Bijlage bij de standaardcontractbepalingen van Cal.com
Bijlage bij de Cal.com Verwerkersovereenkomst v2.3 — Versie 1.0 — Ingangsdatum: 1 november 2026
Deel 1. Hoe de clausules van toepassing zijn
1.1 Deze Bijlage vult de standaardcontractbepalingen aan voor de doorgifte van persoonsgegevens aan derde landen die zijn vastgesteld bij Uitvoeringsbesluit (EU) 2021/914 van de Europese Commissie van 4 juni 2021 (de “SCC's”), het Britse International Data Transfer Addendum bij de standaardcontractbepalingen van de EU-Commissie, versie B1.0, van kracht sinds 21 maart 2022 (het “Britse addendum”), en de wijzigingen die de Zwitserse federale commissaris voor gegevensbescherming en informatie vereist voor doorgiften die onder de Zwitserse federale wet inzake gegevensbescherming vallen (de “Zwitserse wijzigingen”), elk zoals opgenomen via §12.4 van de Cal.com Verwerkersovereenkomst (de “DPA”).
1.2 De tekst van de SCC's is door verwijzing opgenomen exact zoals gepubliceerd in het Publicatieblad van de Europese Unie (PB L 199, 7.6.2021, blz. 31), beschikbaar op https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Deel 2: Verplichte clausules van het goedgekeurde addendum, te weten het modeladdendum B.1.0 uitgegeven door de ICO en voorgelegd aan het Parlement overeenkomstig s119A van de Data Protection Act 2018 op 2 februari 2022, zoals herzien op grond van Section 18 van die Verplichte clausules. Geen van beide teksten wordt gewijzigd, behalve via de opties, keuzes en Bijlagen die de SCC's en het Britse addendum zelf toestaan, zoals uiteengezet in deze Bijlage.
1.3 De SCC's zijn van toepassing op de doorgiften beschreven in Bijlage I.B die binnen hun toegestane toepassingsgebied vallen en die waarborgen vereisen omdat geen ander geldig doorgiftemechanisme onder DPA §12.2 de doorgifte dekt. Er mag worden vertrouwd op een geldig en toepasselijk adequaatheidsbesluit, waaronder een besluit dat Cal.com’s deelname aan het relevante Data Privacy Framework omvat, voor doorgiften binnen het toepassingsgebied ervan. Bestaande verplichtingen uit de SCC's vervallen niet automatisch; beëindiging of intrekking moet voldoen aan de toepasselijke SCC's en het Britse addendum. Opgebouwde rechten blijven onaangetast.
1.4 De Partijen treden toe tot de SCC's door geldige ondertekening van de ingevulde Bijlage I.A, waaronder via een rechtsgeldige elektronische handtekening die in de Overeenkomst of DPA is opgenomen. Het ondertekeningsdossier moet de Partijen, de toepasselijke versie van de Bijlage en de ingangsdatum vermelden. Op verzoek zal Cal.com een kopie verstrekken van de versie die tussen de Partijen bindend is.
1.5 Termen die in de DPA zijn gedefinieerd, hebben hier dezelfde betekenis. “Customer” is de gegevensexporteur en “Cal.com” is de gegevensimporteur. Waar deze Bijlage en de SCC's met elkaar conflicteren, hebben de SCC's voorrang (DPA §12.4(j)); waar deze Bijlage en de DPA conflicteren over een punt dat de SCC's aan de Partijen overlaten, heeft deze Bijlage voorrang.
