Verwerkersovereenkomst

1. Definities

Begrippen zoals verwerkingsverantwoordelijke, verwerker, subverwerker, betrokkene, persoonsgegevens, verwerking en inbreuk in verband met persoonsgegevens hebben de betekenis uit de UK GDPR en de EU-AVG. ‘Wetgeving inzake gegevensbescherming’ betekent de UK GDPR, de EU-AVG (Verordening 2016/679), de UK Data Protection Act 2018 en alle overige toepasselijke gegevensbeschermings- of privacywetgeving.

2. Rollen en reikwijdte

Voor persoonsgegevens die onder de overeenkomst worden verwerkt, is de Klant de verwerkingsverantwoordelijke en Clavio de verwerker (of, als de Klant zelf verwerker is voor zijn eindgebruikers, is Clavio subverwerker). Clavio verwerkt persoonsgegevens uitsluitend om de Dienst te leveren en te ondersteunen. Onderwerp, duur, aard en doel van de verwerking, soorten persoonsgegevens en categorieën betrokkenen worden hieronder beschreven in Bijlage A.

3. Verplichtingen van de Verwerker (artikel 28)

Clavio zal:

• Gedocumenteerde instructies — persoonsgegevens alleen verwerken op gedocumenteerde instructies van de Klant (waaronder die in de overeenkomst en deze DPA), tenzij de wet anders vereist; in dat geval informeert Clavio de Klant vooraf voor zover wettelijk toegestaan.
• Vertrouwelijkheid — ervoor zorgen dat personen die persoonsgegevens mogen verwerken aan een passende geheimhoudingsplicht zijn gebonden.
• Beveiliging — de technische en organisatorische maatregelen uit §6 en Bijlage B uitvoeren (artikel 32).
• Subverwerkers — subverwerkers uitsluitend overeenkomstig §5 inschakelen.
• Bijstand bij rechten van betrokkenen — rekening houdend met de aard van de verwerking, de Klant met passende maatregelen helpen verzoeken van betrokkenen te beantwoorden (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar).
• Bijstand bij naleving — de Klant helpen de artikelen 32–36 na te leven (beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging), rekening houdend met de informatie waarover Clavio beschikt.
• Verwijdering of teruggave — naar keuze van de Klant alle persoonsgegevens na het einde van de dienstverlening verwijderen of teruggeven en bestaande kopieën verwijderen, tenzij bewaring wettelijk verplicht is (zie §8).
• Audits — de nodige informatie beschikbaar stellen om naleving van artikel 28 aan te tonen en audits, waaronder inspecties, door de Klant of een door hem gemachtigde auditor toestaan en ondersteunen, onder redelijke vertrouwelijkheids- en beveiligingsafspraken.

4. Inbreuk in verband met persoonsgegevens

Clavio zal de Klant zonder onredelijke vertraging informeren na kennisneming van een inbreuk die persoonsgegevens van de Klant raakt en de redelijkerwijs beschikbare informatie verstrekken om de Klant te helpen zijn eigen meldplichten jegens toezichthouders en betrokkenen volgens de artikelen 33 en 34 na te komen.

5. Subverwerkers

De Klant verleent algemene toestemming aan Clavio om subverwerkers in te schakelen voor de Dienst. De huidige subverwerkers van Clavio staan in ons Privacybeleid en hieronder vermeld. Clavio legt elke subverwerker gegevensbeschermingsverplichtingen op die inhoudelijk gelijkwaardig zijn aan deze DPA en blijft verantwoordelijk voor hun prestaties. Clavio informeert de Klant over voorgenomen wijzigingen en geeft hem gelegenheid bezwaar te maken op redelijke gronden van gegevensbescherming.

• Anthropic — AI-verbetering van getranscribeerde tekst; verwerkt transcripties en dicteerinhoud.
• OpenAI (Whisper) — omzetting van spraak naar tekst; verwerkt spraakopnamen.
• Groq — kan, wanneer geconfigureerd, spraak naar tekst omzetten; verwerkt spraakopnamen en gerelateerde inferentiegegevens onder de toepasselijke gegevensinstellingen van het account.
• Lemon Squeezy — betalingsverwerking en abonnementsfacturering als Merchant of Record; verwerkt account- en identiteitsgegevens (naam, e-mail), factuur- en betaalinformatie en land voor belastingdoeleinden.
• Apple — aanmelden en identiteitsverificatie; verwerkt account- en identiteitsgegevens.
• Google — aanmelden en identiteitsverificatie; verwerkt account- en identiteitsgegevens.
• Railway — applicatiehosting en database-infrastructuur; kan alle in Bijlage A beschreven categorieën verwerken.
• GitLab — softwarelevering en operationele hulpmiddelen; verwerkt diagnostische en operationele gegevens.

