Verwerkersovereenkomst

Bijgewerkt: 10 november 2026

Overeenkomst inzake gegevensverwerking

Bijgewerkt: 17 december 2025

PARTIJEN EN ACHTERGROND

(A) De klant (“Klant”) heeft een overeenkomst gesloten met Klaviyo, Inc. (“Klaviyo”) (elk een “Partij” en gezamenlijk de “Partijen”), waarbij Klaviyo ermee heeft ingestemd de Diensten te leveren in overeenstemming met die overeenkomst (de “Overeenkomst”). Deze overeenkomst inzake gegevensverwerking (de „Verwerkersovereenkomst“) is opgenomen in en maakt deel uit van de Overeenkomst en treedt in werking op de ingangsdatum van de Overeenkomst, met dien verstande dat voor klanten die een Overeenkomst hebben gesloten vóór de hierboven vermelde bijwerkingsdatum van de Verwerkersovereenkomst, de Verwerkersovereenkomst in werking treedt op de hierboven vermelde Bijgewerkte datum en alle eerder overeengekomen bepalingen inzake gegevensverwerking en beveiliging vervangt.

(B) Voor zover Klaviyo Persoonsgegevens van de Klant (zoals hieronder gedefinieerd) namens de Klant (of, indien van toepassing, de Gelieerde Onderneming van de Klant) verwerkt in verband met de levering van de Diensten, zijn de Partijen overeengekomen dat dit zal geschieden volgens de voorwaarden van deze Verwerkersovereenkomst.

1. DEFINITIES

1.1 Termen met een hoofdletter die in deze Verwerkersovereenkomst worden gebruikt maar niet gedefinieerd, hebben de betekenis zoals uiteengezet in de Overeenkomst. De volgende termen met een hoofdletter die in deze Verwerkersovereenkomst worden gebruikt, worden als volgt gedefinieerd:

“Accountgegevens” betekent de gegevens van de Klant, met inbegrip van Persoonsgegevens van de Klant en de gebruikers van de Gelieerde Onderneming van de Klant, die worden verstrekt voor het aanmaken, de toegang tot, het beheer en het onderhoud van een account, en kunnen namen, gebruikersnamen, inloggegevens, telefoonnummers, e-mailadressen en factuurgegevens omvatten die aan een Klaviyo-account zijn gekoppeld;

“Gelieerde Onderneming" betekent een entiteit die, direct of indirect, eigenaar is van of zeggenschap uitoefent over, eigendom is van of onder zeggenschap staat van, of onder gemeenschappelijk eigendom of zeggenschap staat met een Partij en een begunstigde is van de Overeenkomst;

“Toepasselijke Wetgeving inzake Gegevensbescherming” betekent alle toepasselijke wetten, regels, voorschriften en overheidsvereisten met betrekking tot de bescherming, vertrouwelijkheid of beveiliging van Persoonsgegevens, zoals deze van tijd tot tijd kunnen worden gewijzigd of anderszins bijgewerkt;

“Goedgekeurd addendum” betekent het modeladdendum, versie B.1.0, uitgegeven door de Britse Information Commissioner op grond van artikel 119A, lid 1, van de Data Protection Act 2018 en op 2 februari 2022 aan het Britse parlement voorgelegd, zoals dit kan worden herzien overeenkomstig artikel 18 van de dwingende bepalingen;

“Persoonsgegevens van de Klant” betekent de persoonsgegevens die door Klaviyo namens de Klant of een Gelieerde Onderneming van de Klant worden verwerkt in verband met de levering van de Diensten, waarbij echter uitdrukkelijk persoonsgegevens die zijn opgenomen in Accountgegevens zijn uitgesloten;

“DPF” of “Data Privacy Framework” betekent het EU-VS-kader voor gegevensbescherming, of, indien van toepassing, de Britse uitbreiding van het EU-VS-kader voor gegevensbescherming en het Zwitsers-VS-kader voor gegevensbescherming;

“EER” betekent de Europese Economische Ruimte;

“Ingangsdatum” betekent de datum waarop de Verwerkersovereenkomst van kracht wordt, zoals uiteengezet in clausule (A) hierboven;

“AVG” betekent Verordening (EU) 2016/679 (de “EU-AVG”) of, indien van toepassing, de “Britse AVG” zoals gedefinieerd in artikel 3 van de Data Protection Act 2018;

“Verplichte bepalingen” betekent “Deel 2: Verplichte bepalingen” van het goedgekeurde addendum;

“Lidstaat” betekent een lidstaat van de EER, zijnde een lidstaat van de Europese Unie, IJsland, Noorwegen of Liechtenstein;

“Persoonsgegevens” betekent alle informatie die betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon of apparaat, of die anderszins valt onder de begrippen “persoonsgegevens”, “persoonlijke informatie”, “persoonlijk identificeerbare informatie” en soortgelijke termen, zoals gedefinieerd in de Toepasselijke Wetgeving inzake Gegevensbescherming;

„Beveiligingsincident” betekent een inbreuk op de beveiliging die leidt tot de onopzettelijke of onrechtmatige vernietiging, het verlies, de wijziging, de ongeoorloofde openbaarmaking van of de ongeoorloofde toegang tot de Persoonsgegevens van de Klant;

“Standaardcontractbepalingen” of “SCC’s” betekent Module Twee (verwerkingsverantwoordelijke naar verwerker) en/of Module Drie (verwerker naar verwerker) van de Standaardcontractbepalingen die als bijlage zijn gevoegd bij Uitvoeringsbesluit (EU) 2021/914 van de Commissie;

“Subverwerker” betekent gelieerde ondernemingen van Klaviyo en externe verwerkers die door Klaviyo zijn aangesteld om de Persoonsgegevens van de Klant te verwerken;

“VK” betekent het Verenigd Koninkrijk van Groot-Brittannië en Noord-Ierland; en

“Amerikaanse wetgeving inzake gegevensbescherming” betekent, voor zover van toepassing, federale en staatswetten met betrekking tot gegevensbescherming, de verwerking van persoonsgegevens, privacy en/of gegevensbescherming die van tijd tot tijd van kracht zijn in de Verenigde Staten.

1.2 De termen „verwerkingsverantwoordelijke”, „verwerker”, „betrokkene”, „verwerken”, „toezichthoudende autoriteit”, „verkopen” en „dienstverlener” hebben dezelfde betekenis als uiteengezet in de Toepasselijke Wetgeving inzake Gegevensbescherming.

2. VERHOUDING TOT DE OVEREENKOMST

2.1 Deze Verwerkersovereenkomst vormt een aanvulling op en (in geval van tegenstrijdigheden) vervangt de Overeenkomst met betrekking tot elke verwerking van Persoonsgegevens van de Klant.

2.2 Met betrekking tot Gelieerde Ondernemingen van de Klant garandeert de Klant door het aangaan van de Overeenkomst dat hij naar behoren bevoegd is om deze Verwerkersovereenkomst aan te gaan voor en namens dergelijke Gelieerde Ondernemingen van de Klant, en, onder voorbehoud van artikel 2.3, is elke Gelieerde Onderneming van de Klant gebonden aan de bepalingen van deze Verwerkersovereenkomst alsof zij de Klant zelf was.

2.3 De Klant garandeert dat hij naar behoren is gemandateerd door alle Gelieerde Ondernemingen van de Klant namens wie Klaviyo Persoonsgegevens van de Klant verwerkt in overeenstemming met deze Verwerkersovereenkomst om (a) de bepalingen van deze Verwerkersovereenkomst namens de Gelieerde Ondernemingen van de Klant af te dwingen, en namens de Gelieerde Ondernemingen van de Klant op te treden bij het beheer en de afhandeling van eventuele vorderingen die voortvloeien uit deze Verwerkersovereenkomst; en (b) namens de gelieerde ondernemingen van de klant kennisgevingen of mededelingen in het kader van deze Verwerkersovereenkomst in ontvangst te nemen en hierop te reageren.

