Cal.com bijlage standaardcontractbepalingen
Bijlage bij de Cal.com Verwerkersovereenkomst v2.3 — Versie 1.0 — Ingangsdatum: 1 november 2026
Deel 1. Hoe de clausules van toepassing zijn
1.1 Deze Bijlage vult de standaardcontractbepalingen aan voor de doorgifte van persoonsgegevens aan derde landen, vastgesteld bij Uitvoeringsbesluit (EU) 2021/914 van de Europese Commissie van 4 juni 2021 (de “SCC's”), het UK International Data Transfer Addendum bij de standaardcontractbepalingen van de EU-Commissie, versie B1.0, van kracht sinds 21 maart 2022 (het “UK Addendum”), en de wijzigingen die de Zwitserse Federal Data Protection and Information Commissioner vereist voor doorgiften die vallen onder de Zwitserse federale wet inzake gegevensbescherming (de “Zwitserse wijzigingen”), elk zoals opgenomen door §12.4 van de Cal.com Verwerkersovereenkomst (de “DPA”).
1.2 De tekst van de SCC's is door verwijzing opgenomen, exact zoals gepubliceerd in het Publicatieblad van de Europese Unie (PB L 199, 7.6.2021, p. 31), beschikbaar op https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Deel 2: Verplichte clausules van het goedgekeurde addendum, zijnde het template Addendum B.1.0 dat door de ICO is uitgegeven en op 2 februari 2022 aan het parlement is voorgelegd overeenkomstig s119A van de Data Protection Act 2018, zoals herzien op grond van Section 18 van die verplichte clausules. Geen van beide teksten wordt gewijzigd, behalve via de opties, keuzes en Bijlagen die de SCC's en het UK Addendum zelf toestaan, zoals uiteengezet in deze Bijlage.
1.3 De SCC's zijn van toepassing op de doorgiften die worden beschreven in Bijlage I.B, voor zover die binnen hun toegestane reikwijdte vallen en die waarborgen vereisen omdat geen ander geldig doorgiftemechanisme onder DPA §12.2 de doorgifte dekt. Op een geldig en toepasselijk adequaatheidsbesluit, waaronder een besluit dat betrekking heeft op de deelname van Cal.com aan het relevante Data Privacy Framework, kan een beroep worden gedaan voor doorgiften binnen de reikwijdte ervan. Bestaande SCC-verplichtingen vervallen niet automatisch; beëindiging of intrekking moet voldoen aan de toepasselijke SCC's en het UK Addendum. Opgebouwde rechten blijven onaangetast.
1.4 De Partijen gaan de SCC's aan door geldige ondertekening van de ingevulde Bijlage I.A, ook via een juridisch geldige elektronische handtekening die in de Overeenkomst of DPA is opgenomen. Het ondertekeningsdocument moet de Partijen, de toepasselijke versie van deze Bijlage en de ingangsdatum vermelden. Op verzoek verstrekt Cal.com een kopie van de versie die tussen de Partijen bindend is.
1.5 Begrippen die in de DPA zijn gedefinieerd, hebben hier dezelfde betekenis. “Klant” is de gegevensexporteur en “Cal.com” is de gegevensimporteur. Waar deze Bijlage en de SCC's met elkaar in strijd zijn, hebben de SCC's voorrang (DPA §12.4(j)); waar deze Bijlage en de DPA met elkaar in strijd zijn op een punt dat de SCC's aan de Partijen overlaten, heeft deze Bijlage voorrang.
