Verwerkersovereenkomst

Partijen

Verwerkingsverantwoordelijke ("Opdrachtgever")

Verwerker ("Alvoru")

Hierna gezamenlijk: "Partijen".

Overwegende dat

• Partijen een hoofdovereenkomst hebben gesloten waarin Alvoru als Verwerker persoonsgegevens verwerkt namens Opdrachtgever (hierna: de "Hoofdovereenkomst");
• op grond van artikel 28 lid 3 AVG een schriftelijke verwerkersovereenkomst is vereist waarin afspraken zijn vastgelegd over de wijze waarop Verwerker persoonsgegevens verwerkt;
• deze verwerkersovereenkomst (hierna: "DPA") integraal onderdeel uitmaakt van de Hoofdovereenkomst.

Artikel 1 — Definities

De in deze DPA met een hoofdletter geschreven begrippen hebben de betekenis die daaraan in de AVG wordt toegekend, aangevuld met de definities in de Algemene Voorwaarden van Alvoru.

Artikel 2 — Onderwerp en duur

2.1 Deze DPA regelt de verwerking van persoonsgegevens door Alvoru in opdracht van Opdrachtgever in het kader van de Hoofdovereenkomst.

2.2 Deze DPA treedt in werking op de datum waarop de Hoofdovereenkomst aanvangt en eindigt van rechtswege bij beeindiging van de Hoofdovereenkomst, onverminderd die bepalingen die naar hun aard bedoeld zijn te blijven gelden.

Artikel 3 — Aard en doel van de verwerking

3.1 De aard en het doel van de verwerking bestaat uit het leveren van de in de Hoofdovereenkomst omschreven Dienst (AI-klantenservice, waaronder chatbot, e-mail en agenda).

3.2 Alvoru verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van Opdrachtgever, behoudens afwijkende wettelijke verplichtingen (art. 28 lid 3 sub a AVG). In dat laatste geval stelt Alvoru Opdrachtgever voor de verwerking op de hoogte, tenzij die wet dit om gewichtige redenen verbiedt.

Artikel 4 — Soort persoonsgegevens en categorieen betrokkenen

Bijzondere categorieen persoonsgegevens (art. 9 AVG) en strafrechtelijke gegevens (art. 10 AVG) worden niet verwerkt, tenzij schriftelijk aanvullend overeengekomen.

Artikel 5 — Verplichtingen Verwerker

5.1 Alvoru verwerkt persoonsgegevens uitsluitend voor de doeleinden zoals vastgelegd in de Hoofdovereenkomst en deze DPA en op schriftelijke instructie van Opdrachtgever.

5.2 Alvoru waarborgt dat personen die persoonsgegevens verwerken een geheimhoudingsplicht hebben, hetzij uit hoofde van de wet, hetzij uit hoofde van een overeenkomst.

5.3 Alvoru verleent Opdrachtgever, rekening houdend met de aard van de verwerking, redelijke bijstand bij het voldoen aan verzoeken van betrokkenen ter uitoefening van hun rechten op grond van de AVG.

5.4 Alvoru stelt Opdrachtgever alle informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen.

5.5 AI-trainingsverbod. Alvoru zal de persoonsgegevens die zij namens de Verwerkingsverantwoordelijke verwerkt nooit gebruiken voor het trainen, fine-tunen of anderszins verbeteren van AI-modellen, noch voor het ontwikkelen van eigen of derde-partij AI-toepassingen.

Artikel 6 — Beveiligingsmaatregelen (artikel 32 AVG)

Alvoru treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, waaronder:

• Versleuteling tijdens transport (TLS 1.2+) en waar toepasselijk versleuteling in rust;
• Toegangscontrole op basis van least privilege; tweefactor-authenticatie voor beheerders;
• Firewalls, fail2ban en intrusion monitoring;
• Dagelijkse versleutelde backups met bewaartermijn maximaal 90 dagen;
• Restrictieve bestandsrechten (600) op configuratie- en datafiles;
• Loggen en monitoren van toegang tot productie-systemen;
• Periodieke evaluatie en actualisering van beveiligingsmaatregelen.

Artikel 7 — Sub-verwerkers

7.1 Opdrachtgever verleent Alvoru een algemene schriftelijke toestemming tot het inschakelen van sub-verwerkers, mits Alvoru voldoet aan de overige bepalingen van dit artikel.

7.2 De actueel ingeschakelde sub-verwerkers zijn:

7.3 Alvoru legt sub-verwerkers dezelfde gegevensbeschermingsverplichtingen op als in deze DPA zijn opgenomen (artikel 28 lid 4 AVG).

