IVANTI ADDENDUM GEGEVENSVERWERKING
Dit Addendum Gegevensverwerking (“DPA”) van Ivanti is integraal onderdeel van de Licentie- en
Serviceovereenkomst Eindgebruikers van Ivanti (hierna de “Overeenkomst”). Het treedt in werking op de hieronder
vermelde ondertekeningsdatum (de “Ingangsdatum”) en is opgesteld door en tussen de hieronder of in deOvereenkomst genoemde klant (“Verwerkingsverantwoordelijke”) en de toepasselijke in deze DPA vermelde Ivantientiteit (hierna “Ivanti” of de “Verwerker”) (afzonderlijk een “Partij” en gezamenlijk de “Partijen” genoemd). In
hoofdletters geschreven begrippen die niet in dit addendum worden gedefinieerd, hebben de betekenis die hieraan isgegeven in de Overeenkomst.
OVERWEGINGENOVERWEGENDE dat de Partijen de Overeenkomst zijn aangegaan.
OVERWEGENDE dat de Verwerker gedurende het verlenen van de Services aan de Verwerkingsverantwoordelijke
uit hoofde van de Overeenkomst, Persoonsgegevens kan Verwerken namens de Verwerkingsverantwoordelijke.
OVERWEGENDE dat de Partijen, om toereikende veiligheidsvoorzieningen te waarborgen ten aanzien van de
Verwerking van Persoonsgegevens die de Verwerkingsverantwoordelijke verstrekt aan de Verwerker, overeenkomende volgende bepalingen na te leven met betrekking tot Persoonsgegevens, en beide Partijen redelijk en te goeder trouw
handelen.
DAARTOE, rekening houdend met de bovengenoemde aannames en de hieronder beschreven wederzijdse
verbintenissen en convenanten, komen de Verwerkingsverantwoordelijke en de Verwerker het volgende overeen:
OVEREENKOMST
1.

DEFINITIESIn hoofdletters geschreven begrippen die hier niet worden gedefinieerd, hebben de betekenis die hieraan is gegevenin de Overeenkomst.
“Gelieerde onderneming” staat voor een entiteit die direct of indirect zeggenschap uitoefent over, of onder
zeggenschap of gezamenlijke zeggenschap staat van de betrokken entiteit. “Zeggenschap,” staat, in de context vandeze definitie, voor het directe of indirecte eigendom of het bezit van meer dan 50% van het stemrecht van debetrokken entiteit.
“Toepasselijke Gegevensbeschermingswetgeving” staat voor alle toepasselijke wetten, regels, wettelijke
voorschriften of vereisten in een rechtsgebied met betrekking tot gegevensbescherming, privacy of vertrouwelijkheid
van Persoonsgegevens, waaronder onder meer (a) de AVG, met inbegrip van mogelijke omzettings-, uitvoerings- of
bijkomende maatregelen, en (b) de CCPA.
“Bevoegde Gelieerde onderneming” staat voor Gelieerde ondernemingen van de Verwerkingsverantwoordelijke die(a) zijn onderworpen aan de wet- en regelgeving inzake Gegevensbescherming van de Europese Economische Ruimte
en/of de Lidstaten, het Verenigd Koninkrijk, en Zwitserland, (b) zijn onderworpen aan de wet- en regelgeving inzake
Gegevensbescherming die geldt buiten de Europese Economische Ruimte en/of de Lidstaten, Zwitserland, en het
Verenigd Koninkrijk (in voorkomend geval), en (c) het recht hebben de Verwerker te gebruiken voor
Gegevensverwerking op grond van de Overeenkomst.
“CCPA” staat voor de California Consumer Privacy Act, Cal. Civ. Code § 1798.100 et seq., en de voorschriften
hiervan tot omzetting in lokale wetgeving.
“Verwerkingsverantwoordelijke” staat voor de entiteit die de doeleinden en middelen van de Verwerking van
Persoonsgegevens bepaalt. Voor alle duidelijkheid: de Partij die hierboven wordt aangeduid als“Verwerkingsverantwoordelijke” is een Verwerkingsverantwoordelijke krachtens deze DPA.
“Datalek” staat voor een inbreuk op de beveiliging die leidt tot het onbedoeld, ongeoorloofd of onrechtmatig
vernietigen, verliezen, wijzigen, openbaren van of toegang krijgen tot doorgegeven, opgeslagen of anderszins
Verwerkte Persoonsgegevens.
“Autoriteit Persoonsgegevens” staat voor een vertegenwoordiger of functionaris van een overheidsorgaan ofagentschap dat gerechtigd is toezicht te houden op de handhaving van de Toepasselijke Gegevensbeschermingswetgeving.
“Betrokkene” staat voor een natuurlijke persoon op wie Persoonsgegevens betrekking hebben.

Versie: 02.24

1

IVANTI ADDENDUM GEGEVENSVERWERKING“AVG” staat voor de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en
betreffende het vrije verkeer van die gegevens, en tot intrekking van Richtlijn 95/46/EC (General Data Protection
Regulation).
“Ivanti” staat voor de hieronder vermelde entiteit in dezelfde geografische regio als de Klant:-

Ivanti, Inc., een in Delaware gevestigde onderneming, in Amerika, behalve Brazilië.

