Schema D — Gegevensverwerkingsovereenkomst

Versie: v1.3
Ingangsdatum: 11 augustus 2026
Opgenomen in: Capafy Publisher Agreement

Dit Schema D maakt deel uit van de Publisher Agreement tussen CAPAFY PTE. LTD. (UEN: 202619379G) ("wij", "ons", "Capafy" of het "Platform") en de Publisher ("u" of de "Publisher"). Het regelt de gegevensbeschermingsafspraken van partijen voor persoonsgegevens die worden verwerkt in verband met cloud-gehoste Agents.

Sectie D.1 beschrijft hoe de gegevensbeschermingsrollen van partijen worden toegewezen voor elke categorie gegevens en verwerkingsactiviteit die onder dit Schema valt. Wanneer Capafy als verwerker of subverwerker optreedt, zijn de verwerkersbepalingen bedoeld om te voldoen aan GDPR artikel 28(3) en vergelijkbare toepasselijke wetgeving.

---

Inhoudsopgave

• D.1 Reikwijdte en toepasselijkheid
• D.2 Definities
• D.3 Instructies en verplichtingen van Verwerker-partners
• D.4 Verwerkingsdoeleinden en beperkingen
• D.5 Vertrouwelijkheid en toegangscontroles
• D.6 Bewaring en verwijdering van gegevens
• D.7 Technische en organisatorische beveiligingsmaatregelen
• D.8 Gegevensbeschermingseffectbeoordelingen
• D.9 Hulp bij rechten van betrokkenen
• D.10 Subverwerkers
• D.11 Grensoverschrijdende gegevensdoorgiften
• D.12 Looptijd, beëindiging en gegevensverwijdering
• D.13 Aansprakelijkheid
• D.14 Naleving van GDPR artikel 28(3)
• D.15 Algemeen
• Bijlage D-1 — Onderwerp en details van gegevensverwerking
• Bijlage D-2 — Aanvullende voorwaarden voor Europees gegevensbeschermingsrecht

---

D.1 Reikwijdte en toepasselijkheid

Dit Schema is van toepassing op cloud-gehoste toegang via abonnement en per uur, en op een beveiligingsreview voor zover daarbij persoonsgegevens worden verwerkt. Het is niet van toepassing op gebruik na levering van een Download Skill Package, behalve op de eigen account-, betalings-, beveiligings-, compliance- en Platform Operationele Gegevens van Capafy.

Dezelfde persoonsgegevens kunnen voor meerdere afzonderlijke doeleinden worden verwerkt. De rollen van partijen worden afzonderlijk bepaald voor elke hieronder beschreven verwerkingsactiviteit.

---

D.2 Definities

Agent-bestanden — de volledige set bestanden, prompts, scripts en configuraties die u aan ons verstrekt voor cloud-gehoste uitvoering.

Realtime Agent-uitvoeringsgegevens — inhoud van Gebruiker-Agent-interacties die Capafy tijdelijk en uitsluitend verwerkt om een verzoek te routeren, de Agent van de Publisher uit te voeren en de resulterende output terug te geven. Dit sluit kopieën of registraties uit die Capafy als Uitvoeringslogs of Platform Operationele Gegevens bewaart voor eigen doeleinden als onafhankelijke verwerkingsverantwoordelijke onder D.1.

Credential Proxy — ons mechanisme om uw gehoste API-referenties tijdens runtime in Agent-verzoeken te injecteren. Referenties worden versleuteld opgeslagen; niemand, inclusief onze engineers, heeft toegang tot de platte-tekstwaarde. De Credential Proxy geldt alleen voor referenties die u via de Publisher Console als gehoste referenties registreert. Referenties die rechtstreeks in Agent-bestanden zijn opgenomen — waaronder referenties in omgevingsvariabeledeclaraties, configuratiebestanden, prompttemplates of andere onderdelen van het Skill Package — worden niet door ons beheerd, opgeslagen of beschermd en vallen volledig buiten dit mechanisme.

Uitvoeringslogs — gestructureerde registraties van Agent-uitvoeringsactiviteit en inhoud van Gebruiker-Agent-gesprekken die Capafy bewaart voor de doeleinden als onafhankelijke verwerkingsverantwoordelijke in D.1, waaronder geschillenbeslechting en audit. Uitvoeringslogs worden per sessie geïndexeerd, 90 dagen na opschoning van de instantie bewaard tenzij een langere termijn wettelijk of door een legal hold vereist is, en zijn niet beschikbaar voor Publishers via de Publisher Console of een routinegegevenskanaal.