Deel 2. Modules, opties en keuzes
| Clausule | Keuze | Grondslag in DPA |
|---|---|---|
| Module | Module twee (verwerkingsverantwoordelijke aan verwerker) wanneer Customer verwerkingsverantwoordelijke is voor de persoonsgegevens van Customer. Module drie (verwerker aan verwerker) wanneer Customer zelf een verwerker is die optreedt voor een externe verwerkingsverantwoordelijke. Alleen de clausules voor de toepasselijke Module zijn van toepassing. | §12.4(a) |
| Clausule 7 — Toetredingsclausule | Van toepassing. Een entiteit kan toetreden als gegevensexporteur of gegevensimporteur met instemming van de Partijen door de Appendix in te vullen en Bijlage I.A te ondertekenen. | §12.4(b) |
| Clausule 8.1 (Module drie) — Instructies | Customer garandeert dat het beschikt over de bevoegdheid en instructies van elke verwerkingsverantwoordelijke die nodig zijn om Cal.com onder Module drie aan te stellen en die instructies door te geven. Instructies worden behandeld overeenkomstig Clausule 8.1 van Module drie, waaronder de instructies van de verwerkingsverantwoordelijke die via Customer worden gecommuniceerd en eventuele verdere gedocumenteerde instructies die door die Clausule zijn toegestaan. | §12.4(a), §3 |
| Clausule 8.5 — Duur van verwerking en wissing | De verwerking loopt door gedurende de in Bijlage I.B genoemde duur. Aan het einde van de verwerkingsdiensten kan Customer kiezen voor teruggave van de persoonsgegevens gevolgd door verwijdering van bestaande kopieën, of voor verwijdering met certificering aan Customer, zoals vereist door Clausule 8.5. DPA §10 is alleen van toepassing voor zover dit met die Clausule verenigbaar is. De bescherming blijft gelden totdat teruggave of verwijdering is voltooid; wettelijk verplichte bewaring wordt beheerst door Clausule 8.5. | §10 |
| Clausule 8.6 — Beveiliging | Technische en organisatorische maatregelen zijn die in Bijlage II. Melding van een inbreuk in verband met persoonsgegevens volgt DPA §8. | §5, §8 |
| Clausule 8.9 — Documentatie en naleving (audits) | Auditrechten worden uitgeoefend zoals beschreven in DPA §11 (eerst compliance-informatie en rapporten, een audit op locatie of op afstand wanneer die onvoldoende zijn of een toezichthoudende autoriteit dit vereist). Dit beschrijft hoe het auditrecht onder Clausule 8.9 wordt uitgeoefend en beperkt het niet. | §11 |
| Clausule 9(a) — Gebruik van subverwerkers | Optie 2: algemene schriftelijke toestemming. Kennisgevingstermijn: voorafgaande schriftelijke kennisgeving voordat een nieuwe of vervangende subverwerker begint met verwerken, gegeven zo vroeg als redelijkerwijs uitvoerbaar zodat de gegevensexporteur voldoende tijd heeft om bezwaar te maken (DPA §6.3). De Partijen komen overeen dat dit de termijn is voor de toepassing van Clausule 9(a). De lijst met subverwerkers is de actuele lijst met subverwerkers op trust.cal.com, waarnaar in Bijlage III wordt verwezen. Het bezwaarrecht van Customer is DPA §6.4. | §12.4©, §6.3–6.4 |
| Clausule 11(a) — Verhaal | De optionele formulering over een onafhankelijke geschillenbeslechtingsinstantie is niet van toepassing. Betrokkenen kunnen klachten indienen bij Cal.com via [email protected], bij de bevoegde toezichthoudende autoriteit en bij de rechtbanken onder Clausule 18. | §12.4(d) |
| Clausule 13 — Toezicht | De bevoegde toezichthoudende autoriteit wordt vastgesteld onder Clausule 13(a), zoals vermeld in Bijlage I.C. | §12.4(e) |