-Ivanti Comércio de Software Brasil Ltda, een Braziliaanse onderneming, in Brazilië.

-Ivanti Software K.K., een Japanse onderneming, in Japan.

-

Ivanti Software Technology (Beijing) Co., Ltd., een Chinese onderneming, in China.

-

Ivanti International Limited, een Ierse onderneming, voor producten en services onder de merknamen
Wavelink en Naurtech in Europa, het Midden-Oosten, Afrika, en de regio Australazië.

-Ivanti UK Limited, een vennootschap ingeschreven in Engeland en Wales, in alle andere landen.

“Persoonsgegevens” staat voor informatie aan de hand waarvan de identiteit van een identificeerbare of teidentificeren natuurlijke persoon of een specifiek huishouden kan worden afgeleid of die met hem/haar in verband kan
worden gebracht, of informatie die redelijkerwijs direct of indirect aan hem/haar kan worden gekoppeld. Een
identificeerbare natuurlijke persoon is iemand die direct of indirect kan worden geïdentificeerd, met name aan de handvan een identificatiemiddel zoals een naam, een identificatienummer, locatiegegevens, een online identificatiemiddelof met behulp van specifieke factoren die verband houden met de lichamelijke, fysiologische, erfelijke, geestelijke,
economische, culturele of sociale identiteit van deze natuurlijke persoon.
“Verwerking” staat voor een handeling of reeks van handelingen die worden uitgevoerd op Persoonsgegevens
gedurende, in verband met of ten behoeve van de, al dan niet geautomatiseerde, uitvoering van de Services, zoals het
verzamelen, opslaan, beheren, bewaren, aanpassen of wijzigen, opvragen, inzien, gebruiken, openbaren door
doorgifte, verspreiden of anderszins beschikbaar maken, op elkaar afstemmen of combineren, blokkeren, wissen ofvernietigen; en zoals gedefinieerd door Toepasselijke Gegevensbeschermingswetgeving.
“Verwerker” staat voor de entiteit die Persoonsgegevens Verwerkt in naam van de Verwerkingsverantwoordelijke.
Voor alle duidelijkheid: de Partij die hierboven wordt aangeduid als “Verwerker” is een Verwerker krachtens deze
DPA.
“Services” staat voor de Verwerking van Persoonsgegevens door de Verwerker met betrekking tot en ten behoeve
van de uitvoering van de door de Verwerker op grond van de Overeenkomst te verlenen diensten.
“Dienstverlener” staat voor een eenmanszaak, samenwerkingsverband, vennootschap met beperkte
aansprakelijkheid, organisatie, associatie of andere rechtspersoon die is georganiseerd of wordt geëxploiteerd ten
behoeve van de financiële voordelen en baten van zijn aandeelhouders of andere eigenaars, en gegevens verwerkt innaam van een Verwerkingsverantwoordelijke en aan wie de Verwerkingsverantwoordelijke Persoonsgegevens
verstrekt van een Betrokkene voor een Zakelijk Doeleinde op grond van een schriftelijke overeenkomst, mits deovereenkomst de Dienstverlener verbiedt de Persoonsgegevens te bewaren, gebruiken of openbaren voor enig ander
doeleinde dan het in de overeenkomst beschreven specifieke doeleinde van het uitvoeren van de diensten, of anderszins
toegestaan door de CCPA, met inbegrip van het bewaren, gebruiken of openbaren van de Persoonsgegevens voor een
Commercieel Doeleinde anders dan het uitvoeren van de in de overeenkomst beschreven diensten aan de
Verwerkingsverantwoordelijke. De begrippen “Zakelijk Doeleinde” en “Commercieel Doeleinde” hebben dezelfde
betekenis als wanneer deze begrippen worden gebruikt in de CCPA. Voor alle duidelijkheid: de Verwerker is een
Dienstverlener.
“Subverwerker” staat voor een entiteit die Persoonsgegevens Verwerkt in naam van de Verwerker.
2. VERWERKING VAN PERSOONSGEGEVENS
2.1 Rollen van de Partijen. De partijen verklaren en komen overeen dat ten aanzien van de Verwerking van
Persoonsgegevens, de Verwerkingsverantwoordelijke de rol vervult van Verwerkingsverantwoordelijke, en de
Verwerker die van Verwerker of Dienstverlener. De grondslag, duur, doeleinde van de Verwerking, en de types van
Persoonsgegevens en Gegevenscategorieën die op grond van deze DPA worden Verwerkt, worden uitgebreid
beschreven in Aanhangsel 1.

