Verwerkersovereenkomst voor kerken in het buitenland

De kerk die de dienst buiten de Republiek Korea gebruikt (de "Kerk") en Wesleysoft (de "Onderneming") komen het volgende overeen over de verwerking door de Onderneming, namens de Kerk, van de persoonsgegevens die de Kerk invoert in Wesley Gyojeok (웨슬리 교적), Wesley Jaejeong (웨슬리 재정) en Wesley Simbang Plus (웨슬리 심방플러스) (de "Dienst"). Deze Overeenkomst is van toepassing naast de gebruiksvoorwaarden van de Onderneming, haar privacyverklaring en de "Bijlage bij de privacyverklaring voor kerken in het buitenland" (de "Bijlage"). Wanneer deze documenten ten aanzien van de verwerking van persoonsgegevens van elkaar afwijken, heeft deze Overeenkomst voorrang.

Artikel 1 (Rollen)

1. Met betrekking tot de persoonsgegevens die de Kerk in de Dienst invoert, stelt de Kerk het doel van en de middelen voor de verwerking vast (verwerkingsverantwoordelijke), en verwerkt de Onderneming de gegevens namens de Kerk (verwerker).
2. De Kerk is ervoor verantwoordelijk dat het verzamelen van persoonsgegevens en de invoer ervan in de Dienst in overeenstemming zijn met het recht van het land van de Kerk, en informeert de leden over de verwerking en verkrijgt hun toestemming waar dat vereist is.

Artikel 2 (Bijzonderheden van de verwerking)

Het onderwerp en de duur, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen zijn vastgelegd in Aanhangsel 1.

Artikel 3 (Verwerking volgens de instructies van de Kerk)

1. De Onderneming verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Kerk. Het gebruik van functies en de keuze van instellingen door de Kerk in de schermen van de Dienst gelden als instructies van de Kerk.
2. De Onderneming verwerkt persoonsgegevens niet voor andere doeleinden dan het leveren van de Dienst, tenzij zij daartoe wettelijk verplicht is. Wanneer de wet de verwerking verplicht stelt, stelt de Onderneming de Kerk daarvan vóór de verwerking in kennis, tenzij de wet dit verbiedt.
3. Indien de Onderneming van mening is dat een instructie van de Kerk inbreuk maakt op het gegevensbeschermingsrecht, stelt zij de Kerk daarvan onverwijld in kennis.

Artikel 4 (Vertrouwelijkheid)

De Onderneming beperkt het aantal personen dat persoonsgegevens mag verwerken tot het noodzakelijke minimum en zorgt ervoor dat zij aan een geheimhoudingsplicht zijn gebonden. Deze plicht blijft bestaan na beëindiging van hun werkzaamheden.

Artikel 5 (Beveiligingsmaatregelen)

De Onderneming neemt technische en organisatorische maatregelen die passend zijn voor de risico's voor persoonsgegevens, zoals beschreven in Aanhangsel 2. De Onderneming kan deze maatregelen aanpassen naarmate de techniek zich ontwikkelt, maar verlaagt het beschermingsniveau niet.

Artikel 6 (Scheiding per kerk)

De Onderneming houdt de gegevens van de Kerk gescheiden van de gegevens van andere kerken en zorgt ervoor dat gebruikers van andere kerken de gegevens van de Kerk niet kunnen zien.

Artikel 7 (Subverwerking)

1. De Kerk machtigt de Onderneming om de in Aanhangsel 3 genoemde subverwerkers in te schakelen.
2. Indien de Onderneming voornemens is een subverwerker toe te voegen of te vervangen, stelt zij de Kerk daarvan ten minste 30 dagen van tevoren in kennis, en de Kerk kan binnen die termijn op redelijke gronden bezwaar maken. Indien de Onderneming het bezwaar niet aanvaardt, kan de Kerk de dienstverleningsovereenkomst zonder boete opzeggen.
3. De Onderneming legt elke subverwerker bij overeenkomst gegevensbeschermingsverplichtingen op van hetzelfde niveau als in deze Overeenkomst, en blijft jegens de Kerk aansprakelijk indien een subverwerker die verplichtingen niet nakomt.

Artikel 8 (Bijstand bij de rechten van betrokkenen)

1. Wanneer leden of andere betrokkenen rechten uitoefenen zoals inzage, rectificatie, gegevenswissing, beperking van de verwerking of overdraagbaarheid van gegevens, stelt de Onderneming de functies van de Dienst en de medewerking ter beschikking die de Kerk nodig heeft om daarop te reageren.
2. Indien een betrokkene een verzoek rechtstreeks tot de Onderneming richt, stuurt de Onderneming het onverwijld door naar de Kerk en reageert zij er niet rechtstreeks op zonder instructies van de Kerk.

