Verwerkersovereenkomst

Deze Verwerkersovereenkomst ("DPA") maakt integraal deel uit van de Algemene Voorwaarden van Qorai en wordt gesloten tussen de klant (hierna "Verwerkingsverantwoordelijke") en ALJENI BV, handelend onder de naam Qorai (hierna "Verwerker"), gezamenlijk "Partijen".

Deze DPA is opgesteld in overeenstemming met artikel 28 van de Verordening (EU) 2016/679 (AVG/GDPR).

Deze DPA geldt voor de dienstverlening onder het samenwerkingsmodel "Voor je eigen zaak" (Model 1). Voor samenwerkingen onder het model "Samen naar de markt" (Model 2) worden de verwerkingsafspraken per samenwerking geregeld in of bij de Partnerovereenkomst; deze DPA is daarop enkel van toepassing voor zover de Partnerovereenkomst er uitdrukkelijk naar verwijst.

Art. 01Definities

In deze DPA hebben de volgende termen de betekenis zoals hieronder gedefinieerd. Termen die niet in deze DPA worden gedefinieerd, hebben de betekenis die eraan wordt toegekend in de AVG/GDPR of de Algemene Voorwaarden.

Persoonsgegevens

Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals gedefinieerd in artikel 4, lid 1 van de AVG/GDPR.

Verwerking

Elke bewerking of geheel van bewerkingen met betrekking tot Persoonsgegevens, zoals gedefinieerd in artikel 4, lid 2 van de AVG/GDPR.

Verwerkingsverantwoordelijke

De klant, die het doel en de middelen voor de Verwerking van Persoonsgegevens vaststelt.

Verwerker

Qorai, die ten behoeve van de Verwerkingsverantwoordelijke Persoonsgegevens verwerkt.

Subverwerker

Een derde partij die door de Verwerker wordt ingeschakeld om namens de Verwerker Persoonsgegevens te verwerken, zoals een hostingprovider of AI-dienst.

Datalek

Een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte Persoonsgegevens.

Betrokkene

De geïdentificeerde of identificeerbare natuurlijke persoon op wie de Persoonsgegevens betrekking hebben.

Maatwerksoftware

Zoals gedefinieerd in artikel 1 van de Algemene Voorwaarden.

Art. 02Voorwerp en Duur

2.1 Voorwerp

Deze DPA regelt de Verwerking van Persoonsgegevens door de Verwerker ten behoeve van de Verwerkingsverantwoordelijke in het kader van de ontwikkeling, hosting, het onderhoud en de support van Maatwerksoftware.

2.2 Aard van de verwerking

De Verwerking kan omvatten: het opslaan en verwerken van Persoonsgegevens in de (gehoste) Maatwerksoftware, het raadplegen van Persoonsgegevens bij support en foutanalyse, het migreren van data, en het maken van back-ups. Bij de ontwikkeling wordt waar mogelijk gewerkt met test- of gepseudonimiseerde data; toegang tot productiedata blijft beperkt tot wat noodzakelijk is voor het overeengekomen doel (zoals support, migratie of foutanalyse).

Indien de Maatwerksoftware gebruikmaakt van externe AI-diensten en daarbij Persoonsgegevens worden verwerkt, wordt dit vastgelegd in de Projectovereenkomst en geldt de betreffende dienst als Subverwerker conform artikel 7.

2.3 Categorieën van Persoonsgegevens

De categorieën Persoonsgegevens die worden verwerkt, zijn afhankelijk van de Maatwerksoftware en de data van de Verwerkingsverantwoordelijke, en kunnen onder meer omvatten:

• Identificatiegegevens (naam, adres, e-mail, telefoonnummer)
• Accountgegevens van gebruikers van de Maatwerksoftware
• Financiële gegevens (facturatiegegevens, betalingshistoriek)
• Klant- en leveranciersgegevens
• Personeelsgegevens
• Overige categorieën zoals verwerkt in de Maatwerksoftware

De exacte categorieën worden gespecificeerd in de Projectovereenkomst of het Onderhoudscontract.

2.4 Categorieën van Betrokkenen

De categorieën Betrokkenen zijn afhankelijk van de Maatwerksoftware en kunnen onder meer omvatten: werknemers, klanten, leveranciers, contactpersonen, gebruikers van de Maatwerksoftware en andere natuurlijke personen van wie gegevens worden verwerkt.

2.5 Duur

Deze DPA treedt in werking op het moment dat de Verwerker voor het eerst toegang verkrijgt tot Persoonsgegevens van de Verwerkingsverantwoordelijke en blijft van kracht zolang de Verwerker Persoonsgegevens verwerkt ten behoeve van de Verwerkingsverantwoordelijke, inclusief gedurende het Onderhoudscontract.