2.4 De Partijen komen overeen dat elke kennisgeving of mededeling die door Klaviyo aan de Klant wordt verzonden, voldoet aan de verplichting om een dergelijke kennisgeving of mededeling aan een Gelieerde Onderneming van de Klant te verzenden.

3. ROL VAN DE PARTIJEN

3.1 De Partijen erkennen en komen overeen dat:

(a) voor de toepassing van de AVG treedt Klaviyo op als „verwerker“ of „Subverwerker“. De rol van Klaviyo als verwerker of Subverwerker wordt bepaald door de rol van de Klant:

(i) In het algemeen treedt de Klant op als verwerkingsverantwoordelijke, terwijl Klaviyo optreedt als verwerker.

(ii) In bepaalde gevallen treedt de Klant op als verwerker namens de klanten van de Klant, wanneer de Klant en de klant van de Klant een verwerkersovereenkomst hebben gesloten met betrekking tot de verwerking van persoonsgegevens van de klanten van de Klant; en

(b) in het kader van de Amerikaanse wetgeving inzake gegevensbescherming zal Klaviyo optreden als „dienstverlener“ of „verwerker“ bij de uitvoering van zijn verplichtingen uit hoofde van de Overeenkomst.

(c) Accountgegevens vallen niet onder deze Verwerkersovereenkomst en zijn onderworpen aan de privacyverklaring van Klaviyo.

4. DETAILS VAN DE GEGEVENSVERWERKING

4.1 De details van de gegevensverwerking (zoals het onderwerp, de aard en het doel van de verwerking, de categorieën Persoonsgegevens en de betrokkenen) worden beschreven in de Overeenkomst en in Bijlage 1.

4.2 Persoonsgegevens van de Klant worden uitsluitend verwerkt namens en op instructie van de Klant en in overeenstemming met de Toepasselijke Wetgeving inzake Gegevensbescherming. De Overeenkomst en deze Verwerkersovereenkomst vormen de instructies van de Klant voor de verwerking van de Persoonsgegevens van de Klant. De Klant kan nadere schriftelijke instructies geven in overeenstemming met deze Verwerkersovereenkomst.

4.3 Indien de instructies van de Klant ertoe leiden dat Klaviyo de Persoonsgegevens van de Klant verwerkt in strijd met de Toepasselijke Wetgeving inzake Gegevensbescherming of buiten het toepassingsgebied van de Overeenkomst of de Verwerkersovereenkomst, zal Klaviyo de Klant hiervan onmiddellijk op de hoogte stellen, tenzij dit verboden is op grond van de Toepasselijke Wetgeving inzake Gegevensbescherming (onverminderd de SCC’s).

4.4 Klaviyo mag de Persoonsgegevens van de Klant opslaan en verwerken op elke locatie waar Klaviyo of haar Subverwerkers vestigingen hebben, met inachtneming van artikel 5 van deze Verwerkersovereenkomst.

5. SUBVERWERKERS

5.1 De Klant verleent Klaviyo algemene toestemming om, met inachtneming van artikel 5.2, Subverwerkers in te schakelen uit een overeengekomen lijst, alsmede uit de huidige Subverwerkers van Klaviyo die op de Ingangsdatum vermeld staan op https://www.klaviyo.com/legal/subprocessors.

5.2 Klaviyo zal (i) met elke Subverwerker een schriftelijke overeenkomst sluiten waarin gegevensbeschermingsverplichtingen worden opgelegd die ten minste evenveel bescherming bieden voor de Persoonsgegevens van de Klant als de verplichtingen van Klaviyo uit hoofde van deze Verwerkersovereenkomst, voor zover van toepassing op de aard van de door die Subverwerker geleverde Diensten; en (ii) aansprakelijk blijven voor de naleving door elke Subverwerker van de verplichtingen uit hoofde van deze Verwerkersovereenkomst.

5.3 Klaviyo zal de Klant ten minste vijftien (15) dagen van tevoren in kennis stellen van voorgestelde toevoegingen of vervangingen van de Subverwerkers die zij inzet voor de verwerking van de Persoonsgegevens van de Klant. De Klant kan redelijkerwijs bezwaar maken tegen het gebruik door Klaviyo van een nieuwe Subverwerker (ook wanneer hij zijn recht op bezwaar uitoefent krachtens clausule 9(a) van de SCC’s) door Klaviyo binnen tien (10) dagen nadat Klaviyo de Klant in kennis heeft gesteld van een dergelijke voorgestelde wijziging, schriftelijk in kennis te stellen van het bezwaar (een „Bezwaar”). Indien de Klant bezwaar maakt tegen het gebruik door Klaviyo van een nieuwe Subverwerker, zullen de Klant en Klaviyo te goeder trouw samenwerken om een voor beide Partijen aanvaardbare oplossing te vinden voor dit Bezwaar. Indien de Partijen er niet in slagen binnen een redelijke termijn tot een voor beide Partijen aanvaardbare oplossing te komen, kan elke Partij, als enige en exclusieve rechtsmiddel, de Overeenkomst beëindigen door de andere Partij hiervan schriftelijk in kennis te stellen. Gedurende een dergelijke bezwaarperiode kan Klaviyo het betreffende deel van de Diensten opschorten.

6. VERZOEKEN INZAKE RECHTEN VAN BETROKKENEN

6.1 Tussen de Partijen heeft de Klant de exclusieve bevoegdheid en verantwoordelijkheid om te reageren op de rechten die door een persoon worden ingeroepen met betrekking tot de Persoonsgegevens van de Klant („Verzoek van een betrokkene“).

6.2 Klaviyo stuurt elk Verzoek van de betrokkene dat door Klaviyo of een Subverwerker is ontvangen met betrekking tot de Persoonsgegevens van de Klant zonder onnodige vertraging door aan de Klant. Klaviyo kan de betrokkene daarbij adviseren zijn of haar verzoek rechtstreeks bij de Klant in te dienen.

6.3 Klaviyo zal (rekening houdend met de aard van de verwerking van de Persoonsgegevens van de Klant) de Klant via de Diensten zelfbedieningsfunctionaliteit bieden of andere redelijke ondersteuning verlenen die nodig is om de Klant in staat te stellen te voldoen aan zijn verplichting op grond van de Toepasselijke Wetgeving inzake Gegevensbescherming om te reageren op Verzoeken van Betrokkenen. Klaviyo kan de Klant kosten in rekening brengen, en de Klant zal Klaviyo vergoeden, voor dergelijke ondersteuning die verder gaat dan het aanbieden van zelfbedieningsfuncties die deel uitmaken van de Diensten.

7. BEVEILIGING EN AUDITS

7.1 Klaviyo zal passende technische en organisatorische maatregelen voor gegevensbescherming en beveiliging implementeren en handhaven die zijn ontworpen om de beveiliging van de Persoonsgegevens van de Klant te waarborgen, met inbegrip van, maar niet beperkt tot, bescherming tegen ongeoorloofde of onrechtmatige verwerking (met inbegrip van, maar niet beperkt tot, ongeoorloofde of on onrechtmatige openbaarmaking van, toegang tot en/of wijziging van de Persoonsgegevens van de Klant) en tegen onopzettelijk verlies, vernietiging of beschadiging daarvan.

