Lyve Services-gegevensbeschermingsovereenkomst

De Seagate-contractant die in uw Lyve Services-overeenkomst is vermeld ("Seagate") en u ("Bedrijf") (elk een "partij" en gezamenlijk de "partijen") zijn een Lyve Services-overeenkomst (de "Overeenkomst") aangegaan op grond waarvan Seagate Persoonsgegevens van het Bedrijf (zoals hieronder gedefinieerd) mag Verwerken om aan het Bedrijf bepaalde services ("Services") te kunnen leveren. Deze Gegevensbeschermingsovereenkomst, inclusief alle hieraan bijgevoegde planningen en bewijsstukken (deze "GBO"), is van toepassing op de Verwerking van Persoonsgegevens van het Bedrijf door Seagate en maakt deel uit van en wordt door middel van verwijzing opgenomen in de Overeenkomst en treedt in werking op de datum van uitvoering van deze Overeenkomst ("Ingangsdatum").

De partijen erkennen en komen het volgende overeen:

1. DEFINITIES
   1. "Gelieerde onderneming" betekent elke entiteit die zeggenschap uitoefent over, onder zeggenschap staat van, of onder gemeenschappelijke zeggenschap staat met de betrokken partij, waarbij "zeggenschap" betekent eigendom van of het recht om zeggenschap uit te oefenen over meer dan 50% van de stemgerechtigde effecten van een dergelijke entiteit.
   2. "Toepasselijke Privacywetgeving(en)" betekent alle wereldwijde wetten, regels en voorschriften op het gebied van gegevensbescherming, gegevensbeveiliging en privacy die van toepassing zijn op de Persoonsgegevens van het Bedrijf in kwestie, waaronder, indien van toepassing: (i) de EU-wetgeving inzake gegevensbescherming; (ii) de Personal Data Protection Act 2012 van Singapore (nr. 26 van 2012); (iii) alle wetten, regels en voorschriften van de Verenigde Staten, waaronder de Privacywetgeving van de Amerikaanse staat; en (iv) toepasselijke industriële normen die aansluiten bij de aard van de Persoonsgegevens van het Bedrijf.
   3. Een "Inbreuk op de gegevensbescherming" is elke bevestigde inbreuk op de beveiliging die leidt tot de onopzettelijke of onrechtmatige vernietiging, verlies, aanpassing, ongeautoriseerde openbaarmaking van, toegang tot, verwerving van Persoonsgegevens van het Bedrijf, of andere ongeautoriseerde Verwerking van Persoonsgegevens van het Bedrijf.
   4. "EU-wetgeving(en) inzake gegevensbescherming" is alle wet- en regelgeving inzake gegevensbescherming die van toepassing is op de Europese Unie ("EU") of de Europese Economische Ruimte ("EER"), met inbegrip van (a) de Algemene Verordening Gegevensbescherming 2016/679 ("AVG van de EU" of "AVG"); (b) de AVG zoals vastgelegd in de wetgeving van het Verenigd Koninkrijk krachtens sectie 3 van de Britse wet van 2018 betreffende de terugtrekking uit de Europese Unie en de Britse wet betreffende gegevensbescherming van 2018 (de "AVG van het VK"); (c) de Zwitserse federale wet op de gegevensbescherming van 19 juni 1992 en de bijbehorende verordeningen ("Zwitserse WoGB"); (d) de Richtlijn 2002/58/EG betreffende de Verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie; en (e) toepasselijke nationale implementaties van (a), (b) en (c).
   5. "Persoonsgegevens van het Bedrijf" zijn alle Persoonsgegevens die door Seagate namens het Bedrijf worden Verwerkt in verband met de Overeenkomst, zoals meer in het bijzonder beschreven in Bijlage A van deze GBO.
   6. "Modelbepalingen" of modelcontractbepalingen ("MCB's") betekent (i) waar de AVG van toepassing is, de contractuele bepalingen die zijn gehecht aan het Uitvoeringsbesluit 2021/914 van de Europese Commissie van 4 juni 2021 betreffende modelcontractbepalingen voor de doorgifte van persoonsgegevens aan derde landen overeenkomstig Verordening (EU) 2016/679 van het Europees Parlement en de Raad ("MCB's van de EU"); en (ii) waar de AVG van het VK van toepassing is, standaardbepalingen voor gegevensbescherming voor Verwerkers aangenomen in overeenstemming met Artikel 46(2)(c) of (d) van de Britse AVG ("MCB's van het VK") (zoals van tijd tot tijd gewijzigd, vervangen of bijgewerkt).
   7. "Persoonsgegevens" zijn alle gegevens die beschermd zijn als "persoonsgegevens", "persoonlijke informatie" of "persoonlijk identificeerbare informatie" of soortgelijk gedefinieerde termen op grond van de Toepasselijke privacywetgeving.
   8. "Verwerken" of "Verwerking" betekent, zonder beperking, handelingen uitgevoerd op Persoonsgegevens van het Bedrijf, al dan niet via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, wijzigen, gebruiken, openen, openbaar maken, verspreiden, kopiëren, doorgeven, opslaan of anderszins behouden, verwijderen, aligneren, combineren, afschermen, aanpassen, ophalen, raadplegen, vernietigen of wissen van Persoonsgegevens van het Bedrijf.
   9. "Beperkte doorgifte" betekent: (i) waar de AVG van toepassing is, een doorgifte van Persoonsgegevens van het Bedrijf vanuit de EER aan een land buiten de EER dat niet onderworpen is aan een adequaatheidsbesluit door de Europese Commissie; (ii) waar de AVG van het VK van toepassing is, een doorgifte van Persoonsgegevens van het Bedrijf vanuit het Verenigd Koninkrijk aan elk ander land dat niet onderworpen is aan adequaatheidsvoorschriften in overeenstemming met sectie 17A van de Britse wet betreffende gegevensbescherming van 2018; en (iii) waar de Zwitserse WoGB van toepassing is, een doorgifte van Persoonsgegevens van het Bedrijf vanuit Zwitserland aan elk ander land dat niet gebaseerd is op een adequaatheidsbesluit dat erkend is volgens de Zwitserse wetgeving inzake gegevensbescherming.
   10. "Gevoelige gegevens" zijn alle volgende typen Persoonsgegevens van het Bedrijf: (i) burgerservicenummer, belastingidentificatienummer, paspoortnummer, rijbewijsnummer of een ander door de overheid uitgegeven identificatienummer; (ii) credit- of betaalkaartgegevens of bankrekeningnummer, met of zonder code of wachtwoord die toegang verlenen tot bank- of kredietgeschiedenis; of (iii) gegevens over ras, religie, etniciteit, seksleven of -praktijken of seksuele gerichtheid, medische of gezondheidsinformatie, genetische of biometrische gegevens, biometrische sjablonen, politieke of filosofische overtuigingen, lidmaatschap van politieke partijen of vakbonden, antecedentenonderzoeksinformatie of juridische gegevens zoals een strafblad of informatie over andere juridische of administratieve procedures samen met alle Persoonsgegevens van het Bedrijf van kinderen die beschermd zijn door wetten inzake de bescherming van kindergegevens, en elke andere informatie of combinatie van informatie die valt binnen de definitie van "bijzondere categorieën van gegevens" of soortgelijk gedefinieerde termen op grond van de AVG of enige andere toepasselijke privacywetgeving.
   11. Een "Subverwerker" is elke derde partij die door Seagate of door een andere Subverwerker wordt ingeschakeld en toegang heeft tot Persoonsgegevens van het Bedrijf of deze ontvangt of anderszins Verwerkt.
   12. "Personeel van Seagate" is elke werknemer, aannemer, Subverwerker of vertegenwoordiger die door Seagate is geautoriseerd om Persoonsgegevens van het Bedrijf te Verwerken.
   13. "Privacywetgeving van de Amerikaanse staat" betekent alle toepasselijke wetten, regels en voorschriften inzake gegevensprivacy, gegevensbescherming en cyberbeveiliging waaraan de Persoonsgegevens van het Bedrijf onderworpen zijn.
   14. De termen "Consument", "Verwerkingsverantwoordelijke", "Betrokkene", "Verwerker", "Toezichthoudende autoriteit", "Onderneming", "Bedrijfsdoeleinden", "Commercieel doel", "Verzamelen", "Verkoop", "Dienstverlener" en "Delen" hebben de betekenis die daaraan wordt gegeven onder de Toepasselijke Privacywetgeving.
   15. Het woord "omvatten" wordt opgevat als zijnde met inbegrip van en zonder beperking. Verwante termen worden dienovereenkomstig geïnterpreteerd.
2. GEGEVENSBEVEILIGING EN -BESCHERMING
   1. Gegevensbeschermingsrollen. De partijen erkennen hierbij en komen overeen dat het Bedrijf de Verwerkingsverantwoordelijke of Onderneming is en Seagate namens het Bedrijf optreedt als de Verwerker of Dienstverlener met betrekking tot de Persoonsgegevens van het Bedrijf, behalve wanneer het Bedrijf optreedt als Verwerker van Persoonsgegevens van het Bedrijf, in welk geval Seagate een Subverwerker is.
   2. Naleving van wetten. Elke partij zal voldoen aan haar verplichtingen onder de Toepasselijke privacywetgeving(en) met betrekking tot alle Persoonsgegevens van het Bedrijf die zij Verwerkt op grond van deze GBO. Elke Verwerking van Persoonsgegevens van het Bedrijf in het kader van de Overeenkomst zal worden uitgevoerd in overeenstemming met de Toepasselijke privacywetgevingen. Seagate is echter niet verantwoordelijk voor de naleving van Toepasselijke privacywetgeving of lokale/industriële normen die van toepassing kunnen zijn op het Bedrijf of de sector van het Bedrijf en die niet algemeen van toepassing zijn op Seagate als Dienstverlener. Als het specifieke gebruik van de diensten door het Bedrijf en de Toepasselijke privacywetgeving of lokale/industriële normen vereisen dat het Bedrijf specifieke contractuele regelingen treft en/of aanvullende nalevingsstappen of -maatregelen neemt die verder gaan dan de bepalingen van deze GBO, is het Bedrijf verantwoordelijk voor de kennisgeving hiervan aan Seagate ten minste dertig (30) dagen alvorens aan Seagate enige Persoonsgegevens van het Bedrijf te verstrekken waarop dergelijke vereisten van toepassing zijn. Seagate zal het Bedrijf redelijke bijstand verlenen bij het ondersteunen van de naleving van dergelijke vereisten, en Seagate kan naar eigen goeddunken de noodzakelijke overeenkomst(en) uitvoeren die zich uitstrekken tot toepasselijke Persoonsgegevens van het Bedrijf die onder dergelijke bepalingen vallen, zonder afbreuk te doen aan de bepalingen van deze GBO. Het Bedrijf kan Seagate op de hoogte brengen van dergelijke jurisdictiespecifieke verzoeken via het kennisgevingsadres voor de contracterende entiteit van Seagate die in de Overeenkomst wordt vermeld.
   3. Niet-openbaarmaking van Persoonsgegevens van het Bedrijf. Seagate zal op geen enkele wijze, voor welk doel dan ook, geen andere Persoonsgegevens van het Bedrijf openbaar maken aan derde partijen dan openbaarmakingen die in overeenstemming met de toepasselijke wetgeving zijn gedaan, aan Subverwerkers in overeenstemming met Sectie 2.8 hieronder, of anderszins ter bevordering van het leveren van de Diensten, zonder hiervoor voorafgaand schriftelijke toestemming van het Bedrijf te verkrijgen. Elke persoon die geautoriseerd is om Persoonsgegevens van het Bedrijf te Verwerken, moet contractueel overeenkomen om de vertrouwelijkheid van dergelijke gegevens te handhaven of een passende wettelijke verplichting tot vertrouwelijkheid hebben.
