Verwerkersovereenkomst

1. Onderwerp en rollen

1.1 Deze verwerkersovereenkomst hoort bij de overeenkomst tussen The Human Growth Network (de aanbieder) en de klant over het gebruik van OrFlo, en bij de algemene voorwaarden van OrFlo. Begrippen met een hoofdletter of uit de algemene voorwaarden hebben dezelfde betekenis als daar; begrippen uit de Algemene verordening gegevensbescherming (AVG) hebben de betekenis uit de AVG.

1.2 Voor de persoonsgegevens die de klant en zijn gebruikers in OrFlo invoeren of via OrFlo laten verwerken, is de klant de verwerkingsverantwoordelijke en de aanbieder de verwerker.

1.3 Voor persoonsgegevens die de aanbieder voor zichzelf verwerkt, zoals de gegevens van het account, de bestelling en de facturen van de klant, is de aanbieder zelf verwerkingsverantwoordelijke. Daarvoor geldt de privacyverklaring, niet deze overeenkomst.

2. Doel, aard en duur van de verwerking

2.1 De aanbieder verwerkt persoonsgegevens alleen om OrFlo aan de klant te leveren: het beheren van aanvragen, offertes, orders, planning, montage, nazorg, facturen en betalingen, het versturen van berichten aan eindklanten namens de klant, support, beveiliging, back-ups en, bij het pakket Compleet AI, de AI-schrijfhulp.

2.2 De verwerking bestaat uit het opslaan, ordenen, tonen, wijzigen, versturen, back-uppen en verwijderen van gegevens, zoals de klant dat via de functies van OrFlo bepaalt.

2.3 Deze overeenkomst geldt zolang de aanbieder persoonsgegevens voor de klant verwerkt: tijdens de overeenkomst en daarna tot de gegevens zijn verwijderd volgens artikel 12.

3. Soorten gegevens en betrokkenen

3.1 Het gaat om persoonsgegevens van:

1. eindklanten van de klant (particulieren en contactpersonen van bedrijven);
2. contactpersonen bij leveranciers en andere relaties van de klant;
3. gebruikers van OrFlo bij de klant, zoals medewerkers en monteurs.

3.2 De soorten gegevens zijn:

1. naam, adres, e-mailadres en telefoonnummer;
2. gegevens over aanvragen, offertes, orders, afspraken, leveringen en incidenten;
3. factuur- en betaalgegevens, zoals bedragen, betaalstatus en betaalkenmerken (geen volledige kaartgegevens);
4. foto’s, documenten en notities bij een order, zoals inmeet- en montagefoto’s;
5. gegevens van gebruikers: naam, e-mailadres, rol, planning en technische gegevens zoals inlog- en logregels.

3.3 OrFlo is niet bedoeld voor bijzondere persoonsgegevens (zoals gezondheidsgegevens) of het burgerservicenummer. De klant voert die niet in, tenzij dat wettelijk is toegestaan en strikt nodig is.

4. Verwerking volgens instructies

4.1 De aanbieder verwerkt persoonsgegevens alleen op basis van schriftelijke instructies van de klant. De overeenkomst, deze verwerkersovereenkomst en de manier waarop de klant OrFlo instelt en gebruikt, gelden als die instructies.

4.2 Is de aanbieder wettelijk verplicht gegevens anders te verwerken, dan meldt hij dat vooraf aan de klant, tenzij de wet dat verbiedt. Vindt de aanbieder dat een instructie in strijd is met de AVG, dan meldt hij dat direct aan de klant.

4.3 De aanbieder gebruikt de persoonsgegevens niet voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet om AI-modellen te trainen.

5. Geheimhouding

5.1 Alleen medewerkers en ingeschakelde partijen die de gegevens nodig hebben voor hun taak, krijgen toegang. Zij zijn gebonden aan geheimhouding.

5.2 Voor support kijkt de aanbieder alleen in de omgeving van de klant als dat nodig is om een melding van de klant op te lossen.

6. Beveiliging

6.1 De aanbieder neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beschermen tegen verlies en onrechtmatige verwerking (artikel 32 AVG). Daartoe horen onder meer:

1. versleutelde verbindingen (HTTPS) en hosting in datacenters binnen de Europese Unie;
2. een logische scheiding van de gegevens per klant, zodat een klant alleen bij zijn eigen gegevens kan;
3. tweestapsverificatie, permissiegroepen per rol en een audit trail van wijzigingen;
4. versleutelde opslag van geheimen zoals API-sleutels (AES-256);
5. regelmatige back-ups en bewaking van inlogpogingen en verdachte activiteit.

6.2 De aanbieder mag de maatregelen aanpassen aan nieuwe risico’s en technieken, zolang het beveiligingsniveau niet lager wordt.

6.3 De klant is zelf verantwoordelijk voor het veilig gebruik van OrFlo binnen zijn organisatie, zoals het beheer van gebruikers en rechten en het geheimhouden van inloggegevens.

