Verwerkersovereenkomst

1. Partijen en doel

Deze verwerkersovereenkomst (in het Engels: data processing agreement) wordt gesloten tussen de klant die Mentiofy gebruikt (de verwerkingsverantwoordelijke, "jij") en Trueqrcode, handelend onder de naam Mentiofy, KvK 71264558, Nieuwe Gracht 3, 2011 NB Haarlem, Nederland (de verwerker, "wij").

Ze is van toepassing wanneer we persoonsgegevens namens jou verwerken bij het leveren van de dienst onder onze Algemene voorwaarden, en ze maakt deel uit van die voorwaarden. Ze voldoet aan de eisen van artikel 28 van de Algemene verordening gegevensbescherming (AVG). Je accepteert haar door de Algemene voorwaarden te accepteren. Heb je een ondertekend exemplaar nodig, mail dan naar info@mentiofy.com.

2. Definities

Begrippen zoals persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene, inbreuk in verband met persoonsgegevens en toezichthoudende autoriteit hebben de betekenis die de AVG eraan geeft. Klantpersoonsgegevens zijn persoonsgegevens die jij of je klanten in de dienst invoeren, of die wij namens jou verwerken bij het leveren van de dienst. Subverwerker is een derde partij die we inschakelen om klantpersoonsgegevens te verwerken.

3. Wat we verwerken en waarom

We verwerken klantpersoonsgegevens alleen om de dienst te leveren: prompts meten op AI-engines, de antwoorden analyseren, rapporteren, support en factuurgerelateerde communicatie over je account. Bijlage 1 beschrijft de verwerking in meer detail.

We verwerken klantpersoonsgegevens zolang de overeenkomst loopt, en daarna alleen voor zover nodig om ze terug te geven of te verwijderen, zie artikel 11.

4. Jouw instructies

We verwerken klantpersoonsgegevens alleen op basis van jouw gedocumenteerde instructies. De Algemene voorwaarden, deze overeenkomst en de manier waarop je de dienst instelt en gebruikt, vormen jouw instructies. Als we denken dat een instructie in strijd is met de AVG of andere wetgeving over gegevensbescherming, laten we je dat direct weten. Als de wet ons verplicht gegevens op een andere manier te verwerken, laten we je dat eerst weten, tenzij de wet dat verbiedt.

Je bent verantwoordelijk voor een geldige grondslag voor de verwerking, voor het informeren van betrokkenen en voor de gegevens die jij of je klanten in de dienst invoeren. Voer alsjeblieft geen bijzondere categorieën persoonsgegevens in de dienst in.

5. Geheimhouding

Iedereen bij Mentiofy, en elke subverwerker, die toegang heeft tot klantpersoonsgegevens, is contractueel of wettelijk gebonden aan geheimhouding en krijgt alleen toegang voor zover dat nodig is voor zijn werk.

6. Beveiliging

We nemen passende technische en organisatorische maatregelen om klantpersoonsgegevens te beschermen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten en de risico's. Bijlage 2 vermeldt deze maatregelen. We kunnen ze bijwerken, zolang het algehele beschermingsniveau niet daalt.

7. Subverwerkers

Je geeft ons algemene toestemming om subverwerkers in te schakelen. Bijlage 3 vermeldt de huidige subverwerkers. We leggen hun dezelfde verplichtingen op het gebied van gegevensbescherming op als deze overeenkomst aan ons oplegt, en we blijven tegenover jou verantwoordelijk voor hen.

We laten je minstens 30 dagen van tevoren weten als we een subverwerker toevoegen of vervangen, per e-mail of in de app. Je kunt binnen die termijn op redelijke gronden bezwaar maken. Kunnen we het bezwaar niet oplossen, dan mag je de overeenkomst beëindigen voor het betreffende deel van de dienst, zonder te betalen voor de resterende periode.

8. Doorgifte buiten de EER

Waar klantpersoonsgegevens worden doorgegeven buiten de Europese Economische Ruimte, zorgen we dat de doorgifte voldoet aan de AVG, bijvoorbeeld omdat de ontvanger gecertificeerd is onder het EU-VS Data Privacy Framework, omdat er voor het land een adequaatheidsbesluit is, of via de modelcontractbepalingen (Standard Contractual Clauses) van de Europese Commissie met waar nodig aanvullende maatregelen.

9. Hoe we je helpen

Rekening houdend met de aard van de verwerking helpen we je om:

• verzoeken te beantwoorden van betrokkenen die hun rechten uitoefenen, zoals inzage, correctie of verwijdering. Neemt een betrokkene rechtstreeks contact met ons op, dan sturen we het verzoek naar jou door en beantwoorden we het niet zelf, tenzij je ons daarom vraagt;
• te voldoen aan je verplichtingen op het gebied van beveiliging, gegevensbeschermingseffectbeoordelingen (DPIA's) en voorafgaande raadpleging van de toezichthoudende autoriteit;
• aan te tonen dat je aan de AVG voldoet.