   4. Reikwijdte van Verwerking. Seagate zal te allen tijde: (i) de Persoonsgegevens van het Bedrijf uitsluitend Verwerken in overeenstemming met deze GBO, voor het leveren van de Diensten aan het Bedrijf op grond van de Overeenkomst en in overeenstemming met de gedocumenteerde wettelijke instructies van het Bedrijf ("Toegestane doeleinden"); en (ii) geen Persoonsgegevens van het Bedrijf Verwerken voor eigen doeleinden of die van een derde partij. Seagate zal (i) geen Persoonsgegevens van het Bedrijf Verkopen of Delen; (ii) Persoonsgegevens van het Bedrijf bewaren, gebruiken of openbaar maken voor andere doeleinden dan voor het(de) Toegestane doeleinde(n), inclusief het bewaren, gebruiken of openbaar maken van Persoonsgegevens van het Bedrijf voor een ander commercieel doel dan het uitvoeren van de Diensten op grond van de Overeenkomst(en); of (iii) Persoonsgegevens van het Bedrijf bewaren, gebruiken of openbaar maken buiten de directe zakelijke relatie tussen Seagate en het Bedrijf. Seagate stelt het Bedrijf op de hoogte als het niet langer kan voldoen aan zijn verplichtingen op grond van de California Consumer Privacy Act van 2018 (Burgerlijk Wetboek van Californië §§ 1798.100 e.v.) ("CCPA"), zoals gewijzigd door de California Privacy Rights Act ("CPRA"). Seagate verklaart dat het de vereisten en beperkingen zoals uiteengezet in Sectie 2.4 begrijpt en zal naleven, en zal voldoen aan de vereisten die van toepassing zijn op Dienstverleners op grond van de CCPA en CPRA.   Verder erkennen en komen de partijen overeen dat de uitwisseling van Persoonsgegevens van het Bedrijf tussen de partijen geen Verkoop vormt, noch deel uitmaakt van enige geldelijke of andere tegenprestatie die tussen de partijen wordt uitgewisseld met betrekking tot de Overeenkomst of deze GBO. In alle gevallen zal Seagate zich houden aan alle toepasselijke beperkingen op grond van de CCPA en de CPRA op het combineren van Persoonsgegevens die van het Bedrijf zijn ontvangen met Persoonsgegevens die Seagate ontvangt van, of namens, een andere persoon of personen, of die Seagate verzamelt uit interacties tussen Seagate en de Consument. Zowel het Bedrijf als Seagate verklaren dat zij de vereisten zoals uiteengezet op grond van de CCPA en de CPRA hebben gelezen en begrepen.
   5. Verwerkingsinstructies. De partijen komen overeen dat de Overeenkomst (inclusief deze GBO) de volledige en definitieve instructies van het Bedrijf aan Seagate bevat met betrekking tot de Verwerking van Persoonsgegevens van het Bedrijf. Als Seagate wettelijk verplicht is om de Persoonsgegevens van het Bedrijf voor een ander doel te Verwerken, zal Seagate het Bedrijf voorafgaand aan de Verwerking op de hoogte stellen van een dergelijke vereiste, tenzij en voor zover dit wettelijk verboden is. Eventuele wijzigingen in de instructies van het Bedrijf zijn onderworpen aan goedkeuring door de partijen (inclusief extra kosten voor het voldoen aan nieuwe instructies).
   6. Verplichtingen van het Bedrijf. Het Bedrijf stemt ermee in dat (i) het Bedrijf zal voldoen aan zijn verplichtingen op grond van de Toepasselijke privacywetgeving met betrekking tot de Verwerking van Persoonsgegevens van het Bedrijf en alle Verwerkingsinstructies die het Bedrijf aan Seagate verstrekt; en (ii) het Bedrijf een kennisgeving heeft gedaan en alle toestemmingen (indien vereist) en rechten heeft verkregen (of zal verkrijgen) die vereist zijn op grond van de Toepasselijke privacywetgeving voor Seagate om Persoonsgegevens van het Bedrijf te Verwerken en de Services te leveren in overeenstemming met de Overeenkomst en deze GBO; en (iii) het Bedrijf verantwoordelijk is voor het veilige gebruik van de Services door het Bedrijf, inclusief het beveiligen van de authenticatiegegevens van zijn account, het beschermen van de veiligheid van Persoonsgegevens van het Bedrijf tijdens het transport van en naar de Services en het nemen van geschikte stappen om alle Verwerkte Persoonsgegevens van het Bedrijf veilig te coderen of te back-uppen in verband met de Services. De Klant zal passende technische en organisatorische beveiligingsmaatregelen implementeren en handhaven die zijn ontworpen om de Persoonsgegevens van het Bedrijf te beschermen tegen een Inbreuk op de gegevensbescherming en om de veiligheid en vertrouwelijkheid van Persoonsgegevens van het Bedrijf te behouden zolang deze onder zijn beheer en controle zijn.
   7. Informatiebeveiligingsprogramma. Seagate zal een uitgebreid schriftelijk informatiebeveiligingsprogramma implementeren, onderhouden, monitoren en, waar nodig, bijwerken. Dat programma bevat geschikte administratieve, technische en fysieke veiligheidsmaatregelen om Persoonsgegevens van het Bedrijf te beschermen tegen verwachte bedreigingen of gevaren voor de veiligheid, vertrouwelijkheid of integriteit ervan (zoals ongeautoriseerd openen, verzamelen, gebruiken, kopiëren, wijzigen, verwijderen of openbaar maken en ongeautoriseerd, onrechtmatig of onopzettelijk verliezen, vernietigen, verwerven of beschadigen of enige andere ongeautoriseerde vorm van Verwerking) ("Informatiebeveiligingsprogramma"). De Klant erkent dat het Informatiebeveiligingsprogramma onderhevig is aan technische vooruitgang en ontwikkeling en dat Seagate een dergelijk programma van tijd tot tijd mag updaten of wijzigen, op voorwaarde dat dergelijke updates en wijzigingen niet leiden tot een verslechtering van de algehele beveiliging van de door de Klant gekochte Services.
   8. Beperkingen op Subverwerkers. Seagate mag Persoonsgegevens van het Bedrijf openbaar maken aan Subverwerkers waar dit nodig is om zijn Services te leveren voor het Bedrijf, behoudens de voorwaarden die vermeld zijn in deze Sectie 2.8. Door deze GBO te ondertekenen, verleent het Bedrijf hierbij algemene schriftelijke toestemming aan Seagate om Subverwerkers in te schakelen voor het leveren van de Services. De Subverwerkers die momenteel door Seagate zijn ingeschakeld en door het Bedrijf zijn geautoriseerd, zijn vermeld in Bijlage C bij deze GBO. Het Bedrijf kan zich abonneren op e-mailmeldingen van wijzigingen van Subverwerkers door zich hiervoor in te schrijven op [email protected] met de volgende onderwerpregel: "Subscribe to Lyve Cloud Data Privacy Agreement Sub-Processor Update Alerts" (Abonneren op meldingen over updates van de Subverwerker in de GBO van Lyve Cloud). Seagate zal het Bedrijf ten minste vijftien (15) kalenderdagen van tevoren schriftelijk op de hoogte stellen van de inschakeling van een nieuwe Subverwerker.  Het Bedrijf kan op redelijke gronden schriftelijk bezwaar maken tegen de aanstelling van elke dergelijke Subverwerker (bijv. als het beschikbaar stellen van Persoonsgegevens van het Bedrijf aan de Subverwerker de Toepasselijke privacywetgeving kan schenden of de bescherming van dergelijke Persoonsgegevens van het Bedrijf kan verzwakken) door Seagate onmiddellijk schriftelijk op de hoogte te stellen binnen tien (10) kalenderdagen na ontvangst van de kennisgeving van Seagate in overeenstemming met deze Sectie 2.8. In een dergelijke kennisgeving worden de redelijke gronden voor het bezwaar uiteengezet en de partijen zullen deze bezwaren te goeder trouw bespreken om tot een commercieel redelijke oplossing te komen. Seagate kan naar eigen goeddunken de Subverwerker van de lijst verwijderen. Indien een Subverwerker door Seagate wordt verwijderd, beschikt Seagate over een redelijke termijn om de Subverwerker te vervangen. Indien het Bedrijf binnen tien (10) kalenderdagen na ontvangst van de kennisgeving door Seagate geen bezwaar maakt tegen de voorgestelde Subverwerker, wordt de Subverwerker geacht goedgekeurd te zijn.
   9. Prestaties van Subverwerker. Wanneer een Subverwerker zijn verplichtingen op het gebied van gegevensbescherming niet nakomt of door Seagate wordt verwijderd, blijft Seagate volledig aansprakelijk jegens het Bedrijf voor de nakoming van de verplichtingen van de Subverwerker. Indien Seagate de verplichtingen niet kan nakomen zonder de Subverwerker, kan Seagate elke toepasselijke Overeenkomst tussen de partijen en/of hun Gelieerde ondernemingen beëindigen zonder kosten of aansprakelijkheid jegens het Bedrijf.
   10. Verplichtingen van Personeel van Seagate en Subverwerkers. Seagate zorgt ervoor dat alle personen die geautoriseerd zijn om Persoonsgegevens van het Bedrijf te Verwerken, zich tot vertrouwelijkheid hebben verplicht of een passende wettelijke verplichting tot vertrouwelijkheid hebben. Wanneer Seagate een Subverwerker inschakelt voor het uitvoeren van specifieke Verwerkingsactiviteiten namens het Bedrijf, sluit Seagate een schriftelijke overeenkomst met de Subverwerker waarin gegevensbeschermingsverplichtingen zijn opgenomen die ten minste vereisten inzake gegevensbescherming, bescherming en informatiebeveiliging opleggen aan de Subverwerker voor de duur van de Verwerking, waarbij de Subverwerker de Persoonsgegevens van het Bedrijf moet beschermen volgens de norm die vereist is door de Toepasselijke privacywetgeving.   
   11. Melding van verzoeken of klachten. Tenzij wettelijk verboden, stelt Seagate het Bedrijf op de hoogte van elk verzoek dat, of elke klacht die, Seagate heeft ontvangen met betrekking tot de Verwerking van Persoonsgegevens van het Bedrijf, inclusief:
       1. verzoeken van Betrokkenen om een ​​van hun rechten uit te oefenen die worden verleend door de Toepasselijke privacywetgeving, inclusief, maar niet beperkt tot, een verzoek om gegevensoverdraagbaarheid, om gegevens te bekijken, te wijzigen, te verwijderen of te beperken, en soortgelijke verzoeken; of
       2. klachten of beschuldigingen dat de Verwerking inbreuk maakt op de rechten van een Betrokkene.
   12. Reacties van het Bedrijf op verzoeken van Betrokkenen. Rekening houdend met de aard van de Verwerking, zal Seagate het Bedrijf helpen met passende technische en organisatorische maatregelen, voor zover mogelijk, om te voldoen aan de verplichtingen van het Bedrijf om te reageren op verzoeken van Betrokkenen om hun rechten uit te oefenen op kosten van het Bedrijf. Seagate stelt het Bedrijf onmiddellijk schriftelijk op de hoogte als Seagate het volgende ontvangt: (i) een verzoek van een Betrokkene met betrekking tot de Verwerking van Persoonsgegevens van het Bedrijf, met uitzondering van CCPA- en CPRA-verzoeken waarbij Seagate de verzoeker zal informeren dat het verzoek niet kan worden ingewilligd omdat het verzoek is verzonden aan een Dienstverlener, zoals gedefinieerd in de CCPA en CPRA; of (ii) een klacht, mededeling of verzoek met betrekking tot de verplichtingen van het Bedrijf op grond van de Toepasselijke privacywetgeving. Behalve zoals vermeld in (i) met betrekking tot CCPA- en CPRA-verzoeken, zal Seagate niet rechtstreeks op dergelijke verzoeken, klachten of communicatie reageren (behalve om de Betrokkene te verzoeken contact op te nemen met het Bedrijf) zonder voorafgaande toestemming van het Bedrijf, tenzij het wettelijk verplicht is om dit te doen.
       
