Verwerkersovereenkomst Addendum (DPA)

Inleiding

Dit Verwerkersovereenkomst Addendum (“DPA”) wordt aangegaan vanaf de Ingangsdatum door en tussen 3CX Software FZCO en/of enige andere gelieerde onderneming en/of affiliate van de 3CX Group (“3CX”) en de Klant (ieder afzonderlijk een “partij”, gezamenlijk de “partijen”), op grond van de Overeenkomst voor de levering van 3CX-diensten aan de Klant. Deze DPA is door verwijzing opgenomen in de Overeenkomst en bevat de voorwaarden die van toepassing zijn wanneer Persoonsgegevens uit de Europese Economische Ruimte door 3CX onder de Overeenkomst namens de Klant worden verwerkt. Andere begrippen met een hoofdletter die in deze DPA worden gebruikt maar niet zijn gedefinieerd, hebben dezelfde betekenis als in de Overeenkomst.

Hoofdvestigingsadres 3CX:

3CX Ltd 4, Markou Drakou, Engomi, 2409 Nicosia, Cyprus

1. Definities

1.1 Voor de toepassing van deze DPA:

(a) “Overeenkomst” betekent de elektronische overeenkomst of eindgebruikerslicentieovereenkomst (EULA) tussen de Klant en 3CX voor de levering van 3CX-diensten (“Diensten”) aan de Klant.

(b) “Gelieerde onderneming” betekent een entiteit die direct of indirect zeggenschap uitoefent over, wordt gecontroleerd door of onder gezamenlijke zeggenschap staat met een entiteit.

(c) “Wetgeving inzake gegevensbescherming” betekent alle wetten en voorschriften inzake gegevensbescherming en privacy die van toepassing zijn op de verwerking van Persoonsgegevens door een partij onder de Overeenkomst, waaronder maar niet beperkt tot: (i) EU Verordening 2016/679 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (“AVG” / “GDPR”); (ii) Richtlijn 2002/58/EG betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie; (iii) toepasselijke nationale implementaties van (i) en (ii); en (iv) met betrekking tot het Verenigd Koninkrijk (“VK”) alle toepasselijke nationale wetgeving die de GDPR vervangt of omzet in nationaal recht, of anderszins betrekking heeft op gegevens en privacy die in het VK van toepassing is, en – voor doorgiften vanuit het VK – de UK International Data Transfer Agreement (IDTA) of het UK Addendum bij de EU SCC’s, voor zover van toepassing.

(d) “EER” betekent de Europese Economische Ruimte.

(e) “Verwerkingsverantwoordelijke” betekent de entiteit die, alleen of samen met anderen, de doeleinden en middelen van de verwerking van Persoonsgegevens vaststelt.

(f) “Verwerker” betekent de entiteit die Persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke.

(g) “Persoonsgegevens” betekent alle informatie die betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon (zoals bedoeld in artikel 4 AVG).

(h) “Beveiligingsincident” betekent onopzettelijke of onrechtmatige vernietiging, verlies, wijziging, ongeoorloofde openbaarmaking van en/of toegang tot Persoonsgegevens.

(i) “Standaardcontractbepalingen” betekent de standaardcontractbepalingen voor doorgifte van persoonsgegevens aan derde landen overeenkomstig Verordening (EU) 2016/679, vastgesteld bij Uitvoeringsbesluit (EU) 2021/914 van de Europese Commissie.

2. Toepasselijkheid van de DPA

2.1 Toepasselijkheid van de DPA: Deze DPA is uitsluitend van toepassing voor zover 3CX Persoonsgegevens verwerkt, afkomstig uit de EER of het VK, namens een Klant en/of een gelieerde onderneming van de Klant gevestigd in de EER of het VK. Daarnaast breidt deze DPA de reikwijdte van gegevensverwerkingsactiviteiten onder de Overeenkomst uit met Zwitserland. Partijen erkennen en komen overeen dat de bepalingen van deze DPA, waaronder maar niet beperkt tot die met betrekking tot de verwerking van Persoonsgegevens, Beveiliging, Gegevensdoorgiften, GDPR/AVG-specifieke verplichtingen en overige relevante clausules, mutatis mutandis van toepassing zijn op de verwerking van Persoonsgegevens afkomstig uit Zwitserland, naast de EER en het VK.

