Partijen

Deze Verwerkersovereenkomst (de "DPA"), gesloten op grond van Artikel 28 van Verordening (EU) 2016/679 (de "AVG"), vormt een integrale bijlage bij de Master Services and Subscription Agreement (de "MSA") tussen: De Verwerkingsverantwoordelijke: de onderneming die de MSA tijdens de onboarding heeft aanvaard, geïdentificeerd aan de hand van de voor btw-doeleinden geregistreerde rechtspersoon die via het onboardingformulier werd vastgelegd en via de VIES-dienst werd geverifieerd (hierna de "Verwerkingsverantwoordelijke" of "u"); en De Verwerker: Forge Digital EOOD, handel drijvend onder de naam Cars by Forge Digital, met maatschappelijke zetel te ul. Aleksandar Stamboliiski N 5-B, flr. 8, office 60, 6000 Stara Zagora, Bulgarije, VAT BG208556549, EIK/UIC 208556549. Contactpunt gegevensbescherming: Jonas Van Gavere, Managing Director, info@forgedigital.io (hierna de "Verwerker" of "Forge Digital"). De Verwerkingsverantwoordelijke en de Verwerker zijn elk een "Partij" en samen de "Partijen".

1 Definities en rollen

Begrippen zoals "persoonsgegevens", "verwerking", "verwerkingsverantwoordelijke", "verwerker", "betrokkene", "inbreuk in verband met persoonsgegevens" en "toezichthoudende autoriteit" hebben de betekenis die daaraan in de AVG wordt gegeven. Onder de AVG wordt verstaan Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016. Begrippen met een hoofdletter die in deze DPA worden gebruikt en hier niet zijn gedefinieerd, hebben de betekenis die daaraan in de MSA wordt gegeven. Voor de toepassing van de MSA en van deze DPA treedt de Verwerkingsverantwoordelijke op als verwerkingsverantwoordelijke en treedt Forge Digital op als verwerker met betrekking tot de persoonsgegevens die Forge Digital namens de Verwerkingsverantwoordelijke verwerkt in verband met de Website en aanverwante diensten (de "Persoonsgegevens van de Verwerkingsverantwoordelijke"). Persoonsgegevens die Forge Digital verwerkt over de Verwerkingsverantwoordelijke zelf, over diens beheerdersgebruikers en over diens facturatie (bijvoorbeeld het e-mailadres van de beheerder van de Verwerkingsverantwoordelijke en facturatiegegevens) worden door Forge Digital verwerkt als zelfstandig verwerkingsverantwoordelijke en worden beheerst door het eigen privacybeleid van Forge Digital, niet door deze DPA.

2 Voorwerp, duur, aard en doel

Deze DPA beheerst de verwerking van Persoonsgegevens van de Verwerkingsverantwoordelijke die Forge Digital namens de Verwerkingsverantwoordelijke uitvoert in verband met de MSA. Het voorwerp, de duur, de aard en het doel van de verwerking, de soorten betrokken Persoonsgegevens van de Verwerkingsverantwoordelijke en de categorieën van betrokkenen zijn uiteengezet in Annex 1. Deze DPA treedt in werking op de datum waarop de Verwerkingsverantwoordelijke haar aanvaardt en blijft van kracht zolang Forge Digital namens de Verwerkingsverantwoordelijke Persoonsgegevens van de Verwerkingsverantwoordelijke verwerkt. Die periode stemt overeen met de looptijd van de MSA, verlengd met de Respijtperiode en met elke bijkomende periode die redelijkerwijs vereist is voor de teruggave of verwijdering van Persoonsgegevens van de Verwerkingsverantwoordelijke overeenkomstig Sectie 10.

