Deze verwerkersovereenkomst regelt hoe Social Loco omgaat met persoonsgegevens die we voor onze klanten verwerken, zoals beelden van medewerkers en klanten en leads uit advertenties. Ze volgt de opbouw van de standaardcontractbepalingen van de Europese Commissie voor verwerkers (Uitvoeringsbesluit (EU) 2021/915) en voldoet aan artikel 28 van de AVG.
Verwerkingsverantwoordelijke
De opdrachtgever zoals genoemd in de offerte of opdrachtbevestiging van Social Loco.
Verwerker
Salamat Netherlands B.V., handelend onder de naam Social Loco
Looijersdijk 55, 3621 WK Breukelen
KvK 97450375 · info@socialloco.nl · 06 5220 2282
1Doel en reikwijdte
- Deze overeenkomst hoort bij elke opdracht die de opdrachtgever aan Social Loco geeft en bij de algemene voorwaarden van Social Loco. Begrippen hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG).
- Bij strijdigheid gaat deze verwerkersovereenkomst voor op de algemene voorwaarden en de offerte, voor zover het gaat om de verwerking van persoonsgegevens.
- Welke gegevens Social Loco verwerkt, van wie, waarvoor en hoe lang staat in bijlage 1.
- Gegevens die Social Loco voor eigen doelen verwerkt, zoals contactgegevens van de opdrachtgever voor facturatie, vallen hier niet onder. Daarvoor is Social Loco zelf verwerkingsverantwoordelijke.
2Alleen op instructie
- Social Loco verwerkt persoonsgegevens alleen op schriftelijke instructie van de opdrachtgever. De opdracht zelf, zoals vastgelegd in offerte en voorwaarden, geldt als instructie.
- Social Loco gebruikt de gegevens niet voor eigen doelen, met uitzondering van portfoliogebruik waarvoor de opdrachtgever geen bezwaar heeft gemaakt (artikel 11.5 van de algemene voorwaarden).
- Vindt Social Loco dat een instructie in strijd is met de AVG of andere privacyregels, dan meldt zij dat direct aan de opdrachtgever en mag zij de uitvoering van die instructie opschorten.
- Is Social Loco wettelijk verplicht gegevens te verstrekken, dan meldt zij dat vooraf aan de opdrachtgever, tenzij de wet dat verbiedt.
3Verantwoordelijkheid van de opdrachtgever
- De opdrachtgever bepaalt het doel en de middelen van de verwerking en zorgt voor een geldige grondslag. Hij zorgt in het bijzonder voor toestemming van iedereen die herkenbaar in beeld of te horen is, en voor kinderen onder de 16 jaar voor toestemming van een ouder of voogd.
- De opdrachtgever informeert betrokkenen, zoals medewerkers en klanten, over de verwerking.
- Het delen van content op social media en het tonen van advertenties via Meta valt onder de verantwoordelijkheid van de opdrachtgever. Meta, TikTok, LinkedIn en andere platforms zijn geen subverwerkers van Social Loco; de opdrachtgever heeft met hen een eigen overeenkomst.
4Beveiliging
- Social Loco neemt passende technische en organisatorische maatregelen om de gegevens te beschermen tegen verlies en onrechtmatige verwerking. De minimale maatregelen staan in bijlage 2.
- Social Loco houdt rekening met de aard van de gegevens. Beelden in zorg en kinderopvang en beelden van kinderen krijgen extra bescherming.
- Social Loco mag de maatregelen aanpassen, zolang het beschermingsniveau niet lager wordt.
5Geheimhouding
- Iedereen die bij of voor Social Loco toegang heeft tot de persoonsgegevens, inclusief freelance makers en monteurs, heeft een schriftelijke geheimhoudingsplicht.
- Toegang is beperkt tot de mensen die de gegevens nodig hebben voor de opdracht.
6Subverwerkers
- De opdrachtgever geeft algemene toestemming voor het inschakelen van subverwerkers. De actuele lijst staat in bijlage 3.
- Social Loco meldt een nieuwe of vervangende subverwerker minstens 2 weken van tevoren. De opdrachtgever kan in die periode gemotiveerd bezwaar maken. Komen partijen er niet uit, dan mag de opdrachtgever de overeenkomst opzeggen per de datum van de wijziging.
- Social Loco legt aan elke subverwerker schriftelijk dezelfde verplichtingen op als in deze overeenkomst, en blijft tegenover de opdrachtgever verantwoordelijk voor de subverwerker.
7Gegevens buiten de EU
- Social Loco verwerkt en bewaart persoonsgegevens bij voorkeur binnen de Europese Economische Ruimte (EER).
- Doorgifte naar een land buiten de EER gebeurt alleen als er een passende waarborg is, zoals een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie.
8Rechten van betrokkenen
- Social Loco helpt de opdrachtgever binnen redelijke grenzen bij verzoeken van betrokkenen, zoals een verzoek om inzage, verwijdering of het intrekken van toestemming.
- Krijgt Social Loco zo'n verzoek rechtstreeks, dan stuurt zij het binnen 3 werkdagen door aan de opdrachtgever en handelt het niet zelf af, tenzij de opdrachtgever daarom vraagt.
- Trekt iemand zijn toestemming in, dan haalt Social Loco op instructie van de opdrachtgever de content met die persoon zo snel mogelijk offline van de kanalen die zij beheert en verwijdert zij het ruwe materiaal.
9Datalekken
- Social Loco meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 36 uur na ontdekking aan de opdrachtgever. Denk aan een gestolen laptop of telefoon met opnames, of iemand die zonder toestemming toegang krijgt tot een account.
- De melding bevat voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel personen het betreft, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.
