Verwerkersovereenkomst

JOIN heeft zich ten doel gesteld werkzoekenden en bedrijven wereldwijd met elkaar te verbinden. Bedrijven kunnen het JOIN-platform op https://join.com/ (hierna: het „Platform”) gebruiken om vacatures te publiceren en ontvangen sollicitaties op één centrale plek te beheren.

JOIN verleent diensten aan het Bedrijf overeenkomstig de tussen partijen gesloten dienstverleningsovereenkomst (de „Diensten”). De Diensten omvatten in het bijzonder de mogelijkheid voor het Bedrijf om vacatures te publiceren en de daarmee samenhangende sollicitatieprocedures op het Platform te beheren met behulp van een webgebaseerde beheertool. In het kader van de Diensten worden persoonsgegevens waarover het Bedrijf de controle heeft door JOIN verwerkt, waarbij JOIN optreedt als verwerker zoals gedefinieerd in de geldende wetgeving inzake gegevensbescherming.

Persoonsgegevens kunnen door JOIN worden verwerkt als verwerkingsverantwoordelijke zoals gedefinieerd in de geldende wetgeving inzake gegevensbescherming. Raadpleeg voor meer informatie de privacyverklaring van JOIN.

Deze verwerkersovereenkomst dient om partijen te beschermen tegen oneigenlijk gebruik van de persoonsgegevens die voor de Diensten worden verwerkt, om gegevensbescherming door JOIN te waarborgen met betrekking tot persoonsgegevens die het Bedrijf aan JOIN bekend heeft gemaakt en om te voldoen aan de toepasselijke wettelijke vereisten.

Tenzij uitdrukkelijk anders is overeengekomen, maakt deze verwerkersovereenkomst deel uit van iedere dienstverleningsovereenkomst tussen het Bedrijf en JOIN. Deze verwerkersovereenkomst, met inbegrip van alle bijlagen, bepaalt tevens de verplichtingen van partijen inzake gegevensbescherming uit hoofde van de onderliggende dienstverleningsovereenkomst als volgt:

1. De volgende bepalingen zijn uitsluitend van toepassing op de Diensten die in het kader van de dienstverleningsovereenkomst als gegevensverwerking kwalificeren.
2. Waar deze verwerkersovereenkomst termen gebruikt die in de AVG of de FADP zijn gedefinieerd, naargelang van toepassing, hebben die termen dezelfde betekenis als in die wet. Deze verwerkersovereenkomst wordt gelezen en uitgelegd in het licht van de bepalingen van de Algemene verordening gegevensbescherming van de EU („AVG”) en de Zwitserse federale wet inzake gegevensbescherming („FADP”), naargelang van toepassing. Deze verwerkersovereenkomst wordt niet uitgelegd op een wijze die in strijd is met de rechten en verplichtingen waarin de AVG of de FADP, naargelang van toepassing, voorziet, of die de grondrechten of fundamentele vrijheden van de betrokkenen aantast.

1. Op grond van deze verwerkersovereenkomst verwerkt JOIN persoonsgegevens uitsluitend namens en overeenkomstig de instructies van het Bedrijf. Dit omvat in het bijzonder de verwerkingsdiensten die JOIN overeenkomstig de dienstverleningsovereenkomst voor de Diensten aan het Bedrijf verleent. In deze dienstverleningsovereenkomst en in artikel 4 hebben partijen de bijzonderheden overeenkomstig artikel 28, leden 3 en 4, AVG en artikel 9 FADP vastgelegd, in het bijzonder het onderwerp en de duur van de gegevensverwerking, alsmede de uitvoering, aard en het doel van de voorgenomen gegevensverwerking, het soort gegevens en de betrokkenen.
2. De gegevensverwerking door JOIN namens het Bedrijf vindt plaats overeenkomstig artikel 28 AVG en artikel 9 FADP, voor elk van deze wetten uitsluitend indien en voor zover deze op de betreffende verwerkingsactiviteit van toepassing zijn. Het Bedrijf blijft steeds de voor de gegevensverwerking verantwoordelijke entiteit.
3. Onverminderd de bepalingen van de AVG of de FADP, naargelang van toepassing, kan het Bedrijf, indien JOIN zijn verplichtingen uit deze verwerkersovereenkomst niet nakomt, JOIN opdragen de verwerking van persoonsgegevens tijdelijk op te schorten totdat JOIN deze verwerkersovereenkomst naleeft of de overeenkomst wordt beëindigd. JOIN informeert het Bedrijf onverwijld indien JOIN, om welke reden dan ook, niet in staat is deze verwerkersovereenkomst na te leven. JOIN informeert het Bedrijf onmiddellijk indien instructies van het Bedrijf naar het oordeel van JOIN in strijd zijn met toepasselijke bepalingen inzake gegevensbescherming van de Unie, van een lidstaat of van Zwitserland.
4. Deze verwerkersovereenkomst blijft volledig van kracht zolang de onderliggende dienstverleningsovereenkomst van kracht is. Iedere bepaling van deze verwerkersovereenkomst die uitdrukkelijk of naar haar aard bij of na beëindiging van de onderliggende dienstverleningsovereenkomst in werking treedt of van kracht blijft ter bescherming van persoonsgegevens, blijft volledig van kracht.