Deel 2. Modules, opties en keuzes
| Clausule | Keuze | Basis in DPA |
|---|---|---|
| Module | Module twee (verwerkingsverantwoordelijke aan verwerker) wanneer de Klant Verwerkingsverantwoordelijke is voor de Persoonsgegevens van de Klant. Module drie (verwerker aan verwerker) wanneer de Klant zelf een Verwerker is die handelt voor een externe Verwerkingsverantwoordelijke. Alleen de clausules voor de toepasselijke Module zijn van toepassing. | §12.4(a) |
| Clausule 7 — Toetredingsclausule | Van toepassing. Een entiteit kan toetreden als gegevensexporteur of gegevensimporteur met instemming van de Partijen door de Appendix in te vullen en Bijlage I.A te ondertekenen. | §12.4(b) |
| Clausule 8.1 (Module drie) — Instructies | De Klant garandeert dat hij beschikt over de bevoegdheid en instructies van elke Verwerkingsverantwoordelijke die nodig zijn om Cal.com onder Module drie aan te stellen en die instructies door te geven. Instructies worden behandeld overeenkomstig Clausule 8.1 van Module drie, inclusief de instructies van de Verwerkingsverantwoordelijke die via de Klant zijn meegedeeld en eventuele verdere gedocumenteerde instructies die door die Clausule zijn toegestaan. | §12.4(a), §3 |
| Clausule 8.5 — Duur van verwerking en verwijdering | De verwerking loopt door gedurende de duur in Bijlage I.B. Aan het einde van de verwerkingsdiensten kan de Klant kiezen voor teruggave van de persoonsgegevens gevolgd door verwijdering van bestaande kopieën, of voor verwijdering met certificering aan de Klant, zoals vereist door Clausule 8.5. DPA §10 is alleen van toepassing voor zover dit in overeenstemming is met die Clausule. De bescherming blijft gelden totdat teruggave of verwijdering is voltooid; wettelijk verplichte bewaring valt onder Clausule 8.5. | §10 |
| Clausule 8.6 — Beveiliging | Technische en organisatorische maatregelen zijn de maatregelen in Bijlage II. Melding van een inbreuk in verband met persoonsgegevens volgt DPA §8. | §5, §8 |
| Clausule 8.9 — Documentatie en naleving (audits) | Auditrechten worden uitgeoefend zoals beschreven in DPA §11 (eerst nalevingsinformatie en rapporten, audit op locatie of op afstand wanneer die onvoldoende zijn of een toezichthoudende autoriteit dit vereist). Dit beschrijft hoe het auditrecht onder Clausule 8.9 wordt uitgeoefend en beperkt het niet. | §11 |
| Clausule 9(a) — Gebruik van subverwerkers | Optie 2: algemene schriftelijke toestemming. Kennisgevingstermijn: voorafgaande schriftelijke kennisgeving voordat een nieuwe of vervangende Subverwerker begint met verwerken, gegeven zo vroeg als redelijkerwijs haalbaar zodat de gegevensexporteur voldoende tijd heeft om bezwaar te maken (DPA §6.3). De Partijen komen overeen dat dit de termijn is voor de doeleinden van Clausule 9(a). De lijst met Subverwerkers is de actuele lijst met Subverwerkers op trust.cal.com, waarnaar wordt verwezen in Bijlage III. Het bezwaarrecht van de Klant is DPA §6.4. | §12.4©, §6.3–6.4 |
| Clausule 11(a) — Verhaal | De optionele tekst over een onafhankelijke instantie voor geschillenbeslechting is niet van toepassing. Betrokkenen kunnen klachten indienen bij Cal.com via [email protected], bij de bevoegde toezichthoudende autoriteit en voor de rechter op grond van Clausule 18. | §12.4(d) |
| Clausule 13 — Toezicht | De bevoegde toezichthoudende autoriteit wordt bepaald op grond van Clausule 13(a), zoals vermeld in Bijlage I.C. | §12.4(e) |
