Verwerkersovereenkomst (DPA)

1. Definities

1. AVG: de Algemene Verordening Gegevensbescherming (EU) 2016/679.
2. Persoonsgegevens, Verwerken, Datalek, Betrokkene: hebben de betekenis zoals in de AVG.
3. Dienst: Deployment, Adoptie en support, voor zover Verwerker daarbij op instructie van Verwerkingsverantwoordelijke toegang heeft tot (delen van) diens omgeving of gegevens.

2. Onderwerp, duur, aard en doel van de verwerking

1. Onderwerp: het uitvoeren van Deployment en Adoptie (inrichting van en begeleiding bij het Agentic Team) en het bieden van support, voor zover Verwerker daarbij persoonsgegevens verwerkt namens Verwerkingsverantwoordelijke.
2. Duur: gedurende de uitvoering van Deployment en Adoptie respectievelijk de duur van de betreffende supportwerkzaamheden en, waar noodzakelijk, daarna voor afwikkeling/verantwoording conform de overeenkomst.
3. Aard: raadplegen en, uitsluitend voor zover noodzakelijk voor de Dienst, opslaan, structureren, wijzigen en verwijderen.
4. Doel: de uitvoering van de in lid 1 genoemde werkzaamheden.

3. Categorieën betrokkenen en soorten persoonsgegevens

4. Rollen en instructies

1. Verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking.
2. Verwerker verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van Verwerkingsverantwoordelijke, zoals vastgelegd in de overeenkomst, deze DPA en eventuele aanvullende schriftelijke instructies.
3. Verwerker zal Verwerkingsverantwoordelijke informeren indien een instructie naar haar redelijke mening in strijd is met de AVG.

5. Beveiliging

1. Verwerker treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking.
2. Deze maatregelen omvatten minimaal:
   • versleutelde verbindingen bij alle gegevensuitwisseling;
   • toegang op basis van need-to-know;
   • beperking van toegang en autorisaties tot wat voor de Dienst noodzakelijk is;
   • zorgvuldig toegangs- en sleutelbeheer;
   • redelijke maatregelen voor incidentdetectie en -afhandeling.

6. Verplichtingen van Verwerker

1. Vertrouwelijkheid: Verwerker waarborgt dat personen die onder haar gezag handelen persoonsgegevens vertrouwelijk behandelen.
2. Subverwerkers:
   1. Verwerkingsverantwoordelijke geeft toestemming voor het inschakelen van de volgende (categorieën) subverwerkers voor de Dienst:
      • Stripe (VS) — betalingsverwerking; doorgifte op grond van het EU-US Data Privacy Framework;
      • Vercel (VS) — hosting van de website en de connector; doorgifte op grond van het EU-US Data Privacy Framework;
      • Upstash (EU-regio) — tijdelijke cache en rate limiting; verwerking binnen de EU;
      • overige toeleveranciers die noodzakelijk zijn voor hosting/communicatie/security, voor zover Verwerker Verwerkingsverantwoordelijke hierover informeert.
   2. Verwerker blijft verantwoordelijk voor de naleving door subverwerkers van de op hen van toepassing zijnde verplichtingen.
3. Datalekken: Verwerker meldt een (vermoeden van een) datalek zonder onredelijke vertraging nadat zij daarvan kennis heeft genomen en verstrekt redelijkerwijs beschikbare informatie.
4. Assistentie: Verwerker verleent redelijke assistentie bij:
   • verzoeken van Betrokkenen (inzage, verwijdering, etc.), voor zover betrekking hebbend op door Verwerker verwerkte gegevens;
   • beveiligingsincidenten en DPIA's, voor zover relevant.
5. Verwijderen/teruggeven: na afronding van de Dienst verwijdert of retourneert Verwerker persoonsgegevens voor zover redelijkerwijs mogelijk, tenzij bewaring wettelijk verplicht is of noodzakelijk is voor geschilafhandeling.
6. Minimalisatie/filters: Indien Verwerker constateert dat zij in het kader van de Dienst toegang heeft tot (bijzondere) persoonsgegevens die niet noodzakelijk zijn, mag Verwerker (i) de betreffende werkzaamheden opschorten, (ii) Verwerkingsverantwoordelijke verzoeken deze te verwijderen of af te schermen, en (iii) redelijke maatregelen treffen om verdere verwerking te voorkomen.

7. Generieke lessen (productverbetering)

1. Als onderdeel van de Licentie kunnen de Agents van Verwerkingsverantwoordelijke geanonimiseerde generieke lessen indienen bij Verwerker ter verbetering van het product, zoals beschreven in artikel 4.5 van de Productvoorwaarden Agentic Team en in het privacybeleid van Verwerker.
2. Voor deze generieke lessen treedt Verwerker ná anonimisering op als zelfstandig verwerkingsverantwoordelijke, op grond van gerechtvaardigd belang (productverbetering). Deze verwerking valt buiten de reikwijdte van deze DPA.
3. Daarbij gelden de drie beschermingslagen uit de Productvoorwaarden: anonimisering vóór verzending, automatische redactie van herleidbare gegevens aan de zijde van Verwerker (met logging), en handmatige review vóór enig hergebruik. Afgekeurde lessen worden binnen dertig (30) dagen verwijderd; de functie is op verzoek van Verwerkingsverantwoordelijke uitschakelbaar.

8. Audit en informatie

1. Verwerker stelt op verzoek redelijke informatie beschikbaar om naleving van deze DPA aannemelijk te maken.
2. Auditverzoeken worden in redelijkheid afgestemd en mogen de bedrijfsvoering niet onnodig verstoren.

9. Aansprakelijkheid

Op aansprakelijkheid zijn de bepalingen uit de overeenkomst en de Algemene Voorwaarden van toepassing.

10. Slotbepalingen

1. Bij strijdigheid tussen deze DPA en andere contractdocumenten, prevaleert deze DPA voor zover het de verwerking van persoonsgegevens betreft.
2. Deze DPA kan elektronisch worden overeengekomen (bijv. via click-acceptatie).

Bijlage 1 — Verwerkingsdetails (invulblad)

• Verwerkingsverantwoordelijke: [naam klant]
• Contact privacy: [e-mail]
• Omgeving(en) waartoe Verwerker in het kader van de Dienst toegang krijgt: [omschrijving/identifier]
• Aard van de werkzaamheden: [Deployment / Adoptie / support — omschrijving]
• Categorieën persoonsgegevens: bij voorkeur geen; incidenteel contactgegevens zoals aanwezig in de omgeving van Verwerkingsverantwoordelijke
• Bewaartermijn bij Verwerker: zolang redelijkerwijs nodig voor product- en promptverbetering, met periodieke opschoning waar passend