Deze verwerkersovereenkomst op grond van art. 28 AVG (DSGVO) regelt de verwerking van persoonsgegevens in opdracht van onze zakelijke klanten. Een rechtsgeldig, ondertekend exemplaar ontvang je op eenvoudig verzoek per e-mail aan info@castloop.de.
Overeenkomstpartijen
Deze verwerkersovereenkomst wordt gesloten tussen:
Verwerker:
Daniel David Ovadia — CastLoop (eenmanszaak)
Eugen-Richter-Str. 159, 76187 Karlsruhe, Duitsland
E-mail: info@castloop.de
— en de verwerkingsverantwoordelijke (CastLoop-klant, hierna: “de klant”), wiens identiteit blijkt uit het klantaccount en die bij de eerste aanvraag van dit exemplaar met naam in de considerans moet worden vermeld.
§ 1 Onderwerp & duur
Onderwerp van deze overeenkomst is de verwerking van persoonsgegevens door de verwerker in opdracht van de klant in het kader van het gebruik van de dienst “CastLoop” overeenkomstig de algemene voorwaarden tussen de partijen.
Deze verwerkersovereenkomst geldt voor de volledige duur van de hoofdovereenkomst (het SaaS-abonnement) en eindigt automatisch bij het einde daarvan.
§ 2 Instructiebevoegdheid van de klant
De verwerker verwerkt persoonsgegevens uitsluitend in het kader van de contractuele afspraken en de gedocumenteerde instructies van de klant. Is de verwerker van mening dat een instructie van de klant in strijd is met de privacywetgeving, dan wijst hij de klant daarop.
Instructies worden in de regel elektronisch gedocumenteerd via (a) de instellingen in het SaaS-dashboard, (b) de contractuele grondslagen (algemene voorwaarden, verwerkersovereenkomst) en (c) ad-hocinstructies per e-mail aan info@castloop.de.
§ 3 Aard en doel van de verwerking
De verwerker verwerkt persoonsgegevens met als doel de SaaS-dienst “CastLoop” te leveren (Content Autopilot voor social-mediapublicatie). Concreet omvat dit met name:
- downloaden en opslaan van YouTube-, podcast-, Twitch- en Kick-broninhoud en van geüploade bestanden die de klant ter verwerking aanlevert;
- geautomatiseerde transcriptie en AI-ondersteunde analyse;
- het maken van clipvarianten met geanimeerde ondertitels;
- publicatie van de clips op de door de klant gekoppelde social-media-accounts (YouTube, Instagram, Facebook, TikTok, LinkedIn, X, Threads, Bluesky, Mastodon, Tumblr, Telegram, Vimeo) in opdracht van de klant;
- opslag van autorisatietokens, metadata en analytics-gegevens om de dienst te leveren.
§ 4 Plaats van verwerking
De verwerking vindt primair plaats op servers van IONOS SE in Duitsland (EU). Voor de doorgiften naar derde landen die bij multiplatformposten onvermijdelijk zijn (X, Meta, TikTok-concern, Bluesky, Tumblr, Telegram, Twitch, Kick, Vimeo), zie § 13.
§ 5 Categorieën betrokkenen en gegevens
Categorieën betrokkenen:
- de klant zelf als natuurlijke persoon (voor zover eenmanszaak);
- medewerkers / gemachtigden van de klant die in het klantaccount werken;
- personen die voorkomen in de door de klant aangeleverde inhoud (video’s, podcasts) of daarin hoorbaar of zichtbaar herkenbaar zijn (bijv. interviewgasten);
- eindgebruikers / kijkers van de gepubliceerde clips, voor zover engagementgegevens (weergaven, likes, reacties) door de platforms worden teruggekoppeld.
Categorieën persoonsgegevens:
- basisgegevens (naam, e-mail, bedrijf, factuuradres);
- gebruiksgegevens (inlogtijden, IP-hashes, sessietokens);
- inhoudsgegevens (audio, video, transcripten, ondertitels, metadata);
- OAuth-toegangstokens van de gekoppelde social-media-accounts (versleuteld met AES-256-GCM);
- prestatiegegevens (impressies, weergaven, bereik — geaggregeerd door de platforms).
§ 6 Technische en organisatorische maatregelen (TOM)
De verwerker neemt de technische en organisatorische maatregelen die art. 32 AVG vereist. Een gedetailleerde lijst staat in de aparte TOM-bijlage, die als bijlage 1 bij deze verwerkersovereenkomst deel uitmaakt van deze overeenkomst. De TOM worden regelmatig getoetst en zo nodig aangepast aan de stand van de techniek.
