Ga naar de inhoud
Bestel nu

Verwerkersovereenkomst

Laatst bijgewerkt: 1 september 2025

Bijlage 1
VERWERKERSOVEREENKOMST VAN GIRAFFE360 (DPA)

1. Achtergrond

  1. 1.1 Deze Verwerkersovereenkomst en de bijlagen daarbij (de “DPA”) zijn van toepassing op Klanten die actief zijn in de landen van de Europese Economische Ruimte (EER) en het Verenigd Koninkrijk (VK) en geven de overeenkomst weer tussen Giraffe360 en de Klant met betrekking tot de verwerking van Klantgegevens door Giraffe360 als verwerker namens de Klant, die als verwerkingsverantwoordelijke zal optreden.
  2. 1.2 Deze DPA is opgenomen in en maakt deel uit van de Servicevoorwaarden van Giraffe360 tussen de Klant en Giraffe360 (de “Overeenkomst”). In geval van strijdigheid tussen een van de bepalingen van deze DPA en de bepalingen van de Overeenkomst, hebben de bepalingen van deze DPA voorrang.

2. Definities

Tenzij hieronder anders bepaald, heeft elke met een hoofdletter geschreven term in deze DPA de betekenis die daaraan in de Overeenkomst wordt gegeven, en worden de volgende in deze DPA gebruikte termen met een hoofdletter als volgt gedefinieerd:

“Klantgegevens” betekent alle Persoonsgegevens in de Giraffe360-content en alle andere content of gegevens die de Klant aan Giraffe360 beschikbaar stelt en die door Giraffe360 worden gehost in verband met de levering van de Giraffe360-dienst, met inbegrip van Vastgoedgegevens, Klantprofielgegevens en Gegevens van klanten van de Klant, zoals nader beschreven in artikel 3.1 van deze DPA.

“Verwerkingsverantwoordelijke” betekent de natuurlijke persoon of rechtspersoon, de overheidsinstantie, de dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de Verwerking van Persoonsgegevens vaststelt. Voor de toepassing van deze DPA is de Klant de Verwerkingsverantwoordelijke.

“Wetgeving inzake Gegevensbescherming” betekent de AVG, alle nationale uitvoerings- of aanvullende wetgeving en alle andere toepasselijke wetgeving ter bescherming van de grondrechten en fundamentele vrijheden van personen en hun recht op privacy met betrekking tot de verwerking van Klantgegevens.

“Betrokkene” betekent de natuurlijke persoon op wie de Persoonsgegevens betrekking hebben.

“Europese Economische Ruimte” of “EER” betekent de lidstaten van de Europese Unie samen met IJsland, Noorwegen en Liechtenstein.

“AVG” betekent de Algemene Verordening Gegevensbescherming (EU) 2016/679 van het Europees Parlement en de Raad en, indien van toepassing, de “UK GDPR” zoals gedefinieerd in The Data Protection, Privacy and Electronic Communications (Amendment Etc.) (EU Exit) Regulations 2019.

“Instructies” betekent de schriftelijke, gedocumenteerde instructies die de Klant aan Giraffe360 geeft en waarmee Giraffe360 wordt opgedragen een specifieke of algemene handeling met betrekking tot Klantgegevens te verrichten.

“Subverwerker” betekent elke Verwerker die door Giraffe360 wordt ingeschakeld en die Klantgegevens van Giraffe360 Verwerkt.

“Persoonsgegevens” betekent alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals gedefinieerd in de relevante Wetgeving inzake Gegevensbescherming.

“Inbreuk in verband met Persoonsgegevens” betekent een accidentele of onrechtmatige vernietiging, verlies, wijziging, beschadiging, ongeoorloofde verstrekking van of ongeoorloofde toegang tot Klantgegevens, zoals gedefinieerd in de relevante Wetgeving inzake Gegevensbescherming.

“Verwerking” betekent een bewerking of een geheel van bewerkingen met betrekking tot Persoonsgegevens, waaronder het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van Persoonsgegevens. De termen “Verwerken”, “Verwerkt” en “Verwerkte” worden dienovereenkomstig uitgelegd.

“Verwerker” betekent een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat namens de Verwerkingsverantwoordelijke Persoonsgegevens Verwerkt. Voor de toepassing van deze DPA is Giraffe360 de Verwerker.