De bepalingen van deze verwerkersovereenkomst maken integraal deel uit van de dienstverleningsovereenkomst tussen partijen en hebben voorrang boven de overige contractuele afspraken tussen partijen met betrekking tot gegevensbescherming, in het bijzonder boven andere overeenkomsten die bepalingen bevatten die ten nadele van het Bedrijf afwijken van deze verwerkersovereenkomst. Artikel 1.1 blijft onverlet. De bepalingen van deze verwerkersovereenkomst zijn niet van toepassing op de verwerking van persoonsgegevens die JOIN als verwerkingsverantwoordelijke aan het Bedrijf of een andere individuele gebruiker verstrekt. De aansprakelijkheid van elke partij die uit deze verwerkersovereenkomst voortvloeit of daarmee verband houdt, is onderworpen aan de aansprakelijkheidsbeperkingen en -uitsluitingen die zijn opgenomen in de tussen partijen gesloten dienstverleningsovereenkomst.

Partijen komen hierbij overeen dat het doel van de gegevensverwerking het verlenen van de Diensten door JOIN overeenkomstig de dienstverleningsovereenkomst is. De omvang en aard van het verzamelen, verwerken en/of gebruiken van persoonsgegevens worden bepaald door de bepalingen van de dienstverleningsovereenkomst en door de Diensten die het Bedrijf daadwerkelijk gebruikt.

De betrokkenen van wie persoonsgegevens in het kader van de dienstverleningsovereenkomst worden behandeld, omvatten:

• kandidaten voor functies die het Bedrijf via het Platform publiceert; en
• werknemers van het Bedrijf die het Platform namens het Bedrijf gebruiken.

De volgende soorten gegevens zijn in het bijzonder betrokken bij de verwerking in opdracht:

• Persoonsgegevens van de kandidaten (bijv. naam, titel, academische graad, geboortedatum, telefoonnummer, e-mailadres),
• de door de sollicitanten verstrekte gegevens (sollicitatiegegevens; curriculum vitae, referenties, certificaten enz.),
• alle informatie over de sollicitatieprocedure die in de Diensten en op het JOIN-Platform wordt vastgelegd, zoals via het Platform verstuurde berichten, informatie over de sollicitatieprocedure en de voortgang van een kandidaat in de sollicitatieprocedure die op ons Platform wordt vastgelegd, of vragen die in het kader van de sollicitatieprocedure worden gesteld en op ons Platform worden vastgelegd,
• gegevens die door het gebruik van de Diensten worden gegenereerd, zoals metadata; dit omvat informatie over de duur van een sollicitatieprocedure, het aantal kandidaten dat heeft gesolliciteerd en de fase die een kandidaat in de sollicitatieprocedure heeft bereikt,
• gegevens die worden gegenereerd door interacties met de Diensten, zoals de antwoorden die kandidaten op gestelde vragen geven, door het Bedrijf zelf vastgelegde gegevens die niet op het Platform zijn verwijderd en berichten waarmee contact met de kandidaten of JOIN wordt gelegd,
• Persoonsgegevens (bijv. naam, functietitel, e-mailadres, telefoonnummer, zakelijk adres) en toegangsgegevens (bijv. gebruikersnaam en wachtwoord) van werknemers van het Bedrijf.

Als deze gegevens worden verwerkt in het kader van andere Diensten van JOIN waarbij JOIN als verwerkingsverantwoordelijke optreedt, valt dit niet binnen het toepassingsgebied van deze verwerkersovereenkomst. Er wordt verwezen naar de privacyverklaring van JOIN.

