Definities. Alle termen en afkortingen beginnend met een hoofdletter in dit Artikel 12 hebben de betekenis zoals bepaald in Artikel 4 van de AVG. Daarnaast gebruiken partijen de termen, afkortingen en definities zoals hieronder nader gedefinieerd (in alfabetische volgorde):
AVG: Algemene Verordening Gegevensbescherming (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de Verwerking van persoonsgegevens en betreffendTe het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG;
Betrokkene: de Gebruiker, of een identificeerbare natuurlijke persoon, die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificerende factoren zoals een naam, een identificatienummer, locatiegegevens, een online identificator of een of meer factoren die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;
EER: De lidstaten van de Europese Unie en IJsland, Liechtenstein en Noorwegen;
Incident: Elke redelijke kans op of vrees voor een inbreuk op de beveiliging die per ongeluk of opzettelijk kan leiden tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot persoonsgegevens die worden verzonden, opgeslagen of anderszins verwerkt;
Privacywet- en regelgeving: Alle wet- en regelgeving, zowel Europees als nationaal, met betrekking tot de AVG of de implementatie daarvan;
Subverwerker: De persoon die de Verwerker assisteert bij de Verwerking van Persoonsgegevens. De Eventix subverwerkers staan hier vermeld.
Onderwerp van de Verwerking. De Organisator verstrekt, in het kader van de uitvoering van de Overeenkomst door Eventix, direct of indirect gegevens aan Eventix die te kwalificeren zijn als Persoonsgegevens, die namens de Organisator door Eventix worden verwerkt. Voor de Verwerking van Persoonsgegevens onder de Overeenkomst treedt de Organisator daarom op als de Verwerkingsverantwoordelijke en Eventix als de Verwerker. Eventix zal, in de rol van Verwerker, de Persoonsgegevens alleen verwerken zoals opgedragen door de Organisator. Het type Persoonsgegevens dat wordt Verwerkt, de categorieën van Betrokkenen en de aard van de Verwerking staan hier vermeld. De Organisator bevestigt en geeft Eventix hierbij toestemming om Persoonsgegevens te verwerken voor eigen doeleinden, deze zijn beperkt zijn tot 1) het vooraf vullen van Gebruikersgegevens met Gebruikers die eerder tickets hebben gekocht via Eventix en worden herkend vanwege geplaatste cookies, en 2) het analyseren en maken van statistieken van het gebruik van zijn platform door Gebruikers, op voorwaarde dat deze verdere verwerking verenigbaar is met de oorspronkelijke verwerkingsdoeleinden van Organisator, Eventix zich kan beroepen op een rechtmatige grondslag voor de verwerking, Eventix toezegt de Betrokkenen te informeren over de verdere Verwerking en zal voldoen aan alle andere verplichtingen onder de AVG. Eventix zal de Persoonsgegevens uitdrukkelijk niet gebruiken voor de promotie en marketing van andere evenementen. De Organisator erkent dat, voor zover Eventix of een deel ervan wordt overgenomen door een derde partij, de bovengenoemde door Eventix vastgestelde doeleinden kunnen veranderen.
Verplichtingen van Eventix en de Organisator. Eventix zorgt ervoor dat zijn verplichtingen die voortvloeien uit de Privacywet- en regelgeving worden nagekomen en dat zij de Organisator in staat stelt en helpt te voldoen aan de Privacywet- en regelgeving. Eventix verwerkt de Persoonsgegevens uitsluitend op basis van de schriftelijke instructies van de Organisator, bijvoorbeeld met betrekking tot de overdracht van Persoonsgegevens buiten de EER, en voor de duur van de Overeenkomst. Eventix informeert de Organisator als zij van mening is dat een instructie van de Organisator in strijd is of kan zijn met de Privacywet- en regelgeving. Eventix is bevoegd om te beslissen welke middelen zij zal gebruiken voor de Verwerking, voor zover dit voortvloeit uit de Overeenkomst of de instructies van de Organisator. Eventix is in dit kader alleen gerechtigd beslissingen te nemen met betrekking tot praktische zaken die geen significante invloed hebben of kunnen hebben op de bescherming van Persoonsgegevens. De Organisator garandeert jegens Eventix dat de inhoud, het gebruik en/of de Verwerking van de Persoonsgegevens niet onrechtmatig is en geen inbreuk maakt op enig recht van een derde.
