Verwerkersovereenkomst

1. Partijen en definities

Deze Verwerkersovereenkomst (hierna: "Overeenkomst") is van toepassing op de verwerking van persoonsgegevens door YourPaz, handelsnaam van J. van der Z., gevestigd in Nederland (hierna: "Verwerker"), ten behoeve van de gebruiker van het YourPaz-platform (hierna: "Verwerkingsverantwoordelijke").

In deze Overeenkomst wordt verstaan onder:

• Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals bedoeld in artikel 4 lid 1 van de Algemene Verordening Gegevensbescherming (AVG).
• Verwerking: elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedures, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken, opvragen, raadplegen, gebruiken, verstrekken, combineren, afschermen, wissen of vernietigen van gegevens.
• Betrokkene: de geïdentificeerde of identificeerbare natuurlijke persoon op wie de persoonsgegevens betrekking hebben.
• Subverwerker: een derde partij die door de Verwerker wordt ingeschakeld om namens de Verwerkingsverantwoordelijke persoonsgegevens te verwerken.
• Datalek: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens.

2. Onderwerp en duur van de verwerking

Deze Overeenkomst heeft betrekking op de verwerking van persoonsgegevens die de Verwerkingsverantwoordelijke aan de Verwerker verstrekt in het kader van het gebruik van het YourPaz-platform, een SaaS AI-productiviteitsplatform voor taakbeheer, e-mailintegratie, notities en planning.

De duur van deze Overeenkomst is gelijk aan de looptijd van de hoofdovereenkomst (de gebruiksovereenkomst van het YourPaz-platform). Bij beëindiging van de hoofdovereenkomst eindigt ook deze Verwerkersovereenkomst, onverminderd de verplichtingen die naar hun aard bestemd zijn om ook na beëindiging voort te duren.

3. Aard en doel van de verwerking

De verwerking van persoonsgegevens vindt plaats ten behoeve van het leveren van de diensten van het YourPaz-platform. Dit omvat onder meer:

• Het opslaan en beheren van taken, notities en projecten van de Verwerkingsverantwoordelijke.
• Het verwerken van e-mails via gekoppelde e-mailaccounts ten behoeve van de productiviteitsfuncties.
• Het genereren van AI-gestuurde samenvattingen, suggesties en automatiseringen op basis van door de gebruiker ingevoerde gegevens.
• Het verwerken van accountgegevens ten behoeve van authenticatie, facturering en klantenservice.
• Het bijhouden van gebruiksstatistieken voor de verbetering van de dienstverlening.

4. Soorten persoonsgegevens

De volgende categorieën persoonsgegevens worden verwerkt:

• Accountgegevens: naam, e-mailadres, profielfoto, taalvoorkeur, tijdzone.
• Taak- en projectgegevens: taken, deadlines, projectnamen, labels, prioriteiten en voortgangsstatus.
• Notities en documenten: door de gebruiker aangemaakte of geïmporteerde notities, teksten en bestanden.
• E-mailgegevens: e-mailberichten, onderwerpen, afzenders, ontvangers en bijlagen die via de platformintegratie worden verwerkt.
• Contactgegevens van derden: namen en e-mailadressen van personen waarmee de gebruiker communiceert via het platform.
• Technische gegevens: IP-adressen, apparaatinformatie, browsertype en inloggegevens (tokens).
• Betalingsgegevens: factureringsgegevens en transactiehistorie (creditcardgegevens worden niet door YourPaz opgeslagen maar door de betalingsverwerker Mollie).

5. Categorieën betrokkenen

De persoonsgegevens die worden verwerkt betreffen de volgende categorieën betrokkenen:

• Gebruikers: natuurlijke personen die een account hebben aangemaakt op het YourPaz-platform.
• Contacten van gebruikers: natuurlijke personen wier gegevens (naam, e-mailadres) voorkomen in de e-mails, taken of contactlijsten van gebruikers die via het platform worden verwerkt.

6. Verplichtingen van de Verwerker

De Verwerker verbindt zich ertoe:

• Persoonsgegevens uitsluitend te verwerken op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke, tenzij een wettelijke verplichting anders vereist.
• Ervoor te zorgen dat personen die bevoegd zijn om de persoonsgegevens te verwerken, zich tot geheimhouding hebben verbonden of onder een passende wettelijke verplichting tot geheimhouding staan.
• Passende technische en organisatorische maatregelen te nemen om een op het risico afgestemd beveiligingsniveau te waarborgen, conform artikel 32 AVG.
• De Verwerkingsverantwoordelijke bij te staan bij het nakomen van diens verplichtingen op grond van de artikelen 32 tot en met 36 AVG.
• Na afloop van de verwerkingsdiensten alle persoonsgegevens te wissen of aan de Verwerkingsverantwoordelijke terug te bezorgen, en bestaande kopieën te verwijderen, tenzij opslag wettelijk verplicht is.
• Alle informatie ter beschikking te stellen die nodig is om de nakoming van de in dit artikel neergelegde verplichtingen aan te tonen, en audits door of namens de Verwerkingsverantwoordelijke mogelijk te maken.