Versie: 02.24

2

IVANTI ADDENDUM GEGEVENSVERWERKING
2.2 Plichten van de Verwerkingsverantwoordelijke. De instructies van de Verwerkingsverantwoordelijke tenaanzien van de Verwerking van Persoonsgegevens moeten voldoen aan de Wet- en Regelgeving inzake
Gegevensbescherming. De Verwerkingsverantwoordelijke draagt de volledige verantwoordelijkheid voor denauwkeurigheid, kwaliteit en rechtmatigheid van Persoonsgegevens en de middelen waarmee deVerwerkingsverantwoordelijke Persoonsgegevens verzamelt en aan de Verwerker verstrekt.
2.3 Plichten van de Verwerker. Alle Persoonsgegevens die de Verwerker op grond van de Overeenkomst Verwerkt
zijn Vertrouwelijke Informatie en de Verwerker Verwerkt Persoonsgegevens uitsluitend op basis van door de
Verwerkingsverantwoordelijke gegeven schriftelijke instructies, uiteengezet in Aanhangsel 1 of anderszins schriftelijk
door de Verwerkingsverantwoordelijke verstrekt. De Verwerker onthoudt zich van de verkoop van de uit hoofde vandeze DPA Verwerkte Persoonsgegevens en zal Persoonsgegevens evenmin bewaren, gebruiken of openbaren buiten
de directe handelsbetrekkingen tussen de Verwerker en Verwerkingsverantwoordelijke. De Verwerker neemt alle
Toepasselijke Wetten inzake Gegevensbescherming in acht met betrekking tot de Verwerking van
Persoonsgegevens. Verwerker zal Persoonsgegevens die zijn verstrekt door de Gegevensverantwoordelijlke niet
combineren met Persoonsgegevens die hij ontvangt van andere bronnen. Indien de Verwerker van mening is dat denaleving van enige instructie van de Verwerkingsverantwoordelijke zou leiden tot een schending van een
Toepasselijke Wet inzake Gegevensbescherming, stelt de Verwerker de Verwerkingsverantwoordelijke hierover
onverwijld schriftelijk in kennis. De Verwerker verstrekt de Verwerkingsverantwoordelijke alle noodzakelijke
informatie om aan te tonen dat de Verwerker voldoet aan zijn verplichtingen krachtens deze DPA.
2.3.1. Behoefte aan Bijstand. De Verwerker staat de Verwerkingsverantwoordelijke bij op het gebied van:naleving van de Toepasselijke Gegevensbeschermingswetgeving; vermeende en relevante Datalekken;
kennisgevingen aan of informatieaanvragen van een Autoriteit voor Gegevensbescherming; kennisgevingen en
informatieaanvragen van Betrokkenen; en de plicht van de Verwerkingsverantwoordelijke om effectbeoordelingenvan de gegevensbescherming uit te voeren envoorafgaand te overleggen met een Autoriteit voor
Gegevensbescherming.
3.

MEDEDELINGSPLICHTEN

3.1 Mededelingsplichten van de Verwerker. De Verwerker stelt de Verwerkingsverantwoordelijke onverwijld
schriftelijk in kennis van:
3.1.1
Een verzoek van een Betrokkene om zijn/haar privacyrechten uit te oefenen zoals het recht op inzage,
rectificatie, vernietiging, dataportabiliteit, bezwaar of beperking van de verwerking van zijn/haar Persoonsgegevens;
3.1.2

Verzoeken of klachten ontvangen van de klanten of werknemers van de Verwerkingsverantwoordelijke;

3.1.3
Vragen, klachten,
Gegevensbescherming;

onderzoeken

ofandereinformatieverzoeken

van

een

Autoriteit

voor

3.1.4
Verzoeken tot openbaring van Persoonsgegevens die op enigerlei wijze in verband staan met de Verwerking
van Persoonsgegevens door de Verwerker op grond van deze DPA;
3.1.5

Een Datalek op grond van de mededelingsplicht uiteengezet in Artikel 7.1; en

3.1.6
Wanneer de Persoonsgegevens het onderwerp zijn van onderzoek en inbeslagneming, bevel tot
beslaglegging, confiscatie bij faillissements- of insolventieprocedures, of vergelijkbare gebeurtenissen of maatregelen
van derden gedurende de Verwerking.
De Verwerker zal de Verwerkingsverantwoordelijke bijstaan bij het vervullen van zijn plichten in het beantwoorden
van verzoeken ten aanzien van bovenstaand lid (3.1.1) tot (3.1.6) en zal niet ingaan op dergelijke verzoeken zonderde voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke, tenzij de Verwerker hiertoe
wettelijk verplicht is.
3.

VERTROUWELIJKHEID

4.1 Vertrouwelijke Informatie. Alle Informatie die aan de Verwerker wordt verstrekt uit hoofde van deOvereenkomst is Vertrouwelijke Informatie.
4.2 Personeel van de Verwerker. De Verwerker garandeert dat zijn werknemers die betrokken zijn bij de Verwerking
van Persoonsgegevens, zijn geïnformeerd over de vertrouwelijke aard van de Persoonsgegevens, naar behoren zijn
opgeleid en geïnstrueerd over hun verantwoordelijkheden, en schriftelijke geheimhoudingsovereenkomsten hebben
ondertekend. De Verwerker garandeert dat deze plicht tot geheimhouding van werknemers ook van kracht blijft nabeëindiging van hun arbeidsovereenkomst of dienstbetrekking bij de Verwerker.