De term “Wetgeving inzake gegevensbescherming” omvat in dat geval de toepasselijke Zwitserse wet- en regelgeving inzake gegevensbescherming en privacy, waaronder de Swiss Federal Data Protection Act (FADP). Doorgiften vanuit Zwitserland steunen op de EU SCC’s zoals erkend door de FDPIC, met noodzakelijke Zwitserland-specifieke aanpassingen (bijv. verwijzingen naar Swiss FADP, bevoegde autoriteit en toepasselijk recht).

3. Rollen en verantwoordelijkheden

3.1 Rollen van partijen: Indien Wetgeving inzake gegevensbescherming van toepassing is op de verwerking van Persoonsgegevens door een partij, erkennen en komen partijen overeen dat, met betrekking tot de verwerking van Persoonsgegevens, de Klant de Verwerkingsverantwoordelijke is en 3CX de Verwerker is die namens de Klant handelt, zoals nader beschreven in de Overeenkomst, en dat beide partijen voldoen aan hun verplichtingen onder de Wetgeving inzake gegevensbescherming op basis van erkende industriestandaarden zoals ISO/IEC 27001 of gelijkwaardige raamwerken.

3.2 Doelbinding: 3CX verwerkt de Persoonsgegevens voor de doeleinden zoals beschreven in BIJLAGE A, tenzij toepasselijk recht anders vereist.

3.3 Beveiliging: 3CX handhaaft passende technische en organisatorische maatregelen om de beveiliging van Persoonsgegevens te waarborgen. 3CX onderhoudt een informatiebeveiligings- en risicobeheersprogramma op basis van commerciële best practices om de vertrouwelijkheid, integriteit en beschikbaarheid van Persoonsgegevens te behouden, met administratieve, technische en fysieke maatregelen conform algemeen erkende industriestandaarden en -praktijken. 3CX implementeert passende technische en organisatorische maatregelen ter bescherming van Persoonsgegevens tegen onopzettelijke of onrechtmatige vernietiging, verlies, wijziging, ongeoorloofde openbaarmaking of toegang.

3.4 Actualisering van beveiliging: De Klant is verantwoordelijk voor het beoordelen van de door 3CX beschikbaar gestelde informatie met betrekking tot gegevensbeveiliging en voor het zelfstandig bepalen of de Dienst voldoet aan de eisen en wettelijke verplichtingen van de Klant onder de Wetgeving inzake gegevensbescherming. De Klant erkent dat beveiliging onderhevig is aan technische vooruitgang en ontwikkeling en dat 3CX beveiligingsmaatregelen van tijd tot tijd kan aanpassen of wijzigen, mits dergelijke updates en wijzigingen niet leiden tot een verlaging van het algehele beveiligingsniveau van de aan de Klant geleverde Dienst. 3CX stelt de Klant op de hoogte van materiële verminderingen in beveiligingsmaatregelen.

3.5 Doorgifte van Persoonsgegevens buiten de EER of het VK: Voor zover 3CX (of door 3CX ingeschakelde partijen) Persoonsgegevens afkomstig uit de EER of het VK verwerkt in een land dat niet door de Europese Commissie is aangemerkt als land met een passend beschermingsniveau, wordt voor die Persoonsgegevens een passend beschermingsniveau geborgd (in de zin van de Wetgeving inzake gegevensbescherming). Voor zover 3CX dergelijke Persoonsgegevens buiten de EER of het VK verwerkt (of laat verwerken), verbindt 3CX zich ertoe een doorgiftemechanisme toe te passen in overeenstemming met de Wetgeving inzake gegevensbescherming, zoals onder meer Standaardcontractbepalingen (SCC’s). Subverwerkers buiten de EER of het VK dienen een eigen GDPR/AVG-verklaring te hebben. 3CX voert transfer impact assessments uit waar wettelijk vereist en stelt deze op verzoek (onder voorbehoud van redactie) beschikbaar aan de Klant.