Voor hulp die verder gaat dan wat de dienst normaal biedt, kunnen we redelijke kosten in rekening brengen. Dat laten we je van tevoren weten.

10. Inbreuken in verband met persoonsgegevens

Als we op de hoogte raken van een inbreuk in verband met persoonsgegevens die klantpersoonsgegevens raakt, laten we je dat zonder onredelijke vertraging weten, en in elk geval binnen 48 uur. We geven je de informatie die je nodig hebt om de inbreuk te beoordelen en, waar vereist, binnen de wettelijke termijn te melden bij de toezichthoudende autoriteit en aan betrokkenen. Dat omvat, voor zover bekend: wat er is gebeurd, welke gegevens en hoeveel betrokkenen het raakt, de waarschijnlijke gevolgen, en de maatregelen die we hebben genomen of voorstellen. We nemen maatregelen om de gevolgen te beperken en te voorkomen dat het opnieuw gebeurt.

Het melden van een inbreuk bij de toezichthoudende autoriteit of aan betrokkenen is jouw verantwoordelijkheid als verwerkingsverantwoordelijke, tenzij we iets anders afspreken.

11. Als de overeenkomst eindigt

Als de overeenkomst eindigt, kun je je gegevens nog 30 dagen exporteren. Daarna verwijderen we klantpersoonsgegevens, inclusief kopieën, binnen 90 dagen, tenzij de wet ons verplicht ze te bewaren. Back-ups worden overschreven in de normale back-upcyclus. Op verzoek bevestigen we schriftelijk dat de gegevens zijn verwijderd.

12. Audits

We geven je de informatie die je nodig hebt om aan te tonen dat we aan deze overeenkomst voldoen. Je mag een audit laten uitvoeren, maximaal één keer per jaar, door een onafhankelijke auditor die gebonden is aan geheimhouding, met een aankondiging van minstens 30 dagen en tijdens normale werktijden. Jij betaalt de kosten van de audit, tenzij daaruit blijkt dat we deze overeenkomst ernstig hebben geschonden. Als we een recent onafhankelijk rapport of een certificering hebben die de vragen dekt, mogen we je die in plaats daarvan geven.

13. Aansprakelijkheid

De aansprakelijkheidsbeperkingen in de Algemene voorwaarden gelden ook voor deze overeenkomst. Elke partij blijft aansprakelijk voor boetes die een toezichthoudende autoriteit haar oplegt, voor zover de AVG dat bepaalt.

14. Looptijd en wijzigingen

Deze overeenkomst loopt zolang we klantpersoonsgegevens voor jou verwerken. Verplichtingen die naar hun aard doorlopen, zoals geheimhouding en verwijdering, blijven gelden nadat ze is beëindigd. We kunnen deze overeenkomst wijzigen als de wet of onze dienst verandert, op dezelfde manier als beschreven voor de Algemene voorwaarden. Als deze overeenkomst en de Algemene voorwaarden op het gebied van gegevensbescherming met elkaar in strijd zijn, gaat deze overeenkomst voor.

15. Toepasselijk recht en geschillen

Nederlands recht is van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Noord-Holland, locatie Haarlem. Deze overeenkomst is opgesteld in het Engels, en de Engelse versie gaat altijd voor op een vertaling.

16. Bijlage 1: Beschrijving van de verwerking

17. Bijlage 2: Beveiligingsmaatregelen

• Alle verbindingen zijn versleuteld met TLS.
• Gegevens worden opgeslagen bij een hostingprovider die voldoet aan erkende beveiligingsstandaarden, en beschermd tegen aanvallen door Cloudflare.
• Toegang tot klantpersoonsgegevens is beperkt tot mensen die die nodig hebben, met tweestapsverificatie op beheerderstoegang.
• Wachtwoorden worden opgeslagen als gesalte hashes, nooit als platte tekst.
• Regelmatige back-ups, met een geteste herstelprocedure.
• Logging van toegang tot gevoelige gegevens en monitoring op ongebruikelijke activiteit.
• We sturen AI-providers alleen de gegevens die nodig zijn voor elke taak, onder zakelijke voorwaarden die de gegevens buiten modeltraining houden waar de provider dat aanbiedt.
• Een procedure voor het afhandelen en melden van inbreuken in verband met persoonsgegevens.
• Regelmatige evaluatie van deze maatregelen.

18. Bijlage 3: Subverwerkers