| Clausule 15 — Toegang door overheidsinstanties | Clausules 15.1 en 15.2 regelen toegang door overheidsinstanties tot persoonsgegevens die onder de SCC's zijn doorgegeven. DPA §13.1 bevestigt Cal.com’s naleving van die Clausules en beperkt ze niet. | §13.1 |
| Clausule 17 — Toepasselijk recht | Optie 1. De SCC's worden beheerst door het het recht van Ierland. | §12.4(f) |
| Clausule 18(b) — Forum | De rechtbanken van Ierland. Clausule 18© (het recht van de betrokkene om te procederen in de lidstaat van zijn of haar gewone verblijfplaats) blijft onaangetast. | §12.4(f) |
| Aansprakelijkheid (Clausule 12) | Niets in de DPA of de Overeenkomst beperkt de aansprakelijkheid van een van beide Partijen tegenover betrokkenen onder de SCC's (DPA §15). De aansprakelijkheidsbeperkingen in de Overeenkomst sluiten aansprakelijkheid die door Clausule 12 van de SCC's wordt beheerst niet uit en beperken die ook niet. Aansprakelijkheid voor andere claims blijft onder de Overeenkomst vallen, met inachtneming van toepasselijk dwingend recht. | §15 |
Deel 3. Bijlage I
A. Lijst van Partijen
Gegevensexporteur
| Item | Details |
|---|---|
| Naam | De Klant die in de Overeenkomst is genoemd (de entiteit of persoon die houder is van het Cal.com-account) |
| Adres | Zoals vastgelegd in het Cal.com-account van de Klant of het Bestelformulier |
| Contact | De naam, functie en contactgegevens van de contactpersoon zoals vastgelegd in de Overeenkomst, het Bestelformulier of het klantaccount en opgenomen in deze Bijlage. |
| Activiteiten die relevant zijn voor de doorgifte | Gebruik van de Cal.com-diensten om vergaderingen en gerelateerde communicatie met gebruikers van de Klant, deelnemers aan vergaderingen en andere betrokkenen zoals beschreven in Bijlage I.B aan te bieden, te plannen, te beheren en te houden |
| Rol | Module twee: verwerkingsverantwoordelijke. Module drie: verwerker (handelend namens de verwerkingsverantwoordelijken die de Klant instrueren) |
| Handtekening en datum | Zoals vastgelegd in het ondertekeningsdossier waarin de ingevulde Bijlage I.A onder Deel 1.4 is opgenomen |
Gegevensimporteur
| Item | Details |
|---|---|
| Naam | Cal.com, Inc. |
| Adres | 2261 Market Street #4382, San Francisco, CA 94114, Verenigde Staten |
| Contact | Felix Kolodziej, Information Security Officer (ISO), [email protected] (t.a.v. Privacy) |
| Activiteiten die relevant zijn voor de doorgifte | Levering, werking, ondersteuning, onderhoud, beveiliging en verbetering van de Cal.com-diensten zoals beschreven in Bijlage I.B |
| Rol | Verwerker (Module twee); subverwerker voor de Klant als verwerker (Module drie) |
| Handtekening en datum | Zoals vastgelegd in het ondertekeningsdossier waarin de ingevulde Bijlage I.A onder Deel 1.4 is opgenomen |
B. Beschrijving van de doorgifte
| Item | Details |
|---|---|
| Categorieën betrokkenen | Gebruikers, beheerders, werknemers en opdrachtnemers van de Klant; prospects, cliënten en andere contacten van de Klant; deelnemers aan vergaderingen, boekers en gasten; en andere personen van wie de Klant of zijn Geautoriseerde Gebruikers persoonsgegevens indienen bij de Diensten (DPA Bijlage 1) |
| Categorieën persoonsgegevens | Account- en profielgegevens; beschikbaarheidsgegevens; namen, e-mailadressen, telefoonnummers; boekingsgegevens, waaronder vergadertitels, beschrijvingen, tijden, locaties, notities, gastenlijsten, antwoorden op boekingsvragen en redenen voor het verplaatsen of annuleren; ondersteuningsgegevens; technische gegevens zoals IP-adres, apparaat- en browsergegevens en gebruikslogs; en andere persoonsgegevens die de Klant via de Diensten wil indienen |