3 Verplichtingen van de Verwerker

Forge Digital zal met betrekking tot de Persoonsgegevens van de Verwerkingsverantwoordelijke:

• de Persoonsgegevens van de Verwerkingsverantwoordelijke uitsluitend verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, ook met betrekking tot doorgiften van persoonsgegevens aan een derde land, tenzij Forge Digital daartoe verplicht is op grond van Unierecht of het recht van een lidstaat dat op Forge Digital van toepassing is, in welk geval Forge Digital de Verwerkingsverantwoordelijke vóór de verwerking van dat wettelijke voorschrift in kennis stelt, tenzij die wetgeving deze kennisgeving verbiedt om gewichtige redenen van algemeen belang;
• erkennen dat de MSA en deze DPA (met inbegrip van de annexen daarbij), samen met het gebruik van de Console door de Verwerkingsverantwoordelijke, de gedocumenteerde instructies van de Verwerkingsverantwoordelijke aan Forge Digital vormen;
• waarborgen dat de tot het verwerken van de Persoonsgegevens van de Verwerkingsverantwoordelijke gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting tot vertrouwelijkheid zijn gebonden;
• passende technische en organisatorische maatregelen treffen om een op het risico afgestemd beveiligingsniveau te waarborgen, overeenkomstig Artikel 32 AVG, zoals nader beschreven in Annex 3;
• de in Sectie 5 uiteengezette voorwaarden naleven voor het inschakelen van een andere verwerker (een subverwerker);
• rekening houdend met de aard van de verwerking, de Verwerkingsverantwoordelijke door middel van passende technische en organisatorische maatregelen bijstaan, voor zover mogelijk, bij het vervullen van de plicht van de Verwerkingsverantwoordelijke om verzoeken te beantwoorden van betrokkenen die hun rechten uit hoofde van Hoofdstuk III AVG uitoefenen;
• de Verwerkingsverantwoordelijke bijstaan bij het waarborgen van de naleving van de verplichtingen uit hoofde van de Artikelen 32 tot en met 36 AVG, rekening houdend met de aard van de verwerking en de aan Forge Digital beschikbare informatie;
• naar keuze van de Verwerkingsverantwoordelijke alle Persoonsgegevens van de Verwerkingsverantwoordelijke wissen of terugbezorgen na afloop van de verlening van de diensten in verband met de verwerking, en bestaande kopieën verwijderen, tenzij het Unierecht of het recht van een lidstaat opslag van de Persoonsgegevens van de Verwerkingsverantwoordelijke voorschrijft, overeenkomstig Sectie 10;
• de Verwerkingsverantwoordelijke alle informatie ter beschikking stellen die nodig is om de nakoming van de in Artikel 28 AVG neergelegde verplichtingen aan te tonen, en audits, waaronder inspecties, mogelijk maken en daaraan bijdragen, overeenkomstig Sectie 9.

4 Beveiliging van de verwerking

Forge Digital treft de in Annex 3 uiteengezette technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. Die maatregelen houden rekening met de stand van de techniek, de uitvoeringskosten, de aard, de omvang, de context en de doeleinden van de verwerking, alsook met het qua waarschijnlijkheid en ernst uiteenlopende risico voor de rechten en vrijheden van natuurlijke personen. Forge Digital kan de maatregelen van tijd tot tijd bijwerken, op voorwaarde dat het algemene beveiligingsniveau niet wordt verlaagd.

5 Subverwerking

5.1 Algemene schriftelijke toestemming

De Verwerkingsverantwoordelijke verleent Forge Digital een algemene schriftelijke toestemming in de zin van Artikel 28, lid 2, AVG om de in Annex 2 beschreven subverwerkers in te schakelen voor de in die annex beschreven verwerkingsactiviteiten. Annex 2 beschrijft elke subverwerker aan de hand van zijn functie en zijn regio van verwerking; de volledige lijst, met vermelding van elke subverwerker en diens rechtspersoon, is te allen tijde op verzoek beschikbaar voor de Verwerkingsverantwoordelijke via support@forgedigital.io.

5.2 Kennisgeving van nieuwe subverwerkers

Wanneer Forge Digital voornemens is een subverwerker toe te voegen of te vervangen, stelt zij de Verwerkingsverantwoordelijke vooraf in kennis van de voorgenomen wijziging, met vermelding van de functie, de rechtspersoon en de regio van verwerking van de nieuwe subverwerker, en biedt zij de Verwerkingsverantwoordelijke de gelegenheid om binnen dertig (30) dagen na de kennisgeving bezwaar te maken op redelijke gronden van gegevensbescherming. Indien de Verwerkingsverantwoordelijke binnen die termijn geen bezwaar maakt, wordt de wijziging geacht te zijn aanvaard. De actuele volledige lijst van subverwerkers, met vermelding van elk van hen, is te allen tijde op verzoek beschikbaar voor de Verwerkingsverantwoordelijke via support@forgedigital.io.