Instructies — uw aanwijzingen aan ons met betrekking tot de verwerking van persoonsgegevens onder dit Schema, inclusief uw geconfigureerde Agent, de Publisher Agreement en aanvullende schriftelijke instructies die daarmee verenigbaar zijn.

Verwerker-partner — een Publisher die zelf een gegevensverwerker is die handelt namens een bovenliggende verwerkingsverantwoordelijke.

Door de Publisher geselecteerde externe dienst — een externe LLM-aanbieder, API, database, zoekaanbieder of andere externe dienst die door de Publisher is geselecteerd of geconfigureerd.

Review Sandbox — een geïsoleerde testomgeving die door ons reviewteam wordt gebruikt om Agent-gedrag tijdens het beveiligingsreviewproces te evalueren. De Review Sandbox is zo ontworpen dat reviewers Agent-gedrag kunnen observeren zonder toegang te hebben tot uw oorspronkelijke Agent-bestanden.

Beveiligingsincident — elke gebeurtenis waarbij sprake is van ongeautoriseerde toegang tot, openbaarmaking van, wijziging van of vernietiging van persoonsgegevens.

---

D.3 Instructies en verplichtingen van Verwerker-partners

Deze sectie is uitsluitend van toepassing op Agent-bestanden en Realtime Agent-uitvoeringsgegevens zoals beschreven in D.1, wanneer Capafy als verwerker of subverwerker optreedt. Capafy verwerkt die persoonsgegevens alleen op gedocumenteerde Instructies van de Publisher, tenzij toepasselijk recht anders vereist. De Instructies staan in dit Schema, de Publisher Agreement, de geconfigureerde Agent en verdere schriftelijke Instructies die daarmee verenigbaar zijn.

Indien Capafy redelijkerwijs meent dat een Instructie toepasselijk gegevensbeschermingsrecht zou schenden, of toepasselijk recht Capafy verhindert die op te volgen, informeert Capafy de Publisher onverwijld en schort het de betrokken verwerkingsactiviteit op totdat de kwestie is opgelost. Capafy schendt dit Schema niet door een Instructie te weigeren die het redelijkerwijs onrechtmatig acht.

Indien de Publisher een Verwerker-partner is, garandeert de Publisher dat de relevante bovenliggende verwerkingsverantwoordelijke de in dit Schema beschreven verwerking en de aanstelling van Capafy als subverwerker voor de toepasselijke verwerkingscategorie heeft toegestaan. De Publisher stuurt elke kennisgeving die de verwerkingsverantwoordelijke volgens toepasselijk recht moet ontvangen onverwijld door.

Voor Uitvoeringslogs, Platform Operationele Gegevens, account-, checkout-, betalings-, afrekenings-, beveiligings- en andere onafhankelijke-verwerkingsverantwoordelijkeactiviteiten uit D.1 handelt Capafy onder zijn Privacybeleid en toepasselijk recht, niet onder Instructies van de Publisher.

---

D.4 Verwerkingsdoeleinden en beperkingen

Verwerking als verwerker. Voor Agent-bestanden en Realtime Agent-uitvoeringsgegevens verwerkt Capafy persoonsgegevens uitsluitend om:

• de Agent van de Publisher te hosten en uit te voeren en de output aan de relevante Gebruiker te leveren;
• de sessie die nodig is voor uitvoering aan te maken, te onderhouden en te beëindigen;
• verzoeken en antwoorden via de proxy- of relay-infrastructuur van Capafy te routeren;
• door de Publisher gehoste API-referenties via de Credential Proxy te injecteren; en
• de beveiligingsmaatregelen te bieden die nodig zijn om deze verwerking als verwerker te beschermen.

Verwerking als onafhankelijke verwerkingsverantwoordelijke. Capafy verwerkt Uitvoeringslogs, Platform Operationele Gegevens en de overige categorieën uit D.1 voor Platformbeveiliging en -integriteit, fraudepreventie en misbruikbestrijding, beveiligingsreview, geschillenbeslechting, audit, ondersteuning van facturering en afrekening, wettelijke naleving en de in dit Schema, de Publisher Agreement en het Privacybeleid vermelde bewaartermijnen.

Berichtbeveiliging. Capafy mag binnenkomende berichten screenen op beveiligingsdreigingen en uitgaande Agent-output filteren op lekkage van referenties. Wanneer een referentie wordt gedetecteerd, mag Capafy deze vervangen door een redactieaanduiding en zal het de Publisher informeren.