1. Het Bedrijf is als enige verantwoordelijk voor de beoordeling van de toelaatbaarheid van de gegevensverwerking die JOIN namens het Bedrijf uitvoert en voor de waarborging van de rechten van betrokkenen. Het Bedrijf is in het bijzonder, maar niet uitsluitend, verantwoordelijk voor (1) het nakomen van de informatieverplichtingen inzake gegevensbescherming jegens de kandidaten, (2) het verkrijgen en documenteren van de noodzakelijke rechtsgrondslag van de kandidaten voor de verwerking van de gegevens door het Bedrijf of JOIN, overeenkomstig de geldende wetgeving inzake gegevensbescherming, en (3) de naleving van de verwijdertermijnen die op de betreffende sollicitatieprocedure van toepassing zijn.
2. Het Bedrijf is als verwerkingsverantwoordelijke te allen tijde gerechtigd instructies te geven over de aard, omvang en procedure van de gegevensverwerking die namens het Bedrijf wordt uitgevoerd. Mondelinge instructies moeten door het Bedrijf schriftelijk (waaronder per e-mail) worden bevestigd. JOIN bevestigt de ontvangst en uitvoering van dergelijke instructies onverwijld en informeert het Bedrijf indien een instructie naar zijn oordeel inbreuk maakt op de toepasselijke wetgeving inzake gegevensbescherming.
3. Indien het Bedrijf dit noodzakelijk acht, kunnen personen worden aangewezen die bevoegd zijn instructies te geven. De informatie moet door het Bedrijf schriftelijk worden verstrekt. Indien de personen die bij het Bedrijf bevoegd zijn instructies te geven wijzigen, informeert het Bedrijf JOIN tijdig hierover en vermeldt het telkens de nieuwe persoon of personen.
4. Het Bedrijf informeert JOIN indien fouten of onregelmatigheden worden vastgesteld in verband met de verwerking van persoonsgegevens door JOIN.
5. Het Bedrijf is gerechtigd de naleving van de technische en organisatorische maatregelen voor gegevensbeveiliging die JOIN overeenkomstig artikel 9 heeft genomen, vóór de aanvang van de gegevensverwerking en vervolgens met regelmatige tussenpozen, maar niet vaker dan eenmaal per jaar, te controleren, na een tijdige voorafgaande kennisgeving van ten minste 30 dagen, tijdens de normale kantooruren en met inachtneming van de belangen van JOIN. Het Bedrijf kan deze controle ook door een derde laten uitvoeren, mits die vooraf een geheimhoudingsovereenkomst heeft gesloten. Het Bedrijf is verplicht de vergoeding te betalen aan de personen die met de uitvoering van deze maatregelen zijn belast.
6. Het Bedrijf is verplicht JOIN te informeren over incidenten inzake gegevensbescherming of andere schendingen van de geldende wetgeving inzake gegevensbescherming die de verwerkingsactiviteiten van JOIN raken.
7. Het Bedrijf informeert JOIN onverwijld indien het kennis krijgt van specifieke maatregelen van de toezichthoudende autoriteiten die het Bedrijf raken, in het bijzonder onderzoeksmaatregelen van de autoriteiten, voor zover dit de gegevensverwerking voor het Bedrijf raakt en het Bedrijf niet tot geheimhouding verplicht is.

1. Gegevensverwerking. JOIN is verplicht persoonsgegevens op grond van deze verwerkersovereenkomst uitsluitend te verwerken overeenkomstig deze overeenkomst en/of de onderliggende dienstverleningsovereenkomst en de instructies van het Bedrijf.

2. Rechten van de betrokkenen. JOIN ondersteunt het Bedrijf voor zover mogelijk bij het nakomen van de rechten van betrokkenen, in het bijzonder wat betreft rectificatie, beperking van de verwerking en verwijdering, kennisgeving en het verstrekken van informatie.

   JOIN rectificeert, verwijdert of beperkt op instructie van het Bedrijf de verwerking van de namens het Bedrijf verwerkte persoonsgegevens. Deze verplichting geldt niet voor persoonsgegevens die JOIN als verwerkingsverantwoordelijke verwerkt in het kader van de diensten die het via het Platform aanbiedt.

   Indien een betrokkene zich direct tot JOIN wendt met een verzoek tot rectificatie, verwijdering of beperking van de verwerking van zijn of haar persoonsgegevens, stuurt JOIN dit verzoek onmiddellijk na ontvangst door aan het Bedrijf. Het Bedrijf blijft verantwoordelijk voor de uitvoering van de verzoeken.

3. Interne controleverplichtingen. JOIN voert passende controlemaatregelen in, bijv. interne audits, een gegevensbeschermingsconcept enz., om te waarborgen dat de op grond van deze verwerkersovereenkomst verwerkte persoonsgegevens worden verwerkt overeenkomstig deze overeenkomst en de bijbehorende instructies.

4. Informatieplicht. JOIN informeert het Bedrijf als verwerker indien naar zijn eigen oordeel een instructie in strijd is met wettelijke voorschriften. JOIN is in dat geval gerechtigd de uitvoering van de betreffende instructie op te schorten totdat het Bedrijf deze wijzigt. Dit brengt voor JOIN geen verplichting tot toetsing of kennisgeving met zich.

