Rankbird
1Rollen
Deze DPA is van toepassing wanneer Rankbird in het kader van de Dienst persoonsgegevens namens de Klant verwerkt. De Klant is verwerkingsverantwoordelijke en Rankbird verwerker (art. 4 AVG). Voor persoonsgegevens die Rankbird voor eigen doeleinden verwerkt, zoals accountbeheer, facturatie en beveiliging, is Rankbird verwerkingsverantwoordelijke; zie ons Privacybeleid.
2Aard, doel en duur
Rankbird verwerkt persoonsgegevens alleen voor zover nodig om de Dienst te leveren, waaronder het analyseren van de winkel van de Klant, het genereren en publiceren van content, rapportage over prestaties, de optionele Google-koppelingen en AI-zichtbaarheidsmonitoring. De verwerking duurt zolang de overeenkomst loopt, plus de bewaartermijnen hieronder.
3Betrokkenen en persoonsgegevens
- Betrokkenen: de gebruikers van de Dienst aan de kant van de Klant en, voor zover beschikbaar gesteld via de winkel of gekoppelde diensten van de Klant, bezoekers van de winkel van de Klant.
- Persoonsgegevens: naam, e-mailadres, functie en taal van gebruikers; inloggegevens voor koppelingen; technische identificatoren; geaggregeerde analysegegevens; en alle persoonsgegevens die de Klant opneemt in prompts, briefings of templates.
Rankbird verwerkt geen bijzondere categorieën persoonsgegevens (art. 9 AVG). De Klant mag dergelijke gegevens niet via de Dienst aanleveren.
4Instructies
Rankbird verwerkt persoonsgegevens alleen op basis van gedocumenteerde instructies van de Klant, ook wat betreft internationale doorgiften, tenzij EU- of Nederlands recht anders vereist. Deze instructies staan in de Voorwaarden, deze DPA en de configuratie van de Klant in de Dienst. Rankbird laat het de Klant weten als zij meent dat een instructie in strijd is met de AVG.
5Geheimhouding en beveiliging
Personen die door Rankbird bevoegd zijn persoonsgegevens te verwerken, zijn tot geheimhouding verplicht. Rankbird neemt passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, waaronder:
- versleuteling tijdens transport en in opslag, waarbij inloggegevens voor koppelingen versleuteld worden bewaard;
- toegang beperkt tot wat strikt noodzakelijk is, met meerfactorauthenticatie waar beschikbaar;
- beveiligde cloudinfrastructuur in de EU;
- logging en monitoring van productiesystemen;
- regelmatige back-ups; en
- een procedure voor het afhandelen van beveiligingsincidenten.
Een gedetailleerdere beschrijving van deze maatregelen is op verzoek beschikbaar voor Klanten.
6Sub-verwerkers
De Klant geeft Rankbird toestemming sub-verwerkers in te schakelen om de Dienst te leveren. De categorieën staan op Sub-verwerkers; de actuele lijst met namen is voor Klanten op verzoek beschikbaar via support@rankbird.com. Rankbird informeert Klanten vooraf over het toevoegen of vervangen van een sub-verwerker. De Klant kan binnen 30 dagen op redelijke gronden bezwaar maken; partijen zoeken dan te goeder trouw naar een alternatief of, als dat niet lukt, kan de Klant het betreffende deel van de Dienst beëindigen. Rankbird legt elke sub-verwerker gelijkwaardige verplichtingen op het gebied van gegevensbescherming op en blijft voor hen aansprakelijk.
7Internationale doorgiften
Voor doorgiften buiten de EER baseert Rankbird zich op een adequaatheidsbesluit (zoals het EU-VS Data Privacy Framework) of de modelcontractbepalingen (Standard Contractual Clauses) van de Europese Commissie (Besluit 2021/914), met aanvullende waarborgen waar nodig.
8Rechten van betrokkenen
Rankbird ondersteunt de Klant, voor zover redelijkerwijs mogelijk, bij het beantwoorden van verzoeken van betrokkenen. Verzoeken die Rankbird rechtstreeks ontvangt, worden zonder onredelijke vertraging aan de Klant doorgestuurd.
9Datalekken
Rankbird informeert de Klant zonder onredelijke vertraging, en in elk geval binnen 72 uur nadat zij ervan op de hoogte is geraakt, over een inbreuk op persoonsgegevens van de Klant, met de informatie die de Klant nodig heeft op grond van art. 33 lid 3 AVG.
10Audits en informatie
Rankbird stelt de informatie beschikbaar die nodig is om naleving van deze DPA aan te tonen. Na redelijke schriftelijke aankondiging, maximaal eenmaal per 12 maanden en op kosten van de Klant, mag de Klant de verwerking door Rankbird laten controleren door een in onderling overleg gekozen onafhankelijke auditor die tot geheimhouding is verplicht.
11Teruggave en verwijdering
Aan het einde van de overeenkomst geeft Rankbird op verzoek van de Klant de namens de Klant verwerkte persoonsgegevens terug. Verwijdering gebeurt niet automatisch: Rankbird verwijdert deze persoonsgegevens, inclusief van Google afkomstige gegevens en opgeslagen inloggegevens, binnen 30 dagen na een geverifieerd verwijderverzoek van de Klant aan support@rankbird.com, tenzij EU- of Nederlands recht opslag vereist. Kopieën in back-ups worden in de normale back-upcyclus overschreven en blijven tot dan beveiligd.
12Aansprakelijkheid
Aansprakelijkheid onder deze DPA is onderworpen aan de beperkingen in de Algemene Voorwaarden, zonder de aansprakelijkheid van een partij voor haar eigen verplichtingen onder het gegevensbeschermingsrecht te beperken.
13Looptijd en voorrang
Deze DPA geldt zolang Rankbird persoonsgegevens namens de Klant verwerkt. Voor zaken van gegevensbescherming gaat deze DPA voor op de Algemene Voorwaarden.