Verwerkersovereenkomst

1. Partijen en rollen

1.1Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van GeoReady en geldt tussen GeoReady (verwerker) en de klant (verwerkingsverantwoordelijke). Hij komt tot stand op het moment dat de klant akkoord gaat met de algemene voorwaarden.

1.2Is de klant een bureau dat GeoReady voor zijn eigen klanten gebruikt, dan is het bureau ten opzichte van GeoReady de verwerkingsverantwoordelijke (of zelf verwerker namens zijn klant) en GeoReady (sub)verwerker. Het bureau zorgt dat zijn afspraken met zijn klanten daarop aansluiten.

1.3Voor gegevens die GeoReady voor eigen doeleinden verwerkt, zoals de facturatie en de beveiliging van het platform, is GeoReady zelf verantwoordelijk; daarvoor geldt de privacyverklaring.

2. Onderwerp, doel en duur

2.1GeoReady verwerkt persoonsgegevens uitsluitend om de dienst te leveren zoals beschreven in de algemene voorwaarden: accounts en gebruikers beheren, metingen uitvoeren, resultaten tonen, rapporten en meldingen versturen en ondersteuning geven.

2.2De verwerking duurt zolang de overeenkomst loopt, plus de termijn uit artikel 11 waarin gegevens worden teruggegeven of verwijderd.

3. Soorten gegevens en betrokkenen

3.1Betrokkenen: gebruikers van de klant (medewerkers, teamleden, klant-logins van een bureau) en personen die bij naam voorkomen in publieke AI-antwoorden of bronnen, bijvoorbeeld de eigenaar van een bedrijf.

3.2Gegevens: naam, zakelijk e-mailadres, rol en taal van gebruikers; inloggegevens en technische gegevens zoals IP-adres en tijdstip van inloggen; gegevens die de klant zelf invoert, zoals contactgegevens in het bedrijfsprofiel, notities en namen bij acties; en namen die toevallig in publieke AI-antwoorden staan.

3.3GeoReady vraagt geen bijzondere persoonsgegevens en geen gegevens van de klanten van de klant. De klant voert die ook niet in de dienst in.

4. Verwerken op instructie

4.1GeoReady verwerkt persoonsgegevens alleen op basis van schriftelijke instructies van de klant. De overeenkomst, de instellingen die de klant in de app kiest en deze verwerkersovereenkomst gelden als die instructies.

4.2Vindt GeoReady dat een instructie in strijd is met de AVG, dan meldt GeoReady dat direct aan de klant.

4.3GeoReady verwerkt de gegevens niet voor eigen doeleinden, behalve geanonimiseerd en geaggregeerd zoals in artikel 10 van de algemene voorwaarden staat, of als de wet dat verplicht.

5. Geheimhouding

5.1Iedereen die namens GeoReady toegang heeft tot persoonsgegevens, is tot geheimhouding verplicht. Toegang is beperkt tot wie die nodig heeft voor de dienst of voor ondersteuning op verzoek van de klant.

6. Beveiliging

6.1GeoReady neemt passende technische en organisatorische maatregelen, rekening houdend met de stand van de techniek, de kosten en de risico's. Daartoe horen in ieder geval:

6.2versleutelde verbindingen (HTTPS/TLS) voor al het verkeer; gescheiden gegevens per organisatie, afgedwongen in de database (row-level security); rollen en rechten per gebruiker, met beperkte toegang voor alleen-lezen leden en klant-logins; gehashte wachtwoorden en API-sleutels; tweestapsverificatie voor gebruikers; uitnodigingslinks die eenmalig gelden; logging van beheerhandelingen in een auditlog; en het principe van minimale rechten voor beheerders.

6.3GeoReady beoordeelt de maatregelen periodiek en past ze aan als dat nodig is. Een wijziging verlaagt het beschermingsniveau niet.

7. Subverwerkers

7.1De klant geeft GeoReady algemene toestemming om de subverwerkers in de bijlage in te schakelen. GeoReady legt hun dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover de klant verantwoordelijk voor hun naleving.

7.2Voegt GeoReady een subverwerker toe of vervangt GeoReady er een, dan meldt GeoReady dat minstens 30 dagen vooraf per e-mail. De klant kan binnen die termijn met redenen bezwaar maken. Vinden partijen geen oplossing, dan mag de klant de overeenkomst opzeggen per de ingangsdatum.

7.3Bij een meting stuurt GeoReady de prompts van de klant naar de AI-aanbieders. Prompts horen geen persoonsgegevens te bevatten (artikel 5 van de algemene voorwaarden).

8. Doorgifte buiten de EER

8.1Een deel van de subverwerkers is gevestigd buiten de Europese Economische Ruimte of verwerkt gegevens daar. GeoReady geeft gegevens alleen door als daarvoor een geldige grondslag is volgens hoofdstuk V van de AVG, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.

9. Rechten van betrokkenen en bijstand

9.1GeoReady helpt de klant met passende maatregelen bij verzoeken van betrokkenen, zoals inzage, correctie, verwijdering en overdracht. Gebruikers kunnen veel gegevens zelf aanpassen of exporteren in de app. Komt een verzoek rechtstreeks bij GeoReady binnen, dan stuurt GeoReady het door naar de klant.

9.2GeoReady verleent de klant redelijke bijstand bij een gegevensbeschermingseffectbeoordeling of een voorafgaande raadpleging van de toezichthouder, voor zover dat de verwerking door GeoReady betreft.

10. Datalekken

10.1GeoReady meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging aan de klant, en uiterlijk binnen 48 uur nadat GeoReady de inbreuk heeft ontdekt.

10.2De melding bevat, voor zover bekend: de aard van de inbreuk, de betrokken soorten gegevens en het geschatte aantal betrokkenen, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. GeoReady houdt de klant op de hoogte en helpt bij een melding aan de Autoriteit Persoonsgegevens en de betrokkenen. Melden blijft de verantwoordelijkheid van de klant.

11. Einde en verwijdering

11.1Na het einde van de overeenkomst kan de klant zijn gegevens nog 30 dagen exporteren. Daarna verwijdert GeoReady de persoonsgegevens, inclusief kopieën, tenzij de wet bewaren verplicht. Staan gegevens in een back-up, dan worden ze daar in de normale back-upcyclus overschreven.

11.2Op verzoek bevestigt GeoReady de verwijdering schriftelijk.

12. Informatie en audits

12.1GeoReady stelt de klant op verzoek alle informatie beschikbaar die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd.

12.2De klant mag maximaal één keer per jaar, met een aankondiging van minstens 30 dagen, een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte deskundige. De kosten zijn voor de klant, tenzij de audit een wezenlijke tekortkoming van GeoReady aantoont. GeoReady mag eerst een recente onafhankelijke verklaring of rapportage aanbieden als alternatief.

13. Aansprakelijkheid en overige bepalingen

13.1Voor de aansprakelijkheid geldt artikel 12 van de algemene voorwaarden.

13.2Deze verwerkersovereenkomst loopt zolang GeoReady persoonsgegevens voor de klant verwerkt. Bij strijd met de algemene voorwaarden gaat deze overeenkomst voor wat de verwerking van persoonsgegevens betreft. Op deze overeenkomst is Nederlands recht van toepassing.

13.3Wil de klant een getekende versie voor zijn administratie, of een eigen model gebruiken, mail dan naar info@geoready.nl.

Bijlage: subverwerkers