   JOIN stelt het Bedrijf uiterlijk 48 uur nadat JOIN daarvan kennis heeft gekregen in kennis van iedere inbreuk in verband met persoonsgegevens die door JOIN worden verwerkt (een „Inbreuk in verband met Persoonsgegevens”). Die kennisgeving bevat ten minste:

   1. een beschrijving van de aard van de inbreuk (waaronder, voor zover mogelijk, de categorieën en het geschatte aantal betrokkenen en betrokken gegevensrecords);
   2. de vermoedelijke gevolgen van de inbreuk; en
   3. de genomen of voorgestelde maatregelen om de inbreuk aan te pakken en mogelijke nadelige gevolgen te beperken.

   Indien de toegang tot de persoonsgegevens die het Bedrijf ter verwerking aan JOIN heeft overgedragen in gevaar komt door maatregelen van derden (bijv. maatregelen van een insolventiefunctionaris, inbeslagname door de belastingautoriteiten enz.), is JOIN verplicht het Bedrijf hierover te informeren.

   JOIN verstrekt uitsluitend na voorafgaande afstemming met het Bedrijf informatie aan een partij die daarom verzoekt, tenzij JOIN op grond van overheidsmaatregelen of rechterlijke beslissingen tot het verstrekken van informatie verplicht is.

   Indien een Inbreuk in verband met Persoonsgegevens het gevolg is van de compromittering, het verlies of de onbevoegde openbaarmaking van de eigen inloggegevens, systemen of het eigen personeel van het Bedrijf, handelt JOIN strikt als verwerker en beperken zijn verplichtingen zich tot het informeren van het Bedrijf overeenkomstig deze verwerkersovereenkomst. JOIN is niet verplicht namens het Bedrijf kennisgevingen te doen. JOIN kan, zelfstandig of op verzoek van het Bedrijf, besluiten betrokkenen te informeren over het bestaan van een inbreuk, zodat die betrokkenen de noodzakelijke maatregelen kunnen nemen om risico’s en verdere onbevoegde toegang tot de infrastructuur van JOIN te beperken.

5. Opstellen van een verwerkingsregister. JOIN ondersteunt het Bedrijf op verzoek bij het opstellen van een overzicht van de verwerkingsactiviteiten binnen het toepassingsgebied van deze verwerkersovereenkomst en van de gegevensverwerking die plaatsvindt, en verstrekt de noodzakelijke informatie op passende wijze.

   JOIN houdt tevens een eigen register bij van alle categorieën verwerkingsactiviteiten die namens het Bedrijf worden uitgevoerd, overeenkomstig de bepalingen van de geldende wetgeving inzake gegevensbescherming.

6. Meldings- en samenwerkingsverplichtingen. JOIN ondersteunt het Bedrijf op verzoek bij:

   1. het nakomen van zijn meldingsverplichtingen;
   2. de verplichting gegevensbeschermingseffectbeoordelingen uit te voeren;
   3. de verplichtingen tot het melden en meedelen van inbreuken in verband met persoonsgegevens;
   4. eventuele voorafgaande raadplegingen van toezichthoudende autoriteiten.

7. Plaats van gegevensverwerking. Tenzij partijen anders overeenkomen, vinden de verwerking en het gebruik van de gegevens door JOIN plaats in Zwitserland, de Europese Unie of een andere staat die partij is bij de Overeenkomst betreffende de Europese Economische Ruimte. Verplaatsing van de gegevensverwerkingsactiviteiten van JOIN naar een derde land is uitsluitend toegestaan indien de bijzondere vereisten van hoofdstuk V AVG of afdeling 2 FADP in acht worden genomen. Het Bedrijf stemt ermee in dat wanneer JOIN overeenkomstig deze overeenkomst een subverwerker inschakelt voor het uitvoeren van specifieke verwerkingsactiviteiten (namens het Bedrijf) in een derde land en die verwerkingsactiviteiten een doorgifte van persoonsgegevens in de zin van de AVG of de FADP inhouden, naargelang van toepassing, JOIN en de subverwerker gebruik kunnen maken van de standaardcontractbepalingen die de Commissie op grond van artikel 46, lid 2, AVG heeft vastgesteld om te voldoen aan de vereisten van hoofdstuk V AVG, mits aan de voorwaarden voor het gebruik van die bepalingen is voldaan en mits uit een interne beoordeling is gebleken dat die doorgifte het beschermingsniveau van de AVG en de FADP haalt.

8. Verwijdering van persoonsgegevens na beëindiging van de overeenkomst. Na beëindiging van de dienstverleningsovereenkomst is JOIN verplicht alle namens het Bedrijf verwerkte persoonsgegevens te verwijderen, het Bedrijf te bevestigen dat dit is gebeurd en bestaande kopieën te verwijderen, tenzij het recht van de Unie, van een lidstaat of van Zwitserland de bewaring van de persoonsgegevens vereist. Deze verwijderplicht geldt niet voor persoonsgegevens die JOIN als verwerkingsverantwoordelijke verwerkt in het kader van de diensten die het via het Platform aanbiedt.

