Verwerkersovereenkomst

Deze Verwerkersovereenkomst (hierna: "VWO") is van toepassing wanneer ConneqtAI in het kader van de uitvoering van een overeenkomst persoonsgegevens verwerkt namens de Opdrachtgever (de verwerkingsverantwoordelijke).

Deze VWO maakt integraal onderdeel uit van de Overeenkomst tussen ConneqtAI en de Opdrachtgever. Bij tegenstrijdigheid prevaleert deze VWO boven de Algemene Voorwaarden voor zover het de verwerking van persoonsgegevens betreft.

Partijen zijn gehouden te handelen conform de Algemene Verordening Gegevensbescherming (EU 2016/679, hierna: "AVG") en de Uitvoeringswet AVG.

In deze VWO wordt verstaan onder:

Verwerkingsverantwoordelijke: de Opdrachtgever die het doel en de middelen van de verwerking van persoonsgegevens vaststelt.

Verwerker: ConneqtAI, die persoonsgegevens verwerkt ten behoeve van de verwerkingsverantwoordelijke.

Betrokkene: de natuurlijke persoon wiens persoonsgegevens worden verwerkt.

Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.

Datalek: een inbreuk in verband met persoonsgegevens als bedoeld in artikel 4 sub 12 AVG.

Sub-verwerker: een derde partij die door ConneqtAI wordt ingeschakeld bij de verwerking van persoonsgegevens.

2.1 ConneqtAI verwerkt persoonsgegevens uitsluitend op schriftelijke instructie van de Opdrachtgever, tenzij een wettelijke verplichting tot verwerking bestaat.

2.2 De verwerking heeft betrekking op de categorieën persoonsgegevens en betrokkenen zoals nader omschreven in de Overeenkomst of in een bij deze VWO behorende bijlage. Bij gebreke van een expliciete omschrijving omvat de verwerking uitsluitend de persoonsgegevens die strikt noodzakelijk zijn voor de uitvoering van de Overeenkomst.

2.3 ConneqtAI verwerkt geen persoonsgegevens buiten de EER, tenzij met schriftelijke toestemming van de Opdrachtgever en met passende waarborgen (adequaatheidsbesluit of SCCs).

2.4 ConneqtAI informeert de Opdrachtgever onverwijld indien naar het oordeel van ConneqtAI een instructie in strijd is met de AVG of andere toepasselijke privacywetgeving.

3.1 ConneqtAI verplicht de bij de verwerking betrokken medewerkers tot geheimhouding van de persoonsgegevens, tenzij een wettelijke verplichting tot mededeling bestaat.

3.2 ConneqtAI staat er voor in dat uitsluitend bevoegde medewerkers toegang hebben tot de persoonsgegevens, en uitsluitend voor zover noodzakelijk voor de uitvoering van de Overeenkomst.

4.1 ConneqtAI treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies, diefstal of onrechtmatige verwerking, rekening houdend met de stand van de techniek, de uitvoeringskosten en de risico's.

4.2 Maatregelen omvatten onder meer: versleuteling van gegevens in transit (TLS 1.2+), toegangsbeveiliging via unieke accounts en minimale rechten, gebruik van beveiligde en gecertificeerde hostingomgevingen.

4.3 ConneqtAI is niet aansprakelijk voor beveiligingsincidenten bij sub-verwerkers, mits ConneqtAI passende contractuele waarborgen heeft bedongen bij die sub-verwerkers.

5.1 De Opdrachtgever verleent ConneqtAI een generieke schriftelijke toestemming voor het inschakelen van sub-verwerkers. ConneqtAI informeert de Opdrachtgever over (wijzigingen in) de lijst van sub-verwerkers.

5.2 Actuele sub-verwerkers zijn onder meer:

• Vercel Inc. (hosting, VS)

• Google LLC (Analytics, Workspace, VS)

• OpenAI, LLC (AI-verwerking, VS)

• Make.com / Celonis (automatisering, EU-servers)

• Mollie B.V. (betalingen, NL)

5.3 ConneqtAI beddingt bij sub-verwerkers dezelfde verplichtingen ten aanzien van gegevensbescherming als die in deze VWO zijn opgenomen.

5.4 De Opdrachtgever kan binnen 14 dagen na kennisgeving van een nieuwe sub-verwerker schriftelijk bezwaar maken. ConneqtAI spant zich in een passende oplossing te bieden, maar is niet verplicht de sub-verwerker te vervangen indien dit de uitvoering van de dienst onmogelijk maakt.

