Hoe deze Overeenkomst tot stand komt

Deze verwerkersovereenkomst (in Duitsland en Oostenrijk een Auftragsverarbeitungsvertrag of AVV genoemd) maakt deel uit van de FastComments-Servicevoorwaarden. Zij treedt automatisch in werking, zonder ondertekening en zonder enige verdere handeling van een van beide partijen, voor iedere klant die de Dienst gebruikt om persoonsgegevens te verwerken als verwerkingsverantwoordelijke die onder de AVG, de UK-AVG of de Zwitserse FADP valt. Artikel 28, lid 9, AVG vereist dat deze overeenkomst schriftelijk wordt aangegaan, met inbegrip van de elektronische vorm; de aanvaarding van de Servicevoorwaarden voldoet aan dat vereiste.

WinrickLabs LLC heeft deze Overeenkomst vooraf ondertekend. De handtekening is opgenomen in artikel 24. Een klant die voor zijn eigen administratie een medeondertekend exemplaar nodig heeft, kan op deze pagina zijn gegevens invullen om er een op te stellen, of er een opvragen via privacy@fastcomments.com.

Overwegingen

A. De Verwerkingsverantwoordelijke en de Verwerker zijn een commerciële relatie aangegaan op grond waarvan de Verwerker een gehost onlineplatform voor commentaar, livechat en discussie ter beschikking stelt (de “Dienst”).

B. Die relatie wordt beheerst door de Servicevoorwaarden die zijn gepubliceerd op https://fastcomments.com/terms-of-service (de “Hoofdovereenkomst”).

C. Het gebruik van de Dienst door de Verwerkingsverantwoordelijke brengt de verwerking mee van persoonsgegevens die vallen onder Verordening (EU) 2016/679 (de “AVG”), de algemene verordening gegevensbescherming van het Verenigd Koninkrijk, gelezen in samenhang met de Data Protection Act 2018 (tezamen de “UK-AVG”) en/of de Zwitserse federale wet inzake gegevensbescherming (de “FADP”). De partijen komen daarom de bepalingen overeen die door artikel 28 AVG en, voor zover van toepassing, hoofdstuk V AVG worden vereist.

1. Definities

“Persoonsgegevens van de Klant” betekent persoonsgegevens die zijn opgenomen in of zijn afgeleid van commentaren, chatberichten, reacties, stemmen, emoji-reacties, meldingen, uploads, eindgebruikersprofielen, single-sign-on-attributen en moderatiegegevens die namens de Verwerkingsverantwoordelijke aan de Dienst worden aangeleverd of via de Dienst worden gegenereerd.

“Accountgegevens” betekent de eigen contact-, facturerings-, authenticatie-, ondersteunings- en productgebruiksgegevens van de Verwerkingsverantwoordelijke.

“Gegevensbeschermingswetgeving” betekent de AVG, de UK-AVG, de FADP en iedere andere wetgeving inzake gegevensbescherming die van toepassing is op de verwerking door een partij op grond van deze Overeenkomst.

“Subverwerker” betekent iedere derde die door de Verwerker wordt ingeschakeld om Persoonsgegevens van de Klant te verwerken.

“SCC's” betekent de modelcontractbepalingen die als bijlage zijn gevoegd bij Uitvoeringsbesluit (EU) 2021/914 van de Commissie van 4 juni 2021.

“UK-Addendum” betekent het International Data Transfer Addendum to the EU Commission Standard Contractual Clauses, uitgevaardigd door de Information Commissioner op grond van section 119A van de Data Protection Act 2018, versie B1.0, in werking getreden op 21 maart 2022.

“Subverwerkerspagina” betekent https://fastcomments.com/dpa/sub-processors.

“Ingangsdatum” betekent de datum waarop de Verwerkingsverantwoordelijke de Hoofdovereenkomst voor het eerst heeft aanvaard, dan wel de datum waarop deze Overeenkomst wordt medeondertekend, indien deze eerder valt.

De begrippen “verwerkingsverantwoordelijke”, “verwerker”, “persoonsgegevens”, “verwerking”, “inbreuk in verband met persoonsgegevens”, “betrokkene” en “toezichthoudende autoriteit” hebben de betekenis die daaraan in artikel 4 AVG wordt gegeven.

2. Reikwijdte, opname en rangorde

2.1 Deze Overeenkomst vormt een integrerend onderdeel van de Hoofdovereenkomst en is van toepassing op iedere verwerking van Persoonsgegevens van de Klant door de Verwerker.

2.2 Deze Overeenkomst vervangt alle eerdere afspraken tussen de partijen over de verwerking van persoonsgegevens.

2.3 Bij strijdigheid tussen deze Overeenkomst en de Hoofdovereenkomst, met inbegrip van de Servicevoorwaarden en het Privacybeleid, prevaleert deze Overeenkomst ten aanzien van de verwerking van Persoonsgegevens van de Klant. Bij strijdigheid tussen deze Overeenkomst en de SCC's prevaleren de SCC's.

2.4 De Bijlagen en Aanhangsels vormen een integrerend onderdeel van deze Overeenkomst.

3. Rollen van de partijen

3.1 Ten aanzien van de Persoonsgegevens van de Klant is de Klant de verwerkingsverantwoordelijke en is WinrickLabs LLC de verwerker.

3.2 Ten aanzien van de Accountgegevens treedt WinrickLabs LLC op als zelfstandig verwerkingsverantwoordelijke. Die verwerking wordt beheerst door het Privacybeleid en niet door deze Overeenkomst.

3.3 Indien de Verwerkingsverantwoordelijke zelf verwerker is die optreedt voor een derde verwerkingsverantwoordelijke, garandeert hij dat hij bevoegd is de Verwerker als subverwerker in te schakelen; deze Overeenkomst is in dat geval mutatis mutandis van toepassing, waarbij Module Drie van de SCC's in de plaats treedt van Module Twee.

3.4 Indien de Verwerker het doel en de middelen van de verwerking van Persoonsgegevens van de Klant bepaalt, is hij ten aanzien van die verwerking verwerkingsverantwoordelijke in de zin van artikel 28, lid 10, AVG.

4. Verwerking op gedocumenteerde instructies

4.1 De Verwerker verwerkt Persoonsgegevens van de Klant uitsluitend op gedocumenteerde instructies van de Verwerkingsverantwoordelijke, ook ten aanzien van doorgiften aan een derde land. Deze Overeenkomst, de Hoofdovereenkomst, de documentatie van de Dienst en het gebruik door de Verwerkingsverantwoordelijke van de door de Dienst geboden configuratiemogelijkheden vormen tezamen de volledige gedocumenteerde instructies van de Verwerkingsverantwoordelijke.

4.2 De Verwerker verkoopt Persoonsgegevens van de Klant niet, verstrekt deze niet anders dan volgens instructie of wanneer de wet dat vereist, en gebruikt deze voor geen ander doel dan het leveren van de Dienst. De Verwerker gebruikt Persoonsgegevens van de Klant niet voor de ontwikkeling, de training, de verfijning of de evaluatie van modellen voor machinaal leren of kunstmatige intelligentie, en verlangt hetzelfde van iedere Subverwerker die deze gegevens ontvangt voor geautomatiseerde classificatie of moderatie.

4.3 Indien Unierechtelijke bepalingen, het recht van een lidstaat, het recht van het Verenigd Koninkrijk of ander toepasselijk recht de Verwerker verplichten Persoonsgegevens van de Klant anders dan op instructie van de Verwerkingsverantwoordelijke te verwerken, stelt de Verwerker de Verwerkingsverantwoordelijke vóór de verwerking in kennis van dat wettelijke voorschrift, tenzij dat recht deze kennisgeving verbiedt om gewichtige redenen van algemeen belang.