Verplichting tot medewerking. Gezien de aard van de verwerking en de informatie waarover zij beschikt, helpt Eventix de Organisator bij het voldoen aan de verplichtingen zoals bedoeld in artikel 35 en 36 van de AVG, in het bijzonder helpt Eventix de Organisator bij het beoordelen van de noodzaak van en het eventueel uitvoeren van een effectbeoordeling inzake gegevensbescherming en de noodzaak om voorafgaande consultatie aan te vragen. De kosten voor de uitvoering daarvan kunnen door Eventix in rekening worden gebracht bij de Organisator.
Kosten. Kosten als gevolg van toegangsverzoeken door Betrokkene(n), audits of inbeslagnames door het College Bescherming Persoonsgegevens of een andere toezichthoudende instantie met betrekking tot Persoonsgegevens komen voor rekening van de Organisator.
Beveiligingsmaatregelen. Gezien de stand van de techniek, de uitvoeringskosten, alsmede de aard, de omvang, de context en de Verwerkingsdoeleinden en de verschillende risico's in termen van waarschijnlijkheid en ernst voor de rechten en vrijheden van personen, zal Eventix passende technische en organisatorische maatregelen nemen om een beveiligingsniveau te waarborgen dat overeenkomt met het risico zoals hier vermeld. Eventix zorgt ervoor dat de getroffen maatregelen, zoals uitgewerkt, voldoen aan wat is bepaald in de Privacywet- en regelgeving en in het bijzonder aan artikel 32 van de AVG. Eventix zal ervoor zorgen dat zij, waar redelijkerwijs mogelijk, gehoor zal geven aan de instructies van de Organisator in het kader van de beveiliging van Persoonsgegevens die door Eventix namens de Organisator zullen worden Verwerkt en dat zij de Organisator zal bijstaan bij het nakomen van de verplichtingen op grond van artikel 32 van de AVG.
Audits. Eventix verstrekt informatie aan de Organisator die nodig is om de naleving van de verplichtingen uit hoofde van de Overeenkomst en de AVG te staven. Eventix verstrekt daarbij alle informatie aan de Organisator om audits, inclusief inspecties, door de Organisator of een door de Organisator gemachtigde partij mogelijk te maken. De extra kosten van een audit en het opvragen van aanvullende informatie komen voor rekening van de Organisator.
Incidenten en datalekken. Eventix stelt de Organisator zo snel mogelijk, maar in ieder geval binnen 40 uur na ontdekking, op de hoogte van incidenten. Eventix informeert de Organisator zo snel mogelijk, maar in ieder geval binnen 48 uur na ontdekking, over een Datalek. Een dergelijke melding bevat ten minste een beschrijving van het volgende:
de aard van het Incident of de Datalek, en waar mogelijk met specificatie van de betrokken categorieën Betrokkenen en Registers van Persoonsgegevens en, grofweg, het aantal Betrokkenen en Registers van Persoonsgegevens:
Het contactpunt waar meer informatie kan worden verkregen;
de mogelijke gevolgen van het Incident of het Datalek;
de door de Verwerker voorgestelde maatregelen om het Incident of de Datalek te verhelpen, met inbegrip van, in voorkomend geval, de maatregelen om eventuele negatieve gevolgen daarvan te beperken.
Gezien de aard van de verwerking en de informatie waarover zij beschikt, zal Eventix de Organisator bijstaan bij het voldoen aan de verplichtingen op grond van artikel 33 en 34 van de AVG met betrekking tot de kennisgeving aan de relevante autoriteit voor gegevensbescherming en het informeren van Betrokkenen. Indien zich een Incident of een Datalek voordoet, is Eventix hierbij verplicht om elk detail in verband met het Incident of de Datalek vertrouwelijk te houden. Als Eventix een kennisgeving doet aan de Organisator, zorgt Eventix ervoor dat deze beschikbaar is voor inzage door de Organisator. Eventix zorgt er tevens voor dat het personeel dat betrokken is bij het vaststellen of oplossen van het Incident of het Datalek beschikbaar is voor de Organisator.
