Verwerkersovereenkomst

Onderwerp en toepasselijkheid

1.1 Deze Verwerkersovereenkomst is van toepassing wanneer AI services Nederland in het kader van de dienstverlening persoonsgegevens verwerkt namens een klant en daarbij optreedt als verwerker in de zin van de Algemene verordening gegevensbescherming (AVG).

1.2 De klant wordt in deze Verwerkersovereenkomst aangeduid als “Verwerkingsverantwoordelijke” en AI services Nederland als “Verwerker”.

1.3 Deze Verwerkersovereenkomst maakt integraal onderdeel uit van de overeenkomst tussen Verwerkingsverantwoordelijke en Verwerker voor zover bij de uitvoering daarvan persoonsgegevens namens Verwerkingsverantwoordelijke worden verwerkt.

1.4 Indien de feitelijke rolverdeling voor een bepaalde verwerking afwijkt van hetgeen in deze Verwerkersovereenkomst is beschreven, zijn de feitelijke situatie en de toepasselijke privacywetgeving bepalend.

1.5 Deze Verwerkersovereenkomst geldt uitsluitend voor verwerkingen waarbij AI services Nederland als verwerker optreedt. Voor persoonsgegevens die AI services Nederland als zelfstandig verwerkingsverantwoordelijke verwerkt, geldt deze Verwerkersovereenkomst niet.

Verwerking in opdracht

2.1 Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van Verwerkingsverantwoordelijke en uitsluitend op basis van gedocumenteerde instructies van Verwerkingsverantwoordelijke, tenzij een op Verwerker toepasselijke wettelijke bepaling tot verwerking verplicht.

2.2 De overeenkomst, de door Verwerkingsverantwoordelijke gebruikte functionaliteiten, de instellingen binnen het AI Business Platform en schriftelijke of elektronisch vastgelegde instructies gelden gezamenlijk als gedocumenteerde instructies.

2.3 Verwerker gebruikt persoonsgegevens die namens Verwerkingsverantwoordelijke worden verwerkt niet voor eigen doeleinden en niet voor doeleinden van derde partijen of samenwerkingspartners.

2.4 Verwerker verkoopt persoonsgegevens die namens Verwerkingsverantwoordelijke worden verwerkt niet en stelt deze niet aan derden beschikbaar voor hun eigen commerciële doeleinden.

2.5 Indien Verwerker op grond van Unierecht of Nederlands recht verplicht is persoonsgegevens anders te verwerken dan op instructie van Verwerkingsverantwoordelijke, informeert Verwerker Verwerkingsverantwoordelijke vooraf over die wettelijke verplichting, tenzij de betreffende wetgeving dit verbiedt.

2.6 Indien Verwerker van oordeel is dat een instructie van Verwerkingsverantwoordelijke in strijd is met de AVG of andere toepasselijke privacywetgeving, informeert Verwerker Verwerkingsverantwoordelijke hierover zo spoedig mogelijk.

Verantwoordelijkheden van Verwerkingsverantwoordelijke

3.1 Verwerkingsverantwoordelijke bepaalt het doel en, binnen de kaders van de dienstverlening, de relevante middelen van de verwerking en is verantwoordelijk voor de rechtmatigheid van de verwerking.

3.2 Verwerkingsverantwoordelijke staat ervoor in dat voor de persoonsgegevens die via de diensten van Verwerker worden verwerkt een geldige rechtsgrond bestaat en dat betrokkenen overeenkomstig de toepasselijke privacywetgeving worden geïnformeerd.

3.3 Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid en juistheid van de persoonsgegevens, documenten, audio, gesprekken, bestanden en overige informatie die aan Verwerker beschikbaar worden gesteld.

3.4 Verwerkingsverantwoordelijke zorgt ervoor dat niet meer persoonsgegevens aan Verwerker beschikbaar worden gesteld dan redelijkerwijs noodzakelijk is voor het beoogde gebruik van de betreffende dienst.