4.4 De Verwerker stelt de Verwerkingsverantwoordelijke onmiddellijk in kennis indien een instructie naar zijn oordeel inbreuk maakt op de Gegevensbeschermingswetgeving, en kan de uitvoering van de betrokken instructie opschorten totdat de partijen de zaak hebben opgelost.

5. Verplichtingen en garanties van de Verwerkingsverantwoordelijke

5.1 De Verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking van de Persoonsgegevens van de Klant en is verantwoordelijk voor de rechtmatigheid van die verwerking.

5.2 De Verwerkingsverantwoordelijke garandeert dat hij een geldige rechtsgrondslag voor de verwerking heeft vastgesteld, dat hij alle op grond van de artikelen 12 tot en met 14 AVG vereiste informatie aan de betrokkenen heeft verstrekt en dat hij alle toestemmingen heeft verkregen die vereist zijn voor de verwerking en voor het plaatsen van cookies of vergelijkbare technologieën door de Dienst.

5.3 De Verwerkingsverantwoordelijke is verantwoordelijk voor de inhoud die zijn eindgebruikers via de Dienst aanleveren en voor zijn eigen moderatiebeslissingen.

5.4 De Dienst is niet ontworpen voor de verwerking van bijzondere categorieën van persoonsgegevens in de zin van artikel 9 AVG of van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten in de zin van artikel 10 AVG. De Verwerkingsverantwoordelijke instrueert zijn eindgebruikers dienovereenkomstig en levert dergelijke gegevens niet bewust aan de Dienst aan.

6. Vertrouwelijkheid van het personeel

6.1 De toegang tot Persoonsgegevens van de Klant is beperkt tot die personen die deze nodig hebben voor de uitvoering van de Hoofdovereenkomst. Op 5 augustus 2026 heeft geen enkele opdrachtnemer toegang tot Persoonsgegevens van de Klant.

6.2 Iedere persoon die gemachtigd is Persoonsgegevens van de Klant te verwerken, is gebonden aan een geheimhoudingsplicht die het einde van zijn werkzaamheden overleeft. Voordat een opdrachtnemer toegang tot Persoonsgegevens van de Klant wordt verleend, verlangt de Verwerker een schriftelijke geheimhoudingsverklaring op voorwaarden die niet minder beschermend zijn dan dit artikel.

7. Beveiliging van de verwerking

7.1 De Verwerker treft en handhaaft de technische en organisatorische maatregelen die zijn beschreven in Bijlage II, rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard, de omvang, de context en het doel van de verwerking en het risico voor de rechten en vrijheden van natuurlijke personen.

7.2 De Verwerker mag die maatregelen actualiseren, mits het algehele beveiligingsniveau daardoor niet wordt verlaagd. Wezenlijke wijzigingen worden op deze pagina gepubliceerd.

7.3 De Verwerkingsverantwoordelijke is verantwoordelijk voor de beoordeling of die maatregelen aansluiten bij zijn eigen risicoprofiel, en voor een veilige configuratie van de Dienst, met inbegrip van zijn bewaarinstellingen, zijn moderatie-instellingen, zijn instelling voor de-anonimisering van IP-adressen en het beheer van zijn ondertekeningssleutels voor single sign-on.

8. Subverwerkers

8.1 De Verwerkingsverantwoordelijke verleent de Verwerker een algemene schriftelijke toestemming in de zin van artikel 28, lid 2, AVG om de in Bijlage III opgenomen Subverwerkers in te schakelen, alsmede om verdere Subverwerkers in te schakelen met inachtneming van dit artikel. De Subverwerkerspagina is de gezaghebbende actuele lijst en is, waar deze afwijkt van Bijlage III, bepalend.

8.2 De Verwerker stelt de Verwerkingsverantwoordelijke ten minste 30 dagen van tevoren in kennis voordat een nieuwe Subverwerker begint met de verwerking van Persoonsgegevens van de Klant, of voordat de rol van een bestaande Subverwerker wezenlijk verandert. De kennisgeving geschiedt per e-mail aan de accountbeheerder en aan ieder privacycontact dat in de FastComments-beheerconsole is aangewezen, alsmede door publicatie op de Subverwerkerspagina met vermelding van de ingangsdatum. Voor de ontvangst van die kennisgeving is geen aanmelding voor een mailinglijst of opt-in vereist.

8.3 Indien een wijziging met spoed moet worden doorgevoerd om de beveiliging, de integriteit of de continuïteit van de Dienst te waarborgen, mede indien een bestaande Subverwerker de betrokken dienst niet langer levert, insolvent wordt of zijn inschakeling eindigt, mag de Verwerker een vervanger inschakelen en de kennisgeving in plaats daarvan zo spoedig als redelijkerwijs mogelijk doen. Het bezwaarrecht van artikel 8.4 geldt ongewijzigd vanaf de datum van die kennisgeving.

8.4 De Verwerkingsverantwoordelijke kan bezwaar maken tegen een nieuwe Subverwerker op redelijke gronden die verband houden met gegevensbescherming, door middel van een schriftelijke kennisgeving aan privacy@fastcomments.com binnen 30 dagen na de kennisgeving op grond van artikel 8.2 of 8.3.

8.5 Na een bezwaar bespreken de partijen de zaak gedurende 30 dagen te goeder trouw en spant de Verwerker zich redelijkerwijs in om een wijziging beschikbaar te stellen waarmee de betwiste verwerking wordt vermeden. Afhankelijk van de betrokken Subverwerker kan dit inhouden dat de optionele functie die hem inschakelt wordt uitgeschakeld, dat de Dienst zo wordt geconfigureerd dat de betwiste verwerking niet plaatsvindt, of dat het account van de Verwerkingsverantwoordelijke naar de regio Europese Unie wordt overgezet, welke overzetting de Verwerker op verzoek en kosteloos uitvoert. Indien een dergelijke wijziging niet beschikbaar is, kan de Verwerkingsverantwoordelijke het betrokken deel van de Dienst, dan wel de Hoofdovereenkomst, schriftelijk opzeggen zonder vergoeding voor vroegtijdige beëindiging of andere nadelige gevolgen, en met evenredige terugbetaling van vooruitbetaalde vergoedingen voor het niet-gebruikte deel van de looptijd. Opzegging op deze grond is het exclusieve rechtsmiddel van de Verwerkingsverantwoordelijke ten aanzien van het bezwaar.

8.6 De Verwerker legt iedere Subverwerker bij schriftelijke overeenkomst verplichtingen inzake gegevensbescherming op die materieel gelijkwaardig zijn aan die in deze Overeenkomst, met inbegrip van de beveiligingsverplichtingen van artikel 32 AVG en, indien de Subverwerker buiten de Europese Economische Ruimte is gevestigd, een passend doorgifte-instrument. Indien een Subverwerker een dergelijke overeenkomst nog niet is aangegaan, wordt die Subverwerker als zodanig in Bijlage III aangeduid, samen met de verwerking die hij uitvoert, en streeft de Verwerker naar het sluiten van een overeenkomst die aan dit artikel voldoet.

8.7 De Verwerker blijft jegens de Verwerkingsverantwoordelijke volledig aansprakelijk voor de nakoming van de verplichtingen van iedere Subverwerker.