7.2 Klaviyo zal als minimumnorm de maatregelen implementeren en handhaven die zijn uiteengezet in Bijlage 2. Klaviyo kan de in Bijlage 2 uiteengezette beveiligingsmaatregelen van tijd tot tijd bijwerken of wijzigen, onder meer (indien van toepassing) na een evaluatie door Klaviyo van dergelijke maatregelen in overeenstemming met artikel 8.6 van de SCC’s, op voorwaarde dat dergelijke bijwerkingen en/of wijzigingen het algehele beschermingsniveau dat Klaviyo krachtens deze Verwerkersovereenkomst aan de Persoonsgegevens van de Klant biedt, niet verlagen.

7.3 De Klant of een door Klaviyo als redelijk aanvaardbare onafhankelijke externe auditor (waarbij auditors die niet over de juiste kwalificaties beschikken, niet onafhankelijk zijn of een concurrent van Klaviyo zijn, hiervan zijn uitgesloten) mag de naleving door Klaviyo van zijn verplichtingen uit hoofde van deze Verwerkersovereenkomst maximaal één keer per jaar controleren, of vaker indien zich een Beveiligingsincident heeft voorgedaan of voor zover vereist door Toepasselijke Wetgeving inzake Gegevensbescherming, inclusief wanneer dit wordt opgelegd door de regelgevende of overheidsinstantie van de Klant.

7.4 Om een audit aan te vragen, moet de Klant ten minste twee weken vóór de voorgestelde auditdatum een gedetailleerd voorstel voor een auditplan bij Klaviyo indienen. Klaviyo zal het voorgestelde auditplan beoordelen en in samenwerking met de Klant tot overeenstemming komen over een definitief auditplan. Al deze audits moeten tijdens de normale kantooruren worden uitgevoerd, met inachtneming van het overeengekomen definitieve auditplan en het gezondheids- en veiligheidsbeleid of andere relevante beleidsregels van Klaviyo, en mogen de bedrijfsactiviteiten van Klaviyo niet op onredelijke wijze verstoren. Niets in dit artikel 7.4 verplicht Klaviyo tot schending van enige geheimhoudingsplicht.

7.5 Indien de gevraagde auditomvang aan de orde komt in een ISO 27001-certificering, een SOC 2 Type 2-rapport of een soortgelijk auditrapport dat is opgesteld door een gekwalificeerde externe auditor binnen twaalf (12) maanden na het auditverzoek van de Klant en Klaviyo bevestigt dat er geen bekende wezenlijke wijzigingen zijn in de geauditeerde controles, stemt de Klant ermee in om die bevindingen te aanvaarden in plaats van een audit aan te vragen van de controles die onder het rapport vallen.

7.6 De Klant zal Klaviyo onmiddellijk op de hoogte stellen van elke niet-naleving die tijdens een audit wordt ontdekt en zal Klaviyo alle auditrapporten verstrekken die in verband met een audit zijn opgesteld, tenzij dit verboden is door de toepasselijke wetgeving of anderszins wordt voorgeschreven door een regelgevende of overheidsinstantie. De Klant mag de auditrapporten uitsluitend gebruiken om te voldoen aan de wettelijke auditvereisten van de Klant en/of om de naleving van de vereisten van deze Verwerkersovereenkomst te bevestigen.

7.7 Eventuele audits zijn voor rekening van de Klant. De Klant vergoedt Klaviyo de tijd die Klaviyo of haar Subverwerkers in verband met dergelijke audits hebben besteed.

7.8 Klaviyo zal haar Subverwerkers regelmatig controleren en zal, op verzoek van de Klant, bevestigen dat zij voldoen aan de wetgeving inzake gegevensbescherming en aan de verplichtingen die aan Subverwerkers zijn opgelegd volgens de met hen gesloten gegevensverwerkingsovereenkomst. De Klant mag Klaviyo alleen verzoeken om aanvullende controles uit te voeren indien dit redelijkerwijs gerechtvaardigd is, en in dergelijke gevallen zal Klaviyo aanvullende controles uitvoeren voor zover dit is toegestaan.

7.9 De Klant erkent en stemt ermee in dat, rekening houdend met de stand van de techniek, de implementatiekosten en de aard, omvang, context en doeleinden van de verwerking, alsmede het risico van wisselende waarschijnlijkheid en ernst voor de rechten en vrijheden van natuurlijke personen, de in Bijlage 2 uiteengezette beveiligingsmaatregelen passend zijn om de beveiliging van de Persoonsgegevens van de Klant te waarborgen.

8. BEVEILIGINGSINCIDENTEN

Klaviyo zal de Klant onmiddellijk schriftelijk op de hoogte stellen in geval van een schending van deze Verwerkersovereenkomst, de Toepasselijke Wetgeving inzake Gegevensbescherming of enige instructie van de Klant in verband met de verwerking van Persoonsgegevens van de Klant krachtens deze Verwerkersovereenkomst. Zonder afbreuk te doen aan het algemene karakter van het voorgaande, zal Klaviyo de Klant onverwijld schriftelijk op de hoogte stellen zodra het kennis neemt van een beveiligingsincident, en zal het redelijkerwijs meewerken aan het onderzoek naar een dergelijk beveiligingsincident en aan de verplichtingen van de Klant op grond van de Toepasselijke Wetgeving inzake Gegevensbescherming om meldingen te doen aan betrokkenen, toezichthoudende autoriteiten, overheids- of andere regelgevende instanties, of het publiek met betrekking tot een dergelijk beveiligingsincident. Klaviyo zal redelijke maatregelen nemen om een beveiligingsincident in te dammen, te onderzoeken en de gevolgen ervan te beperken, en zal de Klant zonder onnodige vertraging tijdig informatie verstrekken over het beveiligingsincident, met inbegrip van, maar niet beperkt tot, de aard van het beveiligingsincident, de maatregelen die zijn genomen om het beveiligingsincident te beperken of in te dammen, en de stand van zaken van het onderzoek. De kennisgeving van of reactie op een beveiligingsincident door Klaviyo op grond van dit artikel 8 mag niet worden opgevat als een erkenning door Klaviyo van enige fout of aansprakelijkheid met betrekking tot het beveiligingsincident.

9. VERWIJDERING EN TERUGGAVE

Klaviyo zal (a) indien de Klant hierom verzoekt vóór de datum van beëindiging of afloop van de Overeenkomst, een kopie van alle Persoonsgegevens van de Klant teruggeven of een zelfbedieningsfunctie aanbieden waarmee de Klant dit zelf kan doen; en (b) binnen 90 dagen na de beëindiging of het verstrijken van de Overeenkomst alle andere kopieën van de Persoonsgegevens van de Klant die door Klaviyo of eventuele Subverwerkers zijn verwerkt, verwijderen en alle redelijke inspanningen leveren om de verwijdering daarvan te bewerkstelligen. Niettegenstaande andersluidende bepalingen mag Klaviyo kopieën van de Persoonsgegevens van de Klant bewaren indien, en uitsluitend voor zover, Klaviyo redelijkerwijs vaststelt dat een dergelijke bewaring (i) vereist is om te voldoen aan

Toepasselijke Wetgeving, een gerechtelijk bevel, een dagvaarding of een wettelijke verplichting die op Klaviyo van toepassing is, of (ii) noodzakelijk is voor het instellen, uitoefenen of verdedigen van rechtsvorderingen tegen Klaviyo.

10. LOOPTIJD VAN DE OVEREENKOMST

Deze Verwerkersovereenkomst treedt in werking op de Ingangsdatum en blijft, ongeacht eventuele beëindiging van de Overeenkomst, van kracht totdat Klaviyo alle Persoonsgegevens van de Klant zoals beschreven in deze Verwerkersovereenkomst heeft verwijderd, waarna deze automatisch afloopt.

