Verwerkersovereenkomst

Begrippen met een hoofdletter die niet in deze Verwerkersovereenkomst zijn gedefinieerd, hebben de betekenis uit artikel 1 van de Algemene Voorwaarden ("AV"). Deze Verwerkersovereenkomst ("VO") maakt deel uit van de Overeenkomst en geldt voor zover &Ampersand bij een Opdracht persoonsgegevens verwerkt namens Klant.

1. Rollen en reikwijdte

1.1 Klant is verwerkingsverantwoordelijke, tenzij 1.2 geldt. &Ampersand is verwerker en verwerkt persoonsgegevens namens Klant uitsluitend voor de uitvoering van de Opdracht.

1.2 Verwerkt Klant de persoonsgegevens zelf als verwerker voor een ander, dan is &Ampersand subverwerker. Klant staat ervoor in dat die verwerkingsverantwoordelijke vóór de start aantoonbaar heeft ingestemd met de inzet van &Ampersand en de subverwerkers uit artikel 3, met kopieën buiten zijn eigen omgeving en verwerking buiten de EER volgens artikel 3 en 4, en met de instructies die Klant geeft. Bestaat Klant niet meer, dan volgt &Ampersand die verwerkingsverantwoordelijke voor teruggave en verwijdering.

1.3 &Ampersand verwerkt de persoonsgegevens die Klant voor de Opdracht beschikbaar stelt of toegankelijk maakt, alleen voor het doel van de Opdracht en zolang die duurt. Het gaat om de persoonsgegevens in de documenten en systemen die de Opdracht omvat, van medewerkers, klanten, relaties en andere betrokkenen van Klant, onder wie gezinsleden en minderjarigen. Daaronder kunnen vallen: contactgegevens, kopieën van identiteitsbewijzen, akten van de burgerlijke stand, financiële, fiscale, loon- en pensioengegevens, bij wet voorgeschreven identificatienummers zoals het BSN, bijzondere persoonsgegevens zoals gegevens over gezondheid, en strafrechtelijke persoonsgegevens. Waar een Opdracht daarom vraagt, beschrijven partijen de verwerking nader in de offerte of opdrachtbevestiging.

1.4 Klant staat ervoor in dat de verwerkingsverantwoordelijke voor de verwerking van alle persoonsgegevens in de Opdracht een grondslag heeft, voor bijzondere persoonsgegevens ook een uitzondering volgens artikel 9 AVG en de UAVG, voor strafrechtelijke persoonsgegevens een basis volgens artikel 10 AVG en de UAVG, en voor een bij wet voorgeschreven identificatienummer zoals het BSN een wettelijke basis volgens artikel 46 UAVG.

1.5 Gegevens van contactpersonen van Klant, afspraken en facturatie verwerkt &Ampersand als eigen verwerkingsverantwoordelijke. Daarvoor geldt de Privacyverklaring.

1.6 &Ampersand gebruikt persoonsgegevens uit een Opdracht alleen om haar werk voor Klant te testen, dat werk te verbeteren of AI-modellen te trainen als Klant daar vooraf uitdrukkelijk mee instemt. Voor dat verbeteren en trainen maakt zij identificatienummers zoals het BSN, bijzondere persoonsgegevens en strafrechtelijke persoonsgegevens eerst onherkenbaar.

2. Instructies en geheimhouding

2.1 &Ampersand verwerkt persoonsgegevens uitsluitend op Schriftelijke instructie van Klant, ook bij doorgifte buiten de EER. De Overeenkomst geldt als die instructie.

2.2 Verplicht een wet van de EU of van een EU-lidstaat &Ampersand tot een andere verwerking, dan meldt zij dat vooraf aan Klant, tenzij die wet de melding verbiedt.

2.3 Is een instructie volgens &Ampersand in strijd met de AVG of andere privacywetgeving, dan meldt zij dat onmiddellijk aan Klant.

2.4 &Ampersand geeft alleen toegang tot persoonsgegevens aan medewerkers en ingeschakelde personen voor wie dat nodig is voor de Opdracht, en zorgt dat zij aan geheimhouding gebonden zijn.

3. Subverwerkers

3.1 Klant geeft algemene toestemming voor de inzet van de subverwerkers hieronder, en van de subverwerkers die zij volgens hun eigen verwerkersovereenkomst inzetten. Die laatste lijsten stuurt &Ampersand op verzoek toe. Onder A staan de subverwerkers die kopieën van documenten en systemen van Klant opslaan of verwerken. Die kopieën bewaart &Ampersand in de EER. Onder B staan de subverwerkers die &Ampersand gebruikt voor netwerk, communicatie en haar eigen werkorganisatie.

A. Opslag en verwerking van documenten en gegevens van Klant

B. Netwerk, communicatie en werkorganisatie van &Ampersand

3.2 &Ampersand stelt Klant ten minste 30 dagen voordat zij een nieuwe of vervangende subverwerker inzet Schriftelijk in kennis. Klant kan binnen 30 dagen na die kennisgeving op redelijke gronden bezwaar maken, ook namens de verwerkingsverantwoordelijke uit artikel 1.2. Komen partijen er niet uit, dan kan Klant de Overeenkomst voor het betrokken deel met onmiddellijke ingang opzeggen.

3.3 &Ampersand legt elke subverwerker Schriftelijk in wezen dezelfde verplichtingen inzake gegevensbescherming op als deze VO, en blijft tegenover Klant volledig aansprakelijk voor de nakoming daarvan.