5.3 Bezwaar

Indien de Verwerkingsverantwoordelijke op redelijke gronden van gegevensbescherming bezwaar maakt tegen een nieuwe of vervangende subverwerker, bespreken de Partijen het bezwaar te goeder trouw. Indien de Partijen het bezwaar niet kunnen oplossen, kan de Verwerkingsverantwoordelijke de betrokken diensten opzeggen met ingang van een door de Verwerkingsverantwoordelijke bepaalde datum, in welk geval Forge Digital de vooruitbetaalde Vergoedingen voor de periode na de opzegging terugbetaalt. Dit is het enige en exclusieve rechtsmiddel van de Verwerkingsverantwoordelijke voor een onopgelost bezwaar.

5.4 Doorwerking van de verplichtingen

Forge Digital legt aan elke subverwerker, bij overeenkomst of andere rechtshandeling naar Unierecht of naar het recht van een lidstaat, dezelfde verplichtingen inzake gegevensbescherming op als die welke in deze DPA zijn uiteengezet, in het bijzonder de verplichting om afdoende garanties te bieden met betrekking tot het treffen van passende technische en organisatorische maatregelen. Wanneer een subverwerker zijn verplichtingen inzake gegevensbescherming niet nakomt, blijft Forge Digital jegens de Verwerkingsverantwoordelijke volledig aansprakelijk voor het nakomen van de verplichtingen van die subverwerker.

6 Internationale doorgiften

6.1 Primaire locatie

Persoonsgegevens van de Verwerkingsverantwoordelijke worden verwerkt binnen de Europese Unie / de Europese Economische Ruimte (EU/EER). De aanbieder van de database en de bestandsopslag host de gegevens in Frankfurt, Duitsland, en de aanbieder van de applicatiehosting levert de Website vanuit zijn regio Frankfurt.

6.2 Doorgiften aan subverwerkers

Wanneer een overeenkomstig Sectie 5 ingeschakelde subverwerker buiten de EER is gevestigd, of wanneer Persoonsgegevens van de Verwerkingsverantwoordelijke anderszins buiten de EER worden doorgegeven, vindt een dergelijke doorgifte uitsluitend plaats onder de waarborgen die uit hoofde van Hoofdstuk V AVG vereist zijn, zijnde (naargelang van toepassing):

• een adequaatheidsbesluit van de Europese Commissie (met inbegrip van een beroep op het EU-US Data Privacy Framework wanneer de ontvanger een gecertificeerde organisatie in de Verenigde Staten is);
• de modelcontractbepalingen van de Europese Commissie voor de doorgifte van persoonsgegevens aan derde landen op grond van Verordening (EU) 2016/679, samen met de aanvullende maatregelen die passend zijn na een doorgifte-effectbeoordeling; of
• een andere passende waarborg die uit hoofde van de AVG wordt erkend.

6.3 Doorgifte-effectbeoordelingen

Forge Digital documenteert, voor elke subverwerker aan wie Persoonsgegevens van de Verwerkingsverantwoordelijke buiten de EER kunnen worden doorgegeven, het gehanteerde doorgiftemechanisme en, waar van toepassing, een beknopte doorgifte-effectbeoordeling. Die stukken zijn op verzoek beschikbaar voor de Verwerkingsverantwoordelijke.

7 Inbreuk in verband met persoonsgegevens

Forge Digital stelt de Verwerkingsverantwoordelijke zonder onredelijke vertraging, en in elk geval uiterlijk binnen tweeënzeventig (72) uur, in kennis nadat zij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die Persoonsgegevens van de Verwerkingsverantwoordelijke betreft. De kennisgeving bevat, voor zover die informatie op dat ogenblik voor Forge Digital beschikbaar is, de in Artikel 33, lid 3, AVG bedoelde informatie, te weten:

• een beschrijving van de aard van de inbreuk, waar mogelijk met vermelding van de categorieën en het geschatte aantal betrokkenen en van de betrokken persoonsgegevensregistraties;
• de naam en de contactgegevens van het contactpunt gegevensbescherming van Forge Digital;
• een beschrijving van de waarschijnlijke gevolgen van de inbreuk;
• een beschrijving van de maatregelen die zijn getroffen of worden voorgesteld om de inbreuk aan te pakken, waaronder, in voorkomend geval, maatregelen om de mogelijke nadelige gevolgen daarvan te beperken.

