Verwerkersovereenkomst

Deze Verwerkersovereenkomst ("VOK") wordt gesloten tussen Bkody Software ("Zinevu", "Verwerker"), ingeschreven bij de Kamer van Koophandel onder KVK-nummer 71881832, en de klant die de Gebruiksvoorwaarden heeft aanvaard ("Verwerkingsverantwoordelijke"). Deze VOK maakt deel uit van de Gebruiksvoorwaarden en is daarin opgenomen door verwijzing.

Deze VOK is van toepassing wanneer de Verwerkingsverantwoordelijke Zinevu gebruikt om persoonsgegevens te verwerken van de eigen klanten, leads of werknemers van de Verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (EU) 2016/679 ("AVG").

1. Definities

Begrippen die hier niet anders zijn gedefinieerd, hebben de betekenis die aan hen is gegeven in de AVG. In het bijzonder:

"Persoonsgegevens" betekent alle gegevens als bedoeld in artikel 4, lid 1, AVG die de Verwerkingsverantwoordelijke uploadt naar of opslaat in het Zinevu-platform ("Platform").
"Verwerking" heeft de betekenis die aan dit begrip is gegeven in artikel 4, lid 2, AVG.
"Subverwerker" betekent elke derde die door de Verwerker wordt ingeschakeld om Persoonsgegevens namens de Verwerkingsverantwoordelijke te verwerken.
"Diensten" betekent het cloudgebaseerde SaaS-platform zoals beschreven in de Gebruiksvoorwaarden.

2. Onderwerp en duur

De Verwerker verwerkt Persoonsgegevens namens de Verwerkingsverantwoordelijke uitsluitend om de Diensten te verlenen zoals beschreven in de Gebruiksvoorwaarden. De verwerking begint wanneer de Verwerkingsverantwoordelijke voor het eerst Persoonsgegevens uploadt of opslaat in het Platform en loopt gedurende de abonnementsperiode. Na beëindiging gaat de Verwerker om met Persoonsgegevens conform artikel 9.

3. Aard en doel van de verwerking

De Verwerker verwerkt Persoonsgegevens voor de volgende doeleinden en geen andere:

Opslaan en weergeven van contactgegevens van klanten in de CRM-module;
Aanmaken en opslaan van offertes en voorstellen;
Beheren van projectgegevens en planning;
Verwerken en opslaan van facturen;
Bieden van de 3D-productconfigurator en bijbehorende klantgerichte workflows;
De Verwerkingsverantwoordelijke in staat stellen planning en buitendienstactiviteiten te beheren;
Verzenden en ontvangen van WhatsApp-berichten via het WhatsApp Business-account dat de Verwerkingsverantwoordelijke zelf koppelt, waaronder — wanneer de Verwerkingsverantwoordelijke de AI-assistent daarvoor aanzet — een door Meta goedgekeurd openingsbericht na een aanvraag en eenmalig een herinnering daarop; het aanzetten van die functie geldt als gedocumenteerde instructie van de Verwerkingsverantwoordelijke en wordt in het platform vastgelegd;
Bieden van de AI-assistent die namens de Verwerkingsverantwoordelijke gesprekken voert in de chat en via WhatsApp en die gesprekken als aanvraag vastlegt;
Bieden van technische ondersteuning en probleemoplossing op verzoek van de Verwerkingsverantwoordelijke.

4. Categorieën van persoonsgegevens

De Persoonsgegevens die worden verwerkt op grond van deze VOK kunnen omvatten:

Naam, e-mailadres, telefoonnummer en postadres van eindklanten;
Bedrijfsnaam en btw-nummer;
Aankoopgeschiedenis, offertes en factuurgegevens;
Communicatiegegevens tussen de Verwerkingsverantwoordelijke en haar klanten;
Overige gegevens die de Verwerkingsverantwoordelijke kiest op te slaan in de vrije-tekstvelden van het Platform.
Meetgegevens van bezoekers van de eigen website van de Verwerkingsverantwoordelijke, voor zover deze het meetscript van het Platform heeft geplaatst: een uit IP-adres en browser afgeleide dagelijkse sleutel (het IP-adres zelf wordt na 30 dagen gewist), bezochte pagina's en de tijd daarop, verwijzende website en campagneparameters, klik-id's van advertentieplatforms, het zichtbare label van aangeklikte links en knoppen, stad en land uit een lokaal geïnstalleerde IP-database (er wordt geen IP-adres naar derden gestuurd), en — uitsluitend nadat de bezoeker statistiekcookies heeft geaccepteerd — een first-party identificatienummer. Waarden die een bezoeker in formuliervelden invult worden nooit verzameld: van de eigen formulieren van de Verwerkingsverantwoordelijke worden alleen de veldnamen en of het veld gevuld was vastgelegd.

