Cal.com Gegevensverwerkingsovereenkomst

Versie 2.3 — Ingangsdatum: 1 november 2026

Deze gegevensverwerkingsovereenkomst (“DPA”) maakt deel uit van de overeenkomst die het gebruik van de Diensten door Klant regelt (“Overeenkomst”) tussen de in de Overeenkomst genoemde klant (“Klant”) en Cal.com, Inc. (“Cal.com”). Klant en Cal.com zijn elk een “Partij” en samen de “Partijen”. Behoudens §14.2 is deze DPA van toepassing op elk klantaccount en elk abonnement dat onder de Overeenkomst valt, en wordt zij bindend zoals bepaald in §16.4. Opname van deze DPA in een master services agreement betekent niet dat de Servicevoorwaarden van de website van Cal.com in die overeenkomst worden opgenomen.

1. Reikwijdte en rollen

1.1 Deze DPA is van toepassing wanneer Cal.com Persoonsgegevens namens Klant verwerkt bij het leveren van de Diensten.

1.2 Voor Persoonsgegevens van Klant treedt Klant op als Verwerkingsverantwoordelijke of als Verwerker namens een andere Verwerkingsverantwoordelijke, zoals van toepassing, en Cal.com treedt dienovereenkomstig op als Verwerker of Subverwerker van Klant. Voor persoonsgegevens die Cal.com voor eigen doeleinden verwerkt, waaronder accountbeheer, facturering, marketing, beveiliging en naleving, treedt Cal.com op als onafhankelijke Verwerkingsverantwoordelijke, zoals beschreven in het Privacybeleid van Cal.com.

1.3 Deze DPA is niet van toepassing op verwerking door diensten van derden die Klant selecteert, koppelt of configureert en die Cal.com niet uitvoert als onderdeel van de Diensten, bijvoorbeeld de eigen agenda-, videoconferentie-, CRM-, webhook-, SMTP- of automatiseringsprovider van Klant. Zij blijft van toepassing op de verwerking door Cal.com van Persoonsgegevens van Klant bij het leveren van integraties met die diensten. Klant is verantwoordelijk voor zijn relatie met, instructies aan en rechtmatig gebruik van die derden. Functies die Cal.com levert als onderdeel van de Diensten, waaronder functies die via Subverwerkers worden geleverd, zoals door Cal.com gehoste video en transactionele e-mail, blijven binnen deze DPA vallen.

1.4 Klant mag via de Diensten geen beschermde gezondheidsinformatie indienen, uploaden of anderszins beschikbaar maken, tenzij er voor de betreffende Diensten een Business Associate Agreement (“BAA”) is gesloten tussen Klant en Cal.com een Business Associate Agreement (“BAA”) is gesloten die de relevante Diensten dekt. Klant is verantwoordelijk voor alle Beschermde Gezondheidsinformatie die in strijd met dit artikel wordt ingediend. Klant mag Persoonsgegevens die onder Artikel 9 GDPR of een gelijkwaardige verhoogde bescherming onder Toepasselijke Gegevensbeschermingswetgeving vallen verwerken via de functionaliteit die onder de Overeenkomst wordt geboden, op voorwaarde dat Klant verantwoordelijk is voor het vaststellen dat hij daarvoor een rechtsgrond en eventuele vereiste voorwaarde heeft, en voor het passend configureren van de Diensten voor die gegevens.

1.5 Wanneer Klant een BAA heeft gesloten, gaat de BAA voor bij elk conflict tussen deze DPA en de BAA met betrekking tot het gebruik, de openbaarmaking, privacy of beveiliging van Beschermde Gezondheidsinformatie (zoals gedefinieerd in de BAA). Deze DPA blijft van toepassing op alle andere Persoonsgegevens van Klant en vult elke leemte aan die de BAA niet behandelt.

2. Definities en interpretatie

“Toepasselijke Gegevensbeschermingswetgeving” betekent wetgeving inzake gegevensbescherming en privacy die van toepassing is op de verwerking van Persoonsgegevens van Klant, waaronder, waar van toepassing, de GDPR, de UK GDPR, de Swiss Federal Act on Data Protection, US State Privacy Laws en uitvoerings- of aanvullende wetgeving.

“Persoonsgegevens van Klant” betekent Persoonsgegevens die door Cal.com namens Klant worden verwerkt in verband met de Diensten.

“EER” betekent de Europese Economische Ruimte.

“Uitgevoerde DPA” betekent een gegevensverwerkingsovereenkomst, anders dan deze DPA, die zowel Klant als Cal.com hebben ondertekend.

