Verwerkersovereenkomst (DPA)

1. Definities

1. AVG: de Algemene Verordening Gegevensbescherming (EU) 2016/679.
2. Persoonsgegevens, Verwerken, Datalek, Betrokkene: hebben de betekenis zoals in de AVG.
3. Werkruimte: de afzonderlijke, uitsluitend voor Verwerkingsverantwoordelijke ingerichte omgeving (eigen instantie, eigen database, eigen toegangssleutel; "single-tenant") die Verwerker host bij Microsoft Azure in de regio West-Europa (Nederland), en die alleen via de Connector van Verwerkingsverantwoordelijke bereikbaar is.
4. Werkruimtedata: alle gegevens die de Agents van Verwerkingsverantwoordelijke in de Werkruimte vastleggen, waaronder logboek, bedrijfscontext, dashboardgegevens, bronkoppelingen en — voor zover Verwerkingsverantwoordelijke daarvoor kiest — werkdata.
5. Dienst: het hosten van de Werkruimte, alsmede Deployment, Adoptie en support, voor zover Verwerker daarbij op instructie van Verwerkingsverantwoordelijke toegang heeft tot (delen van) diens omgeving of gegevens.

2. Onderwerp, duur, aard en doel van de verwerking

1. Onderwerp: het hosten van de Werkruimte (opslag van Werkruimtedata ten behoeve van de Agents van Verwerkingsverantwoordelijke), het uitvoeren van Deployment en Adoptie (inrichting van en begeleiding bij het Agentic Team) en het bieden van support, voor zover Verwerker daarbij persoonsgegevens verwerkt namens Verwerkingsverantwoordelijke.
2. Duur: voor de Werkruimte gedurende de looptijd van de Licentie, vermeerderd met de verwijdertermijn van artikel 6.5 (dertig (30) dagen na het einde van de Licentie). Gedurende die periode geldt een rollend back-upvenster van zeven (7) dagen; na verwijdering worden resterende kopieën bij de hostingprovider gewist binnen diens gepubliceerde bewaartermijnen (artikel 6.5). Voor Deployment, Adoptie en support gedurende de betreffende werkzaamheden en, waar noodzakelijk, daarna voor afwikkeling/verantwoording conform de overeenkomst.
3. Aard: voor de Werkruimte het opslaan, structureren, beschikbaar stellen aan de Agents van Verwerkingsverantwoordelijke, back-uppen, exporteren en verwijderen. Verwerker neemt geen inhoudelijke kennis van Werkruimtedata, behalve op instructie van Verwerkingsverantwoordelijke (support), voor zover noodzakelijk voor beveiliging, beheer en het verhelpen van storingen, of waar de wet dat vereist; geautomatiseerde verwerking (back-up, migratie, updates) geldt niet als inhoudelijke kennisname. Voor Deployment, Adoptie en support: raadplegen en, uitsluitend voor zover noodzakelijk, opslaan, structureren, wijzigen en verwijderen.
4. Doel: de uitvoering van de in lid 1 genoemde werkzaamheden.

3. Categorieën betrokkenen en soorten persoonsgegevens

4. Rollen en instructies

1. Verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking.
2. Verwerker verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van Verwerkingsverantwoordelijke, zoals vastgelegd in de overeenkomst, deze DPA en eventuele aanvullende schriftelijke instructies.
3. Verwerker zal Verwerkingsverantwoordelijke informeren indien een instructie naar haar redelijke mening in strijd is met de AVG.

5. Beveiliging

1. Verwerker treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking.
2. Deze maatregelen omvatten minimaal:
   • versleutelde verbindingen bij alle gegevensuitwisseling;
   • toegang op basis van need-to-know;
   • beperking van toegang en autorisaties tot wat voor de Dienst noodzakelijk is;
   • zorgvuldig toegangs- en sleutelbeheer;
   • redelijke maatregelen voor incidentdetectie en -afhandeling.
3. Voor de Werkruimte gelden daarnaast:
   • single-tenant isolatie: elke Verwerkingsverantwoordelijke heeft een eigen instantie met eigen database; gegevens van verschillende klanten worden nooit in één omgeving gecombineerd;
   • een eigen toegangssleutel per Werkruimte, die bij Verwerker uitsluitend gehasht wordt opgeslagen en op verzoek kosteloos wordt vervangen;
   • Werkruimtedata loopt niet via de website- of Connector-hosting van Verwerker (Vercel); de Werkruimte wisselt met de servers van Verwerker alleen werkinstructies, licentiecontrole, updates en geanonimiseerde lessen uit;
   • dagelijkse back-up met een venster van zeven (7) dagen; herstel uit back-up is beproefd en duurt circa tien (10) minuten;
   • verwijdering van de volledige instantie met een verwijderbewijs (artikel 6.5).