3. Gegevensverwerking

  1. 3.1 Giraffe360 verwerkt de volgende categorieën Persoonsgegevens van de volgende Betrokkenen voor de hieronder beschreven doeleinden:
    1. Vastgoedgegevens: Dit omvat afbeeldingen, video’s, puntenwolken, virtuele tours, plattegronden, GPS-locatiegegevens, informatie die wordt verstrekt op de landingspagina voor de presentatie van het vastgoed, en andere gerelateerde vastgoedinformatie die door de Klant is vastgelegd, uit de Giraffe360-camera is geëxtraheerd of door de Klant is verstrekt als gevolg van het gebruik van de Giraffe360-dienst door de Klant. Hoewel deze informatie doorgaans geen natuurlijke persoon identificeert, kan zij in zeldzame gevallen eigenaren van vastgoed, personen van wie gegevens tijdens een Scan worden vastgelegd, of de Klant identificeren. Het is de verantwoordelijkheid van de Klant om ervoor te zorgen dat de Opnamebestanden geen Verboden Persoonsgegevens bevatten zoals gedefinieerd in de Servicevoorwaarden. Vastgoedgegevens worden verwerkt om Giraffe360-content te creëren.
    2. Klantprofielgegevens: Dit omvat Persoonsgegevens over de Klant, zijn vertegenwoordigers of werknemers, zoals namen, achternamen, e-mailadressen, telefoonnummers, foto’s, slogans en hyperlinks naar socialemedia-accounts die de Klant tijdens het gebruik van de Giraffe360-dienst via het Dashboard verstrekt. Deze gegevens worden Verwerkt om het volgende mogelijk te maken: het aanmaken van Dashboardprofielen voor de Klant, zijn vertegenwoordigers of werknemers; toegang tot Giraffe360-content binnen het Dashboard; het delen van Giraffe360-content en het verstrekken van informatie over de Klant, zijn vertegenwoordigers of werknemers via de Giraffe360-dienst.
    3. Gegevens van klanten van de Klant: Dit omvat de persoonsgegevens van de klanten van de Klant, zoals namen, achternamen, e-mailadressen, telefoonnummers en berichten van potentiële kopers of huurders van vastgoed. Deze gegevens worden via het Dashboard aan de Klant beschikbaar gesteld. Zij worden vastgelegd wanneer de Klant de Leads-functionaliteit inschakelt, waarmee klanten van de Klant hun contactgegevens kunnen achterlaten zodat de Klant contact met hen kan opnemen. Deze functionaliteit kan door de Klant in het Dashboard worden uitgeschakeld.
  3. 3.2 De Klantgegevens worden doorlopend doorgegeven in verband met de levering van de diensten zoals uiteengezet in de Overeenkomst en deze DPA, tot de beëindiging van de Overeenkomst.