11. GRENSOVERSCHRIJDENDE GEGEVENSOVERDRACHTEN

11.1 Standaardcontractbepalingen

De Partijen komen overeen dat de bepalingen van de Standaardcontractbepalingen Module Twee (Verwerkingsverantwoordelijke naar Verwerker) en Module Drie (Verwerker naar Verwerker), zoals nader gespecificeerd in Bijlage 3 bij deze Verwerkersovereenkomst, hierbij door verwijzing zijn opgenomen en geacht worden door de Partijen te zijn ondertekend, en van toepassing zijn op alle overdrachten van Persoonsgegevens van de Klant die binnen het toepassingsgebied van de AVG vallen, van de Klant (als gegevensexporteur) naar Klaviyo (als gegevensimporteur), voor zover en zolang Klaviyo zich niet kan beroepen op het DPF overeenkomstig clausule 11.2.

11.2 Kader voor gegevensbescherming

Klaviyo is zelfgecertificeerd onder het DPF en voldoet aan de daarin vastgelegde beginselen inzake gegevensbescherming. Voor zover en zolang het DPF in het betreffende land/de betreffende regio als een geldig overdrachtsmechanisme wordt erkend, worden Persoonsgegevens die afkomstig zijn uit de EER, het Verenigd Koninkrijk of Zwitserland, of die anderszins onder de AVG vallen, overgedragen op basis van het DPF.

11.3 Ondersteuning bij grensoverschrijdende gegevensoverdrachten

Klaviyo zal de Klant redelijke ondersteuning bieden om de Klant in staat te stellen te voldoen aan de vereisten die worden opgelegd aan de doorgifte van Persoonsgegevens naar derde landen met betrekking tot betrokkenen die zich in de EER, Zwitserland en het Verenigd Koninkrijk bevinden. Klaviyo zal, op verzoek van de Klant, informatie aan de Klant verstrekken die redelijkerwijs noodzakelijk is voor de Klant om een doorgifte-effectbeoordeling („TIA“) uit te voeren. Klaviyo stemt er voorts mee in de aanvullende maatregelen uit te voeren die zijn overeengekomen en uiteengezet in Bijlage 4 bij deze Verwerkersovereenkomst, teneinde de Klant in staat te stellen te voldoen aan de vereisten die worden opgelegd aan de doorgifte van Persoonsgegevens naar derde landen. Klaviyo kan de Klant kosten in rekening brengen, en de Klant zal Klaviyo vergoeden, voor alle door Klaviyo verleende bijstand met betrekking tot TIA’s, gegevensbeschermingseffectbeoordelingen of overleg met een toezichthoudende autoriteit van de Klant.

12. PERSOONSGEGEVENS VAN DE KLANT DIE ONDER DE BRITSE EN ZWITSERSE GEGEVENSBESCHERMINGSWETGEVING VALLEN

Voor zover de verwerking van Persoonsgegevens van de Klant onderworpen is aan de Britse of Zwitserse wetgeving inzake gegevensbescherming, zijn het Britse Addendum en/of het Zwitserse Addendum (naargelang het geval) zoals opgenomen in Bijlage 5 van toepassing.

13. PERSOONSGEGEVENS VAN DE KLANT DIE ONDER DE AMERIKAANSE WETGEVING INZAKE GEGEVENSBESCHERMING VALLEN

Voor zover de verwerking van Persoonsgegevens van de Klant onderworpen is aan Amerikaanse wetgeving inzake gegevensbescherming, is het Amerikaanse Addendum zoals opgenomen in Bijlage 6 van toepassing.

14. ALGEMEEN

14.1 De Partijen verklaren hierbij dat zij de vereisten in deze Verwerkersovereenkomst begrijpen en zich daaraan zullen houden.

14.2 Deze Verwerkersovereenkomst en de Overeenkomst vormen de volledige overeenkomst tussen de Partijen met betrekking tot het onderwerp van deze Verwerkersovereenkomst.

─────────────────

Bijlage 1 – GEGEVENS OVER DE VERWERKING

Deel 1 – LIJST VAN PARTIJEN

1. Gegevensexporteur

De Klant en/of de Gelieerde Ondernemingen van de Klant die actief zijn in de landen die deel uitmaken van de Europese Economische Ruimte, het Verenigd Koninkrijk en/of Zwitserland en/of – voor zover overeengekomen door de Partijen – de Klant en/of de Gelieerde Ondernemingen van de Klant in enig ander land, voor zover de AVG of de overeenkomstige Zwitserse wetgeving van toepassing is.

De functie en contactgegevens van de contactpersoon van de Klant en de Gelieerde Onderneming van de Klant, evenals (indien aangesteld) de contactgegevens van de functionaris voor gegevensbescherming en (indien van toepassing) de vertegenwoordiger, worden vóór de verwerking van Persoonsgegevens aan Klaviyo meegedeeld via e-mail aan privacy@klaviyo.com of via een beschikbaar formulier dat door Klaviyo wordt verstrekt in het account van de Klant binnen de Diensten.

De activiteiten die relevant zijn voor de gegevensoverdracht op grond van deze bepalingen worden bepaald door de Overeenkomst en de gegevensexporteur, die beslist over de reikwijdte van de verwerking van persoonsgegevens in verband met de Diensten, zoals nader beschreven in deze Bijlage 1 en in de Overeenkomst.

2. Gegevensimporteur

Klaviyo, Inc., 125 Summer Street, Floor 6, Boston, MA, 02110, Verenigde Staten

De contactpersoon van de gegevensimporteur is bereikbaar via privacy@klaviyo.com.

De activiteiten van de gegevensimporteur die relevant zijn voor de gegevensoverdracht op grond van deze bepalingen zijn als volgt: de gegevensimporteur verwerkt persoonsgegevens die door de gegevensexporteur zijn verstrekt namens de gegevensexporteur in verband met het verlenen van de diensten aan de gegevensexporteur, zoals nader gespecificeerd in deze Bijlage 1 en in de Overeenkomst.

Deel 2 – BESCHRIJVING VAN DE OVERDRACHT

1. Categorieën van betrokkenen

De categorieën betrokkenen van wie persoonsgegevens worden doorgegeven:

Abonnees van de Klant en Gelieerde Ondernemingen van de Klant die marketingberichten ontvangen, en andere personen die het doelwit zijn van andere marketingactiviteiten van de Klant en/of Gelieerde Ondernemingen van de Klant of hun klanten.

2. Categorieën persoonsgegevens

De categorieën persoonsgegevens die worden overgedragen zijn:

Bepaald door de configuratie van de Diensten door de Klant, en kunnen onder meer bestaan uit naam, telefoonnummer, e-mailadres, adresgegevens, IP-adres, apparaat-ID's, gebruiksgegevens (zoals interacties tussen een gebruiker en het online systeem, de website of e-mail van Klaviyo, de gebruikte browser, het gebruikte besturingssysteem, de verwijzende URL).

Bovendien kunnen de Klant en Gelieerde Ondernemingen van de Klant aanvullende persoonsgegevens van betrokkenen zoals hierboven gespecificeerd (met name in ongestructureerde vorm) opnemen in verband met hun gebruik van de Diensten overeenkomstig de Overeenkomst.

3. Bijzondere categorieën persoonsgegevens (indien van toepassing)

De overgedragen persoonsgegevens omvatten de volgende bijzondere categorieën gegevens: n.v.t. – Het beleid inzake aanvaardbaar gebruik van Klaviyo verbiedt de Klant om de Diensten te gebruiken voor het werven, weergeven, opslaan, verwerken, verzenden of doorgeven van bijzondere categorieën gegevens.