“GDPR” betekent Verordening (EU) 2016/679.

“Inbreuk in verband met Persoonsgegevens” heeft de betekenis die daaraan in de GDPR wordt gegeven.

“SCCs” betekent de standaardcontractbepalingen voor de doorgifte van persoonsgegevens aan derde landen, vastgesteld bij Uitvoeringsbesluit (EU) 2021/914 van de Europese Commissie van 4 juni 2021.

“Swiss Amendments” betekent de wijzigingen in de SCCs die door de Swiss Federal Data Protection and Information Commissioner worden vereist voor doorgiften die onder de Swiss Federal Act on Data Protection vallen.

“UK Addendum” betekent het International Data Transfer Addendum bij de EU Commission Standard Contractual Clauses, uitgegeven door de UK Information Commissioner op grond van artikel 119A van de Data Protection Act 2018.

“Diensten” betekent de diensten van Cal.com voor plannen, boekingen, video, communicatie, integratie en gerelateerde gehoste diensten die onder de Overeenkomst worden geleverd.

“Subverwerker” betekent een derde partij die door Cal.com is ingeschakeld om Persoonsgegevens van Klant namens Cal.com te verwerken in verband met de Diensten. Leveranciers die persoonsgegevens alleen verwerken voor de eigen doeleinden van Cal.com als onafhankelijke Verwerkingsverantwoordelijke, waaronder analytics- en advertentietools op de marketingwebsite van Cal.com, zijn geen Subverwerkers.

“Subverwerkerslijst” betekent de actuele lijst van Subverwerkers van Cal.com, beschikbaar op trust.cal.com.

“US State Privacy Laws” betekent de California Consumer Privacy Act zoals gewijzigd door de California Privacy Rights Act, en andere algemeen toepasselijke wetten van Amerikaanse staten die de verwerking van persoonlijke informatie regelen, samen met hun uitvoeringsregels, telkens voor zover van toepassing.

“BAA” betekent een Business Associate Agreement, indien gesloten tussen Klant en Cal.com, die het gebruik en de openbaarmaking van Beschermde Gezondheidsinformatie onder HIPAA regelt. Wanneer er geen BAA van kracht is, zijn verwijzingen naar een BAA in deze DPA niet van toepassing.

“Verwerkingsverantwoordelijke”, “Verwerker”, “Betrokkene”, “Persoonsgegevens”, “Verwerking” en gerelateerde termen hebben de betekenissen die daaraan in Toepasselijke Gegevensbeschermingswetgeving worden gegeven. Onder US State Privacy Laws omvat “Verwerkingsverantwoordelijke” “business”, omvat “Verwerker” “service provider” en “contractor”, en omvat “Persoonsgegevens” “personal information”.

3. Verwerkingsinstructies

3.1 Cal.com verwerkt Persoonsgegevens van Klant alleen: (a) om de Diensten te leveren, te beveiligen, te ondersteunen, te onderhouden en te verbeteren in overeenstemming met de Overeenkomst, deze DPA, de gedocumenteerde configuratie en het gebruik van de Diensten door Klant, en toepasselijke wetgeving; (b) op verdere gedocumenteerde instructies van Klant die in overeenstemming zijn met de Overeenkomst en deze DPA; of © zoals vereist door toepasselijke wetgeving, in welk geval Cal.com Klant vóór de verwerking over die wettelijke verplichting zal informeren, tenzij toepasselijke wetgeving die kennisgeving verbiedt.

3.2 Klant is verantwoordelijk om ervoor te zorgen dat zijn instructies en zijn verzameling, gebruik, openbaarmaking en andere verwerking van Persoonsgegevens van Klant via de Diensten voldoen aan Toepasselijke Gegevensbeschermingswetgeving.

3.3 Het onderwerp, de duur, de aard, de doeleinden, de categorieën Betrokkenen, de categorieën Persoonsgegevens en de verwerkingshandelingen zijn vastgelegd in Bijlage 1.

3.4 Als Cal.com van mening is dat een instructie van Klant inbreuk maakt op de Toepasselijke Wetgeving inzake Gegevensbescherming, Cal.com zal Klant daarvan onverwijld op de hoogte stellen, en Cal.com mag de uitvoering van de betreffende instructie opschorten totdat Klant deze bevestigt, wijzigt of intrekt.

4. Vertrouwelijkheid en personeel

4.1 Cal.com zorgt ervoor dat personen die gemachtigd zijn om Persoonsgegevens van Klant te verwerken, aan passende geheimhoudingsverplichtingen zijn onderworpen of onder een passende wettelijke geheimhoudingsplicht vallen.