3.5 Indien bijzondere categorieën van persoonsgegevens of andere gevoelige informatie via de diensten worden verwerkt, is Verwerkingsverantwoordelijke verantwoordelijk voor de beoordeling of deze verwerking rechtmatig en noodzakelijk is.

Geheimhouding

4.1 Verwerker waarborgt dat personen die onder haar verantwoordelijkheid toegang hebben tot persoonsgegevens uitsluitend toegang krijgen voor zover dit noodzakelijk is voor de uitvoering van hun werkzaamheden.

4.2 Personen die toegang hebben tot persoonsgegevens zijn gebonden aan een passende contractuele of wettelijke geheimhoudingsverplichting.

4.3 Verwerker verstrekt persoonsgegevens niet aan derden, behalve wanneer dit noodzakelijk is voor de uitvoering van de overeengekomen dienstverlening overeenkomstig deze Verwerkersovereenkomst, wanneer Verwerkingsverantwoordelijke daartoe opdracht heeft gegeven of wanneer een wettelijke verplichting tot verstrekking bestaat.

4.4 De geheimhoudingsverplichting blijft ook na beëindiging van de overeenkomst van kracht voor zover de aard van de informatie dit vereist.

Beveiliging

5.1 Verwerker treft passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, onbevoegde toegang, ongeoorloofde wijziging, verstrekking en andere onrechtmatige verwerking.

5.2 Bij het bepalen van het passende beveiligingsniveau houdt Verwerker rekening met de stand van de techniek, uitvoeringskosten, aard, omvang, context en doeleinden van de verwerking en de waarschijnlijkheid en ernst van de risico’s voor de rechten en vrijheden van natuurlijke personen.

5.3 De maatregelen zijn waar passend gericht op:

• het waarborgen van de vertrouwelijkheid, integriteit en beschikbaarheid van systemen en diensten;
• passende toegangsbeveiliging en autorisatie;
• bescherming van gegevens tijdens opslag en overdracht;
• het beperken van toegang tot personen en systemen die deze toegang voor de dienstverlening nodig hebben;
• het tijdig kunnen herstellen van beschikbaarheid na een technisch of fysiek incident;
• het periodiek beoordelen van de doeltreffendheid van relevante beveiligingsmaatregelen.

5.4 De technische en organisatorische maatregelen kunnen worden aangepast wanneer ontwikkelingen in techniek, dienstverlening of risico’s daartoe aanleiding geven, mits het beschermingsniveau passend blijft bij de verwerking en de toepasselijke wettelijke eisen.

Subverwerkers

6.1 Verwerkingsverantwoordelijke verleent Verwerker algemene schriftelijke toestemming om voor de uitvoering van de overeengekomen dienstverlening subverwerkers in te schakelen.

6.2 Verwerker selecteert subverwerkers die naar haar beoordeling voldoende waarborgen bieden met betrekking tot passende technische en organisatorische maatregelen en de bescherming van persoonsgegevens.

6.3 Verwerker legt aan subverwerkers die persoonsgegevens namens Verwerkingsverantwoordelijke verwerken passende gegevensbeschermingsverplichtingen op die aansluiten bij de verplichtingen die op Verwerker rusten.

6.4 Verwerker blijft tegenover Verwerkingsverantwoordelijke verantwoordelijk voor de nakoming van de verplichtingen van de door Verwerker ingeschakelde subverwerkers voor zover dit uit de AVG voortvloeit.

6.5 De identiteit van door Verwerker gebruikte subverwerkers en overige informatie over de verwerkingsketen wordt niet openbaar op de website van AI services Nederland gepubliceerd.

6.6 Verwerkingsverantwoordelijke kan informatie over de voor zijn dienstverlening relevante subverwerkers bij Verwerker opvragen. Verwerker stelt de informatie beschikbaar die Verwerkingsverantwoordelijke redelijkerwijs nodig heeft om aan zijn verplichtingen op grond van de AVG te kunnen voldoen. Voor zover relevant omvat dit de identiteit van de betreffende subverwerker, diens rol in de dienstverlening en informatie over de locatie van verwerking en toepasselijke waarborgen bij internationale doorgifte.