   13. Verzoeken tot openbaarmaking. Het Bedrijf erkent dat Seagate mogelijk verplicht is om, zonder voorafgaande kennisgeving of toestemming van het Bedrijf, Persoonsgegevens van het Bedrijf openbaar te maken aan autoriteiten in verband met een onderzoek of audit in verband met de Services. Tenzij wettelijk verboden, zal Seagate commercieel redelijke inspanningen leveren om het Bedrijf op de hoogte te stellen als Seagate een document ontvangt waarin wordt verzocht of dat bedoeld is om de openbaarmaking van Persoonsgegevens van het Bedrijf af te dwingen (zoals mondelinge vragen, ondervragingen, verzoeken om informatie of documenten in gerechtelijke procedures, dagvaardingen, civiele onderzoekseisen of andere soortgelijke verzoeken of processen). Seagate zal alle commercieel redelijke maatregelen nemen om openbaarmakingen te voorkomen en te beperken en om de vertrouwelijkheid van de Persoonsgegevens van het Bedrijf te waarborgen.
   14. Samenwerking. Op kosten van het Bedrijf zal Seagate het Bedrijf redelijke hulp bieden bij het nakomen van zijn verplichtingen op grond van de Toepasselijke privacywetgeving met betrekking tot de beveiliging van de Persoonsgegevens van het Bedrijf en het uitvoeren van privacy- en gegevensbeschermingseffectbeoordelingen (zoals redelijkerwijs vereist) en gerelateerde raadplegingen van Toezichthoudende autoriteiten.
   15. Melding van mogelijke schendingen of onvermogen tot naleving. Seagate stelt het Bedrijf op de hoogte indien:
       1. Seagate van mening is dat instructies van het Bedrijf inzake het Verwerken van Persoonsgegevens van het Bedrijf in strijd zijn met toepasselijke wetgeving;
       2. Seagate van mening is dat Seagate niet kan voldoen aan zijn verplichtingen op grond van deze GBO of Toepasselijke privacywetgeving en Seagate dit onvermogen niet binnen een redelijke termijn kan verhelpen; of
       3. Seagate op de hoogte is van omstandigheden of wijzigingen in toepasselijke wetgeving waardoor Seagate niet kan voldoen aan zijn verplichtingen op grond van deze GBO.
          
3. GEGEVENSOVERDRACHTEN
   1. Internationale doorgiften. Het Bedrijf stemt er hierbij mee in dat Seagate Persoonsgegevens van het Bedrijf overdraagt aan of Verwerkt in een ander gebied dan het gebied waar de Persoonsgegevens van het Bedrijf voor het eerst zijn verzameld, op voorwaarde dat Seagate alle maatregelen neemt die nodig zijn om een dergelijke doorgifte te garanderen en de Verwerking in overeenstemming is met de Toepasselijke privacywetgeving en deze GBO (inclusief maatregelen die van tijd tot tijd door het Bedrijf aan Seagate kunnen worden meegedeeld).
      
   2. Doorgiftemechanismen. De partijen komen overeen dat wanneer de overdracht van Persoonsgegevens van het Bedrijf door het Bedrijf aan Seagate een Beperkte doorgifte is, deze onderhevig zal zijn aan de onderstaande doorgiftemechanismen:
      1. Modelbepalingen. De partijen komen overeen dat de Beperkte doorgifte als volgt onderworpen is aan de toepasselijke Modelbepalingen, die automatisch door verwijzing zijn opgenomen en een integraal onderdeel vormen van deze GBO:
         1. Met betrekking tot Persoonsgegevens van het Bedrijf die door de AVG worden beschermd, zijn de MCB's van de EU als volgt van toepassing:
            1. Module Twee en Drie zijn van toepassing waar van toepassing;
            2. in Bepaling 7 is de optionele docking-bepaling van toepassing;
            3. in Bepaling 9, is Optie 2 van toepassing, en de termijn voor voorafgaande kennisgeving van wijzigingen van de Subverwerker is vijftien (15) kalenderdagen;
            4. in Bepaling 11 is de optionele taal niet van toepassing;
            5. in Bepaling 17 is Optie 1 van toepassing en is het Nederlands recht van toepassing op de MCB's van de EU;
            6. in Bepaling 18(b) zullen geschillen beslecht worden door de gerechten van Nederland;
            7. Bijlage I van de MCB's van de EU wordt geacht te zijn aangevuld met de informatie in Bijlage A bij deze GBO; en
            8. Bijlage II van de MCB's van de EU wordt geacht te zijn aangevuld met de informatie in Bijlage B bij deze GBO.
         2. Met betrekking tot gegevens die worden beschermd door de AVG van het VK, zijn de MCB's van de EU zoals geïmplementeerd in overeenstemming met paragraaf (1) hierboven van toepassing, met dien verstande dat:
            1. alle verwijzingen in de MCB's van de EU naar "Richtlijn 95/46/EG" of "Verordening (EU) 2016/679" worden geïnterpreteerd als verwijzingen naar de AVG van het VK; verwijzingen naar specifieke Artikelen van de "Verordening (EU) 2016/679" worden vervangen door het equivalente Artikel of de equivalente sectie van de GVA van het VK; alle verwijzingen naar "EU" en "Unie" worden vervangen door "VK" en alle verwijzingen naar "Recht van de Lid-Staat" wordt vervangen door "Recht van het VK"; Bepaling 13(a) en Deel C van Bijlage II van de MCB's van de EU worden niet gebruikt; verwijzingen naar de "bevoegde Toezichthoudende autoriteit" en "bevoegde rechtbanken" worden geïnterpreteerd als verwijzingen naar de Information Commissioner en de rechtbanken van Engeland en Wales; Bepaling 17 van de MCB's van de EU wordt vervangen door de melding dat "de Bepalingen worden geregeld door de wetten van Engeland en Wales" en Bepaling 18 van de MCB's van de EU wordt vervangen door de melding dat "Elk geschil dat voortvloeit uit deze Bepalingen zal worden beslecht door de rechtbanken van Engeland en Wales. Een Betrokkene kan gerechtelijke stappen ondernemen tegen de gegevensexporteur en/of gegevensimporteur voor de rechtbanken van elk land in het VK. De partijen komen overeen zich te onderwerpen aan de jurisdictie van dergelijke rechtbanken;"
            2. voor zover en zolang de MCB's van de EU zoals geïmplementeerd in overeenstemming met paragraaf 2(A) hierboven niet kunnen worden gebruikt om de Persoonsgegevens van het Bedrijf die worden beschermd door de GBO van het VK rechtmatig door te geven aan de Leverancier, zullen de MCB's van het VK worden opgenomen in en een integraal onderdeel vormen van deze GBO en van toepassing zijn op dergelijke doorgiften; en
               
            3. voor de toepassing van de MCB's van het VK (waar van toepassing) worden de relevante Bijlagen/Aanhangsels van de MCB's van het VK geacht aangevuld te zijn met de informatie die vermeld is in Bijlage A en Bijlage B van deze GBO.
         3. Met betrekking tot Persoonsgegevens van het Bedrijf die worden beschermd door de Zwitserse WoGB, zijn de MCB's van de EU zoals geïmplementeerd in overeenstemming met paragraaf (1) hierboven van toepassing, met dien verstande dat:
            1. verwijzingen in de MCB's van de EU naar "Verordening (EU) 2016/679" of de "AVG" worden geïnterpreteerd als verwijzingen naar de Zwitserse federale wet op de gegevensbescherming (WoGB);
            2. verwijzingen naar "EU" en "Unie" worden geïnterpreteerd als verwijzingen naar Zwitserland en verwijzingen naar "Recht van de Lid-Staat" worden geïnterpreteerd als verwijzingen naar het Zwitsers recht, al naargelang het geval;
               