Wanneer de informatie niet gelijktijdig kan worden verstrekt, wordt zij in stappen verstrekt zonder verdere onredelijke vertraging. Forge Digital verleent de Verwerkingsverantwoordelijke redelijke verdere bijstand bij het nakomen van de eigen verplichtingen van de Verwerkingsverantwoordelijke uit hoofde van de Artikelen 33 en 34 AVG.

8 Rechten van betrokkenen

Wanneer Forge Digital een verzoek ontvangt van een betrokkene die rechten uit hoofde van de AVG wenst uit te oefenen (zoals inzage, rectificatie, wissing, beperking, gegevensoverdraagbaarheid of bezwaar) met betrekking tot Persoonsgegevens van de Verwerkingsverantwoordelijke, bezorgt Forge Digital dat verzoek zonder onredelijke vertraging aan de Verwerkingsverantwoordelijke en, tenzij het haar verboden is dit te doen, zonder zelf op het verzoek te antwoorden. Forge Digital staat de Verwerkingsverantwoordelijke bij het beantwoorden van dergelijke verzoeken bij zoals beschreven in Sectie 3.

9 Audits

Forge Digital stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die redelijkerwijs noodzakelijk is om de naleving van deze DPA en van Artikel 28 AVG aan te tonen, en maakt audits, waaronder inspecties, door de Verwerkingsverantwoordelijke of door een door de Verwerkingsverantwoordelijke gemandateerde onafhankelijke auditor mogelijk en draagt daaraan bij. De Verwerkingsverantwoordelijke kan dit auditrecht eenmaal per kalenderjaar uitoefenen mits redelijke voorafgaande schriftelijke kennisgeving van ten minste dertig (30) dagen, en bijkomend zonder die kennisgevingstermijn na een bevestigde inbreuk in verband met persoonsgegevens die Persoonsgegevens van de Verwerkingsverantwoordelijke betreft. Audits worden uitgevoerd tijdens de normale kantooruren, op een wijze die de verstoring van de bedrijfsvoering van Forge Digital tot een minimum beperkt, en onder redelijke vertrouwelijkheidsverbintenissen van de Verwerkingsverantwoordelijke en diens auditor met betrekking tot de bedrijfsinformatie van Forge Digital en de persoonsgegevens van de andere klanten van Forge Digital. Wanneer Forge Digital beschikt over actuele certificeringen van derden, auditrapporten of veiligheidsbeoordelingen die relevant zijn voor de onder deze DPA vallende verwerking, kan zij geheel of gedeeltelijk aan het auditverzoek van de Verwerkingsverantwoordelijke voldoen door dergelijke documentatie te verstrekken. Elke Partij draagt haar eigen kosten van een audit, met dien verstande dat indien een audit een wezenlijke tekortkoming van Forge Digital onder deze DPA aan het licht brengt, Forge Digital de redelijke auditorkosten van de Verwerkingsverantwoordelijke vergoedt.

10 Teruggave en verwijdering

10.1 Bij beëindiging

Bij beëindiging of het verstrijken van de MSA, of op eerder schriftelijk verzoek van de Verwerkingsverantwoordelijke, zal Forge Digital, naar keuze van de Verwerkingsverantwoordelijke, alle namens haar verwerkte Persoonsgegevens van de Verwerkingsverantwoordelijke wissen of aan de Verwerkingsverantwoordelijke terugbezorgen, en de bij Forge Digital aanwezige bestaande kopieën verwijderen, behoudens het bepaalde in Secties 10.2 en 10.3.