4.2 Cal.com beperkt de toegang tot Persoonsgegevens van Klant tot personeel en Subverwerkers die toegang nodig hebben om de Diensten te leveren, beveiligen, ondersteunen of onderhouden.

5. Beveiliging

5.1 Rekening houdend met de stand van de techniek, implementatiekosten, aard, omvang, context en doeleinden van de verwerking, en de risico's voor Betrokkenen, Cal.com implementeert en onderhoudt passende technische en organisatorische maatregelen om Persoonsgegevens van Klant te beschermen, zoals vereist door artikel 32 GDPR.

5.2 De beveiligingsmaatregelen van Cal.com omvatten, waar passend: toegangscontrole en least-privilegepraktijken; encryptie tijdens overdracht en in rust waar passend; authenticatiecontroles, waaronder SSO en multifactorauthenticatie voor relevante systemen; veilige ontwikkeling, kwetsbaarheidsbeheer, logging, monitoring, incidentrespons, back-up- en weerbaarheidspraktijken; en periodieke beveiligingstests en onafhankelijke assurance-activiteiten die passen bij de Diensten.

5.3 Cal.com mag zijn beveiligingsmaatregelen van tijd tot tijd bijwerken of wijzigen, mits de wijzigingen de algehele beveiliging van de Diensten niet wezenlijk verminderen.

6. Subverwerkers

6.1 Algemene toestemming. Klant verleent Cal.com algemene schriftelijke toestemming om Subverwerkers in te schakelen voor de verwerking van Persoonsgegevens van Klant ten behoeve van de levering, werking, beveiliging, ondersteuning, het onderhoud en de verbetering van de Diensten. Wanneer Klant optreedt als Verwerker, moet elke vereiste toestemming van de Verwerkingsverantwoordelijke worden verkregen en meegedeeld overeenkomstig de toepasselijke SCCs; de toestemming van Klant vervangt die niet.

6.2 Huidige Subverwerkers. Klant geeft toestemming voor het gebruik door Cal.com van de Subverwerkers die op de ingangsdatum van deze DPA in de Subverwerkerslijst zijn vermeld.

6.3 Wijzigingen in Subverwerkers. Voordat een nieuwe of vervangende Subverwerker begint met de verwerking van Persoonsgegevens van Klant, Cal.com geeft Klant vooraf schriftelijk bericht en zal commercieel redelijke inspanningen leveren om dat bericht vroeg genoeg te geven zodat Klant de wijziging kan beoordelen en bezwaar kan maken op grond van §6.4. Kennisgeving kan worden gedaan per e-mail aan de accountbeheerder of privacy-/juridische contactpersoon van Klant, via een melding in het product, of via een andere gedocumenteerde elektronische methode. Het bijwerken van de Subverwerkerslijst alleen zal niet de enige kennisgevingsmethode van Cal.com zijn.

6.4 Bezwaren. Klant kan binnen een redelijke termijn na ontvangst van de kennisgeving schriftelijk bezwaar maken, en waar praktisch mogelijk voordat de nieuwe Subverwerker met de verwerking begint, op redelijke en onderbouwde gronden die verband houden met gegevensbescherming. De Partijen zullen te goeder trouw samenwerken om een geldig bezwaar op te lossen. Als er geen redelijke oplossing beschikbaar is en Klant de betreffende Dienst redelijkerwijs niet kan blijven gebruiken zonder de voorgestelde Subverwerker, kan Klant de betreffende Dienst stopzetten of het betreffende deel van de Overeenkomst beëindigen. Cal.com zal alle vooruitbetaalde, ongebruikte kosten voor de beëindigde betreffende Dienst terugbetalen.

6.5 Verplichtingen van Subverwerkers. Voordat een Subverwerker Persoonsgegevens van Klant verwerkt, Cal.com zal een schriftelijke overeenkomst aangaan die de Subverwerker verplicht Persoonsgegevens van Klant te beschermen met verplichtingen die niet minder beschermend zijn dan die welke gelden voor Cal.com op grond van deze DPA, zoals vereist door de Toepasselijke Wetgeving inzake Gegevensbescherming.

6.6 Verantwoordelijkheid. Cal.com blijft verantwoordelijk voor de nakoming van de gegevensbeschermingsverplichtingen van zijn Subverwerkers voor zover vereist door de Toepasselijke Wetgeving inzake Gegevensbescherming.