9. Bijstand bij rechten van betrokkenen

9.1 De Verwerker stelt de Verwerkingsverantwoordelijke onverwijld in kennis van ieder verzoek dat hij rechtstreeks van een betrokkene ontvangt met betrekking tot Persoonsgegevens van de Klant, en beantwoordt een dergelijk verzoek niet inhoudelijk, anders dan door de betrokkene naar de Verwerkingsverantwoordelijke te verwijzen, tenzij de Verwerkingsverantwoordelijke anders instrueert.

9.2 De Verwerker stelt de Verwerkingsverantwoordelijke onverwijld in kennis van ieder ander verzoek, iedere klacht, kennisgeving of mededeling die hij ontvangt van een toezichthoudende autoriteit of andere bevoegde toezichthouder en die betrekking heeft op de verwerking van Persoonsgegevens van de Klant, alsmede van iedere schadevordering die in verband met die verwerking wordt ingesteld.

9.3 Rekening houdend met de aard van de verwerking verleent de Verwerker de Verwerkingsverantwoordelijke, door middel van passende technische en organisatorische maatregelen en voor zover mogelijk, bijstand bij het vervullen van diens plicht om verzoeken tot uitoefening van de rechten uit hoofde van hoofdstuk III AVG te beantwoorden. De Dienst biedt de Verwerkingsverantwoordelijke functionaliteit om een eindgebruiker op te zoeken, om afzonderlijke commentaren en chatberichten te bewerken, te verwijderen of te anonimiseren, om een eindgebruiker en de aan hem verbonden inhoud te verwijderen, om de commentaar- en gebruikersgegevens die voor het account van de Verwerkingsverantwoordelijke worden bewaard te exporteren, en om in te stellen of IP-adressen in gede-anonimiseerde vorm worden opgeslagen. Voor zover die functionaliteit de Verwerkingsverantwoordelijke in staat stelt te reageren zonder tussenkomst van de Verwerker, vormt de beschikbaarheid ervan de op grond van dit artikel vereiste bijstand. De Verwerker verleent verdere bijstand tegen een redelijke vergoeding.

10. Inbreuk in verband met persoonsgegevens

10.1 De Verwerker stelt de Verwerkingsverantwoordelijke zonder onnodige vertraging, en in ieder geval binnen 48 uur, in kennis nadat hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens die Persoonsgegevens van de Klant treft.

10.2 De kennisgeving beschrijft, voor zover op dat moment bekend: de aard van de inbreuk, waar mogelijk met vermelding van de categorieën en het geschatte aantal betrokkenen en van de categorieën en het geschatte aantal getroffen gegevensrecords; de waarschijnlijke gevolgen van de inbreuk; de maatregelen die zijn getroffen of worden voorgesteld om de inbreuk aan te pakken, met inbegrip van maatregelen ter beperking van de mogelijke nadelige gevolgen daarvan; en een contactpunt waar meer informatie kan worden verkregen. Voor zover de informatie niet in één keer beschikbaar is, wordt zij in fasen verstrekt naarmate zij beschikbaar komt.

10.3 De Verwerker verleent de Verwerkingsverantwoordelijke redelijke medewerking en bijstand met betrekking tot diens eigen verplichtingen uit hoofde van de artikelen 33 en 34 AVG.

10.4 Een kennisgeving op grond van dit artikel houdt geen erkenning van schuld of aansprakelijkheid in.

11. Gegevensbeschermingseffectbeoordelingen

Rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie verleent de Verwerker de Verwerkingsverantwoordelijke redelijke bijstand bij gegevensbeschermingseffectbeoordelingen op grond van artikel 35 AVG en bij de voorafgaande raadpleging van een toezichthoudende autoriteit op grond van artikel 36 AVG, hoofdzakelijk door Bijlage II, de Subverwerkerspagina, de informatie over doorgiften in artikel 14 en schriftelijke antwoorden op redelijke vragen beschikbaar te stellen. Verdergaande bijstand wordt verleend tegen een redelijke vergoeding.

12. Wissing en teruggave van Persoonsgegevens van de Klant

12.1 Naar keuze van de Verwerkingsverantwoordelijke wist de Verwerker alle Persoonsgegevens van de Klant na afloop van de verlening van de Dienst, of geeft hij deze terug, en verwijdert hij bestaande kopieën met inachtneming van artikel 12.3, tenzij Unierechtelijke bepalingen, het recht van een lidstaat of ander toepasselijk recht verdere opslag voorschrijven.

12.2 De Verwerkingsverantwoordelijke deelt zijn keuze schriftelijk mee vóór, of binnen 30 dagen na, het einde van de verlening van de Dienst. De Verwerkingsverantwoordelijke kan zijn gegevens gedurende die periode exporteren met de exportfunctionaliteit van de Dienst. Bij het uitblijven van een keuze binnen die periode gaat de Verwerker over tot wissing.

12.3 Wissing uit de productiesystemen en de replica's daarvan vindt plaats binnen 30 dagen na de keuze of na het verstrijken van de termijn van artikel 12.2. Restkopieën in roterende back-ups worden gewist zodra de back-up waarin zij voorkomen in het normale verloop van de rotatiecyclus wordt overschreven, en in ieder geval binnen twaalf maanden. Tot dat moment blijven die kopieën versleuteld in rust, worden zij niet actief verwerkt en worden zij niet voor enig ander doel dan noodherstel gebruikt.

12.4 Afzonderlijke gegevensrecords worden reeds vóór het einde van de Dienst gewist op instructie van de Verwerkingsverantwoordelijke of van een betrokkene, met gebruikmaking van de in artikel 9.3 beschreven functionaliteit.

13. Audits en het aantonen van naleving

13.1 De Verwerker stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen, en maakt audits, waaronder inspecties, door de Verwerkingsverantwoordelijke of een door hem gemachtigde controleur mogelijk en draagt daaraan bij. De artikelen 13.2 tot en met 13.5 beschrijven hoe dat recht in de praktijk wordt uitgeoefend.

13.2 Informatie op verzoek. Op schriftelijk verzoek van de Verwerkingsverantwoordelijke verstrekt de Verwerker kosteloos en binnen 30 dagen: Bijlage II zoals die op dat moment luidt; de actuele lijst van Subverwerkers; een ingevuld exemplaar van de standaardvragenlijst beveiliging van de Verwerker; een samenvatting van de resultaten van zijn meest recente beveiligingstest; en schriftelijke antwoorden op redelijke schriftelijke vragen over de verwerking van persoonsgegevens die namens die Verwerkingsverantwoordelijke wordt verricht. Dit is eenmaal per periode van twaalf maanden beschikbaar, en daarnaast na een inbreuk in verband met persoonsgegevens die persoonsgegevens treft welke namens die Verwerkingsverantwoordelijke worden verwerkt, of wanneer een toezichthoudende autoriteit dat verlangt.

13.3 Auditgesprek. Indien de Verwerkingsverantwoordelijke redelijkerwijs aantoont dat de op grond van artikel 13.2 verstrekte informatie ontoereikend is om de naleving aan te tonen, dan wel na een inbreuk in verband met persoonsgegevens die persoonsgegevens treft welke namens die Verwerkingsverantwoordelijke worden verwerkt, of wanneer een toezichthoudende autoriteit dat verlangt, stelt de Verwerker de voor de verwerking verantwoordelijke persoon beschikbaar voor een auditgesprek op afstand per videoconferentie van ten hoogste vier uur, met een schriftelijke aankondiging van ten minste 30 dagen en op een in onderling overleg vastgesteld tijdstip. De Verwerkingsverantwoordelijke of de door hem gemachtigde controleur kan vragen stellen en verzoeken om specifieke maatregelen te tonen via schermdeling. Dit is eenmaal per periode van twaalf maanden kosteloos beschikbaar.