1. JOIN stelt het Bedrijf alle informatie ter beschikking die redelijkerwijs noodzakelijk is om de naleving aan te tonen van de verplichtingen die in deze verwerkersovereenkomst zijn vastgelegd en die rechtstreeks uit de AVG of de FADP voortvloeien, en maakt op verzoek van het Bedrijf toetsingen van gegevensbestanden en documentatie of audits van de door deze verwerkersovereenkomst bestreken verwerkingsactiviteiten mogelijk en werkt daaraan mee, in het bijzonder indien er aanwijzingen van niet-naleving zijn. Het Bedrijf kan ervoor kiezen de audit zelf uit te voeren, op eigen kosten een onafhankelijke auditor aan te stellen of zich te baseren op een door JOIN aangestelde onafhankelijke audit. Indien JOIN een audit aanstelt, draagt JOIN de kosten van de onafhankelijke auditor. De audit-, toegangs- en inspectierechten van het Bedrijf op grond van dit artikel 9.1 zijn beperkt tot de registers van JOIN (met inbegrip van onder meer registers van verwerkingsactiviteiten met persoonsgegevens en registers van ontvangers van persoonsgegevens) en zijn niet van toepassing op de fysieke bedrijfsruimten van JOIN. Elke audit en elk informatieverzoek is beperkt tot de informatie die noodzakelijk is voor de doeleinden van deze verwerkersovereenkomst en houdt naar behoren rekening met de geheimhoudingsverplichtingen van JOIN en zijn gerechtvaardigde belang bij de bescherming van bedrijfsgeheimen.
2. JOIN ondersteunt het Bedrijf naar beste vermogen bij de uitvoering van controles en verschaft waar nodig snel en volledig duidelijkheid.
3. JOIN aanvaardt controlemaatregelen van de toezichthoudende autoriteit voor gegevensbescherming indien daartoe een wettelijke verplichting bestaat. JOIN informeert het Bedrijf overeenkomstig artikel 8.4 na kennisgeving van of kennisname van de uitvoering van de controlemaatregel en van andere verzoeken om informatie of onderzoeken door de toezichthoudende autoriteit voor gegevensbescherming, voor zover de maatregelen of verzoeken betrekking kunnen hebben op de gegevensverwerking die JOIN voor het Bedrijf uitvoert en JOIN niet wettelijk tot geheimhouding verplicht is.
4. JOIN bevestigt op verzoek schriftelijk dat de in bijlage 1 genoemde technische en organisatorische maatregelen worden nageleefd, alsmede de ISO 27001:2022-certificering van JOIN.

1. JOIN is gerechtigd subverwerkers met gegevensverwerking te belasten overeenkomstig de volgende bepalingen:

   • JOIN selecteert subverwerkers zorgvuldig op basis van hun geschiktheid en betrouwbaarheid en waarborgt dat de betreffende subverwerker een passend niveau van gegevensbescherming waarborgt.
   • JOIN is verplicht de contractuele afspraken met de subverwerkers te sluiten overeenkomstig de geldende afspraken in de relatie tussen het Bedrijf en JOIN en ervoor te zorgen dat eventuele aanvullende instructies van het Bedrijf ook op de subverwerkers van toepassing zijn.
   • JOIN informeert het Bedrijf tijdig in tekstvorm, dat wil zeggen uiterlijk 30 dagen vóór de aanvang van de geplande uitbesteding, over iedere voorgenomen wijziging met betrekking tot de betrokkenheid of vervanging van de in bijlage 2 genoemde subverwerkers, en geeft het Bedrijf daarmee de gelegenheid bezwaar te maken tegen dergelijke wijzigingen voordat de betreffende subverwerker wordt ingeschakeld. Een dergelijk bezwaar mag niet op onredelijke grond worden gemaakt. Indien het Bedrijf geen bezwaar maakt tegen dergelijke wijzigingen, worden deze geacht te zijn goedgekeurd.
2. JOIN verstrekt het Bedrijf op verzoek een kopie van de verwerkersovereenkomst met de subverwerker, mits en voor zover dit niet in strijd is met de belangen van JOIN.
3. JOIN werkt op het moment van sluiting van de overeenkomst voor de uitvoering daarvan samen met de in bijlage 2 genoemde subverwerkers, met wier inschakeling het Bedrijf uitdrukkelijk instemt.

1. JOIN is verplicht bij de verwerking van gegevens voor het Bedrijf geheimhouding en gegevensgeheim te betrachten.
2. JOIN zet voor de uitvoering van de overeenkomst uitsluitend werknemers of andere hulppersonen in die bij de omgang met de verstrekte persoonsgegevens voldoende tot het gegevensgeheim of tot geheimhouding zijn verplicht en die naar behoren zijn geïnstrueerd over de vereisten inzake gegevensbescherming.