6. Verplichtingen van Verwerker

1. Vertrouwelijkheid: Verwerker waarborgt dat personen die onder haar gezag handelen persoonsgegevens vertrouwelijk behandelen.
2. Subverwerkers:
   1. Verwerkingsverantwoordelijke geeft toestemming voor het inschakelen van de volgende (categorieën) subverwerkers voor de Dienst:
      • Stripe (VS) — betalingsverwerking; doorgifte op grond van het EU-US Data Privacy Framework;
      • Microsoft Azure (Microsoft Ireland Operations Ltd. / Microsoft Corporation (VS)) — hosting van de Werkruimte (container en database) in de regio West-Europa (Nederland); Werkruimtedata wordt binnen de EU opgeslagen en verwerkt. Voor zover de provider in het kader van support of beheer toegang heeft vanuit een land buiten de EER, gebeurt dat op grond van de Europese standaardcontractbepalingen (SCC's) in de verwerkersovereenkomst van Microsoft en, waar van toepassing, het EU-US Data Privacy Framework;
      • Vercel (VS) — hosting van de website en van de server-side Playbook-dienst (Connector); verwerkt géén Werkruimtedata; doorgifte op grond van het EU-US Data Privacy Framework;
      • Upstash (EU-regio) — tijdelijke cache en rate limiting; verwerking binnen de EU;
      • overige toeleveranciers die noodzakelijk zijn voor hosting/communicatie/security, voor zover Verwerker Verwerkingsverantwoordelijke hierover informeert.

      Deze lijst betreft uitsluitend subverwerkers die Werkruimtedata verwerken. Verwerkingen waarvoor Verwerker zelfstandig verwerkingsverantwoordelijke is (zoals de verwerking van gegevens van websitebezoekers en van inzendingen via formulieren op de website) vallen buiten deze overeenkomst en zijn beschreven in het privacybeleid op www.agentic-team.ai.

   2. Verwerker blijft verantwoordelijk voor de naleving door subverwerkers van de op hen van toepassing zijnde verplichtingen.
   3. Verwerker informeert Verwerkingsverantwoordelijke ten minste dertig (30) dagen vooraf over een voorgenomen toevoeging of vervanging van een subverwerker voor de Dienst (via het privacybeleid en per e-mail aan het bij de Licentie opgegeven adres). Verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken; komen Partijen niet tot een oplossing, dan kan Verwerkingsverantwoordelijke de Licentie opzeggen tegen de datum van de wijziging, met export conform artikel 6.5.
3. Datalekken: Verwerker meldt een (vermoeden van een) datalek zonder onredelijke vertraging nadat zij daarvan kennis heeft genomen en verstrekt redelijkerwijs beschikbare informatie.
4. Assistentie: Verwerker verleent redelijke assistentie bij:
   • verzoeken van Betrokkenen (inzage, verwijdering, etc.), voor zover betrekking hebbend op door Verwerker verwerkte gegevens;
   • beveiligingsincidenten en DPIA's, voor zover relevant.
5. Verwijderen/teruggeven: Verwerkingsverantwoordelijke kan de volledige Werkruimtedata op elk moment zelf exporteren in een gangbaar, machineleesbaar formaat (JSON of markdown) via de exportfunctie van de Werkruimte (artikel 28 lid 3 sub g AVG); Verwerker levert deze export op verzoek. Na het einde van de Licentie blijft de export gedurende dertig (30) dagen beschikbaar; daarna, of eerder op verzoek, verwijdert Verwerker de volledige Werkruimte-instantie inclusief database en de door Verwerker beheerde back-ups, en verstrekt op verzoek een verwijderbewijs (tijdstip, verwijderde instantie en database, en de bevestiging dat Verwerker geen kopie meer onder zich heeft; resterende kopieën bij de hostingprovider worden binnen diens gepubliceerde bewaartermijnen gewist). Voor de overige onderdelen van de Dienst verwijdert of retourneert Verwerker persoonsgegevens na afronding voor zover redelijkerwijs mogelijk, tenzij bewaring wettelijk verplicht is of noodzakelijk is voor geschilafhandeling.
6. Minimalisatie/filters: Indien Verwerker constateert dat zij in het kader van de Dienst toegang heeft tot (bijzondere) persoonsgegevens die niet noodzakelijk zijn, mag Verwerker (i) de betreffende werkzaamheden opschorten, (ii) Verwerkingsverantwoordelijke verzoeken deze te verwijderen of af te schermen, en (iii) redelijke maatregelen treffen om verdere verwerking te voorkomen.

