Verwerkersovereenkomst

2.1 Deze verwerkersovereenkomst is van toepassing op elke verwerking van Klantgegevens die Verwerker in opdracht van Verwerkingsverantwoordelijke uitvoert bij het leveren van de Dienst.

2.2 Bij strijd tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat, voor zover het de verwerking van persoonsgegevens betreft, deze verwerkersovereenkomst voor.

2.3 Voor de gegevens van de installateur zelf en zijn medewerkers (accountgegevens, facturatie, gebruik van het platform) is Rope IT Solutions zelf verwerkingsverantwoordelijke; daarop is de privacyverklaring van toepassing, niet deze bijlage.

3.1 Verwerker verwerkt Klantgegevens uitsluitend in opdracht van en op basis van schriftelijke instructies van Verwerkingsverantwoordelijke, en niet voor eigen doeleinden. De Overeenkomst en de handelingen die Verwerkingsverantwoordelijke of zijn klanten in de Dienst verrichten (een wizard invullen, een offerte versturen, een mailing starten, een lead overdragen aan een collega-installateur, een lead verwijderen) gelden als die instructies.

3.2 Verwerker verwerkt Klantgegevens niet buiten de Dienst om, tenzij een wettelijk voorschrift van de Europese Unie of Nederland dat vereist. In dat geval stelt Verwerker Verwerkingsverantwoordelijke vooraf op de hoogte, tenzij de wet dat verbiedt.

3.3 Meent Verwerker dat een instructie in strijd is met de AVG of andere wetgeving, dan meldt hij dat onverwijld aan Verwerkingsverantwoordelijke.

3.4 Verwerker gebruikt Klantgegevens niet om modellen voor kunstmatige intelligentie te trainen en staat dat zijn sub-verwerkers ook niet toe. Wat bijlage B bij Anthropic noemt (de energienota die een klant uploadt, leads die Verwerkingsverantwoordelijke importeert of op zijn leadadres ontvangt, de pakbon van zijn leverancier, offertes die hij importeert en wat hij na een schouw of oplevering inspreekt of typt), wordt per keer voor die ene taak aan het AI-model aangeboden. Verwerker bewaart van zo’n aanroep alleen een controlesom van de invoer en de uitkomst, nooit het document of de tekst zelf; bij het inlezen van leads worden de persoonsgegevens bovendien uit die uitkomst gehaald voordat zij wordt opgeslagen.

5.1 Verwerkingsverantwoordelijke staat ervoor in dat hij voor elke verwerking van Klantgegevens een rechtsgrond heeft, dat hij zijn klanten informeert zoals de artikelen 13 en 14 AVG voorschrijven, en dat de gegevens die hij importeert of laat mailen rechtmatig zijn verkregen.

5.2 Verwerkingsverantwoordelijke voert geen bijzondere categorieën van persoonsgegevens (artikel 9 AVG), geen burgerservicenummers en geen gegevens over strafrechtelijke veroordelingen in de Dienst in. De Dienst is daar niet voor bedoeld en niet op ingericht.

5.3 Verwerkingsverantwoordelijke beheert zelf wie binnen zijn bedrijf toegang heeft tot de Dienst, houdt inloggegevens vertrouwelijk en verwijdert de toegang van medewerkers die het bedrijf verlaten.

5.4 Draagt Verwerkingsverantwoordelijke een lead over aan een andere installateur (gericht of via de marktplaats), dan wordt die andere installateur verwerkingsverantwoordelijke voor de overgedragen gegevens. Verwerkingsverantwoordelijke zorgt dat zijn klant vooraf van die mogelijkheid op de hoogte is.

6.1 Verwerkingsverantwoordelijke geeft Verwerker een algemene toestemming om voor de Dienst sub-verwerkers in te schakelen. De sub-verwerkers op de datum van deze versie staan in bijlage B.

6.2 Verwerker legt aan elke sub-verwerker schriftelijk ten minste dezelfde verplichtingen op als die uit deze verwerkersovereenkomst, en blijft jegens Verwerkingsverantwoordelijke verantwoordelijk voor de nakoming daarvan.

6.3 Wil Verwerker een sub-verwerker toevoegen of vervangen, dan kondigt hij dat ten minste 30 dagen vooraf per e-mail aan op het beheerdersadres van het account. Verwerkingsverantwoordelijke kan binnen die termijn schriftelijk en gemotiveerd bezwaar maken. Leidt het bezwaar niet tot een oplossing, dan mag Verwerkingsverantwoordelijke de Overeenkomst opzeggen tegen de datum waarop de wijziging ingaat, zonder dat hij daarvoor kosten verschuldigd is.

7.1 De database, de authenticatie en de bestandsopslag van de Dienst staan in de Europese Unie (regio eu-west-1, Ierland), en de servercode van de Dienst draait in de Europese Unie (Dublin, Ierland).

7.2 Waar een sub-verwerker buiten de EER is gevestigd of Klantgegevens daar verwerkt, gebeurt dat op basis van een geldig doorgiftemechanisme uit hoofdstuk V AVG: een adequaatheidsbesluit van de Europese Commissie (waaronder het EU-VS Data Privacy Framework voor gecertificeerde organisaties) of de standaardcontractbepalingen van de Europese Commissie. Bijlage B vermeldt per sub-verwerker het mechanisme.