6. Beveiligingsmaatregelen (artikel 32)

Clavio onderhoudt passende technische en organisatorische maatregelen om persoonsgegevens te beschermen, waaronder: versleuteling tijdens overdracht (TLS); opslag van uitsluitend gehashte authenticatietokens in plaats van wachtwoorden; toegangscontrole op basis van noodzaak; gebruik van gerenommeerde infrastructuuraanbieders; en operationele werkwijzen die voortdurende vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de Dienst beogen. Een samenvatting staat in Bijlage B.

7. Internationale doorgiften

Wanneer verwerking onder deze DPA een doorgifte van persoonsgegevens buiten het VK of de EER naar een land zonder adequaatheidsbesluit omvat, komen partijen overeen dat deze doorgiften onder passende waarborgen volgens artikel 46 plaatsvinden: de Standaardcontractbepalingen van de Europese Commissie (EU 2021/914) en voor doorgiften vanuit het VK de UK International Data Transfer Agreement / UK Addendum, die hierbij door verwijzing worden opgenomen en met de gegevens in de Bijlagen worden ingevuld. We ondertekenen deze bepalingen standaard zonder onderhandeling.

8. Duur, verwijdering en teruggave

Deze DPA geldt zolang Clavio persoonsgegevens namens de Klant verwerkt. Bij beëindiging of afloop van de Dienst verwijdert Clavio naar keuze van de Klant diens persoonsgegevens of geeft deze terug en verwijdert bestaande kopieën, onder voorbehoud van korte back-uprotatieperiodes en wettelijk verplichte bewaring.

9. Bijlage A — Details van de verwerking

• Onderwerp en aard: levering van een AI-spraakdicteerdienst: opnemen, verzenden, transcriberen en verbeteren van dictaten, en account- en abonnementsbeheer.
• Doel: de Dienst leveren aan de Klant en diens bevoegde gebruikers.
• Duur: gedurende de overeenkomst, plus een eventuele beperkte afwikkelingsperiode volgens §8.
• Categorieën betrokkenen: bevoegde gebruikers van de Klant (bijvoorbeeld werknemers of teamleden).
• Soorten persoonsgegevens: account- en identiteitsgegevens (gebruikersidentificatie, naam, e-mail, inclusief privédoorgifteadressen van Apple); spraakopnamen en transcripties; abonnements-, factuur- en betaalinformatie (verwerkt door onze Merchant of Record, Lemon Squeezy), inclusief land voor belastingdoeleinden; gebruiks-, diagnose- en apparaat-/besturingssysteemgegevens.
• Bijzondere categorieën gegevens: spraakopnamen die tijdelijk worden verwerkt om transcripties te maken; niet gebruikt om AI-modellen te trainen.

10. Bijlage B — Beveiligingsmaatregelen (samenvatting)

• Versleuteling van persoonsgegevens tijdens overdracht (TLS).
• Authenticatie via aangemelde identiteitsproviders; opslag van uitsluitend gehashte tokens, geen wachtwoorden.
• Toegangscontrole voor systemen en gegevens op basis van rollen en noodzakelijke kennis.
• Gebruik van gerenommeerde infrastructuur- en AI-subverwerkers die op beveiliging zijn beoordeeld en aan gegevensbeschermingsvoorwaarden zijn gebonden.
• Logging en monitoring om beveiligingsgebeurtenissen te detecteren en erop te reageren, en een procedure om de Klant over inbreuken in verband met persoonsgegevens te informeren.
• Maatregelen om beschikbaarheid van en toegang tot persoonsgegevens na een incident tijdig te herstellen.

11. Contact

Neem voor het aanvragen of ondertekenen van deze DPA, of voor vragen hierover, contact op met office@justetools.co.uk .