De Verwerkingsverantwoordelijke is verantwoordelijk voor het naleven van de verplichting dat er geen bijzondere categorieën persoonsgegevens (artikel 9 AVG) worden geüpload naar het Platform, tenzij dit schriftelijk afzonderlijk is overeengekomen.

5. Categorieën van betrokkenen

Betrokkenen van wie Persoonsgegevens worden verwerkt, omvatten: eindklanten van de Verwerkingsverantwoordelijke (personen en zakelijke contacten), leads en prospects, en werknemers van de Verwerkingsverantwoordelijke voor zover hun gegevens in het Platform zijn ingevoerd.

6. Verplichtingen van de Verwerker

De Verwerker verbindt zich ertoe:

Persoonsgegevens uitsluitend te verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, tenzij de Verwerker op grond van Unie- of lidstaatrecht verplicht is tot verdere verwerking;
Ervoor te zorgen dat gemachtigde medewerkers gebonden zijn aan passende geheimhoudingsverplichtingen;
Technische en organisatorische maatregelen te treffen die passen bij het risico, zoals beschreven in artikel 7;
Te voldoen aan de voorwaarden voor het inschakelen van Subverwerkers zoals vastgelegd in artikel 8;
De Verwerkingsverantwoordelijke te helpen bij het beantwoorden van verzoeken van betrokkenen die hun AVG-rechten uitoefenen, voor zover technisch haalbaar;
De Verwerkingsverantwoordelijke te helpen bij het nakomen van haar verplichtingen uit hoofde van de artikelen 32–36 AVG (beveiliging, melding datalekken, gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging);
De Verwerkingsverantwoordelijke zonder onnodige vertraging (en in elk geval binnen 48 uur) op de hoogte te stellen wanneer een inbreuk in verband met persoonsgegevens wordt ontdekt die betrekking heeft op Persoonsgegevens;
De Verwerkingsverantwoordelijke alle informatie ter beschikking te stellen die nodig is om de naleving van artikel 28 AVG aan te tonen en audits mogelijk te maken zoals voorzien in artikel 10;
De Verwerkingsverantwoordelijke onmiddellijk te informeren indien naar het oordeel van de Verwerker een instructie in strijd is met de AVG of andere toepasselijke gegevensbeschermingswetgeving.

7. Beveiligingsmaatregelen

De Verwerker heeft de volgende technische en organisatorische maatregelen getroffen ter bescherming van Persoonsgegevens:

Versleuteling van gegevens in transit met TLS 1.2 of hoger;
Versleutelde opslag van wachtwoorden en toegangstokens van gekoppelde diensten (zoals agenda's, boekhoudkoppelingen, webhooks en WhatsApp);
Op rollen gebaseerde toegangscontroles die de toegang tot Persoonsgegevens beperken tot gemachtigde medewerkers;
Dagelijkse geautomatiseerde back-ups van database en bestanden;
Infrastructuur gehost door Hetzner Online GmbH in datacenters in de Europese Unie, die vallen onder haar volgens ISO/IEC 27001 gecertificeerde managementsysteem voor informatiebeveiliging;
Scannen op kwetsbaarheden en monitoring van afhankelijkheden;
Interne toegangslogboeken en anomaliedetectie.

8. Subverwerkers

8.1 Autorisatie

De Verwerkingsverantwoordelijke verleent de Verwerker algemene toestemming voor het inschakelen van Subverwerkers, onder voorbehoud van de voorwaarden in dit artikel.

8.2 Huidige Subverwerkers

De Verwerker maakt momenteel gebruik van de volgende Subverwerkers voor de verwerking van Persoonsgegevens:

Subverwerker	Rol	Locatie
Hetzner Online GmbH	Hosting van servers, databases en back-ups	EU
Cloudflare, Inc.	Contentlevering (CDN), DNS en bescherming tegen aanvallen	Wereldwijd netwerk (VS-onderneming, EU-VS-dataprivacyraamwerk)
Resend (Plus Five Five, Inc.)	Verzending van transactionele e-mail, waaronder offertes en meldingen voor dealers zonder eigen mailserver	EU (Ierland) voor verzending; VS (EU-VS-dataprivacyraamwerk, standaardcontractbepalingen)
OpenAI, Inc. / OpenAI Ireland Limited	Taalmodel achter de AI-assistent, alleen voor dealers die deze functie inschakelen. Verwerkt per beurt de berichten uit dat ene gesprek, de bedrijfsinformatie die de dealer daarvoor heeft aangeleverd en de vragen van het formulier van die dealer. Gegevens worden niet gebruikt om modellen te trainen en worden door OpenAI maximaal 30 dagen bewaard voor misbruikcontrole.	VS (standaardcontractbepalingen)
Stripe Inc.	Betalingsverwerking (alleen factureringsgegevens)	VS
Meta Platforms Ireland Limited	Conversions API — uitsluitend voor Verwerkingsverantwoordelijken die dit zelf inschakelen en hun eigen toegangstoken invoeren. Ontvangt per gebeurtenis een met SHA-256 gehasht e-mailadres en telefoonnummer, de Meta-klik-id van de bezoeker, het bedrag van de ondertekende offerte, de landingspagina en een identificatie om dubbeltellingen te voorkomen. Nooit naam, adres, vrije tekst of de inhoud van een offerte.	Ierland (EU); VS voor onderliggende infrastructuur (EU-VS-dataprivacyraamwerk)
Google Ireland Limited	Import van offline conversies in Google Ads — uitsluitend voor Verwerkingsverantwoordelijken die dit zelf inschakelen. Google haalt op een door de Verwerkingsverantwoordelijke ingestelde URL een bestand op met de Google-klik-id, het tijdstip, het bedrag, de valuta en een ordernummer. Geen naam, e-mailadres, telefoonnummer of adres.	Ierland (EU); VS (EU-VS-dataprivacyraamwerk)