Capafy zal niet:

• Agent-bestanden, inclusief prompts, logica en configuraties, gebruiken om een AI-model of machine-learningsysteem te trainen;
• de functionele logica van de Agent kopiëren of aanpassen om een concurrerend product of dienst te bouwen;
• Agent-bestanden aan een onbevoegde derde verstrekken;
• Gebruikers contacteren om de Publisher te omzeilen en een onafhankelijke commerciële relatie aan te gaan; of
• toegang tot ruwe Gebruikersgespreksgegevens toestaan buiten geautoriseerde processen voor geschillen, audit, beveiliging of wettelijke naleving van Capafy.

---

D.5 Vertrouwelijkheid en toegangscontroles

Wij zorgen ervoor dat al het personeel met toegang tot uw Agent-bestanden of Gebruikersinteractiegegevens gebonden is aan passende vertrouwelijkheidsverplichtingen.

• Toegang tot Agent-code en -inhoud is onderworpen aan strikte least-privilege-controles
• Ons reviewteam evalueert Agent-gedrag via de Review Sandbox, die is ontworpen om toegang tot uw oorspronkelijke Agent-bestanden te voorkomen
• Toegang tot ruwe Gebruikersgespreksgegevens door ons technisch personeel vereist dubbele goedkeuring en is beperkt tot geautoriseerde processen voor geschillen, audit, beveiliging en wettelijke naleving van Capafy
• Uw API-referenties worden versleuteld opgeslagen, geïsoleerd van onze algemene bedrijfssystemen, en zijn voor geen enkele persoon in platte tekst toegankelijk

---

D.6 Bewaring en verwijdering van gegevens

Bewaartermijnen:

Door Publisher geïnitieerde verwijdering:

• U kunt gehoste API-referenties op elk moment via de Publisher Console verwijderen of vervangen; vervangingen gelden bij de volgende containerstart en verwijderingen onmiddellijk.
• Het delisten van een Agent verwijdert deze uit de marketplace en voorkomt nieuwe sessies, maar verwijdert geen bestanden die nodig zijn voor actieve of lopende sessies.
• Neem contact op met [email protected] om permanente verwijdering van uw Agent-bestanden bij deregistratie aan te vragen.

Verwijderingsverzoeken van betrokkenen:

Verzoeken over Uitvoeringslogs, Platform Operationele Gegevens, accountgegevens, betalingsgegevens of andere verwerking door Capafy als onafhankelijke verwerkingsverantwoordelijke behandelt Capafy onder zijn Privacybeleid en toepasselijk recht. Capafy hoeft het e-mailadres van het Capafy-account, het persoonlijke profiel of ruwe Gebruikersgesprekslogs van de Gebruiker niet aan de Publisher bekend te maken, behalve wanneer toepasselijk recht dit vereist.

Wanneer een verzoek Agent-bestanden of Realtime Agent-uitvoeringsgegevens betreft waarvoor Capafy als verwerker of subverwerker optreedt, biedt Capafy redelijke bijstand op grond van D.9. Capafy kan beperkte feitelijke input van de Publisher vragen indien dit redelijkerwijs noodzakelijk is, maar verstrekt alleen de minimaal noodzakelijke informatie en stelt geen ruwe Uitvoeringslogs beschikbaar via de Publisher Console of een ander routinekanaal.

---

D.7 Technische en organisatorische beveiligingsmaatregelen

Onze beveiligingsmaatregelen:

Opslagbeveiliging:

• Agent-bestanden, Uitvoeringslogs en API-referenties worden versleuteld opgeslagen
• API-referenties worden opgeslagen in een speciale, geïsoleerde secrets store; toegang in platte tekst is voor niemand beschikbaar, inclusief onze engineers
• Toegang tussen Agent-bestanden van verschillende Publishers is strikt gescheiden; toegang tussen sessiegegevens van verschillende Gebruikers is strikt gescheiden
• Toegang door personeel tot productiegegevens vereist dubbele goedkeuring

Beveiliging van uitvoeringsomgeving:

• Elke Gebruikerssessie draait in een geïsoleerde omgeving; gegevens uit de sessie van één Gebruiker zijn niet toegankelijk voor een andere Gebruiker
• Sessies die worden gebruikt voor beveiligingsreview en interne tests zijn volledig geïsoleerd van commerciële Gebruikerssessies; zij genereren geen orders of omzetgegevens
• Uitgaand netwerkverkeer vanuit Agent-omgevingen wordt gecontroleerd; de Credential Proxy injecteert API-referenties alleen voor verzoeken naar de API-URL's die in uw Agent zijn opgegeven