4. Verplichtingen van de Klant

  1. 4.1 De Klant is verantwoordelijk voor de naleving van alle vereisten die krachtens de Wetgeving inzake Gegevensbescherming op de Klant van toepassing zijn met betrekking tot de Verwerking van Persoonsgegevens door de Klant.
  2. 4.2 In het bijzonder, maar onverminderd de algemeenheid van het voorgaande, erkent de Klant en gaat hij ermee akkoord dat hij als enige verantwoordelijk is voor:
    1. de juistheid, kwaliteit en rechtmatigheid van de Klantgegevens en de middelen waarmee de Klant dergelijke gegevens heeft verkregen;
    2. de naleving van alle noodzakelijke vereisten inzake transparantie en rechtmatigheid krachtens de Wetgeving inzake Gegevensbescherming voor het verzamelen en gebruiken van Klantgegevens, met inbegrip van het verstrekken van adequate kennisgevingen, het verkrijgen van alle noodzakelijke toestemmingen en machtigingen en het respecteren van opt-outvoorkeuren (in het bijzonder bij gebruik door de Klant voor marketingdoeleinden); en
    3. het waarborgen dat hij het recht heeft om de Klantgegevens aan Giraffe360 door te geven, of Giraffe360 daartoe toegang te verlenen, voor Verwerking overeenkomstig de bepalingen van de Overeenkomst (met inbegrip van deze DPA).
  4. 4.3 De Klant stelt Giraffe360 zonder onredelijke vertraging in kennis indien de Klant niet in staat is zijn verantwoordelijkheden krachtens dit artikel of de Wetgeving inzake Gegevensbescherming na te komen.
  5. 4.4 De Klant is ervoor verantwoordelijk dat zijn Instructies aan Giraffe360 met betrekking tot de Verwerking van Klantgegevens in overeenstemming zijn met de toepasselijke wetgeving, met inbegrip van de Wetgeving inzake Gegevensbescherming.
  6. 4.5 De partijen komen overeen dat de Overeenkomst (met inbegrip van deze DPA), samen met het gebruik van de Giraffe360-dienst door de Klant overeenkomstig de Overeenkomst, de volledige Instructies van de Klant aan Giraffe360 vormen met betrekking tot de Verwerking van Klantgegevens door Giraffe360, met dien verstande dat de Klant tijdens de looptijd van de Overeenkomst aanvullende Instructies kan geven die in overeenstemming zijn met de Overeenkomst en met de aard en het rechtmatige gebruik van de Giraffe360-dienst.
  7. 4.6 De Klant is ervoor verantwoordelijk zelfstandig te bepalen of de in de Giraffe360-dienst geboden gegevensbeveiliging toereikend is om aan zijn verplichtingen krachtens de Wetgeving inzake Gegevensbescherming te voldoen. De Klant is tevens verantwoordelijk voor zijn veilige gebruik van de Giraffe360-dienst.

5. Verplichtingen van Giraffe360

  1. 5.1 Als Verwerker van Persoonsgegevens Verwerkt Giraffe360 Klantgegevens uitsluitend voor de in deze DPA beschreven doeleinden of zoals anderszins overeengekomen binnen het kader van de rechtmatige Instructies van de Klant, behalve indien en voor zover de toepasselijke wetgeving anders vereist, in welk geval Giraffe360, voor zover de toepasselijke wetgeving dit toestaat, de Klant vóór de Verwerking van die Klantgegevens in kennis stelt van dat wettelijke vereiste. Giraffe360 is niet verantwoordelijk voor de naleving van Wetgeving inzake Gegevensbescherming die van toepassing is op de Klant of de sector van de Klant en die niet algemeen van toepassing is op Giraffe360.
  2. 5.2 Giraffe360 treft en handhaaft passende technische en organisatorische maatregelen om Klantgegevens te beschermen zoals vereist krachtens de Wetgeving inzake Gegevensbescherming (“Beveiligingsmaatregelen”). Niettegenstaande enige andersluidende bepaling kan Giraffe360 de Beveiligingsmaatregelen naar eigen goeddunken wijzigen of bijwerken, mits een dergelijke wijziging of update niet leidt tot een wezenlijke vermindering van de bescherming die de Beveiligingsmaatregelen bieden.
  3. 5.3 Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen, treffen de verwerkingsverantwoordelijke en de verwerker Beveiligingsmaatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, die, waar passend, onder meer het volgende omvatten:
    1. de pseudonimisering en versleuteling van persoonsgegevens;
    2. passende Beveiligingsmaatregelen om het vermogen te behouden om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en -diensten te garanderen;
    3. passende Beveiligingsmaatregelen om het vermogen te behouden om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot Persoonsgegevens tijdig te herstellen;
    4. een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de Beveiligingsmaatregelen ter waarborging van de beveiliging van de Verwerking.
  5. 5.4 Giraffe360 zorgt ervoor dat al het personeel dat gemachtigd is om namens Giraffe360 Klantgegevens te Verwerken, met betrekking tot de Klantgegevens aan passende geheimhoudingsverplichtingen is onderworpen.
  6. 5.5 Binnen 30 dagen na de beëindiging van de Overeenkomst zal Giraffe360 alle kopieën van de Klantgegevens die Giraffe360 onder deze DPA heeft verwerkt verwijderen of, naar keuze van de Klant, retourneren. De Klant stelt Giraffe360 binnen 14 werkdagen na beëindiging van de Overeenkomst in kennis van zijn keuze. Deze termijn van 30 dagen is van toepassing, behalve indien wij op grond van toepasselijke wetgeving verplicht zijn de Klantgegevens geheel of gedeeltelijk te bewaren.
  7. 5.6 Giraffe360 mag Vastgoedgegevens, zowel tijdens als na de beëindiging van de Overeenkomst, bewaren en gebruiken voor machine learning, het trainen van kunstmatige intelligentie en de verbetering van de dienst. Een dergelijke Verwerking wordt door Giraffe360 als Verwerkingsverantwoordelijke uitgevoerd en in overeenstemming met het Privacybeleid van Giraffe360.
  8. 5.7 Giraffe360 mag Klantgegevens bewaren voor zover Giraffe360 dit noodzakelijk acht om een rechtsvordering in te stellen of zich daartegen te verweren, mits dergelijke Klantgegevens slechts worden bewaard voor zover en zolang dit vereist is door de toepasselijke wetgeving of in afwachting van de afhandeling van een kwestie, en steeds met dien verstande dat Giraffe360 de vertrouwelijkheid van al dergelijke Klantgegevens waarborgt.