7. Subverwerkers

De Verwerkingsverantwoordelijke verleent de Verwerker algemene schriftelijke toestemming om subverwerkers in te schakelen. De Verwerker informeert de Verwerkingsverantwoordelijke over voorgenomen wijzigingen inzake de toevoeging of vervanging van subverwerkers, zodat de Verwerkingsverantwoordelijke de mogelijkheid heeft bezwaar te maken tegen dergelijke wijzigingen.

Op het moment van inwerkingtreding van deze Overeenkomst maakt de Verwerker gebruik van de volgende subverwerkers:

Opmerking over Google Fonts: de weblettertypen worden geladen vanaf de servers van Google. Daarbij wordt het IP-adres van de bezoeker aan Google doorgegeven, ook wanneer de bezoeker geen account heeft. Er worden hierbij geen cookies geplaatst.

Opmerking over Mistral AI: Mistral AI SAS is gevestigd in Frankrijk en verwerkt gegevens standaard binnen de EU via de EU-endpoint (api.mistral.ai). Volgens de eigen documentatie van Mistral kunnen bepaalde features ertoe leiden dat gegevens tijdelijk door onderliggende subverwerkers buiten de EER worden verwerkt, onder Standard Contractual Clauses (SCC's). Een actuele subverwerkerslijst van Mistral is beschikbaar op trust.mistral.ai/subprocessors. Gebruikers die doorgifte buiten de EER volledig willen uitsluiten, kunnen de modus "Privacy Max" activeren, waarbij alle AI-verwerking lokaal via Ollama plaatsvindt.

De Verwerker draagt er zorg voor dat met elke subverwerker een verwerkersovereenkomst wordt gesloten die ten minste dezelfde verplichtingen inzake gegevensbescherming bevat als deze Overeenkomst. De Verwerker blijft jegens de Verwerkingsverantwoordelijke volledig aansprakelijk voor de nakoming van de verplichtingen door de subverwerker.

8. Beveiliging

De Verwerker treft de volgende technische en organisatorische beveiligingsmaatregelen om de persoonsgegevens te beschermen tegen verlies of enige vorm van onrechtmatige verwerking:

• Versleuteling in transit: alle gegevensoverdracht vindt plaats via TLS 1.2 of hoger (HTTPS).
• Versleuteling in rust: gevoelige velden worden versleuteld opgeslagen middels field-level encryption (AES-256).
• Authenticatie en autorisatie: toegang tot het platform wordt beveiligd met JSON Web Tokens (JWT) en role-based access control (RBAC). Multi-factor authenticatie is beschikbaar.
• Toegangscontrole: alleen geautoriseerd personeel heeft toegang tot productiesystemen, op basis van het least-privilege-principe.
• Monitoring en logging: beveiligingsrelevante gebeurtenissen worden gelogd en gemonitord voor detectie van ongeautoriseerde toegang.
• Back-ups: regelmatige back-ups worden gemaakt en versleuteld opgeslagen om gegevensverlies te voorkomen.
• Softwareontwikkeling: beveiligde softwareontwikkelingspraktijken worden gehanteerd, inclusief code reviews en het tijdig doorvoeren van beveiligingsupdates.

9. Meldplicht datalekken

De Verwerker stelt de Verwerkingsverantwoordelijke zonder onredelijke vertraging, en in elk geval binnen 72 uur na kennisneming, op de hoogte van een datalek dat betrekking heeft op de persoonsgegevens die in het kader van deze Overeenkomst worden verwerkt.

De melding bevat ten minste:

• Een beschrijving van de aard van het datalek, met waar mogelijk de categorieën en het geschatte aantal betrokkenen en persoonsgegevensrecords.
• De naam en contactgegevens van het aanspreekpunt bij de Verwerker.
• Een beschrijving van de waarschijnlijke gevolgen van het datalek.
• Een beschrijving van de maatregelen die de Verwerker heeft genomen of voorstelt om het datalek aan te pakken, waaronder maatregelen om de mogelijke nadelige gevolgen te beperken.

De Verwerker werkt volledig mee met de Verwerkingsverantwoordelijke bij het onderzoeken, beperken en verhelpen van het datalek. De Verwerker documenteert alle datalekken, met inbegrip van de feiten, de gevolgen en de genomen corrigerende maatregelen.

