhouden of te beveiligen. Toegang wordt op basis van rollen verleend, vereist authenticatie en wordt ingetrokken zodra zij niet langer nodig is. Personeel met toegang tot Persoonsgegevens van de Klant is gebonden aan geheimhoudingsverplichtingen.

B. Beveiliging van de gegevensoverdracht

Realytics beschermt Persoonsgegevens van de Klant die over openbare netwerken worden verzonden door middel van versleuteling tijdens de overdracht, waar dat technisch passend is.

C. Scheiding en minimalisering

Realytics maakt gebruik van logische maatregelen die zijn bedoeld om klantomgevingen en -gegevens binnen de Diensten van elkaar te scheiden. Realytics beperkt de Verwerking van Persoonsgegevens van de Klant tot wat noodzakelijk is voor de in de Overeenkomst en deze DPA beschreven doeleinden, en maakt gebruik van aggregatie, de-identificatie of Gegevens op Vestigingsniveau waar het doel dat toelaat.

D. Back-ups en herstelvermogen

Realytics onderhoudt back-up- en herstelmaatregelen die zijn bedoeld om de beschikbaarheid en het herstel van de Diensten en de Persoonsgegevens van de Klant na een incident te ondersteunen, afhankelijk van het niveau van de Dienst en de Overeenkomst.

E. Incidentbeheer

Realytics onderhoudt procedures voor het identificeren, onderzoeken, indammen en verhelpen van beveiligingsincidenten die de Diensten treffen.

F. Beheer van Subverwerkers

Realytics contracteert met Subverwerkers op voorwaarden die gegevensbeschermingsverplichtingen opleggen welke ten minste hetzelfde beschermingsniveau bieden als deze DPA, en onderhoudt de in artikel 7 beschreven gepubliceerde lijst van Subverwerkers.

Bijlage III — Subverwerkers

Opmerkingen. Hetzner Online GmbH levert dedicated bare-metal servers en datacentervoorzieningen. Realytics verleent Hetzner geen toegang tot Persoonsgegevens van de Klant en Hetzner Verwerkt geen Persoonsgegevens van de Klant namens Realytics; de vermelding vindt omwille van de transparantie plaats, als leverancier van hostinginfrastructuur.

Meta Platforms, TikTok, LinkedIn en Google Ads worden door Realytics gebruikt voor zijn eigen marketing- en advertentieactiviteiten, waarbij Realytics optreedt als Verwerkingsverantwoordelijke. Zij Verwerken geen Persoonsgegevens van de Klant en zijn daarom geen Subverwerkers in de zin van deze DPA. Hun rol wordt beschreven in het Privacybeleid van Realytics.

Realytics staat de hierboven vermelde Subverwerkers die AI-modelinferentie leveren niet toe Persoonsgegevens van de Klant te gebruiken om hun eigen modellen te trainen, en contracteert met hen op voorwaarden die dergelijk gebruik uitsluiten.