6.7 Verdere subverwerkers. De Subverwerkers van Cal.com mogen hun eigen subverwerkers inschakelen voor zover toegestaan door hun overeenkomst met Cal.com en de Toepasselijke Wetgeving inzake Gegevensbescherming. Cal.com handhaaft contractuele aansprakelijkheid via zijn directe Subverwerker en hoeft niet elke verdere subverwerker te vermelden als een directe Subverwerker van Cal.com. Voor zover vereist door de Toepasselijke Wetgeving inzake Gegevensbescherming, zal Cal.com proactief actuele informatie beschikbaar stellen aan Klant waarmee de Subverwerkers en verdere subverwerkers die Persoonsgegevens van Klant verwerken, kunnen worden geïdentificeerd, waaronder hun namen, adressen, contactpersonen en contactgegevens, en de verwerking die aan hen is toevertrouwd. Deze informatie kan worden verstrekt via toegankelijke leverancierslijsten of andere gedocumenteerde bronnen en wordt up-to-date gehouden.

6.8 Subverwerkers die PHI kunnen verwerken. Wanneer Klant een BAA heeft afgesloten, Cal.com staat niet toe dat een Subverwerker beschermde gezondheidsinformatie aanmaakt, ontvangt, bewaart of verzendt, tenzij die Subverwerker gebonden is aan een schriftelijke overeenkomst met beschermingen die in lijn zijn met de BAA, waaronder een beperking op het gebruik van beschermde gezondheidsinformatie om een model voor kunstmatige intelligentie of machine learning te trainen, finetunen of verbeteren.

7. Hulp bij verzoeken van betrokkenen

7.1 Rekening houdend met de aard van de verwerking, zal Cal.com redelijke hulp verlenen aan Klant, via passende technische en organisatorische maatregelen, zodat Klant kan reageren op verzoeken van Betrokkenen.

7.2 Als Cal.com een verzoek van een Betrokkene ontvangt met betrekking tot Persoonsgegevens van Klant, zal Cal.com Klant, tenzij wettelijk verboden, onmiddellijk op de hoogte stellen en niet op het verzoek reageren, behalve op gedocumenteerde instructies van Klant of zoals vereist door toepasselijk recht.

7.3 Klant blijft verantwoordelijk voor het afhandelen van verzoeken van Betrokkenen in overeenstemming met zijn rol als Verwerkingsverantwoordelijke of Verwerker en zijn verplichtingen op grond van de Toepasselijke Wetgeving inzake Gegevensbescherming. De hulp van Cal.com wordt beheerst door deze DPA en de toepasselijke SCCs.

8. Inbreuken in verband met Persoonsgegevens

8.1 Cal.com stelt Klant zonder onredelijke vertraging op de hoogte nadat het kennis heeft gekregen van een Inbreuk in verband met Persoonsgegevens die Persoonsgegevens van Klant treft.

8.2 Cal.com verstrekt informatie die redelijkerwijs beschikbaar is om Klant te helpen bij het voldoen aan zijn meldings- en andere wettelijke verplichtingen, waaronder, waar beschikbaar: de aard van de inbreuk; categorieën en het geschatte aantal getroffen Betrokkenen en records; waarschijnlijke gevolgen; genomen of voorgestelde maatregelen om de inbreuk te beperken; en een contactpunt voor verdere informatie.

8.3 Informatie kan gefaseerd worden verstrekt zodra deze beschikbaar komt. Cal.com werkt redelijkerwijs samen met Klant bij het onderzoeken, beperken en herstellen van de Inbreuk in verband met persoonsgegevens.

8.4 De melding door Cal.com van, of reactie op, een Inbreuk in verband met persoonsgegevens is geen erkenning door Cal.com van schuld of aansprakelijkheid.

9. DPIA’s en overleg met toezichthoudende autoriteiten

Rekening houdend met de aard van de verwerking en de informatie waarover Cal.com beschikt, zal Cal.com Klant redelijke hulp bieden bij gegevensbeschermingseffectbeoordelingen en overleg met toezichthoudende autoriteiten zoals vereist op grond van artikelen 35 en 36 GDPR of gelijkwaardige Toepasselijke wetgeving inzake gegevensbescherming, uitsluitend voor zover het verzoek betrekking heeft op de verwerking door Cal.com van Persoonsgegevens van de klant.

10. Teruggave en verwijdering

10.1 Gedurende de looptijd kan Klant Persoonsgegevens van de klant via de Diensten openen en exporteren waar de relevante functionaliteit beschikbaar is. Aan het einde van de verwerkingsdiensten kan Klant kiezen voor teruggave van Persoonsgegevens van de klant gevolgd door verwijdering van bestaande kopieën, of voor verwijdering, zoals vereist door Toepasselijke wetgeving inzake gegevensbescherming en de toepasselijke SCCs.