Berichtbeveiligingspipeline:

• Alle Gebruikersberichten passeren een beveiligingsscreeninglaag voordat zij uw Agent bereiken
• Alle Agent-output passeert een beveiligingsfilter voordat deze aan de Gebruiker wordt geleverd; output met gedetecteerde referentieformaten wordt geredigeerd
• Deze beveiligingslagen werken buiten de Agent-uitvoeringsomgeving en kunnen niet door Agent-code worden omzeild

Transportbeveiliging:

• Alle gegevens tijdens transport worden versleuteld met actuele, industriestandaard transportbeveiligingsprotocollen

Doorlopende beveiliging:

• Wij voeren doorlopende interne beveiligingstests uit op onze infrastructuur en code, en zullen onafhankelijke penetratietests door derden inschakelen wanneer onze schaal en ons risicoprofiel dat rechtvaardigen
• Wij voeren doorlopende geautomatiseerde kwetsbaarheidsscans uit over onze infrastructuur en code, en voeren statische en gedragsanalyse op Skill-niveau uit van Agent-bestanden voorafgaand aan en tijdens listing
• Wij behouden, of werken toe naar het behouden van, een in de branche erkende beveiligingscertificering (zoals ISO 27001 of een gelijkwaardige norm); details zijn op schriftelijk verzoek beschikbaar
• Wanneer wij kwaadaardige code in een Agent detecteren, delisten wij de Agent onmiddellijk, informeren wij getroffen Gebruikers en publiceren wij een beveiligingsbericht

Uw beveiligingsverantwoordelijkheden:

U bent verantwoordelijk voor:

• Het Platform op een veilige manier en in overeenstemming met de Publisher Agreement gebruiken
• De beveiliging en vertrouwelijkheid van uw Publisher Console-referenties handhaven
• Agent-beveiligingsinstellingen passend configureren voor uw gebruikssituatie
• Alle persoonsgegevens die worden opgeslagen of verwerkt op systemen buiten het Platform, inclusief uw eigen servers of diensten van derden die door uw Agent worden aangeroepen
• Ervoor zorgen dat alle referenties die uw Agent vereist via de Publisher Console als gehoste referenties worden geregistreerd. Indien u referenties — inclusief API-sleutels, tokens of secrets — rechtstreeks in uw Agent-bestanden opneemt (bijvoorbeeld in omgevingsvariabeledeclaraties, configuratiebestanden of prompttemplates), vallen die referenties niet onder onze controle of bescherming. Wij dragen geen aansprakelijkheid voor enige blootstelling, lekkage of misbruik van referenties die op deze wijze zijn opgenomen

U erkent dat onze beveiligingsmaatregelen, rekening houdend met de aard van de diensten en de stand van de techniek, een passend beschermingsniveau bieden voor de persoonsgegevens die onder dit Schema worden verwerkt.

---

D.8 Gegevensbeschermingseffectbeoordelingen

Wanneer u op grond van toepasselijk gegevensbeschermingsrecht (inclusief GDPR artikel 35) verplicht bent een gegevensbeschermingseffectbeoordeling uit te voeren in verband met uw gebruik van het Platform, zullen wij u op schriftelijk verzoek helpen door te verstrekken:

• een beschrijving van onze gegevensverwerkingsactiviteiten en beveiligingsmaatregelen die relevant zijn voor de beoordeling
• informatie over onze subverwerkers en gegevensdoorgiftemechanismen
• relevante uittreksels uit onze beveiligingsdocumentatie

Wij zullen binnen een redelijke termijn op dergelijke verzoeken reageren.

---

D.9 Hulp bij rechten van betrokkenen

Deze sectie is uitsluitend van toepassing wanneer Capafy onder D.1 als verwerker of subverwerker optreedt voor Agent-bestanden of Realtime Agent-uitvoeringsgegevens. Rekening houdend met de aard van die verwerking biedt Capafy de Publisher redelijke bijstand bij een geldig verzoek van een betrokkene, voor zover vereist door toepasselijke Data Protection Laws.