| Clausule 15 — Toegang door overheidsinstanties | Clausules 15.1 en 15.2 regelen de toegang door overheidsinstanties tot persoonsgegevens die onder de SCC's zijn doorgegeven. DPA §13.1 bevestigt dat Cal.com aan die Clausules voldoet en beperkt deze niet. | §13.1 |
| Clausule 17 — Toepasselijk recht | Optie 1. De SCC's worden beheerst door het het recht van Ierland. | §12.4(f) |
| Clausule 18(b) — forum | De rechtbanken van Ierland. Clausule 18© (het recht van de betrokkene om te procederen in de lidstaat van gewone verblijfplaats) blijft onverlet. | §12.4(f) |
| Aansprakelijkheid (clausule 12) | Niets in de DPA of de Overeenkomst beperkt de aansprakelijkheid van een Partij tegenover betrokkenen onder de SCC’s (DPA §15). De aansprakelijkheidsbeperkingen in de Overeenkomst sluiten aansprakelijkheid die wordt beheerst door clausule 12 van de SCC’s niet uit en beperken die niet. Aansprakelijkheid voor andere claims blijft beheerst door de Overeenkomst, onder voorbehoud van toepasselijk dwingend recht. | §15 |
Deel 3. Bijlage I
A. Lijst van partijen
Gegevensexporteur
| Onderdeel | Details |
|---|---|
| Naam | De Klant die in de Overeenkomst is genoemd (de entiteit of persoon met het Cal.com-account) |
| Adres | Zoals vastgelegd in het Cal.com-account van de Klant of in het Bestelformulier |
| Contact | De naam, functie en contactgegevens van de contactpersoon zoals vastgelegd in de Overeenkomst, het Bestelformulier of het klantaccount en opgenomen in deze Bijlage. |
| Activiteiten die relevant zijn voor de doorgifte | Gebruik van de Cal.com-diensten om afspraken aan te bieden, te plannen, te beheren en te houden, en voor bijbehorende communicatie met de gebruikers van de Klant, deelnemers aan meetings en andere betrokkenen beschreven in Bijlage I.B |
| Rol | Module twee: verwerkingsverantwoordelijke. Module drie: verwerker (handelend namens de verwerkingsverantwoordelijken die de Klant instructies geven) |
| Handtekening en datum | Zoals vastgelegd in het uitvoeringsdossier waarin de ingevulde Bijlage I.A onder Deel 1.4 is opgenomen |
Gegevensimporteur
| Onderdeel | Details |
|---|---|
| Naam | Cal.com, Inc. |
| Adres | 2261 Market Street #4382, San Francisco, CA 94114, United States |
| Contact | Felix Kolodziej, Information Security Officer (ISO), [email protected] (t.a.v.: Privacy) |
| Activiteiten die relevant zijn voor de doorgifte | Levering, werking, ondersteuning, onderhoud, beveiliging en verbetering van de Cal.com-diensten zoals beschreven in Bijlage I.B |
| Rol | Verwerker (Module twee); subverwerker voor de Klant als verwerker (Module drie) |
| Handtekening en datum | Zoals vastgelegd in het uitvoeringsdossier waarin de ingevulde Bijlage I.A onder Deel 1.4 is opgenomen |
B. Beschrijving van de doorgifte
| Onderdeel | Details |
|---|---|
| Categorieën betrokkenen | Gebruikers, beheerders, werknemers en opdrachtnemers van de Klant; prospects, klanten en andere contacten van de Klant; deelnemers aan meetings, boekers en gasten; en andere personen van wie de Klant of zijn Geautoriseerde Gebruikers persoonsgegevens indienen bij de Diensten (DPA Bijlage 1) |
| Categorieën persoonsgegevens | Account- en profielgegevens; beschikbaarheidsgegevens; namen, e-mailadressen, telefoonnummers; boekingsgegevens, waaronder meetingtitels, beschrijvingen, tijden, locaties, notities, gastenlijsten, antwoorden op boekingsvragen en redenen voor verplaatsen of annuleren; supportgegevens; technische gegevens zoals IP-adres, apparaat- en browsergegevens en gebruikslogs; en andere persoonsgegevens die de Klant via de Diensten indient |