10.2 Herstelvenster van 90 dagen

De Partijen erkennen dat het Platform Persoonsgegevens van de Verwerkingsverantwoordelijke bewaart gedurende een Respijtperiode van negentig (90) dagen na de beëindiging, teneinde de Verwerkingsverantwoordelijke in staat te stellen het abonnement te herstellen en haar gegevens terug te halen. Tijdens de Respijtperiode worden de Persoonsgegevens van de Verwerkingsverantwoordelijke in een opgeschorte staat bewaard, worden zij niet actief verwerkt en zijn zij voor geen enkele partij toegankelijk, met uitzondering van het daartoe gemachtigde personeel van Forge Digital, uitsluitend met het oog op het in stand houden van de herstelmogelijkheid. Deze bewaring vormt een gedocumenteerde instructie van de Verwerkingsverantwoordelijke voor de toepassing van Artikel 28, lid 3, punt g), AVG: door deze DPA te aanvaarden, instrueert de Verwerkingsverantwoordelijke Forge Digital om de Persoonsgegevens van de Verwerkingsverantwoordelijke gedurende de Respijtperiode te bewaren en daarna te wissen.

10.3 Na de Respijtperiode

Aan het einde van de Respijtperiode verwijdert Forge Digital de Persoonsgegevens van de Verwerkingsverantwoordelijke definitief van het Platform, met uitzondering van de beperkte registraties die zijn aangeduid in Sectie 14.4 van de MSA (facturen en boekhoudkundige stukken, het aanvaardingslogboek van contractversies, het geanonimiseerde verzendlogboek met uitsluitend de ontvangende e-mailadressen van de mailbox en de beheerders van de Verwerkingsverantwoordelijke, en de historiek van retentieaanbiedingen). Forge Digital blijft die registraties overeenkomstig deze DPA beschermen zolang zij worden bewaard.

11 Aansprakelijkheid en toepasselijk recht

Het wettelijke aansprakelijkheidsregime van de AVG is op elke Partij van toepassing met betrekking tot haar verwerking van persoonsgegevens. Onder voorbehoud van het voorgaande wordt deze DPA beheerst door het Bulgaarse recht en valt elk geschil dat daaruit of in verband daarmee voortvloeit onder de exclusieve bevoegdheid van de rechtbanken van Stara Zagora, Bulgarije, in overeenstemming met Sectie 22 van de MSA (die de eenzijdige uitzondering ten gunste van Forge Digital bevat). In geval van tegenstrijdigheid tussen deze DPA en de MSA op het vlak van gegevensbescherming, heeft deze DPA voorrang. Deze DPA vormt een integrale bijlage bij de MSA; de overige bepalingen van de MSA blijven onverminderd van kracht.

12 Aanvaarding

Deze DPA wordt langs elektronische weg gesloten. Door tijdens de onboarding op "Aanvaarden" te klikken, stemt de Verwerkingsverantwoordelijke ermee in door deze DPA gebonden te zijn en is geen handgeschreven handtekening vereist. Forge Digital registreert de aanvaarding, de identificatie en de versie van deze DPA, de exacte datum en het exacte tijdstip, een gehasht IP-adres, en de taal waarin deze DPA werd weergegeven.

Annex 1 Details van de verwerking

Voorwerp

Het hosten van de Website van de Verwerkingsverantwoordelijke en het doorsturen van website-aanvragen die door bezoekers aan de Verwerkingsverantwoordelijke worden gericht, zoals nader beschreven in de MSA.

Duur

Voor de looptijd van de MSA tussen de Partijen, verlengd met de Respijtperiode en vervolgens met elke periode die noodzakelijk is voor de teruggave of verwijdering van Persoonsgegevens van de Verwerkingsverantwoordelijke overeenkomstig Sectie 10 van deze DPA.

Aard en doel van de verwerking

• hosting en opslag van website-inhoud en ingediende gegevens;
• ontvangst en doorzending per e-mail van aanvragen en inzendingen via contactformulieren aan de Verwerkingsverantwoordelijke, die niet op het Platform worden bewaard;
• opslag van voertuigaanbiedingen die door particuliere verkopers worden ingediend via het formulier "bied uw auto aan", die worden gewist wanneer het voertuig is verkocht of, bij gebreke van verkoop, vierentwintig (24) maanden na het laatste contact;
• terbeschikkingstelling en werking van de Console die door de gemachtigde gebruiker(s) van de Verwerkingsverantwoordelijke wordt gebruikt om voertuigen, aanbiedingen en instellingen te beheren;
• het genereren van geaggregeerde, niet-identificerende webanalysestatistieken;
• machinevertaling van door de Verwerkingsverantwoordelijke geschreven voertuigteksten naar de andere publieke talen van de Website;
• optionele AI-ondersteunde beeldverwerking (homepagebeeld, vervanging van de achtergrond van voertuigfoto's) zoals besteld door de Verwerkingsverantwoordelijke;
• optionele VIN-opzoeking die door de Verwerkingsverantwoordelijke wordt gebruikt om een advertentie vooraf in te vullen.