| Gevoelige gegevens | Er zijn geen bijzondere categorieën persoonsgegevens vereist om de Diensten te gebruiken. De Klant mag deze alleen indienen via velden die hij configureert (bijvoorbeeld boekingsvragen); wanneer hij dat doet, zijn de maatregelen in Bijlage II van toepassing. De Klant is verantwoordelijk voor het vaststellen van de vereiste rechtsgrond en elke toepasselijke voorwaarde voor de verwerking van bijzondere categorieën persoonsgegevens. Beschermde gezondheidsinformatie waarvoor een Business Associate Agreement vereist is, mag alleen worden ingediend onder een uitgevoerde BAA die de relevante Diensten dekt. Toestemming elders in de Overeenkomst vervangt een vereiste BAA niet |
| Frequentie van de doorgifte | Doorlopend, voor de duur van de Overeenkomst |
| Aard van de verwerking | Verzameling, opslag, organisatie, opvraging, raadpleging, gebruik, doorgifte op instructie van de Klant, ondersteuning, beveiligingsmonitoring, back-up, herstel, verwijdering en andere verwerking die nodig is om de Diensten te leveren |
| Doel van de doorgifte en verdere verwerking | Om planning, boeking, account-, communicatie-, video-, integratie-, ondersteunings- en gerelateerde productfunctionaliteit aan de Klant te leveren in overeenstemming met de Overeenkomst en de gedocumenteerde instructies van de Klant |
| Bewaartermijn | Voor de duur van de verwerkingsdiensten en daarna alleen voor zover nodig om de teruggave of verwijdering te voltooien die vereist is op grond van Clausule 8.5, of voor bewaring die wettelijk vereist is zoals toegestaan door die Clausule. Bewaarinformatie: ten minste 30 dagen voor export na beëindiging (DPA §10.2); verwijdering normaal gesproken binnen 90 dagen na die periode (DPA §10.3); back-upkopieën verwijderd volgens Cal.com’s gewone schema voor back-upbewaring en tot die tijd beschermd (DPA §10.4) |
| Doorgiften aan (sub)verwerkers | Onderwerp, aard en duur: de subverwerkers op de lijst met subverwerkers op trust.cal.com (Bijlage III) verwerken Persoonsgegevens van de Klant voor de daar vermelde doeleinden (hosting en opslag, contentlevering, levering van e-mail en SMS, video, betalingen, ondersteuningstools, productanalyses, AI-functies en interne activiteiten), voor de duur van Cal.com’s inschakeling van elke subverwerker binnen de looptijd van de Overeenkomst |
C. Bevoegde toezichthoudende autoriteit
| Situatie | Bevoegde toezichthoudende autoriteit |
|---|---|
| Klant is gevestigd in een EER-lidstaat | De toezichthoudende autoriteit van die lidstaat (Clausule 13(a), eerste alinea) |
| Klant is niet gevestigd in de EER, maar heeft een vertegenwoordiger op grond van Artikel 27(1) GDPR | De toezichthoudende autoriteit van de lidstaat waar de vertegenwoordiger is gevestigd |
| Klant is niet gevestigd in de EER, is onderworpen aan Artikel 3(2) GDPR en is vrijgesteld van het aanstellen van een vertegenwoordiger op grond van Artikel 27(2) GDPR | De toezichthoudende autoriteit van de lidstaat waarin de betrokkenen van wie gegevens worden doorgegeven zich bevinden, zoals bepaald onder Clausule 13(a), derde alinea |
| Doorgiften onderworpen aan de UK GDPR | De UK Information Commissioner (zie Deel 6) |
| Doorgiften onderworpen aan de Zwitserse FADP | De Swiss Federal Data Protection and Information Commissioner (zie Deel 7) |
De specifieke bevoegde toezichthoudende autoriteit die op grond van Clausule 13(a) is bepaald, wordt vermeld in de klantspecifieke informatie die in deze Bijlage is opgenomen.