Artikel 9 (Inbreuken in verband met persoonsgegevens)

1. Indien de Onderneming kennisneemt van een incident waarbij persoonsgegevens van de Kerk zijn of mogelijk zijn uitgelekt, stelt zij de Kerk daarvan onverwijld in kennis, en in elk geval binnen 48 uur nadat zij er kennis van heeft genomen.
2. De melding beschrijft de aard en de omstandigheden van het incident, de categorieën en bij benadering het aantal betrokkenen en persoonsgegevensregisters in kwestie, de waarschijnlijke gevolgen, de maatregelen die de Onderneming heeft genomen of zal nemen, en een contactpersoon. Informatie die niet in één keer kan worden verstrekt, wordt stapsgewijs verstrekt naarmate zij bekend wordt.
3. De Onderneming verstrekt de informatie en medewerking die de Kerk nodig heeft om de toezichthoudende autoriteit en de betrokkenen overeenkomstig het recht van haar land in kennis te stellen.

Artikel 10 (Overige bijstand)

Rekening houdend met de aard van de verwerking en de informatie waarover de Onderneming beschikt, verstrekt de Onderneming de Kerk de informatie die zij nodig heeft om haar verplichtingen krachtens het recht van haar land na te komen, zoals het waarborgen van de beveiliging, het uitvoeren van gegevensbeschermingseffectbeoordelingen en de voorafgaande raadpleging van de toezichthoudende autoriteit.

Artikel 11 (Opslaglocatie en internationale doorgiften)

1. De Onderneming slaat de gegevens van de Kerk op op servers in de Republiek Korea en geeft ze niet door buiten de Republiek Korea, behalve in het in artikel 6 van de Bijlage beschreven geval (routebeschrijving).
2. Doorgiften vanuit het land van de Kerk naar de Republiek Korea volgen artikel 4 van de Bijlage. Wanneer het recht van dat land een afzonderlijk instrument vereist, zoals standaardcontractbepalingen, stellen de Kerk en de Onderneming dit samen met deze Overeenkomst in.

Artikel 12 (Teruggave en vernietiging na het einde van de dienstverleningsovereenkomst)

1. De Kerk kan haar gegevens met de exportfunctie van de Dienst downloaden vóór het einde van de dienstverleningsovereenkomst en gedurende 90 dagen na het einde ervan.
2. Na afloop van die termijn vernietigt de Onderneming de gegevens van de Kerk zodanig dat ze niet kunnen worden hersteld. Indien de Kerk om onmiddellijke vernietiging verzoekt, vernietigt de Onderneming de gegevens onverwijld. Gegevens die wettelijk moeten worden bewaard, worden gedurende de voorgeschreven termijn bewaard.
3. Gegevens die in back-upkopieën achterblijven, worden vernietigd na 90 dagen voor back-ups op de servers van de Onderneming en na 1 jaar voor back-ups op een afzonderlijk, door de Onderneming beheerd opslagapparaat. Tot dat moment worden ze voor geen ander doel dan herstel gebruikt.
4. Op verzoek van de Kerk bevestigt de Onderneming de vernietiging schriftelijk.

Artikel 13 (Informatie en audits)

1. De Onderneming verstrekt de Kerk de informatie die nodig is om aan te tonen dat de verplichtingen uit deze Overeenkomst worden nagekomen.
2. De Kerk kan eenmaal per jaar schriftelijke vragen indienen, die de Onderneming kosteloos beantwoordt. Indien de Kerk of een door de Kerk aangewezen auditor een audit ter plaatse wenst uit te voeren, moet het verzoek 30 dagen van tevoren worden gedaan en komen de kosten voor rekening van de Kerk. De auditor is aan een geheimhoudingsplicht gebonden.

Artikel 14 (Aansprakelijkheid)

De Kerk en de Onderneming zijn elk jegens de ander aansprakelijk voor schade die door hun schending van deze Overeenkomst of van de wet is veroorzaakt. De aansprakelijkheid van de Onderneming is beperkt tot het totaal van de vergoedingen die de Kerk heeft betaald in de 12 maanden voorafgaand aan de datum waarop de schade is ontstaan. Deze beperking geldt niet voor schade die is veroorzaakt door opzet of grove nalatigheid van de Onderneming, noch wanneer de wet een beperking van de aansprakelijkheid niet toestaat.