Art. 03Verplichtingen van de Verwerker

De Verwerker verbindt zich ertoe om:

• Persoonsgegevens uitsluitend te verwerken op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke — waaronder de Projectovereenkomst en het Onderhoudscontract — tenzij een wettelijke verplichting de Verwerker tot verwerking verplicht. In dat geval stelt de Verwerker de Verwerkingsverantwoordelijke hiervan vooraf op de hoogte, tenzij dit wettelijk verboden is.
• De Verwerkingsverantwoordelijke onmiddellijk te informeren indien naar het oordeel van de Verwerker een instructie in strijd is met de AVG/GDPR of andere toepasselijke wetgeving inzake gegevensbescherming.
• Persoonsgegevens niet voor eigen doeleinden te verwerken, waaronder maar niet beperkt tot het trainen van AI-modellen, profilering, marketing of enig ander doel dat niet uitdrukkelijk is overeengekomen.
• Persoonsgegevens niet over te dragen naar of te verwerken in een land buiten de Europese Economische Ruimte (EER), tenzij dit is vastgelegd in de Projectovereenkomst of volgt uit de goedgekeurde Subverwerkers, en steeds met inachtneming van de waarborgen uit hoofdstuk V van de AVG/GDPR (zoals een adequaatheidsbesluit of standaardcontractbepalingen).
• Een register van verwerkingsactiviteiten bij te houden conform artikel 30, lid 2 van de AVG/GDPR.

Art. 04Vertrouwelijkheid

De Verwerker waarborgt dat personen die Persoonsgegevens verwerken, gebonden zijn aan een passende geheimhoudingsverplichting, hetzij contractueel, hetzij op grond van een wettelijke verplichting. De Verwerker beperkt de toegang tot Persoonsgegevens tot personen voor wie de toegang strikt noodzakelijk is voor de uitvoering van de diensten.

Art. 05Beveiliging

5.1 Technische en organisatorische maatregelen

De Verwerker neemt passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, conform artikel 32 van de AVG/GDPR. Deze maatregelen omvatten onder meer:

• Versleuteling van dataverkeer (TLS) en — waar passend — van data in rust
• Toegangscontrole en authenticatie, met toegang op need-to-know basis
• Gescheiden ontwikkel-, test- en productieomgevingen waar het project dat vereist
• Gebruik van test- of gepseudonimiseerde data bij ontwikkeling waar redelijkerwijs mogelijk
• Logging van relevante handelingen in de productieomgeving
• Regelmatige beveiligingsupdates van de Maatwerksoftware onder een Onderhoudscontract
• Back-upvoorzieningen conform de afspraken in het Onderhoudscontract

5.2 Gedeelde verantwoordelijkheid

De Verwerkingsverantwoordelijke is verantwoordelijk voor de beveiliging van de eigen infrastructuur, accounts en het toegangsbeheer van de eigen gebruikers, voor zover deze niet door de Verwerker worden beheerd. De verdeling van beheersverantwoordelijkheden wordt vastgelegd in de Projectovereenkomst of het Onderhoudscontract.

Art. 06Datalekken

6.1 De Verwerker stelt de Verwerkingsverantwoordelijke zonder onredelijke vertraging, en in elk geval binnen 48 uur na kennisname, op de hoogte van een Datalek dat betrekking heeft op Persoonsgegevens die namens de Verwerkingsverantwoordelijke worden verwerkt.

6.2 De melding bevat ten minste:

• Een beschrijving van de aard van het Datalek, met inbegrip van — waar mogelijk — de categorieën en het geschatte aantal Betrokkenen en Persoonsgegevens die door het Datalek zijn getroffen
• De naam en contactgegevens van de contactpersoon bij de Verwerker
• Een beschrijving van de waarschijnlijke gevolgen van het Datalek
• Een beschrijving van de maatregelen die de Verwerker heeft genomen of voorstelt te nemen om het Datalek aan te pakken en de nadelige gevolgen te beperken

6.3 De Verwerker verleent de Verwerkingsverantwoordelijke alle redelijke medewerking bij het onderzoeken, beperken en verhelpen van het Datalek, alsmede bij het voldoen aan de meldplicht bij de toezichthouder (artikel 33 AVG/GDPR) en de informatieplicht aan Betrokkenen (artikel 34 AVG/GDPR).

Art. 07Subverwerkers

7.1 De Verwerkingsverantwoordelijke verleent de Verwerker een algemene toestemming om Subverwerkers in te schakelen voor hosting, e-mailverzending, back-ups en — indien overeengekomen in de Projectovereenkomst — AI-diensten. De op het moment van het aangaan van deze DPA ingeschakelde Subverwerkers worden per project vastgelegd in de Projectovereenkomst of het Onderhoudscontract, met vermelding van de identiteit, de rol en de locatie van verwerking.