   Voor de generieke lessen (artikel 7) redigeert Verwerker herleidbare gegevens vóór opslag met een deterministisch filter aan haar zijde, telt zij elke redactie mee bij de les, en vindt hergebruik pas plaats na handmatige review. Voor de Werkruimte bepaalt Verwerkingsverantwoordelijke zelf wat zijn Agents vastleggen en neemt Verwerker daarvan geen inhoudelijke kennis (artikel 2 lid 3); wordt gemeld of geconstateerd dat bijzondere persoonsgegevens zijn vastgelegd, dan verwijdert of schermt Verwerker deze op verzoek van Verwerkingsverantwoordelijke onverwijld af en bevestigt zij dat.

7. Generieke lessen (productverbetering)

1. Als onderdeel van de Licentie kunnen de Agents van Verwerkingsverantwoordelijke geanonimiseerde generieke lessen indienen bij Verwerker ter verbetering van het product, zoals beschreven in artikel 4.5 van de Productvoorwaarden Agentic Team en in het privacybeleid van Verwerker.
2. Voor deze generieke lessen treedt Verwerker ná anonimisering op als zelfstandig verwerkingsverantwoordelijke, op grond van gerechtvaardigd belang (productverbetering). Deze verwerking valt buiten de reikwijdte van deze DPA.
3. Daarbij gelden de drie beschermingslagen uit de Productvoorwaarden: anonimisering vóór verzending, automatische redactie van herleidbare gegevens aan de zijde van Verwerker (met logging), en handmatige review vóór enig hergebruik. Afgekeurde lessen worden binnen dertig (30) dagen verwijderd; de functie is op verzoek van Verwerkingsverantwoordelijke uitschakelbaar.

8. Audit en informatie

1. Verwerker stelt Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de nakoming van de verplichtingen uit artikel 28 AVG en deze DPA aan te tonen.
2. Verwerker maakt audits, waaronder inspecties, door Verwerkingsverantwoordelijke of een door hem gemachtigde auditor mogelijk en draagt daaraan bij (artikel 28 lid 3 sub h AVG).
3. Een audit vindt plaats onder de volgende voorwaarden: ten minste dertig (30) dagen van tevoren aangekondigd, tijdens kantooruren, ten hoogste eenmaal per kalenderjaar en daarnaast telkens na een datalek dat Verwerkingsverantwoordelijke raakt of wanneer een toezichthouder daartoe aanleiding geeft, zonder onnodige verstoring van de bedrijfsvoering, en met inachtneming van de vertrouwelijkheid en van de rechten van andere klanten van Verwerker. Een gemachtigde auditor is geen concurrent van Verwerker en tekent vooraf een geheimhoudingsverklaring.
4. Verwerker mag eerst beschikbare rapportages, certificeringen of verklaringen van derden verstrekken. Blijkt daaruit niet wat Verwerkingsverantwoordelijke redelijkerwijs nodig heeft, dan blijft het recht uit lid 2 onverkort bestaan.
5. Partijen dragen ieder de eigen kosten. De kosten van een herhaalde audit binnen hetzelfde kalenderjaar komen voor rekening van Verwerkingsverantwoordelijke, tenzij die audit een tekortkoming van Verwerker aan het licht brengt.

9. Aansprakelijkheid

Op aansprakelijkheid zijn de bepalingen uit de overeenkomst en de Algemene Voorwaarden van toepassing.

10. Slotbepalingen

1. Bij strijdigheid tussen deze DPA en andere contractdocumenten, prevaleert deze DPA voor zover het de verwerking van persoonsgegevens betreft.
2. Deze DPA kan elektronisch worden overeengekomen (bijv. via click-acceptatie).

Bijlage 1 — Verwerkingsdetails

Wijzigingsoverzicht

Zodat te zien is wat er is veranderd zonder twee versies naast elkaar te hoeven leggen. Eerdere versies blijven op een vaste URL beschikbaar.