8.3 Wijzigingen in Subverwerkers

De Verwerker stelt de Verwerkingsverantwoordelijke op de hoogte van eventuele voorgenomen wijzigingen in Subverwerkers door deze VOK bij te werken en minimaal 14 dagen van tevoren schriftelijk kennisgeving te geven per e-mail. Als de Verwerkingsverantwoordelijke op gegevensbeschermingsgronden redelijkerwijs bezwaar maakt tegen een nieuwe Subverwerker, werken partijen te goeder trouw samen om het bezwaar op te lossen; als geen oplossing wordt bereikt, kan de Verwerkingsverantwoordelijke het abonnement zonder boete opzeggen.

8.4 Verplichtingen jegens Subverwerkers

De Verwerker legt elke Subverwerker (via overeenkomst of gelijkwaardige bindende akte) gegevensbeschermingsverplichtingen op die gelijkwaardig zijn aan die in deze VOK en blijft jegens de Verwerkingsverantwoordelijke aansprakelijk voor de prestaties van de Subverwerker.

9. Internationale doorgifte van gegevens

Wanneer Subverwerkers buiten de Europese Economische Ruimte zijn gevestigd, zorgt de Verwerker ervoor dat doorgiften voldoen aan Hoofdstuk V AVG door gebruik te maken van:

Een adequaatheidsbesluit van de Europese Commissie; of
Standaardcontractbepalingen (SCP's) zoals goedgekeurd door de Europese Commissie; of
Het EU-VS-dataprivacyraamwerk voor zover de Subverwerker daarvoor gecertificeerd is.

10. Audits

De Verwerkingsverantwoordelijke kan, op eigen kosten en met een voorafgaande schriftelijke kennisgeving van minimaal 30 dagen, de naleving van deze VOK door de Verwerker controleren, tot één keer per kalenderjaar. De Verwerkingsverantwoordelijke kan een externe auditor aanstellen die gebonden is aan vertrouwelijkheidsverplichtingen. Voordat een audit plaatsvindt, stelt de Verwerker eerst de informatie beschikbaar die nodig is om naleving aan te tonen, zoals schriftelijke antwoorden op redelijke beveiligingsvragenlijsten en relevante documentatie. Toont die informatie de naleving niet redelijkerwijs aan, dan kan de audit zoals hierboven beschreven doorgaan.

11. Teruggave en verwijdering van gegevens

Binnen 30 dagen na beëindiging van het abonnement zal de Verwerker, naar keuze van de Verwerkingsverantwoordelijke:

Alle in het Platform opgeslagen Persoonsgegevens beschikbaar stellen voor export in een standaard machineleesbaar formaat; of
Alle Persoonsgegevens veilig verwijderen of anonimiseren.

De Verwerker bewaart Persoonsgegevens na 30 dagen uitsluitend voor zover wettelijk vereist, en slechts gedurende de minimaal vereiste periode.

12. Aansprakelijkheid

De aansprakelijkheid van elke partij onder deze VOK is onderworpen aan de beperkingen en uitsluitingen zoals vastgelegd in de Gebruiksvoorwaarden. Niets in deze VOK beperkt de aansprakelijkheid van een van beide partijen jegens betrokkenen of toezichthoudende autoriteiten op grond van de AVG.

13. Prioriteit

In geval van tegenstrijdigheid tussen deze VOK en de Gebruiksvoorwaarden prevaleert deze VOK voor zover de tegenstrijdigheid betrekking heeft op de verwerking van Persoonsgegevens.

14. Toepasselijk recht

Deze VOK wordt beheerst door Nederlands recht. Partijen onderwerpen zich aan de exclusieve bevoegdheid van de bevoegde rechter in Amsterdam, Nederland.

15. Contact

Bkody Software (handelend onder Zinevu)
KVK: 71881832
E-mail: [email protected]