6. Subverwerkers

  1. 6.1 De Klant verleent Giraffe360 hierbij een algemene schriftelijke toestemming om Subverwerkers in te schakelen ter ondersteuning bij de levering van de Giraffe360-dienst. Giraffe360 zorgt ervoor dat alle Subverwerkers gebonden zijn aan contractuele verplichtingen die ten minste hetzelfde niveau van gegevensbescherming bieden als vereist door deze DPA en de toepasselijke Wetgeving inzake Gegevensbescherming. Een actuele lijst van Subverwerkers, met inbegrip van hun naam, locatie en doel, wordt bijgehouden op de website van Giraffe360 (“Lijst van Subverwerkers”).
  2. 6.2 Giraffe360 behoudt zich het recht voor om de Lijst van Subverwerkers zo nodig bij te werken. Toevoegingen aan of vervangingen in de Lijst van Subverwerkers worden ten minste 15 dagen voordat de nieuwe Subverwerker wordt gemachtigd om Klantgegevens te verwerken op de website weergegeven. Klanten wordt aangeraden de Lijst van Subverwerkers periodiek te raadplegen.
  3. 6.3 Indien een Klant op redelijke gronden bezwaar maakt tegen een nieuwe Subverwerker wegens gerechtvaardigde zorgen met betrekking tot gegevensbescherming, moet de Klant Giraffe360 daarvan binnen 15 dagen na de publicatie van de update schriftelijk in kennis stellen. Na ontvangst van een bezwaar bespreekt Giraffe360 de zorgen van de Klant en spant zij zich te goeder trouw in om een voor beide partijen aanvaardbare oplossing te vinden. Indien binnen de kennisgevingstermijn van 15 dagen geen bezwaar wordt ontvangen, wordt de Klant geacht de bijgewerkte Subverwerker te hebben aanvaard.
  4. 6.4 Giraffe360 blijft te allen tijde verantwoordelijk voor de nakoming van haar verplichtingen onder de DPA en is jegens de Klant aansprakelijk voor de handelingen en nalatigheden van een Subverwerker alsof het handelingen en nalatigheden van Giraffe360 betrof.

7. Internationale doorgiften

  1. 7.1 Giraffe360 geeft Klantgegevens niet door aan een ontvanger in een land of gebied buiten de EER of het VK, tenzij:
    1. de ontvanger, of het land of gebied waarin deze Klantgegevens verwerkt of daartoe toegang heeft, een passend beschermingsniveau biedt voor de rechten en vrijheden van betrokkenen met betrekking tot de verwerking van Klantgegevens, zoals vastgesteld door de Europese Commissie; of
    2. de doorgifte is gebaseerd op de modelcontractbepalingen (verwerkers) die zijn goedgekeurd bij Uitvoeringsbesluit (EU) 2021/914 van de Commissie, of een latere versie daarvan, of op een ander wettelijk erkend doorgiftemechanisme.