13.4 Inspectie ter plaatse. Indien een toezichthoudende autoriteit of dwingend recht dat verlangt, of indien de artikelen 13.2 en 13.3 een specifiek en gedocumenteerd nalevingsvraagstuk niet hebben opgelost, kunnen de Verwerkingsverantwoordelijke of een door hem gemachtigde onafhankelijke controleur de bedrijfsruimten en systemen van de Verwerker inspecteren met een schriftelijke aankondiging van 60 dagen, tijdens de gebruikelijke kantooruren, eenmaal per periode van twaalf maanden en op kosten van de Verwerkingsverantwoordelijke, met inbegrip van de redelijke tijdsbesteding van de Verwerker tegen een uurtarief dat vóór de inspectie aan de Verwerkingsverantwoordelijke wordt meegedeeld. De controleur mag geen concurrent van de Verwerker zijn en moet gebonden zijn aan een schriftelijke geheimhoudingsverklaring. De reikwijdte is beperkt tot systemen en documentatie die betrekking hebben op de verwerking van persoonsgegevens die namens die Verwerkingsverantwoordelijke wordt verricht. Er wordt geen toegang verleend tot persoonsgegevens van een andere klant, noch tot gedeelde infrastructuur op een wijze die de beveiliging van de gegevens van een andere klant zou aantasten, noch tot broncode anders dan door inzage onder toezicht.

13.5 WinrickLabs LLC beschikt niet over een SOC 2-rapport of een ISO/IEC 27001-certificering en verbindt zich er niet toe een van beide te verkrijgen. Indien zij tijdens de looptijd een onafhankelijk auditrapport of een certificering van een derde verkrijgt, voldoet de verstrekking van dat rapport aan de artikelen 13.2 en 13.3 ten aanzien van de onderwerpen die daarin worden behandeld.

13.6 Niets in dit artikel beperkt of doet afbreuk aan de rechten van de Verwerkingsverantwoordelijke uit hoofde van artikel 28, lid 3, onder h), AVG of clausule 8.9 van de SCC's. Indien een toezichthoudende autoriteit een audit of inspectie verlangt onder andere voorwaarden dan hierboven zijn beschreven, voldoet de Verwerker aan dat verlangen.

14. Internationale doorgiften

14.1 Waar Persoonsgegevens van de Klant worden opgeslagen

Regio Europese Unie. Accounts die worden aangemaakt op eu.fastcomments.com worden ondergebracht in de regio Europese Unie. Persoonsgegevens van de Klant van die accounts worden opgeslagen en verwerkt op infrastructuur binnen de Europese Economische Ruimte, met inbegrip van alle live replica's en alle back-upkopieën. Die gegevens worden niet gerepliceerd naar een regio buiten de Europese Economische Ruimte.

Wereldwijde regio. Voor accounts die worden aangemaakt op fastcomments.com worden Persoonsgegevens van de Klant gerepliceerd over meerdere regio's, hostingaanbieders en landen, waaronder regio's in de Verenigde Staten, teneinde de beschikbaarheid te waarborgen en gegevens dicht bij de eindgebruikers te leveren. Elke regio houdt een live replica aan in een andere regio en bij een andere hostingaanbieder.

De regio's, hostingaanbieders en landen die daarvoor gelden, zijn opgesomd in Bijlage III.

14.2 Beheer op afstand

WinrickLabs LLC is gevestigd in de Verenigde Staten. Haar personeel beheert, onderhoudt en bewaakt alle regio's, met inbegrip van de regio Europese Unie, verleent daarvoor ondersteuning en treedt daarvoor op bij incidenten, telkens door middel van toegang op afstand vanuit de Verenigde Staten. De partijen erkennen dat een dergelijke toegang op afstand een doorgifte van persoonsgegevens aan een derde land vormt in de zin van hoofdstuk V AVG, ook ten aanzien van gegevens die uitsluitend binnen de Europese Economische Ruimte worden opgeslagen. De door artikel 14.3 opgenomen SCC's zijn daarom van toepassing op alle Persoonsgegevens van de Klant die op grond van deze Overeenkomst worden verwerkt.

14.3 Modelcontractbepalingen

De SCC's, Module Twee (doorgifte van verwerkingsverantwoordelijke naar verwerker), worden door verwijzing in deze Overeenkomst opgenomen en vormen daarvan een integrerend onderdeel. De tekst ervan is gepubliceerd op https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. De Verwerkingsverantwoordelijke is de gegevensexporteur en WinrickLabs LLC is de gegevensimporteur. Voor zover artikel 3.3 van toepassing is, treedt Module Drie in de plaats daarvan.

De partijen maken de volgende keuzes in het kader van de SCC's:

De clausules 8.9, 12, 14, 15 en 16 van de SCC's gelden ongewijzigd. De artikelen 13 en 15 van deze Overeenkomst beschrijven hoe die clausules in de praktijk worden uitgeoefend en beperken deze niet.

14.4 Verenigd Koninkrijk

Voor doorgiften die onder de UK-AVG vallen, wordt het UK-Addendum door verwijzing opgenomen en is het van toepassing op de op grond van artikel 14.3 opgenomen SCC's. De tabellen ervan zijn ingevuld in Aanhangsel 1.

14.5 Zwitserland

Voor doorgiften die onder de FADP vallen, gelden de SCC's zoals gewijzigd door Aanhangsel 2.

14.6 Effectbeoordeling van de doorgifte

De partijen hebben, gelet op de omstandigheden van de doorgifte, de wetgeving en praktijken van de Verenigde Staten en de toegepaste waarborgen, geen reden om aan te nemen dat de op WinrickLabs LLC toepasselijke wetgeving en praktijken haar beletten haar verplichtingen uit hoofde van de SCC's na te komen.

Omstandigheden van de doorgifte. Persoonsgegevens van de Klant bestaan overwegend uit inhoud die de Verwerkingsverantwoordelijke openbaar publiceert op zijn eigen platformen, samen met weergavenamen, optionele e-mailadressen en, standaard, gezouten cryptografische hashes van IP-adressen in plaats van de IP-adressen zelf. Er worden geen bijzondere categorieën van persoonsgegevens gevraagd of vereist. De hoeveelheid persoonsgegevens per betrokkene is door het ontwerp minimaal.

Surveillancewetgeving van de Verenigde Staten. WinrickLabs LLC is een niet-beursgenoteerde vennootschap met beperkte aansprakelijkheid. Zij heeft nooit een aanwijzing, bevel, verzoek of andere maatregel ontvangen op grond van Section 702 van de Foreign Intelligence Surveillance Act, op grond van Executive Order 12333, in de vorm van een National Security Letter, of op grond van de Clarifying Lawful Overseas Use of Data Act. Zij onderhoudt geen enkele band met enige inlichtingendienst van de Verenigde Staten en heeft nooit enige overheid rechtstreeks of indirect toegang tot Persoonsgegevens van de Klant verschaft. Zij behoort niet tot de grote communicatie- en clouddienstverleners tot wie aanwijzingen op grond van Section 702 zich in het verleden hebben gericht, en zij exploiteert geen voorziening waarop een dergelijke vergaring is toegepast.

Waarborgen. Volledige schijfversleuteling in rust op alle servers, met inbegrip van de back-upbestemmingen; TLS 1.2 of hoger voor alle gegevens tijdens de verzending; gegevenslocatie in de regio Europese Unie zonder replicatie van die gegevens buiten de Europese Economische Ruimte; opslag van IP-adressen als gezouten hashes tenzij de Verwerkingsverantwoordelijke anders kiest; meervoudige authenticatie op alle productie-, aanbieders-, domeinregistrar- en versiebeheeraccounts; toegang tot productiesystemen beperkt tot met naam genoemde personen volgens het beginsel van minimale bevoegdheid; en de toezeggingen in artikel 15 om onrechtmatige verzoeken aan te vechten, uitsluitend het strikt vereiste te verstrekken en de Verwerkingsverantwoordelijke in kennis te stellen wanneer dat juridisch is toegestaan.

