1. Partijen en reikwijdte
Deze overeenkomst is tussen u (de workspace-eigenaar, hier de klant genoemd) en A Plus Apps, ingeschreven bij de Nederlandse Kamer van Koophandel (KVK) onder nummer 42117052 en gevestigd in Nederland, die de PollsLive-dienst exploiteert. Zij regelt onze verwerking van persoonsgegevens namens u en prevaleert boven enig andersluidend in de Algemene voorwaarden op dat onderwerp. Niets daarin vermindert een recht dat je onder de AVG heeft.
2. Wie is verantwoordelijke, wie is verwerker
Voor de content en antwoorden binnen je workspace (de vragen die u schrijft, de stemmen en open-tekstantwoorden die je deelnemers indienen, de bijnamen die zij kiezen, en eventuele leadcapture-velden die u inschakelt) bent u de verwerkingsverantwoordelijke en zijn wij de verwerker. U bepaalt wat je vraagt, wie u vraagt, en hoe lang u het bewaart. Deze overeenkomst dekt die verwerking.
Voor uw eigen account (je naam, e-mail, workspace, factureringsstatus en supportgeschiedenis) zijn wij de verwerkingsverantwoordelijke, en geldt ons Privacybeleid daarvoor in plaats van deze overeenkomst. De scheiding is dezelfde als in artikel 2 van dat beleid.
Waar een school, werkgever of andere instelling sessies met PollsLive draait, is die instelling de verwerkingsverantwoordelijke voor de klas- of werkplekactiviteit en loopt deze overeenkomst tot haar.
3. Onderwerp, duur, aard en doel
Onderwerp en doel. Het leveren van de PollsLive-dienst: hosten van polls, enquêtes en live sessies, verzamelen en tellen van antwoorden in realtime, presenteren van resultaten, en produceren van exports en samenvattingen op je verzoek.
Aard van de verwerking. Verzameling, vastlegging, opslag, structurering, raadpleging, weergave, export en wissing, langs geautomatiseerde weg. Waar u onze AI-functies gebruikt, omvat dit ook doorgifte aan de AI-verwerker die op onze pagina Subverwerkers staat. Let op dat het uitvoeren van een AI-antwoorddigest de open-tekstantwoorden van je deelnemers voor die poll meestuurt.
Duur. Zolang je workspace bestaat, en daarna alleen voor de periode beschreven in artikel 10.
Categorieën van betrokkenen. Je deelnemers en respondenten, de leden die u uitnodigt tot je workspace, en eventuele personen die in de content die u uploadt zijn geïdentificeerd.
Soorten persoonsgegevens. Antwoorden op je vragen, inclusief vrije tekst; bijnamen of weergavenamen die deelnemers invoeren; eventuele contact- of leadcapture-velden die u kiest te verzamelen; namen en e-mailadressen van workspace-leden; en technische gegevens om dubbel stemmen te voorkomen, namelijk een gepseudonimiseerde eenrichtingswaarde en geen opgeslagen adres. Wij vragen u niet om gegevens van bijzondere categorieën onder artikel 9, en de dienst is niet ontworpen om die te bewaren. Als je vragen die uitlokken, blijft u de verwerkingsverantwoordelijke voor die beslissing.
4. Verwerking op gedocumenteerde instructies
Wij verwerken persoonsgegevens alleen op je gedocumenteerde instructies, inclusief ten aanzien van internationale doorgiften. Je gebruik van de dienst (de polls die u maakt, de instellingen die u kiest, de exports die u uitvoert) vormen die instructies, samen met deze overeenkomst en de Voorwaarden. Als EU- of lidstaatwet ons verplicht op een andere basis te verwerken, laten we u dat weten voordat we dat doen tenzij die wet de kennisgeving verbiedt. Als we geloven dat een instructie het gegevensbeschermingsrecht schendt, laten we u dat weten.
5. Vertrouwelijkheid
Toegang tot productiesystemen is beperkt tot de mensen die die nodig hebben om de dienst te exploiteren en te supporten, en zij zijn gebonden aan geheimhoudingsverplichtingen die het einde van hun betrokkenheid overleven. Wij lezen workspacecontent niet behalve waar dat nodig is om support te bieden die je hebt gevraagd, een misbruikmelding te onderzoeken, of waar de wet dat vereist.