8.1 Verwerker treft passende technische en organisatorische maatregelen om Klantgegevens te beschermen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard van de gegevens (artikel 32 AVG). De maatregelen op de datum van deze versie staan in bijlage C.

8.2 Verwerker mag de maatregelen aanpassen zolang het beveiligingsniveau als geheel niet daalt.

8.3 Verwerkingsverantwoordelijke beoordeelt zelf of dit niveau passend is voor de gegevens die hij via de Dienst verwerkt. Verwerker verstrekt op verzoek de informatie die daarvoor nodig is.

9.1 Ontdekt Verwerker een inbreuk in verband met persoonsgegevens die Klantgegevens raakt, dan meldt hij dat zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan het beheerdersadres van het account. De melding bevat, voor zover op dat moment bekend: de aard van de inbreuk, de betrokken categorieën gegevens en betrokkenen, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen en een contactpunt. Informatie die later beschikbaar komt, wordt nagestuurd.

9.2 Verwerkingsverantwoordelijke beoordeelt zelf of hij de inbreuk meldt aan de Autoriteit Persoonsgegevens en aan de betrokkenen (artikelen 33 en 34 AVG). Verwerker verleent daarbij redelijke medewerking en doet die meldingen niet zelf, tenzij Verwerkingsverantwoordelijke daarom vraagt of de wet Verwerker daartoe verplicht.

10.1 Verwerkingsverantwoordelijke handelt verzoeken van zijn klanten om inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar zelf af. De Dienst biedt daarvoor de middelen: elke lead is in het dashboard in te zien, te wijzigen, te exporteren en te verwijderen, en een klant kan zich met één klik afmelden voor mailings.

10.2 Ontvangt Verwerker zo’n verzoek rechtstreeks van een klant, dan stuurt hij het door naar Verwerkingsverantwoordelijke en handelt het niet zelf af, tenzij de wet anders vereist.

10.3 Waar de middelen in de Dienst niet volstaan, verleent Verwerker redelijke bijstand. Vraagt die bijstand onevenredig veel werk, dan mag Verwerker daarvoor een redelijke vergoeding vragen, mits vooraf aangekondigd.

12.1 Verwerker stelt Verwerkingsverantwoordelijke op verzoek alle informatie ter beschikking die nodig is om aan te tonen dat aan artikel 28 AVG wordt voldaan: deze bijlagen, de actuele lijst van sub-verwerkers en de beschikbare verklaringen en certificeringen van de sub-verwerkers.

12.2 Volstaat die informatie aantoonbaar niet, dan mag Verwerkingsverantwoordelijke ten hoogste eenmaal per jaar, of na een inbreuk, een controle laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht, na een aankondiging van ten minste 30 dagen en beperkt tot wat voor de verwerking van Klantgegevens relevant is. De partijen dragen ieder hun eigen kosten; blijkt Verwerker tekort te zijn geschoten, dan draagt Verwerker de redelijke kosten van de controle.

13.1 Op de aansprakelijkheid van partijen onder deze verwerkersovereenkomst is artikel 7 van de algemene voorwaarden van toepassing.

13.2 Iedere partij is aansprakelijk voor de bestuurlijke boetes die haar door een toezichthouder worden opgelegd voor haar eigen tekortkomingen. Verwerkingsverantwoordelijke vrijwaart Verwerker voor aanspraken van betrokkenen en derden die voortvloeien uit een verwerking waarvoor Verwerkingsverantwoordelijke geen rechtsgrond had of waarover hij zijn klanten niet had geïnformeerd.

14.1 Deze verwerkersovereenkomst duurt zolang Verwerker Klantgegevens voor Verwerkingsverantwoordelijke verwerkt en eindigt van rechtswege zodra die verwerking is beëindigd.

14.2 Tot het einde van de Overeenkomst kan Verwerkingsverantwoordelijke zijn leads, offertes en documenten via het dashboard exporteren. Verwerker bewaart de Klantgegevens na het einde van de Overeenkomst nog 30 dagen, zodat een export alsnog mogelijk is, en verwijdert ze daarna, tenzij een wettelijke bewaarplicht (bijvoorbeeld voor factuurgegevens) langer bewaren vereist.

14.3 Verwijderde gegevens blijven daarna ten hoogste 30 dagen aanwezig in de back-ups van Verwerker en worden daar door de normale rotatie overschreven. Back-ups worden uitsluitend gebruikt voor herstel na een storing.

14.4 De verplichtingen uit de artikelen 11 (geheimhouding) en 13 (aansprakelijkheid) blijven na het einde van deze verwerkersovereenkomst van kracht.

15.1 Verwerker kan deze verwerkersovereenkomst wijzigen, bijvoorbeeld bij een wijziging van de wet, van de Dienst of van de sub-verwerkers. Wezenlijke wijzigingen worden ten minste 30 dagen vooraf per e-mail aangekondigd. Elke versie draagt de datum van de laatste inhoudelijke wijziging; de versie die Verwerkingsverantwoordelijke heeft geaccepteerd staat in zijn dashboard.

15.2 Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Artikel 10 van de algemene voorwaarden geldt voor geschillen.