10.2 Na beëindiging of afloop van de Diensten heeft Klant ten minste 30 dagen om Persoonsgegevens van de klant te exporteren, tenzij Klant eerdere verwijdering opdraagt of de Overeenkomst of de configuratie van Klant een langere periode biedt.

10.3 Na de toepasselijke exportperiode zal Cal.com Persoonsgegevens van de klant verwijderen volgens zijn standaard verwijderingsschema, normaal gesproken binnen 90 dagen, tenzij bewaring vereist is door toepasselijk recht. Op schriftelijk verzoek van Klant zal Cal.com schriftelijk bevestigen wanneer de verwijdering op grond van dit artikel is voltooid, waar Toepasselijke wetgeving inzake gegevensbescherming dit vereist of zo’n bevestiging redelijkerwijs beschikbaar is.

10.4 Persoonsgegevens van de klant die na beëindiging in back-ups achterblijven, blijven beschermd en worden buiten gewoon gebruik gesteld in afwachting van verwijdering volgens het toepasselijke bewaarschema voor back-ups. Elke bewaring, herstel of andere verwerking moet zijn toegestaan door Toepasselijke wetgeving inzake gegevensbescherming en de toepasselijke SCCs.

10.5 Dit artikel verplicht Cal.com niet om gegevens te verwijderen die het als onafhankelijke Verwerkingsverantwoordelijke verwerkt, wanneer Cal.com een afzonderlijke rechtsgrond en doel heeft, zoals facturering, belasting, fraudepreventie, beveiliging of records voor naleving van wetgeving.

10.6 Waar een BAA van toepassing is, wordt teruggave of vernietiging van Protected Health Information, inclusief kopieën in back-ups, beheerst door die BAA en het toepasselijke recht. Voortgezette bewaring op basis van onuitvoerbaarheid moet aan die vereisten voldoen, en de bescherming van de BAA blijft gelden voor bewaarde Protected Health Information.

11. Audits en compliance-informatie

11.1 Cal.com stelt informatie beschikbaar die redelijkerwijs nodig is om naleving van deze DPA aan te tonen.

11.2 Voordat Klant om een audit vraagt, gebruikt Klant de actuele compliancedocumentatie van Cal.com, waaronder relevante beveiligingsrapporten, certificeringen, auditsamenvattingen, vragenlijsten en schriftelijke antwoorden, voor zover zulke materialen naleving redelijkerwijs aantonen.

11.3 Als die materialen redelijkerwijs niet voldoende zijn, mag Klant maximaal eens per 12 maanden een audit uitvoeren van de relevante verwerkingsactiviteiten van Cal.com met inachtneming van: ten minste 30 dagen voorafgaande schriftelijke kennisgeving; een scope die redelijkerwijs verband houdt met Persoonsgegevens van de klant en deze DPA; uitvoering tijdens normale kantooruren; redelijke maatregelen om verstoring van de activiteiten van Cal.com te voorkomen; een onafhankelijke, gekwalificeerde auditor die gebonden is aan vertrouwelijkheidsverplichtingen en geen concurrent is van Cal.com; en Klant draagt zijn eigen kosten, tenzij een materiële niet-naleving door Cal.com wordt vastgesteld.

11.4 Cal.com kan bezwaar maken tegen een auditor of auditplan op redelijke gronden van beveiliging, vertrouwelijkheid of operationele aard en zal te goeder trouw samenwerken om een geschikt alternatief overeen te komen. De procedures en beperkingen in dit artikel gelden alleen voor zover ze in overeenstemming zijn met Toepasselijke wetgeving inzake gegevensbescherming en de toepasselijke SCCs. Ze beperken geen audit of inspectie die vereist is door een bevoegde toezichthoudende autoriteit of anderszins vereist is op grond van die bepalingen.

12. Internationale doorgiften

12.1 Cal.com mag Persoonsgegevens van de klant alleen buiten de EER, het Verenigd Koninkrijk of Zwitserland doorgeven wanneer het beschikt over een rechtmatig doorgiftemechanisme onder Toepasselijke wetgeving inzake gegevensbescherming.

12.2 Passende mechanismen omvatten: een adequaatheidsbesluit; de SCCs, samen met het UK Addendum en de Swiss Amendments waar van toepassing, zoals uiteengezet in §12.4; indien en zolang Cal.com is gecertificeerd onder het EU-U.S. Data Privacy Framework of de UK Extension to that Framework, dat Framework; of een ander geldig doorgiftemechanisme dat wordt erkend door Toepasselijke wetgeving inzake gegevensbescherming.