10. Rechten van betrokkenen

De Verwerker staat de Verwerkingsverantwoordelijke bij in het nakomen van diens verplichtingen met betrekking tot verzoeken van betrokkenen tot uitoefening van hun rechten op grond van hoofdstuk III van de AVG. Dit betreft onder meer:

• Recht op inzage (artikel 15 AVG): betrokkenen kunnen opvragen welke persoonsgegevens van hen worden verwerkt.
• Recht op rectificatie (artikel 16 AVG): betrokkenen kunnen onjuiste gegevens laten corrigeren.
• Recht op gegevenswissing (artikel 17 AVG): betrokkenen kunnen verzoeken hun gegevens te laten verwijderen.
• Recht op beperking van de verwerking (artikel 18 AVG).
• Recht op overdraagbaarheid van gegevens (artikel 20 AVG): betrokkenen kunnen hun gegevens in een gestructureerd, gangbaar en machineleesbaar formaat ontvangen.
• Recht van bezwaar (artikel 21 AVG).

Indien een betrokkene zich rechtstreeks tot de Verwerker wendt met een verzoek, zal de Verwerker dit verzoek onverwijld doorsturen naar de Verwerkingsverantwoordelijke. De Verwerker zal, rekening houdend met de aard van de verwerking, de Verwerkingsverantwoordelijke door middel van passende technische en organisatorische maatregelen bijstaan bij het beantwoorden van dergelijke verzoeken.

11. Audits

De Verwerker stelt alle informatie ter beschikking die nodig is om de nakoming van deze Overeenkomst aan te tonen. De Verwerker staat audits, waaronder inspecties, toe die door de Verwerkingsverantwoordelijke of een door de Verwerkingsverantwoordelijke gemachtigde auditor worden uitgevoerd, en werkt daaraan mee.

De Verwerkingsverantwoordelijke stelt de Verwerker ten minste 30 dagen van tevoren schriftelijk op de hoogte van een voorgenomen audit. Audits worden uitgevoerd tijdens normale kantooruren en op een wijze die de bedrijfsvoering van de Verwerker zo min mogelijk verstoort. De kosten van een audit komen voor rekening van de Verwerkingsverantwoordelijke, tenzij uit de audit blijkt dat de Verwerker in strijd handelt met deze Overeenkomst.

12. Beëindiging en teruggave van gegevens

Bij beëindiging van deze Overeenkomst zal de Verwerker, naar keuze van de Verwerkingsverantwoordelijke:

• Alle persoonsgegevens en kopieën daarvan teruggeven aan de Verwerkingsverantwoordelijke in een gestructureerd, gangbaar en machineleesbaar formaat (zoals JSON of CSV), of
• Alle persoonsgegevens en kopieën daarvan wissen en de Verwerkingsverantwoordelijke schriftelijk bevestigen dat dit is gebeurd.

De Verwerkingsverantwoordelijke heeft na beëindiging van de hoofdovereenkomst 30 dagen de tijd om een keuze te maken. Indien geen keuze wordt gemaakt, worden de gegevens na deze termijn gewist. Gegevens die op grond van wettelijke bewaarplichten moeten worden bewaard, worden tot het einde van de toepasselijke bewaartermijn bewaard en daarna vernietigd.

13. Aansprakelijkheid

De aansprakelijkheid van de Verwerker is beperkt tot de directe schade die voortvloeit uit een toerekenbare tekortkoming in de nakoming van deze Overeenkomst. De aansprakelijkheid is in elk geval beperkt tot het bedrag dat de Verwerkingsverantwoordelijke in de twaalf maanden voorafgaand aan het schadeveroorzakende feit aan de Verwerker heeft betaald voor de diensten waarop de aansprakelijkheid betrekking heeft.

De Verwerker is niet aansprakelijk voor indirecte schade, gevolgschade, gederfde winst of gemiste besparingen, tenzij sprake is van opzet of bewuste roekeloosheid van de zijde van de Verwerker.

Elke partij is zelf verantwoordelijk voor eventuele boetes die door de Autoriteit Persoonsgegevens aan haar worden opgelegd als gevolg van het niet naleven van de AVG.

14. Toepasselijk recht en geschillen

Op deze Overeenkomst is Nederlands recht van toepassing. Geschillen die voortvloeien uit of verband houden met deze Overeenkomst worden voorgelegd aan de bevoegde rechter in Nederland.

15. Contactgegevens

Voor vragen over deze Verwerkersovereenkomst kunt u contact opnemen met:

• Verwerker: YourPaz (handelsnaam van J. van der Z.)
• E-mail: info@yourpaz.com
• Website: https://yourpaz.com