Soorten persoonsgegevens

• Identificatie- en contactgegevens van bezoekers die via de Website worden ingediend: naam, e-mailadres, telefoonnummer, berichtinhoud en taal-/localevoorkeur.
• Contactgegevens en voertuigfoto's die door particuliere verkopers worden ingediend via het formulier "bied uw auto aan", met inbegrip van persoonsgegevens die incidenteel op een foto zijn vastgelegd (bijvoorbeeld een gezicht of een nummerplaat die op de achtergrond zichtbaar is).
• Technische gegevens: een gezouten hash van het IP-adres van de bezoeker (voor spamtriage en misbruikpreventie), de user-agentstring van de browser en tijdstempels van het verzoek.
• Het e-mailadres van de beheerdersgebruiker(s) van de Verwerkingsverantwoordelijke dat wordt gebruikt om toegang te krijgen tot de Console, samen met de wachtwoordloze achtcijferige inlogcodes die naar dat adres worden verzonden.

Categorieën van betrokkenen

• Bezoekers van de Website van de Verwerkingsverantwoordelijke en potentiële klanten van de Verwerkingsverantwoordelijke die een aanvraag of een verzoek via het contactformulier indienen.
• Particuliere verkopers die via het formulier "bied uw auto aan" een voertuig aan de Verwerkingsverantwoordelijke aanbieden, en alle natuurlijke personen die incidenteel identificeerbaar zijn op foto's die bij een dergelijke inzending worden verstrekt.
• De beheerdersgebruiker(s) van de Verwerkingsverantwoordelijke die gemachtigd zijn om toegang te krijgen tot de Console.

Bijzondere categorieën van gegevens

Geen. De verwerking heeft geen betrekking op bijzondere categorieën van persoonsgegevens in de zin van Artikel 9 AVG, noch op persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten in de zin van Artikel 10 AVG. De Verwerkingsverantwoordelijke zal geen gegevens van bijzondere categorieën indienen via de aanvraag- of contactformulieren van de Website, en zal ervoor zorgen dat bezoekers van de Website niet worden uitgenodigd om dergelijke gegevens in te dienen.

Annex 2 Subverwerkers

De Verwerkingsverantwoordelijke machtigt Forge Digital om de volgende subverwerkers in te schakelen in verband met de in Annex 1 beschreven verwerking. Elke subverwerker wordt hier beschreven aan de hand van zijn functie en zijn regio van verwerking; de volledige lijst, met vermelding van elke subverwerker en diens rechtspersoon, is te allen tijde op verzoek beschikbaar voor de Verwerkingsverantwoordelijke via support@forgedigital.io. Forge Digital stelt de Verwerkingsverantwoordelijke vooraf in kennis van elke voorgenomen toevoeging of vervanging van een subverwerker, zodat de Verwerkingsverantwoordelijke bezwaar kan maken, en kan deze lijst van tijd tot tijd bijwerken overeenkomstig Sectie 5 van deze DPA.

Opmerking over de betalingsverwerker

De betalingsverwerker levert, via zijn Amerikaanse entiteit en zijn Ierse entiteit, diensten voor kaartbetalingen en facturatie met betrekking tot de facturatie door Forge Digital aan de Verwerkingsverantwoordelijke. Met betrekking tot die verwerking is Forge Digital de verwerkingsverantwoordelijke en is de betalingsverwerker een afzonderlijke verwerkingsverantwoordelijke onder zijn eigen privacyverklaring. Deze verwerking wordt niet namens de Verwerkingsverantwoordelijke uitgevoerd en valt derhalve buiten het toepassingsgebied van deze DPA. Zij wordt beschreven in het eigen privacybeleid van Forge Digital, en de identiteit van de betalingsverwerker is op verzoek beschikbaar via support@forgedigital.io.

