Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij de overeenkomst tussen de klant en No Name B.V. (handelend onder de naam OpenZero, KvK 77121481, Dierenriem 42A, 7071 TH Ulft) voor de dienst OpenZero. De klant is verwerkingsverantwoordelijke; wij zijn verwerker. Woorden als persoonsgegevens, verwerken en inbreuk in verband met persoonsgegevens betekenen hetzelfde als in de Algemene verordening gegevensbescherming (AVG).

1. Wat we verwerken

2. Alleen in opdracht

1. We verwerken de persoonsgegevens alleen in opdracht van de klant: voor de dienst en volgens de schriftelijke instructies van de klant. Deze overeenkomst en de algemene voorwaarden zijn die instructies. Een andere verwerking doen we alleen als de wet ons verplicht. Dan laten we dat de klant eerst weten, tenzij de wet dat verbiedt.
2. Vinden we dat een instructie in strijd is met de AVG, dan zeggen we dat meteen.
3. We gebruiken de gegevens niet voor onszelf. We gebruiken ze ook niet om software of AI-modellen te trainen.

3. Geheimhouding

Iedereen die bij ons met de gegevens werkt, heeft een geheimhoudingsplicht. Alleen medewerkers die de gegevens voor de dienst nodig hebben, krijgen er toegang toe.

4. Beveiliging

We nemen passende technische en organisatorische maatregelen. Daaronder vallen:

• versleutelde verbindingen (TLS);
• versleutelde opslag van toegangsgegevens voor pakketten en banken;
• toegang voor onze boekhouders alleen met wachtwoord en tweestapsverificatie, en alleen tot de klanten met wie ze werken;
• een logboek van wie wat deed;
• dagelijkse back-ups;
• hosting in de EU;
• het bijwerken van software.

We houden de maatregelen bij en passen ze aan als dat nodig is.

5. Subverwerkers

1. De klant geeft toestemming voor de subverwerkers in de tabel hieronder.
2. Willen we een subverwerker toevoegen of vervangen, dan laten we dat minstens 30 dagen van tevoren per e-mail weten. Heeft de klant een gegronde reden om bezwaar te maken, dan zoeken we samen een oplossing. Lukt dat niet, dan mag de klant de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat.
3. We leggen elke subverwerker minstens dezelfde verplichtingen op als in deze overeenkomst staan. We blijven tegenover de klant verantwoordelijk voor wat zij doen.

Het pakket van de klant, zijn bank en zijn betaalproviders zijn geen subverwerkers. De klant heeft daar zelf een overeenkomst mee, en we werken daar in zijn opdracht.

6. Doorgifte buiten de EU

We geven persoonsgegevens alleen door naar een land buiten de Europese Economische Ruimte als de AVG dat toestaat, bijvoorbeeld met standaardcontractbepalingen van de Europese Commissie. Dat geldt nu alleen voor Anthropic.

7. Hulp bij verzoeken en verplichtingen

1. Krijgen we een verzoek van iemand die zijn rechten uitoefent, zoals inzage of verwijdering, dan sturen we dat door naar de klant. We helpen de klant om het te beantwoorden.
2. We helpen de klant ook met:
   • een gegevensbeschermingseffectbeoordeling;
   • een voorafgaande raadpleging van de Autoriteit Persoonsgegevens;
   • het beveiligen van de gegevens.
3. Kost die hulp meer dan een paar uur, dan mogen we die tijd tegen ons gebruikelijke tarief in rekening brengen, maar alleen als we dat vooraf hebben laten weten.

8. Datalekken

1. Ontdekken we een inbreuk in verband met persoonsgegevens, dan laten we dat de klant zonder onredelijke vertraging weten, en in elk geval binnen 36 uur nadat we het ontdekten. We geven daarbij:
   • wat er is gebeurd;
   • welke gegevens en hoeveel personen het betreft;
   • wat de waarschijnlijke gevolgen zijn;
   • wat we hebben gedaan en nog doen.
2. De klant beslist of hij de inbreuk meldt bij de Autoriteit Persoonsgegevens en bij de betrokkenen. Dat doen wij niet zelf, tenzij de klant ons daarom vraagt.
3. We houden een overzicht bij van alle inbreuken.

9. Na het einde

Na het einde van de overeenkomst kan de klant zijn documenten nog 30 dagen downloaden uit het portaal. Daarna verwijderen we de persoonsgegevens binnen 60 dagen, ook uit back-ups zodra die verlopen. Gegevens die we volgens de wet moeten bewaren, verwijderen we zodra dat mag. Op verzoek bevestigen we de verwijdering schriftelijk.

10. Controle

1. We geven de klant alle informatie die nodig is om te laten zien dat we ons aan deze overeenkomst houden.
2. De klant mag dat één keer per jaar laten controleren door een onafhankelijke deskundige die geheimhouding heeft. De klant meldt dat minstens 30 dagen van tevoren.
3. De klant betaalt de kosten van de controle. Blijkt dat we ons op een belangrijk punt niet aan deze overeenkomst hielden, dan betalen wij ze.

11. Aansprakelijkheid en duur

1. Voor aansprakelijkheid geldt artikel 9 van onze algemene voorwaarden.
2. Deze overeenkomst loopt zolang we persoonsgegevens voor de klant verwerken.
3. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen leggen we voor aan de rechtbank Gelderland.
4. Bij strijd gaat deze verwerkersovereenkomst voor de algemene voorwaarden, voor wat betreft persoonsgegevens.