Herbeoordeling. De Verwerker voert deze beoordeling ten minste jaarlijks opnieuw uit, alsmede zodra hij kennis krijgt van een wijziging in het toepasselijke recht of de toepasselijke praktijk die daarop van invloed kan zijn. Indien hij de SCC's niet langer kan naleven, stelt hij de Verwerkingsverantwoordelijke daarvan in kennis overeenkomstig de clausules 14, onder f), en 16.

14.7 Data Privacy Framework

WinrickLabs LLC is niet gecertificeerd onder het EU-US Data Privacy Framework, de UK Extension daarop of het Swiss-US Data Privacy Framework, en baseert zich niet op een adequaatheidsbesluit als doorgifte-instrument. Zij baseert zich op de SCC's.

15. Verzoeken van overheids- en rechtshandhavingsinstanties

Wanneer de Verwerker een juridisch bindend verzoek van een overheidsinstantie tot verstrekking van Persoonsgegevens van de Klant ontvangt, gaat hij als volgt te werk: hij stelt de Verwerkingsverantwoordelijke onverwijld in kennis, tenzij hem dat juridisch verboden is, en spant hij zich in dat geval redelijkerwijs in om ontheffing van dat verbod te verkrijgen; hij vecht het verzoek aan wanneer het onrechtmatig of te ruim is of in strijd is met het recht van de Europese Unie of van een lidstaat; hij verstrekt na een zorgvuldige beoordeling van het verzoek niet meer dan het strikt vereiste; en hij documenteert het verzoek en stelt die documentatie op verzoek ter beschikking van de Verwerkingsverantwoordelijke en van de bevoegde toezichthoudende autoriteit.

Op 5 augustus 2026 heeft WinrickLabs LLC geen enkel dergelijk verzoek ontvangen.

16. Register van verwerkingsactiviteiten

De Verwerker houdt een register bij van alle categorieën van verwerkingsactiviteiten die hij namens verwerkingsverantwoordelijken verricht, met de gegevens die op grond van artikel 30, lid 2, AVG vereist zijn, en stelt dat register op verzoek ter beschikking van een toezichthoudende autoriteit.

17. Aansprakelijkheid

17.1 De aansprakelijkheid van elke partij op grond van deze Overeenkomst is onderworpen aan de uitsluitingen en beperkingen van aansprakelijkheid die in de Hoofdovereenkomst zijn opgenomen, voor zover die uitsluitingen en beperkingen op die partij van toepassing zijn. Diezelfde uitsluitingen en beperkingen gelden in gelijke mate voor vorderingen op grond van deze Overeenkomst en voor vorderingen op grond van de Hoofdovereenkomst. Deze Overeenkomst schept geen afzonderlijke of aanvullende beperking van aansprakelijkheid.

17.2 Artikel 17.1 beperkt of sluit het volgende niet uit: aansprakelijkheid die op grond van toepasselijk recht niet kan worden beperkt of uitgesloten; de aansprakelijkheid van een partij jegens een betrokkene uit hoofde van clausule 12 van de SCC's of artikel 82 AVG; of de verplichtingen van een partij jegens een toezichthoudende autoriteit.

17.3 De bepalingen inzake arbitrage en afstand van collectieve acties uit de Servicevoorwaarden zijn niet van toepassing op vorderingen die voortvloeien uit deze Overeenkomst of uit de SCC's.

18. Looptijd, beëindiging en voortduring

Deze Overeenkomst treedt in werking op de Ingangsdatum en blijft van kracht zolang de Verwerker Persoonsgegevens van de Klant verwerkt, ongeacht enige beëindiging van de Hoofdovereenkomst. De artikelen 6, 7, 10, 12, 13, 14, 15 en 17 blijven na beëindiging van kracht.

19. Toepasselijk recht en bevoegde rechter

19.1 Deze Overeenkomst, alsmede ieder geschil of iedere vordering die daaruit of in verband daarmee voortvloeit, met inbegrip van niet-contractuele geschillen of vorderingen, wordt beheerst door het recht van de Republiek Ierland, en de rechtbanken van Ierland zijn bevoegd. Dit artikel prevaleert boven de bepalingen van de Servicevoorwaarden inzake toepasselijk recht, forumkeuze, arbitrage en afstand van collectieve acties ten aanzien van geschillen die uit deze Overeenkomst voortvloeien.

19.2 Artikel 19.1 laat clausule 18, onder c), van de SCC's onverlet, op grond waarvan een betrokkene een procedure aanhangig kan maken in de lidstaat van zijn gewone verblijfplaats.

19.3 Voor doorgiften die onder de UK-AVG vallen, treden de bepalingen van het UK-Addendum inzake toepasselijk recht en forum in de plaats van artikel 19.1.

20. Wijzigingen van deze Overeenkomst

20.1 De Verwerker mag deze Overeenkomst actualiseren wanneer een wijziging van de Gegevensbeschermingswetgeving, een besluit van een toezichthoudende autoriteit of een rechterlijke uitspraak, een wijziging van de SCC's of het UK-Addendum, of een wijziging van de Dienst dat vereist.

20.2 De Verwerker stelt de accountbeheerder van de Verwerkingsverantwoordelijke ten minste 30 dagen voordat een wezenlijke wijziging van kracht wordt per e-mail in kennis, en publiceert de geactualiseerde Overeenkomst op deze pagina. Niet-wezenlijke wijzigingen worden van kracht bij publicatie.

20.3 Indien de Verwerkingsverantwoordelijke binnen 30 dagen na de kennisgeving op redelijke gronden van gegevensbescherming bezwaar maakt tegen een wezenlijke wijziging, bespreken de partijen de zaak te goeder trouw. Bij gebreke van overeenstemming kan de Verwerkingsverantwoordelijke de betrokken Dienst opzeggen zonder vergoeding voor vroegtijdige beëindiging of andere nadelige gevolgen, en met evenredige terugbetaling van vooruitbetaalde vergoedingen voor het niet-gebruikte deel van de looptijd.

21. Algemene bepalingen

21.1 Kennisgevingen. Kennisgevingen aan de Verwerker op grond van deze Overeenkomst worden gezonden aan privacy@fastcomments.com. Kennisgevingen aan de Verwerkingsverantwoordelijke worden gezonden aan het e-mailadres van de accountbeheerder en aan ieder privacycontact dat in de beheerconsole is aangewezen. Een per e-mail verzonden kennisgeving wordt geacht te zijn ontvangen op de eerstvolgende werkdag na verzending.

21.2 Elektronische vorm. De partijen komen overeen dat deze Overeenkomst in elektronische vorm voldoet aan artikel 28, lid 9, AVG en aan ieder vereiste dat de overeenkomst schriftelijk wordt aangegaan.

21.3 Deelbaarheid. Indien een bepaling van deze Overeenkomst ongeldig of niet-afdwingbaar wordt geacht, blijft het overige deel van kracht.

21.4 Geen afstand van recht. Het niet uitoefenen van een recht uit hoofde van deze Overeenkomst houdt geen afstand van dat recht in.

21.5 Overdracht. De Verwerker mag deze Overeenkomst overdragen aan een rechtsopvolger in verband met een fusie, een overname of de verkoop van al zijn activa of nagenoeg al zijn activa, met kennisgeving aan de Verwerkingsverantwoordelijke.