1. JOIN voert de in bijlage 1 beschreven TOMs uit.
2. Gedurende de contractuele relatie neemt JOIN alle noodzakelijke maatregelen om de gegevens en de beveiliging van de verwerking te beschermen, in het bijzonder met inachtneming van de actuele technologische normen, alsmede om mogelijke nadelige gevolgen voor de betrokkenen te beperken. Om steeds een passend beveiligingsniveau voor de gegevensverwerking te kunnen waarborgen, zorgt JOIN ervoor dat de uitgevoerde maatregelen regelmatig worden getoetst en zo nodig worden bijgewerkt. JOIN staat het vrij wijzigingen aan te brengen in de technische en organisatorische maatregelen die het overeengekomen beveiligingsniveau verhogen. JOIN informeert het Bedrijf tijdig over wijzigingen in deze maatregelen.
3. JOIN is gecertificeerd volgens ISO 27001:2022.

1. JOIN kan deze verwerkersovereenkomst van tijd tot tijd wijzigen. JOIN stelt het Bedrijf daarvan ten minste 30 dagen voordat een dergelijke wijziging op het Bedrijf van toepassing wordt in kennis (de „Ingangsdatum”). Een wijziging treedt op de Ingangsdatum in werking zonder nadere instemming van het Bedrijf indien deze (elk een „Automatische Wijziging”): (a) vereist is op grond van toepasselijke wetgeving inzake gegevensbescherming, door een toezichthoudende autoriteit, door een rechter, of door een wijziging van de standaardcontractbepalingen of een opvolgend doorgiftemechanisme; (b) een wijziging van bijlage 1 of bijlage 2 weergeeft, die worden beheerst door respectievelijk artikel 12 en artikel 10; (c) verduidelijkend is of een klaarblijkelijke fout herstelt; of (d) de bescherming van de namens het Bedrijf verwerkte persoonsgegevens, of de rechten van het Bedrijf uit deze verwerkersovereenkomst, niet wezenlijk vermindert. Iedere andere wijziging treedt op de Ingangsdatum in werking, tenzij het Bedrijf daartegen vooraf schriftelijk bezwaar maakt. Het bezwaar moet de betwiste wijziging benoemen en aangeven waarom het Bedrijf meent dat het geen Automatische Wijziging betreft. Indien een bezwaar wordt gemaakt dat aan deze vereisten voldoet, streven partijen 30 dagen lang naar overeenstemming te goeder trouw.
2. Alle verklaringen van partijen, in het bijzonder kennisgevingen, aankondigingen, verklaringen en overige aan de andere partij te verstrekken informatie, moeten schriftelijk worden gedaan om geldig te zijn. Ter voorkoming van twijfel omvat „schriftelijk” een elektronische handtekening en andere tekstcommunicatie zoals e-mail.

1. In geval van enige tegenstrijdigheid tussen de bepalingen van deze overeenkomst en de bepalingen van de dienstverleningsovereenkomst hebben de bepalingen van deze overeenkomst voorrang.
2. Deze verwerkersovereenkomst is in meer dan één taalversie beschikbaar. In geval van een afwijking tussen de Engelse versie van deze verwerkersovereenkomst en een vertaalde versie prevaleert, voor zover het toepasselijke recht dit toestaat, de Engelse versie.
3. Deze verwerkersovereenkomst wordt beheerst door en uitgelegd overeenkomstig het materiële recht van Zwitserland, met uitsluiting van de regels van internationaal privaatrecht en van het Verdrag der Verenigde Naties inzake internationale koopovereenkomsten betreffende roerende zaken (CISG). De gewone rechter van de statutaire zetel van JOIN is exclusief bevoegd voor alle geschillen die uit deze verwerkersovereenkomst voortvloeien of daarmee verband houden.

Tim Ruffner, CEO and Founder JOIN Solutions

15 september 2026

JOIN implementeert en onderhoudt technische en organisatorische maatregelen die zijn bedoeld om persoonsgegevens die in verband met de Diensten worden verwerkt te beschermen tegen onopzettelijke of onrechtmatige vernietiging, verlies, wijziging, onbevoegde openbaarmaking, onbevoegde toegang en andere onrechtmatige of onbevoegde vormen van verwerking.

Deze maatregelen worden risicogebaseerd geïmplementeerd, met inachtneming van de aard, de omvang, de context en de doeleinden van de verwerking, alsmede de risico’s voor de rechten en vrijheden van natuurlijke personen.