| Gevoelige gegevens | Er zijn geen bijzondere categorieën persoonsgegevens vereist om de Diensten te gebruiken. De Klant mag deze alleen indienen via velden die hij configureert (bijvoorbeeld boekingsvragen); als hij dat doet, zijn de maatregelen in Bijlage II van toepassing. De Klant is verantwoordelijk voor het vaststellen van de vereiste rechtsgrond en eventuele toepasselijke voorwaarde voor de verwerking van bijzondere categorieën persoonsgegevens. Beschermde gezondheidsinformatie waarvoor een Business Associate Agreement vereist is, mag alleen worden ingediend onder een uitgevoerde BAA die de relevante Diensten dekt. Toestemming elders in de Overeenkomst vervangt een vereiste BAA niet |
| Frequentie van de doorgifte | Continu, voor de duur van de Overeenkomst |
| Aard van de verwerking | Verzameling, opslag, ordening, opvraging, raadpleging, gebruik, overdracht op instructie van de Klant, ondersteuning, beveiligingsmonitoring, back-up, herstel, verwijdering en andere verwerking die nodig is om de Diensten te leveren |
| Doel van de doorgifte en verdere verwerking | Om planning, Boekingen, account-, communicatie-, video-, integratie-, support- en gerelateerde productfunctionaliteit aan de Klant te leveren in overeenstemming met de Overeenkomst en de gedocumenteerde instructies van de Klant |
| Bewaartermijn | Voor de duur van de verwerkingsdiensten en daarna alleen voor zover nodig om de teruggave of verwijdering te voltooien zoals vereist door clausule 8.5, of voor bewaring die wettelijk verplicht is zoals toegestaan door die clausule. Bewaarinformatie: ten minste 30 dagen voor export na beëindiging (DPA §10.2); verwijdering normaal binnen 90 dagen na die periode (DPA §10.3); back-upkopieën verwijderd volgens het reguliere bewaarschema voor back-ups van Cal.com en tot die tijd beschermd (DPA §10.4) |
| Doorgiften aan (sub)verwerkers | Onderwerp, aard en duur: de Subverwerkers op de Subprocessor List op trust.cal.com (Bijlage III) verwerken Persoonsgegevens van de Klant voor de daar vermelde doeleinden (hosting en opslag, contentlevering, levering van e-mail en SMS, video, betalingen, supporttools, productanalytics, AI-functies en interne activiteiten), voor de duur van Cal.com’s inschakeling van elke Subverwerker binnen de looptijd van de Overeenkomst |
C. Bevoegde toezichthoudende autoriteit
| Situatie | Bevoegde toezichthoudende autoriteit |
|---|---|
| Klant is gevestigd in een EER-lidstaat | De toezichthoudende autoriteit van die lidstaat (Clausule 13(a), eerste alinea) |
| Klant is niet gevestigd in de EER maar heeft een vertegenwoordiger op grond van artikel 27(1) GDPR | De toezichthoudende autoriteit van de lidstaat waar de vertegenwoordiger is gevestigd |
| Klant is niet gevestigd in de EER, valt onder artikel 3(2) GDPR en is vrijgesteld van het aanwijzen van een vertegenwoordiger op grond van artikel 27(2) GDPR | De toezichthoudende autoriteit van de lidstaat waarin de betrokkenen van wie de gegevens worden overgedragen zich bevinden, zoals bepaald op grond van Clausule 13(a), derde alinea |
| Doorgiften die onder de UK GDPR vallen | De UK Information Commissioner (zie Deel 6) |
| Doorgiften die onder de Zwitserse FADP vallen | De Zwitserse federale commissaris voor gegevensbescherming en informatie (zie Deel 7) |
De specifieke bevoegde toezichthoudende autoriteit die op grond van Clausule 13(a) wordt bepaald, is vermeld in de klantspecifieke informatie die in deze Bijlage is opgenomen.