8. Gegevensbeveiliging, audits en beveiligingsmeldingen

  1. 8.1 De Klant kan, na een redelijke kennisgeving en op redelijke tijdstippen, (zelf of met behulp van onafhankelijke externe auditors) controleren of Giraffe360 de Beveiligingsmaatregelen naleeft, onder meer door audits uit te voeren van de gegevensverwerkingsfaciliteiten van Giraffe360. Giraffe360 verleent medewerking aan en draagt bij tot alle audits die overeenkomstig deze DPA worden uitgevoerd, mits dergelijke audits niet vaker dan eenmaal per jaar worden uitgevoerd.
  2. 8.2 Op verzoek van de Klant stelt Giraffe360 alle informatie beschikbaar die redelijkerwijs nodig is om aan te tonen dat deze DPA en de Wetgeving inzake Gegevensbescherming worden nageleefd.
  3. 8.3 Indien vereist op grond van artikel 28, lid 3, onder h), van de AVG, stelt Giraffe360 de Klant onmiddellijk in kennis indien Giraffe360 van mening is dat de Instructies van de Klant in strijd zijn met de vereisten van de Wetgeving inzake Gegevensbescherming of andere wetgeving van de EU, het VK of een lidstaat van de EER.
  4. 8.4 Giraffe360 stelt de Klant zonder onredelijke vertraging schriftelijk in kennis zodra zij kennis krijgt van een Inbreuk in verband met Persoonsgegevens met betrekking tot Klantgegevens en Verwerking die krachtens deze DPA worden uitgevoerd. Giraffe360 verleent de Klant redelijke bijstand om de naleving van de toepasselijke Wetgeving inzake Gegevensbescherming met betrekking tot de Inbreuk in verband met Persoonsgegevens te waarborgen, met inbegrip van ondersteuning bij onderzoeken door toezichthouders en meldingen aan toezichthoudende autoriteiten en/of Betrokkenen.
  5. 8.5 Bij het melden van een Inbreuk in verband met Persoonsgegevens verstrekt Giraffe360 in duidelijke en eenvoudige taal, ten minste en voor zover mogelijk gezien de beschikbare informatie: een toelichting op de aard van de Datalek, de naam en contactgegevens van de functionaris voor gegevensbescherming (“FG”) of een ander contactpunt waar meer informatie kan worden verkregen, een beschrijving van de mogelijke gevolgen van de Inbreuk in verband met Persoonsgegevens, en een beschrijving van de maatregelen die zijn genomen of voorgesteld om de Inbreuk in verband met Persoonsgegevens te verhelpen, met inbegrip van, waar passend, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.

9. Inzageverzoeken en rechten van Betrokkenen

  1. 9.1 Behalve voor zover vereist (of indien verboden) krachtens de toepasselijke wetgeving, stelt Giraffe360 de Klant in kennis van elk verzoek dat Giraffe360, rechtstreeks of via een Subverwerker, van een Betrokkene ontvangt met betrekking tot diens Persoonsgegevens die in de Klantgegevens zijn opgenomen, en reageert Giraffe360 niet op de Betrokkene.
  2. 9.2 Giraffe360 biedt de Klant de mogelijkheid om de Klantgegevens te corrigeren, te verwijderen, te blokkeren, in te zien of te kopiëren overeenkomstig, en voor zover mogelijk met, de functionaliteit van de Giraffe360-dienst.
  3. 9.3 Giraffe360 stelt de Klant in kennis van elk verzoek tot bekendmaking van Klantgegevens door een overheids- of toezichthoudende instantie of een rechtshandhavingsinstantie (met inbegrip van een toezichthoudende autoriteit voor gegevensbescherming), tenzij dit anderszins verboden is bij wet of bij een juridisch bindend bevel van een dergelijke instantie.
  4. 9.4 Waar van toepassing, rekening houdend met de aard van de Verwerking, en voor zover vereist krachtens de toepasselijke Wetgeving inzake Gegevensbescherming, zal Giraffe360:
    1. alle redelijke inspanningen leveren om de Klant, door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bij te staan bij het vervullen van de verplichting van de Klant om verzoeken om uitoefening van de in de AVG vastgelegde rechten van betrokkenen te beantwoorden; en
    2. de Klant redelijke bijstand verlenen bij gegevensbeschermingseffectbeoordelingen en bij voorafgaande raadplegingen van een toezichthoudende autoriteit van de Klant, in elk geval uitsluitend met betrekking tot de Verwerking van Klantgegevens en rekening houdend met de informatie waarover Giraffe360 beschikt.