Deel 4. Bijlage II — Technische en organisatorische maatregelen
Deze Bijlage beschrijft de maatregelen die Cal.com implementeert onder DPA §5 en Clausule 8.6. De structuur volgt de koppen in Bijlage II van de SCCs. Cal.com mag deze maatregelen bijwerken onder DPA §5.3, mits de algehele beveiliging van de Diensten niet wezenlijk wordt verminderd. Cal.com’s overzicht van beheersmaatregelen en onafhankelijke auditrapporten zijn beschikbaar op trust.cal.com; de onderstaande maatregelen, niet het overzicht van beheersmaatregelen, vormen de contractuele beschrijving voor Clausule 8.6.
| Gebied | Maatregelen |
|---|---|
| Pseudonimisering en versleuteling | Versleuteling tijdens overdracht met TLS voor verbindingen met de Diensten. Versleuteling in rust voor de productiedatabase (Amazon RDS, sleutels beheerd in AWS KMS), de back-ups daarvan en objectopslag, met behulp van de beheerde versleuteling van de hostingprovider (AES-256). De eigen versleutelingsmaatregelen van subverwerkers worden beoordeeld in het kader van de onderstaande leveranciersrisicobeoordeling |
| Vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht | Rolgebaseerde toegangscontrole en least privilege voor productiesystemen; single sign-on en multi-factor-authenticatie voor personeelstoegang tot productie- en beheersystemen; scheiding van productie-, staging- en ontwikkelomgevingen; DDoS-bescherming en web application firewall aan de netwerkrand |
| Mogelijkheid om beschikbaarheid en toegang na een incident te herstellen | Geautomatiseerde dagelijkse back-ups van productiedatabases met point-in-time recovery, versleuteld en met beperkte toegang; gedocumenteerde herstelprocedures, periodiek getest; incidentresponsplan met gedefinieerde rollen, ernstniveaus en communicatiestappen, inclusief kennisgeving aan de Klant onder DPA §8 |
| Regelmatig testen, beoordelen en evalueren | Onafhankelijke penetratietests door derden van de productieomgeving, periodiek uitgevoerd; geautomatiseerde kwetsbaarheidsscans; compliancemonitoring op basis van ISO 27001- en SOC 2-beheersets via Cal.com’s complianceplatform; onafhankelijke auditrapporten beschikbaar voor Klanten onder NDA via trust.cal.com; beoordeling van codewijzigingen vóór deployment |
| Gebruikersidentificatie en autorisatie | Unieke accounts voor al het personeel; MFA afgedwongen voor toegang tot productie, cloudconsole en coderepository; toegang verleend op need-to-know-basis en ten minste elk kwartaal beoordeeld; toegang ingetrokken bij rolwijziging of vertrek als onderdeel van het offboardingproces |
| Bescherming van gegevens tijdens overdracht | Versleuteling tijdens overdracht voor gegevens die naar en vanuit de Diensten worden verzonden; API-sleutels voor integraties van de Klant; webhook-payloads worden ondertekend wanneer de Klant een webhookgeheim configureert; agenda-, video- en andere integraties van derden gebruiken OAuth of door de provider uitgegeven inloggegevens |
| Bescherming van gegevens tijdens opslag | Versleuteling in rust zoals hierboven; databasetoegang beperkt tot applicatieservices en met naam genoemde engineers via geauditeerde kanalen; geen productiegegevens in ontwikkel- of testomgevingen, behalve gepseudonimiseerde of synthetische gegevens |
| Fysieke beveiliging van verwerkingslocaties | Cal.com exploiteert geen eigen datacenters. Fysieke beveiliging wordt verzorgd door de hosting-subverwerkers (AWS en Vercel), waarvan de relevante diensten binnen hun respectieve assurance-scopes worden gedekt door SOC 2 Type II-rapporten en ISO 27001-certificeringen |