            3. de term "Lid-staat" mag niet zodanig worden geïnterpreteerd dat Betrokkenen in Zwitserland worden uitgesloten van de mogelijkheid om hun rechten in hun gewone verblijfplaats (Zwitserland) aan te klagen;
            4. de Bepalingen van de MCB's van de EU moeten worden geïnterpreteerd als een bescherming van de gegevens van juridische entiteiten tot de inwerkingtreding van de herziene WoGB; en
            5. verwijzingen naar de "bevoegde Toezichthoudende autoriteit" en "bevoegde rechtbanken" worden geïnterpreteerd als verwijzingen naar de Zwitserse Federal Data Protection and Information Commissioner ("FDPIC") en bevoegde rechtbanken in Zwitserland.
         4. In het geval dat enige bepaling van deze Overeenkomst of deze GBO direct of indirect in tegenspraak is met de Modelbepalingen, prevaleren de Modelbepalingen.
            1. Alternatief doorgiftemechanisme: voor zover Seagate een alternatief mechanisme voor gegevensexport toepast (inclusief elke nieuwe versie van of opvolger van de MCB's die zijn aangenomen in overeenstemming met de toepasselijke EU-wetgeving inzake gegevensbescherming) voor de doorgifte van Persoonsgegevens die niet in deze GBO worden beschreven ("Alternatief doorgiftemechanisme"), zal het Alternatief doorgiftemechanisme van toepassing zijn in plaats van andere toepasselijke doorgiftemechanismen beschreven in deze GBO (maar alleen voor zover een dergelijk Alternatief doorgiftemechanisme voldoet aan de Europese wetgeving inzake gegevensbescherming en zich uitstrekt tot de gebieden waarnaar Persoonsgegevens worden doorgegeven) en stemt het Bedrijf ermee in om dergelijke andere en verdere documenten uit te voeren en alle andere en verdere acties te ondernemen die redelijkerwijs nodig kunnen zijn om aan een ​​dergelijk Alternatief doorgiftemechanisme rechtskracht te geven. Indien en voor zover een bevoegde rechtbank of een toezichthoudende autoriteit met bindend gezag (om welke reden dan ook) beveelt of bepaalt dat de in deze GBO beschreven maatregelen niet kunnen worden ingeroepen om dergelijke Persoonsgegevens rechtmatig over te dragen, erkent het Bedrijf en stemt het Bedrijf ermee in dat Seagate eventuele aanvullende maatregelen of waarborgen kan implementeren die redelijkerwijs vereist kunnen zijn om de rechtmatige doorgifte van dergelijke Persoonsgegevens van het Bedrijf mogelijk te maken.
               
   3. Doorgifte uit landen met vereisten voor gegevensexport. Als Toepasselijke privacywetgeving vereist dat verdere stappen worden ondernomen met betrekking tot een toepasselijke beperking van gegevensexport om de doorgifte van Persoonsgegevens van het Bedrijf aan Seagate (inclusief zijn Subverwerkers) mogelijk te maken, zal het Bedrijf voldoen aan dergelijke vereisten voor gegevensbescherming, waaronder het verkrijgen van de vereiste toestemmingen of het uitvoeren van alle toepasselijke overeenkomsten voor gegevensdoorgifte (bijv. modelcontractbepalingen) of een alternatieve oplossing om ervoor te zorgen dat de juiste waarborgen voor een dergelijke doorgifte aanwezig zijn.
4. NALEVING EN AANSPRAKELIJKHEID
   1. Audit. Niet meer dan eens per twaalf (12) maanden mag het Bedrijf Seagate verzoeken om het Bedrijf informatie ter beschikking te stellen die strikt noodzakelijk is om de naleving van Toepasselijke privacywetgeving met betrekking tot de Verwerking van Persoonsgegevens van het Bedrijf aan te tonen. Seagate zal audits door het Bedrijf of een door het Bedrijf gemachtigde onafhankelijke externe controleur toestaan ​​en eraan bijdragen, op kosten van het Bedrijf. Een dergelijke onafhankelijke externe controleur moet worden goedgekeurd door Seagate (behalve als deze derde een bevoegde Toezichthoudende autoriteit is). De controleur moet een schriftelijke vertrouwelijkheidsovereenkomst opstellen die voor Seagate aanvaardbaar is of anderszins gebonden zijn aan een wettelijke geheimhoudingsplicht alvorens de audit uit te voeren.
      
   2. Reikwijdte van audit. Om een ​​audit aan te vragen, moet het Bedrijf Seagate dertig (30) kalenderdagen van tevoren schriftelijk op de hoogte stellen en aan Seagate een voorgesteld auditplan voorleggen waarin de voorgestelde reikwijdte, duur en startdatum van de audit worden beschreven. Seagate zal het voorgestelde auditplan beoordelen en het Bedrijf eventuele zorgen of vragen verstrekken (bijvoorbeeld bij een verzoek om informatie dat de veiligheid, privacy, werkgelegenheid of ander relevant beleid van Seagate of van een Gelieerde onderneming van Seagate in gevaar zou kunnen brengen). Seagate zal samenwerken met het Bedrijf om overeenstemming te bereiken over een definitief auditplan.
      