6.7 Verwerkingsverantwoordelijke behandelt niet-openbare informatie over de technische verwerkingsketen, infrastructuur en leveranciers van Verwerker vertrouwelijk, behalve voor zover openbaarmaking noodzakelijk is om te voldoen aan een wettelijke verplichting, een verzoek van een bevoegde toezichthouder of de uitoefening van rechten van betrokkenen.

6.8 Verwerker informeert Verwerkingsverantwoordelijke over een voorgenomen toevoeging of vervanging van een relevante subverwerker overeenkomstig artikel 28 AVG en biedt Verwerkingsverantwoordelijke de mogelijkheid om binnen een redelijke termijn op redelijke, met gegevensbescherming verband houdende gronden bezwaar te maken.

6.9 Indien een bezwaar niet redelijkerwijs kan worden opgelost, treden partijen in overleg over een passende oplossing. Indien voortzetting van de betreffende verwerking zonder de betreffende subverwerker redelijkerwijs niet mogelijk is, kunnen partijen de betreffende dienst of functionaliteit beëindigen overeenkomstig de toepasselijke contractuele afspraken.

Verwerking buiten de Europese Economische Ruimte

7.1 Voor zover persoonsgegevens worden verwerkt in of doorgegeven aan een land buiten de Europese Economische Ruimte, draagt Verwerker er voor haar rol zorg voor dat een geldige doorgiftegrondslag bestaat overeenkomstig hoofdstuk V van de AVG.

7.2 Indien passende waarborgen noodzakelijk zijn, draagt Verwerker zorg voor de voor haar rol vereiste contractuele en organisatorische maatregelen, waaronder waar van toepassing door de Europese Commissie vastgestelde standaardcontractbepalingen.

7.3 Verwerkingsverantwoordelijke kan voor zover noodzakelijk voor zijn AVG-verplichtingen informatie opvragen over relevante internationale doorgiften en de daarvoor gebruikte waarborgen.

Rechten van betrokkenen

8.1 Verwerkingsverantwoordelijke is verantwoordelijk voor het behandelen van verzoeken van betrokkenen met betrekking tot hun rechten onder de AVG.

8.2 Rekening houdend met de aard van de verwerking verleent Verwerker, voor zover mogelijk, passende technische en organisatorische bijstand aan Verwerkingsverantwoordelijke bij het behandelen van dergelijke verzoeken.

8.3 Indien een betrokkene rechtstreeks bij Verwerker een verzoek indient dat betrekking heeft op persoonsgegevens die Verwerker uitsluitend namens Verwerkingsverantwoordelijke verwerkt, stuurt Verwerker het verzoek in beginsel door naar Verwerkingsverantwoordelijke of verwijst Verwerker de betrokkene naar Verwerkingsverantwoordelijke, tenzij Verwerker wettelijk verplicht is anders te handelen.

8.4 Verwerker neemt ten aanzien van dergelijke persoonsgegevens niet zelfstandig een inhoudelijke beslissing over een verzoek van een betrokkene, tenzij dit voortvloeit uit een wettelijke verplichting of een gedocumenteerde instructie van Verwerkingsverantwoordelijke.

Inbreuk in verband met persoonsgegevens

9.1 Indien Verwerker kennis krijgt van een inbreuk in verband met persoonsgegevens die Verwerker namens Verwerkingsverantwoordelijke verwerkt, stelt Verwerker Verwerkingsverantwoordelijke daarvan zonder onredelijke vertraging in kennis.

9.2 Verwerker verstrekt, voor zover beschikbaar, de informatie die Verwerkingsverantwoordelijke redelijkerwijs nodig heeft om te beoordelen of een melding aan de Autoriteit Persoonsgegevens en/of betrokkenen noodzakelijk is.

9.3 De kennisgeving bevat waar mogelijk informatie over de aard van de inbreuk, de betrokken categorieën van persoonsgegevens en betrokkenen, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen.