Voor verzoeken over Uitvoeringslogs, Platform Operationele Gegevens, account-, betalingsgegevens of andere verwerking door Capafy als onafhankelijke verwerkingsverantwoordelijke reageert Capafy in zijn eigen rol onder het Privacybeleid en toepasselijk recht. De Publisher heeft geen recht op ruwe Uitvoeringslogs, inhoud van Gebruikersgesprekken, het Capafy-account-e-mailadres of het persoonlijke profiel van de Gebruiker, behalve wanneer toepasselijk recht openbaarmaking vereist.

Voor verwerking als verwerker kan Capafy passende statusinformatie geven, een gedocumenteerde rectificatie-, beperkings- of verwijderingsinstructie uitvoeren wanneer dit wettelijk vereist is, en via een beveiligd casusspecifiek proces helpen bij een antwoord. Dit verplicht Capafy niet om ruwe Uitvoeringslogs aan de Publisher beschikbaar te stellen.

---

D.10 Dienstverleners en subverwerkers

Voor Agent-bestanden en Realtime Agent-uitvoeringsgegevens die Capafy als verwerker of subverwerker verwerkt, mag Capafy de volgende subverwerker gebruiken, onder voorbehoud van de kennisgevings- en bezwaarprocedure in deze sectie:

Capafy mag een nieuwe subverwerker voor die verwerking aanstellen met ten minste 30 dagen voorafgaande schriftelijke kennisgeving van een materiële wijziging. De Publisher kan binnen 14 dagen na kennisgeving schriftelijk en gemotiveerd bezwaar maken. Indien Capafy het bezwaar redelijkerwijs niet kan oplossen, mag de Publisher de betrokken verwerking met 30 dagen schriftelijke kennisgeving zonder boete beëindigen.

Voor Uitvoeringslogs, Platform Operationele Gegevens en andere gegevens die Capafy als onafhankelijke verwerkingsverantwoordelijke verwerkt, mag Capafy dienstverleners inschakelen die namens Capafy handelen. Die dienstverleners zijn verwerkers van Capafy, geen subverwerkers van de Publisher, en vallen onder het Privacybeleid van Capafy en toepasselijk recht.

Door de Publisher geselecteerde externe diensten. Een dergelijke dienst wordt niet uitsluitend doordat Capafy interactie-inhoud via proxy- of relay-infrastructuur routeert een subverwerker van Capafy. De Publisher is verantwoordelijk voor selectie, configuratie en contractering met die dienst, bepaalt de toepasselijke gegevensbeschermingsrol en doet de door de Publisher Agreement vereiste mededelingen over gegevensstromen. Dit beperkt niet de verantwoordelijkheid van Capafy voor een verwerker of subverwerker die Capafy zelfstandig voor zijn eigen verwerkingsactiviteiten inschakelt.

---

D.11 Grensoverschrijdende gegevensdoorgiften

Eventuele SCCs, UK IDTA of UK Addendum, of Zwitserse aanpassingen die in dit Schema zijn opgenomen, zijn uitsluitend van toepassing op de doorgiften en rolregelingen die uitdrukkelijk in D-2.4 zijn beschreven.

Wanneer wij persoonsgegevens doorgeven buiten het rechtsgebied waarin zij zijn verzameld, baseren wij ons op de volgende mechanismen:

Indien u concludeert dat een doorgiftemechanisme waarop wij ons baseren niet langer voldoende bescherming biedt, kunt u ons schriftelijk informeren. Wij zullen te goeder trouw met u samenwerken om een alternatief mechanisme te identificeren. Indien binnen 30 dagen geen adequaat mechanisme kan worden overeengekomen, kunt u dit Schema zonder boete voor gemak beëindigen.

---

D.12 Looptijd, beëindiging en gegevensverwijdering

Looptijd. Dit Schema treedt in werking en is van toepassing zoals beschreven in D.15. Het blijft van kracht totdat de Publisher zich als Publisher heeft uitgeschreven of het Publisher-account is beëindigd.

Gegevensverwijdering bij beëindiging:

Aan het einde van de toepasselijke verwerking als verwerker of subverwerker worden Agent-bestanden verwijderd binnen 30 dagen na afloop van elke overgangsperiode die is toegestaan onder §§5.5 en 15.4 van de Publisher Agreement, of binnen 30 dagen na beëindiging wanneer geen overgangsperiode geldt, telkens behoudens toepasselijk recht, legal holds en normale back-uprotatie.

Op schriftelijk verzoek van de Publisher vóór verwijdering zal Capafy de resterende persoonsgegevens die uitsluitend als verwerker of subverwerker zijn verwerkt in een gangbaar formaat teruggeven en vervolgens de resterende kopieën verwijderen, tenzij toepasselijk recht bewaring vereist.