| Gebeurtenisregistratie | Gecentraliseerde logging van applicatie-, infrastructuur- en beheergebeurtenissen; infrastructuurserverlogs worden 365 dagen bewaard voor beveiligingsonderzoek; auditlogging op applicatieniveau voor boekingen bij organisaties waarvoor boekingsaudits zijn ingeschakeld |
| Systeemconfiguratie, inclusief standaardconfiguratie | Wijzigingsbeheer onder Cal.com’s ISO 27001- en SOC 2-beheersmaatregelen: wijzigingen aan productie worden beoordeeld en doorlopen geautomatiseerde controles vóór deployment |
| Interne IT en governance en beheer van IT-beveiliging | Informatiebeveiligingsbeleid goedgekeurd door het management en jaarlijks beoordeeld; een aangewezen eigenaar voor beveiliging en compliance; security-awareness-training voor al het personeel bij indiensttreding en jaarlijks; geheimhoudingsverplichtingen voor al het personeel met toegang tot Persoonsgegevens van de Klant (DPA §4); leveranciersrisicobeoordeling vóór het inschakelen van een subverwerker |
| Certificering en assurance van processen en producten | ISO/IEC 27001:2022-certificering (certificaatnr. 122217, Prescient Security LLC, geldig tot 30 oktober 2028 onder voorbehoud van jaarlijkse surveillance-audits; scope: het informatiebeveiligingsmanagementsysteem ter ondersteuning van het Cal.com-planningplatform, inclusief infrastructuur gehost op AWS); SOC 2 Type II-rapport over de beveiligingscriteria (meest recente periode 21 november 2024 tot 30 april 2026, Prescient Assurance LLC); beide beschikbaar voor Klanten onder NDA via trust.cal.com; HIPAA-controlmapping wordt onderhouden voor BAA-Klanten |
| Dataminimalisatie | Klant kan boekingsvragen en velden configureren via de beschikbare functionaliteit van de Diensten. De verzamelde gegevens zijn afhankelijk van de geselecteerde velden, ingeschakelde functies en integraties. |
| Gegevenskwaliteit | Gebruikers kunnen gegevens bekijken en corrigeren via functionaliteit die beschikbaar is voor hun rol. Cal.com helpt de Klant met andere toepasselijke rectificatieverzoeken onder DPA §7. |
| Beperkte gegevensbewaring | Verwijdering en teruggave onder DPA §10; door de Klant geïnitieerde verwijdering van boekingen en deelnemersgegevens via de Diensten; opnamen en transcripties van Cal Video worden opgeslagen in door Cal.com beheerde objectopslag en verwijderd wanneer de Klant ze of de boeking verwijdert, of op verzoek; opnamen uit zelfstandige cal.video-ruimtes worden automatisch verwijderd volgens Cal.com’s bewaarschema; back-ups worden opgeschoond volgens het reguliere bewaarschema voor back-ups |
| Verantwoordingsplicht | Registers van verwerkingsactiviteiten en inschakelingen van subverwerkers; gedocumenteerd incidenten- en datalekregister; verwijderingscertificering en compliance-informatie verstrekt zoals vereist door Clausules 8.5 en 8.9 |
| Gegevensoverdraagbaarheid en verwijdering | Export via beschikbare Diensten of API-functionaliteit; andere vereiste teruggave van persoonsgegevens wordt afgehandeld onder Clausule 8.5 en DPA §10 voor zover consistent met die Clausule; verwijdering van account en gegevens op verzoek van de Klant; verwijderingscertificering aan de Klant zoals vereist door Clausule 8.5 |
| Maatregelen voor ondersteuning aan de verwerkingsverantwoordelijke | Tools en processen om de Klant te helpen reageren op verzoeken van Betrokkenen (DPA §7), DPIA’s uit te voeren (DPA §9) en compliance-informatie en auditrapporten te verkrijgen (DPA §11) |