21.6 Volledige overeenkomst. Deze Overeenkomst vormt de volledige overeenkomst tussen de partijen ten aanzien van de verwerking van Persoonsgegevens van de Klant.

22. Taal

Deze Overeenkomst is opgesteld en aangegaan in de Engelse taal. Vertalingen worden uitsluitend ter informatie beschikbaar gesteld. In geval van enige tegenstrijdigheid, onduidelijkheid, strijdigheid of verschil in uitleg tussen de Engelse versie en een vertaling, prevaleert de Engelse versie en is deze voor alle doeleinden de enige gezaghebbende en bindende versie, met inbegrip van uitleg, uitvoering en de beslechting van geschillen. Namen van entiteiten, adressen, wettelijke verwijzingen en de tekst van de SCC's worden niet vertaald. Elke partij bevestigt dat zij handelt in de uitoefening van haar bedrijf en de gelegenheid heeft gehad onafhankelijk vertaal- en juridisch advies in te winnen. Dit artikel doet geen afbreuk aan de eigen verplichtingen van de Verwerkingsverantwoordelijke uit hoofde van de artikelen 12 tot en met 14 AVG om betrokkenen in duidelijke en eenvoudige taal te informeren.

23. Contactpunt en toezichtstatus

23.1 Het contactpunt voor alle aangelegenheden inzake gegevensbescherming, met inbegrip van verzoeken op grond van de artikelen 8.4, 13.2 en 13.3, is Devon Winrick, privacy@fastcomments.com, WinrickLabs LLC, 50 Iron Point Circle, Suite 140, PMB 1019, Folsom, CA 95630, United States.

23.2 WinrickLabs LLC heeft geen functionaris voor gegevensbescherming aangewezen, na te hebben beoordeeld dat niet aan de criteria van artikel 37, lid 1, AVG is voldaan.

23.3 WinrickLabs LLC beschikt niet over een certificering volgens SOC 1, SOC 2, ISO/IEC 27001, ISO/IEC 27701, FedRAMP, HITRUST, PCI DSS of CSA STAR en pretendeert daar evenmin over te beschikken. Iedere certificering waarnaar in deze Overeenkomst met betrekking tot een Subverwerker wordt verwezen, wordt gehouden door die Subverwerker ten aanzien van zijn eigen voorzieningen en diensten en is geen certificering van WinrickLabs LLC.

24. Ondertekening

Bijlage I

A. Lijst van partijen

B. Beschrijving van de doorgifte

Categorieën betrokkenen

• Eindgebruikers en bezoekers van de websites en applicaties van de Verwerkingsverantwoordelijke die commentaren of chatberichten plaatsen, bewerken, daarop reageren, daarover stemmen, daarop abonneren of daarin bij naam worden genoemd.
• Eindgebruikers die door de Dienst geleverde inhoud lezen en van wie de verbindingsmetagegevens worden verwerkt ten behoeve van beveiliging en het voorkomen van misbruik.
• Het eigen personeel van de Verwerkingsverantwoordelijke dat gebruikmaakt van de moderatie-, beheer- of API-functies van de Dienst.
• Eindgebruikers die door de Verwerkingsverantwoordelijke via single sign-on worden aangemaakt.

Categorieën persoonsgegevens

• Weergavenaam of gebruikersnaam.
• E-mailadres, indien de betrokkene of de Verwerkingsverantwoordelijke dit verstrekt. Anoniem becommentariëren wordt ondersteund.
• Avatar of profielafbeelding, of een link daarnaar.
• De inhoud van commentaren, chatberichten en reacties, alsmede alle media of bestanden die de betrokkene uploadt.
• Een gezouten cryptografische hash van het IP-adres. Indien de Verwerkingsverantwoordelijke de in artikel 7.3 beschreven instelling voor de-anonimisering inschakelt, wordt in plaats daarvan het IP-adres in zijn oorspronkelijke vorm opgeslagen.
• Stemmen, emoji-reacties, meldingen, blokkeringen en moderatiestatus.
• Tijdstempels, pagina- en discussie-identificatoren, en de user-agentreeks.
• Voorkeuren voor notificaties en abonnementen.
• Single-sign-on-identificatoren en alle verdere attributen die de Verwerkingsverantwoordelijke verkiest door te geven.
• Voor de beheerders van de Verwerkingsverantwoordelijke: naam, e-mailadres, authenticatiegegevens in gehashte vorm, sessiegegevens en IP-adressen die zijn verbonden met beheerhandelingen indien de Verwerkingsverantwoordelijke het auditlogboek heeft ingeschakeld.

Gevoelige gegevens

De Dienst is niet ontworpen voor bijzondere categorieën van persoonsgegevens en op grond van artikel 5.4 levert de Verwerkingsverantwoordelijke deze niet bewust aan en instrueert hij zijn eindgebruikers dienovereenkomstig. Indien een eindgebruiker dergelijke gegevens uit eigen beweging in vrije tekst opneemt, gelden de volgende beperkingen: versleuteling in rust; toegang beperkt tot het kleinst mogelijke aantal gemachtigde personen; geen gebruik voor een ander doel; geen profilering; geen verstrekking anders dan op instructie van de Verwerkingsverantwoordelijke of wanneer de wet dat vereist; en geen gebruik voor de ontwikkeling of de training van enig model.

Frequentie van de doorgifte

Doorlopend, op een voortdurende basis, voor de duur van de Hoofdovereenkomst.

Aard van de verwerking

Verzamelen, vastleggen, ordenen, structureren, opslaan, opvragen, raadplegen, doorzenden en openbaar tonen op de platformen van de Verwerkingsverantwoordelijke, moderatie en inhoudsfiltering, geautomatiseerde beoordeling van spam en beeldmoderatie indien de Verwerkingsverantwoordelijke deze inschakelt, bezorging van notificaties, back-up en replicatie, beperking, wissing en vernietiging.

Doel van de doorgifte en de verdere verwerking

Het leveren van de Dienst aan de Verwerkingsverantwoordelijke, de bezorging van notificaties, moderatie en het voorkomen van misbruik, beveiliging, beschikbaarheid en noodherstel, en technische ondersteuning, telkens uitsluitend op gedocumenteerde instructies van de Verwerkingsverantwoordelijke.

Bewaartermijn

Voor de duur van de Hoofdovereenkomst en daarna zoals bepaald in artikel 12. Afzonderlijke gegevensrecords worden eerder gewist op instructie van de Verwerkingsverantwoordelijke of van een betrokkene.

Doorgiften aan subverwerkers

Zoals bepaald in Bijlage III, waarin voor iedere Subverwerker het onderwerp en de aard van zijn verwerking en de duur daarvan worden vermeld, welke duur gelijk is aan de looptijd van de Hoofdovereenkomst of, voor een Subverwerker die uitsluitend door een optionele functie wordt ingeschakeld, aan de periode waarvoor de Verwerkingsverantwoordelijke die functie inschakelt.

C. Bevoegde toezichthoudende autoriteit

1. Indien de gegevensexporteur is gevestigd in een lidstaat van de Europese Unie: de toezichthoudende autoriteit van die lidstaat.
2. Indien de gegevensexporteur niet is gevestigd in een lidstaat van de Europese Unie maar op grond van artikel 3, lid 2, AVG binnen het territoriale toepassingsgebied van de AVG valt en een vertegenwoordiger op grond van artikel 27 AVG heeft aangewezen: de toezichthoudende autoriteit van de lidstaat waar die vertegenwoordiger is gevestigd.
3. Indien de gegevensexporteur niet is gevestigd in een lidstaat van de Europese Unie en geen vertegenwoordiger op grond van artikel 27 AVG heeft aangewezen: de Data Protection Commission of Ireland.
4. Voor doorgiften die onder de UK-AVG vallen: het Information Commissioner's Office.
5. Voor doorgiften die onder de FADP vallen: de Federal Data Protection and Information Commissioner.