6. Beveiligingsmaatregelen (artikel 32)
De technische en organisatorische maatregelen die vandaag van kracht zijn. Ze worden dieper beschreven op onze pagina Beveiliging; deze lijst is waar wij contractueel toe verbonden zijn, en wij mogen een specifieke maatregel wijzigen mits het algehele beschermingsniveau niet wordt verminderd.
- Versleuteling onderweg. Al het verkeer wordt over TLS geserveerd, beëindigd bij ons CDN, met HTTP Strict Transport Security afgedwongen.
- Opslag van inloggegevens. Wachtwoorden worden beschermd met eenrichtingsopslag volgens de industriestandaard. Wij bewaren nooit een herstelbare kopie.
- Gegevensminimalisatie bij misbruikpreventie. Technische identificatoren die worden gebruikt om misbruik te voorkomen, worden geminimaliseerd, beschermd en alleen bewaard zolang dat nodig is voor het betreffende beveiligingsdoel.
- Infrastructuurbeveiliging. Dienstgegevens worden gehost in de Europese Unie, met gelaagde netwerk- en toegangscontroles.
- Toegangscontrole. Toegang tot workspaces is rolgebaseerd, beheeracties worden geaudit, en productietoegang is beperkt tot bevoegd personeel.
- Applicatiehardening. Wij gebruiken browserbeveiligingsmaatregelen, verzoeklimieten, geautomatiseerde misbruikpreventie en beveiligingsmonitoring die passen bij de dienst.
- Uploadveiligheid. Afbeeldingen worden bij ontvangst opnieuw gecodeerd, wat ingebedde metadata en alles wat geen beelddata is verwijdert; onveilige bestandstypen worden geweigerd.
- Veerkracht. Backups draaien volgens schema, worden op een andere locatie bewaard, en worden restore-getest in plaats van aangenomen. Bewaarlimieten worden gehandhaafd door een geplande taak in plaats van aspiratief gelaten.
- Beschikbaarheid van je gegevens voor u. Workspace-eigenaren kunnen hun gegevens exporteren en hun account wissen zonder ons te vragen, zodat geen van beide van onze responstijd afhangt.
- Patching en vulnerability management. Beveiligingsupdates van het besturingssysteem worden automatisch toegepast, en de hostconfiguratie wordt regelmatig geaudit. Applicatieafhankelijkheden worden gemonitord op gepubliceerde kwetsbaarheden en doorlopend bijgewerkt.
- Opgeslagen gegevens. Toegang tot opgeslagen dienstgegevens is beperkt, en gevoelige inloggegevens gebruiken eenrichtingsbescherming.
7. Subverwerkers
U geeft algemene autorisatie om subverwerkers in te schakelen. De huidige lijst, met het doel van elke, de gegevens die die verwerkt en waar die zich bevindt, is gepubliceerd en actueel gehouden op Subverwerkers: die pagina is het schema bij deze overeenkomst in plaats van een kopie ervan, zodat die twee niet uit elkaar kunnen lopen.
Elke subverwerker is gebonden aan een schriftelijke overeenkomst die gegevensbeschermingsverplichtingen oplegt die niet minder beschermend zijn dan die in deze overeenkomst, en wij zijn jegens u voor hun prestaties aansprakelijk als voor onze eigen prestaties, binnen de aansprakelijkheidsbeperkingen van artikel 20 van onze Algemene Voorwaarden. Wanneer we van plan zijn een subverwerker toe te voegen of te vervangen, werken we die pagina ten minste 30 dagen voordat deze uw gegevens gaat verwerken bij met de wijziging en de datum waarop die ingaat, tenzij we eerder moeten handelen om de Dienst veilig of beschikbaar te houden; in dat geval werken we de pagina zo snel mogelijk bij. Elke klant kan via ons contactformulier vragen rechtstreeks over zulke wijzigingen te worden geïnformeerd, en kan vóór de ingangsdatum van de wijziging bezwaar maken op redelijke gegevensbeschermingsgronden. Als we het bezwaar niet kunnen wegnemen, mag u de betreffende dienst beëindigen en betalen we eventuele vooruitbetaalde vergoedingen voor de ongebruikte periode terug.