12.3 Waar vereist zal Cal.com aanvullende maatregelen implementeren en relevante informatie over doorgiften beschikbaar maken via de Lijst met subverwerkers of op redelijk verzoek.

12.4 Standaardcontractbepalingen. De SCCs zijn van toepassing op doorgiften van Persoonsgegevens van de klant die binnen hun toegestane reikwijdte vallen en die waarborgen vereisen omdat geen ander geldig doorgiftemechanisme onder §12.2 de doorgifte dekt. Ze zijn opgenomen in deze DPA en aangevuld door het Cal.com-schema voor standaardcontractbepalingen op cal.com/dpa-scc (het “SCC-schema”). De Partijen gaan deze aan via geldige ondertekening zoals gespecificeerd in het SCC-schema. Een wijziging van het doorgiftemechanisme beëindigt bestaande SCC-verplichtingen niet automatisch; beëindiging of intrekking moet voldoen aan de toepasselijke doorgifte-instrumenten, en opgebouwde rechten blijven onaangetast. De volgende keuzes zijn van toepassing:

(a) Module Twee (verwerkingsverantwoordelijke naar verwerker) is van toepassing wanneer Klant Verwerkingsverantwoordelijke is voor de Persoonsgegevens van de klant, en Module Drie (verwerker naar verwerker) is van toepassing wanneer Klant zelf een Verwerker is die namens een derde Verwerkingsverantwoordelijke handelt. Klant is de “gegevensexporteur” en Cal.com is de “gegevensimporteur.” Wanneer Klant optreedt als Verwerker, garandeert Klant dat hij beschikt over de bevoegdheid en instructies van elke relevante Verwerkingsverantwoordelijke die nodig zijn om Cal.com onder Module Drie aan te stellen en die instructies aan Cal.com door te geven, en Klant vrijwaart Cal.com tegen claims van die Verwerkingsverantwoordelijken die voortvloeien uit het ontbreken van die bevoegdheid bij Klant of uit instructies die Cal.com via Klant ontvangt. Deze vrijwaring beperkt de verplichtingen of aansprakelijkheid van Cal.com onder de SCCs niet.

(b) Clausule 7 (dockingclausule) is van toepassing.

© In Clausule 9(a) is Optie 2 (algemene schriftelijke toestemming) van toepassing. De voorafgaande kennisgevingsperiode is de opgegeven periode in §6.3 en de SCC-bijlage. Kennisgeving en toestemming moeten voldoen aan de toepasselijke Module.

(d) In Clausule 11(a) is de optionele tekst over onafhankelijke geschilbeslechting niet van toepassing.

(e) In Clausule 13 en Bijlage I.C wordt de bevoegde toezichthoudende autoriteit bepaald op grond van Clausule 13(a) en geïdentificeerd in de klantspecifieke informatie die is opgenomen in Bijlage I.C van de SCC-bijlage.

(f) In Clausule 17 is Optie 1 van toepassing en worden de SCC's beheerst door het recht van Ierland. In Clausule 18(b) worden geschillen beslecht door de rechtbanken van Ierland.

(g) De gegevens van de Partijen en de uitvoeringsgegevens staan in Bijlage I.A van de SCC-bijlage; de doorgiften worden beschreven in Bijlage I.B; de beveiligingsmaatregelen worden gespecificeerd in Bijlage II; en informatie over subverwerkers en toestemmingen worden behandeld in Bijlage III en Clausule 9 van die bijlage.

(h) Voor doorgiften waarop de UK GDPR van toepassing is en waarvoor deze waarborg vereist is, is het UK Addendum van toepassing en wijzigt dit de SCC's zoals daarin uiteengezet. Tabellen 1 tot en met 3 worden ingevuld met de informatie in Deel 6 van de SCC-bijlage. In Tabel 4 mag alleen Cal.com, als Importer, het UK Addendum beëindigen zoals uiteengezet in sectie 19 daarvan.

(i) Voor doorgiften waarop de Zwitserse federale wet inzake gegevensbescherming van toepassing is, gelden de Swiss Amendments in Deel 7 van de SCC-bijlage. Wanneer een doorgifte onder zowel de GDPR als die wet valt, gelden de SCC's parallel onder beide regimes.

(j) Als de SCC's worden gewijzigd, vervangen of ongeldig verklaard, werken de Partijen te goeder trouw samen om de opvolger of een alternatief geldig mechanisme aan te nemen. Als er een conflict is tussen de SCC's en deze DPA of de Overeenkomst, gaan de SCC's voor.