Deel 4. Bijlage II — Technische en organisatorische maatregelen
Deze Bijlage beschrijft de maatregelen die Cal.com implementeert op grond van DPA §5 en Clausule 8.6. De structuur volgt de koppen in Bijlage II van de SCC’s. Cal.com mag deze maatregelen bijwerken op grond van DPA §5.3, mits de algehele beveiliging van de Diensten niet wezenlijk wordt verminderd. Cal.com’s controle-inventaris en onafhankelijke auditrapporten zijn beschikbaar op trust.cal.com; de onderstaande maatregelen, niet de controle-inventaris, vormen de contractuele beschrijving voor Clausule 8.6.
| Gebied | Maatregelen |
|---|---|
| Pseudonimisering en versleuteling | Versleuteling tijdens transport met TLS voor verbindingen met de Diensten. Versleuteling in rust voor de productiedatabase (Amazon RDS, sleutels beheerd in AWS KMS), de back-ups ervan en objectopslag, met de beheerde versleuteling van de hostingprovider (AES-256). De eigen versleutelingscontroles van Subverwerkers worden beoordeeld onder de onderstaande leveranciersrisicobeoordeling |
| Vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht | Rolgebaseerde toegangscontrole en het principe van minimale rechten voor productiesystemen; single sign-on en multi-factor-authenticatie voor personeelstoegang tot productie- en administratieve systemen; scheiding van productie-, staging- en ontwikkelomgevingen; DDoS-bescherming en webapplicatiefirewall aan de netwerkrand |
| Mogelijkheid om beschikbaarheid en toegang na een incident te herstellen | Geautomatiseerde dagelijkse back-ups van productiedatabases met point-in-time recovery, versleuteld en met beperkte toegang; gedocumenteerde herstelprocedures, periodiek getest; incidentresponsplan met gedefinieerde rollen, ernstniveaus en communicatiestappen, inclusief melding aan de Klant op grond van DPA §8 |
| Regelmatig testen, beoordelen en evalueren | Onafhankelijke penetratietests door derden van de productieomgeving, periodiek uitgevoerd; geautomatiseerde kwetsbaarheidsscans; compliancemonitoring aan de hand van ISO 27001- en SOC 2-controlesets via Cal.com’s complianceplatform; onafhankelijke auditrapporten beschikbaar voor Klanten onder NDA via trust.cal.com; beoordeling van codewijzigingen vóór implementatie |
| Gebruikersidentificatie en autorisatie | Unieke accounts voor al het personeel; MFA verplicht voor toegang tot productie, cloudconsole en coderepository’s; toegang wordt verleend op need-to-knowbasis en minstens elk kwartaal beoordeeld; toegang wordt ingetrokken bij rolwijziging of vertrek als onderdeel van het offboardingproces |
| Bescherming van gegevens tijdens transmissie | Versleuteling tijdens transport voor gegevens die naar en vanuit de Diensten worden verzonden; API-sleutels voor Klantintegraties; webhook-payloads worden ondertekend wanneer Klant een webhooksecret configureert; agenda-, video- en andere integraties van derden gebruiken OAuth of door de provider uitgegeven inloggegevens |
| Bescherming van gegevens tijdens opslag | Versleuteling in rust zoals hierboven; databasetoegang beperkt tot applicatiediensten en benoemde engineers via geauditeerde kanalen; geen productiegegevens in ontwikkel- of testomgevingen, behalve gepseudonimiseerde of synthetische gegevens |
| Fysieke beveiliging van verwerkingslocaties | Cal.com exploiteert geen eigen datacenters. Fysieke beveiliging wordt geleverd door de hosting-Subverwerkers (AWS en Vercel), waarvan de relevante diensten vallen onder SOC 2 Type II-rapporten en ISO 27001-certificeringen binnen hun respectieve assurance-scopes |