   3. Auditrapport. Het Bedrijf zal Seagate alle auditrapporten verstrekken die zijn gegenereerd in verband met een audit, tenzij anderszins verboden door de Toepasselijke privacywetgeving of anderszins geïnstrueerd door een Toezichthoudende autoriteit. Het Bedrijf mag de auditrapporten alleen gebruiken om te voldoen aan de wettelijke auditvereisten van het Bedrijf en/of om de naleving van de vereisten van deze GBO te bevestigen. De auditrapporten, inclusief alle informatieve informatie die door Seagate voor de audit is verstrekt, zijn Vertrouwelijke informatie van Seagate.
   4. Aantoonbare naleving. Seagate stemt ermee in om op redelijk verzoek van het Bedrijf informatie te verstrekken die redelijkerwijs noodzakelijk is om de naleving van de toepasselijke Privacywetgeving van de Amerikaanse staat aan te tonen.
5. VERANTWOORDELIJKHEDEN VAN SEAGATE NA EEN INBREUK OP DE GEGEVENSBESCHERMING
   1. Kennisgeving van Inbreuk op de gegevensbescherming. Seagate stelt het Bedrijf onverwijld schriftelijk op de hoogte van een Inbreuk op de gegevensbescherming en zal:
      1. de Inbreuk op de gegevensbescherming onderzoeken of redelijke ondersteuning bieden bij het onderzoek;
      2. het Bedrijf informatie verstrekken over de Inbreuk op de gegevensbescherming en onmiddellijk aanvullende relevante informatie verstrekken zodra deze beschikbaar komt; en
      3. commercieel redelijke stappen ondernemen om de Inbreuk op de gegevensbescherming in te dammen, de gevolgen van de Inbreuk op de gegevensbescherming verminderen of het Bedrijf hierbij helpen op kosten van het Bedrijf.
   2. Overwegingen bij kennisgeving. Een kennisgeving van of reactie op een Inbreuk op de gegevensbescherming op grond van deze paragraaf ("Reactie op Inbreuk op de gegevensbescherming") zal niet worden opgevat als een erkenning door Seagate van enige fout of aansprakelijkheid met betrekking tot de Inbreuk op de gegevensbescherming.
   3. Communicatie. Seagate zal zonder voorafgaande toestemming van het Bedrijf geen communicaties publiceren met betrekking tot een Inbreuk op de gegevensbescherming op een manier die de identiteit van het Bedrijf zou onthullen of waarschijnlijk zou onthullen, tenzij door de wetgeving anders wordt vereist.
   4. Behoud van bewijsmateriaal. Seagate houdt een noodplan voor incidenten bij. Na de vaststelling van een Inbreuk op de gegevensbescherming houdt Seagate het beschikbare bewijsmateriaal bij dat verband houdt met de Inbreuk op de gegevensbescherming en houdt Seagate een duidelijke commandostructuur aan volgens een noodplan voor incidenten van Seagate.
6. RETOURNERING EN VEILIGE VERWIJDERING VAN PERSOONSGEGEVENS VAN HET BEDRIJF
   1. Retournering en verwijdering van Persoonsgegevens van het Bedrijf. (a) Op verzoek van het Bedrijf of, indien die omstandigheid zich eerder voordoet, (b) na afloop of vervroegde beëindiging van de overeenkomst(en) tussen de partijen en/of hun Gelieerde ondernemingen, met betrekking tot de Verwerking van Persoonsgegevens van het Bedrijf, zal, naar eigen inzicht van het Bedrijf, Seagate de Persoonsgegevens van het Bedrijf exporteren, of zijn Subverwerkers hiertoe de opdracht geven, of het Bedrijf of zijn aangewezen derde partij de mogelijkheid bieden om alle Persoonsgegevens van het Bedrijf te exporteren in een door computers leesbaar en compatibel formaat, tenzij het bewaren van Persoonsgegevens van het Bedrijf vereist is door Toepasselijke privacywetgevingen. Elke partij wijst een contactpersoon aan om de Persoonsgegevens van het Bedrijf te migreren en zal snel, nauwgezet en te goeder trouw werken om een spoedige doorgifte mogelijk te maken. Binnen 90 dagen nadat Seagate (a) de migratie van de Persoonsgegevens van het Bedrijf heeft voltooid, of (b) het Bedrijf Seagate op de hoogte stelt van zijn keuze om de Persoonsgegevens van het Bedrijf niet te migreren, zullen Seagate en Subverwerkers alle Persoonsgegevens van het Bedrijf veilig vernietigen en overschrijven met nieuwe gegevens of de Persoonsgegevens van het Bedrijf anderszins vernietigen door middel van een goedgekeurde opschoonmethode.
   2. Verwijderingsverplichtingen. Onverminderd sectie 6.1, kan het zijn dat Seagate, ongeacht of het Bedrijf Seagate opdracht geeft om de Persoonsgegevens van het Bedrijf te retourneren, de Persoonsgegevens van het Bedrijf uit de services moet verwijderen bij het verstrijken of eerder beëindigen van de overeenkomst(en) tussen de partijen en/of hun Gelieerde ondernemingen met betrekking tot de Verwerking van Persoonsgegevens van het Bedrijf, tenzij het bewaren van Persoonsgegevens van het Bedrijf vereist is door Toepasselijke privacywetgevingen. Indien het Bedrijf ervoor kiest om Persoonsgegevens van het Bedrijf in te nemen in of te migreren naar een andere Seagate-service, inclusief maar niet beperkt tot Seagate Lyve Services, erkent het Bedrijf dat Seagate, na een geslaagde inname of migratie van dergelijke gegevens, Persoonsgegevens van het Bedrijf die in de oorspronkelijke service zijn opgeslagen, mag verwijderen of anderszins afvoeren. Het Bedrijf erkent dat Seagate vanwege de aard van de service geen technische toegang tot de gegevens heeft zonder aanvullende toestemmingen, om de continuïteit van de beveiliging te waarborgen.
   3. Vernietiging van Persoonsgegevens van het Bedrijf. Tenzij anderszins verboden door Toepasselijke privacywetgevingen, zal Seagate, als het papieren, elektronische of andere media met Persoonsgegevens van het Bedrijf afvoert, hierbij alle redelijke stappen ondernemen om Persoonsgegevens van het Bedrijf als volgt te vernietigen: (a) versnipperen; (b) permanent wissen en verwijderen; (c) demagnetiseren; of (d) de Persoonsgegevens van het Bedrijf op die media anderszins wijzigen om deze onleesbaar, onherstelbaar en onontcijferbaar te maken. Indien Seagate een harde schijf die een kopie van Persoonsgegevens van het Bedrijf bevat, buiten bedrijf stelt of op andere wijze uit bedrijf neemt, dient Seagate de harde schijf veilig te versnipperen of te vernietigen, zodat de Persoonsgegevens van het Bedrijf onleesbaar en vernietigd worden conform de norm NIST 800-88, revisie 1.
7. DIVERSEN
   1. Looptijd. Deze GBO blijft van kracht tot (i) er tussen de partijen geen actieve overeenkomsten meer zijn en tot (ii) Seagate geen Persoonsgegevens van het Bedrijf meer in bewaring of beheer heeft, noch er toegang toe heeft. Seagate zal Persoonsgegevens van het Bedrijf Verwerken totdat de relatie wordt beëindigd zoals aangegeven in de Overeenkomst. De verplichtingen van Seagate en de rechten van het Bedrijf krachtens deze GBO blijven van kracht zolang Seagate Persoonsgegevens van het Bedrijf Verwerkt.
   2. Rangorde. De Overeenkomst blijft ongewijzigd en volledig van kracht. In geval van discrepanties tussen deze GBO en enige overeenkomst(en) tussen de partijen en/of hun Gelieerde ondernemingen, prevaleren de bepalingen van de volgende documenten (in volgorde van prioriteit): (a) Modelcontractbepalingen (indien van toepassing); dan (b) deze GBO; en vervolgens (c) het hoofdgedeelte van de Overeenkomst. Deze GBO begrenst, noch beperkt de Modelcontractbepalingen, en wordt geacht alleen te worden opgevat als een aanvulling van de Modelcontractbepalingen.
   3. Updates. De partijen zullen in redelijkheid samenwerken om deze GBO indien nodig bij te werken bij onderlinge schriftelijke overeenkomst om de naleving van toepasselijke wet- en regelgeving te waarborgen.
   4. Servicegegevens. Niettegenstaande andersluidende bepalingen in de Overeenkomst (inclusief deze GBO), heeft Seagate het recht om gegevens met betrekking tot het gebruik, de ondersteuning en/of de werking van de Services ("Servicegegevens") te verzamelen, te gebruiken en openbaar te maken voor zijn legitieme zakelijke doeleinden, zoals facturering, accountbeheer, technische ondersteuning en productontwikkeling. Voor zover dergelijke Servicegegevens worden beschouwd als Persoonsgegevens van het Bedrijf op grond van Toepasselijke privacywetgevingen, is Seagate verantwoordelijk voor en Verwerkt Seagate deze gegevens in overeenstemming met het Seagate-privacybeleid (waarvan de meest recente versie te vinden is op https://www.seagate.com/legal-privacy/) (zoals van tijd tot tijd bijgewerkt) en Toepasselijke privacywetgevingen. Voor alle duidelijkheid en met uitzondering van deze Sectie 7.4, zijn de voorwaarden van deze GBO niet van toepassing op Servicegegevens.
   5. Externe begunstigden. De Gelieerde ondernemingen van Seagate zijn aangewezen externe begunstigden van deze GBO; en zij mogen de bepalingen van deze GBO handhaven alsof zij een ondertekenaar zijn van deze GBO. Seagate mag ook de bepalingen van deze GBO handhaven namens zijn Gelieerde ondernemingen, in plaats van zijn Gelieerde ondernemingen apart een rechtsvordering te laten instellen tegen het Bedrijf.
   6. Openbaarmaking aan Toezichthoudende autoriteit of Regelgevingsinstantie. Het Bedrijf erkent dat Seagate deze GBO (inclusief de MCB's) en alle relevante privacybepalingen in de Overeenkomst op hun verzoek mag bekendmaken aan de Amerikaanse Federal Trade Commission, een Europese gegevensbeschermingsautoriteit of een andere gerechtelijke of regelgevende instantie.
   7. Scheidbaarheid Indien een van de bepalingen van deze GBO niet van kracht of nietig is, is dit niet van invloed op de overige bepalingen. De partijen zullen de niet van kracht zijnde of ongeldige bepaling vervangen door een wettige bepaling die het doel van de niet van kracht zijnde of ongeldige bepaling weergeeft. Indien een noodzakelijke bepaling ontbreekt, voegen de partijen te goeder trouw een geschikte bepaling toe.
   8. Exemplaren. Deze GBO kan elektronisch zijn ondertekend, en dergelijke elektronische handtekeningen zullen worden beschouwd als een originele handtekening, ook voor bewijsvoeringsdoeleinden. Deze GBO kan worden ondertekend in twee of meer exemplaren, waarvan geen exemplaar de handtekeningen van beide partijen hoeft te bevatten, en die elk als een origineel worden beschouwd en die samen één en hetzelfde instrument vormen.
   9. Interpretatie. De titels in deze GBO zijn alleen bestemd voor referentiedoeleinden en hebben geen invloed op de interpretatie van deze overeenkomst.
   10. Aansprakelijkheid De aansprakelijkheid van elke partij en al haar Gelieerde ondernemingen, gezamenlijk als geheel, voortvloeiend uit of verband houdend met deze GBO (inclusief de Modelcontractbepalingen), hetzij op grond van overeenkomst, onrechtmatige daad (inclusief nalatigheid) of enige andere theorie van aansprakelijkheid, zal onderhevig zijn aan de beperkingen en uitsluitingen van aansprakelijkheid in (of door verwijzing opgenomen in) de Overeenkomst voor zover maximaal toegestaan ​​door de Toepasselijke privacywetgeving, met dien verstande dat dergelijke beperkingen niet van toepassing zijn op de aansprakelijkheid van een partij die voortvloeit uit de Modelcontractbepalingen.
   11. Rechtskeuze. Deze GBO wordt beheerst door en geïnterpreteerd in overeenstemming met het toepasselijke recht en de jurisdictiebepalingen in de Overeenkomst, tenzij anders vereist door de Toepasselijke privacywetgeving.

BIJLAGE A
BESCHRIJVING VAN GEGEVENSVERWERKING

 

A. LIJST VAN PARTIJEN

 

MODULE TWEE: doorgifte tussen Verwerkingsverantwoordelijke en Verwerker

 

MODULE DRIE: doorgifte tussen twee Verwerkers

 

Gegevensexporteur(s):

 

BEDRIJF

 

Contactgegevens: zoals gespecificeerd in de Overeenkomst. Het e-mailadres dat/de e-mailadressen die het Bedrijf opgeeft in het account van het Bedrijf via zijn meldingsvoorkeuren.

 

Activiteiten die relevant zijn voor de doorgifte: het Bedrijf maakt gebruik van de Lyve Service(s) gespecificeerd in de Overeenkomst en is verantwoordelijk voor het gebruik van de Lyve Service(s) in overeenstemming met de toepasselijke documentatie.

 

Handtekening en datum: door het aangaan van de Overeenkomst wordt de gegevensexporteur geacht deze hierin opgenomen Modelcontractbepalingen, inclusief hun Bijlagen, te hebben ondertekend vanaf de Ingangsdatum van de Overeenkomst.

 

Rol van gegevensexporteur: de rol van de gegevensexporteur is uiteengezet in sectie 2.1 (Gegevensbeschermingsrollen) van de GBO.

 

Gegevensimporteur(s):

 

SEAGATE

 

Contactgegevens: zoals gespecificeerd in de Overeenkomst. Er kan contact worden opgenomen met het Privacyteam van Seagate op het e-mailadres [email protected].

 

Activiteiten die relevant zijn voor de doorgifte: Seagate Verwerkt Persoonsgegevens van het Bedrijf voor het onderwerp dat gespecificeerd is in de Overeenkomst en totdat de Overeenkomst eindigt of afloopt, tenzij schriftelijk anders is overeengekomen door de partijen. Het onderwerp wordt bepaald door de Lyve Service(s) waarop het Bedrijf is geabonneerd en de gegevens die het Bedrijf uploadt naar de Lyve Service(s).

 

Handtekening en datum: door het aangaan van de Overeenkomst wordt de gegevensimporteur geacht deze hierin opgenomen Modelcontractbepalingen, inclusief hun Bijlagen, te hebben ondertekend vanaf de Ingangsdatum van de Overeenkomst.

 

Rol van gegevensimporteur: de rol van de gegevensimporteur is uiteengezet in sectie 2.1 (Gegevensbeschermingsrollen) van de GBO.