Versie: 02.24

3

IVANTI ADDENDUM GEGEVENSVERWERKING
4.3 Beperkte Toegankelijkheid. De Verwerker garandeert dat de toegang van het personeel tot Persoonsgegevens
beperkt blijft tot werknemers die Services uitvoeren in overeenstemming met de Overeenkomst.
5. SUBVERWERKERS
5.1 Aanwijzing van Subverwerkers. De Verwerkingsverantwoordelijke verklaart en aanvaardt dat de Verwerker enzijn Gelieerde ondernemingen externe Subverwerkers kunnen aanstellen in verband met de uitvoering van de Services.
De Verwerker of de Gelieerde ondernemingen van de Verwerker sluiten hiertoe een schriftelijke overeenkomst af met
elke Subverwerker die verplichtingen tot gegevensbescherming bevatten die overeenkomen met het
beschermingsniveau van de in deze DPA vervatte verplichtingen, voor zover van toepassing op de aard van de Services
die door een dergelijke Subverwerker worden uitgevoerd. De Verwerkingsverantwoordelijke staat de Verwerker
hierbij toe de Subverwerkers van zijn huidige lijst aan te stellen, zoals vermeld op
https://www.ivanti.com/company/legal/ivanti-subprocessors voor de Verwerking van Persoonsgegevens inovereenstemming met deze DPA. De Verwerkingsverantwoordelijke onderhoudt niet rechtstreeks contact over deServices met de Subverwerkers van de Verwerker, tenzij de Verwerker hiermee instemt.
5.2 Melding van Veranderingen van Subverwerkers. De Verwerker informeert de Verwerkingsverantwoordelijke
omtrent voorgenomen veranderingen met betrekking tot de toevoeging of vervanging van Subverwerkers, door de
Verwerkingsverantwoordelijke in staat te stellen gebruik te maken van een meldsysteem van nieuwe Subverwerkers
ophttps://www.ivanti.com/company/legal/ivanti-subprocessors.
De
Verwerker
steltdeVerwerkingsverantwoordelijke in kennis omtrent voorgenomen veranderingen over de toevoeging of vervanging van
Subverwerkers voorafgaand aan het aanstellen van de Subverwerker.
5.3 Bezwaarrecht aangaande Nieuwe Subverwerkers. De Verwerkingsverantwoordelijke kan redelijkerwijs
bezwaar aantekenen tegen de aanstelling door de Verwerker van een nieuwe Subverwerker, door de Verwerker
hierover onverwijld binnen vijftien (15) werkdagen na ontvangst van de melding van de Verwerker schriftelijk inkennis te stellen. Indien de Verwerkingsverantwoordelijke bezwaar aantekent tegen de aanstelling van een nieuwe
Subverwerker, zal de Verwerker redelijke inspanningen verrichten om de Services zodanig te veranderen voor de
Verwerkingsverantwoordelijke dat de Verwerking van Persoonsgegevens door de afgewezen nieuwe Subverwerker
wordt vermeden. Indien de Verwerker er niet in slaagt een dergelijke verandering te bewerkstelligen, heeft de
Verwerkingsverantwoordelijke het recht de betreffende Overeenkomst te beëindigen ten aanzien van de Services diede Verwerker niet kan leveren zonder gebruik te maken van de afgewezen nieuwe Subverwerker.
5.4 Aansprakelijkheid voor Handelingen van Subverwerkers. De Verwerker is aansprakelijk voor de handelingenen nalatigheden van zijn Subverwerkers, in dezelfde mate als waarin de Verwerker aansprakelijk zou zijn als deServices van elke Subverwerker rechtstreeks zouden worden uitgevoerd krachtens de bepalingen van deze DPA.
6. BEVEILIGING
6.1 Bescherming van Persoonsgegevens. De Verwerker neemt toereikende technische en organisatorischemaatregelen ter waarborging van de veiligheid (met inbegrip van bescherming tegen ongeoorloofde of onrechtmatige
Verwerking en tegen onbedoelde of onrechtmatige vernietiging, verlies, wijziging, beschadiging, ongeoorloofde
openbaring van of toegang tot Persoonsgegevens), vertrouwelijkheid en integriteit van Persoonsgegevens.
6.2 Auditrechten. De Verwerkingsverantwoordelijke verklaart dat de Verwerker voldoet aan het auditrecht van de
Verwerkingsverantwoordelijke door laatstgenoemde te voorzien van up-to-date verklaringen, rapporten of uittreksels
van onafhankelijke instanties, waaronder onder meer externe of interne auditors, de functionaris gegevensbescherming
van de Verwerker, zijn afdeling IT Security, databescherming of auditors Kwaliteit of andere onderlinge afspraken
omtrent externe partijen of certificering middels een audit IT Security of databescherming. Voor zover het niet
mogelijk is aan een auditplicht te voldoen, opgelegd door toepasselijke Wet- en Regelgeving inzake
Gegevensbescherming, door dergelijke verklaringen, rapporten of uittreksels voor te leggen, heeft de
Verwerkingsverantwoordelijke, of de vertegenwoordiger van de Verwerkingsverantwoordelijke, het recht om — op
kosten van de Verwerkingsverantwoordelijke — de bedrijfsruimtes, beleidsregels, procedures en computersystemen
van de Verwerker te onderwerpen aan een audit en inspectie, om zich ervan te verzekeren dat de Verwerker voldoet
aan de vereisten van deze DPA. De Verwerkingsverantwoordelijke, of diens vertegenwoordiger, stelt de Verwerker
ten minste dertig (30) dagen vóór het uitvoeren van een audit in kennis, tenzij een dergelijke audit is vereist wegens
een Datalek waarbij de Verwerker is betrokken. Door de Verwerkingsverantwoordelijke of diens vertegenwoordiger
uitgevoerde audits laten de geheimhoudingsplicht van de Verwerker ten aanzien van zijn andere klanten onverlet.
Audits worden te allen tijde verricht gedurende normale werkuren, op de hoofdvestiging van de Verwerker of andere
locatie(s) van de Verwerker waar Persoonsgegevens worden ingezien, verwerkt of beheerd, en zullen de dagelijkse