Gegevens bewaard na beëindiging:

Voortdurende verplichtingen:

Onze vertrouwelijkheidsverplichtingen met betrekking tot uw Agent-bestanden blijven na beëindiging van dit Schema voor onbepaalde tijd gelden. Ons verbod op het gebruik van uw Agent-bestanden of afgeleide informatie voor concurrerende doeleinden is permanent.

---

D.13 Aansprakelijkheid

De aansprakelijkheidsbeperkingen in §11 van de Publisher Agreement zijn van toepassing op vorderingen uit hoofde van of in verband met dit Schema, behalve voor zover aansprakelijkheid onder toepasselijk recht niet kan worden uitgesloten of beperkt.

---

D.14 Naleving van GDPR artikel 28(3)

Uitsluitend voor Agent-bestanden en Realtime Agent-uitvoeringsgegevens, wanneer Capafy onder D.1 als verwerker of subverwerker optreedt, is dit Schema bedoeld om te voldoen aan de toepasselijke vereisten van GDPR artikel 28(3). Het kwalificeert de verwerking door Capafy als onafhankelijke verwerkingsverantwoordelijke niet als verwerking door een verwerker:

---

D.15 Algemeen

Wijzigingen in dit Schema. Wij mogen dit Schema wijzigen:

• om te voldoen aan een wijziging in toepasselijk gegevensbeschermingsrecht of een bindende beslissing van een bevoegde toezichthoudende autoriteit;
• om wijzigingen in subverwerkers weer te geven waarvan onder §D.10 kennisgeving is gedaan; of
• voor niet-materiële administratieve wijzigingen die uw rechten niet verminderen of onze verwerkingsactiviteiten niet uitbreiden.

Voor materiële wijzigingen zullen wij kennisgeving doen overeenkomstig PA §14. Standard Contractual Clauses die in dit Schema zijn opgenomen, mogen alleen worden gewijzigd voor zover uitdrukkelijk toegestaan onder het toepasselijke SCC-kader; niets in dit Schema overschrijft of wijzigt enige SCC-bepaling.

Voorrang. Indien er een conflict is tussen dit Schema en de hoofdtekst van de Publisher Agreement over een aangelegenheid inzake gegevensverwerking, prevaleert dit Schema. Indien Standard Contractual Clauses van toepassing zijn, prevaleren zij boven de rest van dit Schema voor zover sprake is van een conflict.

Toepasselijk recht en geschillen. Dit Schema wordt beheerst door het recht van Singapore. Geschillen die onder dit Schema ontstaan, worden opgelost overeenkomstig de geschillenbeslechtingsbepalingen van de Publisher Agreement.

Taal. Engels is de enige gezaghebbende taal van dit Schema. Elke vertaling wordt uitsluitend ter referentie verstrekt.

Aanvaarding. Dit Schema treedt in werking wanneer de Publisher Agreement wordt aanvaard onder §2.2 of §2.3 van die overeenkomst. De verwerkersbepalingen in D.3 tot en met D.10 zijn uitsluitend van toepassing vanaf het moment waarop Capafy Agent-bestanden of Realtime Agent-uitvoeringsgegevens als verwerker of subverwerker onder D.1 begint te verwerken.

---

Bijlage D-1 — Onderwerp en details van gegevensverwerking

Deze Bijlage voldoet aan de beschrijvingsvereisten van GDPR artikel 28(3)(a).

---

Bijlage D-2 — Aanvullende voorwaarden voor Europees gegevensbeschermingsrecht

D-2.1 Toepassing

Deze Bijlage is van toepassing op verwerking van persoonsgegevens wanneer Europees gegevensbeschermingsrecht de verwerking beheerst, met inbegrip van verwerking als verwerker of subverwerker van Agent-bestanden en Realtime Agent-uitvoeringsgegevens onder D.1. "Europees gegevensbeschermingsrecht" betekent, voor zover van toepassing: de Algemene verordening gegevensbescherming van de EU (GDPR 2016/679); de UK GDPR en Data Protection Act 2018; en de Zwitserse Federal Act on Data Protection (FADP).

Wanneer deze Bijlage in strijd is met de rest van dit Schema over een aangelegenheid die wordt beheerst door Europees gegevensbeschermingsrecht, prevaleert deze Bijlage. Wanneer Standard Contractual Clauses van toepassing zijn onder §D-2.4, prevaleren de SCCs boven de rest van deze Bijlage en dit Schema voor zover sprake is van een conflict.