 

B. BESCHRIJVING VAN DOORGIFTE

 

MODULE TWEE: doorgifte tussen Verwerkingsverantwoordelijke en Verwerker

 

MODULE DRIE: doorgifte tussen twee Verwerkers

 

Categorieën van Betrokkenen wier Persoonsgegevens worden doorgegeven

 

Het Bedrijf kan Persoonsgegevens van het Bedrijf aan Seagate verstrekken, waarvan de omvang door het Bedrijf naar eigen goeddunken wordt bepaald en beheerd, en die Persoonsgegevens kunnen omvatten, maar zijn niet beperkt tot, de volgende categorieën van Betrokkenen:

1. Voormalige en huidige werknemers, adviseurs, consultants, leveranciers, aannemers, onderaannemers en agenten van het Bedrijf;
2. Voormalige en huidige zakenpartners van het Bedrijf, en hun werknemers, partners, adviseurs, consultants, leveranciers, aannemers, onderaannemers en agenten; en
3. Voormalige en huidige klanten van het Bedrijf, en hun werknemers, partners, adviseurs, consultants, leveranciers, aannemers, onderaannemers en agenten.

Categorieën van Persoonsgegevens die worden doorgegeven

 

Het Bedrijf kan Persoonsgegevens van het Bedrijf aan Seagate verstrekken. De omvang ervan bepaalt en controleert het Bedrijf naar eigen goeddunken en dit kan Persoonsgegevens omvatten die door het Bedrijf zijn verstrekt, namens het Bedrijf zijn verstrekt of door Seagate zijn verzameld in verband met de Services.

 

Gevoelige gegevens die worden doorgegeven (indien van toepassing) en toegepaste beperkingen of waarborgen waarmee ten volle rekening wordt gehouden met de aard van de gegevens en de bijbehorende risico’s, zoals strikte beperking van het doel, toegangsbeperkingen (waaronder uitsluitend toegang voor personeelsleden die een gespecialiseerde opleiding hebben gevolgd), het in een register bijhouden van toegang tot de gegevens, beperkingen voor verdere doorgiften, of bijkomende beveiligingsmaatregelen.

 

Het Bedrijf kan gevoelige gegevens aan Seagate verstrekken. De omvang ervan bepaalt en controleert het Bedrijf naar eigen goeddunken en dit kan gevoelige gegevens omvatten die door het Bedrijf zijn verstrekt, namens het Bedrijf zijn verstrekt of door Seagate zijn verzameld in verband met de Services. De beveiligingen die Seagate implementeert, zijn zoals beschreven in Bijlage II.

 

De frequentie van de doorgifte (bv. of de gegevens eenmalig of continu worden doorgegeven).

 

Het Bedrijf bepaalt en controleert naar eigen goeddunken de frequentie van de doorgifte van Persoonsgegevens door het Bedrijf aan Seagate en het Bedrijf voert deze uit in overeenstemming met de Overeenkomst (inclusief deze GBO).

 

Aard van de Verwerking

 

Seagate Verwerkt de Persoonsgegevens van het Bedrijf uitsluitend met het oog op het leveren van de Services aan het Bedrijf op grond van de Overeenkomst (inclusief deze GBO).

 

Doeleinde(n) van de gegevensdoorgifte en verdere Verwerking

 

Het Bedrijf geeft de Persoonsgegevens van het Bedrijf uitsluitend door met het oog op de ontvangst van de Services op grond van de Overeenkomst (inclusief deze GBO), met inbegrip van:

1. Opslag en andere Verwerkingen die nodig zijn voor het leveren, onderhouden en verbeteren van de Services die op grond van de Overeenkomst aan het Bedrijf worden geleverd; en/of
2. Openbaarmakingen in overeenstemming met de Overeenkomst en/of zoals vereist door de toepasselijke wetgeving.

De periode gedurende welke de Persoonsgegevens zullen worden bewaard, of indien dat niet mogelijk is, de criteria om die termijn te bepalen

 

Seagate bewaart de Persoonsgegevens van het Bedrijf die door het Bedrijf aan Seagate zijn doorgegeven in overeenstemming met de Overeenkomst (inclusief deze GBO) en in overeenstemming met de gedocumenteerde wettelijke instructies van het Bedrijf.

 

Voor doorgiften aan (Sub)Verwerkers ook het onderwerp, de aard en de duur van de Verwerking opgeven

 

N.v.t.

 

C. BEVOEGDE TOEZICHTHOUDENDE AUTORITEIT

 

MODULE TWEE: doorgifte tussen Verwerkingsverantwoordelijke en Verwerker

 

MODULE DRIE: doorgifte tussen twee Verwerkers

 

De bevoegde toezichthoudende autoriteiten identificeren in overeenstemming met Bepaling 13

 

De bevoegde toezichthoudende autoriteit is, in overeenstemming met Bepaling 13 van de MCB's van de EU, ofwel (i) de toezichthoudende autoriteit die van toepassing is op de gegevensexporteur in het EER-land van vestiging, of (ii) wanneer de gegevensexporteur niet in de EER is gevestigd, de toezichthoudende autoriteit die van toepassing is in het EER-land waar de EU-vertegenwoordiger van de gegevensexporteur is aangewezen overeenkomstig Artikel 27(1) van de AVG, of (iii) wanneer de gegevensexporteur niet verplicht is een vertegenwoordiger aan te wijzen, de toezichthoudende autoriteit die van toepassing is op het EER-land waar de voor de doorgifte relevante Betrokkenen zich bevinden. Met betrekking tot de Verwerking van Persoonsgegevens van het Bedrijf waarop de AVG van het VK van toepassing is, is de bevoegde toezichthoudende autoriteit het Information Commissioner's Office (het "ICO"). Met betrekking tot de Verwerking van Persoonsgegevens waarop de Zwitserse WoGB van toepassing is, is de bevoegde toezichthoudende autoriteit de Zwitserse Federal Data Protection and Information Commissioner ("FDPIC").

 

 

BIJLAGE B

TECHNISCHE EN ORGANISATORISCHE MAATREGELEN WAARONDER TECHNISCHE EN ORGANISATORISCHE MAATREGELEN OM DE BEVEILIGING VAN DE GEGEVENS TE WAARBORGEN

 

MODULE TWEE: doorgifte tussen Verwerkingsverantwoordelijke en Verwerker

 

MODULE DRIE: doorgifte tussen twee Verwerkers

 

Beschrijving van de technische en organisatorische maatregelen die de gegevensimporteur(s) heeft(hebben) genomen (met inbegrip van eventuele relevante certificeringen) om een passend beveiligingsniveau te waarborgen, rekening houdend met de aard, reikwijdte, context en doeleinden van de Verwerking en met de risico’s voor de rechten en vrijheden van natuurlijke personen.

 

Seagate zal een uitgebreid schriftelijk informatiebeveiligingsprogramma implementeren, onderhouden, monitoren en, waar nodig, bijwerken. Het informatiebeveiligingsprogramma van Seagate bevat administratieve, technische en fysieke veiligheidsmaatregelen om Persoonsgegevens van het Bedrijf te beschermen tegen verwachte bedreigingen of gevaren voor de veiligheid, vertrouwelijkheid of integriteit ervan (zoals ongeautoriseerd openen, verzamelen, gebruiken, kopiëren, wijzigen, verwijderen of openbaar maken en ongeautoriseerd, onrechtmatig of onopzettelijk verliezen, vernietigen, verwerven of beschadigen of enige andere ongeautoriseerde vorm van Verwerking) ("Informatiebeveiligingsprogramma").

 

Seagate heeft een apart en vast informatiebeveiligingsteam dat het Informatiebeveiligingsprogramma van Seagate beheert. Dit team faciliteert en ondersteunt onafhankelijke audits en beoordelingen door derden. Het Bedrijf erkent dat het Informatiebeveiligingsprogramma onderhevig is aan technische vooruitgang en ontwikkeling en dat Seagate een dergelijk programma van tijd tot tijd mag updaten of wijzigen, op voorwaarde dat dergelijke updates en wijzigingen niet leiden tot een verslechtering van de algehele beveiliging van de door het Bedrijf gekochte Lyve Services.

 

Seagate beoordeelt of bewerkt geen gegevens, inhoud of materiaal die zijn gemaakt, opgeslagen of toegankelijk gemaakt via de Lyve Services.

 

De volgende maatregelen zijn getroffen om de Persoonsgegevens van het Bedrijf die worden verwerkt door Lyve Cloud Services en Lyve Mobile Services (gezamenlijk de "Lyve Services") te beschermen:

 

Versleuteling van Persoonsgegevens: maatregelen die het mogelijk maken duidelijk leesbare informatie door middel van een cryptografisch proces om te zetten in een onleesbare tekenreeks.

1. Seagate heeft robuuste beveiligingsmaatregelen geïmplementeerd om ervoor te zorgen dat Persoonsgegevens van het Bedrijf beschermd blijven, waaronder 256-bits AES-GCM-versleuteling van gegevens in rust voor Lyve Cloud Services en TCG Enterprise, 256-bits AES-SED-versleuteling van gegevens in rust voor Lyve Mobile Services en ondersteuning voor versleuteling van gegevens in beweging.
2. Een belangrijk beveiligingskenmerk van de Lyve Services is dat Seagate alle gegevens versleutelt voordat ze worden opgeslagen, ongeacht of ze bij de bron zijn versleuteld. Er is geen optie om de bescherming terug te draaien. Wanneer het Bedrijf ervoor kiest om zijn huurovereenkomst met Lyve Services te beëindigen, worden zijn gegevens veilig gewist.
3. Datacenters van derden hosten Lyve Cloud Services, waardoor de hoogste klasse van beschikbaarheid en toegang tot datacenters wordt gegarandeerd. De gegevensversleuteling is zo ontworpen dat deze niet kan worden uitgeschakeld vanuit Lyve Cloud Services. Dit betekent dat gegevens in rust en in beweging altijd versleuteld zijn. Verder beschermt ransomwarebescherming gegevens tegen kwaadaardige aanvallen, terwijl objectonveranderlijkheid gegevens beschermt tegen onopzettelijke manipulatie of verwijdering.