JOIN toetst en werkt zijn technische en organisatorische maatregelen bij waar passend, om een op het risico afgestemd beveiligingsniveau te handhaven en om wijzigingen in wettelijke vereisten, in de Diensten en in de stand van de techniek te verwerken. Deze maatregelen zijn bedoeld ter ondersteuning van het kader voor informatiebeveiligingsbeheer van JOIN en van de toepasselijke verplichtingen inzake gegevensbescherming.

1. Governance van informatiebeveiliging

JOIN onderhoudt een kader voor informatiebeveiligingsbeheer met gedocumenteerd beleid, toegewezen verantwoordelijkheden, processen voor risicobeoordeling en risicobehandeling, en periodieke toetsing van relevante beveiligings- en privacyrisico’s.

JOIN onderhoudt gedocumenteerde procedures en beheersmaatregelen voor gebieden zoals toegangsbeheer, incidentrespons, veilige ontwikkeling, kwetsbaarhedenbeheer, bedrijfscontinuïteit, toezicht op leveranciers en gegevensbescherming.

Personeel met verantwoordelijkheden die relevant zijn voor persoonsgegevens van klanten is gebonden aan geheimhoudingsverplichtingen en krijgt training in beveiliging en gegevensbescherming die past bij zijn rol.

2. Personeelsbeveiliging en geheimhouding

JOIN past bij de rol passende processen toe voor indiensttreding, rolwijziging en uitdiensttreding voor personeel dat mogelijk toegang heeft tot systemen of persoonsgegevens die in het kader van de Diensten worden verwerkt.

Toegang wordt verleend op basis van zakelijke noodzaak en het beginsel van minimale rechten, en personeel is verplicht de interne beveiligings- en geheimhoudingsvereisten van JOIN na te leven.

JOIN neemt redelijke maatregelen om te waarborgen dat bevoegd personeel zijn verantwoordelijkheden begrijpt ten aanzien van vertrouwelijke informatie, gegevensbescherming en aanvaardbaar gebruik van systemen.

3. Fysieke en omgevingsbeveiliging

JOIN maakt voor de verwerking en opslag van persoonsgegevens van klanten hoofdzakelijk gebruik van in de cloud gehoste systemen en infrastructuur. De fysieke en omgevingsbeveiliging van de onderliggende hostinginfrastructuur wordt beheerd door de betreffende cloudinfrastructuuraanbieder, op grond van diens eigen beveiligingsprogramma en contractuele verplichtingen.

JOIN past proportionele maatregelen toe voor fysieke beveiliging en bescherming van apparatuur in kantoor- en thuiswerkomgevingen die voor zijn bedrijfsvoering relevant zijn.

Deze bijlage beschrijft geen infrastructuurspecifieke beheersmaatregelen die uitsluitend door externe cloudaanbieders worden uitgevoerd, tenzij die beheersmaatregelen deel uitmaken van de door de aanbieder beheerde omgeving die de Diensten ondersteunt.

4. Identiteits- en toegangsbeheer

Toegang tot systemen en tot persoonsgegevens van klanten is beperkt tot bevoegde personen met een gerechtvaardigde zakelijke noodzaak. JOIN gebruikt processen voor toegangsbeheer die zijn bedoeld om te waarborgen dat toegangsrechten op beheerste wijze worden toegekend, gewijzigd en ingetrokken.

JOIN gebruikt waar passend unieke gebruikersidentiteiten, beperkt geprivilegieerde toegang tot bevoegd personeel en past sterke authenticatiemaatregelen toe, waaronder meervoudige authenticatie voor kritieke systemen waar dit technisch wordt ondersteund en passend is.

JOIN onderhoudt processen voor het beheer van inloggegevens, toegangsbeoordelingen, rolgebaseerde rechten en het tijdig intrekken van toegang na een rolwijziging of uitdiensttreding.

5. Klanttoegang en gegevensscheiding

De diensten van JOIN zijn zo ingericht dat gegevens van een klant logisch worden gescheiden van de gegevens van andere klanten en dat gebruikers uitsluitend toegang hebben tot de gegevens en functies waarvoor zij bevoegd zijn.

JOIN houdt productie- en niet-productieomgevingen gescheiden waar dit om operationele en beveiligingsredenen passend is.

Voor zover persoonsgegevens worden verwerkt in verband met test-, ondersteunings-, probleemoplossings- of onderhoudswerkzaamheden, blijft die verwerking beperkt tot wat noodzakelijk is en is zij onderworpen aan passende toegangsbeperkingen en waarborgen.

6. Versleuteling en veilige communicatie

JOIN past versleuteling tijdens verzending toe op persoonsgegevens die via openbare netwerken worden overgedragen, met gebruikmaking van veilige communicatieprotocollen conform de normen in de sector.