3.6 Naleving: De Klant, als Verwerkingsverantwoordelijke, is verantwoordelijk voor het waarborgen dat:
(a) hij heeft voldaan en blijft voldoen aan alle Wetgeving inzake gegevensbescherming, inclusief in eventuele instructies aan 3CX onder de Overeenkomst en deze DPA; en
(b) hij gerechtigd is en blijft om de Persoonsgegevens aan 3CX over te dragen of toegang te verschaffen voor verwerking overeenkomstig de Overeenkomst en deze DPA. 3CX informeert de Klant onverwijld indien een instructie onrechtmatig is of in strijd is met Wetgeving inzake gegevensbescherming.

4. Verplichtingen onder de AVG

4.1 Toepasselijkheid van deze paragraaf: Deze paragraaf 4 is van toepassing op de verwerking van Persoonsgegevens die binnen de reikwijdte van de GDPR/AVG vallen / afkomstig zijn uit de EER of het VK.

4.2 Vertrouwelijkheid van verwerking: 3CX waarborgt dat iedere persoon die bevoegd is Persoonsgegevens te verwerken, gebonden is aan een geheimhoudingsplicht (contractueel of wettelijk).

4.3 Subverwerkers: De Klant stemt ermee in dat 3CX 3CX-affiliates en derden als subverwerker kan inschakelen (gezamenlijk “Subverwerkers”) om Persoonsgegevens namens 3CX te verwerken. 3CX legt aan Subverwerkers gegevensbeschermingsvoorwaarden op die Persoonsgegevens beschermen op hetzelfde niveau als deze DPA en 3CX blijft aansprakelijk voor iedere schending van de DPA die door een Subverwerker wordt veroorzaakt. De door 3CX ingeschakelde Subverwerkers zijn opgenomen in de 3CX Subverwerkerslijst en beschikbaar in BIJLAGE B. 3CX stelt de Klant ten minste 30 dagen vooraf op de hoogte vóór het toevoegen van een Subverwerker.

4.4 Wijzigingen in subverwerkers: 3CX kan Subverwerkers toevoegen of wijzigingen aanbrengen. Indien de Klant bezwaar maakt tegen de aanstelling van een aanvullende Subverwerker, heeft de Klant het recht de betreffende 3CX-dienst op te schorten of te beëindigen overeenkomstig de beëindigingsbepalingen van de Overeenkomst.

4.5 Beveiligingsincidenten: Bij kennisname van een Beveiligingsincident stelt 3CX de Klant zonder onnodige vertraging en in ieder geval binnen 48 uur na kennisname op de hoogte, via de contactgegevens die de Klant in het Customer Portal heeft opgegeven, en verstrekt 3CX tijdig de informatie die de Klant redelijkerwijs nodig heeft, onder meer om de Klant in staat te stellen te voldoen aan eventuele meldplichten onder de Wetgeving inzake gegevensbescherming.

4.6 Samenwerking en rechten van betrokkenen: 3CX verleent, rekening houdend met de aard van de verwerking, redelijke assistentie en (waar beschikbaar) hulpmiddelen aan de Klant, voor zover mogelijk, om de Klant in staat te stellen te reageren op verzoeken van betrokkenen inzake hun rechten onder de Wetgeving inzake gegevensbescherming. Indien een dergelijk verzoek rechtstreeks aan 3CX wordt gedaan, zal 3CX de betrokkene onverwijld informeren om contact op te nemen met de Klant. Het is uitsluitend de verantwoordelijkheid van de Klant om te waarborgen dat een beheerder die voor het 3CX-account is aangewezen om verzoeken van betrokkenen te beheren en uit te voeren, over passende bevoegdheid beschikt.