Versie: 02.24

4

IVANTI ADDENDUM GEGEVENSVERWERKING
operaties en bedrijfsvoering van de Verwerker niet op onredelijke wijze verstoren. Vóór aanvang van een dergelijke
audit, maken de Verwerker en de Verwerkingsverantwoordelijke onderling afspraken over het tijdstip, de reikwijdte
en duur van de audit. De Verwerkingsverantwoordelijke kan een samenvatting van audit rapport(en) opvragen of de
Verwerker niet meer dan één keer per jaar aan een audit onderwerpen.
7. DATALEKKEN
7.1 Melding van Datalek. De Verwerker stelt de Verwerkingsverantwoordelijke onverwijld schriftelijk in kennis na
het ontdekken van een vermeend Datalek. In elk geval moet een dergelijke melding plaatsvinden binnen 72 uur na deontdekking van het Datalek door de Verwerker.
7.2 Beheer van Datalek. De Verwerker stelt alles in het werk om de oorzaak op te sporen van een dergelijk Datalek
en neemt alle maatregelen die hij noodzakelijk en redelijk acht om de oorzaak van een dergelijk Datalek te herstellen,voor zover dit herstel redelijkerwijs binnen zijn bereik ligt.
8. BEËINDIGING
8.1 Beëindiging. Deze DPA wordt automatisch beëindigt bij de gebeurtenis die zich het laatst voordoet, namelijk (a)de beëindiging of afloop van de Overeenkomst, of (b) de verwijdering of retournering van Persoonsgegevens door de
Verwerker. Daarnaast is de Verwerkingsverantwoordelijke gerechtigd deze DPA rechtmatig te beëindigen indien de
Verwerker, naar mening van de Verwerkingsverantwoordelijke, deze DPA wezenlijk of blijvend schendt, en, voor
zover deze schending kan worden hersteld, heeft verzuimd de schending te herstellen binnen tien (10) dagen na dedatum waarop de Verwerker een kennisgeving heeft ontvangen van de Verwerkingsverantwoordelijke, waarin hij
wordt gewezen op de schending en wordt verzocht deze te herstellen.
8.2 Retournering of Verwijdering van Gegevens. Bij de beëindiging van deze DPA, zal de Verwerker alle bestaande
kopieën en bestanden van Persoonsgegevens verwijderen of retourneren, tenzij toepasselijke wetgeving voorschrijft
dat de Persoonsgegevens moeten worden bewaard. Op verzoek van de Verwerkingsverantwoordelijke, bevestigt de
Verwerker schriftelijk te voldoen aan deze verplichtingen en alle bestaande kopieën en bestanden verwijderen. In het
geval dat lokale wetgeving voorschrijft dat de Verwerker Persoonsgegevens moet bewaren, staat de Verwerker in voor
de vertrouwelijkheid, integriteit en toegankelijkheid van de Persoonsgegevens; onthoudt zich van de actieve
Verwerking van de Persoonsgegevens; en blijft de bepalingen van deze DPA naleven.
9. MECHANISMES VOOR INTERNATIONALE DOORGIFTE
9.1 Doorgifte buiten de EU/VK/Zwitserland aan een land met een adequaatheidsbesluit De verwerker baseert
zich op een adequaatheidsbesluit voor het doorgeven van persoonsgegevens wanneer een dergelijk
adequaatheidsbesluit toegekend is onder toepasselijke gegevensbeschermingswetgeving. Ter voorkoming van twijfel,
als de verwerker is gecertificeerd onder het Data Privacy Framework Program, toegekend via het Uitvoeringsbesluit
van de Commissie van 10 juli 2023 inzake het passende niveau van bescherming van persoonsgegevens krachtens het
EU-VS Data Privacy Framework ("DPF"), zal het DPF van toepassing zijn op en in de plaats komen van het/de
toepasselijke doorgiftemechanisme(s) volgens sectie 9.2 van deze DPA als geldig doorgiftemechanisme voor
doorgeven van persoonsgegevens aan de Verenigde Staten.
9.2 Doorgifte buiten de EU/VK/Zwitserland aan een land zonder een adequaatheidsbesluit. Bij dienstverlening
onder de DPA kan het voor de verantwoordelijke noodzakelijk zijn persoonsgegevens van de Europese Unie, deEuropese Economische Ruimte en/of de lidstaten daarvan, Zwitserland, of het Verenigd Koninkrijk door te geven aan
een verwerker in een land dat geen adequaatheidsbesluit heeft of zich buiten de Europese Economische Ruimte
bevindt.
9.2.1. Met betrekking tot Persoonsgegevens onderworpen aan de AVG (i) wordt de Verwerker beschouwd als de"gegevensimporteur" en de Verwerkingsverantwoordelijke als de "gegevensexporteur"; (ii) zijn de voorwaarden van
Module Twee van toepassing wanneer de Verwerkingsverantwoordelijke een Gegevensbeheerder is en de Verwerker
een Gegevensverwerker; (iii) wordt de optionele docking-clausule van Clausule 7 verwijderd; (iv) is in Clausule 9 van
Module Twee, Optie 2 van toepassing en is de lijst van Subverwerkers en het tijdbestek voor het melden van
veranderingen zoals overeengekomen onder Deel 5 van deze DPA; (v) wordt in Clausule 11 de taaloptie verwijderd;(vi) is in Clausule 17, Optie 1 van toepassing en worden de standaardcontractbepalingen beheerd door de lidstaat waar
de Verwerkingsverantwoordelijke is gevestigd; (vii) in Clausule 18(b), zullen geschillen worden beslecht voor derechtbanken van de lidstaat waar de Verwerkingsverantwoordelijke is gedomicilieerd; (viii) worden Bijlage I en
Bijlage II geacht te worden aangevuld met de informatie vervat in Aanhangsel 1 van deze DPA; en (ix) prevaleren deStandaardcontractbepalingen in het geval deze in strijd zijn met enige bepaling van de Overeenkomst (deze DPA
inbegrepen). In dit deel, worden de Standaardcontractbepalingen van het Uitvoeringsbesluit van de Commissie (EU)