9.4 Indien niet alle informatie onmiddellijk beschikbaar is, kan deze gefaseerd worden verstrekt zodra aanvullende informatie beschikbaar komt.

9.5 Verwerker neemt passende maatregelen om de gevolgen van de inbreuk te beperken en herhaling waar redelijkerwijs mogelijk te voorkomen.

9.6 Verwerkingsverantwoordelijke blijft verantwoordelijk voor de beoordeling en uitvoering van meldplichten die op grond van de AVG op Verwerkingsverantwoordelijke rusten.

Bijstand, beveiliging en DPIA

10.1 Rekening houdend met de aard van de verwerking en de informatie waarover Verwerker beschikt, verleent Verwerker redelijke bijstand aan Verwerkingsverantwoordelijke bij het nakomen van diens verplichtingen op grond van de artikelen 32 tot en met 36 AVG.

10.2 Hieronder kan, voor zover relevant, ondersteuning vallen bij beveiligingsvraagstukken, datalekken, een gegevensbeschermingseffectbeoordeling (DPIA) en voorafgaande raadpleging van de toezichthoudende autoriteit.

10.3 Verwerkingsverantwoordelijke blijft verantwoordelijk voor de beslissing of een DPIA of voorafgaande raadpleging noodzakelijk is en voor de uitvoering daarvan.

Bewaartermijnen en verwijdering

11.1 Verwerker bewaart persoonsgegevens die namens Verwerkingsverantwoordelijke worden verwerkt niet langer dan noodzakelijk is voor de uitvoering van de overeengekomen dienst, behoudens een afwijkende gedocumenteerde instructie of wettelijke verplichting.

11.2 Indien voor een specifieke dienst een vaste maximale bewaartermijn geldt, maakt deze termijn onderdeel uit van de overeengekomen verwerking en verwerkingsinstructies.

11.3 Na beëindiging van de verwerkingsdiensten verwijdert Verwerker, naar keuze van Verwerkingsverantwoordelijke en voor zover technisch en wettelijk van toepassing, de namens Verwerkingsverantwoordelijke verwerkte persoonsgegevens of stelt Verwerker deze beschikbaar voor teruggave, tenzij toepasselijke wetgeving verdere opslag vereist.

11.4 Persoonsgegevens die na verwijdering uit de operationele omgeving nog tijdelijk aanwezig zijn in reguliere technische back-ups worden niet opnieuw voor reguliere operationele doeleinden gebruikt en worden overeenkomstig de toepasselijke back-up- en verwijdercyclus verwijderd of overschreven.

Controle en audits

12.1 Verwerker stelt aan Verwerkingsverantwoordelijke de informatie beschikbaar die redelijkerwijs noodzakelijk is om aan te tonen dat Verwerker voldoet aan de op Verwerker rustende verplichtingen uit artikel 28 AVG.

12.2 Indien beschikbare documentatie redelijkerwijs onvoldoende is om naleving vast te stellen, kan Verwerkingsverantwoordelijke een aanvullende audit laten uitvoeren door een onafhankelijke deskundige die aan passende geheimhouding is gebonden.

12.3 Een audit wordt in beginsel vooraf schriftelijk aangekondigd en zodanig uitgevoerd dat de dienstverlening, beveiliging, vertrouwelijkheid, bedrijfsgevoelige informatie en belangen van andere klanten niet onnodig worden verstoord.

12.4 Verwerker werkt overeenkomstig artikel 28 AVG mee aan een gerechtvaardigde audit of inspectie. Partijen maken vooraf redelijke praktische afspraken over omvang, planning, vertrouwelijkheid en beveiliging.

12.5 Een audit geeft geen recht op toegang tot gegevens van andere klanten, broncode, bedrijfsgeheimen of andere vertrouwelijke informatie die niet noodzakelijk is om naleving van de relevante AVG-verplichtingen vast te stellen.

12.6 Indien een audit specifieke tekortkomingen aan het licht brengt die voor rekening van Verwerker komen, treft Verwerker passende maatregelen om deze binnen een redelijke termijn te herstellen.