De toegepaste beperkingen of waarborgen die volledig rekening houden met de aard van de gegevens en de daarmee gepaard gaande risico’s, zoals bijvoorbeeld strikte doelbinding, toegangsbeperkingen (waaronder toegang uitsluitend voor personeel dat een gespecialiseerde opleiding heeft gevolgd), het bijhouden van een register van de toegang tot de gegevens, beperkingen voor verdere doorgifte of aanvullende beveiligingsmaatregelen, zijn: N.v.t.

4. Frequentie van de doorgifte

De frequentie van de doorgifte is: De doorgifte vindt doorlopend plaats en wordt bepaald door de configuratie van de Diensten door de Klant.

5. Onderwerp en aard van de verwerking

Het voorwerp van de verwerking is: het aanbieden van een platform voor data-analyse en marketingautomatisering aan de Klant.

6. Doel(en) van de gegevensoverdracht en verdere verwerking

Het doel/de doelen van de gegevensoverdracht en verdere verwerking is: het leveren van de Diensten aan de Klant overeenkomstig de Overeenkomst, zodat de Klant klantgegevens kan analyseren, zijn klantrelaties kan verbeteren en marketing- en andere berichten naar zijn klanten kan verzenden.

7. Duur

De periode gedurende welke de persoonsgegevens worden bewaard, of, indien dat niet mogelijk is, de criteria die worden gehanteerd om die periode te bepalen: de duur is vastgelegd in artikel 10 van de Verwerkersovereenkomst.

8. Subverwerker (indien van toepassing)

Voor doorgiften aan Subverwerkers dient u het onderwerp, de aard en de duur van de verwerking te specificeren: zoals bepaald in artikel 5.1 van de Verwerkersovereenkomst. De Subverwerkers kunnen gedurende de looptijd van deze Verwerkersovereenkomst of totdat de dienstverleningsovereenkomst met de betreffende Subverwerker wordt beëindigd of de toegang door de Subverwerker is uitgesloten, zoals overeengekomen tussen Klaviyo en de Klant, toegang hebben tot de Persoonsgegevens.

Deel 3 – BEVOEGDE TOEZICHTHOUDENDE AUTORITEIT

Geef de bevoegde toezichthoudende autoriteit(en) aan overeenkomstig artikel 13 van de SCC’s

Wanneer de gegevensexporteur in een EU-lidstaat is gevestigd: De toezichthoudende autoriteit van het land waarin de gegevensexporteur is gevestigd, is de bevoegde autoriteit.

Wanneer de gegevensexporteur niet in een EU-lidstaat is gevestigd, maar wel onder het territoriale toepassingsgebied van de AVG valt overeenkomstig artikel 3, lid 2, en een vertegenwoordiger heeft aangewezen overeenkomstig artikel 27, lid 1, van de AVG: De bevoegde toezichthoudende autoriteit is die van de lidstaat waar de vertegenwoordiger is gevestigd.

Wanneer de gegevensexporteur niet in een EU-lidstaat is gevestigd, maar wel onder het territoriale toepassingsgebied van de AVG valt overeenkomstig artikel 3, lid 2, zonder echter een vertegenwoordiger te hoeven aanstellen overeenkomstig artikel 27, lid 2, van de AVG: De bevoegde toezichthoudende autoriteit is de toezichthoudende autoriteit in Ierland, namelijk de Data Protection Commission (https://www.dataprotection.ie/).

─────────────────

Bijlage 2
TECHNISCHE EN ORGANISATORISCHE MAATREGELEN

Klaviyo heeft de volgende technische en organisatorische maatregelen (inclusief eventuele relevante certificeringen) geïmplementeerd om een passend beveiligingsniveau te waarborgen, rekening houdend met de aard, omvang, context en het doel van de verwerking, alsmede de risico’s voor de rechten en vrijheden van natuurlijke personen:

1. Organisatorisch beheer en toegewijd personeel dat verantwoordelijk is voor de ontwikkeling, implementatie en het onderhoud van het informatiebeveiligingsprogramma van Klaviyo.

2. Audit- en risicobeoordelingsprocedures met het oog op periodieke evaluatie en beoordeling van risico’s voor de organisatie van Klaviyo, toezicht op en handhaving van de naleving van het beleid en de procedures van Klaviyo, en rapportage over de stand van zaken met betrekking tot de informatiebeveiliging en naleving aan het interne senior management.

3. Gebruik van in de handel verkrijgbare en volgens de industriestandaard versleutelingstechnologieën voor Persoonsgegevens van Klanten die:

(a) door Klaviyo via openbare netwerken (d.w.z. het internet) of draadloos worden verzonden; of

(b) in rust zijn of zijn opgeslagen op draagbare of verwijderbare media (d.w.z. laptops, cd’s/dvd’s, USB-sticks, back-uptapes).

4. Maatregelen voor gegevensbeveiliging die ten minste, maar niet uitsluitend, het volgende omvatten: logische scheiding van gegevens, logische toegangscontroles die zijn ontworpen om elektronische toegang tot gegevens en systeemfunctionaliteit te beheren op basis van bevoegdheidsniveaus en functies (bijvoorbeeld het verlenen van toegang op basis van ‘need-to-know’ en het ‘minimale-rechtenprincipe’, het gebruik van unieke ID’s en wachtwoorden voor alle gebruikers, periodieke evaluatie, en het onmiddellijk intrekken of wijzigen van toegang bij beëindiging van het dienstverband of bij wijzigingen in functies).

5. Wachtwoordmaatregelen die zijn ontworpen om de sterkte, de vervaldatum en het gebruik van wachtwoorden te beheren en te controleren, waaronder het verbieden van het delen van wachtwoorden door gebruikers en de eis dat de wachtwoorden die Klaviyo aan zijn werknemers toewijst: (i) ten minste acht (8) tekens lang zijn, (ii) niet in leesbare vorm op de computersystemen van Klaviyo worden opgeslagen; (iii) een bepaalde complexiteit moeten hebben; (iv) een drempel voor het gebruik van eerdere wachtwoorden moeten hebben om hergebruik van recente wachtwoorden te voorkomen; en (v) nieuw toegewezen wachtwoorden moeten na het eerste gebruik worden gewijzigd.

6. Systeemaudits of gebeurtenislogboekregistratie en bijbehorende monitoringprocedures om de toegang van gebruikers en systeemactiviteiten proactief vast te leggen voor routinematige controle.

7. Fysieke en omgevingsbeveiliging van het datacenter, serverruimtes en andere ruimtes waarin Persoonsgegevens worden bewaard, ontworpen om: (i) informatieactiva te beschermen tegen ongeoorloofde fysieke toegang, (ii) het verkeer van personen naar en uit de faciliteiten van Klaviyo te beheren, te monitoren en te registreren, en (iii) bescherming te bieden tegen omgevingsrisico’s zoals hitte, brand en waterschade.

8. Operationele procedures en controles voor de configuratie, monitoring en het onderhoud van technologie- en informatiesystemen overeenkomstig voorgeschreven interne normen en gangbare industrienormen. Dit omvat het op veilige wijze wissen van systemen en media, zodat alle daarin opgenomen informatie of gegevens onleesbaar en onherstelbaar worden gemaakt voordat deze systemen of media definitief worden verwijderd of uit het bezit van Klaviyo worden vrijgegeven.

9. Procedures voor wijzigingsbeheer en volgmechanismen die zijn ontworpen om alle wijzigingen in de technologie- en informatieactiva van Klaviyo te testen, goed te keuren en te monitoren.

10. Procedures voor incident- en probleembeheer die zijn ontworpen om Klaviyo in staat te stellen gebeurtenissen met betrekking tot de technologie en informatieactiva van Klaviyo te onderzoeken, erop te reageren, de gevolgen ervan te beperken en hierover te informeren.