4.7 Gegevensbeschermingseffectbeoordelingen: 3CX verleent, voor zover vereist door de Wetgeving inzake gegevensbescherming, op verzoek van de Klant en op kosten van de Klant redelijke assistentie bij gegevensbeschermingseffectbeoordelingen (DPIA’s) of voorafgaande raadpleging van toezichthoudende autoriteiten die de Klant verplicht is uit te voeren.

4.8 Verwijdering of teruggave van gegevens: Na beëindiging of afloop van de Overeenkomst zal 3CX (naar keuze van de Klant) alle Persoonsgegevens (inclusief kopieën) in haar bezit of onder haar controle verwijderen of teruggeven, behalve voor zover 3CX op grond van toepasselijk recht verplicht is sommige of alle Persoonsgegevens te bewaren, of voor Persoonsgegevens die 3CX heeft gearchiveerd in back-upsystemen. Dergelijke Persoonsgegevens worden door 3CX veilig geïsoleerd, beschermd tegen verdere verwerking en uiteindelijk verwijderd overeenkomstig het verwijderingsbeleid van 3CX, behoudens wettelijke bewaarplichten.

4.9 Audits / inspecties: 3CX stelt de Klant alle informatie ter beschikking die noodzakelijk is om naleving van deze DPA aan te tonen en staat audits, waaronder inspecties, door de Klant of een door de Klant gemachtigde auditor toe en draagt daaraan bij. Deze verplichting is beperkt tot één audit per Klant per jaar, mits de Klant 30 dagen vooraf redelijkerwijs aankondigt.

5. Overige bepalingen

5.1 Behalve zoals gewijzigd door deze DPA blijft de Overeenkomst volledig van kracht.

5.2 Bij tegenstrijdigheid tussen de Overeenkomst en deze DPA prevaleren de bepalingen van deze DPA.

5.3 Vorderingen op grond van deze DPA zijn onderworpen aan de voorwaarden van de Overeenkomst, waaronder (maar niet beperkt tot) uitsluitingen en aansprakelijkheidsbeperkingen. Niets in deze DPA beperkt aansprakelijkheid onder de Standaardcontractbepalingen.

5.4 Vragen over deze DPA of andere verzoeken met betrekking tot gegevensbescherming kunnen worden gericht aan het hoofdvestigingsadres zoals hierboven vermeld of per e-mail aan [email protected].

BIJLAGE A

Details van de verwerking

Aard en doeleinden van de verwerking

3CX is een open-standaard communicatieoplossing die volledige Unified Communications biedt. 3CX levert software, instance-hosting en clouddiensten.

Doeleinden van de verwerking zijn:

• Accountregistratie en -beheer via het 3CX Customer Portal.
• Identificatie van de Klant voor bestellen, licenseren en e-mailcommunicatie.
• Identificatie van de beheerder van het Communications System voor e-mailcommunicatie.
• Identificatie van de machine/instantie van het Communications System voor licensering.
• Identificatie van gebruikers van het Communications System voor een gepersonaliseerde ervaring in Video Conferencing.
• Uitgifte van 3CX Academy-certificaten.
• Leadverwerking van eindgebruikers met gratis licenties voor potentiële verkoop.
• Beoordeling van gebruiksgegevens voor algemene kwaliteitscontrole, rapportage en troubleshooting van de 3CX-diensten.
• Verzenden van e-mailmeldingen aan Communications System-gebruikers wanneer 3CX SMTP wordt gebruikt.
• Troubleshooting en ondersteuning door 3CX-medewerkers.

Categorieën betrokkenen

Klant en eindgebruikers die de Diensten gebruiken, en iedere betrokkene die de 3CX-diensten gebruikt op verzoek van en in verband met de bedrijfsvoering van de Klant.