13. Verzoeken van overheid en opsporingsinstanties

13.1 Voor Persoonsgegevens van Klant die onder de SCC's worden doorgegeven, Cal.com zal voldoen aan Clausules 15.1 en 15.2 van de SCC's. Niets in deze sectie beperkt verplichtingen onder Toepasselijke wetgeving inzake gegevensbescherming of de toepasselijke SCC's, het UK Addendum of de Swiss Amendments.

14. Rangorde

14.1 Als er een conflict is tussen deze DPA en de Overeenkomst met betrekking tot de verwerking van Persoonsgegevens van Klant, heeft deze DPA voorrang voor zover het dat conflict betreft. Een ondertekend Bestelformulier wijzigt een bepaling van deze DPA alleen wanneer die bepaling uitdrukkelijk wordt genoemd.

14.2 Wanneer Klant en Cal.com een geldende Uitgevoerde DPA hebben die specifieke verwerking van Persoonsgegevens van Klant dekt, is die Uitgevoerde DPA in plaats van deze DPA van toepassing op die verwerking zolang deze van kracht blijft.

15. Aansprakelijkheid

De aansprakelijkheid van elke Partij die voortvloeit uit of verband houdt met deze DPA is onderworpen aan de uitsluitingen en beperkingen van aansprakelijkheid in de Overeenkomst, behalve voor zover die bepalingen de aansprakelijkheidsbepalingen van de toepasselijke SCC's, het UK Addendum of de Swiss Amendments zouden tegenspreken of ondermijnen, of anderszins in strijd zouden zijn met toepasselijk recht. Deze uitzondering geldt voor aansprakelijkheid tussen de Partijen en voor aansprakelijkheid tegenover Betrokkenen. Deze DPA creëert geen aanvullende contractuele vrijwaring voor gegevensverlies door Cal.com of een garantie op back-up of herstel bovenop de uitdrukkelijke maatregelen beschreven in §5 en Bijlage II van de SCC-bijlage. Dit beperkt die uitdrukkelijke verplichtingen, verplichte aansprakelijkheid of aanvullende bescherming tegen gegevensverlies die uitdrukkelijk is overeengekomen in een Uitgevoerde DPA of ondertekend Bestelformulier niet.

16. Algemeen

16.1 Kennisgevingen. Kennisgevingen onder deze DPA moeten schriftelijk zijn en kunnen per e-mail worden verzonden naar de juridische, privacy- of accountbeheercontactpersoon van de toepasselijke Partij. Contractuele kennisgevingen aan Cal.com kunnen worden verzonden naar [email protected] of worden bezorgd bij Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, United States, t.a.v. Legal. Privacyverzoeken kunnen worden verzonden naar [email protected].

16.2 Wijzigingen. Cal.com mag deze DPA bijwerken wanneer dit wettelijk vereist is, om wijzigingen in de Diensten weer te geven of om operationele behoeften aan te pakken. Elke versie heeft een versienummer en ingangsdatum, en eerdere versies blijven beschikbaar in de versiegeschiedenis hieronder. Updates moeten worden uitgevoerd in overeenstemming met de Overeenkomst en toepasselijk recht. Cal.com zal via de kanalen beschreven in §6.3 een redelijke voorafgaande schriftelijke kennisgeving doen van elke update die de rechten van Klant of de verplichtingen van Cal.com wezenlijk vermindert. Zo'n update wordt pas van kracht na de toepasselijke kennisgevingsperiode en eventuele vereiste acceptatie. Klant mag de betrokken Diensten vóór de ingangsdatum schriftelijk beëindigen als Klant zo'n wezenlijk nadelige update niet accepteert. Eventuele terugbetaling is beperkt tot bedragen die vereist zijn door toepasselijk recht of de Overeenkomst. Andere updates worden bij publicatie alleen van kracht voor zover toegestaan door de Overeenkomst en toepasselijk recht. Deze sectie wijzigt geen Uitgevoerde DPA; wijzigingen aan dat document worden beheerst door de eigen voorwaarden ervan.

16.3 Toepasselijk recht en bevoegde rechter. De bepalingen over toepasselijk recht en bevoegde rechter van de Overeenkomst zijn van toepassing op deze DPA. Dit heeft geen invloed op het toepasselijk recht en forum van de toepasselijke SCC's, het UK Addendum of de Swiss Amendments, zoals gespecificeerd in de SCC-bijlage, of op rechten en verplichtingen waarvan niet rechtmatig contractueel kan worden afgeweken.