Versie: 02.24

5

IVANTI ADDENDUM GEGEVENSVERWERKING
2021/914 door verwijzing opgenomen; zij kunnen worden ingezien op: https://ec.europa.eu/info/law/law-topic/dataprotection/international-dimension-data-protection/standard-contractual-clauses-scc/standard-contractual-clausesinternational-transfers_en.
9.2.2. Met betrekking tot Persoonsgegevens die zijn onderworpen aan de Wetten inzake Gegevensbescherming van
het VK, is de Internationale Overeenkomst inzake Gegevensdoorgifte (“International Data Transfer Agreement IDTA”) van toepassing, met inachtneming van de volgende wijzigingen: (i) de contactinformatie over de partijen van
de Overeenkomst is de contactinformatie voor de IDTA; (ii) de Verwerkingsverantwoordelijke is degegevensexporteur en de Verwerker is de gegevens- importeur; (iii) de IDTA wordt beheerd door de wetgeving van
Engeland en Wales en rechtsvorderingen worden voorgelegd aan de rechtbanken van Engeland en Wales; (iv) de
GDPR (AVG) van het VK is niet van toepassing op de verwerking door de gegevensimporteur van doorgegeven
gegevens; (v) de Partijen maken niet gebruik van de aanvullende beschermings- of handelsclausules van de IDTA; en(vi) de informatie in deze DPA en Aanhangsel 1 kan worden gebruikt voor Tabellen 1-4. In dit deel, worden deStandaardcontractbepalingen van het Information Commissioner’s Office van het VK door verwijzing opgenomen;zij kunnen worden ingezien op: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-generaldata-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/.
9.2.3. Met betrekking tot Persoonsgegevens die zijn onderworpen aan de Zwitserse DPA, zijn de in Deel 9.1.1
vermelde Standaardcontractbepalingen van toepassing, met inachtneming van de volgende wijzigingen (i)verwijzingen naar "Verordening (EU) 2016/679" moeten worden geïnterpreteerd als verwijzingen naar de Zwitserse
DPA; (ii) verwijzingen naar "EU", "Unie" en "wetgeving Lidstaat" moeten worden geïnterpreteerd als verwijzingennaar de Zwitserse wetgeving; en (iii) verwijzingen naar de "bevoegde toezichthouder" en "bevoegde rechtbanken"
moeten worden vervangen door "de Zwitserse Federale Commissaris voor Gegevensbescherming en Informatie " ende "relevante rechtbanken in Zwitserland".
9.3. Alternatieve mechanismes voor gegevensdoorgifte. De partijen erkennen dat de wetgeving, regels en
bepalingen met betrekking tot internationale gegevensdoorgifte snel veranderen. Wanneer de verantwoordelijke een
ander mechanisme aanwendt dat is toegestaan bij toepasselijke wetgeving, regels of bepalingen voor het doorgeven
van persoonsgegevens (elk een "alternatief mechanisme voor gegevensdoorgifte"), komen de partijen overeen in goedvertrouwen samen te werken voor implementatie van alle wijzigingen in de DPA die nodig zijn voor toepassing van
het alternatief mechanisme voor gegevensdoorgiftee.
10. OVERIGE BEPALINGEN
10.1. Aanpassingen. Deze DPA kan niet worden aangepast of aangevuld, evenmin kan worden aangenomen dat van
enig hierin vervatte bepaling afstand wordt gedaan of anderszins wordt gewijzigd, met uitzondering van een volgens
de regels ondertekend schrijven door bevoegde vertegenwoordigers van beide partijen.
10.2 Toepasselijke Wetgeving. Deze DPA wordt beheerd door de toepasselijke wetgeving, zoals wordt vermeld inde Overeenkomst.
TEN BLIJKE WAARVAN, de betrokken partijen deze Overeenkomst hebben ondertekend op de Ingangsdatum.