D-2.2 Aanvullende definities

Adequaat land — een land, gebied of sector dat onder toepasselijk Europees gegevensbeschermingsrecht wordt erkend als biedend een adequaat beschermingsniveau voor persoonsgegevens (inclusief, voor EU GDPR-doeleinden, landen die zijn vermeld in een adequaatheidsbesluit van de Europese Commissie).

EER — de Europese Economische Ruimte.

SCCs — de Standard Contractual Clauses voor de doorgifte van persoonsgegevens aan derde landen overeenkomstig de EU GDPR, vastgesteld door de Europese Commissie bij Besluit 2021/914 van 4 juni 2021, in de module die van toepassing is op de doorgifte zoals uiteengezet in §D-2.4.

UK IDTA — de International Data Transfer Agreement uitgegeven door het UK Information Commissioner's Office, zoals van tijd tot tijd gewijzigd.

Toezichthoudende autoriteit — de bevoegde gegevensbeschermingstoezichthouder onder toepasselijk Europees gegevensbeschermingsrecht.

D-2.3 Verwerker-partner (Europese context)

Wanneer u een Verwerker-partner bent onder §D.3 en Europees gegevensbeschermingsrecht van toepassing is, moet u daarnaast:

• ervoor zorgen dat de bovenliggende verwerkingsverantwoordelijke is geïnformeerd over en toestemming heeft gegeven voor de in dit Schema beschreven subverwerking, zoals vereist door GDPR artikel 28(2); en
• elke kennisgeving die wij u onder deze Bijlage verstrekken en die de verwerkingsverantwoordelijke onder toepasselijk recht mag ontvangen, onverwijld en zonder onnodige vertraging aan de betreffende verwerkingsverantwoordelijke doorsturen.

D-2.4 Doorgiften van persoonsgegevens buiten de EER, het VK of Zwitserland

Deze sectie is uitsluitend van toepassing wanneer persoonsgegevens in de categorie Agent-bestanden of Realtime Agent-uitvoeringsgegevens vanuit de EER, het VK of Zwitserland aan Capafy in Singapore worden doorgegeven en Capafy onder D.1 als verwerker of subverwerker optreedt.

De EU Standard Contractual Clauses, vastgesteld bij Uitvoeringsbesluit (EU) 2021/914, zijn voor die doorgiften als volgt in dit Schema opgenomen:

Wanneer Capafy Uitvoeringslogs, Platform Operationele Gegevens, account-, checkout-, betalings- of afrekeningsgegevens als onafhankelijke verwerkingsverantwoordelijke verzamelt of bewaart, beoogt deze sectie Module Twee of Module Drie niet op die verwerking toe te passen. Een afzonderlijke doorgifte van verwerkingsverantwoordelijke naar verwerkingsverantwoordelijke moet, indien die plaatsvindt, worden beoordeeld en gedocumenteerd volgens het mechanisme dat voor die specifieke doorgifte geldt.

Voor doorgiften vanuit het VK binnen de reikwijdte van deze sectie geldt de UK IDTA of een geldige UK Addendum bij de EU SCCs, ingevuld met de informatie in Bijlage D-1, D.7 en D.10. Voor Zwitserse doorgiften binnen de reikwijdte van deze sectie gelden de SCCs met de door Zwitsers recht en toepasselijke richtsnoeren vereiste wijzigingen.

D-2.5 Kennisgevingen over instructies (Europese context)

Wij zullen u zonder onnodige vertraging informeren indien naar onze beoordeling een Instructie die u ons heeft gegeven Europees gegevensbeschermingsrecht zou schenden. Wij zullen de betrokken verwerking opschorten in afwachting van uw verduidelijking of een herziene Instructie. Deze verplichting laat onze algemene verplichtingen inzake kennisgeving over instructies onder §D.3 onverlet.