Type(n) Persoonsgegevens die worden verwerkt:
De doorgifte van Persoonsgegevens heeft betrekking op de volgende categorieën gegevens van betrokkenen:

• Identificatiegegevens van de Klant, contactgegevens (adres, telefoonnummer, e-mailadres, faxnummer) en bedrijfsnaam.
• Identificatiegegevens van iedere extensie binnen het 3CX Communications System in het kader van de Video Conferencing-functionaliteit, waaronder extensienummer, voor- en achternaam, e-mailadres en meeting friendly names in de Click2Meet-URL.
• Identificatiegegevens van iedere deelnemer aan een videovergadering, waaronder naam, e-mailadres en IP-adres. Het telefoonnummer van de deelnemer wordt tevens verwerkt voor deelnemers die via de Video Conferencing Dial-In audiobrug deelnemen.
• Overige Persoonsgegevens die de Klant of gebruikers opnemen in de inhoud van communicatie die wordt verzonden en ontvangen via de 3CX-diensten, waaronder maar niet beperkt tot support bundles, logs, crash reports, via e-mails, tickets, gesprekken of andere communicatiemiddelen.

De Persoonsgegevens die aan 3CX ter verwerking worden verstrekt, worden door de Klant naar eigen inzicht vastgesteld en beheerd. 3CX heeft geen controle over de omvang en gevoeligheid van de Persoonsgegevens die door de Klant of gebruikers via de Diensten worden verwerkt. 3CX monitort of benadert de content van de Klant niet, tenzij dit noodzakelijk is voor support; dergelijke verwerking vindt uitsluitend op verzoek plaats, is beperkt van aard en wordt gelogd.

Bijzondere categorieën persoonsgegevens

3CX verzamelt of verwerkt niet doelbewust bijzondere categorieën persoonsgegevens bij de levering van de Diensten.

Duur van de verwerking

De Persoonsgegevens worden verwerkt gedurende de looptijd van de Overeenkomst, of voor zover anders vereist door wetgeving of overeengekomen tussen partijen.

Verstrekking aan opsporings- en overheidsinstanties

De Verwerker verstrekt geen Persoonsgegevens aan opsporings- of overheidsinstanties, tenzij daartoe verplicht op grond van toepasselijk recht dat bindend is voor de Verwerker.

Indien een verzoek rechtstreeks door de Verwerker wordt ontvangen, zal de Verwerker:
(a) verifiëren of het verzoek juridisch geldig is en correct is gericht aan de relevante 3CX-entiteit;
(b) de Verwerkingsverantwoordelijke informeren (tenzij verboden door wetgeving); en
(c) uitsluitend de minimale hoeveelheid Persoonsgegevens verstrekken die wettelijk vereist is.

De Verwerker is niet verplicht te handelen op basis van informele meldingen of onbewezen aantijgingen van derden en kan dergelijke partijen verzoeken hun zorgen via de juiste opsporingskanalen te laten lopen.

BIJLAGE B – LIJST MET SUBVERWERKERS EN VOORWAARDEN VOOR SUBVERWERKING

1. Algemene vereisten voor subverwerkers

1.1. Schriftelijke overeenkomst

3CX schakelt Subverwerkers uitsluitend in op basis van een schriftelijke overeenkomst die gegevensbeschermingsverplichtingen bevat die niet minder beschermend zijn dan die in deze DPA, zoals vereist door artikel 28 AVG.

1.2. Gelijk beschermingsniveau

3CX blijft volledig aansprakelijk voor de handelingen en nalatigheden van haar Subverwerkers en waarborgt dat iedere Subverwerker passende technische en organisatorische maatregelen implementeert overeenkomstig artikelen 28 en 32 AVG.

1.3. Internationale doorgiften

Wanneer een Subverwerker is gevestigd buiten de EER, het VK of Zwitserland, waarborgt 3CX dat een rechtmatig doorgiftemechanisme wordt toegepast, waaronder:

• EU Standaardcontractbepalingen (SCC’s)
• UK Addendum of IDTA
• Zwitserland-aangepaste SCC’s

of een opvolgend of alternatief mechanisme erkend door de bevoegde autoriteit.

1.4. Transfer Impact Assessments

Voor niet-EER/VK-doorgiften voert 3CX (waar wettelijk vereist) transfer impact assessments uit en stelt 3CX op verzoek een samenvatting beschikbaar aan de Klant.