7.2 Bij een voorgenomen toevoeging of vervanging van een Subverwerker stelt de Verwerker de Verwerkingsverantwoordelijke hiervan minimaal 30 dagen vooraf schriftelijk op de hoogte. De Verwerkingsverantwoordelijke heeft het recht om binnen 14 dagen na kennisgeving schriftelijk en gemotiveerd bezwaar te maken.

7.3 Indien de Verwerkingsverantwoordelijke redelijk bezwaar maakt en Partijen niet tot overeenstemming komen over een alternatief, heeft de Verwerkingsverantwoordelijke het recht het betreffende contract op te zeggen conform de Algemene Voorwaarden.

7.4 De Verwerker legt aan elke Subverwerker verplichtingen op die gelijkwaardig zijn aan die welke in deze DPA zijn opgenomen, en blijft volledig aansprakelijk jegens de Verwerkingsverantwoordelijke voor de nakoming door de Subverwerker.

Art. 08Rechten van Betrokkenen

8.1 De Verwerker verleent de Verwerkingsverantwoordelijke redelijke bijstand bij het afhandelen van verzoeken van Betrokkenen tot uitoefening van hun rechten onder de AVG/GDPR, waaronder het recht op inzage, rectificatie, wissing, beperking van verwerking, overdraagbaarheid en bezwaar. Waar mogelijk voorziet de Maatwerksoftware in functionaliteit waarmee de Verwerkingsverantwoordelijke deze verzoeken zelf kan afhandelen.

8.2 Indien een Betrokkene zich rechtstreeks tot de Verwerker richt met een verzoek, stuurt de Verwerker dit verzoek onverwijld door naar de Verwerkingsverantwoordelijke.

Art. 09Audits en Bijstand

9.1 De Verwerker stelt aan de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de naleving van de verplichtingen uit artikel 28 AVG/GDPR aan te tonen, en maakt audits en inspecties door de Verwerkingsverantwoordelijke of een door de Verwerkingsverantwoordelijke aangewezen auditor mogelijk.

9.2 Audits worden uitgevoerd met inachtneming van een redelijke vooraankondiging van minimaal 15 werkdagen, tijdens kantooruren, en op een wijze die de bedrijfsvoering van de Verwerker zo min mogelijk verstoort. De kosten van de audit zijn voor rekening van de Verwerkingsverantwoordelijke, tenzij de audit een wezenlijke tekortkoming van de Verwerker aan het licht brengt.

9.3 De Verwerker verleent de Verwerkingsverantwoordelijke redelijke bijstand bij het uitvoeren van gegevensbeschermingseffectbeoordelingen (DPIA's) en bij voorafgaand overleg met de toezichthouder, voor zover relevant voor de verwerking in het kader van de Maatwerksoftware.

Art. 10Beëindiging en Gegevens

10.1 Na beëindiging van deze DPA — en naar keuze van de Verwerkingsverantwoordelijke — zal de Verwerker alle Persoonsgegevens die hij ten behoeve van de Verwerkingsverantwoordelijke verwerkt, retourneren in een gangbaar formaat en/of wissen, tenzij een wettelijke bewaarplicht zich hiertegen verzet. Dit sluit aan bij het uitgangspunt van de Algemene Voorwaarden: de data is en blijft van de klant.

10.2 De Verwerker bevestigt op verzoek schriftelijk dat de Persoonsgegevens zijn geretourneerd en/of gewist, met vermelding van eventuele wettelijke uitzonderingen.

Art. 11Aansprakelijkheid

De aansprakelijkheid van de Verwerker onder deze DPA wordt beheerst door en is onderworpen aan de aansprakelijkheidsbeperkingen in artikel 10 van de Algemene Voorwaarden, behoudens voor zover de AVG/GDPR dwingend anders bepaalt.

Art. 12Overige Bepalingen

12.1 In geval van tegenstrijdigheid tussen deze DPA en de Algemene Voorwaarden, prevaleert deze DPA voor zover het de Verwerking van Persoonsgegevens betreft.

12.2 Indien enige bepaling van deze DPA nietig of onafdwingbaar wordt geacht, blijven de overige bepalingen onverminderd van kracht.

12.3 Op deze DPA is Belgisch recht van toepassing. Geschillen worden beslecht conform artikel 15 van de Algemene Voorwaarden.

12.4 Wijzigingen of aanvullingen op deze DPA zijn slechts geldig indien schriftelijk overeengekomen door beide Partijen.