Verwerkersovereenkomst

Partijen en rangorde

Deze verwerkersovereenkomst hoort bij de overeenkomst tussen Propest AI, gevestigd aan de Deltazijde 2B-2, 1261 ZM Blaricum (KvK 98762397), en de klant die Nova gebruikt.

De klant is verwerkingsverantwoordelijke: die bepaalt welke persoonsgegevens met welk doel worden verwerkt. Propest AI is verwerker en verwerkt uitsluitend in opdracht van de klant. Bij strijdigheid gaat deze verwerkersovereenkomst voor op de algemene voorwaarden.

Onderwerp, aard, doel en duur

Onderwerp en doel: het leveren van Nova, een AI-platform waarmee de klant zijn eigen bedrijfsvoering uitvoert, waaronder CRM, agenda, boekhouding, e-mail-outreach, WhatsApp-communicatie, notulen en, bij Enterprise, een AI-telefonist.

Aard van de verwerking: opslaan, raadplegen, ordenen, wijzigen, doorzenden en verwijderen van gegevens, en het aanbieden van die gegevens aan AI-modellen om de opdrachten van de klant uit te voeren.

Duur: zolang de overeenkomst loopt, plus de termijn die nodig is voor teruggave of verwijdering zoals hieronder beschreven.

Persoonsgegevens en betrokkenen

Soorten persoonsgegevens: naam, e-mailadres, telefoonnummer, functie, adresgegevens, bedrijfsgegevens, factuur- en offertegegevens, communicatie-inhoud (chat, e-mail, WhatsApp, telefoongesprekken en transcripties), agenda-afspraken en overige gegevens die de klant zelf invoert of via een koppeling ontsluit.

Categorieën betrokkenen: medewerkers van de klant, klanten en prospects van de klant, leveranciers en overige relaties van de klant.

De klant voert geen bijzondere categorieën persoonsgegevens in de zin van artikel 9 AVG in Nova in, tenzij partijen dat vooraf schriftelijk afspreken.

Instructies

Wij verwerken de persoonsgegevens uitsluitend op basis van de gedocumenteerde instructies van de klant, waaronder het gebruik van de dienst zelf, tenzij een wettelijke verplichting ons tot iets anders verplicht. In dat geval melden wij dat vooraf, tenzij de wet dat verbiedt.

Wij gebruiken de gegevens van de klant niet voor eigen doeleinden en niet om AI-modellen te trainen.

Zijn wij van mening dat een instructie van de klant in strijd is met de AVG of andere privacywetgeving, dan melden wij dat onmiddellijk aan de klant en mogen wij de uitvoering van die instructie opschorten.

Vertrouwelijkheid en toegang door support

Onze medewerkers zijn tot geheimhouding verplicht en krijgen alleen toegang voor zover nodig voor hun werk.

Toegang tot het account van een klant vindt alleen plaats na toestemming van de klant. De klant ontvangt een verzoek met de reden en kan die toestemming op elk moment intrekken; de toegang vervalt automatisch na 24 uur. Uitsluitend bij een dringende storing kunnen wij toegang nemen zonder voorafgaande toestemming; de klant wordt daar direct over geïnformeerd, met vermelding van de reden. Elk verzoek en elke daadwerkelijke toegang wordt vastgelegd.

Beveiliging

Wij nemen passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. Daaronder vallen: versleutelde opslag van koppeltokens en wachtwoorden, versleuteld transport (TLS), rolgebaseerde toegang binnen de klantomgeving, scheiding van gegevens per klant, en logging van handelingen en van toegang door support.

Nova vraagt bevestiging voordat zij handelingen uitvoert die naar buiten treden, zoals het versturen van e-mail.

Subverwerkers

De klant geeft algemene toestemming voor het inschakelen van subverwerkers. De actuele lijst met subverwerkers, hun rol en hun vestigingsland staat in onze privacyverklaring op novapropest.nl/privacy.

Wij leggen aan subverwerkers dezelfde verplichtingen op als in deze overeenkomst. Bij een voorgenomen wijziging informeren wij de klant, die daar binnen veertien dagen gemotiveerd bezwaar tegen kan maken; komen partijen er niet uit, dan kan de klant de overeenkomst opzeggen.

Opslag en doorgifte buiten de EER

De applicatie en de database van Nova draaien binnen de Europese Unie (Amsterdam). Persoonsgegevens van de klant worden daar opgeslagen en verwerkt.

Voor de AI-functies schakelen wij subverwerkers in die in de Verenigde Staten zijn gevestigd. De inhoud die aan die functies wordt aangeboden, zoals vragen aan de assistent en transcripties van gesprekken, wordt daardoor buiten de EER verwerkt. Voor deze doorgifte baseren wij ons op de standaardcontractbepalingen van de Europese Commissie, aangevuld met aanvullende waarborgen van de betrokken partijen.

Rechten van betrokkenen

De klant beheert de gegevens in zijn eigen omgeving en kan die daar inzien, corrigeren, exporteren en verwijderen. Ontvangen wij rechtstreeks een verzoek van een betrokkene, dan verwijzen wij die door naar de klant en verlenen wij de klant redelijke medewerking bij de afhandeling.

Datalekken

Wij informeren de klant zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat wij ermee bekend zijn, over een inbreuk in verband met persoonsgegevens die de gegevens van de klant raakt. Wij verstrekken daarbij de informatie die de klant nodig heeft om aan zijn eigen meldplicht te voldoen, en verlenen redelijke medewerking bij onderzoek en herstel. De melding aan de Autoriteit Persoonsgegevens en aan betrokkenen doet de klant.

Bijstand bij beveiliging en beoordelingen

Rekening houdend met de aard van de verwerking en de informatie waarover wij beschikken, verlenen wij de klant redelijke bijstand bij het nakomen van zijn verplichtingen uit de artikelen 32 tot en met 36 AVG. Dat omvat het treffen van passende beveiligingsmaatregelen, het omgaan met datalekken, en het aanleveren van informatie voor een gegevensbeschermingseffectbeoordeling (DPIA) of een voorafgaande raadpleging van de toezichthouder.

Audits

Wij stellen op verzoek de informatie beschikbaar die nodig is om aan te tonen dat wij aan artikel 28 AVG voldoen. De klant mag ten hoogste eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, tot geheimhouding gehouden deskundige, mits ten minste dertig dagen van tevoren aangekondigd en tijdens kantooruren. De kosten draagt de klant, tenzij uit de audit een tekortkoming van ons blijkt.

Teruggave en verwijdering

Bij het einde van de overeenkomst verwijderen wij de persoonsgegevens van de klant, of geven wij ze terug in een gangbaar bestandsformaat als de klant daar binnen dertig dagen om vraagt. Daarna verwijderen wij de gegevens, met uitzondering van gegevens die wij wettelijk moeten bewaren, zoals facturen.

Aansprakelijkheid en slotbepalingen

Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Nederland. De aansprakelijkheidsregeling uit de algemene voorwaarden is van toepassing, voor zover de AVG dat toelaat.

Wil je deze overeenkomst ondertekend ontvangen, mail dan info@propest.ai.