7.4 Alvoru informeert Opdrachtgever minimaal 14 dagen vooraf over vervanging of toevoeging van sub-verwerkers. Opdrachtgever kan binnen die termijn gemotiveerd bezwaar maken. Bij gegrond bezwaar heeft Opdrachtgever het recht de Hoofdovereenkomst kosteloos te beeindigen.

Artikel 8 — Doorgifte buiten de EER

Doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte vindt uitsluitend plaats op basis van een adequaatheidsbesluit (art. 45 AVG), bindende bedrijfsvoorschriften, EU Standaard Contractsbepalingen (art. 46 lid 2 sub c AVG) of een andere in de AVG voorziene waarborg, aangevuld met aanvullende technische en organisatorische maatregelen waar vereist.

Artikel 9 — Rechten van betrokkenen

9.1 Alvoru biedt Opdrachtgever passende ondersteuning bij het afhandelen van verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar) door technische functionaliteiten in het klantportaal en waar noodzakelijk aanvullende bijstand.

9.2 Alvoru zendt verzoeken van betrokkenen die rechtstreeks bij Alvoru binnenkomen onverwijld door aan Opdrachtgever.

Artikel 10 — Datalekken

10.1 Alvoru informeert Opdrachtgever onverwijld en uiterlijk binnen 48 uur na constatering van een inbreuk in verband met persoonsgegevens (art. 33 lid 2 AVG), zodat Opdrachtgever tijdig kan voldoen aan zijn meldplicht binnen 72 uur bij de Autoriteit Persoonsgegevens.

10.2 De melding bevat in ieder geval: de aard van de inbreuk, de categorieen en het aantal betrokkenen, de categorieen en het aantal betrokken records, de waarschijnlijke gevolgen en de getroffen of voorgestelde maatregelen.

10.3 Alvoru verleent Opdrachtgever passende bijstand bij de melding aan de Autoriteit Persoonsgegevens en waar relevant aan betrokkenen.

Artikel 11 — Audit

11.1 Opdrachtgever kan eenmaal per kalenderjaar, na voorafgaande schriftelijke aankondiging van minimaal 30 dagen, op eigen kosten een audit (laten) uitvoeren naar de naleving van deze DPA door Alvoru.

11.2 De audit wordt uitgevoerd door een onafhankelijke, aan geheimhouding gebonden auditor, tijdens kantooruren en op een wijze die de normale bedrijfsvoering van Alvoru niet verstoort.

11.3 Alvoru kan in plaats van een on-site audit volstaan met een actueel rapport van een onafhankelijke derde (bijvoorbeeld ISO 27001 of SOC 2), mits dit rapport redelijkerwijs voldoende zekerheid biedt.

Artikel 12 — Beeindiging en verwijdering gegevens

12.1 Na beeindiging van de Hoofdovereenkomst zal Alvoru, naar keuze van Opdrachtgever en op eerste schriftelijk verzoek, alle persoonsgegevens verwijderen of teruggeven aan Opdrachtgever, conform artikel 28 lid 3 sub g AVG.

12.2 Een dergelijk verzoek kan binnen 60 dagen na beeindiging worden ingediend. Bij gebreke daarvan worden gegevens na 60 dagen automatisch verwijderd.

12.3 Offline backups worden conform het reguliere rotatieschema uiterlijk 90 dagen na beeindiging gewist.

12.4 Gegevens die Alvoru op grond van de wet moet bewaren, worden bewaard gedurende de wettelijk voorgeschreven termijn.

Artikel 13 — Aansprakelijkheid

13.1 De aansprakelijkheid van Alvoru onder deze DPA is begrepen in en beperkt door de aansprakelijkheidsbepalingen van de Algemene Voorwaarden behorende bij de Hoofdovereenkomst.

13.2 Dwingendrechtelijke bepalingen van de AVG blijven onverlet.

Artikel 13a — Register verwerkingsactiviteiten

Alvoru houdt een register van verwerkingsactiviteiten bij conform artikel 30 AVG. Dit register bevat in ieder geval: de naam en contactgegevens van Alvoru als verwerker, de categorieen van verwerkingen die namens Verwerkingsverantwoordelijken worden uitgevoerd, doorgiften aan derde landen en de toegepaste waarborgen, en een algemene beschrijving van technische en organisatorische beveiligingsmaatregelen. Het register is op verzoek beschikbaar voor de Autoriteit Persoonsgegevens.

Artikel 14 — Toepasselijk recht en geschillen

Op deze DPA is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de rechtbank Overijssel, locatie Almelo.

Ondertekening

Stuur de ondertekende versie (gescand of digitaal ondertekend) naar info@alvoru.com. Alvoru retourneert een mede-ondertekende kopie.