| Loggen van gebeurtenissen | Gecentraliseerde logging van applicatie-, infrastructuur- en administratieve gebeurtenissen; infrastructuurserverlogs worden 365 dagen bewaard voor beveiligingsonderzoek; auditlogging van boekingen op applicatieniveau voor organisaties waar boekingsauditing is ingeschakeld |
| Systeemconfiguratie, inclusief standaardconfiguratie | Wijzigingsbeheer volgens Cal.com’s ISO 27001- en SOC 2-controles: wijzigingen aan productie worden beoordeeld en doorstaan geautomatiseerde controles vóór implementatie |
| Interne IT- en IT-beveiligingsgovernance en -beheer | Informatiebeveiligingsbeleid goedgekeurd door het management en jaarlijks beoordeeld; een aangewezen eigenaar voor beveiliging en compliance; security-awareness-training voor al het personeel bij indiensttreding en jaarlijks; geheimhoudingsverbintenissen voor al het personeel met toegang tot Klantpersoonsgegevens (DPA §4); leveranciersrisicobeoordeling vóór het inschakelen van een Subverwerker |
| Certificering en assurance van processen en producten | ISO/IEC 27001:2022-certificering (certificaatnr. 122217, Prescient Security LLC, geldig tot 30 oktober 2028 onder voorbehoud van jaarlijkse surveillance-audits; scope: het informatiebeveiligingsmanagementsysteem ter ondersteuning van het Cal.com planningsplatform, inclusief infrastructuur gehost op AWS); SOC 2 Type II-rapport over de beveiligingscriteria (meest recente periode 21 november 2024 tot en met 30 april 2026, Prescient Assurance LLC); beide beschikbaar voor Klanten onder NDA via trust.cal.com; HIPAA-controlmapping wordt onderhouden voor BAA-Klanten |
| Gegevensminimalisatie | Klant kan boekingsvragen en velden configureren via de beschikbare functionaliteit van de Diensten. De verzamelde gegevens hangen af van de geselecteerde velden, ingeschakelde functies en integraties. |
| Gegevenskwaliteit | Gebruikers kunnen gegevens bekijken en corrigeren via functionaliteit die beschikbaar is voor hun rol. Cal.com helpt Klant met andere toepasselijke rectificatieverzoeken op grond van DPA §7. |
| Beperkte gegevensbewaring | Verwijdering en teruggave op grond van DPA §10; door Klant geïnitieerde verwijdering van boekingen en deelnemersgegevens via de Diensten; opnames en transcripties van Cal Video worden opgeslagen in door Cal.com beheerde objectopslag en verwijderd wanneer Klant deze of de boeking verwijdert, of op verzoek; opnames van standalone cal.video-ruimtes worden automatisch verwijderd volgens Cal.com’s bewaarschema; back-ups worden verwijderd volgens het normale back-upbewaringsschema |
| Verantwoordingsplicht | Registers van verwerkingsactiviteiten en inschakelingen van Subverwerkers; gedocumenteerd incident- en datalekregister; verwijderingscertificering en compliance-informatie verstrekt zoals vereist door Clausules 8.5 en 8.9 |
| Gegevensportabiliteit en wissing | Export via beschikbare functionaliteit van de Diensten of API; andere vereiste teruggave van persoonsgegevens wordt afgehandeld op grond van Clausule 8.5 en DPA §10 voor zover consistent met die Clausule; verwijdering van account en gegevens op verzoek van Klant; verwijderingscertificering aan Klant zoals vereist door Clausule 8.5 |
| Maatregelen voor ondersteuning aan de verwerkingsverantwoordelijke | Tools en processen om Klant te helpen reageren op verzoeken van Betrokkenen (DPA §7), DPIA’s uit te voeren (DPA §9) en compliance-informatie en auditrapporten te verkrijgen (DPA §11) |