| Maatregelen opgelegd aan subverwerkers | Elke Subverwerker is gebonden aan een schriftelijke overeenkomst die verplichtingen voor gegevensbescherming oplegt die niet minder beschermend zijn dan de DPA en de SCC's, inclusief waarborgen voor verdere doorgifte (DPA §6.5); Subverwerkers worden beoordeeld vóór inschakeling en gemonitord; Klant ontvangt vooraf schriftelijke kennisgeving van nieuwe of vervangende Subverwerkers en kan bezwaar maken (DPA §6.3–6.4) |
Deel 5. Bijlage III — Lijst van Subverwerkers
De gezaghebbende, actuele lijst van Subverwerkers, inclusief namen van entiteiten, locaties en doeleinden, wordt gepubliceerd op trust.cal.com en wordt bijgewerkt overeenkomstig DPA §6.3. Cal.com verstrekt de schriftelijke kennisgeving die vereist is op grond van Clausule 9(a), via een gedocumenteerde elektronische methode onder DPA §6.3, vóór een toevoeging of vervanging van een Subverwerker voor de betreffende verwerking. Voor de doeleinden van Clausule 9(a), onder Module Twee, geeft Klant Cal.com algemene schriftelijke toestemming om Subverwerkers in te schakelen uit de overeengekomen lijst op trust.cal.com zoals die geldt op de datum waarop de SCC's tussen de Partijen van kracht worden. Onder Module Drie vereist het inschakelen van die Subverwerkers de algemene schriftelijke toestemming van de betreffende Verwerkingsverantwoordelijke. Toevoegingen of vervangingen zijn onderworpen aan Clausule 9(a) en DPA §6.3–6.4 voor zover dit met die Clausule verenigbaar is.
Omdat Clausule 9(a) Optie 2 van toepassing is, neemt deze Bijlage de lijst niet over.
De Subverwerkerslijst vermeldt de relevante verwerkingslocaties voor Persoonsgegevens van Klant. Het land van oprichting van een Subverwerker is geen verklaring over waar deze de gegevens verwerkt. Wijzigingen blijven onderworpen aan de toepasselijke kennisgevings- en toestemmingsvereisten. Leveranciers die alleen voor Cal.com’s eigen doeleinden worden gebruikt, zijn geen Subverwerkers en worden niet vermeld: analytics en advertenties voor de marketingwebsite (Google Analytics/GTM, X Ads), Cal.com’s eigen CRM (HubSpot), en apps die Klant verbindt met zijn eigen account bij een derde partij (Zapier, Dub, Close.com, GA4/GTM-apps), waarvoor Klant de verwerkingsverantwoordelijke is die die aanbieder rechtstreeks instrueert.
Deel 6. UK Addendum — ingevulde tabellen
Tabel 1: Partijen. Startdatum: de datum waarop de SCC's tussen de Partijen van kracht worden onder Deel 1.4. Exporteur en Importeur: zoals geïdentificeerd in Bijlage I.A, aangevuld met de handelsnaam van elke Partij indien die afwijkt, het geregistreerde adres of toepasselijke hoofdadres, en een officieel registratienummer indien aanwezig. Belangrijke contactpersonen: de functietitel en contactgegevens die voor elke Partij zijn vastgelegd. Ondertekening: overeenkomstig sectie 2 van het UK Addendum en de toepasselijke ondertekeningsregistratie.
Tabel 2: Geselecteerde SCC's, Modules en Geselecteerde Clausules. De Goedgekeurde EU-SCC's, inclusief de Appendixinformatie, zoals ingevuld door dit Schema: Module Twee of Module Drie zoals van toepassing onder Deel 2; Clausule 7 is van toepassing; de optionele tekst van Clausule 11 is niet van toepassing; Clausule 9(a) Optie 2 met de kennisgevingstermijn vermeld in Deel 2 (DPA §6.3); Clausules 17 en 18 zoals in Deel 2, onder voorbehoud van sectie 15 van het UK Addendum (die het recht en de rechtbanken van Engeland en Wales in de plaats stelt voor zaken die door het UK Addendum worden beheerst). Toetredingsclausule: van toepassing. Worden persoonsgegevens die van de importeur zijn ontvangen gecombineerd met persoonsgegevens die door de exporteur zijn verzameld? Nee.