Artikel 15 (Looptijd)

Deze Overeenkomst is van kracht vanaf de datum waarop de Kerk, na goedkeuring door de Onderneming, de dienstverleningsovereenkomst sluit, totdat de verplichtingen uit artikel 12 na het einde van de dienstverleningsovereenkomst zijn nagekomen.

Artikel 16 (Toepasselijk recht en bevoegde rechter)

Op deze Overeenkomst is het recht van de Republiek Korea van toepassing. Bepalingen van het gegevensbeschermingsrecht van het land van de Kerk waarvan niet bij overeenkomst kan worden afgeweken, en de bevoegdheden van de toezichthoudende autoriteit van dat land blijven echter van toepassing. Geschillen in verband met deze Overeenkomst worden voorgelegd aan de rechter die bevoegd is voor het adres van de Onderneming.

Artikel 17 (Taal en totstandkoming)

1. De Koreaanse versie van deze Overeenkomst is het authentieke origineel. Indien een vertaling daarvan afwijkt, heeft het Koreaanse origineel voorrang, tenzij het recht van het land van de Kerk anders bepaalt.
2. Deze Overeenkomst komt tot stand wanneer de Kerk in het scherm voor deze Overeenkomst "Akkoord" (동의) selecteert. De Onderneming bewaart hiervan een registratie en verstrekt op verzoek van de Kerk een ondertekend exemplaar.

Aanhangsel 1 — Bijzonderheden van de verwerking

Onderwerp	Ledengegevens en financiële administratie die de Kerk in de Dienst invoert
Categorieën van betrokkenen	Leden en hun gezinsleden, nieuwkomers en bezoekers, gevers, medewerkers van de kerk en gebruikers van de Dienst
Soort persoonsgegevens	De gegevens genoemd in artikel 2 van de privacyverklaring en artikel 3 van de Bijlage — naam (achternaam en voornaam in Latijnse letters), geslacht, geboortedatum (facultatief), contactgegevens, adres, foto, kerkelijk ambt, wijk (onderverdeling van de gemeente) en klasse (class meeting), lidmaatschapscategorie, doop- en belijdenisgegevens, taken in de gemeente en beroep, familierelaties, aanwezigheid, bezoekverslagen en gebedsintenties, aantekeningen over pastorale zorg, collecte- en giftenadministratie, registratie van toestemmingen voor persoonsgegevens, en gegevens van gevers voor giftenverklaringen van het betreffende land
Bijzondere categorieën van persoonsgegevens	Het feit van het kerklidmaatschap en gegevens over het geloofsleven (gegevens waaruit religieuze overtuigingen blijken); gezondheidsgegevens die de Kerk invoert in de aantekeningen over pastorale zorg
Aard en doel	Levering van de Dienst — opslag, raadpleging, bewerking, afdrukken, export, back-up, verzending van e-mails en opstellen van bezoekteksten (er worden geen gegevens verstrekt waarmee een lid kan worden geïdentificeerd)
Duur	De looptijd van de dienstverleningsovereenkomst en 90 dagen na het einde ervan (back-upkopieën: artikel 12, lid 3 — 90 dagen op servers, 1 jaar op het afzonderlijke opslagapparaat)

Aanhangsel 2 — Beveiligingsmaatregelen

• Versleuteling tijdens de overdracht (HTTPS)
• Wachtwoorden uitsluitend opgeslagen met een onomkeerbare methode
• Scheiding van gegevens per kerk — een afscherming per kerk in de database, zodat gegevens van andere kerken niet kunnen worden gelezen
• Rolgebaseerde bevoegdheden en bewaring van toegangslogboeken
• Firewall — alleen de poorten die nodig zijn voor webtoegang en beheertoegang zijn open; de database is van buiten de server niet bereikbaar
• Antimalwaresoftware — automatische bijwerking van de signaturen en dagelijkse scans
• Regelmatige back-ups — dagelijks op de server, gekopieerd naar een afzonderlijk, door de Onderneming beheerd opslagapparaat (servers 90 dagen, afzonderlijk opslagapparaat 1 jaar)

Aanhangsel 3 — Subverwerkers (allen gevestigd in en verwerkend in de Republiek Korea)

Subverwerker	Activiteit
YourIT Co., Ltd.	Levering van servers en opslagruimte; opslag van gegevens
NHN Cloud Corp.	Verzending van e-mails (er worden geen sms-berichten verzonden naar mobiele nummers buiten Korea)
Upstage Co., Ltd.	Opstellen van conceptpreken in Wesley Simbang Plus (er worden geen gegevens verstrekt waarmee een lid kan worden geïdentificeerd)
Toss Payments Co., Ltd.	Verwerking van betalingen van vergoedingen (Kerken in het buitenland betalen momenteel per bankoverschrijving)