Bijlage II - Technische en organisatorische maatregelen

De onderstaande maatregelen zijn de maatregelen die door WinrickLabs LLC zijn getroffen. Maatregelen die worden beschreven als geldend voor een datacentrum of voor het platform van een Subverwerker, worden door die Subverwerker getroffen ten aanzien van zijn eigen voorzieningen.

1. Pseudonimisering en versleuteling van persoonsgegevens

• Op alle servers, met inbegrip van de servers met back-upkopieën, wordt volledige schijfversleuteling in rust toegepast.
• Alle gegevens tijdens de verzending worden beschermd door TLS versie 1.2 of hoger.
• IP-adressen worden opgeslagen als gezouten cryptografische hashes. Het oorspronkelijke IP-adres wordt uitsluitend opgeslagen indien de Verwerkingsverantwoordelijke de instelling voor de-anonimisering voor zijn eigen account inschakelt. Een gezouten hash van een IP-adres blijft een persoonsgegeven en wordt op grond van deze Overeenkomst als zodanig behandeld.
• Authenticatiegegevens van beheeraccounts worden opgeslagen als gezouten hashes en nooit in herleidbare vorm.

2. Vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van verwerkingssystemen

• De Dienst wordt uitgerold over meerdere regio's en meerdere hostingaanbieders.
• Elke regio houdt een live replica aan in een andere regio en bij een andere hostingaanbieder.
• Gegevens van tenants worden op iedere laag van de applicatie en het datamodel logisch gescheiden op basis van de tenantidentificator.
• Productiehosts zijn beschermd door firewalls en productienetwerken zijn gescheiden van alle andere omgevingen.

3. Herstel van de beschikbaarheid van en de toegang tot gegevens na een incident

• Back-upkopieën worden gemaakt in dagelijkse, maandelijkse en jaarlijkse cycli. Zij worden weggeschreven naar versleutelde volumes, verzonden via TLS en bewaard zowel bij een andere hostingaanbieder dan die de live gegevens houdt als bij een onafhankelijke aanbieder van objectopslag.
• Back-upkopieën van gegevens van de regio Europese Unie worden uitsluitend binnen de Europese Economische Ruimte bewaard.
• De herstelprocedure is gedocumenteerd en er wordt ten minste eenmaal per jaar een herstel uitgevoerd en geverifieerd.

4. Regelmatige toetsing, beoordeling en evaluatie van de doeltreffendheid

• Onafhankelijke penetratietests door derden worden ten minste eenmaal per jaar uitgevoerd.
• Geautomatiseerde scans op afhankelijkheden en kwetsbaarheden lopen doorlopend tegen de productiecodebasis.
• Alle wijzigingen in de productiecode worden vóór uitrol onderworpen aan een beveiligingsgerichte beoordeling.

5. Gebruikersidentificatie en autorisatie

• De toegang tot productiesystemen die Persoonsgegevens van de Klant bevatten, is beperkt tot met naam genoemde personen met een gedocumenteerde operationele noodzaak.
• Er worden overal individuele accounts op naam gebruikt. Gedeelde inloggegevens worden niet gebruikt.
• Meervoudige authenticatie wordt afgedwongen op alle productiesystemen, op alle accounts bij hosting- en dienstverleners, op het account bij de domeinregistrar en op het account voor versiebeheer.
• Toegangsrechten worden verleend volgens het beginsel van minimale bevoegdheid, herzien bij iedere personele wijziging, en onverwijld ingetrokken zodra de werkzaamheden van een persoon eindigen.

6. Bescherming van gegevens tijdens de verzending

• TLS versie 1.2 of hoger wordt afgedwongen voor de commentaar- en chatwidget, de openbare API, de beheerconsole, de bezorging van webhooks en de replicatie tussen regio's.
• HTTP Strict Transport Security is ingeschakeld. Er wordt geen onversleuteld eindpunt aangeboden.

7. Bescherming van gegevens tijdens de opslag

• Versleuteling in rust zoals beschreven in punt 1 van deze Bijlage, toegepast op productiesystemen, replica's en back-upmedia.
• De sleutels voor schijfversleuteling berusten bij WinrickLabs LLC en zijn voor geen enkele hostingaanbieder toegankelijk.

8. Fysieke beveiliging

• WinrickLabs LLC exploiteert geen eigen datacentrum. Alle productiesystemen worden gehost in voorzieningen die worden geëxploiteerd door de in Bijlage III opgenomen hosting-Subverwerkers, die voor die voorzieningen fysieke toegangscontrole, redundante stroomvoorziening, koeling en netwerkconnectiviteit verzorgen.
• Werkstations van beheerders zijn beschermd door volledige schijfversleuteling, automatische schermvergrendeling en meervoudige authenticatie.

9. Registratie van gebeurtenissen

• Beheerhandelingen en authenticatiegebeurtenissen worden gelogd.
• Logging, foutrapportage en ondersteuningstickets worden door WinrickLabs LLC op eigen infrastructuur uitgevoerd. Geen enkele logging-, fouttracering-, analyse- of helpdeskdienst van derden ontvangt Persoonsgegevens van de Klant.
• Een auditlogboek van beheerhandelingen is voor de Verwerkingsverantwoordelijke beschikbaar in de beheerconsole.

10. Systeemconfiguratie en governance

• Beveiligingspatches worden op basis van risicoprioritering toegepast, waarbij kritieke patches onverwijld worden toegepast.
• Het aantal geïnstalleerde diensten wordt beperkt tot het strikt noodzakelijke. Er worden geen standaardinloggegevens gebruikt.
• Geheimen worden buiten het versiebeheer bewaard.
• WinrickLabs LLC onderhoudt een schriftelijk incidentresponsplan dat detectie, indamming, beoordeling, kennisgeving en evaluatie achteraf omvat.
• Een contactpunt voor beveiligings- en kwetsbaarheidsmeldingen is gepubliceerd op privacy@fastcomments.com.

11. Certificering en waarborgen

WinrickLabs LLC beschikt niet over een certificering volgens SOC 1, SOC 2, ISO/IEC 27001, ISO/IEC 27701, FedRAMP, HITRUST, PCI DSS of CSA STAR, pretendeert daar evenmin over te beschikken, en verklaart niet dat zij een dergelijke certificering zal verkrijgen. Iedere certificering waarnaar in deze Overeenkomst met betrekking tot een Subverwerker wordt verwezen, wordt gehouden door die Subverwerker ten aanzien van zijn eigen voorzieningen en diensten. Betaalkaartgegevens worden door WinrickLabs LLC niet opgeslagen of verwerkt; kaartgegevens worden rechtstreeks verzameld en verwerkt door haar Subverwerker voor betalingen.

12. Minimale gegevensverwerking, juistheid en bewaring

• De Dienst vereist uitsluitend een weergavenaam. Een e-mailadres is optioneel en anoniem becommentariëren wordt ondersteund.
• IP-adressen worden standaard gepseudonimiseerd zoals beschreven in punt 1 van deze Bijlage.
• Betrokkenen en de Verwerkingsverantwoordelijke kunnen profielgegevens corrigeren en inhoud via de Dienst bewerken of verwijderen.
• De bewaartermijn is door de Verwerkingsverantwoordelijke instelbaar. De wissing bij beëindiging wordt beheerst door artikel 12 van deze Overeenkomst.