11. Netwerkbeveiligingsmaatregelen die voorzien in het gebruik van firewallsystemen, inbraakdetectiesystemen en andere procedures voor het analyseren van verkeer en gebeurtenissen, ontworpen om systemen te beschermen tegen inbraken en de omvang van een eventuele succesvolle aanval te beperken.

12. Technologieën voor kwetsbaarheidsbeoordeling, patchbeheer en bescherming tegen bedreigingen, evenals geplande monitoringprocedures die zijn ontworpen om geïdentificeerde beveiligingsbedreigingen, virussen en andere kwaadaardige code te identificeren, te beoordelen, te beperken en ertegen te beschermen.

13. Procedures voor bedrijfscontinuïteit en noodherstel, gericht op het handhaven van de dienstverlening en/of het herstel na voorzienbare noodsituaties of rampen.

─────────────────

Bijlage 3
STANDAARD CONTRACTUELE BEPALINGEN

Voor de toepassing van de standaardcontractbepalingen:

1. is Module Twee van toepassing in het geval van verwerking op grond van artikel 3.1, onder a), i), van de Verwerkersovereenkomst en is Module Drie van toepassing in het geval van verwerking op grond van artikel 3.1, onder a), ii), van de Verwerkersovereenkomst.

2. Bepaling 7 van de standaardcontractbepalingen (dockingclausule) is niet van toepassing.

3. Er wordt gekozen voor clausule 9(a) Optie 2 (Algemene schriftelijke machtiging), en de te specificeren termijn wordt bepaald in clausule 5.3 van de Verwerkersovereenkomst.

4. De optie in clausule 11(a) van de standaardcontractbepalingen (Onafhankelijke geschillenbeslechtingsinstantie) is niet van toepassing.

5. Met betrekking tot clausule 17 van de standaardcontractbepalingen (Toepasselijk recht) komen de partijen overeen dat optie één van toepassing is. De partijen komen overeen dat het recht van de Republiek Ierland van toepassing is.

6. In clausule 18 van de Standaardcontractbepalingen (Keuze van forum en bevoegdheid) onderwerpen de Partijen zich aan de bevoegdheid van de rechtbanken van de Republiek Ierland.

7. Voor de toepassing van bijlage I bij de standaardcontractbepalingen bevat Bijlage 1 de specificaties betreffende de partijen, de beschrijving van de doorgifte en de bevoegde toezichthoudende autoriteit.

8. Voor de toepassing van bijlage II bij de standaardcontractbepalingen bevat Bijlage 2 de technische en organisatorische maatregelen.

9. De specificaties voor bijlage III van de standaardcontractbepalingen worden bepaald door clausule 5.1 van de Verwerkersovereenkomst. De naam, functie en contactgegevens van de contactpersoon van de Subverwerker worden op verzoek door Klaviyo verstrekt.

─────────────────

Bijlage 4
AANVULLENDE MAATREGELEN

Klaviyo verbindt zich bovendien ertoe aanvullende maatregelen te nemen op basis van de richtsnoeren van de toezichthoudende autoriteiten van de EU, teneinde de bescherming van de Persoonsgegevens van de Klant in verband met de verwerking in een derde land te versterken, zoals beschreven in deze Bijlage 4.

1. Aanvullende technische maatregelen (versleuteling)

1.1 De Persoonsgegevens worden (tussen de Partijen en door Klaviyo tussen datacenters, alsmede naar een Subverwerker en terug) verzonden met behulp van sterke versleuteling.

1.2 De opgeslagen Persoonsgegevens worden door Klaviyo bewaard met behulp van sterke versleuteling

2. Aanvullende organisatorische maatregelen

2.1 Interne beleidsregels voor het beheer van doorgiften, met name binnen groepen van ondernemingen

(a) Vaststelling van adequaat intern beleid met een duidelijke toewijzing van verantwoordelijkheden voor gegevensoverdrachten, meldingskanalen en standaardwerkprocedures voor gevallen waarin overheidsinstanties formeel of informeel verzoeken om toegang tot de gegevens.

(b) Ontwikkeling van specifieke opleidingsprocedures voor personeel dat belast is met het beheer van verzoeken om toegang totPersoonsgegevens van overheidsinstanties, die periodiek moeten worden bijgewerkt om rekening te houden met nieuwe ontwikkelingen op het gebied van wet- en regelgeving en jurisprudentie in het derde land en in de EER.

2.2 Maatregelen inzake transparantie en verantwoording

Regelmatige publicatie van transparantierapporten of samenvattingen ten aanzien van verzoeken van overheidsinstanties om toegang tot gegevens en de aard van het verstrekte antwoord, voor zover publicatie is toegestaan volgens de lokale wetgeving.

2.3 Organisatorische methoden en maatregelen ter beperking van de gegevensverwerking

Ontwikkeling en implementatie van beste praktijken door beide partijen om hun respectieve functionarissen voor gegevensbescherming, indien aanwezig, en hun juridische en interne auditdiensten op passende en tijdige wijze te betrekken bij en toegang te verlenen tot informatie over aangelegenheden die verband houden met internationale doorgifte van persoonsgegevens.

2.4 Overige

Klaviyo stelt intern beleid vast en herziet dit regelmatig om te beoordelen of de geïmplementeerde aanvullende maatregelen toereikend zijn. Indien nodig identificeert en implementeert Klaviyo aanvullende of alternatieve oplossingen, teneinde te waarborgen dat het beschermingsniveau voor de doorgegeven Persoonsgegevens in wezen gelijkwaardig blijft aan het niveau dat binnen de EER wordt gegarandeerd.

3. Aanvullende contractuele maatregelen

3.1 Transparantieverplichtingen

(a) Klaviyo verklaart dat (1) zij niet opzettelijk achterdeurtjes of soortgelijke programmering heeft gecreëerd die zou kunnen worden gebruikt om toegang te krijgen tot het systeem en/of Persoonsgegevens, (2) zijhaar bedrijfsprocessen niet opzettelijk heeft gecreëerd of gewijzigd op een wijze die toegang tot Persoonsgegevens of systemen vergemakkelijkt, en (3) dat nationale wetgeving of overheidsbeleid Klaviyo niet verplicht om achterdeurtjes te creëren of in stand te houden, of om toegang tot Persoonsgegevens of systemen te vergemakkelijken, noch om in het bezit te zijn van of de versleutelingssleutel over te dragen.

(b) Klaviyo zal de geldigheid van de verstrekte informatie voor de TIA-vragenlijst regelmatig controleren en de Klant onverwijld op de hoogte stellen in geval van wijzigingen. Clausule 14(e) van de SCC’s blijft onverminderd van kracht.

3.2 Verplichtingen tot het nemen van specifieke maatregelen

In geval van een bevel tot openbaarmaking van of toegang tot de Persoonsgegevens, verbindt Klaviyo zich ertoe de verzoekende overheidsinstantie te informeren over de onverenigbaarheid van het bevel met de waarborgen die zijn opgenomen in het overdrachtsinstrument van artikel 46 AVG en het daaruit voortvloeiende conflict van verplichtingen voor Klaviyo.

3.3 Het in staat stellen van betrokkenen om hun rechten uit te oefenen

(a) Klaviyo verbindt zich ertoe de betrokkene een billijke vergoeding te betalen voor alle materiële en immateriële schade die de betrokkene heeft geleden als gevolg van de openbaarmaking van diens Persoonsgegevens die op grond van het gekozen overdrachtsinstrument zijn doorgegeven, indien deze openbaarmaking in strijd is met de in dat instrument opgenomen toezeggingen.