Opmerking over API-oproepen aan derden

API-oproepen aan derden die in verband met een Website worden gedaan, verlopen via het eigen control plane van Forge Digital in plaats van rechtstreeks vanaf de Website van de Verwerkingsverantwoordelijke. Bijgevolg bevat de Website van de Verwerkingsverantwoordelijke geen API-inloggegevens van derden. Juridisch blijft elke dergelijke aanbieder een subverwerker van Forge Digital en is hij hierboven vermeld.

Annex 3 Technische en organisatorische maatregelen (Artikel 32 AVG)

Forge Digital treft en onderhoudt de volgende technische en organisatorische maatregelen, zoals deze van tijd tot tijd bestaan. Forge Digital kan deze maatregelen bijwerken op voorwaarde dat het algemene beveiligingsniveau niet wordt verlaagd.

Versleuteling en transportbeveiliging

• TLS-versleuteling van gegevens tijdens de overdracht op alle publiek toegankelijke eindpunten, waarbij elke Website uitsluitend via HTTPS wordt aangeboden.
• Versleuteling in rust voor de database en de bestandsopslag.
• Automatische aanmaak en vernieuwing van beveiligingscertificaten.

Toegangscontrole

• Op rollen gebaseerde toegangscontrole en het beginsel van minimale rechten voor beheerders- en ondersteuningstoegang.
• Sterke authenticatie voor de Console via wachtwoordloze aanmelding met een eenmalige code per e-mail. Er worden geen wachtwoorden opgeslagen.
• Meerfactorauthenticatie (authenticator-app) is bijkomend vereist voor het eigen superbeheerdersaccount van Forge Digital.

Gegevensbescherming in rust

• Toegewijde single-tenant database per Verwerkingsverantwoordelijke: geen vermenging van gegevens.
• Pseudonimisering van technische gegevens: IP-adressen van bezoekers worden uitsluitend opgeslagen als een gezouten cryptografische hash, nooit in leesbare tekst.
• Gegevensopslag uitsluitend in de EU (Frankfurt, Duitsland), behoudens Annex 2.

Back-ups en continuïteit

• Dagelijkse geautomatiseerde back-ups van de database, bewaard gedurende zeven (7) dagen.
• Uitrol zonder onderbreking, waarbij elke release geautomatiseerde controles doorstaat plus een uitdrukkelijke menselijke goedkeuring vóór zij de Verwerkingsverantwoordelijken bereikt.

Audit en logging

• Logging en monitoring van infrastructuur- en applicatieactiviteit.
• Een uitsluitend toevoegend, onveranderlijk auditlogboek van uitgaande e-mail die via het Platform wordt verzonden. Het logboek bevat het e-mailadres van de ontvanger (de mailbox van de Verwerkingsverantwoordelijke of de beheerdersgebruiker van de Verwerkingsverantwoordelijke, nooit dat van een bezoeker van de Website), samen met een referentie-identificatie, het type bericht, het betrokken voertuig (waar van toepassing) en de leveringsstatus. De naam van de afzender, de naam van de bezoeker en de tekst van het bericht komen nooit in het logboek terecht.

Netwerk en infrastructuur

• Netwerkbeveiliging en firewalling van de hosting- en database-infrastructuur.
• DNSSEC op de door Forge Digital beheerde domeinen.
• DDoS-mitigatie op netwerk- en DNS-niveau (zoals geleverd door de onderliggende infrastructuuraanbieders).

Ontwikkeling en beheer

• Veilige softwareontwikkelingspraktijken, met inbegrip van het scannen van afhankelijkheden en kwetsbaarheden.
• Wijzigingsbeheerproces met menselijke goedkeuring vóór uitrol naar productie.

Subverwerkers en vertrouwelijkheid

• Schriftelijke verwerkersovereenkomsten met alle in Annex 2 vermelde subverwerkers.
• Fysieke en datacenterbeveiliging overgenomen van de in de EU gevestigde subverwerkers van Forge Digital.
• Vertrouwelijkheidsverplichtingen die bindend zijn voor alle personeelsleden en aannemers met toegang tot persoonsgegevens.

Einde van de Verwerkersovereenkomst.