Aansprakelijkheid

13.1 Voor aansprakelijkheid tussen partijen in verband met deze Verwerkersovereenkomst gelden de aansprakelijkheidsbepalingen uit de tussen partijen geldende Algemene voorwaarden, voor zover deze niet in strijd zijn met dwingend toepasselijk privacyrecht.

13.2 Deze Verwerkersovereenkomst beperkt geen aansprakelijkheid of rechten van betrokkenen voor zover deze op grond van de AVG of andere dwingende wetgeving niet contractueel kunnen worden uitgesloten of beperkt.

13.3 Iedere partij is verantwoordelijk voor de naleving van de verplichtingen die op grond van de AVG rechtstreeks op die partij rusten.

Duur en beëindiging

14.1 Deze Verwerkersovereenkomst treedt in werking zodra Verwerker in het kader van de overeenkomst persoonsgegevens namens Verwerkingsverantwoordelijke verwerkt.

14.2 De Verwerkersovereenkomst blijft van kracht zolang Verwerker persoonsgegevens namens Verwerkingsverantwoordelijke verwerkt.

14.3 Verplichtingen die naar hun aard na beëindiging behoren voort te duren, waaronder geheimhouding en verplichtingen met betrekking tot resterende persoonsgegevens, blijven na beëindiging van kracht.

Wijzigingen

15.1 Verwerker kan deze Verwerkersovereenkomst aanpassen indien dit noodzakelijk is vanwege wijzigingen in wet- en regelgeving, beveiliging, technische infrastructuur of dienstverlening.

15.2 Materiële wijzigingen worden vooraf aan Verwerkingsverantwoordelijke bekendgemaakt.

15.3 Indien een wijziging wezenlijke gevolgen heeft voor de bescherming van persoonsgegevens of de rechten en verplichtingen van Verwerkingsverantwoordelijke, kan Verwerker verlangen dat een bevoegde gebruiker namens Verwerkingsverantwoordelijke de nieuwe versie elektronisch accepteert.

15.4 Eerdere versies en acceptatiegegevens kunnen worden bewaard voor zover dit noodzakelijk is om de tussen partijen geldende afspraken te kunnen aantonen.

Toepasselijk recht

16.1 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.

16.2 Geschillen over deze Verwerkersovereenkomst worden behandeld overeenkomstig de geschillenregeling in de Algemene voorwaarden van AI services Nederland.

16.3 Indien een bepaling uit deze Verwerkersovereenkomst in strijd is met een dwingende bepaling van de AVG of andere toepasselijke privacywetgeving, prevaleert de betreffende wettelijke bepaling.

Geen openbare leverancierslijst

AI services Nederland publiceert de identiteit van haar technische leveranciers en subverwerkers niet openbaar op haar website.

Verwerkingsverantwoordelijke kan informatie over de voor zijn dienstverlening relevante subverwerkers bij AI services Nederland opvragen voor zover deze informatie redelijkerwijs noodzakelijk is om te voldoen aan de verplichtingen van Verwerkingsverantwoordelijke op grond van de AVG.

Niet-openbare informatie over de technische verwerkingsketen, infrastructuur en leveranciers wordt door Verwerkingsverantwoordelijke vertrouwelijk behandeld, behoudens voor zover verstrekking noodzakelijk is op grond van toepasselijke wetgeving, richting een bevoegde toezichthouder of voor de uitoefening van wettelijke rechten.

Acceptatie namens de organisatie

Deze Verwerkersovereenkomst kan elektronisch worden geaccepteerd door een daartoe bevoegde gebruiker namens Verwerkingsverantwoordelijke.

Bij elektronische acceptatie kan AI services Nederland onder meer de organisatie, gebruiker, datum en tijd van acceptatie en de geaccepteerde versie van deze Verwerkersovereenkomst registreren om de gemaakte afspraken aantoonbaar vast te leggen.

Door deze Verwerkersovereenkomst namens de organisatie te accepteren, verklaart de betreffende gebruiker bevoegd te zijn om deze afspraken namens de organisatie aan te gaan.