16.4 Acceptatie. Deze DPA wordt bindend wanneer deze geldig is opgenomen in een Overeenkomst die bindend is voor beide Partijen. Elektronische acceptatie kan worden gebruikt voor zover toegestaan door toepasselijk recht. Wijzigingen in een bestaande contractuele relatie worden beheerst door §16.2 en de Overeenkomst. Uitvoering van de SCC's en het UK Addendum wordt beheerst door de SCC-bijlage. Op verzoek mag Cal.com naar eigen inzicht een door Cal.com medeondertekend exemplaar van deze DPA verstrekken voor de administratie van Klant. Een medeondertekend administratief exemplaar heeft dezelfde voorwaarden en werking als de versie die bindend is tussen de Partijen en is geen Uitgevoerde DPA voor de toepassing van §14.2. Dit beperkt geen vereiste uitvoering of recht op ontvangst van een kopie van de bindende DPA of toepasselijke SCC's.

16.5 Onderhandelde voorwaarden. Klanten die kopen op basis van een Bestelformulier of raamovereenkomst voor diensten met Cal.com kunnen een Uitgevoerde DPA aanvragen. Cal.com onderhandelt of wijzigt deze DPA verder niet.

Bijlage 1: Details van de verwerking

Bijlage 2: Subverwerkers

Cal.com heeft een actuele lijst met directe Subverwerkers beschikbaar op trust.cal.com. Leveranciers die persoonsgegevens alleen verwerken voor de eigen doeleinden van Cal.com als onafhankelijke Verwerkingsverantwoordelijke zijn geen Subverwerkers voor de toepassing van deze DPA.

Bijlage 3: Privacywetten van Amerikaanse staten

Deze bijlage is van toepassing voor zover Amerikaanse privacywetten op staatsniveau van toepassing zijn op Persoonsgegevens van de Klant. Termen hebben de betekenis die in die wetten aan ze wordt gegeven.

1. Cal.com treedt op als dienstverlener of verwerker voor de Klant voor Persoonsgegevens van de Klant. De Klant verstrekt die gegevens aan Cal.com uitsluitend voor de beperkte en gespecificeerde zakelijke doeleinden van het leveren van planning, boekingen, accountbeheer, communicatie, video, integraties, klantenondersteuning, onderhoud en beveiliging voor de Diensten die de Klant gebruikt, zoals verder beschreven in Bijlage 1.
2. Cal.com zal niet: (a) Persoonsgegevens van de Klant verkopen of delen; (b) Persoonsgegevens van de Klant bewaren, gebruiken of openbaar maken voor welk doel dan ook, inclusief een commercieel doel, anders dan de zakelijke doeleinden die in de Overeenkomst en deze DPA zijn gespecificeerd, of zoals anderszins toegestaan door Amerikaanse privacywetten op staatsniveau; © Persoonsgegevens van de Klant bewaren, gebruiken of openbaar maken buiten de directe zakelijke relatie tussen de Klant en Cal.com, behalve zoals toegestaan door Amerikaanse privacywetten op staatsniveau; of (d) Persoonsgegevens van de Klant combineren met persoonsgegevens die Cal.com ontvangt van of namens een andere persoon, of verzamelt uit eigen interacties met consumenten, behalve zoals toegestaan door Amerikaanse privacywetten op staatsniveau.
3. Cal.com zal voldoen aan de toepasselijke verplichtingen onder Amerikaanse privacywetten op staatsniveau en hetzelfde niveau van privacybescherming bieden als die wetten van de Klant vereisen. Cal.com zal de Klant informeren als het vaststelt dat het niet langer aan zijn verplichtingen onder Amerikaanse privacywetten op staatsniveau kan voldoen. De Klant mag redelijke en passende stappen nemen om te helpen waarborgen dat Cal.com Persoonsgegevens van de Klant gebruikt in overeenstemming met de verplichtingen van de Klant onder toepasselijke Amerikaanse privacywetten op staatsniveau en, na kennisgeving, ongeoorloofd gebruik stopt en herstelt. Deze rechten worden uitgeoefend in overeenstemming met §11 voor zover de procedures en beperkingen daarvan in overeenstemming zijn met toepasselijke Amerikaanse privacywetten op staatsniveau.
4. Cal.com zal de verplichtingen in deze bijlage doorleggen aan zijn Subverwerkers in overeenstemming met §6.5, en zal de Klant helpen bij het reageren op consumentenverzoeken in overeenstemming met §7.
5. Waar vereist door toepasselijke Amerikaanse privacywetten op staatsniveau, Cal.com verklaart dat het de beperkingen in deze bijlage begrijpt en zal naleven.