Tabel 3: Appendixinformatie. Bijlage 1A: zoals in Deel 3.A. Bijlage 1B: zoals in Deel 3.B. Bijlage II: zoals in Deel 4. Bijlage III: zoals in Deel 5.
Tabel 4: Beëindiging van dit Addendum wanneer het Goedgekeurde Addendum wijzigt. De Importeur mag het UK Addendum beëindigen zoals uiteengezet in sectie 19 daarvan.
Voor doorgiften vanuit het VK worden verwijzingen in de SCC's naar de GDPR, wetgeving van lidstaten en de toezichthoudende autoriteit gelezen zoals uiteengezet in het UK Addendum; de bevoegde toezichthoudende autoriteit is de UK Information Commissioner.
Deel 7. Zwitserse wijzigingen
Voor doorgiften die onder de Zwitserse federale wet inzake gegevensbescherming (“FADP”) vallen:
(a) verwijzingen naar de GDPR worden gelezen als verwijzingen naar de FADP, en verwijzingen naar EU- of lidstatelijke gegevensbeschermingswetgeving als verwijzingen naar de overeenkomstige Zwitserse gegevensbeschermingswetgeving, zonder de contractuele keuzes voor toepasselijk recht en forum in paragraaf (d) te wijzigen, voor zover de doorgifte uitsluitend onder de FADP valt; wanneer een doorgifte onder zowel de GDPR als de FADP valt, zijn de SCC's parallel onder beide van toepassing;
(b) de Swiss Federal Data Protection and Information Commissioner is bevoegd voor doorgiften die door de FADP worden beheerst; waar de GDPR ook van toepassing is, blijft de bevoegde autoriteit die onder Clausule 13 voor GDPR-zaken is aangewezen bevoegd;
© de term “lidstaat” wordt niet zo uitgelegd dat betrokkenen in Zwitserland worden uitgesloten van het instellen van een vordering voor hun rechten in hun gewone verblijfplaats in Zwitserland onder Clausule 18©;
(d) het toepasselijke recht en forum onder Clausules 17 en 18 blijven zoals in Deel 2, behalve voor zover dwingend Zwitsers recht anders vereist.
Deel 8. Bijzonderheden van Module Drie
Wanneer Klant optreedt als Verwerker voor een derde Verwerkingsverantwoordelijke:
(a) Klant bevestigt dat de Verwerkingsverantwoordelijke toestemming heeft gegeven voor het inschakelen van Cal.com als subverwerker en de doorgifte onder de SCC's, en dat Klant de instructies van de Verwerkingsverantwoordelijke zal doorgeven, inclusief instructies over verzoeken van betrokkenen, verwijdering en audits, via de kanalen in de DPA;
(b) Kennisgevingen moeten de ontvangers bereiken die door elke toepasselijke bepaling van de SCC's worden vereist. Klant zal kennisgevingen doorsturen waar de SCC's die verantwoordelijkheid aan Klant toewijzen. Cal.com zal de Verwerkingsverantwoordelijke rechtstreeks informeren waar de SCC's dat vereisen, inclusief onder Clausule 8.6© waar passend en haalbaar. Elke toegestane kennisgevingsregeling via Klant moet de rechten van de Verwerkingsverantwoordelijke en de timing die door de SCC's wordt vereist behouden.
© Klant vrijwaart Cal.com tegen claims van de Verwerkingsverantwoordelijke die voortvloeien uit het ontbreken van bevoegdheid van Klant of uit instructies die Cal.com via Klant ontvangt (DPA §12.4(a)). Deze vrijwaring beperkt niet Cal.com’s verplichtingen of aansprakelijkheid onder de SCC's.