2. Categorieën subverwerkers

2.1. Service-subverwerkers

Subverwerkers die Klantpersoonsgegevens uitsluitend verwerken voor de levering van de 3CX-diensten (bijv. hosting, pushnotificaties, e-mailaflevering).

2.2. Corporate/marketingverwerkers (geen verwerking van Klantpersoonsgegevens)

Verwerkers die worden gebruikt voor analytics en marketing op 3CX-websites (bijv. Google Analytics, Facebook Pixel) verwerken geen Klantpersoonsgegevens onder deze DPA.

Zij worden uitsluitend voor transparantie vermeld en maken geen deel uit van de supply chain van de Klant voor de levering van de Diensten. Klantpersoonsgegevens, zoals gedefinieerd in deze DPA, worden nooit gedeeld met corporate/marketingverwerkers.

3. Kennisgeving aan Klant en recht van bezwaar

3.1. Voorafgaande kennisgeving

3CX stelt de Klant ten minste 30 dagen vooraf op de hoogte van het toevoegen of vervangen van een service-subverwerker. Kennisgeving vindt plaats via het Customer Portal of per e-mail.

3.2. Recht van bezwaar

De Klant kan binnen 30 dagen na kennisgeving op redelijke gegevensbeschermingsgronden bezwaar maken tegen een nieuwe service-subverwerker. 3CX werkt te goeder trouw met de Klant samen om het bezwaar te adresseren. Indien partijen geen wederzijds aanvaardbare oplossing bereiken, kan de Klant de betreffende Dienst opschorten of beëindigen en ontvangt de Klant een pro-rata restitutie voor vooruitbetaalde, ongebruikte vergoedingen.

3.3. Noodvervanging

In urgente omstandigheden (bijv. service failure) kan 3CX tijdelijk een vervangende Subverwerker aanstellen. 3CX stelt de Klant zo spoedig redelijkerwijs mogelijk op de hoogte.

3.4. Actuele lijst van service-subverwerkers

De onderstaande entiteiten zijn geautoriseerde service-subverwerkers die door 3CX worden ingeschakeld ter ondersteuning van de levering van de Diensten.

Iedere genoemde Subverwerker verwerkt Klantpersoonsgegevens uitsluitend voor de beschreven doeleinden en onder toepassing van de aangegeven doorgiftemechanismen.

• 3CX Ltd
• 3CX Development Ltd
• 3CX GmbH
• 3CX USA Corp

3CX Licensing & User Management – Service-subverwerkers

3CX Communications System – Service-subverwerkers

3CX Video Conferencing – Service-subverwerkers

3.5. Corporate/marketingverwerkers (geen verwerking onder deze DPA)

De onderstaande providers worden uitsluitend gebruikt voor website-analytics, advertising optimalisatie of corporate marketingdoeleinden. Zij verwerken geen Klantpersoonsgegevens onder deze DPA. Vermelding is uitsluitend voor transparantie.

3.6. Toegang door supportproviders

Wanneer een support-subverwerker (bijv. TeamViewer, Freshdesk) mogelijk toegang heeft tot Persoonsgegevens:

3.6.1        Toegang is incidenteel, beperkt en gelogd.

3.6.2        Toegang vindt uitsluitend plaats wanneer de Klant support verzoekt.

3.6.3        De subverwerker is gebonden aan vertrouwelijkheid en verwerker-niveau
                gegevensbeschermingsverplichtingen.

3.6.3        De subverwerker mag uitsluitend toegang verkrijgen tot data die strikt noodzakelijk is voor
                de supportfunctie.

Standaard Contractuele Clausules

https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32021D0914

Zie ook

• https://www.3cx.nl/bedrijf/eula/
• https://www.3cx.nl/bedrijf/ai-transcription-services/
• https://www.3cx.nl/bedrijf/gdpr-verklaring/
• https://www.3cx.nl/bedrijf/privacy
• https://www.3cx.nl/bedrijf/privacyverklaring
• https://www.3cx.nl/bedrijf/algemene-voorwaarden/

Laatst bijgewerkt: 26 januari 2026
https://www.3cx.nl/bedrijf/verwerkersovereenkomst/