- De opdrachtgever beslist of het lek wordt gemeld bij de Autoriteit Persoonsgegevens en bij betrokkenen. Social Loco helpt daarbij en meldt niet zelf, tenzij de wet dat verplicht.
- Social Loco houdt een register bij van alle inbreuken.
10Bijstand en controle
- Social Loco helpt de opdrachtgever binnen redelijke grenzen bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij vragen van de Autoriteit Persoonsgegevens.
- Social Loco geeft de opdrachtgever op verzoek de informatie die nodig is om aan te tonen dat zij zich aan deze overeenkomst houdt.
- De opdrachtgever mag maximaal één keer per jaar, of na een datalek, een controle laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht. De controle wordt minstens 2 weken vooraf aangekondigd. De kosten zijn voor de opdrachtgever, tenzij blijkt dat Social Loco deze overeenkomst op wezenlijke punten niet nakomt.
11Einde en verwijderen
- Deze overeenkomst loopt zolang Social Loco persoonsgegevens voor de opdrachtgever verwerkt.
- Na het einde van de opdracht verwijdert Social Loco binnen 30 dagen alle persoonsgegevens en ruw materiaal, of geeft ze op verzoek eerst terug, tenzij de wet langer bewaren verplicht. Opgeleverde content blijft bij de opdrachtgever.
- Social Loco verwijdert haar gebruikersrollen in de accounts van de opdrachtgever direct na het einde van de opdracht, en vraagt de opdrachtgever gedeelde wachtwoorden te wijzigen.
- Portfoliogebruik volgens artikel 11.5 van de algemene voorwaarden mag doorlopen, tenzij de opdrachtgever of een betrokkene daar bezwaar tegen maakt.
12Aansprakelijkheid en slot
- Voor de aansprakelijkheid van partijen geldt artikel 13 van de algemene voorwaarden van Social Loco, tenzij de AVG dwingend iets anders bepaalt.
- Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de rechtbank Midden-Nederland.
- Wijzigingen gelden alleen als ze schriftelijk zijn vastgelegd. Moet deze overeenkomst worden aangepast aan nieuwe wetgeving, dan werken partijen daaraan mee.
B1Bijlage 1 · De verwerking
| Onderwerp | Het maken, monteren, inplannen en plaatsen van social media content en het beheren van Meta-advertenties voor de opdrachtgever. |
|---|---|
| Betrokkenen | Medewerkers en de eigenaar van de opdrachtgever; klanten, cliënten, kinderen en bezoekers die in beeld komen; volgers en mensen die reageren op posts; mensen die via een advertentie hun gegevens achterlaten. |
| Gegevens | Beeld en geluid (foto en video), naam, functie en voor zover nodig contactgegevens; toestemmingsformulieren; reacties en berichten op de kanalen van de opdrachtgever; leadgegevens zoals naam, e-mail en telefoonnummer; geaggregeerde advertentie- en bereikcijfers. |
| Bijzondere gegevens | Niet bedoeld. Beelden in zorg en kinderopvang kunnen indirect iets zeggen over gezondheid of over kinderen. Die beelden worden alleen gemaakt met schriftelijke toestemming en extra beveiligd. |
| Handelingen | Opnemen, opslaan, monteren, ondertitelen, delen ter goedkeuring in het portaal, publiceren op de afgesproken kanalen, inzetten in advertenties, leads doorsturen aan de opdrachtgever, verwijderen. |
| Bewaartermijn | Ruw materiaal: 6 maanden na de opnamedag. Opgeleverde content en toestemmingsformulieren: zolang de opdracht loopt, daarna verwijderd of teruggegeven binnen 30 dagen. Leads: doorgestuurd aan de opdrachtgever en uiterlijk na 30 dagen verwijderd bij Social Loco. |
B2Bijlage 2 · Beveiligingsmaatregelen
- Opslag van beelden in een zakelijke clouddienst met versleuteling, binnen de EER waar mogelijk.
- Laptops, telefoons en opslagmedia van makers zijn versleuteld en beveiligd met pincode of biometrie.
- Opnames gaan binnen 48 uur van geheugenkaart en telefoon naar de beveiligde opslag en worden daarna van de losse dragers verwijderd.
- Tweestapsverificatie op alle accounts van Social Loco en, waar mogelijk, op de social media accounts die Social Loco beheert.
- Toegang tot accounts van de opdrachtgever via persoonlijke gebruikersrollen, niet via gedeelde wachtwoorden. Wachtwoorden die toch worden gedeeld, staan in een wachtwoordmanager.
- Toegang op basis van need-to-know en directe intrekking als een maker of monteur stopt.
- Geheimhoudingsverklaring voor alle medewerkers en freelancers.
- Toestemmingsformulieren worden digitaal en afgeschermd bewaard, per opdrachtgever.
B3Bijlage 3 · Subverwerkers
Invullen voor gebruik: vul hieronder de diensten in die Social Loco echt gebruikt. De categorieën zijn de gangbare voor een contentbureau.
| Subverwerker | Waarvoor | Locatie |
|---|---|---|
| [naam clouddienst] | Opslag van beelden en documenten | [EER / VS met DPF] |
| [naam portaal of projecttool] | Klantportaal: goedkeuring en planning | [locatie] |
| [naam planningstool social media] | Inplannen en publiceren van posts | [locatie] |
| [naam e-maildienst] | E-mail en doorsturen van leads | [locatie] |
| Freelance makers | Filmen op locatie, met geheimhoudingsverklaring | Nederland |
| Video-editors (freelance of via partner) | Monteren en ondertitelen van content, met geheimhoudingsverklaring | Filipijnen, op basis van de standaardcontractbepalingen van de Europese Commissie (artikel 7.2) |