7. Subverwerkers

7.1 De klant geeft de aanbieder algemene toestemming om subverwerkers in te schakelen. Op dit moment zijn dat:

1. TransIP B.V., Leiden (Nederland): hosting van OrFlo, de database en de back-ups, binnen de Europese Unie.
2. Anthropic, PBC (Verenigde Staten): alleen bij het pakket Compleet AI, als een gebruiker de AI-schrijfhulp gebruikt. OrFlo stuurt dan alleen de tekst mee die de gebruiker laat herschrijven, zonder gegevens uit het klantdossier zoals namen, adressen of contactgegevens. De aanbieder van de AI-dienst gebruikt deze tekst niet om modellen te trainen.

7.2 De aanbieder legt subverwerkers ten minste dezelfde verplichtingen op als in deze overeenkomst staan en blijft tegenover de klant verantwoordelijk voor hun nakoming.

7.3 Een nieuwe of andere subverwerker meldt de aanbieder ten minste dertig dagen vooraf per e-mail. De klant kan binnen die termijn met redenen bezwaar maken. Vinden partijen samen geen oplossing, dan mag de klant de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat.

7.4 Diensten die de klant zelf aan OrFlo koppelt, zoals Mollie, Stripe, Google Agenda of de eigen mailserver van de klant, zijn geen subverwerkers van de aanbieder. Daarvoor heeft de klant een eigen overeenkomst met die partij; OrFlo geeft de gegevens in opdracht van de klant door.

8. Doorgifte buiten de Europese Economische Ruimte

8.1 De aanbieder verwerkt persoonsgegevens in de Europese Economische Ruimte. Doorgifte daarbuiten gebeurt alleen als daarvoor een grondslag uit hoofdstuk V van de AVG bestaat, zoals een adequaatheidsbesluit (bijvoorbeeld het EU-US Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie.

9. Rechten van betrokkenen

9.1 Met de functies van OrFlo kan de klant gegevens inzien, corrigeren, exporteren en verwijderen, zodat hij verzoeken van betrokkenen zelf kan afhandelen.

9.2 Krijgt de aanbieder zo’n verzoek rechtstreeks, dan stuurt hij het zonder onnodige vertraging door naar de klant en handelt hij het niet zelf af. Waar nodig helpt de aanbieder de klant redelijkerwijs bij het afhandelen; voor werk buiten de standaardfuncties mag hij redelijke kosten rekenen.

10. Inbreuken in verband met persoonsgegevens (datalekken)

10.1 Ontdekt de aanbieder een inbreuk in verband met persoonsgegevens die de klant betreft, dan meldt hij dat de klant zonder onnodige vertraging, en in ieder geval binnen 48 uur na ontdekking.

10.2 De melding bevat, voor zover bekend: wat er is gebeurd, welke gegevens en betrokkenen het waarschijnlijk betreft, de waarschijnlijke gevolgen en de maatregelen die de aanbieder heeft genomen of voorstelt. De aanbieder vult de melding aan zodra hij meer weet.

10.3 De klant beslist of de inbreuk gemeld wordt bij de Autoriteit Persoonsgegevens en aan betrokkenen, en doet die meldingen zelf. De aanbieder helpt daarbij waar nodig.

11. Bijstand en controle

11.1 De aanbieder geeft de klant op verzoek de informatie die nodig is om aan te tonen dat deze overeenkomst wordt nagekomen, en helpt redelijkerwijs bij een gegevensbeschermingseffectbeoordeling (DPIA) of een voorafgaande raadpleging.

11.2 De klant mag de naleving hooguit eenmaal per jaar laten controleren door een onafhankelijke deskundige met geheimhoudingsplicht, na ten minste dertig dagen aankondiging en zonder de dienstverlening aan andere klanten te verstoren. De kosten zijn voor de klant, tenzij de controle laat zien dat de aanbieder deze overeenkomst op wezenlijke punten niet nakomt.

12. Einde: teruggeven en verwijderen

12.1 Tijdens de overeenkomst kan de klant zijn gegevens exporteren in een gangbaar, machineleesbaar formaat (zie artikel 17 van de algemene voorwaarden).

12.2 Na het einde van de overeenkomst bewaart de aanbieder de gegevens nog drie maanden, zodat de klant een export kan aanvragen. Daarna verwijdert de aanbieder de persoonsgegevens definitief, tenzij de wet bewaren verplicht. Gegevens in back-ups worden verwijderd volgens de normale bewaarcyclus van die back-ups.

13. Aansprakelijkheid

13.1 Voor de aansprakelijkheid van partijen onder deze overeenkomst geldt artikel 20 van de algemene voorwaarden, voor zover de AVG of ander dwingend recht niet anders bepaalt.

14. Rangorde, wijzigingen en toepasselijk recht

14.1 Voor zover het gaat om persoonsgegevens gaat deze overeenkomst voor op de algemene voorwaarden.

14.2 De aanbieder mag deze overeenkomst wijzigen, bijvoorbeeld bij nieuwe wetgeving of een nieuwe subverwerker. Wezenlijke wijzigingen meldt hij ten minste dertig dagen vooraf, zoals in artikel 23 van de algemene voorwaarden staat.

14.3 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden behandeld zoals in artikel 26 van de algemene voorwaarden staat.

15. Contact

15.1 Vragen over deze overeenkomst, meldingen en verzoeken: The Human Growth Network (OrFlo), Hoevestein 3, 4903 SE Oosterhout, Nederland. E-mail: [email protected]. Telefoon: +31 85 505 5523.