JOIN past versleuteling in rust toe op door JOIN beheerde productiesystemen die worden gebruikt voor de duurzame opslag van persoonsgegevens van klanten. Voor zover persoonsgegevens van klanten via diensten van derden worden verwerkt of opgeslagen, baseert JOIN zich op de toepasselijke beveiligingsmaatregelen en contractuele waarborgen van de betreffende aanbieder.

Cryptografische sleutels, geheimen, authenticatiegegevens en daarmee samenhangende gevoelige configuratiegegevens worden beheerd via beheerste processen die zijn bedoeld om onbevoegde toegang en openbaarmaking te beperken.

7. Veilige ontwikkeling en wijzigingsbeheer

JOIN onderhoudt processen voor ontwikkeling en wijzigingsbeheer die zijn bedoeld om beveiligingsrisico’s te verkleinen gedurende het ontwerp, de ontwikkeling, het testen, de uitrol en de werking van de Diensten.

Wijzigingen in productiesystemen zijn onderworpen aan passende procedures voor beoordeling, testen en goedkeuring, in verhouding tot de aard en het risico van de wijziging. JOIN houdt daarnaast ontwikkel-, test- en productiewerkzaamheden gescheiden waar dit passend is.

Beveiligingsoverwegingen zijn onderdeel van de levenscyclus van de software, waaronder het verhelpen van kwetsbaarheden, het beheer van afhankelijkheden, de behandeling van gebreken en de beheerste uitrol van wijzigingen.

8. Beheer van kwetsbaarheden, endpoints en leveranciers

JOIN onderhoudt processen om kwetsbaarheden die systemen binnen zijn beheer raken te identificeren, beoordelen, prioriteren en verhelpen. Beveiligingsupdates en patches worden toegepast op basis van risico, ernst en operationele vereisten.

JOIN past maatregelen voor endpointbeveiliging en apparaatbeheer toe die passend zijn voor door het bedrijf beheerde endpoints die in verband met de Diensten worden gebruikt.

Voordat JOIN relevante leveranciers of subverwerkers inschakelt die persoonsgegevens van klanten kunnen verwerken, voert JOIN een passend due diligence-onderzoek uit en verlangt het contractuele waarborgen die passen bij de geleverde diensten en de toepasselijke wettelijke vereisten. JOIN beheert subverwerkers overeenkomstig de toepasselijke verwerkersovereenkomst.

9. Logging, monitoring en incidentbeheer

JOIN onderhoudt logging- en monitoringmaatregelen voor relevante systemen ter ondersteuning van beveiligingsmonitoring, de werking van de dienst, probleemoplossing en het onderzoeken van en reageren op incidenten.

Toegang tot deze logbestanden is beperkt tot bevoegd personeel en de bewaartermijnen worden bepaald op basis van operationele, beveiligings-, wettelijke en contractuele vereisten. JOIN onderhoudt een proces voor incidentbeheer dat de identificatie, beoordeling, escalatie, beheersing, het verhelpen en de nazorg van beveiligings- en operationele incidenten die relevant zijn voor de Diensten omvat.

In geval van een inbreuk in verband met persoonsgegevens stelt JOIN de betreffende klant in kennis overeenkomstig deze verwerkersovereenkomst en verleent JOIN redelijke medewerking en relevante beschikbare informatie ter ondersteuning van het onderzoek, de beperking van gevolgen en de naleving van toepasselijke meldingsverplichtingen.

10. Beschikbaarheid, back-up, herstel en verwijdering van gegevens

JOIN onderhoudt maatregelen die zijn bedoeld om de beschikbaarheid, veerkracht en herstelbaarheid van de Diensten te ondersteunen, waaronder maatregelen voor back-up, herstel, monitoring van de dienst en operationele continuïteit die passend zijn voor de Diensten en de onderliggende infrastructuur.

Voorzieningen voor back-up en herstel worden periodiek getest of op andere wijze gevalideerd overeenkomstig de operationele vereisten, en JOIN onderhoudt processen voor bedrijfscontinuïteit en herstel die zijn bedoeld om herstel na wezenlijke operationele of beveiligingsincidenten te ondersteunen.

Na beëindiging van de betreffende contractuele relatie verwijdert JOIN persoonsgegevens van klanten overeenkomstig de toepasselijke overeenkomst en de gedocumenteerde instructies van de klant, behalve waar bewaring op grond van toepasselijk recht is vereist. Verwijderprocessen zijn zo ingericht dat persoonsgegevens uit actieve systemen worden verwijderd en dat restgegevens in back-ups worden beheerd overeenkomstig de toepasselijke bewaar- en verwijderprocessen.

Vragen over deze overeenkomst, onze subverwerkers of een verzoek van een betrokkene? Neem contact op met ons juridische team via [email protected] of via join.com/contact.