6.1 ConneqtAI verleent de Opdrachtgever, voor zover technisch mogelijk, medewerking bij het uitoefenen van rechten van betrokkenen (inzage, rectificatie, wissing, beperking, bezwaar, portabiliteit).

6.2 ConneqtAI stuurt verzoeken van betrokkenen die rechtstreeks bij ConneqtAI binnenkomen onverwijld door aan de Opdrachtgever.

6.3 ConneqtAI is gerechtigd de redelijke kosten voor het verlenen van medewerking bij verzoeken van betrokkenen in rekening te brengen bij de Opdrachtgever, indien de medewerking substantiële extra inspanning vereist.

7.1 ConneqtAI meldt een datalek dat betrekking heeft op persoonsgegevens van de Opdrachtgever zo snel mogelijk, doch uiterlijk binnen 48 uur na ontdekking, aan de Opdrachtgever.

7.2 De melding bevat ten minste: de aard van het datalek, de categorieën en het (geschatte) aantal betrokkenen, de te verwachten gevolgen en de maatregelen die ConneqtAI neemt.

7.3 De Opdrachtgever is zelf verantwoordelijk voor het doen van de wettelijk vereiste melding bij de Autoriteit Persoonsgegevens en, indien van toepassing, bij de betrokkenen.

7.4 ConneqtAI is niet aansprakelijk voor schade als gevolg van een datalek dat is veroorzaakt door onjuiste instructies van de Opdrachtgever, door de Opdrachtgever zelf aangebrachte wijzigingen in de systemen, of door datalekken bij sub-verwerkers buiten de controle van ConneqtAI.

8.1 ConneqtAI stelt de Opdrachtgever in staat de nakoming van de verplichtingen uit deze VWO te controleren, dan wel laat audits uitvoeren door een door de Opdrachtgever gemandateerde en door ConneqtAI goedgekeurde auditor.

8.2 Een audit vindt uitsluitend plaats na minimaal 30 dagen schriftelijke kennisgeving, tijdens kantooruren, op kosten van de Opdrachtgever en op zodanige wijze dat de reguliere bedrijfsvoering van ConneqtAI niet onevenredig wordt belemmerd.

8.3 ConneqtAI is niet verplicht informatie te verstrekken over andere klanten, interne bedrijfsprocessen die geen betrekking hebben op de verwerking, of informatie die valt onder een geheimhoudingsverplichting jegens derden.

9.1 De aansprakelijkheid van ConneqtAI als verwerker voor schade die voortvloeit uit schending van de AVG of deze VWO is beperkt tot het bedrag dat ConneqtAI heeft gefactureerd in de drie maanden voorafgaand aan de schadeveroorzakende gebeurtenis, met een absoluut maximum van € 5.000 per schadegeval.

9.2 ConneqtAI is niet aansprakelijk voor indirecte schade, gevolgschade, gederfde winst, reputatieschade of boetes die de Opdrachtgever worden opgelegd door toezichthouders.

9.3 De Opdrachtgever vrijwaart ConneqtAI voor aanspraken van betrokkenen en toezichthouders die voortvloeien uit verwerkingen die de Opdrachtgever als verwerkingsverantwoordelijke heeft geïnitieerd of toegestaan.

10.1 Na beëindiging van de Overeenkomst verwijdert ConneqtAI alle persoonsgegevens van de Opdrachtgever, tenzij een wettelijke bewaarverplichting anders vereist.

10.2 Op verzoek van de Opdrachtgever verstrekt ConneqtAI een exportbestand van de verwerkte persoonsgegevens in een gangbaar formaat, voor zover technisch mogelijk. De kosten hiervoor worden in rekening gebracht bij de Opdrachtgever.

10.3 Verwijdering vindt in beginsel plaats binnen 30 dagen na beëindiging van de Overeenkomst.

11.1 Deze VWO treedt in werking op het moment dat de Opdrachtgever de Overeenkomst aangaat met ConneqtAI en loopt parallel aan de Overeenkomst.

11.2 Bij beëindiging van de Overeenkomst eindigt ook deze VWO, onverminderd bepalingen die naar hun aard na beëindiging voortduren (zoals geheimhouding en aansprakelijkheidsbepalingen).

12.1 Op deze VWO is uitsluitend Nederlands recht van toepassing.

12.2 Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement waar ConneqtAI is gevestigd.