Maatregelen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van Verwerkingssystemen en -diensten te garanderen:

1. Vertrouwelijkheid: maatregelen die ervoor zorgen dat informatie alleen toegankelijk is voor een bevoegde persoon en om te voorkomen dat onbevoegden toegang krijgen tot systemen en toepassingen die worden gebruikt voor de Verwerking van Persoonsgegevens.
   • Seagate heeft een specifiek beleid voor toegangscontrole.
   • Systeem met gedifferentieerde rechten op basis van beveiligingsgroepen en toegangscontrolelijsten.
   • Wachtwoordbeleid, inclusief richtlijnen voor het omgaan met wachtwoorden.
   • Wachtwoorden vereisen een gedefinieerde minimale complexiteit. De initiële wachtwoorden moeten worden gewijzigd na de eerste aanmelding.
   • Beheer van toegangsrechten inclusief autorisatieconcept, implementatie van toegangsbeperkingen, implementatie van het "voor zover dit nodig is"-principe, beheer van individuele toegangsrechten.
   • Trainings- en vertrouwelijkheidsovereenkomsten voor intern en extern personeel.
   • Netwerkscheiding.
   • Autorisatieverzoeken worden regelmatig bijgehouden, geregistreerd en gecontroleerd.
   • Verwijdering van toegang voor werknemers bij beëindiging of verandering van dienstverband.
   • Processen voor het inrichten en beëindigen van accounts.
   • Scheiding van verantwoordelijkheden en taken om de kans op ongeoorloofde of onbedoelde wijziging of misbruik te verkleinen.
   • Geheimhoudingsvereisten opgelegd aan werknemers.
   • Verplichte beveiligingstraining voor werknemers, die betrekking heeft op gegevensprivacy en -beheer, gegevensbescherming, vertrouwelijkheid, social engineering, wachtwoordbeleid en algemene beveiligingsverantwoordelijkheden binnen en buiten Seagate.
   • Geheimhoudingsovereenkomsten met derden.
   • Scheiding van netwerken op basis van vertrouwensniveaus.
2. Integriteit: maatregelen die ervoor zorgen dat Persoonsgegevens van het Bedrijf niet zonder toestemming kunnen worden gelezen, gekopieerd, gewijzigd of verwijderd tijdens elektronische verzending of transport, en dat het mogelijk is om te controleren en vast te stellen of en door wie gegevens in gegevensverwerkingssystemen zijn ingevoerd, gewijzigd of verwijderd.
   • Logboekverificatie en bewaakte logische systeemtoegang.
   • Logboekregistratie van gegevenstoegang inclusief, maar niet beperkt tot toegang, wijziging, invoer en verwijdering van gegevens.
   • Documentatie van gegevensinvoerrechten en logboekregistratie van beveiligingsgerelateerde vermeldingen.
3. Beschikbaarheid en veerkracht: maatregelen die het risico verminderen dat Persoonsgegevens van het Bedrijf per ongeluk worden vernietigd of verloren gaan als gevolg van interne of externe invloeden en die ervoor zorgen dat aanvallen kunnen worden weerstaan of dat systemen na een aanval snel weer in gebruik kunnen worden genomen.

 

Maatregelen om het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot het Lyve Cloud Services-systeem tijdig te herstellen te waarborgen: Maatregelen die het mogelijk maken om het systeem snel te herstellen bij een fysiek of technisch incident.

1. Continuïteitsplanning en noodherstelplan.
2. Noodherstelprocessen om processen te herstellen.
3. Procedures voor het afhandelen en melden van incidenten (incidentbeheer) inclusief het detecteren van en reageren op mogelijke beveiligingsincidenten.

 

Procedures voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen van de Lyve Cloud Services ter beveiliging van de Verwerking:

1. Het monitoren en loggen van activiteiten legt gebeurtenissen vast en genereert bewijs. Productie- en andere kritieke systemen produceren gebeurtenislogboeken waarin gebruikersactiviteiten, uitzonderingen, fouten en informatiebeveiligingsgebeurtenissen worden vastgelegd.
2. Alleen geautoriseerde Seagate-medewerkers hebben toegang tot alle logboeken en er zijn toegangscontroles om ongeautoriseerde toegang te voorkomen.
3. Seagate beschermt logboekgegevens tegen manipulatie en onbevoegde toegang. Dit omvat het beveiligen van de controles tegen ongeoorloofde wijzigingen aan logboekgegevens en operationele problemen.

 

Maatregelen voor de identificatie en autorisatie van gebruikers:

1. Er zijn procedures voor het vastleggen en loggen van informatie met betrekking tot de interactie van systemen, toepassingen en gebruikersaccounts.
2. Toegang tot programmabroncode en bijbehorende items (zoals ontwerpen, specificaties, verificatie en validatieplannen) is beperkt om de introductie van ongeautoriseerde functionaliteit te voorkomen en om onbedoelde wijzigingen te voorkomen, en om de vertrouwelijkheid van intellectuele eigendom te behouden.
3. Er is een formeel gebruikersregistratie- en uitschrijvingsproces voor het beheer van identificaties geïmplementeerd om toegangsrechten toe te wijzen. Dit omvat het uitgeven van unieke gebruikersidentificaties om de persoon te identificeren die toegang heeft tot de Lyve Services (gedeelde identificaties zijn niet toegestaan) en het onmiddellijk uitschakelen of verwijderen van identificaties wanneer iemand het dienstverband beëindigt of wanneer een contractant/leverancier een contract beëindigt, of geen toegang meer nodig heeft.
4. Controle over de toewijzing van geheime authenticatie-informatie (bijv. wachtwoorden, cryptografische sleutels, hardwaretokens of smartcards) moet worden gehandhaafd via een formeel proces waarbij gebruikers, als onderdeel van hun arbeidsvoorwaarden, moeten erkennen dat zij deze informatie vertrouwelijk zullen houden.

 

Maatregelen voor de bescherming van gegevens tijdens de toezending naar Lyve Cloud Services:

1. Lyve Cloud Services heeft robuuste beveiligingsmaatregelen geïmplementeerd om ervoor te zorgen dat Persoonsgegevens van het Bedrijf beschermd blijven, inclusief versleuteling van gegevens in rust en ondersteuning voor versleuteling van gegevens in beweging.
2. Geautoriseerde personen die toegang hebben tot het netwerk vanaf externe locaties, moeten goedgekeurde coderings- en authenticatiemethoden en -technologie gebruiken.
3. Seagate staat het gebruik van gedeelde accounts niet toe om op afstand toegang te krijgen tot het netwerk.
4. Seagate beperkt toegang op afstand tot alleen de vereiste bronnen en services.

 

Maatregelen voor de bescherming van Persoonsgegevens van het Bedrijf tijdens de opslag:

1. Lyve Services heeft robuuste beveiligingsmaatregelen geïmplementeerd om ervoor te zorgen dat Persoonsgegevens van het Bedrijf beschermd blijven, inclusief versleuteling van gegevens in rust en ondersteuning voor versleuteling van gegevens in beweging.
2. Seagate-klanteninstanties van de Lyve Cloud Services zijn logisch gescheiden en pogingen om toegang te krijgen tot gegevens buiten de toegestane domeingrenzen worden voorkomen en vastgelegd.
3. Er zijn maatregelen getroffen om ervoor te zorgen dat uitvoerbare uploads, code of onbevoegde actoren geen toegang krijgen tot ongeautoriseerde gegevens, waaronder een klant die toegang heeft tot bestanden van een andere klant.

 

Maatregelen om de fysieke beveiliging van locaties waar Persoonsgegevens van het Bedrijf worden Verwerkt te waarborgen:

1. Beveiligingsmaatregelen voor de Lyve Services zijn evenredig met het geïdentificeerde risico voor informatieactiva en -services.
2. Lyve Cloud Services omvatten fysieke en omgevingsbeveiligingsmaatregelen in faciliteiten om risico's tot een minimum te beperken, bedreigingen te vermijden en kwetsbaarheden te elimineren om informatiesystemen en personeel te beschermen.
3. Fysieke en omgevingsbeveiliging is ontworpen om ongeautoriseerde fysieke toegang, schade en interferentie met de informatiemiddelen en systemen van Lyve Cloud Services te voorkomen.
4. Lyve Cloud Services beschermen beveiligde gebieden door het instellen van toegangscontroles die ervoor zorgen dat alleen geautoriseerd personeel toegang heeft. De controles moeten het registreren van bezoekerstoegang omvatten, de toegang waar gevoelige informatie wordt bewaard, beperken tot alleen geautoriseerd personeel, gebruikers verplichten een zichtbare identificatiebadge te dragen en personen beperken tot alleen die fysieke gebieden die nodig zijn om zaken te doen.
5. Apparatuur, informatie of softwaremiddelen mogen niet zonder toestemming van de locatie worden gehaald. De tijdslimiet voor het verwijderen van activa moet worden overeengekomen door alle betrokkenen en de terugkeer moet worden geverifieerd. Activa moeten worden geregistreerd als off-site verplaatst en hetzelfde record moet worden bijgewerkt wanneer de activa worden geretourneerd.

 

Maatregelen om het opslaan van gebeurtenisinformatie te garanderen:

1. Logboekregistratie op afstand.
2. Er is een beleid voor beheerssystemen voor informatiebeveiliging.

 

Maatregelen om de systeemconfiguratie, waaronder de standaardconfiguratie, te beschermen: maatregelen om ervoor te zorgen dat alle binnen het bereik vallende systemen en apparaten voldoen aan de basisconfiguratie-instellingen.

1. Seagate heeft een beleid voor wijzigingsbeheer.
2. Seagate bewaakt wijzigingen aan binnen het bereik vallende systemen om ervoor te zorgen dat wijzigingen het proces volgen en om het risico van niet-gedetecteerde wijzigingen in de productie te beperken.
3. Seagate heeft een beleid en procedures voor toegangscontrole.

 

Maatregelen voor het bestuur en beheer van de interne informatietechnologie ("IT") en de IT-veiligheid:

1. Seagate heeft een beleid voor beheerssystemen voor informatiebeveiliging in overeenstemming met de ISO 27001:2013-norm.
2. Seagate heeft een schriftelijk informatiebeveiligingsbeleid, inclusief ondersteunende documentatie.
3. De bevoegdheid en verantwoordelijkheid voor het beheer van het informatiebeveiligingsprogramma van Seagate is gedelegeerd aan de Chief Information Security Officer, die door het senior management is geautoriseerd om acties te ondernemen die nodig zijn om het informatiebeveiligingsprogramma van Seagate op te zetten, te implementeren en te beheren.

 

Maatregelen voor de certificering/garantie van processen en producten:

1. Lyve Cloud Services is gecontroleerd door een derde en heeft SOC 2-conformiteit bereikt, wat getuigt van onze toewijding aan controles die de vertrouwelijkheid en privacy beschermen van informatie die in onze service is opgeslagen en Verwerkt.
2. Lyve Cloud Services is ISO 27001-gecertificeerd en het programma omvat onder meer: beleid en procedures, activabeheer, toegangsbeheer, cryptografie, fysieke en omgevingsbeveiliging, bedrijfscontinuïteitsbeleid, human resources-beveiliging, noodherstel, cloud- en netwerkinfrastructuurbeveiliging, beveiligingsconformiteit, beheer door derden en beveiligingsmonitoring en respons op incidenten.