D-2.6 Rechten van betrokkenen (Europese context)

Rekening houdend met de aard van de verwerking zullen wij u helpen bij het reageren op verzoeken van betrokkenen onder Europees gegevensbeschermingsrecht met de middelen beschreven in §D.9. Wanneer een betrokkene een verzoek rechtstreeks bij ons indient, bevestigt Capafy de ontvangst en verifieert het de identiteit waar praktisch uitvoerbaar. Capafy beoordeelt en behandelt verzoeken die betrekking hebben op zijn verwerking als onafhankelijke verwerkingsverantwoordelijke overeenkomstig zijn Privacybeleid en toepasselijk recht. Voor verwerking als verwerker of subverwerker binnen de reikwijdte van deze Bijlage biedt Capafy de in Sectie D.9 beschreven bijstand en kan het, waar passend, de betrokkene naar de Publisher verwijzen of beperkte informatie bij de Publisher opvragen. Capafy is niet verplicht het e-mailadres van het Capafy-account, het persoonlijke profiel of ruwe logboeken van Gebruikersgesprekken van de betrokkene aan de Publisher bekend te maken, behalve waar toepasselijk recht dit vereist.

D-2.7 Kennisgeving van beveiligingsincidenten (Europese context)

Wanneer een Beveiligingsincident persoonsgegevens betreft die door Europees gegevensbeschermingsrecht worden beschermd:

• zullen wij u zonder onnodige vertraging informeren en in elk geval tijdig genoeg om u in staat te stellen aan uw meldingsverplichtingen onder GDPR artikel 33 te voldoen (72 uur vanaf uw kennisname van een persoonsgegevensinbreuk);
• zal onze kennisgeving, voor zover op dat moment beschikbaar, omvatten: de aard van het incident; de categorieën en het geschatte aantal betrokkenen en getroffen gegevens; waarschijnlijke gevolgen; en maatregelen die zijn genomen of voorgesteld om het incident aan te pakken;
• zullen wij met u samenwerken en alle verdere redelijkerwijs gevraagde informatie verstrekken om u te helpen bij het informeren van de relevante Toezichthoudende autoriteit en, waar vereist, getroffen betrokkenen.

D-2.8 Nalevingsinformatie (Europese context)

Wanneer Europees gegevensbeschermingsrecht van toepassing is, zullen wij u op schriftelijk verzoek documentatie beschikbaar stellen die redelijkerwijs noodzakelijk is om naleving van onze verplichtingen onder GDPR artikel 28 aan te tonen. Wij voldoen aan deze verplichting voornamelijk via schriftelijke documentatie — inclusief beschrijvingen van onze gegevensverwerkingsactiviteiten, de beveiligingsmaatregelen beschreven in §D.7, en eventuele bestaande onafhankelijke beveiligingsbeoordeling of certificering die wij bezitten. U stemt ermee in alle verstrekte documentatie als vertrouwelijk te behandelen.

D-2.9 Subverwerkers (Europese context)

Wanneer Europees gegevensbeschermingsrecht van toepassing is, zorgen wij ervoor dat elke subverwerker gebonden is door een schriftelijke overeenkomst die gegevensbeschermingsverplichtingen oplegt die gelijkwaardig zijn aan die in dit Schema, zoals vereist door GDPR artikel 28(4). Wij blijven jegens u aansprakelijk voor de prestaties van subverwerkers voor zover uiteengezet in §D.10.

D-2.10 Verwerkingsregisters (Europese context)

Wij houden registers bij van verwerkingsactiviteiten die namens u worden uitgevoerd zoals vereist door GDPR artikel 30(2), en stellen deze op verzoek beschikbaar aan de bevoegde Toezichthoudende autoriteit. Wij kunnen u vragen de verwerkingsinformatie die u ons heeft verstrekt te bevestigen of bij te werken wanneer dit noodzakelijk is om onze registers accuraat te houden.

D-2.11 Geen wijziging van SCCs

Niets in dit Schema (inclusief deze Bijlage) wijzigt de SCCs of de UK IDTA, of doet afbreuk aan de rechten van betrokkenen onder Europees gegevensbeschermingsrecht. In geval van een conflict tussen de SCCs of de UK IDTA en enige andere bepaling van dit Schema, prevaleren de SCCs of UK IDTA (voor zover van toepassing).

D-2.12 Updates van SCCs

Wij mogen de SCC-module of -versie die onder §D-2.4 is opgenomen bijwerken wanneer een nieuwe of vervangende versie door de relevante autoriteit wordt vastgesteld, mits de bijgewerkte versie het beschermingsniveau dat aan betrokkenen wordt geboden niet wezenlijk vermindert. Wij zullen u redelijke kennisgeving geven van een dergelijke update.

---

Dit Schema wordt uitgegeven door CAPAFY PTE. LTD. (UEN: 202619379G)
Geregistreerd adres: 60 PAYA LEBAR ROAD, #11-47, PAYA LEBAR SQUARE, SINGAPORE 409051