Subverwerkers; toestemming. De Organisator geeft Eventix hierbij de volledige schriftelijke toestemming om subverwerkers in te schakelen voor de Verwerking van Persoonsgegevens, alsmede om deze Subverwerkers naar eigen goeddunken te vervangen. Indien Eventix overgaat tot het inschakelen van subverwerkers of tot vervanging van een van de subverwerkers, informeert de Verwerker de Organisator, ten minste een maand voordat hij een nieuwe subverwerker inschakelt of een subverwerker vervangt, over zijn voornemen om een nieuwe of andere subverwerker in te schakelen en Eventix stelt de Organisator op de hoogte van de statutaire naam van de beoogde subverwerker, de specifieke verwerkingsactiviteiten die de subverwerker zal uitvoeren en de reden waarom deze subverwerker moet worden ingeschakeld;
Subverwerkers; verplichtingen. In alle gevallen waarin Eventix een Subverwerker inschakelt, sluit zij met deze Subverwerker een schriftelijke overeenkomst waarin ten minste is bepaald dat:
de Subverwerker moet voldoen aan dezelfde verplichtingen met betrekking tot gegevensbescherming als Eventix in deze Overeenkomst heeft vastgelegd, met name de verplichting om adequate garanties te bieden met betrekking tot de toepassing van passende technische en organisatorische maatregelen, om ervoor te zorgen dat de Verwerking voldoet aan de bepalingen van de AVG;
indien de ingeschakelde Subverwerker zijn verplichtingen inzake gegevensbescherming niet nakomt, blijft Eventix volledig aansprakelijk ten opzichte van de Verwerkingsverantwoordelijke voor de nakoming van de verplichtingen van de Subverwerker;
na afloop van de Overeenkomst zal de Subverwerker de Persoonsgegevens die hij in zijn bezit heeft op grond van de Verwerking van Persoonsgegevens die het onderwerp zijn van de Overeenkomst, voorgoed wissen, of deze gegevens retourneren aan Eventix of de Organisator, één en ander te bepalen door de Organisator.
Rechten van de Betrokkene. Gezien de aard van de Verwerking zal Eventix de Organisator voor zover mogelijk bijstaan, door middel van passende technische en organisatorische maatregelen, bij het nakomen van zijn verplichting om te antwoorden op verzoeken tot uitoefening van de rechten van de Betrokkene zoals bepaald in Hoofdstuk III van de AVG. Indien van toepassing zal Eventix onverwijld, na een verzoek daartoe van de Verwerkingsverantwoordelijke, een bewijs leveren dat Eventix aan het verzoek van de Betrokkene heeft voldaan. De kosten voor de uitoefening van de rechten van de Betrokkene zijn voor rekening van de Organisator. Voor zover wettelijk toegestaan, zal Eventix de Organisator op de hoogte stellen als Eventix een verzoek ontvangt van een Betrokkene in verband met de rechten die de Privacywet- en regelgeving aan de Betrokkene geeft. Eventix zal nimmer voldoen aan een verzoek van een Betrokkene zonder toestemming van de Organisator.
Overdracht van Persoonlijke Gegevens. De Organisator verleent hierbij de schriftelijke toestemming aan Eventix om Persoonsgegevens over te dragen, Eventix heeft het recht om Persoonsgegevens over te dragen aan Subverwerkers buiten de EER, op voorwaarde dat Eventix voldoet aan alle verplichtingen onder Privacywet- en regelgeving voor de overdracht van Persoonsgegevens buiten de EER, zoals het sluiten van relevante Standaard Contractuele Clausules, waar nodig.
Vertrouwelijkheid. Eventix zorgt ervoor dat het de Persoonsgegevens die zij van de Organisator in haar bezit heeft en namens de Organisator verwerkt, vertrouwelijk behandelt. Eventix zorgt ervoor dat de personen die bevoegd zijn om de Persoonsgegevens te Verwerken, zich door middel van schriftelijke geheimhoudingsovereenkomsten hebben verplicht tot geheimhouding. Eventix mag de Persoonsgegevens alleen bekendmaken, verstrekken of anderszins ter beschikking stellen aan derden, indien en voor zover de Verwerker hiervoor toestemming heeft verkregen van de Organisator.