3.4 &Ampersand zet alleen AI-diensten in die gegevens van Klant niet gebruiken om hun eigen modellen te trainen. Waar technisch mogelijk dwingt &Ampersand Zero Data Retention (ZDR) af bij subverwerkers, zodat persoonsgegevens uitsluitend in transit worden verwerkt en niet door de subverwerker worden opgeslagen.

3.5 Is voor een Opdracht een subverwerker nodig die niet in artikel 3.1 staat, dan vermeldt de offerte of opdrachtbevestiging die. Aanvaarding daarvan geldt als specifieke toestemming van Klant.

3.6 Maakt &Ampersand bij de uitvoering van een Opdracht gebruik van een dienst die Klant of de verwerkingsverantwoordelijke uit artikel 1.2 zelf afneemt, dan is de aanbieder daarvan geen subverwerker van &Ampersand en staat &Ampersand niet in voor de nakoming door die aanbieder.

4. Doorgifte buiten de EER

4.1 Doorgifte buiten de EER vindt alleen plaats aan de subverwerkers uit artikel 3, met passende waarborgen volgens hoofdstuk V AVG.

4.2 Een subverwerker onder Amerikaanse jurisdictie kan op grond van de Amerikaanse Cloud Act verplicht worden persoonsgegevens aan Amerikaanse autoriteiten te verstrekken, ook als die gegevens in de EU staan. &Ampersand informeert Klant over zo'n verzoek zodra zij ervan weet en voor zover dat wettelijk mag.

5. Beveiliging

5.1 &Ampersand treft passende technische en organisatorische maatregelen volgens artikel 32 AVG, waaronder versleuteling, sterke authenticatie zoals passkeys en single sign-on, en toegangsrechten die niet verder gaan dan nodig.

5.2 &Ampersand mag deze maatregelen vervangen door gelijkwaardige of betere. De offerte of opdrachtbevestiging kan maatregelen toevoegen.

5.3 Is de toegang die &Ampersand krijgt ruimer dan de Opdracht vraagt, dan gebruikt zij die alleen voor de Opdracht. Na afloop geeft zij sleutels en accounts terug of laat zij ze intrekken.

6. Datalekken

6.1 &Ampersand meldt een inbreuk op persoonsgegevens zonder onredelijke vertraging aan Klant, uiterlijk binnen 48 uur nadat zij de inbreuk heeft ontdekt.

6.2 De melding bevat, voor zover bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een contactpersoon. Wat nog niet bekend is, volgt zodra het bekend is.

6.3 De melding aan de toezichthouder en aan betrokkenen doet Klant of de verwerkingsverantwoordelijke. &Ampersand helpt daarbij en doet zelf geen melding, tenzij de wet haar daartoe verplicht.

7. Bijstand

7.1 Richt iemand wiens persoonsgegevens &Ampersand namens Klant verwerkt een verzoek rechtstreeks aan &Ampersand, bijvoorbeeld om inzage of verwijdering, dan stuurt zij dat onverwijld door aan Klant. Zij voert het verzoek uit zodra Klant daartoe instructie geeft.

7.2 &Ampersand helpt Klant, rekening houdend met de aard van de verwerking en de informatie waarover zij beschikt, bij het beantwoorden van verzoeken van betrokkenen en bij de nakoming van artikel 32 tot en met 36 AVG, waaronder een gegevensbeschermingseffectbeoordeling (DPIA).

7.3 Bijstand die buiten de Opdracht valt, brengt &Ampersand na overleg in rekening tegen het uurtarief uit artikel 5.2 van de AV.

8. Informatie en audit

8.1 &Ampersand geeft Klant alle informatie die nodig is om aan te tonen dat zij deze VO naleeft.

8.2 Klant mag eenmaal per jaar, en daarnaast na een datalek of op verzoek van een toezichthouder, een audit laten uitvoeren door een onafhankelijke deskundige die aan geheimhouding gebonden is. Klant kondigt de audit ten minste 2 weken vooraf aan. De audit verloopt zonder onnodige verstoring van de bedrijfsvoering. In het geval van artikel 1.2 oefent de verwerkingsverantwoordelijke dit recht uit via Klant.

8.3 De kosten van een audit, waaronder de redelijke kosten van &Ampersand, zijn voor rekening van Klant.

9. Duur, teruggave en verwijdering

9.1 Deze VO geldt zolang &Ampersand persoonsgegevens verwerkt namens Klant.

9.2 Na het einde van een Opdracht verwijdert &Ampersand de persoonsgegevens met alle kopieën, of geeft zij ze terug als Klant daarom vraagt, en bevestigt zij dat op verzoek Schriftelijk. Bij beheer of hosting kan Klant zijn gegevens nog 30 dagen ophalen na de overgangsperiode uit artikel 8.5 van de AV, en verwijdert zij ze daarna. Back-ups en eerdere versies vervallen volgens hun gewone cyclus; tot dan blijven ze even goed beveiligd en gebruikt &Ampersand ze alleen om gegevens na verlies of een storing terug te zetten. Wat &Ampersand als eigen verwerkingsverantwoordelijke bewaart (artikel 1.5), zoals correspondentie met Klant, valt onder de Privacyverklaring; bijlagen met persoonsgegevens die Klant voor de Opdracht meestuurt, vallen daar niet onder. Gegevens in de omgeving van Klant laat zij staan.

9.3 Verplicht een wet van de EU of van een EU-lidstaat &Ampersand tot langere bewaring, dan gebruikt zij die gegevens voor niets anders.

10. Aansprakelijkheid

10.1 Voor deze VO geldt de aansprakelijkheidsregeling uit artikel 12 van de AV.

11. Slotbepalingen

11.1 Contact: [email protected]