Verwerkersovereenkomst

1. Rollen, voorrang en duur

1.1 De Verwerkingsverantwoordelijke bepaalt de doeleinden en middelen van de verwerking; de Verwerker verwerkt uitsluitend namens de Verwerkingsverantwoordelijke.

1.2 In geval van strijdigheid tussen deze DPA en de Servicevoorwaarden inzake gegevensbescherming, prevaleert deze DPA.

1.3 Deze DPA geldt voor de duur van het abonnement en zolang de Verwerker persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke.

2. Reikwijdte en instructies

2.1 De Verwerker verwerkt persoonsgegevens uitsluitend op basis van de gedocumenteerde instructies van de Verwerkingsverantwoordelijke, met inbegrip van die in deze DPA en het gebruik van de Dienst door de Verwerkingsverantwoordelijke, tenzij EU- of lidstaatrecht anders vereist (in welk geval hij de Verwerkingsverantwoordelijke zal informeren, tenzij dit wettelijk verboden is).

2.2 Het onderwerp, de aard, het doel, de gegevenscategorieën en de betrokkenen zijn uiteengezet in Bijlage 1.

2.3 De Verwerker zal de Verwerkingsverantwoordelijke informeren indien naar zijn mening een instructie inbreuk maakt op het recht inzake gegevensbescherming.

3. Vertrouwelijkheid

De Verwerker zorgt ervoor dat personen die gemachtigd zijn om de persoonsgegevens te verwerken, gebonden zijn aan vertrouwelijkheid.

4. Beveiliging (Art. 32)

De Verwerker implementeert passende technische en organisatorische maatregelen, uiteengezet in Bijlage 2.

5. Subverwerkers

5.1 De Verwerkingsverantwoordelijke geeft een algemene toestemming aan de Verwerker om subverwerkers in te schakelen.

5.2 De huidige subverwerkers staan vermeld in de openbare lijst met subverwerkers.

5.3 De Verwerker geeft ten minste 30 dagen van tevoren kennis van voorgenomen toevoegingen of vervangingen, en de Verwerkingsverantwoordelijke kan bezwaar maken op redelijke gronden inzake gegevensbescherming.

5.4 De Verwerker legt aan elke subverwerker verplichtingen inzake gegevensbescherming op die niet minder beschermend zijn dan die in deze DPA, en blijft aansprakelijk voor hun prestaties.

6. Internationale doorgiften

Wanneer persoonsgegevens buiten de EER worden doorgegeven, gebruikt de Verwerker een goedgekeurde waarborg, met inbegrip van de modelcontractbepalingen (SCCs) waarnaar wordt verwezen in Bijlage 3.

7. Bijstand aan de Verwerkingsverantwoordelijke

Rekening houdend met de aard van de verwerking en de beschikbare informatie, verleent de Verwerker de Verwerkingsverantwoordelijke bijstand bij het beantwoorden van verzoeken van betrokkenen en bij zijn verplichtingen onder Art. 32–36 (beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging).

8. Inbreuk in verband met persoonsgegevens

De Verwerker zal de Verwerkingsverantwoordelijke zonder onnodige vertraging en in elk geval binnen 72 hours na kennisname van een inbreuk in verband met persoonsgegevens die de gegevens van de Verwerkingsverantwoordelijke treft, op de hoogte brengen, met de redelijkerwijs beschikbare informatie.

9. Teruggave of verwijdering

Bij beëindiging zal de Verwerker, naar keuze van de Verwerkingsverantwoordelijke, de persoonsgegevens en bestaande kopieën teruggeven of verwijderen, tenzij bewaring wettelijk vereist is. De timing is vastgelegd in Bijlage 1 en afgestemd op de Servicevoorwaarden.

10. Audit

De Verwerker stelt de informatie beschikbaar die nodig is om aan te tonen dat aan Art. 28 wordt voldaan, en staat audits, met inbegrip van inspecties, door de Verwerkingsverantwoordelijke of een door hem gemachtigde auditor toe en draagt daaraan bij, met inachtneming van redelijke vertrouwelijkheids- en beveiligingsvoorwaarden.

Bijlage 1 — Bijzonderheden van de verwerking

• Onderwerp: het leveren van de AI-klantenondersteuningsdienst.
• Aard en doel: het ontvangen, opslaan, indexeren en verwerken van gespreksgegevens van eindgebruikers en gekoppelde kennisbronnen om ondersteuningsantwoorden te genereren en overdracht naar een mens mogelijk te maken.
• Duur: de abonnementstermijn plus de verwijderings-/teruggaveperiode (30 days).
• Categorieën van betrokkenen: de eindgebruikers en Gemachtigde Gebruikers van de Verwerkingsverantwoordelijke.
• Categorieën van persoonsgegevens: identificatiegegevens en contactgegevens, gespreksinhoud en alle andere gegevens die de Verwerkingsverantwoordelijke verkiest in te dienen. De Verwerkingsverantwoordelijke mag geen bijzondere categorieën gegevens indienen, behalve onder de voorwaarden in het Beleid voor aanvaardbaar gebruik.

Bijlage 2 — Technische en organisatorische maatregelen

[To be completed — e.g. encryption in transit and at rest, access controls, tenant isolation, logging, backups, vulnerability management, personnel training.]

Bijlage 3 — Subverwerkers en doorgiftewaarborgen

Zie de lijst met subverwerkers. Doorgiftewaarborg: SCCs [+ specify modules and supplementary measures].