GEGEVENSVERANTWOORDELIJKE:

IVANTI

Handtekening:

Handtekening:

Naam:

Naam:

Functie:

Functie:

Datum:

Datum:

Versie: 02.24

6

IVANTI ADDENDUM GEGEVENSVERWERKING
Lijst van Aanhangsels:
Aanhangsel 1: Beschrijving van de Verwerking

Versie: 02.24

7

IVANTI ADDENDUM GEGEVENSVERWERKINGAAHANGSEL 1
Beschrijving van de Verwerking
Ivanti Contactinformatie:
Ivanti
10377 South Jordan Gateway
Suite 110
South Jordan, Utah 84095
DPO Contact: privacy@ivanti.com
Grondslag
De grondslag van de Verwerking:Verlening van IT-softwarelicenties, ondersteunende diensten en implementatie, op locatie of als een gehoste SaaSoplossing, voor het beheren en faciliteren van essentiële bedrijfsprocessen op het gebied van geïntegreerd endpoint
management, IT-servicemanagement, IT-assetmanagement, beveiliging, rapportage en data-analyse, en supplychain.
IT-services omvatten het gebruik van software als een installatie op locatie of een SaaS-oplossing, inclusief installatie
van modules (waaronder onder meer modules voor incident-, verander-, asset-, configuratie- en releasemanagement);
selfservice- en servicecatalogi; support en onderhoud waaronder, onder meer, remote access; en patches, appcontrole,
endpoint/mobiele beveiliging en privileged management.
Verwerkingsfrequentie:
Permanent.
Duur
Duur van de Verwerking:Als vermeld in de Overeenkomst.
Omvang, Type en Doeleinde van de Verwerking
De omvang, het type en het doeleinde van de Verwerking is als volgt:
Zoals vermeld in de Overeenkomst.
Betrokkenen
De Verwerking van Persoonsgegevens kan betrekking hebben op de volgende categorieën van Betrokkenen:
Klanten, potentiële klanten, werknemers, leveranciers, verkoopvertegenwoordigers; contacten; contractors (inclusief
contractanten); vrijwilligers; tijdelijk personeel en oproepkrachten; freelancers, agenten, consultants en andere
zakelijke respondenten, en hun respectievelijke rechthebbenden, begunstigden en noodcontacten; toekomstige
werknemers en tijdelijk personeel van klanten; indieners van klachten, correspondenten en aanvragers; adviseurs,
consultants en andere beroepsdeskundigen; werknemers of contactpersonen van potentiële klanten, klanten,
businesspartners en verkopers van gegevensexporteur; businesspartners en verkopers van gegevensexporteur(natuurlijke personen); en bevoegde gebruikers van gegevensexporteur die door laatstgenoemde worden toegestaande software en verwante services te gebruiken.
Gegevenscategorieën
De Verwerkte Persoonsgegevens kunnen betrekking hebben op de volgende categorieën van gegevens:
Klantgegevens die worden geüpload naar de Services in verband met de services en accounts van de Klant.
Technische en Organisatorische Maatregelen
Hieronder volgt een beschrijving van de door de Verwerker ingevoerde technische en organisatorischeveiligheidsmaatregelen:
Opleiding Veiligheidsbesef