 

Maatregelen om gegevensminimalisering te garanderen: maatregelen om de hoeveelheid verzamelde gegevens te verminderen.

1. Persoonsgegevens van het Bedrijf zijn beperkt tot de gegevens die het Bedrijf wenst te verstrekken in de Lyve Services.
2. Er zijn beveiligingsmaatregelen getroffen om alleen de minimale hoeveelheid toegang te bieden die nodig is om de vereiste functies uit te voeren.

 

Maatregelen om gegevenskwaliteit te waarborgen: maatregelen om ervoor te zorgen dat de pipeline met gegevens een goede gegevenskwaliteit creëert en behoudt.

1. Seagate beoordeelt of bewerkt geen gegevens, inhoud of materiaal die zijn gemaakt, opgeslagen of toegankelijk gemaakt via de Lyve Services, inclusief Persoonsgegevens van het Bedrijf, en het Bedrijf bepaalt naar eigen goeddunken welke gegevens in de Lyve Services worden geplaatst.
2. Seagate heeft beveiligingsmaatregelen om de gegevensintegriteit te waarborgen.

 

Maatregelen om beperkte bewaring van gegevens te garanderen:

1. Eigenaars van informatie moeten procedures ontwikkelen en implementeren om de juiste verwijdering van informatieactiva onder hun controle te waarborgen.
2. De Lyve Services beschermen informatieactiva en regelen de vernietiging ervan wanneer de activa het einde van hun levenscyclus hebben bereikt, zoals beschreven in het bewaarschema voor gegevens. De veilige vernietiging van deze activa moet ervoor zorgen dat geen leesbare inhoud intact blijft.
3. Er moet een veilig geautomatiseerd proces worden gebruikt voor de vernietiging van elektronische gegevens en een veilig handmatig proces voor de vernietiging van papieren documenten.
4. Na beëindiging van alle abonnementen die aan een omgeving zijn gekoppeld, worden klantgegevens die bij de Lyve Cloud Services zijn ingediend gedurende 30 dagen in de inactieve status bewaard binnen de Lyve Cloud Services, waarna ze veilig worden overschreven of verwijderd uit de productie.
5. Na beëindiging van alle abonnementen die aan een Lyve Mobile Service zijn gekoppeld, moet het Bedrijf de cryptografische wisfunctie op het apparaat gebruiken om de Persoonsgegevens van het Bedrijf veilig van het apparaat te wissen. Wanneer het Lyve Mobile Service-apparaat wordt geretourneerd aan Seagate, zal geautoriseerd personeel het apparaat wissen op een veilige locatie met toegangscontrole.

 

Maatregelen om verantwoording te waarborgen: bedrijven moeten bepaalde Persoonsgegevens bijhouden die zij verwerken.

1. Privacybeoordelingen zijn vereist bij de introductie van een nieuw product/ nieuwe dienst waarbij Persoonsgegevens worden Verwerkt.
2. Seagate wijst de verantwoordelijkheid toe om de privacy van de eindgebruiker te waarborgen gedurende de hele levenscyclus van het product en via toepasselijke bedrijfsprocessen.

 

Maatregelen om gegevensoverdraagbaarheid mogelijk te maken en wissen te garanderen:

1. De Lyve Mobile Services zijn ontworpen met het oog op draagbaarheid. Overeenkomsten regelen de veilige overdracht van bedrijfsgegevens tussen Lyve Cloud Services en externe derde partijen.
2. De Lyve Mobile Services stellen documentatie op en onderhouden deze om informatie en fysieke media tijdens transport te beschermen, zodat naar de informatie kan worden verwezen in doorgifteovereenkomsten.
3. De inhoud met betrekking tot informatiebeveiliging van een overeenkomst moet de gevoeligheid van de betrokken bedrijfsgegevens weerspiegelen. Overeenkomsten kunnen elektronisch of handmatig zijn en kunnen formele contracten zijn.
4. Het Bedrijf dient mogelijk bedrijfsgegevens van de services te verwijderen na het verstrijken of eerdere beëindiging van de Overeenkomst. Wanneer een klant ervoor kiest zijn gegevens in te nemen of te migreren naar een andere Seagate-service, kan Seagate, na een geslaagde inname of migratie van dergelijke gegevens, alle klantgegevens die in de oorspronkelijke service zijn opgeslagen verwijderen of anderszins vernietigen.
5. Lyve Services beschermen informatieactiva en regelen de vernietiging ervan wanneer de activa het einde van hun levenscyclus hebben bereikt, zoals beschreven in het bewaarschema voor gegevens. De veilige vernietiging van deze activa moet ervoor zorgen dat geen leesbare inhoud intact blijft.
6. Lyve Services maken gebruik van een veilig geautomatiseerd proces voor de vernietiging van elektronische gegevens en een veilig handmatig proces voor de vernietiging van papieren documenten.
7. Na beëindiging van alle abonnementen die zijn gekoppeld aan de Lyve Services, moeten apparaten die opslagmedia bevatten worden geverifieerd om ervoor te zorgen dat gevoelige gegevens en gelicentieerde software zijn verwijderd of veilig zijn overschreven voordat de apparaten als afval worden verwerkt of opnieuw worden gebruikt. Opslagmedia moeten worden verwijderd of overschreven, zodat de oorspronkelijke gegevens niet kunnen worden opgehaald.
8. Indien Seagate een harde schijf die een kopie van Persoonsgegevens van het Bedrijf bevat, buiten bedrijf stelt of op andere wijze uit bedrijf neemt, dient Seagate de harde schijf veilig te versnipperen of te vernietigen, zodat de gegevens onleesbaar en vernietigd worden conform de norm NIST 800-88, revisie 1.

 

BIJLAGE C

LIJST VAN SUBVERWERKERS

 Geen.

 

BIJLAGE D

LANDSPECIFIEKE BEPALINGEN

De volgende vereisten zijn van toepassing op de aangegeven rechtsgebieden:

1. Singapore
   1. De bepalingen van deze Sectie 1 zijn van toepassing waar de Personal Data Protection Act 2012 van Singapore (nr. 26 van 2012) van toepassing is op de Verwerking van Persoonsgegevens van het Bedrijf door Seagate.
   2. Bepaling 1.3 van de GBO wordt vervangen door het volgende:
   3. Een "Inbreuk op de gegevensbescherming" is elke inbreuk op de beveiliging die leidt tot de onopzettelijke of onrechtmatige vernietiging, verlies, aanpassing, ongeautoriseerde openbaarmaking van, toegang tot, verwerving van Persoonsgegevens van het Bedrijf, of andere ongeautoriseerde Verwerking van Persoonsgegevens van het Bedrijf, waaronder: (a) het ongeautoriseerd openen, verzamelen, gebruiken, openbaar maken, kopiëren, wijzigen of verwijderen van Persoonsgegevens van het Bedrijf; of (b) het verlies van een opslagmedium of -apparaat waarop Persoonsgegevens van het Bedrijf zijn opgeslagen in omstandigheden waarin het ongeautoriseerd openen, verzamelen, gebruiken, openbaar maken, kopiëren, wijzigen of verwijderen van Persoonsgegevens van het Bedrijf waarschijnlijk zal plaatsvinden.
   4. Bepaling 5.1 van de GBO wordt vervangen door het volgende:

5.1 Kennisgeving van Inbreuk op de gegevensbescherming. Wanneer Seagate reden heeft om aan te nemen dat een Inbreuk op de gegevensbescherming heeft plaatsgevonden, zal Seagate het Bedrijf onverwijld schriftelijk op de hoogte stellen van de Inbreuk op de gegevensbescherming en zal Seagate:

1. de Inbreuk op de gegevensbescherming onderzoeken of redelijke ondersteuning bieden bij het onderzoek;
2. het Bedrijf informatie verstrekken over de Inbreuk op de gegevensbescherming en onmiddellijk aanvullende relevante informatie verstrekken zodra deze beschikbaar komt; en
3. commercieel redelijke stappen ondernemen om de Inbreuk op de gegevensbescherming in te dammen, de gevolgen van de Inbreuk op de gegevensbescherming verminderen of het Bedrijf hierbij helpen op kosten van het Bedrijf.

India

1. De bepalingen van deze Sectie 2 zijn van toepassing waar de Information Technology Act, 2000 ("IT-wetgeving") en Information Technology (Reasonable Security Practices and Procedures and Sensitive Personal Data or Information) Rules, 2011 ("Privacyregels"), zoals van tijd tot tijd gewijzigd en vervangen, van toepassing zijn op de Verwerking door Seagate van Persoonsgegevens van het Bedrijf die door een Verwerkingsverantwoordelijke in India zijn verstrekt, ongeacht of de Verwerking in India plaatsvindt.
2. Met betrekking tot de Verwerking van persoonsgegevens van Betrokkenen die onder de IT-wetgeving en Privacyregels vallen, wordt de volgende informatie beschouwd als "Gevoelige persoonsgegevens of informatie":
   1. wachtwoord;
   2. financiële gegevens zoals bankrekening-, creditcard-, debitcard- of andere betalingsgegevens;
   3. fysieke, fysiologische en mentale gezondheidstoestand;
   4. seksuele geaardheid;
   5. medische gegevens en anamnese;
   6. Biometrische gegevens;
   7. alle details met betrekking tot de bovenstaande bepalingen zoals voorzien voor het verlenen van service; en
   8. alle informatie die op grond van bovenstaande bepalingen voor Verwerking is ontvangen, opgeslagen of Verwerkt op grond van een wettig contract of anderszins.

Lees de hierbij bijgevoegde pdf voor overeenkomsten die voor 20 juni 2024 zijn afgesloten. Lyve-gegevensbeschermingsovereenkomst afgesloten voor 20 juni 2024

Voor overeenkomsten die voor 22 december 2022 zijn afgesloten, raadpleegt u de pdf die hierbij is bijgesloten. Lyve-gegevensbeschermingsovereenkomst afgesloten voor 22 december 2022

Lees de hierbij bijgevoegde pdf voor overeenkomsten die voor 20 januari 2022 zijn afgesloten. Lyve-gegevensbeschermingsovereenkomst afgesloten voor 20 januari 2022

Lees de hierbij bijgevoegde pdf voor overeenkomsten die voor 14 oktober 2021 zijn afgesloten. Lyve-gegevensbeschermingsovereenkomst afgesloten voor 14 oktober 2021