| Maatregelen opgelegd aan Subverwerkers | Elke Subverwerker is gebonden aan een schriftelijke overeenkomst die verplichtingen op het gebied van gegevensbescherming oplegt die niet minder beschermend zijn dan de DPA en de SCCs, inclusief waarborgen voor verdere doorgifte (DPA §6.5); Subverwerkers worden vóór inschakeling beoordeeld en gemonitord; Klant ontvangt vooraf schriftelijke kennisgeving van nieuwe of vervangende Subverwerkers en kan bezwaar maken (DPA §6.3–6.4) |
Deel 5. Bijlage III — Lijst van Subverwerkers
De gezaghebbende, actuele lijst van Subverwerkers, inclusief namen van entiteiten, locaties en doeleinden, wordt gepubliceerd op trust.cal.com en wordt bijgewerkt in overeenstemming met DPA §6.3. Cal.com verstrekt de schriftelijke kennisgeving die vereist is op grond van Clausule 9(a), via een gedocumenteerde elektronische methode onder DPA §6.3, vóór toevoeging of vervanging van een Subverwerker voor de relevante verwerking. Voor de doeleinden van Clausule 9(a), onder Module Twee, geeft Klant Cal.com algemene schriftelijke toestemming om Subverwerkers in te schakelen uit de overeengekomen lijst op trust.cal.com zoals die geldt op de datum waarop de SCCs tussen de Partijen van kracht worden. Onder Module Drie vereist de inschakeling van die Subverwerkers de algemene schriftelijke toestemming van de relevante Verwerkingsverantwoordelijke. Toevoegingen of vervangingen vallen onder Clausule 9(a) en DPA §6.3–6.4 voor zover dit in overeenstemming is met die Clausule.
Omdat Clausule 9(a) Optie 2 van toepassing is, neemt deze Bijlage de lijst niet over.
De Subverwerkerslijst vermeldt de relevante verwerkingslocaties voor Persoonsgegevens van Klant. Het land van oprichting van een Subverwerker is geen verklaring over waar deze de gegevens verwerkt. Wijzigingen blijven onderworpen aan de toepasselijke kennisgevings- en toestemmingsvereisten. Leveranciers die alleen voor Cal.com’s eigen doeleinden worden gebruikt, zijn geen Subverwerkers en worden niet vermeld: analytics en advertenties voor de marketingwebsite (Google Analytics/GTM, X Ads), Cal.com’s eigen CRM (HubSpot), en apps die Klant koppelt aan zijn eigen account bij een derde partij (Zapier, Dub, Close.com, GA4/GTM-apps), waarbij Klant de verwerkingsverantwoordelijke is die die provider rechtstreeks instrueert.
Deel 6. UK-addendum — ingevulde tabellen
Tabel 1: Partijen. Startdatum: de datum waarop de SCCs tussen de Partijen van kracht worden onder Deel 1.4. Exporteur en Importeur: zoals geïdentificeerd in Bijlage I.A, aangevuld met de handelsnaam van elke Partij als die afwijkt, het geregistreerde adres of toepasselijke hoofdadres, en het officiële registratienummer indien aanwezig. Belangrijke contactpersonen: de functietitel en contactgegevens die voor elke Partij zijn vastgelegd. Ondertekening: in overeenstemming met sectie 2 van het UK-addendum en het toepasselijke ondertekeningsdossier.
Tabel 2: Geselecteerde SCCs, Modules en Geselecteerde Clausules. De Goedgekeurde EU-SCCs, inclusief de Bijlage-informatie, zoals ingevuld door dit Schema: Module Twee of Module Drie zoals van toepassing onder Deel 2; Clausule 7 is van toepassing; de optionele tekst van Clausule 11 is niet van toepassing; Clausule 9(a) Optie 2 met de kennisgevingstermijn vermeld in Deel 2 (DPA §6.3); Clausules 17 en 18 zoals in Deel 2, onder voorbehoud van sectie 15 van het UK-addendum (die de wetten en rechtbanken van Engeland en Wales vervangt voor zaken die door het UK-addendum worden beheerst). Toetredingsclausule: van toepassing. Worden persoonsgegevens die van de importeur zijn ontvangen gecombineerd met persoonsgegevens die door de exporteur zijn verzameld? Nee.