Versie: 02.24

8

IVANTI ADDENDUM GEGEVENSVERWERKINGDe Verwerker organiseert een opleiding inzake veiligheidsbesef, die een verplichte veiligheidstraining omvat over het
omgaan met en veiligstellen van vertrouwelijke informatie en gevoelige informatie zoals persoonlijke identificeerbare
gegevens, financiële accountgegevens, en gezondheidsgegevens, in overeenstemming met toepasselijke wet- enregelgeving, alsmede periodieke communicatie- en veiligheidstrainingen over veiligheidsbesef, gericht op het
bewustzijn van eindgebruikers.
Veiligheidsbeleid en -Procedures
De Verwerker hanteert beleidsregels omtrent gegevensbeveiliging, datagebruik en datamanagement die dehandelingen voorschrijven van werknemers en contractors ten aanzien van passend gebruik, toegang tot en opslag van
vertrouwelijke en gevoelige informatie; beperkte toegang tot vertrouwelijke en gevoelige informatie voor
personeelsleden van de Verwerker die dergelijke informatie nodig hebben om hun taken te vervullen; belet de toegang
tot gegevens van de Verwerker aan werknemers waarvan het dienstverband is opgezegd of beëindigd; en legt
disciplinaire maatregelen op bij veronachtzaming van dergelijke voorschriften. Weigering van systeemtoegang tot
hulpbronnen van Verwerker, tenzij expliciet beoordeeld en verlening van toegang. De Verwerker voert controles uit
naar de achtergrond van zijn werknemers vóór hun aanstelling, een en ander binnen de grenzen van de wet.
Fysieke Toegangscontrole en Omgevingscontrole
De Verwerker beperkt de fysieke toegang tot zijn informatiesystemen en installaties door middel van fysieke controles(bijv. gecodeerde toegangspas), die een redelijke mate van zekerheid geven dat de toegang tot zijn datacenters beperkt
blijft tot bevoegde personen en maakt gebruik van camera- of videobewakingssystemen op kritieke interne en externe
toegangspunten. De Verwerker maakt gebruik van luchttemperatuur- en luchtvochtigheidscontroles voor zijn
datacenters en voorziet in bescherming tegen verlies als gevolg van stroomuitval.
Logische Toegangscontrole
De Verwerker maakt gebruik van logging- en bewakingstechnologie die een bijdrage levert aan het opsporen enverhinderen van pogingen ongeoorloofd toegang te verwerven tot zijn netwerken en productiesystemen. De bewaking
van de Verwerker omvat het analyseren van veranderingen die van invloed zijn op de manier waarop het systeemomgaat met authentificeren, autoriseren en auditen; geprivilegieerde toegang tot de productiesystemen van de
Verwerker.
Encryptiecontrole
De Verwerker voert bedrijfsspecifieke encryptiecontroles uit op onze producten. De Verwerker beoordeelt en past intransit en at-rest encryptie toe, waarbij gebruik wordt gemaakt van de beste versleutelingstechnieken van de sector.
Best practices worden toegepast voor het lifecyclemanagement van encryptiesleutels, inclusief generatie, opslag,
toegangscontrole, en rotatie.
Vulnerability Management
De Verwerker voert regelmatig scans uit om inzicht te verwerven in de kwetsbaarheid en behandelt opgespoorde
kwetsbaarheden naargelang hun risicoprofiel. Ook de producten van de Verwerker worden onderworpen aan
periodieke kwetsbaarheidsbeoordelingen en indringingstests.
Rampenbestrijding en Back-upcontrole
De Verwerker maakt periodiek back-ups van productiebestandssystemen en databases volgens een vastgesteldeplanning en hanteert een officieel rampenbestrijdingsplan voor het productie-clouddatacenter, inclusief het regelmatig
uitvoeren van testen.
Responsplan voor Cyberincidenten
De Verwerker maakt gebruikt van een responsplan voor het beheren en minimaliseren van de effecten van ongeplande
cyber-gebeurtenissen, met inbegrip van te volgen procedures in het geval van een actueel of potentieel veiligheidslek,
waaronder: een intern incident-responsteam met een responsleider; een onderzoeksteam dat (hoofd)oorzaakanalyses
uitvoert en aangetaste onderdelen identificeert; interne rapportage- en meldingsprocessen; documenteren van
responsacties en herstelplannen; en een post-incident-evaluatie.
Veiligheid van Opslag en Doorgifte

Versie: 02.24

9

IVANTI ADDENDUM GEGEVENSVERWERKINGDe Verwerker voert technische beveiligingsmaatregelen in tegen ongeoorloofde toegang tot gegevens van de
Verwerker die zijn doorgegeven via een openbaar elektronisch communicatienetwerk of elektronisch worden
bewaard.
Veilige Verwijdering
De Verwerker hanteert beleidsregels en procedures met betrekking tot de verwijdering van materiële en immateriële
eigendommen die gegevens van de Verwerker bevatten, zodat deze gegevens in de praktijk niet kunnen worden
afgelezen of gereconstrueerd.
Risico-identificatie en Risicobeoordeling
De Verwerker maakt gebruik van een risicobeoordelingsprogramma dat een bijdrage levert aan het identificeren vanvoorzienbare interne en externe risico’s waaraan de informatiehulpbronnen van de Verwerker worden blootgesteld.
Het programma bepaalt of huidige controles, beleidsregels en procedures toereikend zijn om de waargenomen risico’s
effectief te bestrijden.
Verkopers en Dienstverleners
Externe dienstverleners of verkopers (gezamenlijk "Leveranciers" genoemd) met toegang tot vertrouwelijke
informatie van de Verwerker worden onderworpen aan risicobeoordelingen om een inschatting te maken van degevoeligheid van de door de Verwerker gedeelde informatie. Van Leveranciers wordt verwacht dat ze essentiële
contractvoorwaarden met betrekking tot de veiligheid van gegevens van de Verwerker naleven, en toepasselijke
voorschriften of procedures van de Verwerker in acht nemen. De Verwerker kan een Leverancier van tijd tot tijd
verzoeken zijn beveiligingsstatus te herbeoordelen om aan de voorschriften te blijven voldoen.

Versie: 02.24

10