13. Overdraagbaarheid en wissing

• De beheerconsole biedt export van de commentaar- en gebruikersgegevens die voor het account van de Verwerkingsverantwoordelijke worden bewaard.
• De beheerconsole en de API bieden de mogelijkheid om afzonderlijke commentaren, afzonderlijke eindgebruikers en het volledige account van de Verwerkingsverantwoordelijke te verwijderen.

14. Maatregelen voor doorgiften aan Subverwerkers

• Iedere Subverwerker wordt ingeschakeld op grond van een schriftelijke overeenkomst die verplichtingen inzake gegevensbescherming oplegt die materieel gelijkwaardig zijn aan die in deze Overeenkomst, behoudens voor zover Bijlage III anders aangeeft.
• Iedere Subverwerker wordt vóór inschakeling beoordeeld en zijn rol wordt vastgelegd in Bijlage III en op de Subverwerkerspagina.
• Subverwerkers die worden gebruikt voor accounts van de regio Europese Unie, verwerken die gegevens binnen de Europese Economische Ruimte.

Bijlage III - Lijst van Subverwerkers

De Verwerkingsverantwoordelijke verleent algemene schriftelijke toestemming voor de inschakeling van de hieronder opgesomde Subverwerkers. De Subverwerkerspagina is de gezaghebbende actuele lijst en wordt door verwijzing in deze Overeenkomst opgenomen. De kolom “Regio” geeft aan of de Subverwerker gegevens verwerkt voor accounts van de regio Europese Unie, voor accounts van de wereldwijde regio, of voor beide.

Contractuele status van de Subverwerkers. Iedere hierboven opgesomde Subverwerker wordt ingeschakeld op grond van een schriftelijke overeenkomst waarin de gegevensverwerkingsvoorwaarden van die aanbieder zijn opgenomen, met de volgende twee uitzonderingen, die hier worden vermeld opdat de Verwerkingsverantwoordelijke deze kan beoordelen.

Deep Infra, Inc. publiceert geen verwerkersovereenkomst en geen modelcontractbepalingen, en op 5 augustus 2026 bestaat er geen dergelijke overeenkomst. WinrickLabs LLC streeft naar het sluiten daarvan. Deze Subverwerker wordt uitsluitend ingeschakeld indien de Verwerkingsverantwoordelijke de functies geautomatiseerde spamclassificatie, moderatie van beeldinhoud, moderatieagent of assistent inschakelt. Die functies zijn standaard uitgeschakeld. Indien de Verwerkingsverantwoordelijke deze niet inschakelt, worden aan deze Subverwerker op geen enkel moment Persoonsgegevens van de Klant verstrekt. Een Verwerkingsverantwoordelijke die niet wenst dat zijn gegevens door deze Subverwerker worden verwerkt, kan die functies uitgeschakeld laten of op ieder moment en kosteloos uitschakelen. Volgens de gepubliceerde voorwaarden van de aanbieder worden gegevens die aan zijn interfaces worden aangeleverd niet opgeslagen, verkocht of gebruikt om modellen te trainen. De door de Dienst gebruikte modellen worden door die aanbieder op zijn eigen infrastructuur gehost; er worden geen gegevens doorgegeven aan een verdere modelleverancier.

BrainStorm Network, Inc. publiceert geen verwerkersovereenkomst, en op 5 augustus 2026 bestaat er geen dergelijke overeenkomst. WinrickLabs LLC streeft naar het sluiten daarvan. Deze Subverwerker host uitsluitend servers in de wereldwijde regio. Persoonsgegevens van de Klant die toebehoren aan een account van de regio Europese Unie worden op geen enkel moment door deze Subverwerker verwerkt.

Leveranciers die geen Persoonsgegevens van de Klant verwerken. Stripe, LLC, Corporation Trust Center, 1209 Orange Street, Wilmington, DE 19801, United States, verwerkt de eigen facturerings- en betaalgegevens van de Verwerkingsverantwoordelijke. Dat zijn Accountgegevens in de zin van artikel 3.2, ten aanzien waarvan WinrickLabs LLC optreedt als zelfstandig verwerkingsverantwoordelijke; Stripe is daarom geen Subverwerker in de zin van deze Overeenkomst. Betaalkaartgegevens worden rechtstreeks door Stripe verzameld en verwerkt en worden niet door WinrickLabs LLC opgeslagen.

Diensten die zonder inschakeling van derden worden geleverd. Levering van inhoud, applicatielogging, foutrapportage en ondersteuningstickets worden door WinrickLabs LLC uitgevoerd op de hierboven opgesomde infrastructuur. Geen enkel content delivery network, geen enkele loggingdienst, fouttraceringsdienst, analysedienst of helpdesk van derden ontvangt Persoonsgegevens van de Klant.

Aanhangsel 1 - UK International Data Transfer Addendum

Voor doorgiften die onder de UK-AVG vallen, wordt het UK-Addendum door verwijzing opgenomen en zijn de tabellen ervan als volgt ingevuld. Voor zover de dwingende clausules van het UK-Addendum strijdig zijn met de op grond van artikel 14.3 opgenomen SCC's, prevaleert het UK-Addendum ten aanzien van die doorgiften.

In de SCC's, voor zover deze van toepassing zijn op doorgiften die onder de UK-AVG vallen, geldt het volgende: verwijzingen naar de AVG worden gelezen als verwijzingen naar de UK-AVG; verwijzingen naar Verordening (EU) 2016/679 worden gelezen als verwijzingen naar die verordening zoals overgenomen in het recht van het Verenigd Koninkrijk en naar de Data Protection Act 2018; verwijzingen naar een toezichthoudende autoriteit worden gelezen als verwijzingen naar de Information Commissioner; verwijzingen naar een lidstaat worden gelezen als verwijzingen naar het Verenigd Koninkrijk; en verwijzingen naar de Europese Economische Ruimte worden gelezen als verwijzingen naar het Verenigd Koninkrijk.

Aanhangsel 2 - Zwitserse aanpassingen

Voor zover een doorgifte onder de FADP valt, gelden de SCC's met de volgende aanpassingen.

1. De bevoegde toezichthoudende autoriteit uit hoofde van clausule 13 en Bijlage I.C is de Federal Data Protection and Information Commissioner ten aanzien van doorgiften die uitsluitend door de FADP worden beheerst. Wordt een doorgifte zowel door de FADP als door de AVG beheerst, dan is de Federal Data Protection and Information Commissioner bevoegd voor de Zwitserse aspecten en de op grond van Bijlage I.C aangewezen autoriteit voor de aspecten die de Europese Unie betreffen.
2. Verwijzingen naar de AVG worden gelezen als verwijzingen naar de FADP voor zover de doorgifte daardoor wordt beheerst, en verwijzingen naar het recht van de Europese Unie of van een lidstaat worden, voor zover van toepassing, gelezen als verwijzingen naar Zwitsers recht.
3. Het begrip “lidstaat” wordt niet zodanig uitgelegd dat betrokkenen in Zwitserland de mogelijkheid wordt ontnomen om overeenkomstig clausule 18, onder c), een procedure aanhangig te maken in hun gewone verblijfplaats.
4. De SCC's beschermen tevens de persoonsgegevens van rechtspersonen, voor zover het toepasselijke Zwitserse recht dat vereist.
5. Clausule 17 en clausule 18, onder b), gelden zoals gekozen in artikel 14.3, onverminderd punt 3 van dit Aanhangsel.