Tabel 3: Bijlage-informatie. Bijlage 1A: zoals in Deel 3.A. Bijlage 1B: zoals in Deel 3.B. Bijlage II: zoals in Deel 4. Bijlage III: zoals in Deel 5.
Tabel 4: Beëindiging van dit Addendum wanneer het Goedgekeurde Addendum wijzigt. De Importeur mag het UK-addendum beëindigen zoals uiteengezet in sectie 19 daarvan.
Voor doorgiften vanuit het VK worden verwijzingen in de SCCs naar de GDPR, wetgeving van lidstaten en de toezichthoudende autoriteit gelezen zoals uiteengezet in het UK-addendum; de bevoegde toezichthoudende autoriteit is de UK Information Commissioner.
Deel 7. Zwitserse wijzigingen
Voor doorgiften die onder de Swiss Federal Act on Data Protection (“FADP”) vallen:
(a) verwijzingen naar de GDPR worden gelezen als verwijzingen naar de FADP, en verwijzingen naar EU- of lidstaatwetgeving inzake gegevensbescherming als verwijzingen naar de overeenkomstige Zwitserse wetgeving inzake gegevensbescherming, zonder de contractuele keuzes voor toepasselijk recht en forum in paragraaf (d) te wijzigen, voor zover de doorgifte uitsluitend onder de FADP valt; wanneer een doorgifte onder zowel de GDPR als de FADP valt, zijn de SCCs parallel onder beide van toepassing;
(b) de Swiss Federal Data Protection and Information Commissioner is bevoegd voor doorgiften die onder de FADP vallen; wanneer de GDPR ook van toepassing is, blijft de bevoegde autoriteit die onder Clausule 13 voor GDPR-zaken is aangewezen bevoegd;
© de term “Lidstaat” wordt niet zo geïnterpreteerd dat betrokkenen in Zwitserland worden uitgesloten van het instellen van een rechtsvordering voor hun rechten in hun gewone verblijfplaats in Zwitserland onder Clausule 18©;
(d) het toepasselijk recht en het forum onder Clausules 17 en 18 blijven zoals in Deel 2, behalve voor zover dwingend Zwitsers recht anders vereist.
Deel 8. Bijzonderheden Module Drie
Wanneer Klant optreedt als Verwerker voor een externe Verwerkingsverantwoordelijke:
(a) bevestigt Klant dat de Verwerkingsverantwoordelijke de inschakeling van Cal.com als subverwerker en de doorgifte onder de SCCs heeft goedgekeurd, en dat Klant de instructies van de Verwerkingsverantwoordelijke, inclusief instructies over verzoeken van betrokkenen, verwijdering en audits, via de kanalen in de DPA zal doorgeven;
(b) Kennisgevingen moeten de ontvangers bereiken die door elke toepasselijke SCC-bepaling worden vereist. Klant zal kennisgevingen doorsturen waar de SCCs die verantwoordelijkheid aan hem toewijzen. Cal.com zal de Verwerkingsverantwoordelijke rechtstreeks informeren waar de SCCs dat vereisen, inclusief onder Clausule 8.6© waar passend en haalbaar. Elke toegestane kennisgevingsregeling via Klant moet de rechten van de Verwerkingsverantwoordelijke en de timing die door de SCCs wordt vereist behouden.
© Klant vrijwaart Cal.com tegen claims van de Verwerkingsverantwoordelijke die voortvloeien uit het ontbreken van bevoegdheid van Klant of uit instructies die Cal.com via Klant ontvangt (DPA §12.4(a)). Deze vrijwaring beperkt niet de verplichtingen of aansprakelijkheid van Cal.com onder de SCCs.