(b) Onverminderd het voorgaande is Klaviyo niet verplicht de betrokkene schadeloos te stellen voor zover de betrokkene reeds een vergoeding heeft ontvangen voor dezelfde schade.

(c) De schadevergoeding is beperkt tot materiële en immateriële schade zoals bepaald in de AVG en sluit gevolgschade en alle andere schade uit die niet het gevolg is van een inbreuk door Klaviyo op de AVG.

4. Aanvullende verplichtingen in geval van verzoeken of toegang door overheidsinstanties

4.1 Klaviyo zal de Klant onverwijld op de hoogte stellen van:

(a) Van elk juridisch bindend verzoek van een wetshandhavingsinstantie of andere overheidsinstantie („Overheidsinstantie“) tot openbaarmaking van de door de Klant gedeelde Persoonsgegevens („Overgedragen Persoonsgegevens“); een dergelijke kennisgeving bevat informatie over de opgevraagde Persoonsgegevens, de verzoekende instantie, de rechtsgrondslag voor het verzoek en het gegeven antwoord. Een dergelijke kennisgeving vindt plaats vóór de openbaarmaking van enige Persoonsgegevens in reactie op dergelijke verzoeken.

(b) Indien Klaviyo kennis neemt van enige directe toegang door overheidsinstanties tot Overgedragen Persoonsgegevens in overeenstemming met de wetgeving van het land van bestemming; een dergelijke kennisgeving bevat alle informatie waarover Klaviyo beschikt.

(c) Indien het Klaviyo verboden is de Klant en/of de betrokkene hiervan op de hoogte te stellen, stemt Klaviyo ermee in zich tot het uiterste in te spannen om een ontheffing van dit verbod te verkrijgen, teneinde zo snel mogelijk zoveel mogelijk informatie te verstrekken. Klaviyo stemt ermee in haar inspanningen te documenteren, zodat deze op verzoek van de gegevensexporteur kunnen worden getoond.

4.2 Klaviyo stemt ermee in om, op grond van de wetgeving van het land van bestemming, de rechtmatigheid van het verzoek van de overheidsinstantie te toetsen, met name of het binnen de bevoegdheden valt die aan de verzoekende overheidsinstantie zijn toegekend, en alle beschikbare rechtsmiddelen uit te putten om het verzoek aan te vechten indien Klaviyo na een zorgvuldige beoordeling concludeert dat er op grond van de wetgeving van het land van bestemming gronden zijn om dit te doen. Dit omvat verzoeken op grond van artikel 702 van de Foreign Intelligence Surveillance Court van de Verenigde Staten of Executive Order 12333. Bij het aanvechten van een verzoek zal Klaviyo voorlopige maatregelen vragen om de gevolgen van het verzoek op te schorten totdat de rechter een uitspraak heeft gedaan over de grond van de zaak. Klaviyo zal de gevraagde Persoonsgegevens niet openbaar maken of toegang daartoe verlenen totdat dit op grond van de toepasselijke procedureregels vereist is, en zal op dat moment slechts de minimale hoeveelheid informatie verstrekken die nodig is om aan het verzoek te voldoen, op basis van een redelijke interpretatie van het verzoek.

4.3 Klaviyo stemt ermee in de informatie die nodig is om aan deze Bijlage 4 te voldoen, gedurende de looptijd van de Overeenkomst te bewaren en, tenzij dit door de toepasselijke wetgeving wordt verboden, deze op verzoek en wanneer dit door de toepasselijke wetgeving wordt vereist, ter beschikking te stellen aan de bevoegde toezichthoudende autoriteit.

─────────────────

Bijlage 5
AANHANGSEL VOOR HET VERENIGD KONINKRIJK EN ZWITSERLAND

1. AANVULLING VOOR HET VERENIGD KONINKRIJK

Met betrekking tot elke doorgifte van Persoonsgegevens van de Klant die onder het toepassingsgebied van de Britse AVG vallen, van de Klant (als gegevensexporteur) naar Klaviyo (als gegevensimporteur):

1.1 Het Goedgekeurde Addendum, zoals nader gespecificeerd in deze Bijlage 5, maakt deel uit van deze Verwerkersovereenkomst. en De standaardcontractbepalingen moeten worden gelezen en geïnterpreteerd in het licht van de bepalingen van het Goedgekeurde Addendum, voor zover nodig overeenkomstig clausule 12 van de verplichte clausules.

1.2 In afwijking van Tabel 1 van het Goedgekeurde Addendum en in overeenstemming met clausule 17 van de Verplichte Clausules worden de partijen nader gespecificeerd in Bijlage 1, Deel 1 van deze Verwerkersovereenkomst.

1.3 De geselecteerde modules en bepalingen die overeenkomstig Tabel 2 van het Goedgekeurde Addendum moeten worden vastgesteld, worden nader gespecificeerd in Bijlage 3 van deze Verwerkersovereenkomst, met inachtneming van de dwingendrechtelijke bepalingen.

1.4 Bijlage 1 A en B van tabel 3 bij het Goedgekeurde Addendum worden nader gespecificeerd in bijlage 1 bij deze Verwerkersovereenkomst, bijlage II bij het Goedgekeurde Addendum wordt nader gespecificeerd in bijlage 2 bij deze Verwerkersovereenkomst, en bijlage III bij het goedgekeurde addendum wordt nader gespecificeerd in bijlage 1, clausule B.10, bij deze Verwerkersovereenkomst.

1.5 Klaviyo (als gegevensimporteur) kan deze Verwerkersovereenkomst, voor zover het Goedgekeurde Addendum van toepassing is, beëindigen overeenkomstig clausule 19 van de verplichte clausules.

1.6 Clausule 16 van de Verplichte Clausules is niet van toepassing.

2. ZWITSERSE AANVULLING

Zoals bepaald in clausule 13 van de Verwerkersovereenkomst is dit Zwitserse addendum van toepassing op elke verwerking van Persoonsgegevens van de Klant die onderworpen is aan de Zwitserse wetgeving inzake gegevensbescherming of aan zowel de Zwitserse wetgeving inzake gegevensbescherming als de AVG.

2.1 Interpretatie van dit addendum

(a) Wanneer in dit addendum termen worden gebruikt die zijn gedefinieerd in de standaardcontractbepalingen, zoals nader gespecificeerd in Bijlage 3 bij deze Verwerkersovereenkomst, hebben die termen dezelfde betekenis als in de standaardcontractbepalingen. Daarnaast hebben de volgende termen de volgende betekenis:

(i) „Dit addendum” betekent dit addendum bij de bepalingen.

(ii) „Bepalingen” betekent de Standaardcontractbepalingen zoals nader gespecificeerd in Bijlage 3 bij deze Verwerkersovereenkomst.

(iii) „Zwitserse wetgeving inzake gegevensbescherming” betekent de Zwitserse federale wet inzake gegevensbescherming van 19 juni 1992 en de Zwitserse verordening bij de Zwitserse federale wet inzake gegevensbescherming van 14 juni 1993, alsmede elke nieuwe of herziene versie van deze wetten die van tijd tot tijd van kracht kan worden.

(b) Dit addendum dient te worden gelezen en geïnterpreteerd in het licht van de bepalingen van de Zwitserse wetgeving inzake gegevensbescherming, en wel zodanig dat het voldoet aan de bedoeling om de passende waarborgen te bieden zoals vereist door artikel 46 van de AVG en/of artikel 6, lid 2, onder a), van de Zwitserse wetgeving inzake gegevensbescherming, al naar gelang het geval.

(c) Dit addendum mag niet worden uitgelegd op een wijze die in strijd is met de rechten en verplichtingen waarin de Zwitserse wetgeving inzake gegevensbescherming voorziet.