8. Bijstand bij rechten van betrokkenen
Rekening houdend met de aard van de verwerking, assisteren wij u met passende technische en organisatorische maatregelen bij het voldoen aan verzoeken van je deelnemers tot inzage, correctie, wissing, beperking, overdraagbaarheid of bezwaar tegen verwerking van hun gegevens. In de praktijk is het meeste hiervan self-serve: workspace-eigenaren kunnen antwoorden rechtstreeks bekijken, exporteren en verwijderen. Als een deelnemer ons contacteert over een poll die u draaide, verwijzen we hen naar u als verwerkingsverantwoordelijke en helpen we u het verzoek uit te voeren. Waar een verzoek ons bereikt en de wet ons verplicht zelf te handelen, doen we dat.
9. Melding van inbreuken en assessments
We hanteren procedures om inbreuken op persoonsgegevens te detecteren, te onderzoeken en vast te leggen. Waar een inbreuk persoonsgegevens raakt die we voor u verwerken, melden we u dat zonder onnodige vertraging, en in elk geval binnen 48 uur na kennisname, met de informatie die u nodig heeft om uw eigen artikel 33-verplichting na te komen: wat er gebeurde, de categorieën en het geschatte aantal betreffende records, de waarschijnlijke gevolgen, en de genomen maatregelen. Waar we nog niet over al die informatie beschikken, sturen we wat we hebben en vullen we dat later aan. Het melden bij uw toezichthouder blijft uw beslissing als verwerkingsverantwoordelijke.
Wij assisteren u, rekening houdend met de aard van de verwerking en de informatie die ons beschikbaar is, bij gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging onder de artikelen 35 en 36.
10. Teruggave en verwijdering
Op elk moment tijdens de dienst kunt u je workspacegegevens exporteren in een machineleesbare vorm, zodat teruggave niet van beëindiging afhangt.
Wanneer u uw account verwijdert of uw workspace sluit, verwijderen we de persoonsgegevens die we voor u verwerken, behalve waar EU- of lidstaatwet ons verplicht die te bewaren, met name factureringsrecords, die onderworpen zijn aan een Nederlandse bewaarplicht en in ons Privacybeleid worden toegelicht in plaats van verwijderd. We verwijderen de gegevens binnen 30 dagen uit onze live systemen, en ze verdwijnen uit onze backups naarmate die worden vervangen, binnen nog eens 35 dagen. Op verzoek bevestigen we de verwijdering schriftelijk.
11. Informatie en audit
Wij stellen u de informatie beschikbaar die nodig is om naleving van artikel 28 aan te tonen, en staan audits toe en dragen daaraan bij, inclusief inspecties, uitgevoerd door u of een door u gemandateerde auditor.
In eerste instantie beantwoorden we een schriftelijke beveiligingsvragenlijst en verstrekken we een schriftelijk overzicht van onze controls, data residency en reviewpraktijken, wat voor de meeste klanten de vraag zonder een bezoek ter plaatse afdoet. Waar dat echt niet volstaat, mag een audit worden uitgevoerd met redelijke kennisgeving, niet vaker dan eenmaal per jaar tenzij een inbreuk of een toezichthouder anders vereist, tijdens kantooruren, onder geheimhouding, en op een manier die de dienst voor andere klanten niet verstoort. Wij zijn een klein bedrijf: wij publiceren geen gedetailleerde auditrapporten op het openbare internet, en zeggen dat liever dan een certificering te suggereren die we niet hebben.
12. Internationale doorgiften
Onze kernapplicatie en database worden gehost in de Europese Unie. Waar een subverwerker persoonsgegevens buiten de EER kan verwerken, vindt die doorgifte plaats onder een passende waarborg van artikel 46: in de praktijk de standaardcontractbepalingen van de Europese Commissie, en waar relevant het EU-VS Data Privacy Framework. De Module Two (controller-to-processor)-clausules zijn in deze overeenkomst door verwijzing opgenomen voor elke dergelijke doorgifte, waarbij de Bijlagen van deze overeenkomst worden geleverd door de artikelen 3, 6 en 7 hierboven.
13. Een ondertekend exemplaar krijgen
Deze overeenkomst is al van kracht voor je workspace; er is geen handtekening nodig om die te laten gelden. Als je inkoop- of juridisch team een medeondertekende PDF nodig heeft, of die op je eigen papier uitgevoerd wil zien, mail support@pollslive.com of gebruik ons contactformulier en kies "Privacy / GDPR". Vragen over het bovenstaande gaan naar dezelfde plek.