§ 7 Subverwerkers (onderverwerkers)
De klant stemt bij het sluiten van de overeenkomst in met de inzet van de volgende subverwerkers:
| Subverwerker | Vestigingsplaats | Doel |
|---|---|---|
| IONOS SE | Montabaur, DE (EU) | Hosting, SMTP-relay, back-ups via VM-snapshots |
| Google Ireland Ltd. | Dublin, IE (EU) | YouTube Data API, inloggen met Google |
| Mollie B.V. | Amsterdam, NL (EU) | Betalingsverwerking (zelfstandig verwerkingsverantwoordelijke op grond van § 9 lid 3 KWG) |
| Microsoft Ireland Operations Ltd. | Dublin, IE (EU) | SSO (Sign in with Microsoft) |
| Apple Distribution International Ltd. | Cork, IE (EU) | SSO (Sign in with Apple) |
| Meta Platforms Ireland Ltd. | Dublin, IE (EU) | Publicaties op Instagram, Facebook en Threads (in opdracht van de klant) |
| TikTok Technology Ltd. | Dublin, IE (EU) | Publicaties op TikTok |
| LinkedIn Ireland Unlimited Company | Dublin, IE (EU) | Publicaties op LinkedIn |
| X Corp. | San Francisco, VS (derde land!) | Publicaties op X/Twitter, gewaarborgd door SCC 2021/914 |
| Bluesky Social, PBC | Seattle, VS (derde land!) | Publicaties op Bluesky, gewaarborgd door SCC 2021/914 |
| Beheerder van de door de klant gekozen Mastodon-instantie | afhankelijk van de instantie (mastodon.social: DE, EU) | Publicaties op Mastodon (in opdracht van de klant) |
| Tumblr, Inc. (Automattic-groep) | San Francisco, VS (derde land!) | Publicaties op Tumblr, gewaarborgd door SCC 2021/914 |
| Telegram FZ-LLC | Dubai, VAE (derde land!) | Publicaties op Telegram, gewaarborgd door SCC 2021/914 |
| Twitch Interactive, Inc. | San Francisco, VS (derde land!) | Leestoegang tot het gekoppelde Twitch-kanaal als bron, gewaarborgd door SCC 2021/914 |
| Kick Streaming Pty Ltd | Melbourne, Australië (derde land!) | Leestoegang tot het gekoppelde Kick-kanaal als bron, gewaarborgd door SCC 2021/914 |
| Vimeo.com, Inc. | New York, VS (derde land!) | Publicaties op Vimeo, gewaarborgd door SCC 2021/914 |
De verwerker informeert de klant ten minste 30 dagen voor een voorgenomen wijziging of de inschakeling van andere subverwerkers. De klant kan bezwaar maken tegen de inzet; bij een gegrond privacyrechtelijk bezwaar zijn beide partijen gerechtigd de hoofdovereenkomst buitengewoon op te zeggen.
§ 8 Ondersteuningsplichten
De verwerker ondersteunt de klant bij de nakoming van zijn verplichtingen op grond van art. 12 e.v. AVG (rechten van betrokkenen), art. 33/34 AVG (inbreuk op de beveiliging van persoonsgegevens), art. 35 AVG (gegevensbeschermingseffectbeoordeling) en art. 36 AVG (voorafgaande raadpleging).
§ 9 Meldplicht bij inbreuken op persoonsgegevens
De verwerker meldt de klant elke hem bekend geworden inbreuk op de beveiliging van persoonsgegevens in de zin van art. 4, punt 12 AVG die persoonsgegevens van de klant betreft, onverwijld, uiterlijk binnen 48 uur na kennisneming, per e-mail. De melding bevat de in art. 33 lid 3 AVG genoemde gegevens, voor zover bekend bij de verwerker.
§ 10 Controle- en informatierechten
De klant heeft het recht om de naleving van deze verwerkersovereenkomst en van de geldende privacyvoorschriften door de verwerker te controleren. De controle kan naar keuze plaatsvinden door (a) schriftelijke informatie over concrete vragen, (b) overlegging van actuele certificaten / auditrapporten (voor zover beschikbaar), of (c) — bij gegronde aanleiding — een controle ter plaatse na redelijke aankondiging (in de regel ten minste 14 dagen, buiten kantooruren, op kosten van de klant).
§ 11 Geheimhouding
De verwerker verbindt zich ertoe alle persoonsgegevens die hem in het kader van deze verwerkersovereenkomst bekend worden vertrouwelijk te behandelen. De voor de verwerking ingezette personen zijn op grond van art. 28 lid 3 sub b AVG, § 203 StGB (waar van toepassing) en een overeenkomstige contractuele verplichting tot vertrouwelijkheid gehouden.
§ 12 Verwijdering / teruggave na afloop van de overeenkomst
Na beëindiging van de hoofdovereenkomst worden op instructie van de klant alle persoonsgegevens ofwel teruggegeven ofwel verwijderd. De standaardoptie is verwijdering na 30 dagen uit de productiedatabase en uit de versleutelde back-ups bij de periodieke verwijdering daarvan, uiterlijk 13 maanden na de verwijdering uit de productiedatabase (dagelijkse back-ups 14 dagen, wekelijkse 8 weken, maandelijkse 12 maanden; zie TOM), voor zover geen wettelijke bewaarplichten (met name § 257 HGB, § 147 AO voor facturen) zich daartegen verzetten.
§ 13 Doorgiften naar derde landen
Een doorgifte van persoonsgegevens naar derde landen vindt alleen plaats voor zover dat voor de uitvoering van de overeenkomst onvermijdelijk is — concreet met name aan X Corp. (VS), Bluesky Social, PBC (VS), Tumblr, Inc. (VS), Telegram FZ-LLC (VAE), Twitch Interactive, Inc. (VS), Kick Streaming Pty Ltd (Australië) en Vimeo.com, Inc. (VS) en aan de Amerikaanse moederondernemingen van de in de EU gevestigde subverwerkers (Google, Meta, Microsoft, Apple, TikTok), voor zover deze binnen het concern gegevens doorgeven. De waarborgen berusten op de EU-standaardcontractbepalingen volgens Uitvoeringsbesluit (EU) 2021/914 van de Commissie en — waar van toepassing — aanvullende technische en organisatorische maatregelen.
§ 14 Aansprakelijkheid
De aansprakelijkheid wordt bepaald door de regels van de hoofdovereenkomst (algemene voorwaarden § 10). Art. 82 AVG blijft onverlet.
§ 15 Slotbepalingen
Wijzigingen en aanvullingen op deze verwerkersovereenkomst vereisen tekstvorm. Mochten afzonderlijke bepalingen ongeldig zijn of worden, dan blijft de geldigheid van de overige bepalingen onverlet. Het Duitse recht is van toepassing; bevoegd is — voor zover wettelijk toegestaan — de rechter van de vestigingsplaats van de verwerker (Karlsruhe).