(d) Verwijzingen naar wetgeving (of specifieke bepalingen van wetgeving) hebben betrekking op die wetgeving (of specifieke bepaling) zoals deze in de loop van de tijd kan veranderen. Dit omvat ook gevallen waarin die wetgeving (of specifieke bepaling) na de totstandkoming van deze bijlage is geconsolideerd, opnieuw vastgesteld en/of vervangen.

2.2 Hiërarchie

In geval van een conflict of tegenstrijdigheid tussen dit Addendum en de bepalingen van de Clausules of andere gerelateerde overeenkomsten tussen de Partijen, die bestaan op het moment dat dit Addendum wordt overeengekomen of daarna wordt aangegaan, prevaleren de bepalingen die de grootste bescherming bieden aan de betrokkenen.

2.3 Opname van de Clausules

(a) Met betrekking tot elke verwerking van persoonsgegevens die onderworpen is aan de Zwitserse wetgeving inzake gegevensbescherming of aan zowel de Zwitserse wetgeving inzake gegevensbescherming als de AVG, wijzigt dit Addendum de Verwerkersovereenkomst, met inbegrip van hetgeen nader is gespecificeerd in Bijlage 3 bij deze Verwerkersovereenkomst, voor zover nodig, zodat deze van toepassing zijn:

(i) voor doorgiften door de gegevensexporteur aan de gegevensimporteur, voor zover de Zwitserse wetgeving inzake gegevensbescherming of de Zwitserse wetgeving inzake gegevensbescherming en de AVG van toepassing zijn op de verwerking door de gegevensexporteur bij het verrichten van die doorgifte; en

(ii) om passende waarborgen te bieden voor de doorgiften in overeenstemming met artikel 46 van de AVG en/of artikel 6, lid 2, onder a), van de Zwitserse wetgeving inzake gegevensbescherming, al naar gelang het geval.

(b) Voor zover de verwerking van persoonsgegevens uitsluitend onderworpen is aan de Zwitserse wetgeving inzake gegevensbescherming, omvatten de wijzigingen in de Verwerkersovereenkomst, met inbegrip van de SCC’s, zoals nader gespecificeerd in bijlage 3 bij deze Verwerkersovereenkomst en zoals vereist door clausule 2.1 van dit Zwitserse addendum, onder meer (zonder beperking):

(i) Verwijzingen naar de „Bepalingen” of de „SCC’s” betekenen dit Zwitserse addendum, voor zover dit de SCC’s wijzigt, en

(ii) Clausule 6 „Beschrijving van de doorgifte(n)” wordt vervangen door:

„De details van de doorgifte(n), en in het bijzonder de categorieën persoonsgegevens die worden doorgegeven en het doel of de doelen waarvoor deze worden doorgegeven, zijn die welke zijn gespecificeerd in Bijlage 1 bij deze Verwerkersovereenkomst, voor zover de Zwitserse wetgeving inzake gegevensbescherming van toepassing is op de verwerking door de gegevensexporteur bij het verrichten van die doorgifte.”

(iii) Verwijzingen naar „Verordening (EU) 2016/679” of „die verordening” of „AVG” worden vervangen door „Zwitserse wetgeving inzake gegevensbescherming” en verwijzingen naar specifieke artikelen van „Verordening (EU) 2016/679” of „AVG” worden vervangen door het overeenkomstige artikel of de overeenkomstige paragraaf van de Zwitserse wetgeving inzake gegevensbescherming, voor zover van toepassing.

(iv) Verwijzingen naar Verordening (EU) 2018/1725 worden geschrapt.

(v) Verwijzingen naar de „Europese Unie”, „de Unie”, „de EU” en „EU-lidstaat” worden allemaal vervangen door „Zwitserland”.

(vi) Clausule 13, onder a), en deel C van bijlage I worden niet toegepast; de „bevoegde toezichthoudende autoriteit“ is de Federale Commissaris voor Gegevensbescherming en Informatie (de „FDPIC“), voor zover de doorgiften onder de Zwitserse wetgeving inzake gegevensbescherming vallen;

(vii) Clausule 17 wordt vervangen door de volgende tekst:

„Deze bepalingen vallen onder het Zwitserse recht voor zover de doorgiften onder de Zwitserse wetgeving inzake gegevensbescherming vallen”.

(viii) Clausule 18 wordt vervangen door:

„Elk geschil dat voortvloeit uit deze bepalingen met betrekking tot de Zwitserse wetgeving inzake gegevensbescherming, wordt beslecht door de rechtbanken van Zwitserland. Een betrokkene kan ook een rechtsvordering instellen tegen de gegevensexporteur en/of de gegevensimporteur voor de rechtbanken van Zwitserland waar hij of zij zijn of haar gewone verblijfplaats heeft. De partijen komen overeen zich te onderwerpen aan de bevoegdheid van deze rechtbanken.”

Tot de inwerkingtreding van de herziene Zwitserse wetgeving inzake gegevensbescherming bieden de bepalingen ook bescherming aan persoonsgegevens van rechtspersonen, en genieten rechtspersonen op grond van de bepalingen dezelfde bescherming als natuurlijke personen.

2.4 Voor zover de verwerking van Persoonsgegevens zowel onder de Zwitserse wetgeving inzake gegevensbescherming als onder de AVG valt, is de Verwerkersovereenkomst, met inbegrip van de bepalingen zoals nader gespecificeerd in Bijlage 3 bij deze Verwerkersovereenkomst, van toepassing (i) in haar huidige vorm, en (ii) daarnaast, voor zover een doorgifte onderworpen is aan de Zwitserse wetgeving inzake gegevensbescherming, met de aanpassingen op grond van de clausules 2.1 en 2.3 van dit Zwitserse addendum. Hierop geldt als enige uitzondering dat clausule 17 van de SCC’s niet wordt vervangen overeenkomstig clausule 2.3(b)(vii) van dit Zwitserse addendum.

2.5 De Klant garandeert dat hij en/of aan de Klant Gelieerde Ondernemingen alle kennisgevingen aan de FDPIC hebben gedaan die krachtens de Zwitserse wetgeving inzake gegevensbescherming vereist zijn.

─────────────────

Bijlage 6
AMERIKAANS ADDENDUM

Zoals bepaald in artikel 14 van de Verwerkersovereenkomst is dit Amerikaanse addendum van toepassing op elke verwerking van Persoonsgegevens van de Klant die onder de Amerikaanse wetgeving inzake gegevensbescherming valt.

Voor zover wordt vereist door de Amerikaanse wetgeving inzake gegevensbescherming, is het Klaviyo verboden om:

(a) Persoonsgegevens van klanten te verkopen of deze op andere wijze aan derden ter beschikking te stellen in ruil voor geld of andere waardevolle tegenprestaties;

(b) Persoonsgegevens van klanten te delen met derden voor gedragsgerichte reclame;

(c) Persoonsgegevens van klanten te bewaren, te gebruiken of openbaar te maken voor andere doeleinden dan de in de Overeenkomst gespecificeerde zakelijke doeleinden of zoals anderszins toegestaan door de Amerikaanse wetgeving inzake gegevensbescherming;

(d) Persoonsgegevens van klanten te bewaren, te gebruiken of openbaar te maken buiten de directe zakelijke relatie tussen de Partijen; en

(e) het combineren van Persoonsgegevens van Klanten met Persoonsgegevens die Klaviyo ontvangt van of namens een andere persoon of personen, of verzamelt uit eigen interactie met de betrokkene, tenzij anderszins toegestaan door de Amerikaanse wetgeving inzake gegevensbescherming.